Les appareils Linux sont attaqués par un ver jamais vu auparavant.

Pendant l’année écoulée, un logiciel malveillant inconnu et auto-réplicatif compromet des appareils Linux dans le monde entier et installe un logiciel malveillant de minage de crypto-monnaie qui prend des mesures inhabituelles pour dissimuler son fonctionnement interne, ont indiqué des chercheurs. Traditionnellement, Mirai et ses nombreuses variantes se propagent lorsqu’un appareil infecté scanne Internet à la recherche d’autres appareils acceptant des connexions Telnet. Les appareils infectés tentent ensuite de craquer le mot de passe Telnet en devinant des paires d’identifiants par défaut et couramment utilisées. Une fois réussi, les nouveaux appareils infectés ciblent d’autres appareils en utilisant la même technique. Mirai a principalement été utilisé pour lancer des attaques par Déni de Service Distribué (DDoS). Compte tenu des grandes quantités de bande passante disponibles pour de nombreux appareils de ce type, les flux de trafic indésirable sont souvent énormes, ce qui confère au botnet une puissance considérable. Mercredi, des chercheurs de la société de sécurité et de fiabilité des réseaux Akamai ont révélé qu’un réseau basé sur Mirai, jusqu’alors inconnu, qu’ils ont nommé NoaBot, ciblait des appareils Linux depuis au moins janvier dernier. Au lieu de cibler les mots de passe Telnet faibles, NoaBot cible les mots de passe faibles des connexions SSH. Autre particularité : au lieu de réaliser des DDoS, le nouveau botnet installe un logiciel de minage de crypto-monnaie, qui permet aux attaquants de générer des pièces numériques en utilisant les ressources de calcul, l’électricité et la bande passante des victimes. Le logiciel de minage est une version modifiée de XMRig, un autre logiciel malveillant open source. Plus récemment, NoaBot a également été utilisé pour propager P2PInfect, un ver séparé révélé par des chercheurs de Palo Alto Networks en juillet dernier. Akamai surveille NoaBot depuis les 12 derniers mois dans un piège à attaques qui imite de vrais appareils Linux afin de suivre diverses attaques circulant dans la nature. À ce jour, les attaques ont été lancées depuis 849 adresses IP distinctes, dont la plupart hébergent probablement un appareil déjà infecté. Le graphique suivant trace le nombre d’attaques subies par le piège à attaques au cours de l’année écoulée.