ફ્રિટ્ઝફ્રોગ કૃમિની ઓળખ કરવામાં આવી છે, જે SSH દ્વારા સર્વરને સંક્રમિત કરે છે અને વિકેન્દ્રિત બોટનેટ બનાવે છે.

ગાર્ડિકોર કંપની, ડેટા સેન્ટર્સ અને ક્લાઉડ સિસ્ટમ્સના રક્ષણમાં વિશેષતા ધરાવે છે, જાહેર કર્યું FritzFrog, એક નવું હાઇ-ટેક માલવેર કે જે Linux-આધારિત સર્વર્સ પર હુમલો કરે છે. FritzFrog એક કૃમિને જોડે છે જે ખુલ્લા SSH પોર્ટ સાથે સર્વર પર બ્રુટફોર્સ હુમલા દ્વારા ફેલાય છે, અને વિકેન્દ્રિત બોટનેટ બનાવવા માટે ઘટકોને જોડે છે જે નિયંત્રણ ગાંઠો વિના કાર્ય કરે છે અને તેમાં નિષ્ફળતાનો એક પણ બિંદુ નથી.

બોટનેટ બનાવવા માટે, માલિકીના P2P પ્રોટોકોલનો ઉપયોગ કરવામાં આવે છે, જેમાં નોડ્સ એકબીજા સાથે ક્રિયાપ્રતિક્રિયા કરે છે, હુમલાઓના સંગઠનને સંકલન કરે છે, નેટવર્કના સંચાલનને સમર્થન આપે છે અને એકબીજાની સ્થિતિનું નિરીક્ષણ કરે છે. SSH દ્વારા વિનંતીઓ સ્વીકારતા સર્વર્સ પર બ્રુટફોર્સ હુમલો કરીને નવા પીડિતો જોવા મળે છે. જ્યારે નવું સર્વર શોધાય છે, ત્યારે લૉગિન અને પાસવર્ડના લાક્ષણિક સંયોજનોનો શબ્દકોશ શોધવામાં આવે છે. નિયંત્રણ કોઈપણ નોડ દ્વારા હાથ ધરવામાં આવી શકે છે, જે બોટનેટ ઓપરેટરોને ઓળખવા અને અવરોધિત કરવાનું મુશ્કેલ બનાવે છે.

સંશોધકોના મતે, બોટનેટમાં પહેલેથી જ લગભગ 500 નોડ્સ છે, જેમાં ઘણી યુનિવર્સિટીઓના સર્વર અને મોટી રેલ્વે કંપનીનો સમાવેશ થાય છે. એ નોંધ્યું છે કે હુમલાના મુખ્ય લક્ષ્યો શૈક્ષણિક સંસ્થાઓ, તબીબી કેન્દ્રો, સરકારી એજન્સીઓ, બેંકો અને ટેલિકોમ્યુનિકેશન કંપનીઓના નેટવર્ક છે. સર્વર સાથે ચેડા થયા પછી, મોનેરો ક્રિપ્ટોકરન્સીના માઇનિંગની પ્રક્રિયા તેના પર ગોઠવવામાં આવે છે. પ્રશ્નમાં માલવેરની પ્રવૃત્તિ જાન્યુઆરી 2020 થી શોધી કાઢવામાં આવી છે.

FritzFrogની ખાસ વાત એ છે કે તે તમામ ડેટા અને એક્ઝિક્યુટેબલ કોડને માત્ર મેમરીમાં જ રાખે છે. ડિસ્ક પરના ફેરફારોમાં માત્ર ઓથોરાઈઝ્ડ_કીઝ ફાઈલમાં નવી SSH કી ઉમેરવાનો સમાવેશ થાય છે, જે પછીથી સર્વરને એક્સેસ કરવા માટે વપરાય છે. સિસ્ટમ ફાઇલો બદલાતી નથી, જે ચેકસમનો ઉપયોગ કરીને અખંડિતતા તપાસતી સિસ્ટમો માટે કૃમિને અદ્રશ્ય બનાવે છે. મેમરી બ્રુટ-ફોર્સિંગ પાસવર્ડ્સ અને ખાણકામ માટેના ડેટા માટે શબ્દકોશો પણ સંગ્રહિત કરે છે, જે P2P પ્રોટોકોલનો ઉપયોગ કરીને નોડ્સ વચ્ચે સિંક્રનાઇઝ થાય છે.

