https://cyberveille.ch/tags/elf-malware/ Recent content in ELF Malware on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 05 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-05-knock-outd-une-backdoor-linux-par-port-knocking-non-detectee-decouverte-dans-la-nature/ Mon, 05 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-05-knock-outd-une-backdoor-linux-par-port-knocking-non-detectee-decouverte-dans-la-nature/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 2 octobre 2026 par Ivan Kwiatkowski sur le blog VirLabs, cet article présente l&rsquo;analyse technique d&rsquo;un <strong>échantillon Linux malveillant</strong> découvert sur VirusTotal avec <strong>0 détection</strong> au moment de son upload (25 mai 2026). L&rsquo;auteur le nomme <strong>knock-outd</strong>, d&rsquo;après le nom de fichier source préservé dans la table des symboles ELF (<code>knock-outd.c</code>).</p> <h2 id="-description-technique-du-malware">🧬 Description technique du malware</h2> <ul> <li><strong>Type</strong> : backdoor Linux statiquement liée (x86-64), embarquant <strong>libpcap</strong></li> <li><strong>Mécanisme</strong> : port-knocking — le malware écoute en mode promiscuous sur une interface réseau et attend une séquence de paquets spécifique avant de déclencher un exécutable secondaire</li> <li><strong>Masquage</strong> : écrase ses arguments de processus visibles avec <code>bash</code> suivi d&rsquo;espaces, change son répertoire de travail vers <code>/</code>, et fork un processus fils de surveillance réseau</li> <li><strong>Watchdog</strong> : le processus parent redémarre le worker toutes les <strong>deux heures</strong> via SIGTERM + waitpid</li> </ul> <h2 id="-mécanisme-de-port-knocking">📡 Mécanisme de port-knocking</h2> <p>Le filtre de capture BPF combine l&rsquo;adresse IPv4 de l&rsquo;interface avec des ports sources spécifiques :</p>