SSH വഴി സെർവറുകളെ ബാധിക്കുകയും വികേന്ദ്രീകൃത ബോട്ട്‌നെറ്റ് നിർമ്മിക്കുകയും ചെയ്യുന്ന ഫ്രിറ്റ്‌സ്‌ഫ്രോഗ് വിരയെ തിരിച്ചറിഞ്ഞു.

ഗാർഡികോർ കമ്പനി, ഡാറ്റാ സെന്ററുകളുടെയും ക്ലൗഡ് സിസ്റ്റങ്ങളുടെയും സംരക്ഷണത്തിൽ സ്പെഷ്യലൈസ് ചെയ്യുന്നു, വെളിപ്പെടുത്തി FritzFrog, Linux-അധിഷ്ഠിത സെർവറുകളെ ആക്രമിക്കുന്ന ഒരു പുതിയ ഹൈടെക് ക്ഷുദ്രവെയർ. ഒരു തുറന്ന SSH പോർട്ട് ഉപയോഗിച്ച് സെർവറുകളിൽ ബ്രൂട്ട്ഫോഴ്സ് ആക്രമണത്തിലൂടെ പടരുന്ന ഒരു പുഴുവിനെ ഫ്രിറ്റ്സ്ഫ്രോഗ് സംയോജിപ്പിക്കുന്നു, കൂടാതെ കൺട്രോൾ നോഡുകളില്ലാതെ പ്രവർത്തിക്കുന്ന ഒരു വികേന്ദ്രീകൃത ബോട്ട്നെറ്റ് നിർമ്മിക്കാനുള്ള ഘടകങ്ങളും പരാജയത്തിന്റെ ഒരു പോയിന്റും ഇല്ല.

ഒരു ബോട്ട്നെറ്റ് നിർമ്മിക്കുന്നതിന്, ഒരു പ്രൊപ്രൈറ്ററി P2P പ്രോട്ടോക്കോൾ ഉപയോഗിക്കുന്നു, അതിൽ നോഡുകൾ പരസ്പരം ഇടപഴകുകയും ആക്രമണങ്ങളുടെ ഓർഗനൈസേഷൻ ഏകോപിപ്പിക്കുകയും നെറ്റ്‌വർക്കിന്റെ പ്രവർത്തനത്തെ പിന്തുണയ്ക്കുകയും പരസ്പരം സ്റ്റാറ്റസ് നിരീക്ഷിക്കുകയും ചെയ്യുന്നു. എസ്എസ്എച്ച് വഴിയുള്ള അഭ്യർത്ഥനകൾ സ്വീകരിക്കുന്ന സെർവറുകളിൽ ബ്രൂട്ട്ഫോഴ്സ് ആക്രമണം നടത്തിയാണ് പുതിയ ഇരകളെ കണ്ടെത്തുന്നത്. ഒരു പുതിയ സെർവർ കണ്ടെത്തുമ്പോൾ, ലോഗിനുകളുടെയും പാസ്‌വേഡുകളുടെയും സാധാരണ കോമ്പിനേഷനുകളുടെ ഒരു നിഘണ്ടു തിരയുന്നു. ഏത് നോഡിലൂടെയും നിയന്ത്രണം നടപ്പിലാക്കാൻ കഴിയും, ഇത് ബോട്ട്നെറ്റ് ഓപ്പറേറ്റർമാരെ തിരിച്ചറിയുന്നതിനും തടയുന്നതിനും ബുദ്ധിമുട്ടാണ്.

ഗവേഷകരുടെ അഭിപ്രായത്തിൽ, ബോട്ട്‌നെറ്റിന് ഇതിനകം 500 നോഡുകൾ ഉണ്ട്, അതിൽ നിരവധി സർവകലാശാലകളുടെയും ഒരു വലിയ റെയിൽവേ കമ്പനിയുടെയും സെർവറുകൾ ഉൾപ്പെടുന്നു. വിദ്യാഭ്യാസ സ്ഥാപനങ്ങൾ, മെഡിക്കൽ സെന്ററുകൾ, സർക്കാർ ഏജൻസികൾ, ബാങ്കുകൾ, ടെലികമ്മ്യൂണിക്കേഷൻ കമ്പനികൾ എന്നിവയുടെ ശൃംഖലകളാണ് ആക്രമണത്തിന്റെ പ്രധാന ലക്ഷ്യമെന്നാണ് സൂചന. സെർവർ വിട്ടുവീഴ്ച ചെയ്ത ശേഷം, മോണറോ ക്രിപ്‌റ്റോകറൻസി ഖനനം ചെയ്യുന്ന പ്രക്രിയ അതിൽ ക്രമീകരിച്ചിരിക്കുന്നു. സംശയാസ്പദമായ ക്ഷുദ്രവെയറിന്റെ പ്രവർത്തനം 2020 ജനുവരി മുതൽ കണ്ടെത്തി.