દૂષિત ઘટકો ifconfig, libexec, php-fpm અને nginx પ્રક્રિયાઓ તરીકે છદ્મવેલા છે. બોટનેટ નોડ્સ તેમના પડોશીઓની સ્થિતિનું નિરીક્ષણ કરે છે અને, જો સર્વર રીબૂટ થાય છે અથવા તો OS પુનઃસ્થાપિત થાય છે (જો સંશોધિત અધિકૃત_કીઝ ફાઇલ નવી સિસ્ટમમાં સ્થાનાંતરિત કરવામાં આવી હોય), તો તેઓ હોસ્ટ પર દૂષિત ઘટકોને ફરીથી સક્રિય કરે છે. સંદેશાવ્યવહાર માટે, પ્રમાણભૂત SSH નો ઉપયોગ થાય છે - માલવેર વધુમાં સ્થાનિક "નેટકેટ" લોન્ચ કરે છે જે લોકલહોસ્ટ ઈન્ટરફેસ સાથે જોડાય છે અને પોર્ટ 1234 પર ટ્રાફિકને સાંભળે છે, જે કનેક્ટ કરવા માટે અધિકૃત_કીમાંથી કીનો ઉપયોગ કરીને SSH ટનલ દ્વારા એક્સટર્નલ હોસ્ટને ઍક્સેસ કરે છે.

FritzFrog ઘટક કોડ Go માં લખાયેલ છે અને મલ્ટી-થ્રેડેડ મોડમાં ચાલે છે. માલવેરમાં ઘણા મોડ્યુલોનો સમાવેશ થાય છે જે વિવિધ થ્રેડોમાં ચાલે છે:

• ક્રેકર - હુમલો કરેલા સર્વર્સ પર પાસવર્ડ્સ શોધે છે.
• ક્રિપ્ટોકોમ + પાર્સર - એન્ક્રિપ્ટેડ P2P કનેક્શન ગોઠવે છે.
• કાસ્ટવોટ્સ એ હુમલા માટે સંયુક્ત રીતે લક્ષ્ય યજમાનોને પસંદ કરવા માટેની એક પદ્ધતિ છે.
• TargetFeed - પડોશી ગાંઠોથી હુમલો કરવા માટે નોડ્સની યાદી મેળવે છે.
• DeployMgmt એ કૃમિનું અમલીકરણ છે જે ચેડા થયેલા સર્વરને દૂષિત કોડનું વિતરણ કરે છે.
• માલિકી - સર્વર સાથે કનેક્ટ કરવા માટે જવાબદાર છે જે પહેલાથી દૂષિત કોડ ચલાવી રહ્યાં છે.
• એસેમ્બલ - અલગથી સ્થાનાંતરિત બ્લોક્સમાંથી મેમરીમાં ફાઇલને એસેમ્બલ કરે છે.
• એન્ટિવીર - સ્પર્ધાત્મક માલવેરને દબાવવા માટેનું મોડ્યુલ, સીપીયુ સંસાધનોનો ઉપયોગ કરતી સ્ટ્રિંગ "xmr" સાથે પ્રક્રિયાઓને ઓળખે છે અને સમાપ્ત કરે છે.
• લિબેક્સેક એ મોનેરો ક્રિપ્ટોકરન્સીના ખાણકામ માટેનું મોડ્યુલ છે.

