Archives par mot-clé : Linux

Patch Tuesday Linux et Adobe

Déni de service via TCP SACK vers le noyau Linux

Plusieurs vulnérabilités DoS ont été rapportées en juin concernant le noyau Linux (CVE-2019-11477CVE-2019-11478, CVE-2019-11479). Microsoft a publié un avis de sécurité fournissant des informations et des liens sur ces vulnérabilités.

Patch Tuesday version Adobe

Adobe a publié des correctifs pour Bridge CC, Experience Manager et Dreamweaver. Trois vulnérabilités sont corrigées dans Experience Manager tandis qu’une vulnérabilité est résolue dans Bridge et Dreamweaver. Aucune d’entre elles n’est considérée comme critique et le niveau de vulnérabilité le plus élevé pour chaque logiciel concerné est Important.

System Down pour les distributions Linux

Des vulnérabilités, baptisées System Down, découvertes dans plusieurs distributions Linux.

Le laboratoire de la société Qualys vient de révéler trois vulnérabilités exploitables localement dans systemd-journald, un composant central présent dans toutes les distributions Linux. Ces vulnérabilité sont baptisée « System Down » en référence au groupe de Rock, System of a Down. L’avis de sécurité complet est ici.

CVE-2018-16864 et CVE-2018-16865, deux corruptions de mémoire (alloca () s) contrôlé par l’attaquant;

CVE-2018-16866, une fuite d’informations (lecture en dehors des limites).

CVE-2018-1686, avril 2013 (systemd v203). Exploitable depuis février 2016 (systemd v230). Une preuve de concept (PoC) mis en place pour CVE-2018-16864. iL gagne le contrôle eip sur i386.

CVE-2018-16865 date de décembre 2011 (systemd v38). Exploitable en avril 2013 (systemd v201).

CVE-2018-16866 introduit en juin 2015 (systemd v221),  corrigée en août 2018. Un exploit pour CVE-2018-16865 et CVE-2018-16866 permet d’obtennir un shell racine local en 10 minutes sur i386 et 70 minutes Amd64, en moyenne. « Nous publierons notre exploit dans un proche avenir » indique Qualys.

À notre connaissance, toutes les distributions Linux basées sur systemd sont vulnérables.

SUSE Linux Enterprise 15, openSUSE Leap 15.0, Fedora 28 et 29 sont « safe ». Leur espace utilisateur sous compilation GCC’s -fstack-clash-protection.

Les cyber menaces basculeraient vers Linux et les Serveurs Web

Un rapport WatchGuard sur la Sécurité Internet évalue les principales menaces au cours du premier trimestre 2017. Pour ce vendeur de solution de sécurité informatique, les cyber menaces basculeraient vers Linux et les Serveurs Web.

Un nouveau rapport sur les cyber menaces ! WatchGuard Technologies, société spécialisée dans le domaine des solutions avancées de sécurité réseau, annonce les résultats de son Rapport Trimestriel sur les Menaces Internet, qui dresse le bilan des menaces de sécurité les plus récentes affectant les ordinateurs et les réseaux des petites et moyennes entreprises (PME) et des entreprises distribuées. Parmi ses principales conclusions, le rapport révèle que malgré une baisse en global du nombre de malwares détectés, les malwares sur Linux ont représenté plus de 36% des principales menaces identifiées au cours du premier trimestre 2017. Cette tendance démontre le besoin urgent de mesures de sécurité renforcées pour protéger les serveurs sous Linux et les objets connectés fonctionnant sous Linux.

Ces nouvelles données Firebox Feed nous permettent de prendre le pouls des plus récents malwares et des dernières attaques réseau afin d’identifier des schémas qui influencent un environnement de menaces en constante évolution,” a déclaré Corey Nachreiner, chief technology officer chez WatchGuard Technologies. “Les résultats du rapport du premier trimestre continuent de souligner l’importance et l’efficacité de mesures de sécurité de base, de multiples couches de défenses et d’une prévention avancée contre les malwares. Nous encourageons nos lecteurs à examiner les principales conclusions du rapport, et à les prendre en compte dans les stratégies de sécurité de leurs organisations.

