{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Avastati FritzFrog uss, mis r\u00fcndab servereid SSH kaudu ja loob detsentraliseeritud botnet'i.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Guardicore, andmete keskuste ja pilves\u00fcsteemide kaitsmisega tegelev ettev\u00f5te, tuvastas<\/a><\/noindex> uue k\u00f5rgtehnoloogilise pahavara FritzFrog, mis r\u00fcndab Linuxi p\u00f5hiseid servereid. FritzFrog \u00fchendab endas ussi, mis levib bruteforce-r\u00fcnnaku kaudu avatud SSH-portide kaudu serveritesse, ja komponente, mis v\u00f5imaldavad luua hajusasse botneti, mis t\u00f6\u00f6tab ilma juhtimisteguri ja ei oma \u00fchtegi rikke punkti.<\/p>\n

Botneti loomiseks kasutatakse spetsiaalset P2P-protokolli, kus s\u00f5lmed suhtlevad omavahel, koordineerivad r\u00fcnnakute korraldust, hoolitsevad v\u00f5rgu toimimise eest ja j\u00e4lgivad \u00fcksteise seisundit. Uute sihtm\u00e4rkide leidmine toimub bruteforce-r\u00fcnnakute kaudu serveritele, mis aktsepteerivad SSH-p\u00e4ringuid. Uue serveri avastamisel viiakse l\u00e4bi s\u00f5nastiku l\u00e4bimine t\u00fc\u00fcpiliste kasutajanime ja paroolide kombinatsioonide osas. Juhtimine v\u00f5ib toimuda mistahes s\u00f5lme kaudu, mis keerukaks teeb botneti operaatorite v\u00e4ljaselgitamise ja blokeerimise.<\/p>\n

Uuringute andmetel on botnetil juba ligikaudu 500 s\u00f5lme, sealhulgas mitme \u00fclikooli ja suure raudteefirma serverid. M\u00e4rgitakse, et r\u00fcnnaku peamine sihtm\u00e4rk on haridusasutuste, meditsiinikeskuste, riigiasutuste, pankade ja telekommunikatsioonifirmade v\u00f5rgud. P\u00e4rast serveri kompromiteerimist organiseeritakse seal Monero kr\u00fcptovaluuta kaevandamise protsess. Selle pahavara tegevust on j\u00e4lgitud alates 2020. aasta jaanuarist.<\/p>\n

FritzFrogi erip\u00e4ra on see, et k\u00f5ik andmed ja t\u00e4itmisj\u00e4rgne kood hoitakse ainult m\u00e4lus. Muudatused kettale piirdumisega uue SSH-v\u00f5tme lisamisega authorized_keys failile, mida kasutatakse hiljem serverisse p\u00e4\u00e4semiseks. S\u00fcsteemifailid ei muutu, mis teeb ussi n\u00e4htamatuks s\u00fcsteemidele, mis kontrollivad terviklikkust kontrollsummade abil. M\u00e4lus hoitakse ka paroolide l\u00e4bimise jaoks s\u00f5nastikke ja kaevandamiseks vajalikke andmeid, mis s\u00fcnkroonitakse s\u00f5lmede vahel P2P-protokolli abil.<\/p>\n

Kahjulikud komponendid peidavad end protsesside all «ifconfig», «libexec», «php-fpm» ja «nginx» taha. Botneti s\u00f5lmed j\u00e4lgivad naabrite olekut ja serveri taask\u00e4ivitamise v\u00f5i s\u00fcsteemi (kui uude s\u00fcsteemi on kantud muudetud fail authorized_keys) uuesti installimise korral aktiveerivad nad kahjulikud komponendid hostis uuesti. Kommunikatsiooniks kasutatakse tavalist SSH - kahjulik tarkvara k\u00e4ivitab lisaks kohalikku «netcat», mis seondub localhosti liidesega ja kuulab liiklust pordil 1234, kuhu v\u00e4lishoovad p\u00e4\u00e4sevad ligi SSH-tunneli kaudu, kasutades \u00fchendamiseks l\u00fchiavalduse authorized_keys.
\n

\"Avastati<\/a><\/noindex><\/center><\/p>\n

FritzFrog komponentide kood on kirjutatud Go keeles ja t\u00f6\u00f6tab mitme l\u00f5ime re\u017eiimis. Kahjulik tarkvara sisaldab mitmeid mooduleid, mida k\u00e4ivitatakse erinevates l\u00f5imedes:<\/p>\n