Une nouvelle alerte de sécurité émise par le FBI et la CISA met en garde contre un nouveau botnet qui cible les comptes de Microsoft et d'Amazon Web Services en exploitant trois vulnérabilités connues.

Le FBI a alerté les internautes à propos d’un nouveau botnet, qui est alimenté par le logiciel malveillant Androxgh0st. Ce dernier analyse les ordinateurs et les serveurs à la recherche des vulnérabilités CVE-2017-9841, CVE-2021-41773 et CVE-2018-15133, qui permettent l'exécution de code à distance sur les systèmes vulnérables.

Les attaquants utilisent Androxgh0st pour voler des fichiers .env qui contiennent des informations sensibles, telles que les identifiants de connexion aux comptes Microsoft et AWS. Ces identifiants peuvent ensuite être utilisés pour accéder aux ressources du cloud et aux bases de données appartenant aux victimes.

Lire également – Ce dangereux malware revient 3 mois à peine après sa fin annoncée

Le FBI met en garde les utilisateurs

Androxgh0st peut également utiliser le protocole SMTP (Simple Mail Protocol) pour vérifier la limite d'envoi des comptes de messagerie qui se trouvent sur les appareils compromis. Si la limite est suffisamment élevée, le logiciel malveillant peut lancer des campagnes d'hameçonnage et de spam pour se propager ou pour inciter davantage d'utilisateurs à donner leurs informations d'identification.

En outre, les attaquants peuvent utiliser les identifiants Microsoft et AWS pour créer de fausses pages sur les sites Web hébergés sur les serveurs compromis. Ces fausses pages peuvent servir de portes dérobées pour accéder à d'autres données ou pour infecter d'autres visiteurs avec Androxgh0st.

Le FBI et la CISA invitent les organisations à prendre des mesures immédiates pour se protéger de ce botnet. Ils recommandent de mettre à jour les systèmes d'exploitation, les logiciels et les microprogrammes de tous les appareils et de s'assurer que les serveurs Apache n'utilisent pas les versions 2.4.49 ou 2.4.50, qui sont vulnérables à la CVE-2021-41773.

Ils conseillent également aux organisations de configurer leurs URI de manière à refuser toutes les requêtes par défaut, à moins qu'il n'y ait un besoin spécifique de les autoriser. En outre, ils suggèrent que les applications Laravel ne soient pas en mode de débogage ou de test, et que les identifiants cloud ne soient pas stockés dans des fichiers .env.

Il serait urgent de se protéger, puisque le FBI et la CISA avertissent que la vulnérabilité CVE-2018-15133 est activement exploitée par le botnet. Cette vulnérabilité permet aux attaquants d'exécuter du code arbitraire en envoyant des requêtes spécialement conçues aux applications.