{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Un ver FritzFrog a \u00e9t\u00e9 d\u00e9couvert, ciblant les serveurs via SSH et construisant un botnet d\u00e9centralis\u00e9.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La soci\u00e9t\u00e9 Guardicore, sp\u00e9cialis\u00e9e dans la protection des centres de donn\u00e9es et des syst\u00e8mes cloud, a d\u00e9tect\u00e9<\/a><\/noindex> un nouveau logiciel malveillant de haute technologie nomm\u00e9 FritzFrog, qui cible les serveurs Linux. FritzFrog combine un ver qui se propage par une attaque par force brute contre les serveurs avec un port SSH ouvert, et des composants pour construire un botnet d\u00e9centralis\u00e9, op\u00e9rant sans n\u0153uds de commande et sans point de d\u00e9faillance unique.<\/p>\n

Pour construire le botnet, un protocole P2P propri\u00e9taire est utilis\u00e9, dans lequel les n\u0153uds interagissent entre eux, coordonnent l'organisation des attaques, maintiennent le fonctionnement du r\u00e9seau et contr\u00f4lent l'\u00e9tat les uns des autres. De nouvelles victimes sont trouv\u00e9es par le biais d'attaques par force brute sur les serveurs acceptant les requ\u00eates SSH. Lorsqu'un nouveau serveur est d\u00e9couvert, une recherche par dictionnaire de combinaisons standard de noms d'utilisateur et de mots de passe est effectu\u00e9e. La gestion peut se faire \u00e0 partir de n'importe quel n\u0153ud, ce qui complique l'identification et le blocage des op\u00e9rateurs du botnet.<\/p>\n

Selon des chercheurs, le botnet compte d\u00e9j\u00e0 environ 500 n\u0153uds, parmi lesquels se trouvent des serveurs de plusieurs universit\u00e9s et d'une grande entreprise ferroviaire. Il est not\u00e9 que l'objectif principal des attaques concerne les r\u00e9seaux d'\u00e9tablissements \u00e9ducatifs, de centres m\u00e9dicaux, d'entit\u00e9s gouvernementales, de banques et de soci\u00e9t\u00e9s de t\u00e9l\u00e9communications. Apr\u00e8s la compromission d'un serveur, un processus de minage de la cryptomonnaie Monero est organis\u00e9. L'activit\u00e9 du logiciel malveillant en question est suivie depuis janvier 2020.<\/p>\n

Une particularit\u00e9 de FritzFrog est qu'il garde toutes les donn\u00e9es et le code ex\u00e9cutable uniquement en m\u00e9moire. Les modifications sur le disque se limitent \u00e0 l'ajout d'une nouvelle cl\u00e9 SSH dans le fichier authorized_keys, qui est ensuite utilis\u00e9e pour acc\u00e9der au serveur. Les fichiers syst\u00e8me ne sont pas modifi\u00e9s, ce qui rend le ver ind\u00e9tectable pour les syst\u00e8mes v\u00e9rifiant l'int\u00e9grit\u00e9 par des sommes de contr\u00f4le. En m\u00e9moire, se trouvent \u00e9galement des dictionnaires pour le craquage des mots de passe et des donn\u00e9es de minage, qui sont synchronis\u00e9es entre les n\u0153uds \u00e0 l'aide du protocole P2P.<\/p>\n

Les composants malveillants se camouflent sous les processus \u00ab ifconfig \u00bb, \u00ab libexec \u00bb, \u00ab php-fpm \u00bb et \u00ab nginx \u00bb. Les n\u0153uds du botnet surveillent l'\u00e9tat de leurs voisins et, en cas de red\u00e9marrage du serveur ou m\u00eame de r\u00e9installation du syst\u00e8me d'exploitation (si un fichier authorized_keys modifi\u00e9 a \u00e9t\u00e9 transf\u00e9r\u00e9 dans le nouveau syst\u00e8me), r\u00e9activent \u00e0 nouveau les composants malveillants sur l'h\u00f4te. Pour la communication, SSH standard est utilis\u00e9 - le logiciel malveillant lance en plus un \u00ab netcat \u00bb local qui se lie \u00e0 l'interface localhost et \u00e9coute le trafic sur le port 1234, auquel les n\u0153uds externes acc\u00e8dent via un tunnel SSH en utilisant la cl\u00e9 du fichier authorized_keys.
\n

\"Un<\/a><\/noindex><\/center><\/p>\n

Le code des composants FritzFrog est \u00e9crit en Go et fonctionne en mode multithread. Le logiciel malveillant comprend plusieurs modules, ex\u00e9cut\u00e9s dans diff\u00e9rents threads :<\/p>\n