https://cyberveille.ch/tags/redishell/ Recent content in RediShell on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 27 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-27-p2pinfect-compromet-des-clusters-kubernetes-via-redis-exposes-pendant-6-mois/ Wed, 27 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-27-p2pinfect-compromet-des-clusters-kubernetes-via-redis-exposes-pendant-6-mois/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 20 mai 2026 par Akshat Pradhan (FortiGuard Labs / Fortinet), cet article présente une <strong>analyse technique approfondie</strong> de compromissions persistantes du botnet <strong>P2Pinfect</strong> détectées dans des clusters <strong>Google Kubernetes Engine (GKE)</strong> chez plusieurs clients, dont une compromission s&rsquo;étendant sur <strong>six mois</strong>.</p> <h2 id="-vecteur-initial-et-propagation">🎯 Vecteur initial et propagation</h2> <p>Les compromissions ont pour origine des <strong>instances Redis exposées et mal configurées</strong>. P2Pinfect exploite principalement :</p> <ul> <li>Des <strong>vulnérabilités Redis</strong> (dont CVE-2022-0543, sandbox escape Lua)</li> <li>La commande <strong>SLAVEOF</strong> pour transformer des nœuds Redis ouverts en followers</li> <li>Un <strong>SSH password sprayer</strong> basique</li> <li><strong>CVE-2025-11953</strong> (Metro4Shell) : RCE non authentifiée dans le serveur de développement React Native Metro, exploitée à partir de novembre 2025</li> <li><strong>CVE-2025-49844</strong> (RediShell) : RCE Redis via bypass sandbox Lua, évaluée avec <strong>faible confiance</strong> comme vecteur potentiel</li> </ul> <h2 id="-caractéristiques-techniques-du-malware">🛠️ Caractéristiques techniques du malware</h2> <ul> <li>Écrit en <strong>Rust</strong>, ciblant Linux x86_64, Windows et routeurs</li> <li>Binaires <strong>packés via UPX</strong></li> <li>Architecture <strong>peer-to-peer décentralisée</strong> résistante au sinkholing</li> <li>Communication sur <strong>ports non-standard</strong></li> <li>Distribution de payloads via URI uniformes (<code>/Linux</code>, <code>/Windows</code>, <code>/IP</code>)</li> <li>Argument de lancement encodé en <strong>base64</strong>, chiffré via <strong>ChaCha20</strong> avec clé et nonce nuls (obfuscation décorative)</li> <li>Le blob déchiffré contient une <strong>nodelist bootstrap</strong> (header 2 octets + enregistrements IP:Port)</li> </ul> <h2 id="-script-de-déploiement-identifié">📦 Script de déploiement identifié</h2> <p>Un nouveau script <code>deployer.sh</code> (MD5: <code>80676a539765a9e117f20b6b99887eca</code>) a été identifié :</p>