Le Rapport sur les Menaces Internet de WatchGuard est conçu pour offrir des informations, des études et des recommandations en matière de sécurité pour aider ses lecteurs à mieux se protéger, eux et leurs organisations contre les nouveaux vecteurs de menaces. Les principales conclusions du rapport du premier trimestre 2017 comprennent:

  • cyber menaces : Les malwares sous Linux sont en augmentation, et représentent 36% des principaux malwares détectés au premier trimestre. La présence accrue de malwares de type Linux/Exploit, Linux/Downloader et Linux/Flooder illustrent l’intérêt toujours plus grand des attaquants pour les serveurs Linux et les objets connectés. Les utilisateurs doivent protéger leurs objets connectés et leurs serveurs sous Linux des attaques provenant d’Internet avec des défenses sur plusieurs niveaux.
  • cyber menaces : Les antivirus traditionnels continuent de manquer les nouveaux malwares – à un taux plus élevé. En fait, les solutions antivirus ont ignoré 38% de toutes les menaces identifiées par WatchGuard au premier trimestre, comparé à 30% au quatrième trimestre 2016. Le nombre croissant de malwares nouveaux ou zero day passant au travers des antivirus tradtionnels souligne les faiblesses des solutions de détection basées sur des signatures et le besoin pour des services capables de détecter et de bloquer les menaces persistantes avancées (APT).
  • Les cyber menaces basculent vers les serveurs web. Au cours du dernier trimestre, les attaques via des sites web piégés et via des navigateurs web ont prédominé. Durant cette période, 82 pour cent des principales attaques réseau ont ciblé des serveurs web (ou d’autres services web). Les utilisateurs doivent améliorer les défenses de leurs serveurs web en renforçant les contrôles d’accès, en limitant leur exposition sur le web, et en mettant à jour systématiquement leurs logiciels.
  • cyber menaces : Des attaquants exploitent toujours la faille Android StageFright. Cet exploit a commencé à se faire connaître en 2015, et prouve sa longévité en étant la première menace spécifique aux mobiles à entrer dans la liste des 10 principales attaques du WatchGuard Threat Lab cette année. Au minimum, les utilisateurs Android devraient régulièrement mettre à jour leurs systèmes pour prévenir des attaques sur mobile telles que StageFright.
  • Moins d’attaques à connotation saisonnière. Globalement, le volume des menaces détectées au premier trimestre 2017 a diminué de 52% par rapport au quatrième trimestre 2016. Nous pensons que cette baisse peut être attribuée à l’absence de campagnes d’attaques saisonnières liées aux congés du quatrième trimestre, qui ont gonflé le nombre de menaces durant cette période.

Le Rapport sur les Menaces Internet de WatchGuard est basé sur des données Firebox Feed anonymes provenant de plus de 26.500 boîtiers UTM WatchGuard en service à travers le monde, qui représentent une faible portion de la base installée totale de la société. Ces boîtiers ont bloqué plus de 7 millions de variantes de malware au premier trimestre, ce qui correspond à 266 variantes en moyenne par boîtier participant. Les boîtiers WatchGuard ont également bloqué plus de 2,5 millions d’attaques réseau au premier trimestre, ce qui correspond à 156 attaques bloquées par boîtier. Le rapport complet comprend un état détaillé des tendances du trimestre relatives aux malwares et aux attaques, une analyse des révélations Vault 7 de la CIA et des enseignements importants sur les stratégies de défense. Le rapport comprend également un nouveau projet de recherche du WatchGuard Threat Lab, consacré à une nouvelle vulnérabilité sur un appareil photo connecté largement répandu. Pour plus d’informations, le rapport complet est téléchargeable à l’adresse: www.watchguard.com/security-report

10 failles corrigées pour VirusScan Linux de McAfee

L’éditeur d’antivirus a mis en ligne des correctifs permettant de corriger une dizaine de faille visant son logiciel d’entreprise ViruScan Linux.

