FontOnLake : un nouveau malware persistant qui cible Linux
Un nouveau malware s'attaque aux systèmes Linux et il s'avère qu'il infecte les machines en étant dissimulés au sein de binaires légitimes. Une fois en place, il déploie une porte dérobée sur la machine et agit comme un rootkit afin d'être persistant.
Comme dans le cas d'ESPecter, ce sont les chercheurs en sécurité de chez ESET qui ont découvert ce nouveau malware baptisé FontOnLake. Celui-ci est également sophistiqué et il se cache au sein d'utilitaires très connus dont les noms peuvent surprendre : cat, kill, sftp ainsi que sshd.
Alors, rassurez-vous : ce n'est pas parce que vous allez installer le paquet sshd, que vous allez récupérer un paquet altéré, on pourrait même dire un paquet trojanisé, qui contient la menace FontOnLake. D'ailleurs, les chercheurs en sécurité de chez ESET ne savent pas comment les victimes se sont fait piéger afin de télécharger des versions malveillantes de ces utilitaires.
Lorsque FontOnLake est intégré à un paquet d'installation, l'opération serait effectuée dans le code source afin d'intégrer le malware au moment de la compilation, d'après ESET. Une fois le système infecté, d'autres composants sont déployés sur la machine, comme une porte dérobée écrite en C++. Ensuite, une communication constante est établie entre la machine infectée et le serveur C2 de l'attaquant, car il y a même un système de heartbeat. Quand il est actif, le malware collecte des informations afin de les envoyer au serveur C2 : l'historique des commandes bash, ainsi que les identifiants SSH.
Les chercheurs de chez ESET ont décortiqué le malware FontOnLake et il s'avère qu'il s'appuie sur un projet open source de rootkit, vieux de 8 ans et nommé "Suterusu". Au niveau des machines Linux ciblées par ce rootkit, ESET a trouvé deux versions de noyaux Linux différents : 2.6.32-696.el6.x86_64 et 3.10.0-229.el7.X86_64. Par ailleurs, deux noms de distributions ressortent : Debian et CentOS.
La menace FontOnLake n'est pas nouvelle puisque d'après ESET, les premiers échantillons de ce malware ont été chargés sur le site VirusTotal en mai 2020. D'ailleurs, ESET ne serait pas la première entreprise à mettre la main sur ce malware : il a déjà fait l'objet d'une détection chez Avast (ainsi que Tencent et Lacework Labs) au mois d'août et l'éditeur l'avait nommé HCRootkit. Disons qu'il y a de fortes chances que ce soit le même malware car il fonctionnait de la même façon, il utilisait le rootkit Suterusu également, ainsi qu'une porte dérobée développée en C++.
