Une nouvelle méthode d’attaque permet de cibler les systèmes Windows en exploitant des environnements Linux émulés. Cette technique, surnommée CRON#TRAP et découverte par les chercheurs de Securonix, consiste à intégrer des environnements Linux au sein de systèmes Windows afin d’exécuter des tâches planifiées malveillantes, échappant ainsi aux mécanismes de détection traditionnels. Explications.
La chaîne d’attaque, découverte et expliquée par Securonix, est assez inédite. Les attaquants déploient une boîte Linux QEMU émulée sur mesure pour pénétrer les points d’accès, par le biais de courriels d’hameçonnage.
Ce qui rend la campagne CRON#TRAP particulièrement inquiétante, c’est que l’instance Linux émulée est préconfigurée avec une porte dérobée qui se connecte automatiquement à un serveur de Commande et Contrôle (C2) contrôlé par l’attaquant. Cette configuration permet à l’attaquant de maintenir une présence discrète sur la machine de la victime et de préparer d’autres activités malveillantes dans un environnement dissimulé, ce qui rend la détection difficile pour les solutions antivirus traditionnelles.
Comme QEMU est un logiciel légitime, souvent utilisé dans le développement et la recherche, sa présence ne déclenche généralement pas d’alerte de sécurité. Cette approche permet aux logiciels malveillants de passer inaperçus, car ils opèrent dans un environnement différent de celui surveillé par les solutions de sécurité standard.
L’adoption de cette technique reflète une sophistication croissante des cyberattaques, rendant la détection et la prévention plus difficiles, estiment les chercheurs. Bien que la faille soit exploitée sur des systèmes Windows, elle tire parti de la capacité à émuler des environnements Linux pour mener des activités malveillantes. Il est donc essentiel de renforcer les mécanismes de surveillance et de détection pour inclure ces environnements hybrides et contrer efficacement ces nouvelles menaces.
