Luz98w9n

🔒 Contenu de sécurité — usage encadré

Cette page décrit un échantillon de code malveillant réel, sous forme d'indicateurs de compromission uniquement à des fins exclusivement pédagogiques et professionnelles (formation, préparation de certification, montée en compétence défensive).

Ces techniques ne doivent être mises en œuvre que dans un laboratoire isolé ou sur un système pour lequel vous disposez d'une autorisation écrite explicite du propriétaire. Les employer contre un système tiers sans autorisation est une infraction pénale (art. 323-1 et suivants du Code pénal). Voir les avertissements généraux.

Fiche express
Type	Bot IRC / échantillon de malware
Fichier	luz98w9n.tmp
Langage	Perl
Famille	CyberPunk Perl Bot (pbot)
C2	ssh[.]rocks:443 (IRC, canal #cabal)
Voir aussi	Notes exploit · Botnet · Rootkit

luz98w9n.tmp est un bot IRC en Perl relevé sur une machine compromise, de la famille CyberPunk Perl Bot (pbot). Cette page en documente les indicateurs de compromission et les capacités, à des fins de détection.

⚠ Avertissement : Le code source de cet échantillon n'est pas reproduit ici. Il s'agit d'un logiciel malveillant complet et fonctionnel : le publier reviendrait à mettre à disposition un moyen d'atteinte à un système de traitement automatisé de données (art. 323-3-1 du Code pénal), ce que la vocation documentaire de cette fiche ne justifie pas. Les indicateurs ci-dessous suffisent à la détection, qui est le seul objet de cette page.

Contexte

L'échantillon a été relevé sur un système compromis (voir Notes exploit), déployé après une élévation de privilèges. Une fois lancé, il se connecte à un serveur IRC de commande et contrôle (C2) et attend les ordres d'un opérateur.

Le schéma est classique des bots IRC en Perl des années 2010 : un unique script interprété, déposé dans un répertoire temporaire, sans persistance sophistiquée, mais offrant à l'opérateur un contrôle complet de la machine et de sa bande passante.

Capacités observées

• Déni de service distribué : floods UDP, TCP, HTTP et requêtes SQL en boucle.
• Accès interactif : ouverture d'un reverse shell vers une adresse et un port fournis

 par l'opérateur.

• Recherche de cibles : énumération de sites vulnérables par dork via moteur de

 recherche, puis tentatives d'injection SQL automatisées.

• Relais : installation d'un proxy SOCKS5 et scan de ports, la machine servant de rebond.
• Envoi de courriels en masse depuis l'hôte compromis.
• Effacement de traces : suppression d'entrées de journaux (voir Cover-tracks).

Indicateurs de compromission

Adresses volontairement neutralisées (defanged) — ne pas les rendre cliquables.

Type	Indicateur
Nom de fichier	luz98w9n.tmp
Nom de processus (camouflage)	cpuset
C2	ssh[.]rocks, port 443 (protocole IRC, pas TLS)
Canal IRC	#cabal
Charge distante	hxxp://trick[.]ca/dada/.setan/mocks.conf
Artefacts disque	/tmp/mocks-0.0.2/ (configuration et journal du proxy SOCKS)

Détection

• Réseau : toute connexion sortante en IRC sur le port 443 est anormale sur un

 serveur — le port suggère du TLS, le trafic n'en est pas. Un simple contrôle protocole/port
 suffit à lever l'alerte.

• Processus : un interpréteur perl dont le nom affiché est cpuset

 (nom d'un sous-système noyau) est un signal fort de camouflage.

• Disque : présence de /tmp/mocks-0.0.2/ ou d'un .tmp exécutable

 dans un répertoire temporaire.

• Journaux : trous ou entrées manquantes dans utmp/wtmp, cohérents

 avec la fonction d'effacement de traces.

Remédiation

La machine doit être considérée comme entièrement compromise : le bot est déployé après élévation de privilèges, et l'opérateur a disposé d'un accès interactif. Réinstallation, rotation de tous les identifiants ayant transité par l'hôte, et analyse du vecteur d'entrée initial.

Voir aussi

• Notes exploit — contexte de la compromission
• Botnet — principe des réseaux de machines compromises
• Cover-tracks — effacement de traces (côté défensif : ce qu'il faut chercher)
• Escalation privileges — l'étape qui précède le déploiement du bot