Posté le janvier 20, 2018 à 10:12

Satori.Coin.Robber Malware poursuit l’extraction d’Ethereum

Une nouvelle version du célèbre malware Satori a récemment commencé à cibler le minage d’ether.

La fameuse souche de malware, connue sous le nom de Satori, cible déjà les caméras de sécurité, les routeurs Internet et une foule d’autres appareils IoT depuis un certain temps. Cependant, un nouveau membre de la famille du malware Satori a été découvert qui affecte les plates-formes minières d’ether. En décembre 2017, Satori était encore découvert pour se concentrer sur l’exploitation des bugs sur les routeurs de fabricants tels que D-Link et Huawei. Le malware, qui serait basé sur l’ancien botnet Mirai, a déjà ciblé des milliers de dispositifs personnels après avoir exploité les failles de sécurité sur les routeurs Realtek et Huawei.

Selon les chercheurs en sécurité de Qihoo 260 Netlab, la dernière souche de malware Satori cherche sur le Web des dispositifs basés sur Windows qui exécutent le programme minier Claymore et les attaque par la suite. Considérant les similitudes entre la dernière souche de malware, et celle de la famille Satori, les chercheurs croient que les pirates derrière Satori sont responsables de la dernière campagne d’attaque. Le botnet, connu sous le nom de Satori.Coin.Robber, a été découvert le 8 janvier et analyse les plates-formes minières d’Ether en utilisant le port de gestion 3333.

Une fois que le malware a infiltré et détourné un appareil, ils remplacent l’adresse du portefeuille du mineur par celle du pirate. Cela signifie que toutes les pièces destinées au mineur seront reçues par le pirate. Jusqu’à présent, les chercheurs n’ont pas encore confirmé combien d’appareils ont été affectés par le malware. Cependant, Dwarfpool confirme que l’adresse particulière de portefeuille qui est liée aux pirates ne détient que deux pièces, ce qui équivaut actuellement à 2 160 $.

Satori.Coin.Robber fonctionne en exploitant une fonctionnalité du logiciel Claymore qui permet à un utilisateur de surveiller l’exploration à distance. Toutefois, ce problème a déjà été résolu dans la mise à jour du fournisseur de logiciels, version 10.2. Selon les chercheurs, le hack abuse de certaines actions de gestion sur le port 3333 qui ne nécessite pas d’authentification par mot de passe.

Fait intéressant, un développeur de l’équipe Satori a contacté les chercheurs de Qihoo 360 Netlab et a déclaré que le bot particulier n’avait aucune intention malveillante. Cependant, les utilisateurs devaient toujours s’assurer que leur logiciel était à jour pour éviter tout dommage.