फ्रिट्ज़फ्रॉग वर्म की पहचान की गई है, जो एसएसएच के माध्यम से सर्वर को संक्रमित करता है और एक विकेन्द्रीकृत बॉटनेट का निर्माण करता है

गार्डिकोर कंपनी, डेटा केंद्रों और क्लाउड सिस्टम की सुरक्षा में विशेषज्ञता, प्रकट किया फ्रिट्ज़फ्रॉग, एक नया हाई-टेक मैलवेयर जो लिनक्स-आधारित सर्वर पर हमला करता है। फ्रिट्ज़फ्रॉग एक खुले एसएसएच पोर्ट के साथ सर्वर पर ब्रूटफोर्स हमले के माध्यम से फैलने वाले एक कीड़े को जोड़ता है, और एक विकेन्द्रीकृत बॉटनेट बनाने के लिए घटकों को जोड़ता है जो नियंत्रण नोड्स के बिना संचालित होता है और विफलता का एक भी बिंदु नहीं होता है।

बॉटनेट बनाने के लिए, एक मालिकाना पी2पी प्रोटोकॉल का उपयोग किया जाता है, जिसमें नोड्स एक दूसरे के साथ बातचीत करते हैं, हमलों के संगठन का समन्वय करते हैं, नेटवर्क के संचालन का समर्थन करते हैं और एक दूसरे की स्थिति की निगरानी करते हैं। एसएसएच के माध्यम से अनुरोध स्वीकार करने वाले सर्वर पर क्रूर हमला करके नए पीड़ितों को ढूंढा जाता है। जब एक नए सर्वर का पता चलता है, तो लॉगिन और पासवर्ड के विशिष्ट संयोजनों का एक शब्दकोश खोजा जाता है। नियंत्रण किसी भी नोड के माध्यम से किया जा सकता है, जिससे बॉटनेट ऑपरेटरों को पहचानना और ब्लॉक करना मुश्किल हो जाता है।

शोधकर्ताओं के अनुसार, बॉटनेट में पहले से ही लगभग 500 नोड्स हैं, जिनमें कई विश्वविद्यालयों और एक बड़ी रेलवे कंपनी के सर्वर शामिल हैं। यह ध्यान दिया जाता है कि हमले का मुख्य लक्ष्य शैक्षणिक संस्थानों, चिकित्सा केंद्रों, सरकारी एजेंसियों, बैंकों और दूरसंचार कंपनियों के नेटवर्क हैं। सर्वर से समझौता होने के बाद, उस पर मोनेरो क्रिप्टोकरेंसी को माइन करने की प्रक्रिया आयोजित की जाती है। जनवरी 2020 से विचाराधीन मैलवेयर की गतिविधि का पता लगाया गया है।

फ्रिट्ज़फ्रॉग की खास बात यह है कि यह सभी डेटा और एक्जीक्यूटेबल कोड को केवल मेमोरी में रखता है। डिस्क पर परिवर्तन में केवल अधिकृत_की फ़ाइल में एक नई SSH कुंजी जोड़ना शामिल है, जिसका उपयोग बाद में सर्वर तक पहुंचने के लिए किया जाता है। सिस्टम फ़ाइलें नहीं बदली जाती हैं, जिससे वर्म उन सिस्टमों के लिए अदृश्य हो जाता है जो चेकसम का उपयोग करके अखंडता की जांच करते हैं। मेमोरी माइनिंग के लिए ब्रूट-फोर्सिंग पासवर्ड और डेटा के लिए शब्दकोशों को भी संग्रहीत करती है, जो पी 2 पी प्रोटोकॉल का उपयोग करके नोड्स के बीच सिंक्रनाइज़ होते हैं।

दुर्भावनापूर्ण घटकों को ifconfig, libexec, php-fpm और nginx प्रक्रियाओं के रूप में छिपाया जाता है। बॉटनेट नोड्स अपने पड़ोसियों की स्थिति की निगरानी करते हैं और, यदि सर्वर को रिबूट किया जाता है या यहां तक ​​कि ओएस को फिर से इंस्टॉल किया जाता है (यदि एक संशोधित अधिकृत_की फ़ाइल को नए सिस्टम में स्थानांतरित किया गया था), तो वे होस्ट पर दुर्भावनापूर्ण घटकों को फिर से सक्रिय करते हैं। संचार के लिए, मानक एसएसएच का उपयोग किया जाता है - मैलवेयर अतिरिक्त रूप से एक स्थानीय "नेटकैट" लॉन्च करता है जो लोकलहोस्ट इंटरफ़ेस से जुड़ता है और पोर्ट 1234 पर ट्रैफ़िक को सुनता है, जिसे कनेक्ट करने के लिए अधिकृत_कीज़ से एक कुंजी का उपयोग करके बाहरी होस्ट एसएसएच सुरंग के माध्यम से एक्सेस करते हैं।

