Moriya Rootkit s'infiltre dans les systèmes Windows

Une menace récemment découverte travaille régulièrement à l'installation de portes dérobées sur les systèmes Windows, ont récemment rapporté des chercheurs en sécurité. Le rootkit est surnommé Moriya et est exploité par un acteur menaçant persistant d'origine encore inconnue. Les chercheurs pensent que les hackers derrière Moriya appartiennent à une population «de langue chinoise».

Quel que soit le parti derrière Moriya, ils utilisent le malware depuis environ 2018, mais ils ont été si bons que de rester cachés, cela vient d'être découvert. La campagne dans laquelle le malware a été utilisé pour la dernière fois dans des attaques à grande échelle est appelée "Tunnel Snake" par les chercheurs.

Moriya fonctionne principalement en installant des portes dérobées passives sur ses systèmes victimes. Ce sont généralement des serveurs publics. Une fois la porte dérobée installée, les opérateurs de Moriya utilisent leurs serveurs de commande et de contrôle pour faire fonctionner davantage les systèmes et réseaux infectés.

Moriya a été utilisé dans des attaques contre des institutions africaines et asiatiques. Dans certains cas, les chercheurs affirment qu'il n'a pas été utilisé seul, mais qu'il était accompagné d'un kit d'outils malveillants supplémentaires permettant aux attaquants d'accéder à l'ensemble du réseau.

Cette approche est appelée «mouvement latéral» et implique d'avoir de plus en plus accès aux différentes branches d'un réseau, généralement dans une recherche d'exfiltration de données sensibles ou précieuses.

Le rootkit Moriya permet également aux acteurs qui l'exploitent de surveiller à la fois le trafic entrant et sortant sur un système compromis. Lorsque des paquets désignés pour le malware sont découverts dans le flux de données que la machine reçoit, le malware réagit.

Comme expliqué par les chercheurs en sécurité, cela permet un fonctionnement très furtif et permet même aux pirates d'introduire des commandes shell dans le système victime, puis de lire leurs valeurs de sortie.

Moriya a tellement réussi à échapper à la détection pendant longtemps parce que cette inspection de paquets abuse d'un pilote Windows en mode noyau. Cela signifie effectivement que le logiciel malveillant a réussi à contourner les logiciels de sécurité que le système pourrait exécuter.

Bien que toutes les instances où Moriya a été trouvé n'incluent pas l'ensemble d'outils malveillants étendu, Moriya fonctionne également en tandem avec un éventail d'applications malveillantes utilisées par et associées à des groupes de piratage chinois.

La seule bonne nouvelle dans l'histoire est que Moriya a été utilisé dans relativement peu d'attaques jusqu'à présent. Toutes ces attaques semblent également avoir été très étroitement ciblées, sans informations actuelles sur les victimes en dehors de l'Afrique et de l'Asie et sur un total de moins d'une douzaine de victimes dans ces deux territoires.

May 7, 2021
Chargement...

Cyclonis Backup Details & Terms

Le plan Free Basic Cyclonis Backup vous offre 2 Go d'espace de stockage dans le cloud avec toutes les fonctionnalités! Pas de carte de crédit nécessaire. Besoin de plus d'espace de stockage? Achetez un plan Cyclonis Backup plus important dès aujourd'hui! Pour en savoir plus sur nos politiques et nos tarifs, consultez les conditions d'utilisation, la politique de confidentialité, les conditions de remise et la page d'achat. Si vous souhaitez désinstaller l'application, veuillez consulter la page Instructions de désinstallation.

Cyclonis Password Manager Details & Terms

Essai GRATUIT: Offre unique de 30 jours ! Aucune carte de crédit requise pour l'essai gratuit. Fonctionnalité complète pendant toute la durée de l'essai gratuit. (La fonctionnalité complète après l'essai gratuit nécessite l'achat d'un abonnement.) Pour en savoir plus sur nos politiques et nos tarifs, consultez le CLUF, la politique de confidentialité, les conditions de remise et la page d'achat. Si vous souhaitez désinstaller l'application, veuillez consulter la page Instructions de désinstallation.