{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Orme angrebet FritzFrog, der rammer servere via SSH og opbygger et decentralt botnet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Guardicore, et firma der specialiserer sig i beskyttelse af datacentre og cloudsystemer, har afsl\u00f8ret<\/a><\/noindex> det nye h\u00f8jteknologiske malware FritzFrog, der rammer Linux-baserede servere. FritzFrog kombinerer en orme, der spreder sig via bruteforce-angreb p\u00e5 servere med \u00e5bne SSH-porter, og komponenter til opbygning af et decentralt botnet, der fungerer uden kontrolnoder og ikke har et enkelt fejlpunkter.<\/p>\n

For at opbygge botnettet anvendes en propriet\u00e6r P2P-protokol, hvor noder interagerer med hinanden, koordinerer angreb, opretholder netv\u00e6rksdrift og overv\u00e5ger hinandens status. Nye ofre findes ved at udf\u00f8re bruteforce-angreb p\u00e5 servere, der accepterer SSH-anmodninger. N\u00e5r en ny server opdages, udf\u00f8res der ordbogsangreb baseret p\u00e5 typiske kombinationer af brugernavne og adgangskoder. Kontrol kan udf\u00f8res gennem enhver node, hvilket g\u00f8r det sv\u00e6rere at identificere og blokere operat\u00f8rerne af botnettet.<\/p>\n

If\u00f8lge forskere t\u00e6ller botnettet allerede omkring 500 noder, herunder servere fra flere universiteter og et stort jernbaneselskab. Det bem\u00e6rkes, at de prim\u00e6re m\u00e5l for angrebet er netv\u00e6rk af uddannelsesinstitutioner, sundhedscentre, offentlige myndigheder, banker og telekommunikationsvirksomheder. Efter kompromittering af en server oprettes der en proces til minedrift af kryptovalutaen Monero. Aktiviteten af det p\u00e5g\u00e6ldende malware kan spores tilbage til januar 2020.<\/p>\n

En s\u00e6rlig egenskab ved FritzFrog er, at den holder alle data og eksekverbare kode udelukkende i hukommelsen. \u00c6ndringer p\u00e5 disken begr\u00e6nser sig til kun at tilf\u00f8je en ny SSH-n\u00f8gle i authorized_keys-filen, som derefter bruges til at f\u00e5 adgang til serveren. Systemfiler \u00e6ndres ikke, hvilket g\u00f8r ormen usynlig for systemer, der kontrollerer integriteten via kontrolsummer. I hukommelsen opbevares ogs\u00e5 ordlister til bruteforce-angreb og data til minedrift, som synkroniseres mellem noderne ved hj\u00e6lp af P2P-protokollen.<\/p>\n

Skadelige komponenter camouflerer sig som processer , , og . Botnet-noder overv\u00e5ger tilstanden af deres naboer, og i tilf\u00e6lde af genstart af serveren eller selv en geninstallation af OS (hvis den \u00e6ndrede fil authorized_keys er blevet overf\u00f8rt til det nye system), aktiverer de skadelige komponenter igen p\u00e5 v\u00e6rten. Der bruges standard SSH til kommunikation \u2014 malware k\u00f8rer desuden en lokal , der binder sig til localhost-interfacet og lytter til trafik p\u00e5 port 1234, som eksterne noder tilg\u00e5r gennem en SSH-tunnel, ved at bruge n\u00f8glen fra authorized_keys.
\n

\"Orme<\/a><\/noindex><\/center><\/p>\n

Koden til FritzFrog-komponenterne er skrevet i Go og fungerer i multitr\u00e5dede tilstande. Det skadelige software inkluderer flere moduler, der k\u00f8rer i forskellige tr\u00e5de:<\/p>\n