FritzFrog-ന്റെ പ്രത്യേകത, അത് എല്ലാ ഡാറ്റയും എക്സിക്യൂട്ടബിൾ കോഡും മെമ്മറിയിൽ മാത്രം സൂക്ഷിക്കുന്നു എന്നതാണ്. അധികാരപ്പെടുത്തിയ_കീ ഫയലിലേക്ക് ഒരു പുതിയ SSH കീ ചേർക്കുന്നത് മാത്രമാണ് ഡിസ്കിലെ മാറ്റങ്ങൾ ഉൾക്കൊള്ളുന്നത്, അത് പിന്നീട് സെർവർ ആക്സസ് ചെയ്യാൻ ഉപയോഗിക്കുന്നു. സിസ്റ്റം ഫയലുകൾ മാറ്റില്ല, ഇത് ചെക്ക്സം ഉപയോഗിച്ച് സമഗ്രത പരിശോധിക്കുന്ന സിസ്റ്റങ്ങൾക്ക് വിരയെ അദൃശ്യമാക്കുന്നു. P2P പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് നോഡുകൾക്കിടയിൽ സമന്വയിപ്പിച്ച, ബ്രൂട്ട്-ഫോഴ്‌സിംഗ് പാസ്‌വേഡുകൾക്കായുള്ള നിഘണ്ടുക്കളും ഖനനത്തിനുള്ള ഡാറ്റയും മെമ്മറി സംഭരിക്കുന്നു.

ക്ഷുദ്ര ഘടകങ്ങൾ ifconfig, libexec, php-fpm, nginx പ്രക്രിയകളായി മറയ്ക്കപ്പെടുന്നു. ബോട്ട്നെറ്റ് നോഡുകൾ അവരുടെ അയൽവാസികളുടെ നില നിരീക്ഷിക്കുകയും സെർവർ റീബൂട്ട് ചെയ്യുകയോ അല്ലെങ്കിൽ OS വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുകയോ ചെയ്താൽ (ഒരു പരിഷ്കരിച്ച അംഗീകൃത_കീ ഫയൽ പുതിയ സിസ്റ്റത്തിലേക്ക് മാറ്റുകയാണെങ്കിൽ), അവ ഹോസ്റ്റിലെ ക്ഷുദ്ര ഘടകങ്ങൾ വീണ്ടും സജീവമാക്കുന്നു. ആശയവിനിമയത്തിനായി, സ്റ്റാൻഡേർഡ് എസ്എസ്എച്ച് ഉപയോഗിക്കുന്നു - ക്ഷുദ്രവെയർ കൂടാതെ ലോക്കൽ ഹോസ്റ്റ് ഇന്റർഫേസുമായി ബന്ധിപ്പിക്കുന്ന ഒരു ലോക്കൽ "നെറ്റ്കാറ്റ്" സമാരംഭിക്കുകയും പോർട്ട് 1234-ലെ ട്രാഫിക്ക് കേൾക്കുകയും ചെയ്യുന്നു, ഇത് കണക്റ്റുചെയ്യാൻ അധികാരപ്പെടുത്തിയ_കീകളിൽ നിന്നുള്ള ഒരു കീ ഉപയോഗിച്ച് ഒരു എസ്എസ്എച്ച് ടണലിലൂടെ ആക്സസ് ബാഹ്യ ഹോസ്റ്റ് ചെയ്യുന്നു.

FritzFrog ഘടക കോഡ് Go- ൽ എഴുതുകയും മൾട്ടി-ത്രെഡ് മോഡിൽ പ്രവർത്തിക്കുകയും ചെയ്യുന്നു. വ്യത്യസ്ത ത്രെഡുകളിൽ പ്രവർത്തിക്കുന്ന നിരവധി മൊഡ്യൂളുകൾ ക്ഷുദ്രവെയറിൽ ഉൾപ്പെടുന്നു:

• ക്രാക്കർ - ആക്രമിക്കപ്പെട്ട സെർവറുകളിൽ പാസ്വേഡുകൾക്കായി തിരയുന്നു.
• CryptoComm + പാർസർ - ഒരു എൻക്രിപ്റ്റ് ചെയ്ത P2P കണക്ഷൻ സംഘടിപ്പിക്കുന്നു.
• ആക്രമണത്തിനായി ടാർഗെറ്റ് ഹോസ്റ്റുകളെ സംയുക്തമായി തിരഞ്ഞെടുക്കുന്നതിനുള്ള ഒരു സംവിധാനമാണ് CastVotes.
• TargetFeed - അയൽ നോഡുകളിൽ നിന്ന് ആക്രമിക്കാനുള്ള നോഡുകളുടെ ഒരു ലിസ്റ്റ് സ്വീകരിക്കുന്നു.
• അപഹരിക്കപ്പെട്ട സെർവറിലേക്ക് ക്ഷുദ്ര കോഡ് വിതരണം ചെയ്യുന്ന ഒരു പുഴുവിന്റെ നടപ്പാക്കലാണ് DeployMgmt.
• ഉടമസ്ഥതയിലുള്ളത് - ഇതിനകം ക്ഷുദ്ര കോഡ് പ്രവർത്തിപ്പിക്കുന്ന സെർവറുകളിലേക്ക് കണക്റ്റുചെയ്യുന്നതിനുള്ള ഉത്തരവാദിത്തം.
• അസംബ്ൾ - വെവ്വേറെ ട്രാൻസ്ഫർ ചെയ്ത ബ്ലോക്കുകളിൽ നിന്ന് മെമ്മറിയിൽ ഒരു ഫയൽ കൂട്ടിച്ചേർക്കുന്നു.
• ആന്റിവൈർ - മത്സരിക്കുന്ന ക്ഷുദ്രവെയറുകൾ അടിച്ചമർത്തുന്നതിനുള്ള ഒരു മൊഡ്യൂൾ, CPU ഉറവിടങ്ങൾ ഉപയോഗിക്കുന്ന "xmr" സ്ട്രിംഗ് ഉപയോഗിച്ച് പ്രക്രിയകൾ തിരിച്ചറിയുകയും അവസാനിപ്പിക്കുകയും ചെയ്യുന്നു.
• മോനേറോ ക്രിപ്‌റ്റോകറൻസി ഖനനം ചെയ്യുന്നതിനുള്ള ഒരു മൊഡ്യൂളാണ് ലിബെക്സെക്.

