La campagne de logiciels malveillants Linux exploite le code généré par l’IA et les JPEG Panda armées pour déployer des rootkits de cryptomiminage furtifs et persistants.
Une nouvelle souche malveillante nommée «Koske» fournit des charges utiles d’extro-aliments crypto via des fichiers compte-gouttes qui se font passer comme des images de panda bénignes.
Selon Aqua Nautilus, l’équipe de cybersécurité d’Aqua Security, le logiciel malveillant utilise probablement une AI-assistance car son code semble façonné par des modèles de grande langue (LLM).
« Koske, une menace sophistiquée Linux, montre des signes clairs de développement assisté par l’IA, comme avec l’aide d’un modèle de langue large », a écrit le chercheur ASFAF Morag dans un article de blog. «Il représente une nouvelle race de logiciels malveillants persistants et adaptables conçus dans un but: la cryptomiminage.»
Les logiciels malveillants assistés par AI présentent des capacités avancées, y compris les charges utiles modulaires, les rootkits évasifs et la livraison via des fichiers d’image armées.
Accès initial et livraison via des images Panda
La campagne commence par les attaquants exploitant une instance JupyterLab mal configurée, leur permettant de télécharger deux images à partir d’une URL raccourcie. Ces fichiers sont des jpegs polyglots, essentiellement des images régulières avec des charges utiles annexées.
« L’accès initial est obtenu par l’exploitation d’une instance JupyterLab mal configurée à partir d’une adresse IP serbe 178.220.112.53 Origine », a déclaré Morag. Les recherches d’Aqua n’ont pas cité de faille CVE ou de configuration spécifique, notant que l’accent est principalement mis sur le comportement post-exploitation et la livraison de charge utile.
Un tel point d’entrée peut avoir été le CVE-2025-30370, une vulnérabilité de haute sévérité récemment divulguée dans l’extension JupyterLab-git qui permet l’injection de commande. Un tel défaut peut permettre aux attaquants la mise en place initiale nécessaire pour exécuter les charges utiles générées par l’IA cachées dans les images Panda.
Lorsqu’elles sont exécutées, les images Panda extraient et exécutent des scripts C. Malecious C et des scripts shell en mémoire, en contournant les outils antivirus traditionnels et restant non détecté sur le disque.
« Seuls les derniers octets sont téléchargés et exécutés, ce qui en fait une forme sournoise d’abus de polyglotte », a ajouté Morag. « Il s’agit d’un fichier à double usage qui échappe à la détection en mélangeant des données d’image avec des charges utiles exécutables. Les octets X initiaux sont l’image elle-même, tandis que la dernière partie du fichier est un code de shell destiné à être exécuté après la livraison de la charge utile principale au système ciblé. »
Charge utile modulaire pour la furtivité et la persistance
Koske utilise plusieurs tactiques pour rester cachés et persistants. Il détourne les fichiers de configuration cachés utilisés par le shell bash pour exécuter un script système personnalisé qui maintient la communication avec l’infrastructure de commande et de contrôle (C2) pour la persistance.
De plus, le rootkit, écrit en C, Hijacks ReadDir (), un appel système pour lire le contenu du répertoire, pour cacher les processus et les fichiers nommés «Koske» ou «Hideproc».
Le malware s’inscrit en tant que service d’arrière-plan, met en place des tâches planifiées récurrentes et échappe à la détection en dissimulant ses processus à partir d’outils de surveillance standard. Sa logique adaptative, y compris les routines de vérification des procurations, une sélection intelligente entre 18 mineurs de crypto-monnaie et les comportements de secours, est probablement une fonction d’IA empruntée, a noté Morag dans le blog.
Aqua a recommandé la surveillance des modifications de bash non autorisées, les réécritures DNS inattendues et l’utilisation de la télémétrie de protection contre l’exécution pour repérer le comportement de la coquille anormale. De plus, le blocage de l’exécution des charges utiles de fichiers polyglots et des rootkits cachés (avec prévention de la dérive) a été conseillé. Le blog a partagé quelques indicateurs de compromis (CIO), y compris les adresses IP, les URL et les noms de fichiers utilisés dans les attaques.
