{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Identificato un worm FritzFrog, che colpisce i server tramite SSH e crea un botnet decentralizzato.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'azienda Guardicore, specializzata nella protezione dei data center e dei sistemi cloud, ha identificato<\/a><\/noindex> ha scoperto un nuovo malware high-tech chiamato FritzFrog, che colpisce i server basati su Linux. FritzFrog combina un worm che si diffonde tramite attacchi di bruteforce ai server con porta SSH aperta, e componenti per costruire un botnet decentralizzato, funzionante senza nodi di comando e senza un singolo punto di errore.<\/p>\n

Per costruire il botnet viene utilizzato un protocollo P2P proprietario, nel quale i nodi interagiscono tra loro, coordinano le organizzazioni degli attacchi, mantengono la rete operativa e controllano lo stato reciproco. Nuove vittime vengono trovate attraverso attacchi di bruteforce ai server che accettano richieste SSH. Quando viene scoperto un nuovo server, viene eseguita una scansione in base a un dizionario di combinazioni comuni di nomi utente e password. Il controllo pu\u00f2 avvenire attraverso qualsiasi nodo, il che rende pi\u00f9 complicato identificare e bloccare gli operatori del botnet.<\/p>\n

Secondo i ricercatori, il botnet conta gi\u00e0 circa 500 nodi, tra cui server di diverse universit\u00e0 e di una grande azienda ferroviaria. Si segnala che l'obiettivo principale degli attacchi sono le reti di istituzioni educative, centri medici, enti pubblici, banche e compagnie di telecomunicazioni. Dopo la compromissione di un server, viene organizzato un processo di mining di criptovaluta Monero. L'attivit\u00e0 di questo malware \u00e8 tracciata fin da gennaio 2020.<\/p>\n

Una delle caratteristiche di FritzFrog \u00e8 che mantiene tutti i dati e il codice eseguibile solo in memoria. Le modifiche su disco si limitano all'aggiunta di una nuova chiave SSH nel file authorized_keys, che successivamente viene utilizzata per accedere al server. I file di sistema non vengono modificati, il che rende il worm indistinguibile per i sistemi che controllano l'integrit\u00e0 tramite checksum. In memoria vengono mantenuti anche dizionari per la scansione delle password e dati per il mining, che vengono sincronizzati tra i nodi tramite il protocollo P2P.<\/p>\n

I componenti dannosi si camuffano come i processi , , e . I nodi del botnet monitorano lo stato dei vicini e, in caso di riavvio del server o persino reinstallazione del sistema operativo (se il file authorized_keys modificato \u00e8 stato trasferito nel nuovo sistema), riattivano nuovamente i componenti dannosi nell'host. Per la comunicazione si utilizza l'SSH standard - il malware avvia anche un locale, che si associa all'interfaccia localhost e ascolta il traffico sulla porta 1234, a cui i nodi esterni si collegano tramite un tunnel SSH, utilizzando per la connessione la chiave presente in authorized_keys.
\n

\"Identificato<\/a><\/noindex><\/center><\/p>\n

Il codice dei componenti FritzFrog \u00e8 scritto in linguaggio Go e funziona in modalit\u00e0 multithreading. Il malware include diversi moduli, eseguiti in thread diversi:<\/p>\n