{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Der FritzFrog-Wurm wurde entdeckt, der Server \u00fcber SSH angreift und ein dezentrales Botnetz aufbaut.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Unternehmen Guardicore, das auf den Schutz von Rechenzentren und Cloud-Systemen spezialisiert ist, hat<\/a><\/noindex> hat neue hochentwickelte Malware namens FritzFrog identifiziert, die Linux-basierte Server angreift. FritzFrog kombiniert einen Wurm, der durch Brute-Force-Angriffe auf Server mit offenem SSH-Port verbreitet wird, und Komponenten zum Aufbau eines dezentralen Botnetzes, das ohne Kontrollknoten funktioniert und keinen einzelnen Ausfallpunkt hat.<\/p>\n

Zum Aufbau des Botnetzes wird ein eigenes P2P-Protokoll verwendet, bei dem die Knoten miteinander interagieren, die Organisation der Angriffe koordinieren, das Netzwerk am Laufen halten und sich gegenseitig \u00fcberwachen. Neue Opfer werden durch Brute-Force-Angriffe auf Server, die SSH-Anfragen akzeptieren, gefunden. Bei der Entdeckung eines neuen Servers erfolgt ein Durchlauf durch ein W\u00f6rterbuch typischer Kombinationen von Benutzernamen und Passw\u00f6rtern. Die Steuerung kann \u00fcber jeden Knoten erfolgen, was die Identifizierung und Blockierung der Botnetz-Betreiber erschwert.<\/p>\n

Laut Forschern umfasst das Botnetz bereits etwa 500 Knoten, darunter Server mehrerer Universit\u00e4ten und eines gro\u00dfen Bahnunternehmens. Es wird festgestellt, dass das Hauptziel der Angriffe die Netzwerke von Bildungseinrichtungen, medizinischen Zentren, staatlichen Einrichtungen, Banken und Telekommunikationsunternehmen sind. Nach der Kompromittierung eines Servers wird auf diesem der Prozess zur Mining von Monero-Kryptow\u00e4hrungen organisiert. Die Aktivit\u00e4t dieser Malware wird seit Januar 2020 nachverfolgt.<\/p>\n

Das Besondere an FritzFrog ist, dass alle Daten und der ausf\u00fchrbare Code ausschlie\u00dflich im Speicher gehalten werden. \u00c4nderungen auf der Festplatte beschr\u00e4nken sich lediglich auf das Hinzuf\u00fcgen eines neuen SSH-Schl\u00fcssels in die Datei authorized_keys, die anschlie\u00dfend f\u00fcr den Zugriff auf den Server verwendet wird. Systemdateien werden nicht ver\u00e4ndert, was den Wurm f\u00fcr Systeme, die die Integrit\u00e4t anhand von Pr\u00fcfziffern \u00fcberpr\u00fcfen, unsichtbar macht. Im Speicher werden zudem W\u00f6rterb\u00fccher f\u00fcr das Durchprobieren von Passw\u00f6rtern und Mining-Daten gehalten, die zwischen den Knoten \u00fcber ein P2P-Protokoll synchronisiert werden.<\/p>\n

\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043a\u0430\u043c\u0443\u0444\u043b\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043f\u043e\u0434 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b «ifconfig», «libexec», «php-fpm» \u0438 «nginx». \u0423\u0437\u043b\u044b \u0431\u043e\u0442\u043d\u0435\u0442\u0430 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u044e\u0442 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0441\u043e\u0441\u0435\u0434\u0435\u0439 \u0438 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438\u043b\u0438 \u0434\u0430\u0436\u0435 \u043f\u0435\u0440\u0435\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u041e\u0421 (\u0435\u0441\u043b\u0438 \u0432 \u043d\u043e\u0432\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0431\u044b\u043b \u043f\u0435\u0440\u0435\u043d\u0435\u0441\u0451\u043d \u0438\u0437\u043c\u0435\u043d\u0451\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b authorized_keys) \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u044e\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430 \u0445\u043e\u0441\u0442\u0435. \u0414\u043b\u044f \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0448\u0442\u0430\u0442\u043d\u044b\u0439 SSH — \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 «netcat», \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u043a \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0443 localhost \u0438 \u0441\u043b\u0443\u0448\u0430\u044e\u0449\u0438\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u043f\u043e\u0440\u0442\u0443 1234, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u0443\u0437\u043b\u044b \u043e\u0431\u0440\u0430\u0449\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 SSH-\u0442\u0443\u043d\u043d\u0435\u043b\u044c, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447 \u0438\u0437 authorized_keys.
\n

\"Der<\/a><\/noindex><\/center><\/p>\n

Der Code der FritzFrog-Komponenten ist in Go geschrieben und arbeitet im Multithreading-Modus. Die Malware umfasst mehrere Module, die in verschiedenen Threads ausgef\u00fchrt werden:<\/p>\n