McAfee, filiale d’Intel, a publié des correctifs pour dix failles pour la version de VirusScan Entreprise tournant sous Linux [McAfee VirusScan Enterprise for Linux]. Des failles qui permettent à un attaquant de prendre la main, à distance, sur un système. McAfee avait été notifié de ces trous de sécurité… il y a six mois.

Le chercheur en sécurité Andrew Fasano du MIT Lincoln Laboratory a déclaré qu’au total, se sont 10 failles de sécurité qui ont été patchées. Les problèmes de sécurité permettaient l’exécution de code à distance en tant qu’utilisateur root. « Voilà donc un logiciel peut apprécié, qui fonctionne en tant que root, qui annonce sécuriser les entreprises, qui n’a pas été patché depuis des lustres » s’amuse le chercheur.

Quatre des failles sont considérées comme critiques : CVE-2016-8020, CVE-2016-8021, CVE-2016-8022 et CVE-2016-8023.

Toutes ces vulnérabilités ont déjà été confirmées dans les versions 1.9.2 à 2.0.2 de McAfee VirusScan Enterprise for Linux. Ils est largement recommandé de mettre à jourl’outil… ou d’en changer !

La Fondation Linux annonce le lancement d’une nouvelle formation online axée sur la sécurité à l’occasion des 25 ans de Linux

La Fondation Linux poursuit sa mission dans le domaine de la sécurité avec une nouvelle formation orientée vers le développement des logiciels open source.

La Fondation Linux, l’organisation à but non lucrative fomentant la gestion professionnelle de l’open source destinée à la collaboration de masse, a annoncé la disponibilité d’un nouveau cours de formation en ligne, Linux Security Fundamentals (LFS216). Ce cours en autoformation est une nouvelle preuve du dévouement de la Fondation Linux au renfort de la sécurisation d’Internet, des autres logiciels Linux et open source ainsi que des infrastructures informatiques.

« Le logiciel Open Source est présent presque partout sur Internet et il génère des milliards de dollars d’affaires, mais de nombreux projets manquent encore d’un processus de sécurité rigoureux, » affirme Nicko van Someren, directeur des techniques informatiques à la Fondation Linux. « Dès le premier jour, la formation professionnelle et universitaire joue un rôle clé dans la garantie d’un niveau élevé en matière de sécurité, de qualité et de fiabilité des projets open source. Qu’ils soient de type libre ou propriétaire, la sécurité des logiciels doit débuter le plus tôt possible si l’on tient à minimiser les risques. »

En plus de soutenir le développement de Linux et d’autres logiciels open source fondamentaux, la Fondation Linux a pris des mesures pour s’assurer que le logiciel dont elle contribue à la production est sécurisé et que les utilisateurs disposent de toutes les ressources dont ils ont besoin pour réussir. Ces efforts regroupent le Badges Program de la Core Infrastructure Initiative, dans le cadre duquel des projets open source tels qu’OpenStack peuvent mettre en avant un développement centré sur la sécurité. Avec Let’s Encrypt, la Fondation Linux et ses partenaires ont contribué à sécuriser plus de 5 millions de sites Internet et elle espère finalement atteindre un degré de sécurisation de 100% pour Internet à l’aide du HTTPS. Cette formation axée sur les compétences qui est chargée d’enseigner aux utilisateurs la manière dont ils peuvent maximiser la sécurité des systèmes s’inscrit comme un complément essentiel de ces initiatives.

Le cours d’Introduction à la sécurité sur Linux couvre les bases que tout professionnel de l’informatique travaillant avec Linux doit connaître. Il commence par un aperçu sur la sécurité informatique, puis évoque la manière dont la sécurité concerne l’ensemble des membres des chaînes de développement, d’implémentation, d’administration et d’utilisation finale.

