Идентификуван е црвот FritzFrog, кој заразува сервери преку SSH и гради децентрализиран ботнет

Компанија Guardicore, специјализирана за заштита на центри за податоци и облак системи, откриени FritzFrog, нов високотехнолошки малициозен софтвер кој ги напаѓа серверите базирани на Linux. FritzFrog комбинира црв кој се шири преку напад на брутална сила на серверите со отворена SSH порта и компоненти за да изгради децентрализиран ботнет кој работи без контролни јазли и нема единствена точка на неуспех.

За да се изгради ботнет, се користи комерцијален протокол P2P, во кој јазлите комуницираат едни со други, ја координираат организацијата на нападите, ја поддржуваат работата на мрежата и го следат статусот на едни со други. Новите жртви се наоѓаат со извршување на напад со брутална сила на сервери кои прифаќаат барања преку SSH. Кога ќе се открие нов сервер, се пребарува речник на типични комбинации на најавувања и лозинки. Контролата може да се изврши преку кој било јазол, што го отежнува идентификувањето и блокирањето на операторите на ботнет.

Според истражувачите, ботнетот веќе има околу 500 јазли, вклучувајќи сервери на неколку универзитети и голема железничка компанија. Се истакнува дека главни цели на нападот се мрежи на образовни институции, медицински центри, владини агенции, банки и телекомуникациски компании. Откако серверот е компромитиран, на него се организира процесот на ископување на криптовалутата Monero. Активноста на предметниот малициозен софтвер се следи од јануари 2020 година.

Посебната работа за FritzFrog е што ги чува сите податоци и извршна шифра само во меморијата. Промените на дискот се состојат само од додавање на нов SSH клуч во датотеката authorized_keys, која последователно се користи за пристап до серверот. Системските датотеки не се менуваат, што го прави црвот невидлив за системите кои го проверуваат интегритетот користејќи контролни суми. Меморијата, исто така, складира речници за лозинки за брутално форсирање и податоци за рударство, кои се синхронизираат помеѓу јазлите со помош на протоколот P2P.

Злонамерните компоненти се камуфлирани како процеси ifconfig, libexec, php-fpm и nginx. Јазлите на ботнет го следат статусот на нивните соседи и, ако серверот се рестартира или дури и ОС повторно се инсталира (ако изменета датотека authorized_keys била префрлена во новиот систем), тие повторно ги активираат малициозните компоненти на домаќинот. За комуникација, се користи стандарден SSH - малициозниот софтвер дополнително лансира локален „netcat“ кој се врзува за интерфејсот на локалниот хост и го слуша сообраќајот на портата 1234, до која надворешните домаќини пристапуваат преку тунелот SSH, користејќи клуч од authorized_keys за поврзување.

Кодот на компонентата FritzFrog е напишан во Go и работи во режим со повеќе нишки. Злонамерниот софтвер вклучува неколку модули кои работат во различни нишки:

• Cracker - бара лозинки на нападнати сервери.
• CryptoComm + Parser - организира шифрирана P2P врска.
• CastVotes е механизам за заеднички избор на целни домаќини за напад.
• TargetFeed - Добива листа на јазли за напад од соседните јазли.
• DeployMgmt е имплементација на црв кој дистрибуира малициозен код на компромитиран сервер.
• Сопственост - одговорен за поврзување со сервери кои веќе користат малициозен код.
• Собери - собира датотека во меморија од одделно пренесени блокови.
• Antivir - модул за сузбивање на конкурентен малициозен софтвер, ги идентификува и завршува процесите со низата „xmr“ што трошат ресурси на процесорот.
• Libexec е модул за рударство на криптовалутата Monero.

Протоколот P2P што се користи во FritzFrog поддржува околу 30 команди одговорни за пренос на податоци помеѓу јазли, извршување скрипти, пренос на компоненти на малициозен софтвер, статус на гласање, размена на дневници, лансирање прокси итн. Информациите се пренесуваат преку посебен шифриран канал со серијализација во JSON формат. Енкрипцијата користи асиметрична шифра AES и кодирање Base64. Протоколот DH се користи за размена на клучеви (Дифи-Хелман). За да се одреди состојбата, јазлите постојано разменуваат барања за пинг.

Сите јазли на ботнет одржуваат дистрибуирана база на податоци со информации за нападнати и компромитирани системи. Целите за напад се синхронизираат низ ботнетот - секој јазол напаѓа посебна цел, т.е. два различни јазли на ботнет нема да го нападнат истиот домаќин. Јазлите исто така собираат и пренесуваат локална статистика до соседите, како што се големината на слободната меморија, времето на работа, оптоварувањето на процесорот и активноста за најавување на SSH. Оваа информација се користи за да се одлучи дали да се започне процесот на рударство или да се користи јазолот само за напад на други системи (на пример, рударството не започнува на вчитани системи или системи со чести администраторски врски).

За да го идентификуваат FritzFrog, истражувачите предложија едноставна школка скрипта. За да се утврди оштетувањето на системот
знаци како што се присуство на врска за слушање на портата 1234, присуство злонамерен клуч во autorized_keys (истиот SSH клуч е инсталиран на сите јазли) и присуството во меморијата на процесите што се извршуваат „ifconfig“, „libexec“, „php-fpm“ и „nginx“ кои немаат поврзани извршни датотеки („/proc/ /exe" покажува на оддалечена датотека). Знак може да биде и присуството на сообраќај на мрежната порта 5555, што се јавува кога малициозен софтвер пристапува до типичниот базен web.xmrpool.eu за време на рударството на криптовалутата Monero.

Извор: opennet.ru