Opération Windigo : infection de serveurs Linux à grande échelle

Magazine
Marque
MISC
Numéro
74
Mois de parution
juillet 2014
Domaines


Résumé
Cet article décrit une opération dans laquelle des milliers de serveurs Linux ont été compromis par le vol d’informations d’authentification SSH. Les opérateurs utilisent cette infrastructure depuis au moins 2011 pour infecter des visiteurs de sites Internet, les rediriger vers des publicités ou encore envoyer des pourriels. Nous commencerons par décrire l’opération de façon globale pour ensuite nous focaliser sur le composant qui réalise le vol d’information SSH sur les serveurs, puis sur celui qui redirige les visiteurs de sites web.

1. Une opération de grande ampleur

Pour aborder l’opération Windigo, partons de la représentation (simplifiée) de son infrastructure de la Figure 1.

windigo_operation

Fig. 1 : Infrastructure de l’opération Windigo.

Suivons le chemin d’un utilisateur victime d'une redirection : depuis sa machine, il visite un site Internet légitime infecté par Linux/Cdorked, qui injecte alors dans la page web une redirection vers un autre nom de domaine, légitime lui aussi. Le navigateur Internet de la victime fait donc une requête au serveur DNS autoritaire pour ce nom de domaine, mais celui-ci est infecté par un autre composant, Linux/Ominiki, et l’adresse IP retournée est contrôlée par ce logiciel malveillant. La victime se retrouve donc finalement redirigée vers un nouveau serveur, qui n’est qu’un relais pour un autre serveur qui va tenter de l’infecter en exploitant une vulnérabilité. Elle se verra alors distribuer un logiciel malveillant Windows, soit Win32/Boaxxe, soit...

Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Introduction aux TPM (Trusted Platform Modules)

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Les TPM (Trusted Platform Modules), brique de base du Trusted Computing, ont été imaginés il y a une vingtaine d’années, et pourtant ils ne sont pas très utilisés malgré leurs réelles qualités. Comment expliquer cela ? Cet article tend à fournir de premiers éléments de réponse.

Avec le Spanning Tree Protocol, suis-je en sécurité dans mon réseau ?

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Dans le cadre des hors-séries sur les retours aux fondamentaux, cet article aura comme sujet le protocole STP (Spanning Tree Protocol). Inventé en 1985 par Radia Perlman, il permet principalement d’assurer une liaison réseau redondante et sans boucle. Ce protocole étant primordial au sein d’un réseau de moyenne à grande envergure, s’il n’est pas correctement configuré, cela pourra alors permettre à des attaquants de compromettre le réseau.

Dora au pays du kernel debugging

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Après plusieurs années dans le monde de la sécurité informatique il est récurrent d'être confronté aux remarques telles que : « Wow tu bosses sur le kernel Windows, c'est trop cool, mais vachement compliqué quand même ! ». Que nenni, en réalité la documentation est conséquente et le point le plus difficile et rédhibitoire est bien souvent la mise en place d'un Labo permettant d'analyser celui-ci. En bref, cet article vous permettra de vous faire passer pour un super haxxor de ses morts qui dt des KPCR à tour de bras et vous permettra peut-être au passage de demander une augmentation.

En sécurité sous les drapeaux

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

En sécurité sous les drapeaux... du compilateur, ces fameux -fstack-protector-strong et autres -D_FORTIFY_SOURCE=2 que l’on retrouve dans de plus en plus de logs de compilation. Cet article se propose de parcourir quelques-uns des drapeaux les plus célèbres, en observant les artefacts dans le code généré qui peuvent indiquer leur utilisation, tout en discutant de leur support par gcc et clang. Après tout, nombre d’entre eux sont utilisés par défaut sous Debian ou Fedora, ils méritent bien qu’on s’y intéresse un peu.