იდენტიფიცირებულია FritzFrog ჭია, რომელიც აინფიცირებს სერვერებს SSH-ის საშუალებით და აშენებს დეცენტრალიზებულ ბოტნეტს

კომპანია Guardicore, სპეციალიზირებულია მონაცემთა ცენტრებისა და ღრუბლოვანი სისტემების დაცვაში, გამოავლინა FritzFrog, ახალი მაღალტექნოლოგიური მავნე პროგრამა, რომელიც თავს ესხმის Linux-ზე დაფუძნებულ სერვერებს. FritzFrog აერთიანებს ჭიას, რომელიც ვრცელდება სერვერებზე უხეში შეტევის გზით ღია SSH პორტით და კომპონენტებს დეცენტრალიზებული ბოტნეტის შესაქმნელად, რომელიც მუშაობს კონტროლის კვანძების გარეშე და არ აქვს ერთი მარცხის წერტილი.

ბოტნეტის ასაშენებლად გამოიყენება საკუთრების P2P პროტოკოლი, რომელშიც კვანძები ურთიერთობენ ერთმანეთთან, კოორდინაციას უწევენ შეტევების ორგანიზებას, მხარს უჭერენ ქსელის მუშაობას და აკონტროლებენ ერთმანეთის სტატუსს. ახალი მსხვერპლი აღმოჩენილია სერვერებზე უხეში შეტევის განხორციელებით, რომლებიც იღებენ მოთხოვნებს SSH-ის საშუალებით. როდესაც აღმოჩენილია ახალი სერვერი, იძებნება შესვლისა და პაროლების ტიპიური კომბინაციების ლექსიკონი. კონტროლი შეიძლება განხორციელდეს ნებისმიერი კვანძის საშუალებით, რაც ართულებს ბოტნეტის ოპერატორების იდენტიფიცირებას და დაბლოკვას.

მკვლევარების აზრით, ბოტნეტს უკვე აქვს დაახლოებით 500 კვანძი, მათ შორის რამდენიმე უნივერსიტეტის სერვერები და დიდი სარკინიგზო კომპანია. აღნიშნულია, რომ თავდასხმის ძირითადი სამიზნეები საგანმანათლებლო დაწესებულებების, სამედიცინო ცენტრების, სახელმწიფო უწყებების, ბანკებისა და სატელეკომუნიკაციო კომპანიების ქსელებია. სერვერის დარღვევის შემდეგ, მასზე ორგანიზებულია Monero კრიპტოვალუტის მაინინგის პროცესი. აღნიშნული მავნე პროგრამის აქტივობა 2020 წლის იანვრიდან იკვლიება.

FritzFrog-ის განსაკუთრებული თვისება ის არის, რომ ის ინახავს ყველა მონაცემს და შესრულებად კოდს მხოლოდ მეხსიერებაში. დისკზე ცვლილებები მხოლოდ ავტორიზებული_გასაღების ფაილში ახალი SSH კლავიშის დამატებას მოიცავს, რომელიც შემდგომში სერვერზე წვდომისთვის გამოიყენება. სისტემის ფაილები არ იცვლება, რაც ჭიას უხილავს ხდის სისტემებისთვის, რომლებიც ამოწმებენ მთლიანობას საკონტროლო ჯამების გამოყენებით. მეხსიერება ასევე ინახავს ლექსიკონებს უხეში პაროლებისა და მაინინგის მონაცემებისთვის, რომლებიც სინქრონიზებულია კვანძებს შორის P2P პროტოკოლის გამოყენებით.

მავნე კომპონენტები შენიღბულია ifconfig, libexec, php-fpm და nginx პროცესებად. ბოტნეტის კვანძები აკონტროლებენ თავიანთი მეზობლების სტატუსს და, თუ სერვერი გადაიტვირთება ან თუნდაც OS ხელახლა დაინსტალირდება (თუ შეცვლილი autorized_keys ფაილი გადავიდა ახალ სისტემაში), ისინი ხელახლა ააქტიურებენ მავნე კომპონენტებს ჰოსტზე. კომუნიკაციისთვის გამოიყენება სტანდარტული SSH - მავნე პროგრამა დამატებით უშვებს ადგილობრივ "netcat"-ს, რომელიც აკავშირებს localhost ინტერფეისს და უსმენს ტრაფიკს 1234 პორტზე, რომელსაც გარე მასპინძლები წვდებიან SSH გვირაბის საშუალებით, ავტორიზებული_გასაღების გასაღების გამოყენებით დასაკავშირებლად.