Les sujets spécifiques couverts incluent notamment :
?     Évaluation des menaces et des risques
?     Audits et détection
?     Sécurité des applications
?     Vulnérabilités du noyau
?     Sécurité des systèmes locaux
?     Sécurité des réseaux
?     Déni de service (DoS)
?     Pare-feu et filtrage de paquets

LFS216 est conçu pour les personnes participant à des tâches liées à la sécurité à tous les niveaux. Les classes pratiques utilisent des applications virtuelles pour démontrer « ce qui se passe », plutôt que de se reposer sur des exercices de rédaction dans le but de configurer des serveurs complexes. À la fin du cours, les étudiants seront en mesure d’évaluer les besoins actuels en matière de sécurité, d’évaluer la préparation actuelle en matière de sécurité et de mettre en place les options de sécurité demandées. Ce cours est la deuxième offre de la Fondation Linux en matière de sécurité, la première étant le cours Linux Security (LFS416), dispensé par un formateur depuis 2013.

« Nous savons que la sécurité est une préoccupation pour toutes les organisations du domaine de l’informatique, c’est pourquoi la Fondation Linux organise des initiatives telles que la Core Infrastructure Initiative et Let’s Encrypt, visant à simplifier la protection des données et des systèmes sensibles, » affirme Clyde Seepersad, directeur général de la formation de la Fondation Linux. « Ces efforts importants ne peuvent cependant aller plus loin ; c’est pourquoi faciliter la formation professionnelle aux meilleures pratiques de sécurité du personnel à tous les niveaux demeure essentiel pour s’assurer que tous les systèmes restent stables et sécurisés. »

L’inscription à LFS216 est à présent disponible au tarif de 199 $. Dans le cadre du 25e anniversaire, les particuliers pourront acquérir jusqu’au 28 août une offre regroupant le nouveau cours Introduction à la sécurité sur Linux ainsi que LFS201 – Principes de base de l’administration système, LFS211 – Réseaux et administration de Linux et LFS265 – Introduction aux réseaux basés sur les logiciels pour seulement 250 $, soit une économie de 75 %. Cette offre apportera aux futurs administrateurs systèmes Linux toutes les connaissances dont ils ont besoin pour se lancer sur le terrain et elle les préparera à l’examen Sysadmin, certifié par la Fondation Linux.

Ring, un système de communication distribué et sécurisé Open Source

Savoir-faire Linux annonce le lancement de la version Beta de Ring, un système de communication distribué et sécurisé Open Source.

Depuis quelques mois, Ring, un logiciel libre sous licence GPLv3, développé par les équipes de Savoir-faire Linux, crée une effervescence dans le milieu mondial du logiciel libre, des hackers et de la cybersécurité, bien qu’il en soit à ses tous premiers balbutiements. Plusieurs opérateurs Internet et industriels des télécommunications, et même l’industrie du développement durable commencent également à s’y intéresser de près.

Présenté en plénière au FOSDEM2016 à Bruxelles il y a quelques semaines, il constituera l’événement de ce week-end simultanément à la conférence FOSSASIA de Singapour et surtout à Boston, au cours de la conférence LibrePlanet, organisée par la célèbre Free Software Foundation, qui fêtera pour l’occasion son 30ème anniversaire.

Ring, le nouveau Skype ou Hangout Open Source
Ring permet d’établir une communication chiffrée vidéo, audio, texte de très haute qualité entre deux ou plusieurs personnes où qu’elles soient dans le monde. Il est disponible pour les plate-formes Linux, Windows, Mac/OSX, Android et d’ici quelques mois sur iOS. Il est distribué avec les sources sous licence GPLv3.

Pour de nombreux  spécialistes, ce logiciel pourrait constituer un jalon dans l’histoire de l’Internet. Mais  Cyrille Béraud, Président de Savoir-faire Linux, reste prudent : « Je voudrais rappeler que la version que nous présentons aujourd’hui est une version Beta, c’est-à-dire que Ring est encore un logiciel jeune, qui reste fragile et qui, dans de nombreuses situations, fonctionnera de manière imparfaite. Ceci étant dit, il s’améliore chaque jour et dans un environnement standard et pour un usage domestique, il fonctionne déjà très bien ».

