Nous vous en parlions dans notre article du 17 mai 2024, Ebury a déjà contaminé et compromis 400 mille serveurs Linux/BSD. Selon une étude récente de l’éditeur ESET, Ebury est toujours bien actif, mais reste invisible.
Ebury est actif depuis 2009. Il est utilisé pour déployer des logiciels malveillants, louer son botnet, effectuer des attaques de type adversary-in-the-middle (AitM) et héberger une infrastructure malveillante. Parmi les activités du groupe Ebury et de son botnet, figurent l’envoi de pourriels, la redirection de trafic Web et le vol d’informations d’identification.
« L’une des campagnes s’appuyant sur des logiciels malveillants les plus avancées est encore en pleine expansion », estime Marc-Etienne Léveillé (Eset). « Agile, elle s’est diversifiée. » Ces dernières années, le groupe s’est en effet diversifié dans le vol de cartes de crédit et de cryptomonnaies.
Au fil des années, Ebury a été déployé sous la forme d’une porte dérobée pour compromettre près de 400 000 serveurs Linux, FreeBSD et OpenBSD. On comptait encore 100 000 serveurs compromispar Ebury l’an dernier, qui a également affecté Kernel.org, hébergeant le code source du noyau Linux. Dans de nombreux cas, les acteurs d’Ebury ont pu obtenir un accès complet à d’importants serveurs de FAI et de fournisseurs d’hébergement renommés.
