DripDropper, le malware Linux qui fait le ménage, voilà comment ça marche - ZDNET

Guillaume Serries - ZDNet - 20/08
Ce malware va vous faire mal, mais il ne veut pas que quelqu'un d'autre s'attaque à vos serveurs pendant qu'il vous exploite.

A retenir sur DripDropper

  • DripDropper exploite une ancienne faille de sécurité serveur.
  • Après l'infection, DripDropper corrige lui-même la faille.
  • Une simple application de correctifs aurait pu stopper l'exploit.

L'entreprise de sécurité Red Canary a détecté un attaquant exploitant la faille de sécurité CVE-2023-46604 d'Apache ActiveMQ, un serveur de messages open source très populaire, pour obtenir un accès permanent aux systèmes Linux.

Là où DripDropper change la donne, c'est qu'une fois installé, il... corrige la faille de sécurité qui se cache derrière.

Cette tactique inhabituelle, mais pas inédite, a deux objectifs.

  • Le premier est de bloquer les autres programmes malveillants.
  • L'autre consiste à masquer sa présence afin de ne pas détecter ses méfaits.

« Cette stratégie garantit l'exclusivité »

« Il est rare de voir des hackers “réparer” les systèmes qu'ils ont compromis. Mais cette stratégie garantit l'exclusivité de leur accès et rend l'exploitation initiale plus difficile à retracer », explique l'équipe de Red Canary.

Selon Red Canary, DripDropper fonctionne depuis un certain temps. Le plus gênant dans cette situation est que la faille de sécurité du protocole Java OpenWire est corrigée... depuis près de deux ans. Je ne comprends pas pourquoi quelqu'un exécuterait une instance ActiveMQ présentant un bug aus...
[Courte citation de 8% de l'article original]