Der Wurm FritzFrog wurde entdeckt, der Server über SSH angreift und ein dezentrales Botnetz aufbaut.

Das Unternehmen Guardicore, das auf den Schutz von Rechenzentren und Cloud-Systemen spezialisiert ist, hat die neue hochentwickelte Schadsoftware FritzFrog, die Linux-basierte Server angreift. FritzFrog kombiniert einen Wurm, der sich durch Bruteforce-Angriffe auf Server mit offenem SSH-Port verbreitet, und Komponenten zum Aufbau eines dezentralen Botnets, das ohne Steuerknoten funktioniert und keinen einzelnen Ausfallpunkt hat.

Zur Erstellung des Botnets wird ein eigenes P2P-Protokoll verwendet, bei dem die Knoten miteinander interagieren, Angriffe koordinieren, die Netzwerkarbeit aufrechterhalten und den Zustand zueinander überwachen. Neue Opfer werden durch Bruteforce-Angriffe auf Server, die SSH-Anfragen annehmen, gefunden. Bei der Entdeckung eines neuen Servers wird eine Wörterbuchprüfung mit typischen Kombinationen von Benutzernamen und Passwörtern durchgeführt. Die Steuerung kann über jeden Knoten erfolgen, was die Identifizierung und Blockierung der Botnet-Betreiber erschwert.

Laut Forschern hat das Botnet bereits etwa 500 Knoten, darunter Server mehrerer Universitäten und eines großen Eisenbahnunternehmens. Es wird festgestellt, dass die Hauptziele der Angriffe Netzwerke von Bildungseinrichtungen, medizinischen Zentren, Regierungsbehörden, Banken und Telekommunikationsunternehmen sind. Nach der Kompromittierung eines Servers wird der Prozess des Minings der Kryptowährung Monero organisiert. Die Aktivität der betrachteten Schadsoftware ist seit Januar 2020 zu beobachten.

Eine Besonderheit von FritzFrog ist, dass er alle Daten und den ausführbaren Code nur im Speicher speichert. Änderungen auf der Festplatte beschränken sich nur auf die Hinzufügung eines neuen SSH-Schlüssels zur Datei authorized_keys, die später für den Zugriff auf den Server verwendet wird. Systemdateien werden nicht geändert, was den Wurm für Systeme, die die Integrität über Prüfziffern überprüfen, unsichtbar macht. Im Speicher werden außerdem Wörterbücher zum Knacken von Passwörtern und Daten für das Mining gehalten, die mithilfe des P2P-Protokolls zwischen den Knoten synchronisiert werden.

Schadhafte Komponenten tarnen sich als Prozesse wie „ifconfig“, „libexec“, „php-fpm“ und „nginx“. Botnetz-Knoten überwachen den Status benachbarter Knoten und aktivieren im Fall eines Serverneustarts oder sogar einer Neuinstallation des Betriebssystems (wenn die modifizierte Datei authorized_keys in das neue System übertragen wurde) die schadhaften Komponenten auf dem Host erneut. Für die Kommunikation wird die Standard-SSH verwendet – die Schadsoftware startet zusätzlich ein lokales „netcat“, das sich an die Schnittstelle localhost bindet und den Verkehr am Port 1234 abhört, auf den externe Knoten über ein SSH-Tunnel zugreifen, indem sie den Schlüssel aus authorized_keys verwenden.

Der Code der FritzFrog-Komponenten ist in der Programmiersprache Go geschrieben und funktioniert im Multithread-Modus. Die Schadsoftware umfasst mehrere Module, die in verschiedenen Threads ausgeführt werden:

• Cracker – führt Passwortangriffe auf die angegriffenen Server durch.
• CryptoComm + Parser – organisiert eine verschlüsselte P2P-Verbindung.
• CastVotes – Mechanismus zur gemeinsamen Auswahl der Zielhosts für den Angriff.
• TargetFeed – erhält eine Liste von Knoten für den Angriff von benachbarten Knoten.
• DeployMgmt – Umsetzung eines Wurms, der schadhafter Code auf den kompromittierten Server verbreitet.
• Owned – verantwortlich für die Verbindung zu Servern, auf denen bereits schadhafter Code ausgeführt wird.
• Assemble – stellt eine Datei im Speicher aus separat übermittelten Blöcken zusammen.
• Antivir – Modul zur Unterdrückung konkurrierender schadhafter Programme, erkennt und beendet Prozesse mit dem String „xmr“, die CPU-Ressourcen verbrauchen.
• Libexec – Modul für das Mining der Kryptowährung Monero.

Das in FritzFrog verwendete P2P-Protokoll unterstützt etwa 30 Befehle, die für die Datenübertragung zwischen Knoten, das Starten von Skripten, die Übertragung von Komponenten schadhafter Software, den Statusabgleich, den Austausch von Protokollen, den Start von Proxy usw. zuständig sind. Informationen werden über einen separaten verschlüsselten Kanal mit Serialisierung im JSON-Format übertragen. Für die Verschlüsselung wird der asymmetrische Schlüssel AES und die Kodierung Base64 verwendet. Für den Schlüsselaustausch wird das DH-Protokoll verwendet (Diffie-Hellman). Um den Status zu bestimmen, tauschen die Knoten ständig Ping-Anfragen aus.

Alle Knoten des Botnetzes unterstützen eine verteilte Datenbank mit Informationen über angegriffene und kompromittierte Systeme. Die Ziele für den Angriff werden im gesamten Botnetz synchronisiert – jeder Knoten greift ein separates Ziel an, d.h. zwei verschiedene Knoten des Botnetzes werden nicht dasselbe Ziel angreifen. Die Knoten sammeln auch lokale Statistiken wie den verfügbaren Speicher, die Betriebszeit, die CPU-Auslastung und die Aktivität von SSH-Zugängen und übermitteln diese an ihre Nachbarn. Diese Informationen werden genutzt, um zu entscheiden, ob der Mining-Prozess gestartet oder der Knoten nur für Angriffe auf andere Systeme verwendet wird (zum Beispiel wird Mining auf stark ausgelasteten Systemen oder Systemen mit häufigen Administratoranmeldungen nicht gestartet).

Um FritzFrog zu identifizieren, haben die Forscher ein einfaches Shell-Skriptvorgeschlagen. Zur Bestimmung einer Kompromittierung des Systems
könnten solche Anzeichen wie eine hörende Verbindung auf Port 1234, das Vorhandensein von einem bösartigen Schlüssel in authorized_keys (auf allen Knoten wird derselbe SSH-Schlüssel installiert) und das Vorhandensein von Prozessen im Arbeitsspeicher wie „ifconfig“, „libexec“, „php-fpm“ und „nginx“, die keine zugehörigen ausführbaren Dateien haben ( „/proc//exe“ zeigt auf eine entfernte Datei). Ein weiteres Anzeichen könnte der Datenverkehr auf dem Netzwerkport 5555 sein, der entsteht, wenn die Malware auf den Standard-Pool web.xmrpool.eu im Prozess des Mining von Monero zugreift.

Quelle: opennet.ru