Un malware surnommé "THE MOON" se propage sur des routeurs sans fil de la marque Linksys, une filiale de Cisco. Selon l'expert en sécurité Johannes Ullrich, les modèles E4200, E3200, E3000, E2500, E2100L, E2000, E1550, E1500, E1200, E1000, et E900 pourraient être touchés, selon la version du firmware installée.
Concrètement, le vers se connecte au port 8080 et demande à accéder à l'URL "/HNAP1/", qui renvoie une liste XML des fonctionnalités du routeur et des informations sur le firmware installé. Il extrait alors le modèle du routeur, et la version du logiciel interne, avant d'envoyer du code malicieux en mode CGI. Ce code lance un script shell qui a pour effet d'ordonner le téléchargement du vers lui-même, au format binaire ELF MIPS.
Une fois le code exécuté, le routeur se met lui-même en chasse de nouveaux routeurs à infecter, et devient une source de téléchargement du code.
Pour le moment, le vers ne semble rien faire de dommageable. Mais il s'agit très certainement d'une mise en attente d'ordres à venir.
Pour tester si votre routeur est vulnérable, il faut ouvrir un terminal et saisir la commande suivante :
echo "GET /HNAP1/ HTTP/1.1rnHost: testrnrn" | nc routerip 8080
Si vous obtenez en retour des informations formatées en XML sur votre routeur, c'est que vous êtes potentiellement infecté.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !
