Windigo : 25.000 serveurs touchés depuis deux ans et plus de 500.000 ordinateurs chaque jour.

Frédéric Hourdeau

News

le 20/03/2014 à 22h00

Tweeter

Mis en évidence par l'éditeur d'antivirus Eset, un malware activé depuis 36 mois aurait infecté tous types de systèmes pour générer des spams et des redirections trompeuses.

Le piratage de ces serveurs a pour but d’infecter et de voler de l’information des ordinateurs qui s’y connectent.

 

«Depuis 2 ans et demi et sans être détecté par la communauté d’experts en sécurité,Windigo s’est renforcé en prenant le contrôle de 10.000 serveurs » souligne Marc-Etienne Léveillé, chercheur en sécurité chez ESET.

«Plus de 35 millions de pourriels sont envoyés chaque jour à d’innocents utilisateurs, encombrant leur boîte de réception et menaçant la sécurité de leur ordinateur. Pire, chaque jour, plus d’un demi-million d’ordinateurs sont menacés par la visite d’un site Internet dont le serveur est infecté. L’internaute est alors redirigé vers des malwares ou de la pub ».

 

Cette attaque concerne 25.000 serveurs uniques, et serait active depuis deux ans.

10.000 serveurs Linux et UNIX seraient notamment concernés.

En activité depuis 2011 au moins, le malware aurait corrompu tous les types de systèmes : Mac OS X, OpenBSD, FreeBSD, Windows (via Cygwin) et Linux, y compris Linux sur architecture ARM selon le communiqué.

 

Outre les serveurs infectés, de nombreux systèmes effectuant des requêtes ont connu des vols d'informations.

35 millions de message de spam par jour

Le botnet ainsi créé aurait été responsable quotidiennement  de 35 millions de messages de spam.

 

Eset estime également à 700 le nombre de serveurs web redirigeant les visiteurs vers des contenus malicieux. Avec potentiellement 500.000 terminaux de consultation touchés lors de visites.

 

Pour un ordinateur sous Windows allant sur un site infecté, Windigo, tente d’installer un malware via un kit d’«exploit ».

 

Pour les ordinateurs sous MAC OS, Windigo affiche ….des pubs de sites de rencontres !

 

Les possesseurs d’iPhone, sont eux redirigés vers …des contenus pornographiques !

 

L'éditeur d'antivirus a travaillé en collaboration étroite avec le Cert suédois, CERT-Bund (1) qui souligne  que « si le nombre de systèmes infectés semble faible à première vue, il est important de conserver à l'esprit que, dans ce cas précis, chaque système infecté est un serveur ».

 

« Une attaque DDoS ou une opération d'envoi de spam utilisant 1.000 serveurs sera beaucoup plus efficace que la même opération perpétrée avec le même nombre d'ordinateurs de bureau ».

La vulnérabilité des serveurs.

Marc-Etienne Leveillé  souligne qu’ «en  réalité, la backdoor (porte dérobée) « Ebury » propagée par Windigo n’exploite pas une vulnérabilité de Linux ou d’OpenSSH ». Mais, «elle est installée manuellement par les cybercriminels ».

 

Le fait qu’ils aient réussi à attaquer des dizaines de milliers de serveurs différents est particulièrement préoccupant :

 

« Si les solutions anti-virus et d’authentification double sont désormais largement répandues sur les postes de travail, elles sont par contre peu employées pour protéger les serveurs ce qui les rend vulnérable au vol d’identifiants et au déploiement de logiciels malveillants ».

 

« Si les administrateurs systèmes constatent que leurs serveurs sont infectés, il est recommandé de formater les machines concernées et de réinstaller les systèmes d’exploitation et les logiciels ».

 

« La sécurité des accès étant compromise, il est essentiel de changer tous les mots de passe et clés privées et, pour garantir un meilleur niveau de protection, il est aussi recommandé d’installer des solutions d’authentification forte ».

Marc-Etienne Leveillé avertit : « Nous sommes conscients que reformater un serveur et repartir de zéro est un traitement radical.

Mais, si des hackers sont en possession d’un accès à distance à vos serveurs suite au vol de vos identifiants administrateur, on ne peut pas prendre de risque ».

 

(1) En sécurité informatique, il s’agit des organismes officiels chargés d'assurer des services de prévention des risques et d'assistance aux traitements d'incidents. Ces CERT (Computer Emergency Response Team) sont des centres d'alerte et de réaction aux attaques informatiques destinés aux entreprises et  aux administrations ; leurs informations  sont généralement accessibles à tous.