फ़्रिट्ज़फ्रॉग घटक कोड गो में लिखा गया है और मल्टी-थ्रेडेड मोड में चलता है। मैलवेयर में कई मॉड्यूल शामिल हैं जो विभिन्न थ्रेड में चलते हैं:

• क्रैकर - हमला किए गए सर्वर पर पासवर्ड खोजता है।
• क्रिप्टोकॉम + पार्सर - एक एन्क्रिप्टेड पी2पी कनेक्शन व्यवस्थित करता है।
• कास्टवोट्स हमले के लिए लक्ष्य मेजबानों को संयुक्त रूप से चुनने का एक तंत्र है।
• TargetFeed - पड़ोसी नोड्स से हमला करने के लिए नोड्स की एक सूची प्राप्त करता है।
• DeployMgmt एक वर्म का कार्यान्वयन है जो एक समझौता किए गए सर्वर पर दुर्भावनापूर्ण कोड वितरित करता है।
• स्वामित्व - उन सर्वरों से कनेक्ट करने के लिए ज़िम्मेदार है जो पहले से ही दुर्भावनापूर्ण कोड चला रहे हैं।
• असेंबल - अलग-अलग स्थानांतरित ब्लॉकों से मेमोरी में एक फ़ाइल को असेंबल करता है।
• एंटीवायर - प्रतिस्पर्धी मैलवेयर को दबाने के लिए एक मॉड्यूल, सीपीयू संसाधनों का उपभोग करने वाली स्ट्रिंग "एक्सएमआर" के साथ प्रक्रियाओं को पहचानता है और समाप्त करता है।
• लिबेक्सेक मोनेरो क्रिप्टोकरेंसी के खनन के लिए एक मॉड्यूल है।

फ्रिट्ज़फ्रॉग में उपयोग किया जाने वाला पी2पी प्रोटोकॉल नोड्स के बीच डेटा स्थानांतरित करने, स्क्रिप्ट चलाने, मैलवेयर घटकों को स्थानांतरित करने, मतदान स्थिति, लॉग का आदान-प्रदान करने, प्रॉक्सी लॉन्च करने आदि के लिए जिम्मेदार लगभग 30 कमांड का समर्थन करता है। जानकारी JSON प्रारूप में क्रमांकन के साथ एक अलग एन्क्रिप्टेड चैनल पर प्रसारित की जाती है। एन्क्रिप्शन असममित एईएस सिफर और बेस 64 एन्कोडिंग का उपयोग करता है। डीएच प्रोटोकॉल का उपयोग कुंजी विनिमय के लिए किया जाता है (Diffie-Hellman). स्थिति निर्धारित करने के लिए, नोड्स लगातार पिंग अनुरोधों का आदान-प्रदान करते हैं।

सभी बॉटनेट नोड्स आक्रमणित और समझौता किए गए सिस्टम के बारे में जानकारी के साथ एक वितरित डेटाबेस बनाए रखते हैं। हमले के लक्ष्य पूरे बॉटनेट में सिंक्रनाइज़ होते हैं - प्रत्येक नोड एक अलग लक्ष्य पर हमला करता है, यानी। दो अलग-अलग बॉटनेट नोड एक ही होस्ट पर हमला नहीं करेंगे। नोड्स स्थानीय आँकड़े भी एकत्र करते हैं और पड़ोसियों को प्रसारित करते हैं, जैसे कि मुफ्त मेमोरी आकार, अपटाइम, सीपीयू लोड और एसएसएच लॉगिन गतिविधि। इस जानकारी का उपयोग यह तय करने के लिए किया जाता है कि खनन प्रक्रिया शुरू की जाए या केवल अन्य प्रणालियों पर हमला करने के लिए नोड का उपयोग किया जाए (उदाहरण के लिए, लोड किए गए सिस्टम या बार-बार व्यवस्थापक कनेक्शन वाले सिस्टम पर खनन शुरू नहीं होता है)।

फ़्रिट्ज़फ्रॉग की पहचान करने के लिए, शोधकर्ताओं ने एक सरल प्रस्ताव दिया है शैल स्क्रिप्ट. सिस्टम क्षति का निर्धारण करने के लिए
पोर्ट 1234 पर श्रवण कनेक्शन की उपस्थिति, उपस्थिति जैसे संकेत दुर्भावनापूर्ण कुंजी अधिकृत_कुंजी में (सभी नोड्स पर एक ही SSH कुंजी स्थापित है) और चल रही प्रक्रियाओं "ifconfig", "libexec", "php-fpm" और "nginx" की स्मृति में उपस्थिति जिसमें संबंधित निष्पादन योग्य फ़ाइलें नहीं हैं ("/ proc/ /exe" एक दूरस्थ फ़ाइल की ओर इंगित करता है)। एक संकेत नेटवर्क पोर्ट 5555 पर ट्रैफ़िक की उपस्थिति भी हो सकता है, जो तब होता है जब मैलवेयर मोनेरो क्रिप्टोकरेंसी के खनन के दौरान विशिष्ट पूल web.xmrpool.eu तक पहुंचता है।

स्रोत: opennet.ru