Découvrez Pumakit, un nouveau rookit furtif pour Linux récemment repéré !
Aperçu du rootkit Pumakit : une menace furtive pour les machines Linux
Découverte d’un nouveau rookit pour Linux
Pumakit est le nom d’un nouveau rookit pour Linux qui a été détecté par les chercheurs en sécurité de chez Elastic Security. Il repose sur des techniques de dissimulation pour rester discret sur les machines ciblées.
Les caractéristiques de Pumakit
Un rapport récent d’Elastic Security met en lumière Pumakit, un logiciel repéré via VirusTotal. Il s’agit d’un rookit “LKM” (Loadable Kernel Module) rendant sa détection plus complexe que celle des rookits traditionnels.
Le déploiement du rootkit implique l’utilisation du programme “cron”, exécutant des charges utiles en mémoire et déployant le module LKM “puma.ko” dans le noyau du système.
Les actions de Pumakit sur les machines Linux
Pumakit contient des hooks permettant de cacher des fichiers, des répertoires et le rootkit lui-même, tout en échappant aux tentatives de débogage. Les pirates peuvent ainsi élever leurs privilèges, exécuter des commandes et dissimuler des processus sur la machine infectée.
En collaborant avec Kitsune SO, le rootkit Pumakit intercepte les appels système au niveau de l’utilisateur pour masquer son activité. Il peut également modifier le comportement d’outils courants tels que ls, ps, netstat, top, htop et cat afin de brouiller les pistes.
La détection de la menace
Elastic Security a mis en ligne une règle YARA ainsi que les hash des fichiers malveillants pour faciliter la détection de Pumakit par les administrateurs de systèmes Linux.
Source : www.it-connect.fr
