A Guardicore cég, amely adatközpontok és felhőalapú rendszerek védelmére specializálódott, új, high-tech FritzFrog kártevőt azonosított, amely Linux alapú szervereket céloz meg. A FritzFrog egy férg, amely bruteforce támadásokkal terjed a nyitott SSH porttal rendelkező szervereken, és tartalmaz decentralizált botnet építésére szolgáló komponenseket, amelyek irányító csomópontok nélkül működnek és nincsenek egyetlen hibapontjuk.
A botnet építéséhez saját P2P protokollt alkalmaz, amelyben a csomópontok egymással kommunikálnak, koordinálják a támadások szervezését, fenntartják a hálózat működését és ellenőrzik egymás állapotát. Az új áldozatokat bruteforce támadásokkal találják meg a SSH kérdéseket fogadó szervereken. Amikor egy új szervert felfedeznek, a tipikus felhasználónév és jelszó kombinációkból álló szótár alapon végeznek tesztelést. Az irányítás bármely csomóponton keresztül történhet, ami megnehezíti a botnet operátorainak azonosítását és blokkolását.
A kutatók szerint a botnet már körülbelül 500 csomópontból áll, amelyek között több egyetem és egy nagy vasúttársaság szerverei is szerepelnek. Megfigyelték, hogy a támadások fő célpontjai az oktatási intézmények, orvosi központok, állami intézmények, bankok és telekommunikációs cégek hálózatai. A szerver kompromittálása után Monero kriptovaluta bányászatot indítanak el rajta. A vizsgált kártevő aktivitása 2020 januárja óta nyomon követhető.
A FritzFrog sajátossága, hogy minden adatot és végrehajtható kódot csak a memóriában tárol. A lemezen történő módosítások csak annyira korlátozódnak, hogy új SSH kulcsot adnak hozzá az authorized_keys fájlhoz, amelyet később a szerverhez való hozzáféréshez használnak. A rendszerfájlok nem módosulnak, ami a férget észlelhetetlenné teszi a hash ellenőrzéseket végző rendszerek számára. A memóriában a jelszómegoldásokhoz szótárak és bányászat adatai is találhatók, amelyek a P2P protokollon keresztül szinkronizálódnak a csomópontok között.
A kártékony összetevők álcázva vannak az "ifconfig", "libexec", "php-fpm" és "nginx" folyamatok alatt. A botnet csomópontok nyomon követik a szomszédok állapotát, és a szerver újraindítása vagy még az operációs rendszer újratelepítése esetén (ha az új rendszerbe átkerült a módosított authorized_keys fájl) újból aktiválják a kártékony összetevőket a hoston. A kommunikációhoz a szabványos SSH-t használják — a kártékony szoftver egy helyi "netcat"-et indít, amely a localhost interfészhez csatlakozik és figyeli a forgalmat a 1234-es porton, amelyhez a külső csomópontok SSH-alagúton keresztül csatlakoznak, az authorized_keys-ből származó kulcsot használva.
A FritzFrog összetevők kódja Go nyelven íródott és szálakban működik. A kártékony szoftver több modult tartalmaz, amelyeket különböző szálakban indít:
- Cracker — a támadott szerverek jelszavainak feltörése.
- CryptoComm + Parser — titkosított P2P kapcsolatot létesít.
- CastVotes — a célzott hostok kiválasztásának mechanizmusa.
- TargetFeed — a támadáshoz szükséges csomópontok listáját kapja a szomszédos csomópontoktól.
- DeployMgmt — a kártékony kód terjesztésére szolgáló féreg megvalósítása a feltört szerveren.
- Owned — az összekapcsolásért felelős, ahol a kártékony kód már fut.
- Assemble — fájlok összegyűjtése a memóriában különböző részekből.
- Antivir — a versenyképes kártékony programok elnyomására szolgáló modul, amely észleli és megszünteti az "xmr" karakterláncot használó folyamatokat, amelyek CPU erőforrásokat fogyasztanak.
- Libexec — a Monero kriptovaluta bányászatára szolgáló modul.
A FritzFrog által alkalmazott P2P protokoll körülbelül 30 parancsot támogat, amelyek az adatok átviteléért, szkriptek futtatásáért, a kártékony összetevők átviteléért, állapotlekérdezésért, naplózásért, proxy indításáért stb. felelősek. Az információk egy külön titkosított csatornán keresztül kerülnek átvitelre JSON formátumban történő sorozatba állítással. Az AES aszimmetrikus kódot és Base64 kódolást használnak a titkosításhoz. A kulcscsere a DH protokollt használja (). Az állapot meghatározására a csomópontok folyamatosan ping kéréseket cserélnek.
Minden botnet-csomópont támogatja a támadott és kompromittált rendszerekről szóló információval rendelkező elosztott adatbázist. A támadási célok szinkronizálva vannak az egész botneten — minden csomópont egy külön célpontot támad, azaz két különböző botnet-csomópont nem támadja ugyanazt a hostot. A csomópontok emellett összegyűjtik és átadják a szomszédoknak a helyi statisztikákat, mint például a szabad memória mérete, az uptime, a CPU terhelés és az SSH belépések aktivitása. Ezt az információt használják a bányászati folyamat indításáról vagy arról, hogy a csomópontot csak más rendszerek támadására használják (például bányászat nem indul el túlterhelt rendszereken vagy olyan rendszereken, ahol gyakran csatlakozik az adminisztrátor).
A FritzFrog felfedezéséhez a kutatók egy egyszerű javasoltak. A rendszer kompromittáltságának meghatározásához
olyan jelek használhatók, mint az 1234-es porton lévő hallgató kapcsolat jelenléte, illetve a jelenléte az authorized_keys-ben (minden csomópontra azonos SSH-kulcsot állítanak be), valamint a memória aktuális folyamataiban a „ifconfig”, „libexec”, „php-fpm” és „nginx” megjelenése, amelyeknek nincsenek kapcsolódó végrehajtható fájljaik („/proc//exe” egy távoli fájlra mutat). Jeleként szolgálhat még a 5555-ös hálózati porton megjelenő forgalom, amely akkor lép fel, amikor a rosszindulatú szoftver a web.xmrpool.eu mintapoolhoz fordul a Monero kriptovaluta bányászat során.
Forrás: opennet.ru
