{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Se ha detectado el gusano FritzFrog, que afecta a los servidores a trav\u00e9s de SSH y construye una botnet descentralizada.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La empresa Guardicore, especializada en la protecci\u00f3n de centros de datos y sistemas en la nube, ha identificado<\/a><\/noindex> un nuevo malware de alta tecnolog\u00eda llamado FritzFrog, que afecta a servidores basados en Linux. FritzFrog combina un gusano que se propaga mediante un ataque de fuerza bruta a servidores con el puerto SSH abierto y componentes para crear una botnet descentralizada, que opera sin nodos de control y carece de un \u00fanico punto de fallo.<\/p>\n

Para construir la botnet se utiliza un protocolo P2P propio, en el que los nodos interact\u00faan entre s\u00ed, coordinan la organizaci\u00f3n de ataques, mantienen la red en funcionamiento y controlan el estado unos de otros. Se identifican nuevas v\u00edctimas mediante ataques de fuerza bruta a servidores que aceptan solicitudes a trav\u00e9s de SSH. Al descubrir un nuevo servidor, se realiza un ataque de diccionario con combinaciones t\u00edpicas de nombres de usuario y contrase\u00f1as. El control puede hacerse a trav\u00e9s de cualquier nodo, lo que complica la detecci\u00f3n y bloqueo de los operadores de la botnet.<\/p>\n

Seg\u00fan los investigadores, la botnet ya cuenta con alrededor de 500 nodos, incluidos servidores de varias universidades y una gran empresa de ferrocarriles. Se se\u00f1ala que el principal objetivo de los ataques son las redes de instituciones educativas, centros m\u00e9dicos, entidades gubernamentales, bancos y empresas de telecomunicaciones. Despu\u00e9s de comprometer un servidor, se inicia un proceso de miner\u00eda de la criptomoneda Monero. La actividad de este malware se ha seguido desde enero de 2020.<\/p>\n

La caracter\u00edstica distintiva de FritzFrog es que mantiene todos los datos y el c\u00f3digo ejecutable solo en memoria. Los cambios en el disco se limitan \u00fanicamente a la adici\u00f3n de una nueva clave SSH al archivo authorized_keys, que se utiliza posteriormente para acceder al servidor. Los archivos del sistema no se modifican, lo que hace que el gusano sea indetectable para los sistemas que verifican la integridad mediante sumas de verificaci\u00f3n. En la memoria tambi\u00e9n se mantienen diccionarios para la enumeraci\u00f3n de contrase\u00f1as y datos para la miner\u00eda, que se sincronizan entre nodos mediante el protocolo P2P.<\/p>\n

Los componentes maliciosos se camuflan como procesos , , y . Los nodos del botnet rastrean el estado de los vecinos y, en caso de reinicio del servidor o incluso reinstalaci\u00f3n del sistema operativo (si el archivo authorized_keys modificado se transfiri\u00f3 al nuevo sistema), vuelven a activar los componentes maliciosos en el host. Para la comunicaci\u00f3n, se utiliza el SSH est\u00e1ndar: el malware tambi\u00e9n inicia un local, que se conecta a la interfaz localhost y escucha el tr\u00e1fico en el puerto 1234, al que los nodos externos acceden a trav\u00e9s de un t\u00fanel SSH, utilizando la clave de authorized_keys para conectarse.
\n

\"Se<\/a><\/noindex><\/center><\/p>\n

El c\u00f3digo de los componentes FritzFrog est\u00e1 escrito en el lenguaje Go y funciona en modo multihilo. El malware incluye varios m\u00f3dulos que se ejecutan en diferentes hilos:<\/p>\n