Découverte de Symbiote, un malware Linux extrêmement dangereux et presque impossible à détecter

Il existe depuis au moins novembre 2021 et semble avoir été développé pour cibler le secteur financier

Le 11 juin 2022 à 06:43, par Sandra Coret

8PARTAGES

Les adeptes des systèmes d'exploitation basés sur Linux invoquent souvent une plus grande sécurité pour justifier leur amour de la distro qu'ils ont choisie.

Si les distros Linux ont un meilleur bilan de sécurité que les systèmes Windows 11 et macOS parce qu'elles sont intrinsèquement plus sûres ou parce qu'elles ne sont tout simplement pas autant ciblées, le débat est ouvert, mais Linux n'en reste pas moins faillible.

Le malware Symbiote, découvert par des chercheurs en sécurité de BlackBerry et d'Intezer Labs, en est la preuve. Symbiote est inquiétant pour un certain nombre de raisons, notamment parce qu'il est décrit comme "presque impossible à détecter". Il s'agit également d'un malware extrêmement dangereux qui "parasite" les systèmes, infectant tous les processus en cours d'exécution et offrant aux acteurs de la menace des fonctionnalités de rootkit, un accès à distance, etc.

Symbiote est appelé ainsi en raison de la nature des attaques, le terme "symbiote" étant un terme biologique désignant un organisme qui vit en symbiose avec un autre organisme, parfois de manière parasitaire. Les chercheurs en sécurité affirment que Symbiote existe depuis au moins novembre 2021 et semble avoir été développé pour cibler le secteur financier.

Dans leur rapport, les chercheurs décrivent le malware comme suit :

"Ce qui différencie Symbiote des autres malwares Linux que nous rencontrons habituellement, c'est qu'il a besoin d'infecter d'autres processus en cours d'exécution pour infliger des dommages aux machines infectées. Au lieu d'être un fichier exécutable autonome qui est exécuté pour infecter une machine, il s'agit d'une bibliothèque d'objets partagés (SO) qui est chargée dans tous les processus en cours d'exécution à l'aide de LD_PRELOAD (T1574.006) et qui infecte la machine de manière parasite. Une fois qu'il a infecté tous les processus en cours d'exécution, il fournit à l'acteur de la menace une fonctionnalité de rootkit, la possibilité de récolter des informations d'identification et une capacité d'accès à distance."

Ils expliquent ensuite pourquoi le symbiote est si difficile à détecter :

Une fois que le logiciel malveillant a infecté une machine, il se cache, ainsi que tout autre logiciel malveillant utilisé par l'acteur de la menace, ce qui rend les infections très difficiles à détecter. Il est possible qu'une analyse médico-légale en direct d'une machine infectée ne révèle rien, car tous les fichiers, processus et artefacts réseau sont cachés par le malware. En plus de la capacité de rootkit, le malware fournit une porte dérobée permettant à l'acteur de la menace de se connecter en tant que n'importe quel utilisateur sur la machine avec un mot de passe codé en dur, et d'exécuter des commandes avec les privilèges les plus élevés.

Étant donné qu'il est extrêmement évasif, une infection par Symbiote est susceptible de " passer sous le radar ". Dans le cadre de nos recherches, nous n'avons pas trouvé suffisamment de preuves pour déterminer si Symbiote est utilisé dans des attaques très ciblées ou de grande envergure.

Un aspect technique intéressant de Symbiote est sa fonctionnalité de crochetage du Berkeley Packet Filter (BPF). Symbiote n'est pas le premier malware Linux à utiliser BPF. Par exemple, une porte dérobée avancée attribuée au groupe Equation a utilisé le BPF pour des communications secrètes. Cependant, Symbiote utilise le BPF pour dissimuler le trafic réseau malveillant sur une machine infectée.

Lorsqu'un administrateur lance un outil de capture de paquets sur la machine infectée, le bytecode BPF est injecté dans le noyau qui définit les paquets à capturer. Dans ce processus, Symbiote ajoute son bytecode en premier afin de pouvoir filtrer le trafic réseau qu'il ne veut pas que le logiciel de capture de paquets voie.

Symbiote est également capable de dissimuler son activité réseau à l'aide de diverses techniques. Cette couverture est parfaite pour permettre au logiciel malveillant de récolter des informations d'identification et de fournir un accès à distance à l'acteur de la menace.