Nous nous y attendions depuis longtemps et conseillions à nos clients de bloquer systématiquement tout trafic IMAP, POP et SMTP inconnu. Un rootkit exploitant précisément cette faille de sécurité vient d’être publié sur Github.
Une rapide analyse du code révèle que les protocoles IMAP et SMTP via SSL sont utilisés pour récupérer des e-mails dans une boîte de réception et recevoir des messages encodés en BASE64, et qu’ils permettront à l’avenir d’échanger également des fichiers.
À l’heure actuelle, le code publié permet de :
- S’implanter durablement dans le système (en tant que client de messagerie Python)
- Transférer des fichiers
- Changer de répertoire
- Lire les informations système
- Envoyer des commandes arbitraires au système et en renvoyer les résultats.
N’hésitez pas à nous contacter pour renforcer la sécurité de votre système. Nous vous accompagnons également dans la migration vers Exchange ou Office365 afin de fermer définitivement cette porte d’entrée.