FritzFrog კომპონენტის კოდი იწერება Go-ში და მუშაობს მრავალძაფის რეჟიმში. მავნე პროგრამა მოიცავს რამდენიმე მოდულს, რომლებიც მუშაობს სხვადასხვა თემაში:

• კრეკერი - ეძებს პაროლებს თავდასხმულ სერვერებზე.
• CryptoComm + Parser - აწყობს დაშიფრულ P2P კავშირს.
• CastVotes არის მექანიზმი თავდასხმისთვის სამიზნე მასპინძლების ერთობლივად შერჩევისთვის.
• TargetFeed - იღებს კვანძების სიას მეზობელი კვანძებიდან თავდასხმისთვის.
• DeployMgmt არის ჭიის იმპლემენტაცია, რომელიც ავრცელებს მავნე კოდს კომპრომეტირებულ სერვერზე.
• ფლობს - პასუხისმგებელია სერვერებთან დაკავშირებაზე, რომლებიც უკვე მუშაობენ მავნე კოდით.
• აწყობა - აწყობს ფაილს მეხსიერებაში ცალკე გადაცემული ბლოკებიდან.
• Antivir - მოდული კონკურენტი მავნე პროგრამების ჩახშობისთვის, ამოიცნობს და წყვეტს პროცესებს სტრიქონით "xmr", რომელიც მოიხმარს CPU რესურსებს.
• Libexec არის მოდული Monero კრიპტოვალუტის მაინინგისთვის.

FritzFrog-ში გამოყენებული P2P პროტოკოლი მხარს უჭერს დაახლოებით 30 ბრძანებას, რომლებიც პასუხისმგებელნი არიან მონაცემთა გადაცემაზე კვანძებს შორის, სკრიპტების გაშვებაზე, მავნე პროგრამის კომპონენტების გადაცემაზე, გამოკითხვის სტატუსზე, ჟურნალების გაცვლაზე, პროქსიების გაშვებაზე და ა.შ. ინფორმაცია გადაიცემა ცალკე დაშიფრულ არხზე JSON ფორმატში სერიულიზაციით. დაშიფვრა იყენებს ასიმეტრიულ AES შიფრს და Base64 დაშიფვრას. DH პროტოკოლი გამოიყენება გასაღების გაცვლისთვის (Diffie- ჯოჯოხეთი). მდგომარეობის დასადგენად, კვანძები მუდმივად ცვლიან პინგ მოთხოვნებს.

ყველა ბოტნეტის კვანძი ინახავს განაწილებულ მონაცემთა ბაზას თავდასხმის და კომპრომეტირებული სისტემების შესახებ ინფორმაციით. თავდასხმის სამიზნეები სინქრონიზებულია მთელ ბოტნეტში - თითოეული კვანძი უტევს ცალკეულ სამიზნეს, ე.ი. ორი განსხვავებული ბოტნეტის კვანძი არ დაესხმება ერთსა და იმავე ჰოსტს. კვანძები ასევე აგროვებენ და გადასცემენ ადგილობრივ სტატისტიკას მეზობლებს, როგორიცაა თავისუფალი მეხსიერების ზომა, დრო, CPU დატვირთვა და SSH შესვლის აქტივობა. ეს ინფორმაცია გამოიყენება იმისთვის, რომ გადაწყვიტოს მაინინგის პროცესის დაწყება თუ კვანძის გამოყენება მხოლოდ სხვა სისტემებზე თავდასხმისთვის (მაგალითად, მაინინგი არ იწყება დატვირთულ სისტემებზე ან სისტემებზე ხშირი ადმინისტრატორის კავშირებით).

FritzFrog-ის იდენტიფიცირებისთვის მკვლევარებმა შემოგვთავაზეს მარტივი shell სკრიპტი. სისტემის დაზიანების დასადგენად
ნიშნები, როგორიცაა მოსმენის კავშირის არსებობა პორტზე 1234, ყოფნა მავნე გასაღები ავტორიზებულ_გასაღებში (იგივე SSH კლავიატურა დაინსტალირებულია ყველა კვანძზე) და მეხსიერებაში გაშვებული პროცესების არსებობა "ifconfig", "libexec", "php-fpm" და "nginx", რომლებსაც არ აქვთ დაკავშირებული შესრულებადი ფაილები ("/proc/ /exe" მიუთითებს დისტანციურ ფაილზე). ნიშანი ასევე შეიძლება იყოს ტრაფიკის არსებობა ქსელის პორტზე 5555, რაც ხდება მაშინ, როდესაც მავნე პროგრამა წვდება ტიპიურ აუზს web.xmrpool.eu Monero კრიპტოვალუტის მაინინგის დროს.

წყარო: opennet.ru