Détails [Sécurité](https://www.crashdebug.fr/informatique/securite) Jung William 9 Décembre 2010 Création : 9 Décembre 2010 Mis à jour : 12 Janvier 2015 Clics : 1176 # [ Le réseau pirate Kroxxu infecte 100 000 nouveaux domaines](https://www.crashdebug.fr/le-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines "Le réseau pirate Kroxxu infecte 100 000 nouveaux domaines") 0.0 of 5 (0 Votes) Temps de lecture : **8 min** ***Eh oui ! Moi aussi je me croyais tranquille avec [ma veille de sécurité automatisée](https://www.crashdebug.fr/blackbox/76-astuce-logiciel/484-2-journalistes-de-france-3-enleves-en-afghanistan), un bon [Spybot](https://www.crashdebug.fr/blackbox/76-astuce-logiciel/2042-comment-tenter-de-se-proteger-des-malware-a-spyware) et un Antivirus ! C’était sans compter sur cette [liste des applications vulnérables recensées par Secunia](http://secunia.com/advisories/windows_insecure_library_loading/). Vous verrez on y trouve de tout, de Nero à Demons Tools en passant par Divx Player. Bonne Chance ! Mais la menace qui nous occupe est plus pernicieuse en l’occurrence, il s’agit d’un dénommé Kroxxu qui semble squatter les sites et les noms de domaine… Ouch…. En ce qui nous concerne 0 Spyware, 0 Malware, 0 Virus, mais j’ai quand même demandé des explications à Damien à l’origine de cette news pour tenter de se prémunir de cette nouveauté.*** ***![spybot.jpg](https://www.crashdebug.fr/media/plg_jspeed/cache/images/755f9b49ab0c1078dc185ad26b7f263bbd0da11d.webp)*** **Le botnet du réseau pirate Kroxxu a infecté, cette année, pas moins de 100 000 sites Internet.** Au cours des douze derniers mois, les chercheurs des laboratoires avast! ont suivi l’évolution de Kroxxu, un réseau pirate novateur d'auto-génération de logiciels malveillants, volant les mots de passe. Ce botnet de grande envergure, a infecté environ 100 000 nouveaux sites et probablement plus d‘un million d'utilisateurs à travers le monde. Les chercheurs d’avast! n'ont cependant pas encore découvert comment ces créateurs se rémunèrent. « Il existe différentes méthodes qui auraient pu permettre à ce nouveau réseau de se développer. Les quatre méthodes les plus probables sont le piratage grâce à la vente d'espace sur les serveurs infectés, l'utilisation du botnet pour soutenir les activités d'autres pirates, aux virus plus rentables, la vente de lettres de créances volées, ou encore l‘utilisation de keyloggers (ou enregistreurs de frappe) pour étendre d’autres spams. Mais à ce stade, il est plus important de découvrir comment fonctionne ce botnet que de découvrir son business plan. » **Tout commence avec les mots de passe** Kroxxu se concentre exclusivement sur le vol des mots de passe FTP. A la différence de son prédécesseur Gumblar et aux botnet traditionnels, l'expansion de Kroxxu est entièrement basée sur des sites web infectés - et non sur des [ordinateurs ](http://www.zataz.com/alerte-virus/20866/Le-r%C3%A9seau-pirate-Kroxxu-infecte-100-000-nouveaux-domaines.html#)[portables![mag glass 10x10](http://images.intellitxt.com/ast/adTypes/mag-glass_10x10.gif)](http://www.zataz.com/alerte-virus/20866/Le-r%C3%A9seau-pirate-Kroxxu-infecte-100-000-nouveaux-domaines.html#). Les mots de passe volés permettent aux créateurs de Kroxxu d‘ ajouter un script simple au contenu du site original, permettant de télécharger et de modifier des fichiers sur des serveurs infectés et d’étendre le réseau vers d'autres serveurs dans le monde entier. Les laboratoires avast! estiment ainsi que le « zombie » Kroxxu inclue plus de 10 000 redirecteurs, 2 500 redirecteurs PHP et 700 logiciels malveillants supplémentaires dans le monde, connectés aléatoirement et contrôlés à distance dans des lieux cachés. La redirection est un élément essentiel pour Kroxxu puisqu’elle lui permet de se cacher. La plus longue connexion active trouvée jusqu'ici a utilisé au total 15 redirecteurs, sans troubler la méfiance de l’internaute, à travers sept pays et sur trois continents différents. Cela pourrait être aussi bien une caractéristique destinée à masquer la répartition et la diffusion des malwares qu’une courte panne dans le processus d’infection automatisé. La capacité des composants du botnet à modifier sans cesse leur rôle, est une spécificité propre à Kroxxu. Les lettres de créance volées sont quant à elles utilisées pour soutenir le développement du réseau avec de nouveaux domaines infectés ajoutés à un réseau multi-couches