Le malware furtif et persistant Plague affaiblit les systèmes Linux

Baptisée ‘Plague’, la porte dérobée Linux découverte par les chercheurs en sécurité de Nextron s’avère particulièrement insaisissable, indétectable même par VirusTotal. Elle se présente sous forme de module d'authentification enfichable (Pluggable Authentication Module, PAM) malveillant qui offre aux attaquants la possibilité de contourner l'authentification sans se faire remarquer et d'établir un accès SSH (Secure Shell) persistant. « Plague s'intègre profondément dans la pile d'authentification, survit aux mises à jour du système et ne laisse pratiquement aucune trace pour les enquêtes », ont déclaré les chercheurs dans un article de blog. « Sa combinaison avec une obfuscation multicouche et une altération de l'environnement la rend extrêmement difficile à détecter à l'aide d'outils traditionnels », ont-ils ajouté.

L'implant qui se fait passer pour un PAM, le framework d'authentification fiable de Linux, permet aux attaquants d'accéder secrètement au système. « Active depuis le 29 juillet 2024, la porte dérobée a évolué avec l'apparition de variantes, dont la dernière est apparue en mars 2025 », ont ajouté les experts. Les charges utiles observées par Nextron portaient des traces de compilation pour Debian, Ubuntu et d'autres distributions, ce qui suggère un ciblage plus large dans les environnements Linux.

Intégration dans la pile d'authentification

Grâce à son architecture, Plague peut s'intégrer profondément dans la pile d'authentification du système, fonctionnant à travers un fichier de bibliothèque partagée d'apparence bénigne (libselinus.so.8) tout en détournant des fonctions PAM telles que « pam_sm_authenticate() », c’est-à-dire le mécanisme chargé de vérifier les informations d'identification des utilisateurs lors de la connexion. « L'injection intègre Plague au processus de connexion, offrant ainsi aux pirates une porte dérobée cachée via un mot de passe codé en dur sans authentification utilisateur », ont déclaré les chercheurs. Comme elle fonctionne au niveau de l'authentification, aucun chargeur de malware ni mécanisme de persistance distinct n'est nécessaire.

La porte dérobée est déclenchée chaque fois que la pile PAM est invoquée, via SSH ou sudo par exemple. La façon dont Plague détourne le comportement légitime du système la rend aussi résistante aux mises à niveau et elle est difficile à détecter avec les outils de sécurité traditionnels, y compris les moteurs antivirus sur VirusTotal. « Même si tout au long de l'année dernière plusieurs variantes de cette porte dérobée ont été mises à jour sur VirusTotal, aucun moteur antivirus ne les signale comme malveillantes », ont indiqué les spécialistes. « À notre connaissance, il n'existe aucun rapport public ni aucune règle de détection disponible pour cette menace, ce qui laisse penser qu'elle a discrètement échappé à la détection dans plusieurs environnements. » Selon les captures d'écran partagées dans le blog, des dizaines de variantes téléchargées sur VirusTotal au cours de l'année dernière ont enregistré 0/66 détections.

De l'obfuscation à l'évasion d'audit

La furtivité de Plague commence dès la compilation. Les premières versions utilisaient un simple encodage de chaînes basé sur XOR, mais les variantes ultérieures ont déployé un cryptage multicouche, comprenant des routines KSA/PRGA personnalisées et des étapes basées sur DRBG, afin d'obscurcir les charges utiles et les chaînes décryptées. L'utilisation de routines cryptographiques avancées, notamment des algorithmes comme celui de planification des clés (Key Scheduling Algorithm, KSA), l'algorithme de génération pseudo-aléatoire (Pseudo-Random Generation Algorithm, PRGA) et la génération déterministe de bits aléatoires (Deterministic Random Bit Generation, DRBG), garantit une protection multicouche qui permet d'échapper à la fois à l'analyse statique des signatures et aux outils d'analyse basés sur des sandbox.

Malgré sa longue durée d'exécution, l'attribution de Plague reste inconnue. Les auteurs du logiciel malveillant ont toutefois laissé quelques indices après les routines de désobfuscation. Un échantillon nommé « hijack » faisait référence au film « Hackers » de Iain Softley (1995) dans un message affiché après « pam-authenticate ». « Euh, Monsieur The Plague ? Je pense que nous avons un hacker », disait le message. Nextron recommande d'adopter des stratégies d'analyse comportementale basées sur la mémoire et axées sur le PAM. En outre, il est conseillé aux équipes de sécurité d'auditer activement les configurations PAM, de surveiller les fichiers .so déposés dans /lib/security/ et de suivre les manipulations au niveau de l'environnement ou les comportements de nettoyage suspects.