Un acteur chinois de la menace utilise le logiciel malveillant Melofee pour espionner les systèmes Linux
ExaTrack, une société de cybersécurité basée en France, a émis un avertissement concernant un implant Linux nouvellement identifié, nommé "Melofee", qui a été utilisé par le groupe de cyberespionnage chinois Winnti pour mener des attaques ciblées.
Melofee est conçu pour cibler les serveurs Linux et est installé via des commandes shell, similaires aux autres rootkits Linux utilisés par Winnti. Le logiciel malveillant comprend un rootkit en mode noyau qui est une version modifiée du projet open source Reptile. Des échantillons de Melofee ont été identifiés et partagent une base de code commune mais présentent de petits changements dans le cryptage, le protocole de communication et les fonctionnalités. La dernière version du logiciel malveillant comprend l'inclusion d'un rootkit en mode noyau. La chaîne d'infection de Melofee implique l'utilisation de commandes shell pour télécharger un programme d'installation et un binaire personnalisé à partir d'un serveur contrôlé par l'attaquant. Le programme d'installation, écrit en C++, installe à la fois le rootkit et l'implant du serveur et s'assure que les deux sont exécutés au démarrage.
L'implant peut effectuer plusieurs actions, notamment tuer son processus et supprimer la persistance, se mettre à jour, exfiltrer les informations système, lancer un shell et créer/supprimer des répertoires. Melofee peut communiquer via TCP, utiliser un format de paquet personnalisé et envoyer des données via le protocole KCP. L'analyse par ExaTrack de l'infrastructure de Melofee a révélé des connexions avec les serveurs C&C utilisés par d'autres familles de logiciels malveillants tels que ShadowPad, Winnti et HelloBot. ExaTrack a également découvert un implant Linux appelé « AlienReverse », qui présente des similitudes avec le code de Melofee, mais est considéré comme une famille de logiciels malveillants distincte.
Qu'est-ce que l'APT chinois Winnti ?
Le groupe Winnti est une menace persistante avancée (APT) chinoise qui est active depuis au moins 2010. Le groupe est connu pour ses campagnes sophistiquées de cyberespionnage et a été lié à de nombreuses attaques très médiatisées contre des cibles dans diverses industries, y compris les jeux. , la santé, la technologie et les télécommunications. Le groupe Winnti a été associé au vol de propriété intellectuelle, de code source et d'autres informations sensibles, qui sont ensuite probablement utilisées à des fins commerciales ou pour soutenir les intérêts du gouvernement chinois.
Le groupe a également été lié à l'utilisation d'attaques de la chaîne d'approvisionnement, où ils ciblent les éditeurs de logiciels et d'autres fournisseurs tiers pour accéder aux réseaux de leurs clients. Dans l'ensemble, le groupe Winnti est considéré comme l'un des groupes APT les plus avancés et les plus prolifiques opérant hors de Chine.
