Les pirates de Kinsing exploitent la faille Looney Tunables pour compromettre des instances Cloud
La faille de sécurité Looney Tunables présente dans une bibliothèque du noyau Linux semble intéresser certains cybercriminels. En effet, des pirates associés au groupe Kinsing ont été repérés en train de tenter d'exploiter cette vulnérabilité pour compromettre des environnements Cloud. Voici ce que l'on sait.
Pour rappel, la vulnérabilité Looney Tunables (référence CVE-2023-4911) a été découverte par les chercheurs en sécurité de chez Qualys et elle se situe dans la bibliothèque C du projet GNU : glibc. Cette bibliothèque est intégrée dans le noyau Linux. Quant à cette vulnérabilité, elle a été introduite dans la bibliothèque glibc en avril 2021 (dans glibc 2.34). En l'exploitant, un attaquant peut élever ses privilèges et devenir root sur la machine.
Dans un rapport partagé par l'entreprise Aqua, nous pouvons lire ce qui suit : "En utilisant une attaque rudimentaire mais typique d'exploitation d'une vulnérabilité dans PHPUnit, une étape de la campagne en cours de Kinsing, nous avons découvert les efforts manuels de l'acteur malveillant pour manipuler la vulnérabilité Looney Tunables (CVE-2023-4911)."
Le groupe Kinsing à l'habitude d'utiliser une faille critique dans PHPUnit (CVE-2017-9841) permettant une exécution de code à distance. Elle leur permet d'avoir un accès initial à la machine cible. Ensuite, leur objectif est d'exploiter la vulnérabilité Looney Tunables pour élever leur privilège.
Dans le cas présent, les attaquants ont effectué des actions manuelles, notamment à l'aide d'un exploit codé en Python. Pas n'importe lequel puisque Kinsing récupère un exploit publié par un utilisateur surnommé @bl4sty. Sur son site, @bl4sty explique qu'il s'agit d'un "exploit d'escalade des privilèges locaux de Linux" ciblant la vulnérabilité Looney Tunables.
Habituellement, le groupe Kinsing cherche plutôt à compromettre des machines pour lancer un mineur de cryptomonnaie. Ici, les motivations sont différentes. En effet, les cybercriminels ont cherché à extraire les informations d'identifiants (credentials) du fournisseur de services Cloud afin d'effectuer d'autres actions par la suite. Dans le cas présenté par Aqua, il s'agissait d'une tentative de compromission à l'encontre d'une instance AWS (Cloud Amazon).
"L'opération Kinsing pourrait se diversifier et s'intensifier dans un avenir proche, posant ainsi une menace accrue pour les environnements cloud-native.", précise le rapport d'Aqua.