FritzFrog માં વપરાતો P2P પ્રોટોકોલ નોડ્સ વચ્ચે ડેટા ટ્રાન્સફર કરવા, સ્ક્રિપ્ટો ચલાવવા, માલવેર ઘટકોને સ્થાનાંતરિત કરવા, મતદાનની સ્થિતિ, લોગની આપલે કરવા, પ્રોક્સી શરૂ કરવા વગેરે માટે જવાબદાર લગભગ 30 આદેશોને સપોર્ટ કરે છે. JSON ફોર્મેટમાં સીરીયલાઇઝેશન સાથે એક અલગ એન્ક્રિપ્ટેડ ચેનલ પર માહિતી પ્રસારિત થાય છે. એન્ક્રિપ્શન અસમપ્રમાણ AES સાઇફર અને Base64 એન્કોડિંગનો ઉપયોગ કરે છે. DH પ્રોટોકોલનો ઉપયોગ કી વિનિમય માટે થાય છે (ડિફી-હેલમેન). રાજ્ય નક્કી કરવા માટે, નોડ્સ સતત પિંગ વિનંતીઓનું વિનિમય કરે છે.

તમામ બોટનેટ નોડ્સ એટેક થયેલ અને ચેડા કરાયેલી સિસ્ટમો વિશેની માહિતી સાથે વિતરિત ડેટાબેઝ જાળવી રાખે છે. હુમલાના લક્ષ્યો સમગ્ર બોટનેટમાં સમન્વયિત થાય છે - દરેક નોડ એક અલગ લક્ષ્ય પર હુમલો કરે છે, એટલે કે. બે અલગ અલગ બોટનેટ નોડ્સ એક જ હોસ્ટ પર હુમલો કરશે નહીં. નોડ્સ સ્થાનિક આંકડાઓ પણ એકત્ર કરે છે અને પડોશીઓને ટ્રાન્સમિટ કરે છે, જેમ કે ફ્રી મેમરી સાઇઝ, અપટાઇમ, CPU લોડ અને SSH લૉગિન પ્રવૃત્તિ. આ માહિતીનો ઉપયોગ માઇનિંગ પ્રક્રિયા શરૂ કરવી કે નોડનો ઉપયોગ અન્ય સિસ્ટમો પર હુમલો કરવા માટે થાય છે કે કેમ તે નક્કી કરવા માટે થાય છે (ઉદાહરણ તરીકે, માઇનિંગ લોડ થયેલ સિસ્ટમો અથવા વારંવાર એડમિનિસ્ટ્રેટર કનેક્શન ધરાવતી સિસ્ટમ પર શરૂ થતું નથી).

FritzFrog ઓળખવા માટે, સંશોધકોએ એક સરળ પ્રસ્તાવ મૂક્યો છે શેલ સ્ક્રિપ્ટ. સિસ્ટમ નુકસાન નક્કી કરવા માટે
પોર્ટ 1234 પર લિસનિંગ કનેક્શનની હાજરી જેવા ચિહ્નો, હાજરી દૂષિત કી અધિકૃત_કીમાં (બધા નોડ્સ પર સમાન SSH કી ઇન્સ્ટોલ કરેલી છે) અને ચાલતી પ્રક્રિયાઓની મેમરીમાં હાજરી “ifconfig”, “libexec”, “php-fpm” અને “nginx” કે જેની પાસે એક્ઝિક્યુટેબલ ફાઇલો નથી (“/proc/” / exe" રીમોટ ફાઇલ તરફ નિર્દેશ કરે છે). એક નિશાની નેટવર્ક પોર્ટ 5555 પર ટ્રાફિકની હાજરી પણ હોઈ શકે છે, જે ત્યારે થાય છે જ્યારે મોનેરો ક્રિપ્ટોકરન્સીના માઇનિંગ દરમિયાન માલવેર લાક્ષણિક પૂલ web.xmrpool.eu ને ઍક્સેસ કરે છે.

સોર્સ: opennet.ru