התולעת FritzFrog זוהתה, מדביקה שרתים באמצעות SSH ובונה רשת בוט מבוזרת

חברת Guardicore, המתמחה בהגנה על מרכזי נתונים ומערכות ענן, גילה FritzFrog, תוכנת זדונית היי-טק חדשה שתוקפת שרתים מבוססי לינוקס. FritzFrog משלבת תולעת שמתפשטת באמצעות מתקפת bruteforce על שרתים עם יציאת SSH פתוחה, ורכיבים לבניית רשת בוט מבוזרת הפועלת ללא צמתי בקרה ואין לה נקודת כשל אחת.

כדי לבנות רשת בוט, נעשה שימוש בפרוטוקול P2P קנייני, שבו צמתים מקיימים אינטראקציה זה עם זה, מתאמים את ארגון ההתקפות, תומכים בפעולת הרשת ומפקחים זה על מצבו של זה. קורבנות חדשים מוצאים על ידי ביצוע מתקפת bruteforce על שרתים שמקבלים בקשות דרך SSH. כאשר מתגלה שרת חדש, מתבצע חיפוש במילון של שילובים אופייניים של כניסות וסיסמאות. שליטה יכולה להתבצע דרך כל צומת, מה שמקשה על זיהוי וחסימת מפעילי בוטנט.

לדברי חוקרים, הבוטנט כבר מכיל כ-500 צמתים, כולל שרתים של מספר אוניברסיטאות וחברת רכבות גדולה. יצוין כי מטרות התקיפה העיקריות הן רשתות של מוסדות חינוך, מרכזים רפואיים, רשויות ממשלתיות, בנקים וחברות תקשורת. לאחר שהשרת נפגע, תהליך כריית המטבע הקריפטוגרפי Monero מאורגן עליו. הפעילות של התוכנה הזדונית המדוברת נמצאה במעקב מאז ינואר 2020.

הדבר המיוחד ב- FritzFrog הוא שהיא שומרת את כל הנתונים וקוד ההפעלה רק בזיכרון. שינויים בדיסק מורכבים רק מהוספת מפתח SSH חדש לקובץ authorized_keys, המשמש לאחר מכן לגישה לשרת. קבצי מערכת אינם משתנים, מה שהופך את התולעת לבלתי נראית למערכות שבודקות תקינות באמצעות סכומי ביקורת. הזיכרון מאחסן גם מילונים עבור סיסמאות אכיפות גסות ונתונים לכרייה, המסונכרנים בין צמתים באמצעות פרוטוקול P2P.

רכיבים זדוניים מוסווים כתהליכי ifconfig, libexec, php-fpm ו-nginx. צמתי Botnet עוקבים אחר המצב של שכניהם, ואם השרת מופעל מחדש או אפילו מערכת ההפעלה מותקנת מחדש (אם קובץ authorized_keys שונה הועבר למערכת החדשה), הם מפעילים מחדש רכיבים זדוניים במארח. לתקשורת, נעשה שימוש ב-SSH סטנדרטי - התוכנה הזדונית משיקה בנוסף "netcat" מקומי הנקשר לממשק localhost ומאזין לתעבורה ביציאה 1234, אשר מארח חיצוני ניגש אליה דרך מנהרת SSH, באמצעות מפתח מ-autorized_keys לחיבור.

קוד הרכיב של FritzFrog כתוב ב-Go ופועל במצב ריבוי הליכי. התוכנה הזדונית כוללת מספר מודולים הפועלים בשרשורים שונים:

• Cracker - מחפש סיסמאות בשרתים מותקפים.
• CryptoComm + Parser - מארגן חיבור P2P מוצפן.
• CastVotes הוא מנגנון לבחירה משותפת של מארחי יעד להתקפה.
• TargetFeed - מקבל רשימה של צמתים לתקוף מצמתים שכנים.
• DeployMgmt הוא יישום של תולעת שמפיצה קוד זדוני לשרת שנפגע.
• Owned - אחראי לחיבור לשרתים שכבר מריצים קוד זדוני.
• Assemble - מרכיב קובץ בזיכרון מבלוקים שהועברו בנפרד.
• Antivir - מודול לדיכוי תוכנות זדוניות מתחרות, מזהה ומסיים תהליכים עם המחרוזת "xmr" הצורכת משאבי CPU.
• Libexec הוא מודול לכריית המטבע הקריפטוגרפי Monero.

פרוטוקול P2P המשמש ב- FritzFrog תומך בכ-30 פקודות האחראיות על העברת נתונים בין צמתים, הפעלת סקריפטים, העברת רכיבי תוכנה זדונית, סטטוס סקר, החלפת יומנים, השקת פרוקסי וכו'. המידע מועבר בערוץ מוצפן נפרד עם סדרה בפורמט JSON. ההצפנה משתמשת בצופן AES אסימטרי ובקידוד Base64. פרוטוקול DH משמש להחלפת מפתחות (דיפי-למן). כדי לקבוע את המצב, צמתים מחליפים כל הזמן בקשות פינג.

כל צמתי הבוטנט מקיימים מסד נתונים מבוזר עם מידע על מערכות מותקפות ונפרצות. יעדי תקיפה מסונכרנים ברחבי הבוטנט - כל צומת תוקף יעד נפרד, כלומר. שני צמתי בוטנט שונים לא יתקפו את אותו מארח. צמתים גם אוספים ומשדרים נתונים סטטיסטיים מקומיים לשכנים, כגון גודל זיכרון פנוי, זמן פעולה, עומס מעבד ופעילות כניסה ל-SSH. מידע זה משמש כדי להחליט אם להתחיל את תהליך הכרייה או להשתמש בצומת רק כדי לתקוף מערכות אחרות (לדוגמה, הכרייה לא מתחילה במערכות טעונות או מערכות עם חיבורי מנהל תכופים).

כדי לזהות את FritzFrog, חוקרים הציעו פתרון פשוט תסריט מעטפת. כדי לקבוע נזק למערכת
סימנים כגון נוכחות של חיבור האזנה ביציאה 1234, הנוכחות מפתח זדוני ב-autorized_keys (אותו מפתח SSH מותקן בכל הצמתים) והנוכחות בזיכרון של תהליכים רצים "ifconfig", "libexec", "php-fpm" ו-"nginx" שאין להם קבצי הפעלה משויכים ("/proc/ /exe" מצביע על קובץ מרוחק). סימן יכול להיות גם נוכחות של תעבורה ביציאת רשת 5555, המתרחשת כאשר תוכנות זדוניות ניגשות לבריכה הטיפוסית web.xmrpool.eu במהלך כריית המטבע הקריפטוגרפי Monero.

מקור: OpenNet.ru