L’équipe de recherche de Flare, leader du Threat Exposure Management, a annoncé la découverte d’une opération de botnet Linux jusqu’ici non documentée, baptisée « SSHStalker ». Ce réseau malveillant se distingue par un mélange surprenant de méthodes de commande et de contrôle (C2) héritées de 2009 et d’une automatisation de compromission de masse à la pointe de la technologie. Tribune.
Une infrastructure hybride : entre « old school » et modernité
Contrairement aux menaces contemporaines qui misent sur la sophistication furtive, SSHStalker repose sur l’architecture robuste et peu coûteuse de l’Internet Relay Chat (IRC) pour piloter ses bots. L’analyse de Flare révèle que ce botnet utilise des variantes classiques de malware (en C, Perl, Tsunami, Keiten) pour assurer la redondance de ses canaux de communication.
Malgré ces méthodes en apparence rétro, son exécution est redoutable. Le botnet utilise un pipeline automatisé qui enchaîne un scanner SSH (développé en Golang) avec une installation rapide d’outils de compilation (GCC) pour générer et exécuter des binaires directement sur les hôtes infectés.
Une résilience exceptionnelle et une persistance implacable
L’une des caractéristiques les plus marquantes de SSHStalker est sa capacité de récupération. Le kit déploie un système de surveillance (watchdog) via des tâches cron exécutées chaque minute. Si un processus malveillant est interrompu par un défenseur, le bot se relance automatiquement en moins de 60 secondes. Pour masquer son activité sur les canaux IRC, le botnet utilise le framework EnergyMech pour générer du camouflage comportemental : un « bruit » de fond constitué de phrases aléatoires simulant une activité humaine.
7 000 cibles identifiées et une menace sur l’infrastructure « oubliée »
Les recherches de Flare ont permis d’identifier près de 7 000 résultats issus d’un scanner SSH en janvier 2026, principalement associés à des fournisseurs de cloud comme Oracle Cloud Infrastructure. SSHStalker dispose d’un arsenal impressionnant de 81 artefacts d’exploitation couvrant 16 CVE distinctes ciblant principalement les noyaux Linux 2.6.x (datant de 2009-2010). Si ces vulnérabilités sont obsolètes pour les systèmes modernes, Flare estime qu’elles menacent encore 1 % à 3 % des serveurs Linux exposés sur Internet, une proportion qui monte à 5 % à 10 % dans les environnements hérités (legacy), les appareils industriels et les serveurs VPS abandonnés.
Capacités offensives et origine probable
SSHStalker a été observé dans une phase de « persistance dormante » sans impact immédiat, mais son arsenal est complet :
- Minage de cryptomonnaies (vraisemblablement Ethereum Classic) vers des portefeuilles spécifiques
- Collecte d’identifiants AWS via un scanner HTTP/HTTPS ciblant plus de 33 000 chemins de fichiers
- Attaques DDoS et capacités de ver informatique pour une propagation autonome
SSHStalker présente des similitudes structurelles avec les botnets historiques Outlaw ou Maxlas; toutefois, Flare n’a trouvé aucun indicateur technique direct (hashs ou noms de fichiers identiques) permettant une attribution formelle. La présence massive d’argot, de pseudonymes et de commentaires roumains dans le code suggère néanmoins fortement un opérateur dérivé ou un « copycat » issu de cet écosystème.
Flare recommande aux administrateurs système de surveiller tout usage inhabituel de compilateurs (GCC, make) sur les serveurs de production, de bloquer les connexions IRC sortantes non justifiées et de désactiver l’authentification par mot de passe SSH au profit d’une authentification par clé.
