Muhstik Malware : le botnet fait bon usage des failles
Table of Contents
Qu’est-ce que le logiciel malveillant Muhstik ?
Le malware Muhstik est un type de logiciel malveillant, principalement reconnu pour sa capacité à cibler les appareils Internet des objets (IoT) et les serveurs Linux. Documenté pour la première fois en 2018, Muhstik est devenu tristement célèbre pour avoir exploité des failles de sécurité pour infiltrer des systèmes. Le malware doit son nom à son habitude de se faire passer pour des processus système légitimes pour éviter d'être détecté. Il a été observé dans diverses campagnes d'attaque, exploitant les failles de sécurité connues des applications Web pour propager et infecter de nouveaux hôtes.
Que fait le logiciel malveillant Muhstik ?
Le malware Muhstik a de multiples facettes dans ses activités malveillantes. Ses principales fonctions incluent l’extraction de crypto-monnaie et le lancement d’attaques par déni de service distribué (DDoS). Une fois infiltré dans un système, Muhstik exploite les crypto-monnaies en détournant la puissance de traitement de l'appareil, ce qui peut ralentir considérablement le système et augmenter la consommation d'électricité. De plus, cela peut inonder les serveurs ciblés de trafic, les submerger et provoquer des interruptions de service. Cette double fonctionnalité fait de Muhstik une menace polyvalente et dangereuse pour les systèmes infectés.
Comment le logiciel malveillant Muhstik se propage
La propagation du malware Muhstik repose en grande partie sur l’exploitation de vulnérabilités de sécurité connues. Un exemple notable est l’exploitation de CVE-2023-33246, une faille critique d’Apache RocketMQ avec un score CVSS de 9,8. Cette vulnérabilité permet à des attaquants distants et non authentifiés d'exécuter du code arbitraire en manipulant le contenu du protocole RocketMQ ou en utilisant la fonction de configuration de mise à jour. Une fois que l'attaquant obtient l'accès initial, il exécute un script shell à partir d'un serveur distant, qui télécharge ensuite le binaire Muhstik (« pty3 »). Le malware assure la persistance en se copiant dans plusieurs répertoires et en modifiant le fichier /etc/inittab pour qu'il redémarre automatiquement au démarrage du système.
Ce que veut le logiciel malveillant Muhstik
L’objectif principal du malware Muhstik est de coopter les appareils infectés dans un botnet. Ce botnet peut ensuite être utilisé à diverses fins néfastes, telles que l’extraction de cryptomonnaies et les attaques DDoS. En réquisitionnant les ressources informatiques de nombreux appareils, Muhstik peut générer des revenus importants grâce au minage de crypto-monnaie. De plus, le botnet peut lancer de puissantes attaques DDoS, qui peuvent perturber les services en ligne, causer des dommages financiers et être utilisées comme moyen d'extorsion.
Qu’attaque le logiciel malveillant Muhstik ?
Muhstik cible une large gamme d'appareils, avec un accent particulier sur les appareils IoT et les serveurs basés sur Linux. Ces cibles sont souvent choisies en raison de leur grande vulnérabilité et de leur utilisation généralisée. Le malware exploite les failles de sécurité des applications et services Web pour obtenir un accès initial. Apache RocketMQ, par exemple, est une cible récente en raison de sa vulnérabilité critique en matière de sécurité. La capacité de Muhstik à collecter des métadonnées système et à se déplacer latéralement via un shell sécurisé (SSH) étend encore sa portée au sein des réseaux infectés.
Mesures de prévention
La prévention des infections par les logiciels malveillants Muhstik nécessite une approche proactive en matière de cybersécurité. Voici quelques mesures clés :
- Mises à jour régulières : assurez-vous que tous les logiciels, en particulier les applications Web et les logiciels serveur comme Apache RocketMQ, sont mis à jour avec les dernières versions. Les correctifs pour les vulnérabilités connues doivent être appliqués rapidement pour empêcher toute exploitation.
- Segmentation du réseau : la segmentation des réseaux peut limiter la propagation des logiciels malveillants au sein d'une organisation. En isolant les systèmes critiques, vous réduisez le risque de mouvement latéral d’acteurs malveillants.
- Authentification forte : mettez en œuvre des mécanismes d'authentification forts, tels que l'authentification multifacteur (MFA), pour protéger l'accès aux systèmes sensibles. Cela réduit le risque d’accès non autorisé via des informations d’identification compromises.
- Surveillance et audit : surveillez régulièrement les systèmes pour détecter toute activité inhabituelle et les journaux d'audit pour détecter tout signe de compromission. Une détection précoce peut aider à atténuer l’impact d’une infection.
- Logiciel de sécurité : utilisez des solutions de sécurité complètes qui incluent la détection de logiciels malveillants, les systèmes de détection d'intrusion (IDS) et les pare-feu. Ces outils peuvent fournir une couche de défense supplémentaire contre les logiciels malveillants comme Muhstik.
- Éducation des utilisateurs : informez les utilisateurs des dangers des logiciels malveillants et de la nécessité d'adhérer aux meilleures pratiques de sécurité. Le phishing et l'ingénierie sociale sont des techniques fréquemment utilisées pour obtenir un accès initial.
En comprenant le malware Muhstik et en mettant en œuvre ces mesures préventives, les organisations peuvent réduire considérablement le risque d'infection et protéger leurs systèmes contre cette menace polyvalente et persistante.
