Un botnet récemment découvert capable de mettre en scène des attaques par déni de service distribué (DDoS) ciblant les appliances EdgeMarc de Ribbon Communications (anciennement Edgewater Networks) appartenant au fournisseur de services de télécommunications AT&T en exploitant une faille vieille de quatre ans dans les appliances réseau.
La division de sécurité réseau Netlab du géant chinois de la technologie Qihoo 360, qui a détecté le botnet pour la première fois le 27 octobre 2021, l’a appelé Porte-Ew, notant qu’il a observé 5 700 adresses IP compromises situées aux États-Unis au cours d’une brève fenêtre de trois heures.
« Jusqu’à présent, l’EwDoor a, à notre avis, subi trois versions de mises à jour, et ses principales fonctions peuvent être résumées en deux catégories principales d’attaques DDoS et de porte dérobée », expliquent les chercheurs. c’est noté. « Sur la base des appareils attaqués sont liés à la communication téléphonique, nous supposons que son objectif principal est les attaques DDoS et la collecte d’informations sensibles, telles que les journaux d’appels. »
Se propageant via une faille dans les appareils EdgeMarc, EwDoor prend en charge diverses fonctionnalités, notamment la possibilité de se mettre à jour automatiquement, de télécharger des fichiers, d’obtenir un shell inversé sur la machine compromise et d’exécuter des charges utiles arbitraires. La vulnérabilité en question est CVE-2017-6079 (score CVSS : 9.8), une faille d’injection de commandes affectant les contrôleurs de session aux frontières qui pourraient être armés pour exécuter des commandes malveillantes.
EwDoor, en plus de collecter des informations sur le système infecté, établit également des communications avec un serveur de commande et de contrôle (C2) à distance, directement ou indirectement à l’aide de BitTorrent Trackers pour récupérer l’adresse IP du serveur C2, en attendant d’autres commandes émises par les attaquants.
Nous avons contacté AT&T pour commentaires, et nous mettrons à jour l’histoire lorsque nous aurons une réponse. Des indicateurs supplémentaires de compromission associés à la campagne sont accessibles ici.
