FritzFrog কীট সনাক্ত করা হয়েছে, SSH এর মাধ্যমে সার্ভারগুলিকে সংক্রামিত করছে এবং একটি বিকেন্দ্রীভূত বটনেট তৈরি করছে

গার্ডিকোর কোম্পানি, ডেটা সেন্টার এবং ক্লাউড সিস্টেমের সুরক্ষায় বিশেষজ্ঞ, প্রকাশিত FritzFrog, একটি নতুন হাই-টেক ম্যালওয়্যার যা লিনাক্স-ভিত্তিক সার্ভারগুলিতে আক্রমণ করে। FritzFrog একটি কীটকে একত্রিত করে যা একটি উন্মুক্ত SSH পোর্ট সহ সার্ভারে ব্রুটফোর্স আক্রমণের মাধ্যমে ছড়িয়ে পড়ে এবং একটি বিকেন্দ্রীভূত বটনেট তৈরি করতে উপাদানগুলিকে একত্রিত করে যা নিয়ন্ত্রণ নোড ছাড়াই কাজ করে এবং ব্যর্থতার কোন একক পয়েন্ট নেই৷

একটি বটনেট তৈরি করতে, একটি মালিকানাধীন P2P প্রোটোকল ব্যবহার করা হয়, যেখানে নোডগুলি একে অপরের সাথে যোগাযোগ করে, আক্রমণের সংগঠনকে সমন্বয় করে, নেটওয়ার্কের অপারেশনকে সমর্থন করে এবং একে অপরের অবস্থা পর্যবেক্ষণ করে। SSH-এর মাধ্যমে অনুরোধ গ্রহণকারী সার্ভারগুলিতে ব্রুটফোর্স আক্রমণ চালিয়ে নতুন শিকার খুঁজে পাওয়া যায়। যখন একটি নতুন সার্ভার সনাক্ত করা হয়, তখন লগইন এবং পাসওয়ার্ডের সাধারণ সমন্বয়ের একটি অভিধান অনুসন্ধান করা হয়। যে কোনো নোডের মাধ্যমে নিয়ন্ত্রণ করা যেতে পারে, যা বটনেট অপারেটরদের সনাক্ত করা এবং ব্লক করা কঠিন করে তোলে।

গবেষকদের মতে, বটনেটে ইতিমধ্যেই প্রায় 500টি নোড রয়েছে, যার মধ্যে বেশ কয়েকটি বিশ্ববিদ্যালয় এবং একটি বড় রেলওয়ে কোম্পানির সার্ভার রয়েছে৷ উল্লেখ্য, হামলার মূল লক্ষ্য হল শিক্ষা প্রতিষ্ঠান, চিকিৎসা কেন্দ্র, সরকারি সংস্থা, ব্যাংক এবং টেলিযোগাযোগ কোম্পানির নেটওয়ার্ক। সার্ভারের সাথে আপস করার পরে, Monero cryptocurrency খনির প্রক্রিয়া এটিতে সংগঠিত হয়। প্রশ্নে থাকা ম্যালওয়্যারের কার্যকলাপ জানুয়ারী 2020 থেকে সনাক্ত করা হয়েছে।

FritzFrog সম্পর্কে বিশেষ জিনিস হল যে এটি সমস্ত ডেটা এবং এক্সিকিউটেবল কোড শুধুমাত্র মেমরিতে রাখে। ডিস্কের পরিবর্তনগুলি শুধুমাত্র অনুমোদিত_কি ফাইলে একটি নতুন SSH কী যোগ করে, যা পরবর্তীতে সার্ভার অ্যাক্সেস করতে ব্যবহৃত হয়। সিস্টেম ফাইলগুলি পরিবর্তন করা হয় না, যা চেকসাম ব্যবহার করে অখণ্ডতা পরীক্ষা করে এমন সিস্টেমে কীটটিকে অদৃশ্য করে তোলে। মেমরিটি ব্রুট-ফোর্সিং পাসওয়ার্ড এবং মাইনিংয়ের জন্য ডেটার অভিধানও সঞ্চয় করে, যা P2P প্রোটোকল ব্যবহার করে নোডগুলির মধ্যে সিঙ্ক্রোনাইজ করা হয়।

দূষিত উপাদানগুলি ifconfig, libexec, php-fpm এবং nginx প্রক্রিয়া হিসাবে ছদ্মবেশিত হয়৷ বটনেট নোডগুলি তাদের প্রতিবেশীদের অবস্থা নিরীক্ষণ করে এবং, যদি সার্ভার রিবুট করা হয় বা এমনকি OS পুনরায় ইনস্টল করা হয় (যদি একটি পরিবর্তিত অনুমোদিত_কি ফাইল নতুন সিস্টেমে স্থানান্তর করা হয়), তারা হোস্টে ক্ষতিকারক উপাদানগুলিকে পুনরায় সক্রিয় করে। যোগাযোগের জন্য, স্ট্যান্ডার্ড SSH ব্যবহার করা হয় - ম্যালওয়্যার অতিরিক্তভাবে একটি স্থানীয় "নেটক্যাট" চালু করে যা লোকালহোস্ট ইন্টারফেসের সাথে আবদ্ধ হয় এবং পোর্ট 1234-এ ট্র্যাফিক শোনে, যা সংযোগ করার জন্য অনুমোদিত_কি থেকে একটি কী ব্যবহার করে একটি SSH টানেলের মাধ্যমে এক্সটার্নাল হোস্ট অ্যাক্সেস করে।

