Chaos réinventent dans le nuage et transforment vos systèmes en proxies d'attaque

Les boutons ne disparaissent pas, ils réinventent. Ces dernières semaines, les équipes de réponse et de détection se sont recentrées sur un logiciel malveillant connu sous le nom de Chaos, mais pas parce que c'est quelque chose de complètement nouveau : la chose remarquable est qu'il a changé la scène. Ce malware, qui avait déjà été détecté il y a un certain temps affectant les routeurs et les périphériques de bord, a commencé à profiter des environnements nuageux qui sont mal configurés - un saut qui augmente sa portée et son potentiel de dommages.

Pour comprendre pourquoi il est nécessaire de revoir ce qu'est le chaos et comment il a évolué. Lorsqu'il est apparu dans les rapports de certaines sociétés de cybersécurité, il a été décrit comme un malware multiplateforme capable de lancer des commandes à distance, téléchargement de modules supplémentaires, reproduction par la force brute contre les clés SSH, l'exploitation de cryptomonedas et le lancement d'attaques de déni de service (DDoS) par plusieurs protocoles. Cette combinaison le rend particulièrement polyvalent : elle peut vivre à la fois dans les systèmes Windows et Linux et utiliser différentes techniques pour profiter des ressources engagées.

La nouveauté maintenant est que les attaquants dirigent cette flexibilité vers les services cloud qui présentent des erreurs de configuration. Des enquêtes récentes indiquent des intrusions dans des cas délibérément vulnérables - comme un Hadoop exposé qui a permis l'exécution à distance - où les attaquants fabriquent une "application" qui exécute en fait une séquence de commandes pour télécharger un binaire malveillant, lui donnent des permissions étendues (par exemple un chmod 777) classique, l'exécuter et ensuite supprimer le fichier pour rendre difficile l'analyse médico-légale.

Ce type de manœuvre n'est pas nouveau en soi, mais c'est l'objectif : le passage des périphériques et conteneurs mal configurés aux déploiements en nuage expose les organisations qui comptent sur des plates-formes gérées mais qui n'ont pas correctement durci les permis, les contrôles d'accès et la supervision. Des signatures comme Trace noire ont documenté des détections dans leurs réseaux d'attraction, et des groupes de renseignement comme Lumen Black Lotus Labs Ils ont été parmi les premiers à décrire les capacités originales du Chaos.

Un détail technique intéressant du nouveau binaire est que, bien qu'il conserve de nombreuses fonctionnalités que les chercheurs connaissaient déjà, il élimine certaines anciennes routines destinées à se propager par SSH ou à exploiter des vulnérabilités dans les routeurs. Il intègre plutôt une capacité de proxy SOCKS qui transforme l'équipe engagée en relais pour le trafic malveillant. Cela change les règles du jeu: le système infecté cesse d'être juste une machine minière ou de participer à DDoS et devient une infrastructure d'anonimisation pour le reste de l'activité criminelle, ce qui complique l'attribution et le confinement des opérations provenant du botnet.

Le mouvement d'offre de services proxy s'inscrit dans une tendance plus large sur le marché de la cybercriminalité : la monétisation des robots ne se limite plus à l'extraction de cryptomonéda ou à la location pour les attaques DDoS, mais inclut la vente de services d'accès, de tunnels et d'anonymat dont d'autres menaces peuvent tirer parti. Ce type de développement a également été observé dans d'autres familles de botnets, qui ont ajouté des modules pour diversifier leurs revenus et leur utilité pour des tiers.

Sur l'attribution, comme toujours, les certitudes sont rares. Certaines constatations indirectes - comme la présence de caractères chinois dans le code ou l'utilisation d'infrastructures situées en Chine - suggèrent que les auteurs pourraient opérer à partir de cette région, mais ce n'est qu'un indice. L'infrastructure réutilisée par les acteurs malveillants peut être mélangée avec des campagnes d'hameçonnage ou d'autres opérations : dans l'un des incidents signalés, le domaine à partir duquel l'agent Chaos a été téléchargé avait déjà été lié à une campagne de courrier qui a livré des programmes d'espionnage et des documents de leurre, un travail que les chercheurs commerciaux ont ensuite qualifié d'opération Lure de soie.

Que peut faire une équipe de sécurité contre ce genre de menace ? La première chose est d'accepter que les nuages mal configurés sont une cible attrayante et que la surveillance doit être adaptée à ce risque. Il est essentiel de réduire la surface exposée : restreindre les interfaces de gestion, revoir les politiques de permis, utiliser une authentification forte dans les accès SSH et API, et contrôler la création d'applications ou de travaux qui permettent l'exécution de commandes arbitraires. Dans le même temps, la détection devrait inclure des signaux moins évidents, tels que des schémas inhabituels de décharge binaire, des commandes de changement de cascade ou des connexions sortantes qui établissent des tunnels mandataires. Les outils d'analyse du trafic, les pare-feu d'applications web et les solutions de détection du nuage aident à déclencher des alertes précoces.

La communauté de la sécurité publie régulièrement des guides et des avis sur la façon d'atténuer les botnets et les risques associés au nuage; CISA et les projets de recherche offrent des ressources à suivre, et les sociétés de renseignement sur les menaces mettent souvent à jour les indicateurs d'engagement et les recommandations pratiques. Consultez ces rapports et appliquez dès que possible des correctifs, des règles et des politiques d'accès, ce qui réduit considérablement la probabilité qu'un déploiement légitime fasse partie d'un botnet.

Bref, le cas du Chaos rappelle que les outils criminels évoluent et explorent de nouvelles surfaces d'attaque. Une architecture cloud incontrôlée est un vecteur d'entrée attrayant, "et l'incorporation de proxies dans les botnets rend les équipes engagées facilitateurs d'autres actions malveillantes. La défense exige non seulement la technologie, mais aussi les processus et la discipline opérationnelle : une bonne hygiène dans les configurations, une surveillance continue et une réponse rapide lorsque des comportements étrangers apparaissent.

Si vous voulez approfondir le contexte et l'analyse technique, il est approprié de revoir les rapports et les blogs des entreprises qui enquêtent sur ces menaces - par exemple, les publications de Trace noire, l'analyse de renseignement de Lumen Black Lotus Labs et rapports de laboratoires spécialisés tels que Laboratoires Seqrit- et compléter cette lecture par une couverture médiatique et technique Ordinateur de brouillage suivre l'évolution de l'affaire.