{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Der FritzFrog-Wurm wurde entdeckt, der Server \u00fcber SSH angreift und ein dezentrales Botnetz aufbaut.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Unternehmen Guardicore, das auf den Schutz von Rechenzentren und Cloud-Systemen spezialisiert ist, hat<\/a><\/noindex> hat neue hochentwickelte Malware namens FritzFrog identifiziert, die Linux-basierte Server angreift. FritzFrog kombiniert einen Wurm, der durch Brute-Force-Angriffe auf Server mit offenem SSH-Port verbreitet wird, und Komponenten zum Aufbau eines dezentralen Botnetzes, das ohne Kontrollknoten funktioniert und keinen einzelnen Ausfallpunkt hat.<\/p>\n

Zum Aufbau des Botnetzes wird ein eigenes P2P-Protokoll verwendet, bei dem die Knoten miteinander interagieren, die Organisation der Angriffe koordinieren, das Netzwerk am Laufen halten und sich gegenseitig \u00fcberwachen. Neue Opfer werden durch Brute-Force-Angriffe auf Server, die SSH-Anfragen akzeptieren, gefunden. Bei der Entdeckung eines neuen Servers erfolgt ein Durchlauf durch ein W\u00f6rterbuch typischer Kombinationen von Benutzernamen und Passw\u00f6rtern. Die Steuerung kann \u00fcber jeden Knoten erfolgen, was die Identifizierung und Blockierung der Botnetz-Betreiber erschwert.<\/p>\n

Laut Forschern umfasst das Botnetz bereits etwa 500 Knoten, darunter Server mehrerer Universit\u00e4ten und eines gro\u00dfen Bahnunternehmens. Es wird festgestellt, dass das Hauptziel der Angriffe die Netzwerke von Bildungseinrichtungen, medizinischen Zentren, staatlichen Einrichtungen, Banken und Telekommunikationsunternehmen sind. Nach der Kompromittierung eines Servers wird auf diesem der Prozess zur Mining von Monero-Kryptow\u00e4hrungen organisiert. Die Aktivit\u00e4t dieser Malware wird seit Januar 2020 nachverfolgt.<\/p>\n

Das Besondere an FritzFrog ist, dass alle Daten und der ausf\u00fchrbare Code ausschlie\u00dflich im Speicher gehalten werden. \u00c4nderungen auf der Festplatte beschr\u00e4nken sich lediglich auf das Hinzuf\u00fcgen eines neuen SSH-Schl\u00fcssels in die Datei authorized_keys, die anschlie\u00dfend f\u00fcr den Zugriff auf den Server verwendet wird. Systemdateien werden nicht ver\u00e4ndert, was den Wurm f\u00fcr Systeme, die die Integrit\u00e4t anhand von Pr\u00fcfziffern \u00fcberpr\u00fcfen, unsichtbar macht. Im Speicher werden zudem W\u00f6rterb\u00fccher f\u00fcr das Durchprobieren von Passw\u00f6rtern und Mining-Daten gehalten, die zwischen den Knoten \u00fcber ein P2P-Protokoll synchronisiert werden.<\/p>\n

Schadhafte Komponenten tarnen sich als Prozesse , , und . Die Botnetz-Knoten \u00fcberwachen den Status der Nachbarn und aktivieren im Falle eines Serverneustarts oder sogar einer Neuinstallation des Betriebssystems (wenn die modifizierte Datei authorized_keys in das neue System \u00fcbertragen wurde) die sch\u00e4dlichen Komponenten auf dem Host erneut. Zur Kommunikation wird das Standard-SSH verwendet \u2013 die Malware startet zus\u00e4tzlich ein lokales , das sich an die localhost-Schnittstelle bindet und den Verkehr am Port 1234 abh\u00f6rt, auf den externe Knoten \u00fcber ein SSH-Tunnel zugreifen, wobei sie den Schl\u00fcssel aus authorized_keys nutzen.
\n

\"Der<\/a><\/noindex><\/center><\/p>\n

Der Code der FritzFrog-Komponenten ist in Go geschrieben und arbeitet im Multithreading-Modus. Die Malware umfasst mehrere Module, die in verschiedenen Threads ausgef\u00fchrt werden:<\/p>\n