Les appareils Linux sont attaqués par un ver jamais vu auparavant.

Depuis l’année dernière, des chercheurs affirment qu’un logiciel malveillant autoreproducteur jusque-là inconnu compromet des appareils Linux dans le monde entier et installe un logiciel malveillant de minage de cryptomonnaie qui prend des mesures inhabituelles pour dissimuler son fonctionnement interne. Traditionnellement, Mirai et ses nombreuses variantes se propagent lorsque l’appareil infecté scanne Internet à la recherche d’autres appareils acceptant les connexions Telnet. Les appareils infectés tentent ensuite de craquer le mot de passe Telnet en devinant des paires d’identifiants par défaut et couramment utilisés. Lorsque cela réussit, les nouveaux appareils infectés ciblent d’autres appareils en utilisant la même technique. Mirai a principalement été utilisé pour mener des DDoS. Étant donné les grandes quantités de bande passante disponibles pour de nombreux appareils de ce type, les flux de trafic indésirable sont souvent énormes, donnant au botnet dans son ensemble une puissance considérable. Mercredi, des chercheurs de la société de sécurité et de fiabilité réseau Akamai ont révélé qu’un réseau basé sur Mirai, jusqu’alors inconnu et baptisé NoaBot, cible des appareils Linux depuis au moins janvier dernier. Au lieu de cibler des mots de passe Telnet faibles, NoaBot cible des mots de passe faibles lors des connexions SSH. Autre particularité : au lieu d’exécuter des DDoS, le nouveau botnet installe un logiciel de minage de cryptomonnaie, ce qui permet aux attaquants de générer des monnaies numériques en utilisant les ressources informatiques, l’électricité et la bande passante des victimes. Le logiciel de minage de cryptomonnaie est une version modifiée de XMRig, un autre logiciel malveillant open source. Plus récemment, NoaBot a également été utilisé pour diffuser P2PInfect, un ver distinct révélé par des chercheurs de Palo Alto Networks en juillet dernier. Akamai surveille NoaBot depuis les 12 derniers mois à l’aide d’un piège numérique imitant de vrais appareils Linux, afin de suivre les différentes attaques en circulation. À ce jour, les attaques ont été lancées depuis 849 adresses IP distinctes, dont la plupart hébergent probablement un appareil déjà infecté. Le graphique suivant illustre le nombre d’attaques reçues par le piège numérique au cours de l’année écoulée.