Backdoor Linux

🔍 Contexte Publié le 2 octobre 2026 par Ivan Kwiatkowski sur le blog VirLabs, cet article présente l’analyse technique d’un échantillon Linux malveillant découvert sur VirusTotal avec 0 détection au moment de son upload (25 mai 2026). L’auteur le nomme knock-outd, d’après le nom de fichier source préservé dans la table des symboles ELF (knock-outd.c). 🧬 Description technique du malware Type : backdoor Linux statiquement liée (x86-64), embarquant libpcap Mécanisme : port-knocking — le malware écoute en mode promiscuous sur une interface réseau et attend une séquence de paquets spécifique avant de déclencher un exécutable secondaire Masquage : écrase ses arguments de processus visibles avec bash suivi d’espaces, change son répertoire de travail vers /, et fork un processus fils de surveillance réseau Watchdog : le processus parent redémarre le worker toutes les deux heures via SIGTERM + waitpid 📡 Mécanisme de port-knocking Le filtre de capture BPF combine l’adresse IPv4 de l’interface avec des ports sources spécifiques : ...

Selon Socket (Threat Research Team), un module Go malveillant imitant le dépôt de confiance golang.org/x/crypto — publié comme github[.]com/xinfeisoft/crypto — a été découvert avec une porte dérobée insérée dans ssh/terminal/terminal.go. Cette usurpation cible un composant fondamental de l’écosystème Go afin de collecter des secrets saisis via ReadPassword et de livrer une chaîne d’infection Linux. — Détail du leurre et de l’implant — Technique d’usurpation (« namespace confusion »): clone du code x/crypto avec faible modification apparente, ajoutant notamment la dépendance github.com/bitfield/script pour faciliter les requêtes HTTP et l’exécution de commandes. Backdoor dans ReadPassword: capture du secret, écriture locale dans /usr/share/nano/.lock, récupération d’un pointeur d’“update” hébergé sur GitHub Raw, exfiltration du mot de passe via HTTP POST, puis exécution d’un script reçu côté attaquant via /bin/sh. Écosystème et persistance: l’acteur utilise un fichier update.html sur GitHub comme canal de configuration (rotation d’URL sans republier le module). Le module a été servi par le miroir public Go jusqu’au 16 décembre 2025; la Go security team le bloque désormais via le proxy (403 SECURITY ERROR), tandis que le compte GitHub de l’éditeur reste public au moment de la rédaction. — Chaîne d’exécution Linux et charges — ...