Ubuntu-fr

nam1962

Malwares sur serveurs Linux

Article intéressant de Malekal là : http://forum.malekal.com/ebury-cdorked-t47116.html

---

[ Modéré ]

tiramiseb

Re : Malwares sur serveurs Linux

Salut,

Ce qu'il est intéressant de noter, c'est que ce sont deux backdoors vachement bien ficelées, par contre le vecteur de propagation n'est pas inclus dans le malware ; dans le cas de Linux/Ebury ça semble être par le biais de mots de passe qui ont été volés par ailleurs et dans le cas de Linux/Cdorked on ne sait pas trop, c'est peut-être quelque chose de similaire.

Cela renforce l'argumentaire que je donne habituellement : quand on se fait "bien" pirater, on ne peut pas le voir sans être très attentif, car le pirate n'a pas pour objectif d'« embêter » l'utilisateur mais plutôt d'exploiter discrètement ses ressources.

Et à notre niveau, la seule façon de lutter contre ça reste d'utiliser une authentification forte (longs mot de passe, clés SSH, etc), de faire les mises à jour dès qu'elles sont disponibles et de n'installer que des logiciels provenant des dépôts officiels.

---

Sébastien Maccagnoni - https://www.maccagnoni.eu - https://www.domotego.com

nam1962

Re : Malwares sur serveurs Linux

Oui !
Le post de Malekal concerne les serveurs, cela dit

Il faut déjà un certain effort pour les malwariser (mais la proie "vaut le coup" pour le hacker et les "sources d'info" souvent plus nombreuses (ports ouverts, collaborateurs sur la maintenance, etc)

En général l'ordi d'un particulier ou d'une TPE est déjà moins intéressant et bien plus fatiguant à attaquer (moins de sources d'info)
Si en plus on fait un minimum attention on doit continuer à avoir une certaine tranquillité.

C'est un peu comme les vols de 2 roues : se fait voler celui qui prend le moins de temps à l'être et est le plus visible.

Dernière modification par nam1962 (Le 19/03/2014, à 12:00)

---

[ Modéré ]

bruno

Re : Malwares sur serveurs Linux

par contre le vecteur de propagation n'est pas inclus dans le malware ; dans le cas de Linux/Ebury ça semble être par le biais de mots de passe qui ont été volés par ailleurs

D'après ce que j'ai compris, lorsque une machine est compromise avec un accès root, tous les login/mot de passe, phrase de passe ou clefs SSH utilisés sur cette machine sont susceptibles d'être volés. Une fois ces identifiants récupérés les machines correspondantes pourront à leur tour être infectés.

Il y a une analyse très complète ici http://www.welivesecurity.com/wp-conten … indigo.pdf

Pour ceux qui administrent des serveurs, il est utile de regarder les annexes à partir de la page 58 qui donnent quelques tests rapides à effectuer pour voir si la machine est compromise.