Byl zjištěn červ FritzFrog, který napadá servery přes SSH a vytváří decentralizovanou botnet.

Společnost Guardicore, specializující se na ochranu datových center a cloudových systémů, odhalila nový vysoce technologický malware FritzFrog, který napadá servery na bázi Linuxu. FritzFrog kombinuje červ, který se šíří prostřednictvím bruteforce útoků na servery s otevřeným portem SSH, a komponenty pro vytváření decentralizované botnety, která funguje bez řídících uzlů a nemá jediné místo selhání.

Pro vytváření botnetu se používá vlastní P2P protokol, ve kterém si uzly vzájemně komunikují, koordinují organizaci útoků, udržují chod sítě a kontrolují stav jeden druhého. Nové oběti se nacházejí pomocí bruteforce útoků na servery, které přijímají SSH požadavky. Při objevení nového serveru se provádí procházení pomocí slovníku typických kombinací uživatelských jmen a hesel. Řízení může být prováděno přes libovolný uzel, což ztěžuje odhalení a zablokování operátorů botnetu.

Podle výzkumníků botnet již zahrnuje přibližně 500 uzlů, mezi nimiž se objevil servery několika univerzit a velké železniční společnosti. Je poznamenáno, že hlavním cílem útoku jsou sítě vzdělávacích institucí, zdravotnických center, vládních institucí, bank a telekomunikačních společností. Po kompromitaci serveru je na něm zahájen proces těžby kryptoměny Monero. Aktivita tohoto malware je sledována od ledna 2020.

Charakteristikou FritzFrog je, že uchovává všechna data a vykonávaný kód pouze v paměti. Změny na disku spočívají pouze v přidání nového SSH klíče do souboru authorized_keys, který je poté používán pro přístup k serveru. Systémové soubory se nemění, což činí červ neviditelným pro systémy kontrolující integritu pomocí kontrolních součtů. V paměti jsou drženy také slovníky pro procházení hesel a údaje pro těžbu, které se synchronizují mezi uzly pomocí P2P protokolu.

Škodlivé komponenty se maskují jako procesy „ifconfig“, „libexec“, „php-fpm“ a „nginx“. Uzly botnetu sledují stav sousedů a v případě restartu serveru nebo dokonce přeinstalace OS (pokud byl do nového systému přenesen změněný soubor authorized_keys) znovu aktivují škodlivé komponenty na hostiteli. Pro komunikaci se používá standardní SSH – škodlivý software navíc spouští lokální „netcat“, který se připojuje k rozhraní localhost a naslouchá provozu na portu 1234, na který se externí uzly obracejí prostřednictvím SSH tunelu pomocí klíče z authorized_keys.

Kód komponentů FritzFrog je napsán v jazyce Go a funguje v multithreadovém režimu. Škodlivý software zahrnuje několik modulů, které se spouštějí v různých vláknech:

• Cracker – provádí výběr hesel na napadených serverech.
• CryptoComm + Parser – organizuje šifrované P2P připojení.
• CastVotes – mechanismus společného výběru cílových hostitelů pro útok.
• TargetFeed – získává seznam uzlů pro útok od sousedních uzlů.
• DeployMgmt – realizace červa, který šíří škodlivý kód na kompromitovaném serveru.
• Owned – odpovídá za připojení k serverům, na kterých již běží škodlivý kód.
• Assemble – skládá soubor v paměti z jednotlivě přenášených bloků.
• Antivir – modul pro potlačení konkurenčních škodlivých programů, identifikuje a ukončuje procesy se řetězcem „xmr“, které spotřebovávají CPU.
• Libexec – modul pro těžbu kryptoměny Monero.

Používaný v FritzFrog P2P protokol podporuje přibližně 30 příkazů odpovídajících za přenos dat mezi uzly, spouštění skriptů, přenos komponentů škodlivého software, dotazování stavu, výměna logů, spuštění proxy atd. Informace se přenášejí přes samostatný šifrovaný kanál s serializací do formátu JSON. Pro šifrování se používá asymetrický šifrovací algoritmus AES a kódování Base64. Pro výměnu klíčů se používá protokol DH (Diffie-Hellman). Pro určení stavu si uzly neustále vyměňují ping požadavky.

Všechny uzly botnetu podporují distribuovanou databázi s informacemi o napadených a kompromitovaných systémech. Cíle pro útok jsou synchronizovány v celém botnetu — každý uzel napadá konkrétní cíl, tj. dva různé uzly botnetu nebudou útočit na jeden a tentýž host. Uzdly také sbírají a předávají sousedům místní statistiky, jako je velikost volné paměti, uptime, zatížení CPU a aktivita SSH přístupů. Tyto informace se používají k rozhodnutí o spuštění těžebního procesu nebo využití uzlu pouze pro útoky na jiné systémy (například těžba se nespouští na přetížených systémech nebo systémech s častými připojeními administrátora).

Pro odhalení FritzFrog výzkumníci navrhli jednoduché shell skript. Pro určení infikování systému
mohou být použity takové znaky jako přítomnost naslouchajícího spojení na portu 1234, přítomnost škodlivého klíče v authorized_keys (na všechny uzly se instaluje stejný SSH klíč) a přítomnost v paměti spuštěných procesů „ifconfig“, „libexec“, „php-fpm“ a „nginx“, které nemají související spustitelné soubory („/proc//exe“ ukazuje na vzdálený soubor). Dalším rysem může být přítomnost provozu na síťovém portu 5555, který vzniká při přístupu škodlivého softwaru k typovému poolu web.xmrpool.eu během těžby kryptoměny Monero.

Zdroj: opennet.ru