{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Avastatud on FritzFrog uss, mis r\u00fcndab servereid SSH kaudu ja loob detsentraliseeritud botneti.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Guardicore, andmete keskuste ja pilves\u00fcsteemide kaitsele spetsialiseerunud ettev\u00f5te, tuvas<\/a><\/noindex> on v\u00e4lja t\u00f6\u00f6tanud uue k\u00f5rgtehnoloogilise pahavara FritzFrog, mis r\u00fcndab Linuxi p\u00f5hiseid servereid. FritzFrog \u00fchendab endas viirusprogrammi, mis levib bruteforce-r\u00fcnnaku kaudu avatud SSH-pordiga serveritesse, ning komponente detsentraliseeritud botiv\u00f5rgu loomiseks, mis t\u00f6\u00f6tab ilma juhtseisunditeta ja ei oma \u00fchtegi eba\u00f5nnestumise punkti.<\/p>\n

Botiv\u00f5rgu loomiseks kasutatakse kohandatud P2P-protokolli, kus s\u00f5lmed suhtlevad omavahel, koordineerivad r\u00fcnnakute korraldamist, toetavad v\u00f5rgu t\u00f6\u00f6d ja kontrollivad \u00fcksteise seisundit. Uute ohvrite leidmine toimub bruteforce-r\u00fcnnakute l\u00e4bi SSH-p\u00e4ringute vastu suunatud serveritele. Uue serveri leidmisel viiakse l\u00e4bi s\u00f5naraamatute p\u00f5hjal koosluste proovimine logiinide ja paroolide osas. Juhtimine v\u00f5ib toimuda mis tahes s\u00f5lmest, mis keerukustab botiv\u00f5rgu operaatorite tuvastamist ja blokeerimist.<\/p>\n

Uuringute kohaselt on botnet juba umbes 500 s\u00f5lme, sealhulgas mitme \u00fclikooli ja suure raudteefirma serverid. R\u00f5hutatakse, et r\u00fcnnaku peamine siht on haridussektor, meditsiinikeskused, riigiasutused, pangad ja telekommunikatsioonifirmad. P\u00e4rast serveri kompromiteerimist korraldatakse seal Monero kr\u00fcptovaluuta kaevandamisprotsess. Selle kahjuliku tarkvara tegevust on j\u00e4lgitud alates 2020. aasta jaanuarist.<\/p>\n

FritzFrogi erip\u00e4ra on see, et ta hoiab k\u00f5ik andmed ja t\u00e4idetava koodi vaid m\u00e4lus. Muudatused kettal piirdub ainult uue SSH-v\u00f5tme lisamisega faili authorized_keys, mida kasutatakse hiljem serverisse sisenemiseks. S\u00fcsteemifaile ei muudeta, mis muudab ussi s\u00fcsteemidele, mis kontrollivad kontrollsummade j\u00e4rgi, m\u00e4rkamatuks. M\u00e4lus hoitakse ka paroole purustamiseks m\u00f5eldud s\u00f5nastikke ja kaevandamisandmeid, mis s\u00fcnkroneeritakse s\u00f5lmede vahel P2P-protokolli abil.<\/p>\n

Kahjulikud komponendid kamufleeruvad protsesside \u00abifconfig\u00bb, \u00ablibexec\u00bb, \u00abphp-fpm\u00bb ja \u00abnginx\u00bb alla. Botiv\u00f5rgu s\u00f5lmed j\u00e4lgivad naabrite olekut ning serveri taask\u00e4ivitamisel v\u00f5i isegi operatsioonis\u00fcsteemi kohaletoimetamisel (kui muudetud fail authorized_keys on uude s\u00fcsteemi kantud) aktiveerivad kahjulikud komponendid hostis uuesti. Kommunikatsiooni jaoks kasutatakse tavalist SSH - kahjulik tarkvara k\u00e4ivitab lisaks kohaliku \u00abnetcat'i\u00bb, mis seondub localhost'i liidesega ja kuulab liiklust porti 1234, millele v\u00e4lised s\u00f5lmed p\u00f6\u00f6rduvad SSH-tunneli kaudu, kasutades \u00fchendamiseks v\u00f5tit authorized_keys.
\n

\"Avastatud<\/a><\/noindex><\/center><\/p>\n

FritzFrog'i komponentide kood on kirjutatud Go keeles ja t\u00f6\u00f6tab mitme teema re\u017eiimis. Kahjulik tarkvara sisaldab mitmeid mooduleid, mis k\u00e4ivituvad erinevates l\u00f5imedes:<\/p>\n