où chaque élément exécute des tâches bien spécifiques. « Les attaques de Kroxxu sont basées sur le fait que toutes les parties du réseau sont égales et interchangeables. Si une partie est utilisée comme redirecteur initial, elle peut également l‘être pour la distribution finale au même ou à un autre moment », explique Jiri Sejtko. « Cela lui permet de se dupliquer beaucoup plus facilement et rapidement. » **Kroxxu: des virus dont il est difficile de se débarrasser** La croissance de Kroxxu a été régulière avec 1 000 nouveaux domaines employés improprement chaque mois depuis son émergence en octobre 2009. Elle se caractérise par la longévité des infections et la difficulté à les éliminer d‘un serveur. Les laboratoires avast! ont ainsi constaté que 985 redirecteurs PHP et 336 distributeurs de logiciels malveillants installés dans les sites infectés ont survécu plus de trois mois sans attirer l‘attention de la part des administrateurs des sites en question. Il semble que la plupart d’entre eux ignorent ou plus vraisemblablement, ne soient pas au courant de l'infection. Or seul l'administrateur ou le propriétaire du site piraté peut légalement se débarrasser de l'infection. **La distinction entre les sites malveillants de base et les sites piratés redistribuant des virus** A moyen terme, la présence de Kroxxu sur des serveurs infectés pourrait avoir un impact sur les URL des moteurs de recherche qui doivent faire la différence entre de purs virus informatiques et des logiciels malveillants provenant de réseaux zombies. Avast! par exemple, utilise ces URL pour empêcher ses utilisateurs d‘accéder aux 100 000 domaines infectés par Kroxxu. Le succès relatif de Kroxxu et son utilisation exclusive de serveurs détournés, augmente le risque d’imitation d’autres botnets. Un problème mettant en évidence la façon dont les autorités déterminent les statuts d’un site. La confusion qui existe aujourd’hui entre les virus informatiques de base et les virus provenant de réseaux zombies pourrait décupler l’impact de Kroxxu au delà de l’estimation d’un million d’utilisateurs et de 100 000 domaines désormais infectés. **Les chiffres Kroxxu** Réseau avec plus de 10 000 redirecteurs, 2 500 redirecteurs PHP et 700 sites supplémentaires de distribution de logiciels malveillants ; les 15 redirecteurs utilisés en terme de connexion active la plus longue, renvoient les internautes à travers sept pays dans trois continents différents ; la durée de vie des serveurs infectés par Kroxxu est de 90 jours. Source : [Zataz.com](http://www.zataz.com/alerte-virus/20866/Le-r%C3%A9seau-pirate-Kroxxu-infecte-100-000-nouveaux-domaines.html) Vous aimez ce que vous lisez ? Notre travail est gratuit et indépendant, mais il a un coût. Vous pouvez nous soutenir librement grâce à un don via *[Tipeee](https://fr.tipeee.com/crashdebug-fr)* ou *[PayPal](https://www.paypal.com/paypalme/Crashdebug)*. Si vous ne pouvez pas nous aider financièrement (ce que je peux comprendre parfaitement), vous pouvez partager les articles sur vos réseaux sociaux, et parler du site autour de vous. Merci à celles et ceux qui rendent tout cela possible. [![Google](https://www.google.com/images/branding/googleg/1x/googleg_standard_color_128dp.png)Ajouter Crashdebug.fr à Google](https://www.google.com/preferences/source?q=crashdebug.fr) ## Partager sur les réseaux sociaux [ Publier 0Nombre de partages sur X ](https://twitter.com/share?url=https%3A%2F%2Fwww.crashdebug.fr%2Fle-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines&text=Le%20r%C3%A9seau%20pirate%20Kroxxu%20infecte%20100%20000%20nouveaux%20domaines)0Nombre de partages sur X [ Partager 0Nombre de partages sur Facebook ](https://facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.crashdebug.fr%2Fle-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines)0Nombre de partages sur Facebook [ Partager 0Nombre de partages sur Linkedin ](https://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fwww.crashdebug.fr%2Fle-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines&text=Le%20r%C3%A9seau%20pirate%20Kroxxu%20infecte%20100%20000%20nouveaux%20domaines)0Nombre de partages sur Linkedin [ E-mail 0Nombre de partages sur Email ](mailto:?subject=https%3A%2F%2Fwww.crashdebug.fr%2Fle-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines&body=Le%20r%C3%A9seau%20pirate%20Kroxxu%20infecte%20100%20000%20nouveaux%20domaines)0Nombre de partages sur Email [ WhatsApp 0Nombre de partages sur Whatsapp ](https://web.whatsapp.com/send?text=https%3A%2F%2Fwww.crashdebug.fr%2Fle-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines%20Le%20r%C3%A9seau%20pirate%20Kroxxu%20infecte%20100%20000%20nouveaux%20domaines)0Nombre de partages sur Whatsapp [ Télégramme 0Nombre de partages sur Telegram ](https://t.me/share/url?url=https%3A%2F%2Fwww.crashdebug.fr%2Fle-reseau-pirate-kroxxu-infecte-100-000-nouveaux-domaines&text=Le%20r%C3%A9seau%20pirate%20Kroxxu%20infecte%20100%20000%20nouveaux%20domaines)0Nombre de partages sur Telegram --- [ Previous ](https://www.crashdebug.fr/la-superette-du-blackmarket "La supérette du blackmarket") [ Next ](https://www.crashdebug.fr/ares-le-successeur-de-zeus "Ares, le successeur de Zeus") ![loader](https://www.crashdebug.fr/media/com_rscomments/images/loader.gif) [ My comments ](https://www.crashdebug.fr/javascript:void(0); "This will show all of your comments.") [ Subscribe ](https://www.crashdebug.fr/javascript:void(0) "Subscribe") [](https://www.crashdebug.fr/javascript:void(0); "Bold") [](https://www.crashdebug.fr/javascript:void(0); "Italic") [](https://www.crashdebug.fr/javascript:void(0); "Underline") [](https://www.crashdebug.fr/javascript:void(0); "Stroke") [](https://www.crashdebug.fr/javascript:void(0); "Quote") [](https://www.crashdebug.fr/javascript:void(0); "Emoticons") [](https://www.crashdebug.fr/javascript:void(0); "Preview") [![:confused:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/confused.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:cool:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/cool.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:cry:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/cry.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:laugh:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/laugh.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:lol:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/lol.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:normal:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/normal.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:blush:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/redface.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:rolleyes:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/rolleyes.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:sad:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/sad.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:shocked:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/shocked.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:sick:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/sick.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:sleeping:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/sleeping.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:smile:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/smile.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:surprised:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/surprised.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:tongue:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/tongue.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:unsure:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/unsure.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:whistle:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/whistling.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:wink:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/wink.gif)](https://www.crashdebug.fr/javascript:void(0);) [](https://www.crashdebug.fr/javascript:void(0); "Close preview") ![loader](https://www.crashdebug.fr/media/com_rscomments/images/loader.gif) 1000 Characters left --- Subscribe [ I agree to the terms and conditions. ](https://www.crashdebug.fr/javascript:void(0)) I consent to this website collecting my details through this form. ![captcha](https://www.crashdebug.fr/component/rscomments/captcha?type=form8c61b885396a126a28481545a9d93d53&sid=6ac7e1f8b601d&Itemid=56 "The captcha code is case insensitive.") [ ](https://www.crashdebug.fr/javascript:void(0)) ![loader](https://www.crashdebug.fr/media/com_rscomments/images/loader.gif) ### Terms & Conditions [I Agree](https://www.crashdebug.fr/javascript:void(0))[Close](https://www.crashdebug.fr/javascript:void(0)) ### Subscribe ### Report ### My comments