{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"FritzFrog f\u00e9rget tal\u00e1ltak, amely SSH-n kereszt\u00fcl t\u00e1madja a szervereket \u00e9s decentraliz\u00e1lt botnetet \u00e9p\u00edt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A Guardicore c\u00e9g, amely adatk\u00f6zpontok \u00e9s felh\u0151alap\u00fa rendszerek v\u00e9delm\u00e9re specializ\u00e1l\u00f3dott, felt\u00e1rta<\/a><\/noindex> \u00faj, high-tech FritzFrog k\u00e1rtev\u0151t azonos\u00edtott, amely Linux alap\u00fa szervereket c\u00e9loz meg. A FritzFrog egy f\u00e9rg, amely bruteforce t\u00e1mad\u00e1sokkal terjed a nyitott SSH porttal rendelkez\u0151 szervereken, \u00e9s tartalmaz decentraliz\u00e1lt botnet \u00e9p\u00edt\u00e9s\u00e9re szolg\u00e1l\u00f3 komponenseket, amelyek ir\u00e1ny\u00edt\u00f3 csom\u00f3pontok n\u00e9lk\u00fcl m\u0171k\u00f6dnek \u00e9s nincsenek egyetlen hibapontjuk.<\/p>\n

A botnet \u00e9p\u00edt\u00e9s\u00e9hez saj\u00e1t P2P protokollt alkalmaz, amelyben a csom\u00f3pontok egym\u00e1ssal kommunik\u00e1lnak, koordin\u00e1lj\u00e1k a t\u00e1mad\u00e1sok szervez\u00e9s\u00e9t, fenntartj\u00e1k a h\u00e1l\u00f3zat m\u0171k\u00f6d\u00e9s\u00e9t \u00e9s ellen\u0151rzik egym\u00e1s \u00e1llapot\u00e1t. Az \u00faj \u00e1ldozatokat bruteforce t\u00e1mad\u00e1sokkal tal\u00e1lj\u00e1k meg a SSH k\u00e9rd\u00e9seket fogad\u00f3 szervereken. Amikor egy \u00faj szervert felfedeznek, a tipikus felhaszn\u00e1l\u00f3n\u00e9v \u00e9s jelsz\u00f3 kombin\u00e1ci\u00f3kb\u00f3l \u00e1ll\u00f3 sz\u00f3t\u00e1r alapon v\u00e9geznek tesztel\u00e9st. Az ir\u00e1ny\u00edt\u00e1s b\u00e1rmely csom\u00f3ponton kereszt\u00fcl t\u00f6rt\u00e9nhet, ami megnehez\u00edti a botnet oper\u00e1torainak azonos\u00edt\u00e1s\u00e1t \u00e9s blokkol\u00e1s\u00e1t.<\/p>\n

A kutat\u00f3k szerint a botnet m\u00e1r k\u00f6r\u00fclbel\u00fcl 500 csom\u00f3pontb\u00f3l \u00e1ll, amelyek k\u00f6z\u00f6tt t\u00f6bb egyetem \u00e9s egy nagy vas\u00fatt\u00e1rsas\u00e1g szerverei is szerepelnek. Megfigyelt\u00e9k, hogy a t\u00e1mad\u00e1sok f\u0151 c\u00e9lpontjai az oktat\u00e1si int\u00e9zm\u00e9nyek, orvosi k\u00f6zpontok, \u00e1llami int\u00e9zm\u00e9nyek, bankok \u00e9s telekommunik\u00e1ci\u00f3s c\u00e9gek h\u00e1l\u00f3zatai. A szerver kompromitt\u00e1l\u00e1sa ut\u00e1n Monero kriptovaluta b\u00e1ny\u00e1szatot ind\u00edtanak el rajta. A vizsg\u00e1lt k\u00e1rtev\u0151 aktivit\u00e1sa 2020 janu\u00e1rja \u00f3ta nyomon k\u00f6vethet\u0151.<\/p>\n

A FritzFrog saj\u00e1toss\u00e1ga, hogy minden adatot \u00e9s v\u00e9grehajthat\u00f3 k\u00f3dot csak a mem\u00f3ri\u00e1ban t\u00e1rol. A lemezen t\u00f6rt\u00e9n\u0151 m\u00f3dos\u00edt\u00e1sok csak annyira korl\u00e1toz\u00f3dnak, hogy \u00faj SSH kulcsot adnak hozz\u00e1 az authorized_keys f\u00e1jlhoz, amelyet k\u00e9s\u0151bb a szerverhez val\u00f3 hozz\u00e1f\u00e9r\u00e9shez haszn\u00e1lnak. A rendszerf\u00e1jlok nem m\u00f3dosulnak, ami a f\u00e9rget \u00e9szlelhetetlenn\u00e9 teszi a hash ellen\u0151rz\u00e9seket v\u00e9gz\u0151 rendszerek sz\u00e1m\u00e1ra. A mem\u00f3ri\u00e1ban a jelsz\u00f3megold\u00e1sokhoz sz\u00f3t\u00e1rak \u00e9s b\u00e1ny\u00e1szat adatai is tal\u00e1lhat\u00f3k, amelyek a P2P protokollon kereszt\u00fcl szinkroniz\u00e1l\u00f3dnak a csom\u00f3pontok k\u00f6z\u00f6tt.<\/p>\n

A k\u00e1rt\u00e9kony komponensek az «ifconfig», «libexec», «php-fpm» \u00e9s «nginx» folyamatok m\u00f6g\u00e9 rejt\u0151znek. A botnet csom\u00f3pontok figyelik a szomsz\u00e9dokat, \u00e9s a szerver \u00fajraind\u00edt\u00e1sa vagy ak\u00e1r az oper\u00e1ci\u00f3s rendszer \u00fajratelep\u00edt\u00e9se eset\u00e9n (ha az \u00faj rendszerbe \u00e1tvitt\u00e9k a m\u00f3dos\u00edtott authorized_keys f\u00e1jlt) ism\u00e9t aktiv\u00e1lj\u00e1k a k\u00e1rt\u00e9kony komponenseket a gazda rendszer\u00e9n. A kommunik\u00e1ci\u00f3hoz a szok\u00e1sos SSH-t haszn\u00e1lj\u00e1k - a k\u00e1rt\u00e9kony program egy helyi «netcat» alkalmaz\u00e1st is ind\u00edt, amely a localhost interf\u00e9szhez k\u00f6t\u0151dik \u00e9s a 1234-es porton hallgatja a forgalmat, amelyhez a k\u00fcls\u0151 csom\u00f3pontok SSH-alag\u00faton kereszt\u00fcl csatlakoznak, a kapcsolat l\u00e9trehoz\u00e1s\u00e1hoz az authorized_keys-b\u00f3l sz\u00e1rmaz\u00f3 kulcsot haszn\u00e1lva.
\n

\"FritzFrog<\/a><\/noindex><\/center><\/p>\n

A FritzFrog \u00f6sszetev\u0151k k\u00f3dja Go nyelven \u00edr\u00f3dott \u00e9s sz\u00e1lakban m\u0171k\u00f6dik. A k\u00e1rt\u00e9kony szoftver t\u00f6bb modult tartalmaz, amelyeket k\u00fcl\u00f6nb\u00f6z\u0151 sz\u00e1lakban ind\u00edt:<\/p>\n