Des routeurs Juniper avec des backdoors!!

Salut à tous,

Aujourd'hui, on se retrouve pour aborder le sujet d'un récent rapport publié par l'équipe Mandiant de Google à propos de backdoors présentes dans des routeurs Juniper dont le titre est Ghost in the Router: China - Nexus Espionage Actor UNC3886 Targets Juniper Routers datant du 12 mars 2025.

Suite à une découverte de 2024 par Mandiant au nivveau des routeurs Junos OS de Juniper Networks, un rapport a été publié il y a quelques jours à ce sujet. On y apprend que le groupe d'espionnage chinois UNC3886 a mis en place ces portes dérobées en se basant sur TINYSHELL pour s'octroyer des capacités variées telles que la désactivation des mécanismes de journalisation.
Pour rappel, TINYSHELL est un backdoor léger en C permettant de contrôler à distance des systèmes compromis et qui utilise un protocole binaire personnalisé pour assurer la partie communication comme la possibilité d'ouvrir une session shell interactive ou télécharger des fichiers entre le système corrompu et le serveur de commande et de contrôle (C2). Il est facile à intégrer et à adapter pour les acteurs malveillants puisque celui-ci est basé sur code accessible publiquement. 
Parmi les techniques utilisées, le groupe est parvenu à contourner les protections de Veriexec via l'injection de processus pour permettre l'exécution de code malveillant par le biais des processus légitimes. En analysant les différents échantillons de malware, les équipes ont découvert que chacun dispose de fonctionnalité spécifiques tout en conservant les capacités de base de TINYSHELL.

Au niveau des implications de ces attaques, on peut souligner une tendance importante et inquiétante concernant les attaques ciblant les infrastructures réseau. En disposant d'un accès, le groupe va chercher à rester le plus longtemps possible mais aussi réaliser des actions perturbantes. Il est de mise d'avoir une vigilance accrue ainsi qu'un engagement important sur la partie d'identification des menaces afin d'atténuer les risques. 

Au niveau des recommandations de Mandiant, il est conseillé de mettre à jour les appareils Juniper vers les dernières versions, d'effectuer des vérifications de sécurité grâce à l'outil de suppression de malware Juniper (JMRT) et, bien entendu, de renforcer la gestion des accès et la surveillance des activités administratives.

Pour les règles de détection, elles sont disponibles à la fin du rapport. Il contient les règles YARA-L, YARA et Snort/Suricata.