SSH를 통해 서버를 감염시키고 분산형 봇넷을 구축하는 FritzFrog 웜이 확인되었습니다.

데이터센터 및 클라우드 시스템 보호 전문기업 가디코어(Guardicore) 기업은 노출된 Linux 기반 서버를 공격하는 새로운 첨단 악성코드인 FritzFrog. FritzFrog는 개방형 SSH 포트가 있는 서버에 대한 무차별 대입 공격을 통해 확산되는 웜과 구성 요소를 결합하여 제어 노드 없이 작동하고 단일 실패 지점이 없는 분산형 봇넷을 구축합니다.

봇넷을 구축하려면 노드가 서로 상호 작용하고, 공격 조직을 조정하고, 네트워크 운영을 지원하고, 서로의 상태를 모니터링하는 독점 P2P 프로토콜이 사용됩니다. SSH를 통해 요청을 수락하는 서버에 무차별 대입 공격을 수행하여 새로운 피해자를 발견했습니다. 새로운 서버가 감지되면 일반적인 로그인 및 비밀번호 조합 사전이 검색됩니다. 어느 노드를 통해서든 제어가 가능하기 때문에 봇넷 운영자의 식별 및 차단이 어렵습니다.

연구원에 따르면 봇넷에는 이미 여러 대학의 서버와 대규모 철도 회사의 서버를 포함하여 약 500개의 노드가 있습니다. 공격의 주요 타깃은 교육기관, 의료기관, 정부기관, 은행, 통신회사 등의 네트워크인 것으로 알려졌다. 서버가 손상된 후 Monero 암호화폐를 채굴하는 프로세스가 해당 서버에서 구성됩니다. 문제의 악성코드의 활동은 2020년 XNUMX월부터 추적되었습니다.

FritzFrog의 특별한 점은 모든 데이터와 실행 코드를 메모리에만 보관한다는 것입니다. 디스크의 변경 사항은 Authorized_keys 파일에 새 SSH 키를 추가하는 것으로만 구성되며, 이후에 서버에 액세스하는 데 사용됩니다. 시스템 파일은 변경되지 않으므로 체크섬을 사용하여 무결성을 확인하는 시스템에 웜이 보이지 않습니다. 또한 메모리에는 P2P 프로토콜을 사용하여 노드 간에 동기화되는 무차별 암호 대입 사전과 채굴용 데이터가 저장됩니다.

악성 구성 요소는 ifconfig, libexec, php-fpm 및 nginx 프로세스로 위장됩니다. 봇넷 노드는 이웃 노드의 상태를 모니터링하고, 서버가 재부팅되거나 OS가 다시 설치되는 경우(수정된 Authorized_keys 파일이 새 시스템으로 전송된 경우) 호스트의 악성 구성 요소를 다시 활성화합니다. 통신을 위해 표준 SSH가 사용됩니다. 악성코드는 localhost 인터페이스에 바인딩된 로컬 "netcat"을 추가로 시작하고, Authorized_keys의 키를 사용하여 연결하는 SSH 터널을 통해 외부 호스트에 액세스하는 포트 1234에서 트래픽을 수신합니다.

FritzFrog 구성 요소 코드는 Go로 작성되었으며 다중 스레드 모드에서 실행됩니다. 악성코드에는 다양한 스레드에서 실행되는 여러 모듈이 포함되어 있습니다.

• 크래커 - 공격받은 서버에서 비밀번호를 검색합니다.
• CryptoComm + Parser - 암호화된 P2P 연결을 구성합니다.
• CastVotes는 공격 대상 호스트를 공동으로 선택하는 메커니즘입니다.
• TargetFeed - 인접 노드로부터 공격할 노드 목록을 수신합니다.
• DeployMgmt는 손상된 서버에 악성 코드를 배포하는 웜의 구현입니다.
• 소유 - 이미 악성 코드를 실행 중인 서버에 연결하는 일을 담당합니다.
• 조립 - 별도로 전송된 블록의 파일을 메모리에 조립합니다.
• Antivir - 경쟁 맬웨어를 억제하기 위한 모듈로, CPU 리소스를 소비하는 "xmr" 문자열로 프로세스를 식별하고 종료합니다.
• Libexec은 Monero 암호화폐를 채굴하기 위한 모듈입니다.

FritzFrog에서 사용되는 P2P 프로토콜은 노드 간 데이터 전송, 스크립트 실행, 악성 코드 구성 요소 전송, 상태 폴링, 로그 교환, 프록시 실행 등을 담당하는 약 30개의 명령을 지원합니다. 정보는 JSON 형식의 직렬화를 통해 별도의 암호화된 채널을 통해 전송됩니다. 암호화는 비대칭 AES 암호화 및 Base64 인코딩을 사용합니다. DH 프로토콜은 키 교환에 사용됩니다(디피 - 헬만). 상태를 확인하기 위해 노드는 지속적으로 ping 요청을 교환합니다.

모든 봇넷 노드는 공격 및 손상된 시스템에 대한 정보가 포함된 분산 데이터베이스를 유지 관리합니다. 공격 대상은 봇넷 전체에서 동기화됩니다. 각 노드는 별도의 대상을 공격합니다. 두 개의 서로 다른 봇넷 노드는 동일한 호스트를 공격하지 않습니다. 또한 노드는 사용 가능한 메모리 크기, 가동 시간, CPU 로드 및 SSH 로그인 활동과 같은 로컬 통계를 수집하여 이웃에 전송합니다. 이 정보는 마이닝 프로세스를 시작할지 아니면 다른 시스템을 공격하는 데에만 노드를 사용할지 결정하는 데 사용됩니다(예: 로드된 시스템이나 관리자 연결이 빈번한 시스템에서는 마이닝이 시작되지 않습니다).

FritzFrog를 식별하기 위해 연구자들은 간단한 방법을 제안했습니다. 쉘 스크립트. 시스템 손상을 확인하려면
포트 1234에 수신 연결이 있는지, 존재하는지 등의 징후 악성 키 Authorized_keys(동일한 SSH 키가 모든 노드에 설치됨) 및 관련 실행 파일이 없는 실행 중인 프로세스 "ifconfig", "libexec", "php-fpm" 및 "nginx"가 메모리에 존재함("/proc/ /exe"는 원격 파일을 가리킵니다.) Monero 암호화폐를 채굴하는 동안 맬웨어가 일반적인 풀 web.xmrpool.eu에 액세스할 때 발생하는 네트워크 포트 5555에 트래픽이 있다는 징후가 있을 수도 있습니다.

출처 : opennet.ru