Ring, une plateforme de communication décentralisée et distribuée
Le concept essentiel de Ring est la décentralisation. Avec Ring, plus besoin d’opérateurs, plus besoin de serveurs à gérer, plus de coûts associés à chaque appel et surtout, Ring offre beaucoup de liberté et de sécurité.

« Techniquement, nous nous sommes appuyés sur des technologies déjà bien éprouvées : ffmpg/libav, GnuTLS, Pjsip, etc., mais concernant l’innovation au cœur de Ring, nous avons utilisé le concept des DHT, Distributed Hash Tables. Pour cela, nous avons développé notre propre librairie, OpenDHT, disponible sur github, en introduisant des innovations importantes qui, conjointement avec les protocoles ICE et SIP, permettent ainsi de traverser les routeurs et les pare-feux, de localiser, d’une manière certaine un utilisateur, même s’il se trouve dans un réseau privé, et d’établir, un canal de communication  sécurisé, de n’importe où dans le monde.» précise Cyrille Béraud. Dans un contexte professionnel, c’est une flexibilité et des économies importantes pour de très nombreuses entreprises. Pour tous, c’est la possibilité de communiquer librement et gratuitement où que l’on soit, en toute sécurité« . indique Cyrille Béraud.

De part cette propriété et du fait que Ring utilise des standards ouverts et reconnus, cette plateforme permet d’esquisser un véritable système universel de communication non-hiérarchique sur Internet, en permettant non seulement une communication entre deux personnes, mais plus généralement, entre deux ou une multitude d’objets sur Internet. « De ce point de vue, les innovations que nous avons mises à disposition à travers Ring, ouvrent de nombreuses possibilités et applications industrielles ou grand public. Nous avons déjà dans notre laboratoire, plusieurs prototypes basés sur des plateformes embarquées très légères qui, à partir de Ring, s’interconnectent avec des systèmes domotiques ou des systèmes d’acquisition de données. C’est assez spectaculaire et très prometteur.

Pour compléter ce tour d’horizon, il faut indiquer aussi que Ring fonctionne en mode dégradé et même complètement coupé d’Internet. « Imaginez un village isolé en Afrique ou en Inde avec une connexion fragile à Internet. En cas de coupure d’accès au Net, le système distribué de Ring se rétracte sur les nœuds qu’il peut contacter et continue de fonctionner. Dans l’exemple du village coupé du monde, les habitants peuvent continuer à communiquer entre eux. Ring, de ce point vue, peut participer à un développement durable et contribuer au développement de l’économie et de la démocratie de pays ayant des infrastructures de communication peu développées. »

Windows, moins dangereux qu’iOS et OS X d’Apple

Le National Vulnerability Database, qui recense les failles dans les logiciels et autres applications web indique que l’année 2014 aura été l’année des vulnérabilités pour iOS, OS X Apple et Linux. Windows se classe 4ème.

Voilà qui a fait pas mal parler chez les « trolleurs » en tout genre. Mais il faut bien l’admettre, la firme de Redmond a mis les bouchées double pour protéger son OS, Windows. Bilan, la National Vulnerability Database, qui recense les failles (19 par jour en 2014) a classé l’OS de Microsoft plus sécurisé qu’iOS, OS X Apple. Même Linux, classé 3ème, dans ce top 4, devance Microsoft du point de vu des failles découvertes l’année dernière. Les problèmes dans les systèmes d’exploitation (OS) ne représentent que 13% des failles recensées en 2014. 1.705 failles recensées. 182 failles de moins que l’année record, en 2010. Les navigateurs sont toujours montrés du doigt. Internet Explorer, en 2014, a souffert de 242 brèches dangereuses. Chrome (124) et Firefox (117) ont dépassé la centaine de failles. (gfi)

Faille sévère pour les systèmes Linux

Qualys publie un bulletin de sécurité pour la vulnérabilité « GHOST » découverte sur les systèmes Linux Cette vulnérabilité sévère détectée dans la bibliothèque C de GNU/Linux donne le contrôle aux attaquants sans nécessiter d’identifiants système. – Patchs disponibles dès aujourd’hui –

Qualys, Inc., le principal fournisseur de solutions de sécurité et de conformité dans le Cloud, annonce que son équipe chargée de la recherche en sécurité a découvert dans la bibliothèque C de GNU/Linux (glibc) une vulnérabilité critique qui permet aux pirates de prendre le contrôle à distance de tout un système, en se passant totalement des identifiants système. Qualys a travaillé de manière étroite et coordonnée avec les fournisseurs de distributions Linux pour proposer un patch pour toutes les distributions de systèmes Linux touchés. Ce patch est disponible dès aujourd’hui auprès des fournisseurs correspondants.