FritzFrog কম্পোনেন্ট কোড Go-তে লেখা এবং মাল্টি-থ্রেডেড মোডে চলে। ম্যালওয়্যারে বিভিন্ন মডিউল রয়েছে যা বিভিন্ন থ্রেডে চলে:

• ক্র্যাকার - আক্রমণ করা সার্ভারে পাসওয়ার্ড অনুসন্ধান করে।
• CryptoComm + পার্সার - একটি এনক্রিপ্ট করা P2P সংযোগ সংগঠিত করে।
• CastVotes হল যৌথভাবে আক্রমণের জন্য লক্ষ্য হোস্ট নির্বাচন করার একটি প্রক্রিয়া।
• টার্গেটফিড - প্রতিবেশী নোড থেকে আক্রমণ করার জন্য নোডের একটি তালিকা পায়।
• DeployMgmt হল একটি কীটের বাস্তবায়ন যা একটি আপস করা সার্ভারে দূষিত কোড বিতরণ করে।
• মালিকানাধীন - এমন সার্ভারের সাথে সংযোগ করার জন্য দায়ী যা ইতিমধ্যেই দূষিত কোড চালাচ্ছে।
• একত্রিত করা - পৃথকভাবে স্থানান্তরিত ব্লক থেকে মেমরিতে একটি ফাইল একত্রিত করে।
• অ্যান্টিভির - প্রতিযোগী ম্যালওয়্যার দমন করার জন্য একটি মডিউল, "xmr" স্ট্রিং দিয়ে প্রক্রিয়াগুলি সনাক্ত করে এবং সমাপ্ত করে যা CPU সংস্থানগুলি ব্যবহার করে৷
• Libexec হল Monero cryptocurrency খনির জন্য একটি মডিউল।

FritzFrog-এ ব্যবহৃত P2P প্রোটোকল নোডের মধ্যে ডেটা স্থানান্তর, স্ক্রিপ্ট চালানো, ম্যালওয়্যার উপাদান স্থানান্তর, পোলিং স্ট্যাটাস, লগ বিনিময়, প্রক্সি চালু করা ইত্যাদির জন্য দায়ী প্রায় 30টি কমান্ড সমর্থন করে। JSON ফর্ম্যাটে সিরিয়ালাইজেশন সহ একটি পৃথক এনক্রিপ্ট করা চ্যানেলের মাধ্যমে তথ্য প্রেরণ করা হয়। এনক্রিপশন অপ্রতিসম AES সাইফার এবং Base64 এনকোডিং ব্যবহার করে। DH প্রোটোকল কী বিনিময়ের জন্য ব্যবহৃত হয় (ডাইফি-হেলম্যান) রাষ্ট্র নির্ধারণ করতে, নোড ক্রমাগত পিং অনুরোধ বিনিময়.

সমস্ত বটনেট নোড আক্রমণ করা এবং আপস করা সিস্টেম সম্পর্কে তথ্য সহ একটি বিতরণ করা ডাটাবেস বজায় রাখে। আক্রমণ লক্ষ্যবস্তু বটনেট জুড়ে সিঙ্ক্রোনাইজ করা হয় - প্রতিটি নোড একটি পৃথক লক্ষ্য আক্রমণ করে, যেমন দুটি ভিন্ন বটনেট নোড একই হোস্ট আক্রমণ করবে না। নোডগুলি স্থানীয় পরিসংখ্যান সংগ্রহ করে এবং প্রতিবেশীদের কাছে প্রেরণ করে, যেমন বিনামূল্যের মেমরির আকার, আপটাইম, CPU লোড এবং SSH লগইন কার্যকলাপ। এই তথ্যটি মাইনিং প্রক্রিয়া শুরু করা বা নোড ব্যবহার করার সিদ্ধান্ত নেওয়ার জন্য ব্যবহার করা হয় শুধুমাত্র অন্যান্য সিস্টেমে আক্রমণ করার জন্য (উদাহরণস্বরূপ, লোড করা সিস্টেমে বা ঘন ঘন প্রশাসক সংযোগ সহ সিস্টেমে খনি শুরু হয় না)।

FritzFrog সনাক্ত করতে, গবেষকরা একটি সহজ প্রস্তাব করেছেন শেল স্ক্রিপ্ট. সিস্টেমের ক্ষতি নির্ধারণ করতে
1234 পোর্টে শোনা সংযোগের উপস্থিতি, উপস্থিতির মতো লক্ষণ দূষিত কী অনুমোদিত_কীগুলিতে (সমস্ত নোডে একই SSH কী ইনস্টল করা আছে) এবং "ifconfig", "libexec", "php-fpm" এবং "nginx" চলমান প্রসেসগুলির মেমরিতে উপস্থিতি যা সম্পর্কিত এক্সিকিউটেবল ফাইল নেই ("/proc/" /exe" একটি দূরবর্তী ফাইলের দিকে নির্দেশ করে)। একটি চিহ্ন নেটওয়ার্ক পোর্ট 5555-এ ট্র্যাফিকের উপস্থিতিও হতে পারে, যা মনরো ক্রিপ্টোকারেন্সির মাইনিংয়ের সময় ম্যালওয়্যার সাধারণ পুল web.xmrpool.eu-এ অ্যাক্সেস করলে ঘটে।

উত্স: opennet.ru