{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Scoperto il worm FritzFrog, che colpisce i server tramite SSH e costruisce un botnet decentralizzato","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'azienda Guardicore, specializzata nella protezione di data center e sistemi cloud, ha messo in luce<\/a><\/noindex> ha identificato un nuovo malware altamente tecnologico denominato FritzFrog, che colpisce server basati su Linux. FritzFrog combina un worm che si diffonde tramite attacchi bruteforce ai server con porte SSH aperte, e componenti per costruire un botnet decentralizzato, funzionante senza nodi di controllo e senza un singolo punto di failure.<\/p>\n

Per costruire il botnet viene utilizzato un protocollo P2P proprietario, nel quale i nodi comunicano tra loro, coordinano l'organizzazione degli attacchi, mantengono il funzionamento della rete e controllano lo stato reciproco. Nuove vittime vengono scovate attraverso attacchi bruteforce ai server che accettano richieste SSH. Quando viene trovato un nuovo server, viene effettuato un attacco di dizionario con combinazioni comuni di nomi utente e password. Il controllo pu\u00f2 avvenire tramite qualsiasi nodo, rendendo difficile l'identificazione e il blocco degli operatori del botnet.<\/p>\n

Secondo i ricercatori, il botnet conta gi\u00e0 circa 500 nodi, tra cui server di alcune universit\u00e0 e di una grande azienda ferroviaria. Si segnala che l'obiettivo principale degli attacchi sono le reti di istituzioni educative, centri medici, enti governativi, banche e aziende di telecomunicazioni. Dopo la compromissione di un server, viene avviato un processo per il mining di criptovalute Monero. L'attivit\u00e0 di questo malware \u00e8 rintracciabile da gennaio 2020.<\/p>\n

Una caratteristica distintiva di FritzFrog \u00e8 che mantiene tutti i dati e il codice eseguibili solo in memoria. Le modifiche su disco si limitano solo all'aggiunta di una nuova chiave SSH nel file authorized_keys, che viene poi utilizzata per accedere al server. I file di sistema non vengono modificati, rendendo il worm invisibile ai sistemi che verificano l'integrit\u00e0 tramite checksum. In memoria vengono archiviati anche i dizionari per il cracking delle password e i dati per il mining, sincronizzati tra i nodi tramite il protocollo P2P.<\/p>\n

I componenti malevoli si camuffano come processi , , e . I nodi del botnet monitorano lo stato dei vicini e, in caso di riavvio del server o anche di reinstallazione del sistema operativo (se il file authorized_keys modificato \u00e8 stato trasferito nel nuovo sistema), riattivano nuovamente i componenti dannosi sull'host. Per la comunicazione viene utilizzato il normale SSH \u2014 il malware attiva inoltre un locale, legato all'interfaccia localhost e in ascolto sul traffico sulla porta 1234, a cui i nodi esterni si collegano tramite un tunnel SSH, utilizzando per la connessione una chiave presente in authorized_keys.
\n

\"Scoperto<\/a><\/noindex><\/center><\/p>\n

Il codice dei componenti di FritzFrog \u00e8 scritto in Go e opera in modalit\u00e0 multithread. Il malware include diversi moduli, eseguiti in thread distinti:<\/p>\n