Baptisée GHOST (CVE-2015-0235) parce qu’elle peut être déclenchée par les fonctions gethostbyname et gethostbyaddr, cette vulnérabilité touche de nombreux systèmes sous Linux à partir de la version glibc-2.2 publiée le 10 novembre 2000. Les chercheurs de Qualys ont par ailleurs détecté plusieurs facteurs qui atténuent l’impact de cette vulnérabilité, parmi lesquels un correctif publié le 21 mai 2013 entre les versions glibc-2.17 et glibc-2.18. Malheureusement, ce correctif n’ayant pas été classé comme bulletin de sécurité, la plupart des distributions stables et bénéficiant d’un support à long terme ont été exposées, dont Debian 7 (« Wheezy »), Red Hat Enterprise Linux 6 & 7, CentOS 6 & 7 et Ubuntu 12.04.

Les clients Qualys peuvent détecter GHOST à l’aide de la signature QID 123191 fournie par le service Cloud Qualys Vulnerability Management (VM). Lorsqu’ils lanceront le prochain cycle de scan, ils obtiendront des rapports détaillés sur l’exposition de leur entreprise à cette vulnérabilité sévère. Ils pourront ainsi estimer son impact sur leur activité et suivre efficacement la vitesse de résolution du problème.

« GHOST expose à un risque d’exécution de code à distance qui rend l’exploitation d’une machine par un pirate terriblement enfantine. Il suffit par exemple qu’un pirate envoie un mail sur un système sous Linux pour obtenir automatiquement un accès complet à cette machine », explique à dataSecuritybreach.fr Wolfgang Kandek, Directeur technique de Qualys, Inc. « Compte tenu du nombre de systèmes basés sur glibc, nous considérons qu’il s’agit d’une vulnérabilité sévère qui doit être corrigée immédiatement. La meilleure marche à suivre pour atténuer le risque est d’appliquer un patch fourni par votre fournisseur de distributions Linux. »

Mise à jour RedHat publiée ce 27 janvier. Explication technique sur open wall.

Mise à jour : 

L’éditeur Ve-hotech vient de diffuser une mise à jour 5.1.1 de son système d’exploitation en vue de prévenir la vulnérabilité CVE-2015-0235 dans la bibliothèque libc6. libc6 étant la principale bibliothèque utilisée par l’ensemble des programmes fonctionnant sous Linux, Ve-hotech a pris des mesures immédiates pour régler le problème.

  • Si le serveur est paramétré pour se mettre automatiquement à jour, il est probablement déjà à jour. Il suffit de vérifier que le numéro de version est bien 5.1.1 dans l’interface utilisateur.
  • Si le serveur est paramétré pour être mis à jour manuellement, l’utilisateur doit effectuer la mise à jour à partir de l’onglet maintenance de l’application de configuration avancée.
  • Si la version du serveur est inférieure à la 4.0, il est fortement conseillé de mettre à niveau le serveur vers la génération 4 du micro-logiciel.
  • Les versions 1.x du micro-logiciel ne sont pas concernées.

