Intercepter le trafic Internet à la racine : c’est l’objectif des cyber-criminels qui exploitent le malware SYNful Knock, découvert sur des routeurs Cisco.

Les équipes de FireEye attirent l’attention sur cette menace que l’on croyait encore très largement « théorique »… mais qui sévirait au bas mot depuis un an, avec des dégâts quant à eux bien concrets.

Une quinzaine de variantes de SYNful Knock ont été identifiées, dans quatre pays : l’Inde, le Mexique, l’Ukraine et les Philippines. Elles consistent systématiquement en une modification du firmware des routeurs affectés (modèles Cisco 1841, 2811, 3825 et probablement d’autres au vu de la similitude de leur code).

S’ils ne bénéficient pas d’un accès physique aux équipements visés, les cybercriminels qui souhaitent déployer cet implant doivent trouver un moyen de s’authentifier à distance. Dans de nombreux cas, il suffit de saisir le mot de passe par défaut…

Article complet : ici