{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Der Wurm FritzFrog wurde entdeckt, der Server \u00fcber SSH angreift und ein dezentrales Botnetz aufbaut.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Unternehmen Guardicore, das auf den Schutz von Rechenzentren und Cloud-Systemen spezialisiert ist, hat<\/a><\/noindex> die neue hochentwickelte Schadsoftware FritzFrog, die Linux-basierte Server angreift. FritzFrog kombiniert einen Wurm, der sich durch Bruteforce-Angriffe auf Server mit offenem SSH-Port verbreitet, und Komponenten zum Aufbau eines dezentralen Botnets, das ohne Steuerknoten funktioniert und keinen einzelnen Ausfallpunkt hat.<\/p>\n

Zur Erstellung des Botnets wird ein eigenes P2P-Protokoll verwendet, bei dem die Knoten miteinander interagieren, Angriffe koordinieren, die Netzwerkarbeit aufrechterhalten und den Zustand zueinander \u00fcberwachen. Neue Opfer werden durch Bruteforce-Angriffe auf Server, die SSH-Anfragen annehmen, gefunden. Bei der Entdeckung eines neuen Servers wird eine W\u00f6rterbuchpr\u00fcfung mit typischen Kombinationen von Benutzernamen und Passw\u00f6rtern durchgef\u00fchrt. Die Steuerung kann \u00fcber jeden Knoten erfolgen, was die Identifizierung und Blockierung der Botnet-Betreiber erschwert.<\/p>\n

Laut Forschern hat das Botnet bereits etwa 500 Knoten, darunter Server mehrerer Universit\u00e4ten und eines gro\u00dfen Eisenbahnunternehmens. Es wird festgestellt, dass die Hauptziele der Angriffe Netzwerke von Bildungseinrichtungen, medizinischen Zentren, Regierungsbeh\u00f6rden, Banken und Telekommunikationsunternehmen sind. Nach der Kompromittierung eines Servers wird der Prozess des Minings der Kryptow\u00e4hrung Monero organisiert. Die Aktivit\u00e4t der betrachteten Schadsoftware ist seit Januar 2020 zu beobachten.<\/p>\n

Eine Besonderheit von FritzFrog ist, dass er alle Daten und den ausf\u00fchrbaren Code nur im Speicher speichert. \u00c4nderungen auf der Festplatte beschr\u00e4nken sich nur auf die Hinzuf\u00fcgung eines neuen SSH-Schl\u00fcssels zur Datei authorized_keys, die sp\u00e4ter f\u00fcr den Zugriff auf den Server verwendet wird. Systemdateien werden nicht ge\u00e4ndert, was den Wurm f\u00fcr Systeme, die die Integrit\u00e4t \u00fcber Pr\u00fcfziffern \u00fcberpr\u00fcfen, unsichtbar macht. Im Speicher werden au\u00dferdem W\u00f6rterb\u00fccher zum Knacken von Passw\u00f6rtern und Daten f\u00fcr das Mining gehalten, die mithilfe des P2P-Protokolls zwischen den Knoten synchronisiert werden.<\/p>\n

Schadhafte Komponenten tarnen sich als Prozesse , , und . Die Knoten des Botnets \u00fcberwachen den Zustand der Nachbarn und aktivieren im Falle eines Serverneustarts oder sogar einer Neuinstallation des Betriebssystems (wenn die ge\u00e4nderte Datei authorized_keys in das neue System \u00fcbertragen wurde) erneut sch\u00e4dliche Komponenten auf dem Host. F\u00fcr die Kommunikation wird der Standard-SSH verwendet \u2013 schadhafter Code startet zus\u00e4tzlich den lokalen , der sich an die Schnittstelle localhost bindet und den Datenverkehr auf dem Port 1234 abh\u00f6rt, auf den externe Knoten \u00fcber einen SSH-Tunnel zugreifen, wobei sie den Schl\u00fcssel aus authorized_keys zur Verbindung nutzen.
\n

\"Der<\/a><\/noindex><\/center><\/p>\n

Der Code der FritzFrog-Komponenten ist in der Programmiersprache Go geschrieben und funktioniert im Multithread-Modus. Die Schadsoftware umfasst mehrere Module, die in verschiedenen Threads ausgef\u00fchrt werden:<\/p>\n