Ces rootkits Linux sont utilisés par les pirates pour contrôler les VMs sur VMware ESXi
Reptile et Medusa, c'est le nom de deux rootkits Linux utilisés par des cybercriminels pour infecter les machines virtuelles VMware ESXi ! Grâce à ces logiciels malveillants, ils peuvent mener différentes actions sur l'infrastructure compromise. Faisons le point.
Le groupe de cybercriminels traqué sous le nom "UNC3886" est suivi depuis plusieurs années par les chercheurs de Mandiant. Un nouveau rapport publié cette semaine met en lumière l'utilisation de rootkits open source pour avoir un accès à la fois persistant et discret sur les machines virtuelles VMware ESXi.
Depuis mars 2023, les cybercriminels d'UNC3886 exploitent des failles de sécurité zero-day dans les produits Fortinet et VMware pour cibler des organisations situées aux quatre coins du monde. "La majorité des organisations auxquelles Mandiant a répondu ou qu'il a identifiées comme cibles dans le cadre de ses propres analyses sont situées en Amérique du Nord, en Asie du Sud-Est ou en Océanie. Cependant, nous avons également identifié des victimes supplémentaires en Europe, en Afrique et dans d'autres parties de l'Asie.", précise le rapport. Divers secteurs d'activités sont ciblés (aérospatiale, télécommunications, technologie, défense, énergie) ainsi que des entités gouvernementales.
Sur les infrastructures VMware, le serveur vCenter semble être la cible privilégiée. C'est compréhensible, car c'est la clé pour ensuite avoir la maitrise de l'ensemble de l'infrastructure virtuelle. À ce sujet, Mandiant précise : "Après avoir exploité des vulnérabilités de type "zero-day" pour accéder aux serveurs vCenter et aux serveurs ESXi gérés par la suite, l'attaquant a obtenu le contrôle total des machines virtuelles invitées qui partageaient le même serveur ESXi et le serveur vCenter."
L'entrée en jeu des rootkits REPTILE et MEDUSA
Par la suite, ce sont les rootkits REPTILE et MEDUSA qui sont déployés par les cybercriminels. Le rootkit REPTILE se présente sous la forme d'un module chargé par le noyau de la machine ("Loadable Kernel Module" - LKM) et il a deux composants principaux nommés "REPTILE.CMD" et "REPTILE.SHELL".
Le rootkit REPTILE joue le rôle de porte dérobée pour les attaquants, ce qui leur permet d'avoir un accès au système infecté. Ainsi, ils peuvent s'appuyer sur ce rootkit pour exécuter du code et transférer des fichiers de façon discrète. La technique du port knocking est notamment utilisée pour accéder aux machines infectées.
Quant au rootkit MEDUSA, il est utilisé par les cybercriminels pour exécuter des commandes, mais aussi pour collecter les identifiants et les mots de passe, à chaque fois qu'une authentification locale ou distante est réussie. "L'utilisation de REPTILE a généralement été observée après que l'attaquant soit parvenu à accéder à des endpoints compromis où il a été utilisé pour déployer d'autres logiciels malveillants, des keyloggers et des utilitaires.", précise Mandiant.
En complément, UNC3886 a été observé en train d'utiliser de nombreux outils malveillants sur les systèmes compromis : Mopsled, Riflespine, Lookover, etc. Le rapport de Mandiant explique précisément l'intérêt et le fonctionnement de chacun de ces outils. Par exemple, voici l'objectif de Riflespine : "RIFLESPINE est une porte dérobée multiplateforme qui exploite Google Drive pour transférer des fichiers et exécuter des commandes."
Enfin, la liste complète des indicateurs de compromission et des règles YARA associés à l'activité d'UNC3886 est disponible à la toute fin du rapport de Mandiant.
