{"id":115822,"date":"2024-05-16T08:59:20","date_gmt":"2024-05-16T06:59:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym"},"modified":"2024-05-16T08:59:20","modified_gmt":"2024-05-16T06:59:20","slug":"ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","title":{"rendered":"Une porte d\u00e9rob\u00e9e SSH, mise en place lors du piratage de kernel.org, est rest\u00e9e inaper\u00e7ue pendant deux ans.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les chercheurs de la soci\u00e9t\u00e9 ESET ont publi\u00e9 un rapport de 43 pages analysant le rootkit Ebury et l'activit\u00e9 qui y est li\u00e9e. Il est d\u00e9clar\u00e9 qu'Ebury est utilis\u00e9 depuis 2009 et qu'il a depuis \u00e9t\u00e9 install\u00e9 sur plus de 400 000 serveurs sous Linux et plusieurs centaines de syst\u00e8mes sous FreeBSD, OpenBSD et Solaris. Environ 110 000 serveurs \u00e9taient encore touch\u00e9s par Ebury \u00e0 la fin de 2023. L'\u00e9tude pr\u00e9sente un int\u00e9r\u00eat particulier \u00e9tant donn\u00e9 qu'Ebury a \u00e9t\u00e9 impliqu\u00e9 dans l'attaque de kernel.org, ce qui r\u00e9v\u00e8le de nouveaux d\u00e9tails sur la compromission de l'infrastructure de d\u00e9veloppement du noyau Linux, d\u00e9couverte en 2011. Ebury a \u00e9galement \u00e9t\u00e9 d\u00e9tect\u00e9 sur des serveurs d'enregistreurs de domaine, des march\u00e9s de cryptomonnaies, des n\u0153uds de sortie Tor et chez plusieurs fournisseurs d'h\u00e9bergement<\/a>, dont les noms ne sont pas divulgu\u00e9s. <\/p>\n

Au d\u00e9part, il \u00e9tait suppos\u00e9 que les attaquants de serveurs<\/a> Des pirates ont r\u00e9ussi \u00e0 rester invisibles sur kernel.org pendant 17 jours, mais selon ESET, cette p\u00e9riode est compt\u00e9e depuis l'installation du rootkit Phalanx. En effet, le logiciel malveillant Ebury \u00e9tait pr\u00e9sent sur les serveurs depuis 2009 et a pu \u00eatre utilis\u00e9 pendant environ deux ans pour obtenir un acc\u00e8s root. Les malwares Ebury et Phalanx ont \u00e9t\u00e9 d\u00e9ploy\u00e9s dans le cadre d'attaques distinctes, men\u00e9es par diff\u00e9rents groupes de cybercriminels. L'insertion du backdoor Ebury a touch\u00e9 au moins 4 serveurs dans l'infrastructure de kernel.org, deux d'entre eux ayant \u00e9t\u00e9 compromis pendant environ deux ans et les deux autres durant 6 mois. <\/p>\n

Les attaquants ont eu acc\u00e8s aux hachages de mots de passe de 551 utilisateurs stock\u00e9s dans \/etc\/shadow, parmi lesquels se trouvaient tous les mainteneurs du noyau (les comptes \u00e9taient utilis\u00e9s pour acc\u00e9der \u00e0 Git ; apr\u00e8s l'incident, les mots de passe ont \u00e9t\u00e9 chang\u00e9s et le mod\u00e8le d'acc\u00e8s a \u00e9t\u00e9 r\u00e9vis\u00e9 pour passer \u00e0 l'utilisation de signatures num\u00e9riques). Pour 257 utilisateurs, les attaquants ont pu d\u00e9terminer les mots de passe en clair, probablement par une attaque par force brute sur les hachages et via l'interception par un composant malveillant d'Ebury des mots de passe utilis\u00e9s dans SSH. <\/p>\n

Le composant malveillant Ebury a \u00e9t\u00e9 diffus\u00e9 sous la forme d'une biblioth\u00e8que partag\u00e9e, qui apr\u00e8s installation, interceptait les fonctions utilis\u00e9es dans OpenSSH pour \u00e9tablir une connexion \u00e0 distance au syst\u00e8me avec des droits root. L'attaque n'\u00e9tait pas cibl\u00e9e et, comme d'autres milliers d'h\u00f4tes affect\u00e9s, les serveurs de kernel.org \u00e9taient utilis\u00e9s comme partie d'un botnet pour l'envoi de spam, le vol d'identifiants pour la propagation vers d'autres syst\u00e8mes, la redirection de trafic web et d'autres activit\u00e9s malveillantes. <\/p>\n

Pour p\u00e9n\u00e9trer dans les serveurs, des vuln\u00e9rabilit\u00e9s non corrig\u00e9es dans les logiciels serveurs ont \u00e9t\u00e9 exploit\u00e9es, telles que des failles dans les panneaux d'h\u00e9bergement, ou des mots de passe intercept\u00e9s (il est suppos\u00e9 que les serveurs de kernel.org ont \u00e9t\u00e9 compromis \u00e0 la suite du piratage du mot de passe d'un utilisateur ayant un acc\u00e8s shell). Pour \u00e9lever les privil\u00e8ges, des vuln\u00e9rabilit\u00e9s telles que Dirty COW ont \u00e9t\u00e9 utilis\u00e9es. <\/p>\n

Les nouvelles versions d'Ebury appliqu\u00e9es ces derni\u00e8res ann\u00e9es incluent, en plus du backdoor, des fonctionnalit\u00e9s telles que des modules pour Apache httpd pour le proxy de trafic, la redirection des utilisateurs et l'interception d'informations confidentielles, un module noyau pour modifier le trafic HTTP en transit, des outils pour dissimuler leur propre trafic des pare-feu, et des scripts pour mener des attaques AitM (Adversary-in-the-Middle, MiTM bidirectionnel) pour intercepter des identifiants SSH dans les r\u00e9seaux de fournisseurs d'h\u00e9bergement.

\"Une<\/center>
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e Ebury \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0441 2009 \u0433\u043e\u0434\u0430 \u0438 \u0441 \u0442\u0435\u0445 \u043f\u043e\u0440 \u0431\u044b\u043b \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c 400 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux \u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0442\u0435\u043d \u0441\u0438\u0441\u0442\u0435\u043c \u043d\u0430 \u0431\u0430\u0437\u0435 FreeBSD, OpenBSD \u0438 Solaris. \u041e\u043a\u043e\u043b\u043e 110 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u044b Ebury […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":115823,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-115822","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Le backdoor SSH, install\u00e9 lors du piratage de kernel.org, est rest\u00e9 inaper\u00e7u pendant deux ans | ProHoster","description":"Des chercheurs de l'entreprise ESET ont publi\u00e9 un rapport de 43 pages analysant le rootkit Ebury et l'activit\u00e9 qui lui est associ\u00e9e.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47SSH-\u0431\u044d\u043a\u0434\u043e\u0440, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u0438 \u0432\u0437\u043b\u043e\u043c\u0435 kernel.org, \u0434\u0432\u0430 \u0433\u043e\u0434\u0430 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u043d\u0435\u0437\u0430\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u043c | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-05-16T06:59:20+00:00","article:modified_time":"2024-05-16T06:59:20+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"115822","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 17:22:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 00:28:19","updated":"2026-02-09 17:22:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/115822","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=115822"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/115822\/revisions"}],"predecessor-version":[{"id":159151,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/115822\/revisions\/159151"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/115823"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=115822"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=115822"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=115822"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}