Malware Linux, CronRAT, se cache dans une tâche cron avec des dates incorrectes
Des chercheurs de la société néerlandaise Sansec a découvert un nouveau malware pour Linux CronRAT. C'est un cheval de Troie d'accès à distance (RAT) qui échappe à la détection en se cachant dans des tâches planifiées pour s'exécuter le jour inexistant du 31 février.
Le malware s'appelle CronRAT et attaque principalement les boutiques en ligne, permettant aux cybercriminels de voler des données de cartes bancaires et de déployer des web skimmers sur des serveurs Linux (C'est, pour effectuer ce qu'on appelle MageCart attaques). Malheureusement, de nombreuses solutions de sécurité ne “voir” CronRAT en raison d'un certain nombre de particularités dans son fonctionnement.
CronRAT abuse du système de planification des tâches de Linux, cron, qui permet aux tâches d'être planifiées pour s'exécuter sur des jours calendaires inexistants tels que le 31 février. Dans ce cas, le système cron accepte de telles dates si elles ont un format valide (même si le jour n'existe pas dans le calendrier), mais une telle tâche planifiée ne sera tout simplement pas terminée.
En profitant de cette fonctionnalité, CronRAT reste pratiquement invisible. Dans leur rapport, Sansec les experts disent que le malware cache un “programme bash complexe” au nom de ces tâches planifiées.
La charge utile réelle est obscurcie avec plusieurs niveaux de compression et Base64. Les chercheurs disent que le code inclut des commandes pour l'autodestruction, modulation du temps, et un protocole personnalisé qui lui permet de communiquer avec un serveur distant.
Le malware est connu pour communiquer avec le C&serveur C (47.115.46.167) à l'aide de “une fonction exotique du noyau Linux qui fournit une communication TCP via un fichier.” en outre, la connexion est établie via TCP sur le port 443 utiliser une fausse bannière pour le service Dropbear SSH, ce qui aide également le cheval de Troie à passer inaperçu.
Comme mentionné ci-dessus, CronRAT a été trouvé dans de nombreux magasins en ligne à travers le monde, où il a été utilisé pour implémenter des scripts de skimmer spéciaux qui volent les données des cartes de paiement. Sansec décrit le malware comme “une menace sérieuse pour les serveurs de commerce électronique basés sur Linux.”
Permettez-moi de vous rappeler que nous avons également parlé d'un autre Malware Linux PoliceSurLac qui est utilisé dans des attaques ciblées.
