Récemment, Check Point Research (CPR) a rencontré plusieurs attaques qui exploitent de multiples vulnérabilités sur les appareils Linux, y compris certaines failles récemment découvertes. Ces attaques en cours impliquent une nouvelle variante de logiciel malveillant, appelée « FreakOut ». L’objectif de ces attaques est de créer un botnet IRC (un ensemble de machines infectées par des logiciels malveillants qui peuvent être contrôlées à distance), qui peut ensuite être utilisé pour des activités malveillantes, comme le lancement d’attaques DDoS (attaque par déni de service) sur les réseaux d’autres organisations, ou pour des activités de crypto-minage sur les machines infectées, qui peuvent potentiellement arrêter des systèmes entiers infectés.
Les attaques visent les appareils Linux qui exécutent l’un des produits suivants, qui présentent tous des vulnérabilités relativement nouvelles qui sont exploitées par le malware FreakOut si les produits n’ont pas été corrigés :
- TerraMaster TOS (TerraMaster Operating System), un fournisseur bien connu de dispositifs de stockage de données
- Zend Framework, une collection populaire de progiciels de bibliothèque, utilisée pour la création d’applications web
- Liferay Portal, un portail d’entreprise gratuit et à code source ouvert, avec des fonctionnalités permettant de développer des portails et des sites web
S’il est exploité avec succès, chaque dispositif infecté par le malware FreakOut peut être utilisé comme une plate-forme d’attaque contrôlée à distance par les acteurs de la menace derrière l’attaque, leur permettant de cibler d’autres dispositifs vulnérables pour étendre leur réseau de machines infectées. Les capacités du logiciel malveillant FreakOut comprennent l’analyse des ports, la collecte d’informations, la création et l’envoi de paquets de données, le reniflage du réseau et la capacité de lancer des attaques DDoS et d’inondation du réseau.
L’attentat exploite les CVE suivants :
– CVE-2020-28188 – publié le 28/12/20 – TerraMaster TOS – CVE-2021-3007 – publié le 3/1/21 – Zend Framework – CVE-2020-7961 – publié le 20/03/20 – Portail Liferay
Des correctifs sont disponibles pour tous les produits concernés par ces CVE, et il est conseillé aux utilisateurs de ces produits de vérifier d’urgence tous les dispositifs qu’ils utilisent, de les mettre à jour et de les corriger pour fermer ces vulnérabilités.
L’impact de FreakOut
L’attaquant peut utiliser les systèmes compromis par FreakOut pour d’autres activités malveillantes, telles que le crypto-minage, la propagation latérale à travers les réseaux d’entreprise, ou le lancement d’attaques DDoS sur les réseaux d’autres organisations, qui peuvent arrêter l’ensemble des systèmes infectés.
Les recherches de Check Point ont révélé que le serveur principal de C&C de la campagne d’attaque avait été piraté avec environ 185 appareils.
Entre le 8 et le 13 janvier, nous avons assisté à plus de 380 tentatives d’attaque contre des clients de Check Point, et toutes ont été bloquées par les solutions de Check Point. Selon notre réseau mondial de capteurs de menaces, les zones géographiques les plus visées étaient l’Amérique du Nord et l’Europe occidentale.
Conseils de sécurité pour rester protégé
- Vérifier et de corriger leurs serveurs et leurs périphériques Linux afin d’empêcher l’exploitation de ces vulnérabilités par FreakOut
- Les systèmes de prévention des intrusions (IPS) empêchent les tentatives d’exploitation des faiblesses des systèmes ou applications vulnérables, vous protégeant ainsi dans la course à l’exploitation de la dernière menace de rupture. La mise à jour des IPS permet à votre organisation de rester protégée.
- Protection des EndPoints : L’antivirus conventionnel basé sur les signatures est une solution très efficace pour prévenir les attaques connues et doit absolument être mis en œuvre dans toute organisation, car il protège contre la majorité des attaques de logiciels malveillants auxquelles une organisation est confrontée.
- Une protection complète et avancée des points d’accès au plus haut niveau de sécurité est essentielle pour éviter les failles de sécurité et la compromission des données
Conclusion
« FreakOut » est une campagne d’attaque qui exploite trois vulnérabilités, dont certaines nouvellement publiées, pour compromettre différents serveurs. L’auteur de la menace, nommé « Freak », a réussi à infecter de nombreux appareils en peu de temps et à les intégrer dans un botnet, qui à son tour pourrait être utilisé pour des attaques DDoS et du crypto-minage. De telles campagnes d’attaque soulignent l’importance et la signification du contrôle et de la protection de vos biens en permanence. Cette campagne permanente peut se répandre rapidement, comme nous l’avons vu.
Crédit photo : DR
[cc] Breizh-info.com, 2021, dépêches libres de copie et de diffusion sous réserve de mention et de lien vers la source d’origine
