Des chercheurs en sécurité de Kaspersky Lab ont découvert un nouveau Rootkit ciblant les plateformes Linux : “de Kaspersky Lab”.
Le 13 novembre dernier, un propriétaire de site Web agacé par le comportement d’un programme poste sur le mailing-list Full Disclosure celui-ci afin d’obtenir des clarifications sur son rôle.
Les experts en sécurité de Kaspersky et CrowdStrike ont confirmé par la suite qu’il s’agissait d’un Rootkit conçu pour attaquer les systèmes d’exploitation Linux 64 bits, plus précisément la dernière version du kernel utilisée dans Debian Squeeze.
D’un code relativement simple et encore en phase d’expérimentation, le Rootkit selon Kaspersky utilise cependant des mécanismes assez complexes pour dissimuler son activité.
Le programme malveillant baptisé « Rootkit.Linux.Snakso» par les chercheurs de Kaspersky Lab, s’installe au sein des fonctions importantes du noyau Linux en essayant de dissimuler ses fils. Sa fonction principale serait d’infecter les sites Web hébergés sur un serveur Web affecté.
Concrètement, il effectue des attaques par injection d’iFrame en modifiant la fonction système tcp_sendmsg pour injecter du code malveillant dans le trafic HTTP, afin de rediriger les internautes vers des sites Internet suspects.
Selon les experts en sécurité, ce programme malveillant utilise une nouvelle approche du « drive-by-download » qui se différencie des mécanismes habituels basés sur de simples scripts. Les chercheurs notent également que ce malware ne serait pas utilisé pour une campagne d’attaques ciblées, mais plutôt pour une opération visant à tromper un nombre important d’internautes.
Source : Developpez.com
Les commentaires sont fermés.