Moriya Rootkit s'infiltre dans les systèmes Windows

Une menace récemment découverte travaille régulièrement à l'installation de portes dérobées sur les systèmes Windows, ont récemment rapporté des chercheurs en sécurité. Le rootkit est surnommé Moriya et est exploité par un acteur menaçant persistant d'origine encore inconnue. Les chercheurs pensent que les hackers derrière Moriya appartiennent à une population «de langue chinoise».

Quel que soit le parti derrière Moriya, ils utilisent le malware depuis environ 2018, mais ils ont été si bons que de rester cachés, cela vient d'être découvert. La campagne dans laquelle le malware a été utilisé pour la dernière fois dans des attaques à grande échelle est appelée "Tunnel Snake" par les chercheurs.

Moriya fonctionne principalement en installant des portes dérobées passives sur ses systèmes victimes. Ce sont généralement des serveurs publics. Une fois la porte dérobée installée, les opérateurs de Moriya utilisent leurs serveurs de commande et de contrôle pour faire fonctionner davantage les systèmes et réseaux infectés.

Moriya a été utilisé dans des attaques contre des institutions africaines et asiatiques. Dans certains cas, les chercheurs affirment qu'il n'a pas été utilisé seul, mais qu'il était accompagné d'un kit d'outils malveillants supplémentaires permettant aux attaquants d'accéder à l'ensemble du réseau.

Cette approche est appelée «mouvement latéral» et implique d'avoir de plus en plus accès aux différentes branches d'un réseau, généralement dans une recherche d'exfiltration de données sensibles ou précieuses.

Le rootkit Moriya permet également aux acteurs qui l'exploitent de surveiller à la fois le trafic entrant et sortant sur un système compromis. Lorsque des paquets désignés pour le malware sont découverts dans le flux de données que la machine reçoit, le malware réagit.

Comme expliqué par les chercheurs en sécurité, cela permet un fonctionnement très furtif et permet même aux pirates d'introduire des commandes shell dans le système victime, puis de lire leurs valeurs de sortie.

Moriya a tellement réussi à échapper à la détection pendant longtemps parce que cette inspection de paquets abuse d'un pilote Windows en mode noyau. Cela signifie effectivement que le logiciel malveillant a réussi à contourner les logiciels de sécurité que le système pourrait exécuter.

Bien que toutes les instances où Moriya a été trouvé n'incluent pas l'ensemble d'outils malveillants étendu, Moriya fonctionne également en tandem avec un éventail d'applications malveillantes utilisées par et associées à des groupes de piratage chinois.

La seule bonne nouvelle dans l'histoire est que Moriya a été utilisé dans relativement peu d'attaques jusqu'à présent. Toutes ces attaques semblent également avoir été très étroitement ciblées, sans informations actuelles sur les victimes en dehors de l'Afrique et de l'Asie et sur un total de moins d'une douzaine de victimes dans ces deux territoires.