Pour gérer vos consentements :

Des hackers combinent Elasticsearch et Cloud pour lancer des attaques DDoS

Les chercheurs de Kaspersky ont découvert une faille de sécurité dans le logiciel Open Source Elasticsearch, un moteur de recherche qui repose sur Lucene (pour indexer et chercher du texte). Il est très utilisé par les entreprises. Cette faille permet l’injection d’un malware capable de générer des attaques en déni de service.

« Backdoor.Linux.Ganiw » a été trouvé en juin dernier par les spécialistes de Kaspersky et utilise la technologie d’amplification de DNS qui augmente considérablement le trafic des attaques DDoS. En envoyant des requêtes qui s’apparentent au domaine de la victime, l’amplification de DNS accroît le volume des attaques par 10 voire plus et elles sont très difficiles à contrer. La faille, identifiée sous l’appellation CVE-2014-3120,  touche les versions 1.1.x d’Elasticsearch, mais les scripts dynamiques impactés ont été désactivés dans les dernières versions 1.2 et 1.3 livrées récemment.

Un proof of concept sur les Cloud public

Pour augmenter encore un peu plus ces attaques, Kurt Baumgartner, expert chez Kasperky Lab a expliqué dans un blog qu’elles sont menées depuis des services Cloud comme EC2 d’Amazon, mais également sur des offres concurrentes. Les cybercriminels ont réussi à travailler sur une variante de la faille dans Elasticsearch qui donne la possibilité d’exécuter des commandes Linux à distance via une fenêtre bash shell. Le backdoor Gani peut ainsi installer plusieurs autres scripts malveillants sur les PC compromis comme Backdoor.Perl.RShell.c et Backdoor.Linux.Mayday.g.  C’est ce dernier qui a été repéré sur des instances EC2 par les spécialistes de Kasperky Lab.

Kurt Baumgartner indique que « le flux est assez important pour qu’Amazon informe aujourd’hui ses clients de ce problème. Car certains utilisateurs impactés vont se retrouver avec une facture salée pour usage excessif de ressources ». L’expert constate que les attaques concernent « une grande banque régionale américaine, un grand fabricant d’électronique et un fournisseur de service au Japon ». Reste qu’il se veut rassurant en expliquant que les attaques depuis des instances EC2 n’envoient que du trafic UDP et n’utilisent pas la technologie d’amplification de DNS. Cela signifie que les pirates sont encore en phase de test pour mener leurs attaques et qu’ils peaufinent leur méthode.

A lire aussi :

Une accalmie toute relative pour les attaques DDoS début 2014
DDoS : les entreprises françaises attaquées… mais insouciantes

Recent Posts

Après la NAND, Intel dit stop à la gamme Optane

Après avoir vendu son activité NAND, Intel tire un trait sur la technologie 3D XPoint,…

1 semaine ago

Google Analytics : la Cnil a posé les règles du jeu

Près de six mois ont passé depuis de que la Cnil a déclaré l'usage de…

2 semaines ago

Truffle 100 France : le top 20 des éditeurs de logiciels

Truffle 100 France : qui sont les 21 entreprises qui ont dépassé, en 2021, les…

2 semaines ago

Cloud : AWS brocarde les politiques de licences Microsoft

Un dirigeant d'Amazon Web Services dénonce des "changements cosmétiques" apportés par Microsoft à ses politiques…

2 semaines ago

Sécurité du code au cloud : Snyk Cloud, un joker pour développeurs

Snyk officialise le lancement de sa solution de sécurité cloud pour développeurs, Snyk Cloud, fruit…

2 semaines ago

Cegid accroche Grupo Primavera à son tableau d’acquisitions

Cegid va absorber Grupo Primavera, plate-forme de logiciels de gestion d'entreprise née dans la péninsule…

2 semaines ago