Der FritzFrog-Wurm wurde entdeckt, der Server über SSH angreift und ein dezentrales Botnetz aufbaut.

Das Unternehmen Guardicore, das auf den Schutz von Rechenzentren und Cloud-Systemen spezialisiert ist, hat hat neue hochentwickelte Malware namens FritzFrog identifiziert, die Linux-basierte Server angreift. FritzFrog kombiniert einen Wurm, der durch Brute-Force-Angriffe auf Server mit offenem SSH-Port verbreitet wird, und Komponenten zum Aufbau eines dezentralen Botnetzes, das ohne Kontrollknoten funktioniert und keinen einzelnen Ausfallpunkt hat.

Zum Aufbau des Botnetzes wird ein eigenes P2P-Protokoll verwendet, bei dem die Knoten miteinander interagieren, die Organisation der Angriffe koordinieren, das Netzwerk am Laufen halten und sich gegenseitig überwachen. Neue Opfer werden durch Brute-Force-Angriffe auf Server, die SSH-Anfragen akzeptieren, gefunden. Bei der Entdeckung eines neuen Servers erfolgt ein Durchlauf durch ein Wörterbuch typischer Kombinationen von Benutzernamen und Passwörtern. Die Steuerung kann über jeden Knoten erfolgen, was die Identifizierung und Blockierung der Botnetz-Betreiber erschwert.

Laut Forschern umfasst das Botnetz bereits etwa 500 Knoten, darunter Server mehrerer Universitäten und eines großen Bahnunternehmens. Es wird festgestellt, dass das Hauptziel der Angriffe die Netzwerke von Bildungseinrichtungen, medizinischen Zentren, staatlichen Einrichtungen, Banken und Telekommunikationsunternehmen sind. Nach der Kompromittierung eines Servers wird auf diesem der Prozess zur Mining von Monero-Kryptowährungen organisiert. Die Aktivität dieser Malware wird seit Januar 2020 nachverfolgt.

Das Besondere an FritzFrog ist, dass alle Daten und der ausführbare Code ausschließlich im Speicher gehalten werden. Änderungen auf der Festplatte beschränken sich lediglich auf das Hinzufügen eines neuen SSH-Schlüssels in die Datei authorized_keys, die anschließend für den Zugriff auf den Server verwendet wird. Systemdateien werden nicht verändert, was den Wurm für Systeme, die die Integrität anhand von Prüfziffern überprüfen, unsichtbar macht. Im Speicher werden zudem Wörterbücher für das Durchprobieren von Passwörtern und Mining-Daten gehalten, die zwischen den Knoten über ein P2P-Protokoll synchronisiert werden.

Schadhafte Komponenten tarnen sich als Prozesse wie „ifconfig“, „libexec“, „php-fpm“ und „nginx“. Botnetz-Knoten überwachen den Zustand benachbarter Knoten und aktivieren bei einem Serverneustart oder sogar einer Neuinstallation des Betriebssystems (wenn die modifizierte Datei authorized_keys in das neue System übertragen wurde) die schadhaften Komponenten auf dem Host erneut. Für die Kommunikation wird der Standard-SSH verwendet – die Malware startet zusätzlich ein lokales „netcat“, das sich an die Schnittstelle localhost bindet und den Verkehr auf Port 1234 abhört, auf den externe Knoten über einen SSH-Tunnel zugreifen, indem sie den Schlüssel aus authorized_keys verwenden.

Der Code der FritzFrog-Komponenten ist in Go geschrieben und arbeitet im Multithreading-Modus. Die Malware umfasst mehrere Module, die in verschiedenen Threads ausgeführt werden:

• Cracker – führt das Knacken von Passwörtern auf angegriffenen Servern durch.
• CryptoComm + Parser – organisiert eine verschlüsselte P2P-Verbindung.
• CastVotes – Mechanismus zur gemeinsamen Auswahl der Zielhosts für den Angriff.
• TargetFeed – erhält eine Liste von Knoten für den Angriff von benachbarten Knoten.
• DeployMgmt – Implementierung eines Wurms, der schadhafte Software auf dem gehackten Server verbreitet.
• Besitzer — sorgt für die Verbindung zu Servern, auf denen bereits Schadcode ausgeführt wird.
• Zusammenstellen — erstellt eine Datei im Speicher aus separat übermittelten Blöcken.
• Antivir — Modul zur Unterdrückung konkurrierender Malware, erkennt und beendet Prozesse mit der Zeichenkette „xmr“, die CPU-Ressourcen verbrauchen.
• Libexec — Modul zum Mining der Kryptowährung Monero.

Das in FritzFrog verwendete P2P-Protokoll unterstützt etwa 30 Befehle, die für die Datenübertragung zwischen Knoten, das Ausführen von Skripten, die Übertragung von Komponenten der Schadsoftware, Statusabfragen, Protokollübertragungen, das Starten von Proxys usw. verantwortlich sind. Die Informationen werden über einen separaten verschlüsselten Kanal mit Serialisierung im JSON-Format übertragen. Für die Verschlüsselung wird die asymmetrische Verschlüsselung AES und die Kodierung Base64 verwendet. Zum Austausch von Schlüsseln kommt das DH-Protokoll (Diffie-Hellman). Um den Status zu bestimmen, tauschen die Knoten ständig Ping-Anfragen aus.

Alle Knoten des Botnets unterstützen eine verteilte Datenbank mit Informationen über angegriffene und kompromittierte Systeme. Die Angriffsziele werden im gesamten Botnet synchronisiert – jeder Knoten greift ein einzelnes Ziel an, d.h. zwei verschiedene Botnet-Knoten werden nicht denselben Host angreifen. Die Knoten sammeln auch lokale Statistiken, wie z.B. den verfügbaren Arbeitsspeicher, Uptime, CPU-Auslastung und die Aktivität von SSH-Zugängen, und geben diese an Nachbarn weiter. Diese Informationen werden verwendet, um zu entscheiden, ob der Mining-Prozess gestartet oder der Knoten nur für Angriffe auf andere Systeme genutzt wird (z.B. wird Mining nicht auf überlasteten Systemen oder Systemen mit häufigen Administratoranmeldungen gestartet).

Um FritzFrog zu identifizieren, haben Forscher ein einfaches Shell-Skriptvorgeschlagen. Um die Kompromittierung eines Systems festzustellen,
können Indikatoren wie das Vorhandensein einer lauschernden Verbindung auf Port 1234 verwendet werden, sowie das Vorhandensein eines schädlichen Schlüssels. In authorized_keys (auf allen Knoten wird derselbe SSH-Schlüssel installiert) und das Vorhandensein von laufenden Prozessen «ifconfig», «libexec», «php-fpm» und «nginx», die keine zugehörigen ausführbaren Dateien haben (»/proc//exe« verweist auf eine entfernte Datei). Ein weiteres Anzeichen kann der Datenverkehr auf dem Netzwerkport 5555 sein, der auftritt, wenn Malware auf den typischen Pool web.xmrpool.eu zugreift, während sie die Kryptowährung Monero mined.

Quelle: opennet.ru