Java Bot, un code malveillant pour Windows, Mac et Linux

Un code malveillant Java multiplateforme découvert. Il fonctionne sur Windows, Mac et Linux. Les chercheurs en sécurité de chez Kaspersky sont tombés nez-à-nez sur un malware multi-plateforme qui est capable de fonctionner sur Windows, Mac et Linux. Plutôt facheux. Le malware est entièrement écrit en Java. L’exploit utilisé pour ré-installer le code pirate est connu comme étant un Java exploit (CVE-2013-2465) qui rend la campagne malveillante complètement multi-plateforme. Une fois que le bot a infecté un système, il se copie dans le répertoire personnel de l’utilisateur. Il ajoute des programmes de maniére à ce qu’il démarre automatique au lancement de l’ordinateur. Une fois sa configuration automatisée terminée, le logiciel génère un identifiant unique et en informe son « propriétaire » de pirate. La machine se transforme en zombie. Bilan, le pirate n’a plus qu’à revendre son accès ou l’utiliser plus tard, en communiquant avec son robot, via IRC. Ce bot java sert avant tout dans des attaques de Dénis Distribuées de Services (DDoS). Toutes les machines fonctionnant sous Java 7.21, ainsi que les versions antérieures sont susceptibles d’être vulnérables à cette attaque. (Securlist)

Un nouveau Trojan cible Linux avec un arsenal important

La société Doctor Web a annoncé, il y a quelques jours, la détection d’un nouveau programme malveillant ciblant Linux : Linux.Hanthie. Selon les résultats de l’étude, les spécialistes ont découvert que ce Trojan (aussi connu sous le nom de Hand of Thief) peut exécuter beaucoup de fonctions, ainsi que cacher sa présence dans le système. Aujourd’hui ce malware est très populaire sur les forums clandestins de hackers où les pirates le vendent souvent. Linux.Hanthie est lié aux bots des familles FormGrabber et BackDoor ciblant le système d’exploitation Linux, et dispose de mécanismes anti détection ainsi que d’un démarrage masqué qui ne nécessite pas de privilèges administrateur. Il utilise un chiffrement fort pour la communication avec l’interface de commande (256-bit). La configuration flexible du bot est possible via le fichier de configuration.

Après son lancement, le Trojan bloque l’accès aux adresses depuis lesquelles les mises à jour logicielles ou les logiciels antivirus sont téléchargés. Ce Trojan est capable de se soustraire à l’analyse antivirus et de s’exécuter dans des environnements isolés et virtuels. Cette version de Linux.Hanthie ne possède pas de mécanismes d’auto réplication, c’est pourquoi ses développeurs conseillent de le distribuer en utilisant les moyens de l’ingénierie sociale. Ce Trojan est compatible avec les distributions Linux (dont Ubuntu, Fedora et Debian) et avec huit types d’environnements de bureau, par exemple, GNOME et KDE.

Après le démarrage du Trojan, l’installateur masque sa présence dans le système et détecte les machines virtuelles. Ensuite, Linux.Hanthie s’installe dans le système en créant un fichier d’auto démarrage et en plaçant une copie de réserve de lui-même dans l’un des dossiers sur le disque. Dans le dossier des fichiers temporaires, il crée une bibliothèque exécutable, qu’il essaie d’intégrer dans tous les processus en cours. En cas d’échec, Linux.Hanthie lance un nouveau fichier exécutable depuis un dossier temporaire responsable de la connexion avec le serveur de gestion et supprime sa version originale.

Le Trojan comprend plusieurs modules fonctionnels : l’un d’eux, qui représente une bibliothèque, exécute des fonctions malveillantes. Ce module injecte un grabber dans les navigateurs Mozilla Firefox, Google Chrome, Opera, ainsi que Chromiim et Ice Weasel (développés uniquement pour Linux). Ce grabber permet d’intercepter les sessions HTTP et HTTPS et d’envoyer des données entrées par l’utilisateur aux malfaiteurs. Cette bibliothèque peut également remplir la fonction de backdoor. Le trafic, lors du transfert des données entre le logiciel et le serveur de gestion, est crypté.

Le Trojan comprend d’autres fonctions. Par exemple, via la commande socks, il lance sur la machine infectée un serveur proxy ; via la commande bind, il lance un script pour écouter le port ; par la commande bc, il se connecte à un serveur ; par la commande update, il télécharge et installe une nouvelle version ; par la commande rm, il se supprime. Un autre module permet au Trojan de réaliser des fonctionnalités limitées sans effectuer d’injections de code.