FritzFrog-ൽ ഉപയോഗിക്കുന്ന P2P പ്രോട്ടോക്കോൾ, നോഡുകൾക്കിടയിൽ ഡാറ്റ കൈമാറുന്നതിനും, സ്ക്രിപ്റ്റുകൾ പ്രവർത്തിപ്പിക്കുന്നതിനും, ക്ഷുദ്രവെയർ ഘടകങ്ങൾ കൈമാറുന്നതിനും, പോളിംഗ് നില, ലോഗുകൾ കൈമാറുന്നതിനും, പ്രോക്സികൾ സമാരംഭിക്കുന്നതിനും മുതലായവയ്ക്ക് ഉത്തരവാദികളായ ഏകദേശം 30 കമാൻഡുകളെ പിന്തുണയ്ക്കുന്നു. JSON ഫോർമാറ്റിൽ സീരിയലൈസേഷനോടുകൂടിയ ഒരു പ്രത്യേക എൻക്രിപ്റ്റ് ചെയ്ത ചാനലിലൂടെ വിവരങ്ങൾ കൈമാറുന്നു. എൻക്രിപ്ഷൻ അസമമായ AES സൈഫറും Base64 എൻകോഡിംഗും ഉപയോഗിക്കുന്നു. കീ കൈമാറ്റത്തിനായി DH പ്രോട്ടോക്കോൾ ഉപയോഗിക്കുന്നു (ഡിഫി-ഹെൽമാൻ). സംസ്ഥാനം നിർണ്ണയിക്കാൻ, നോഡുകൾ നിരന്തരം പിംഗ് അഭ്യർത്ഥനകൾ കൈമാറുന്നു.

എല്ലാ ബോട്ട്നെറ്റ് നോഡുകളും ആക്രമിക്കപ്പെട്ടതും അപഹരിക്കപ്പെട്ടതുമായ സിസ്റ്റങ്ങളെ കുറിച്ചുള്ള വിവരങ്ങളുള്ള ഒരു വിതരണം ചെയ്ത ഡാറ്റാബേസ് പരിപാലിക്കുന്നു. ആക്രമണ ലക്ഷ്യങ്ങൾ ബോട്ട്നെറ്റിലുടനീളം സമന്വയിപ്പിച്ചിരിക്കുന്നു - ഓരോ നോഡും ഒരു പ്രത്യേക ലക്ഷ്യത്തെ ആക്രമിക്കുന്നു, അതായത്. രണ്ട് വ്യത്യസ്ത ബോട്ട്നെറ്റ് നോഡുകൾ ഒരേ ഹോസ്റ്റിനെ ആക്രമിക്കില്ല. സൗജന്യ മെമ്മറി വലുപ്പം, പ്രവർത്തന സമയം, സിപിയു ലോഡ്, എസ്എസ്എച്ച് ലോഗിൻ പ്രവർത്തനം എന്നിവ പോലെയുള്ള പ്രാദേശിക സ്ഥിതിവിവരക്കണക്കുകൾ നോഡുകൾ ശേഖരിക്കുകയും അയൽക്കാർക്ക് കൈമാറുകയും ചെയ്യുന്നു. ഖനന പ്രക്രിയ ആരംഭിക്കണോ അതോ മറ്റ് സിസ്റ്റങ്ങളെ ആക്രമിക്കാൻ മാത്രം നോഡ് ഉപയോഗിക്കണോ എന്ന് തീരുമാനിക്കാൻ ഈ വിവരങ്ങൾ ഉപയോഗിക്കുന്നു (ഉദാഹരണത്തിന്, ലോഡ് ചെയ്ത സിസ്റ്റങ്ങളിലോ അല്ലെങ്കിൽ പതിവ് അഡ്മിനിസ്ട്രേറ്റർ കണക്ഷനുകളുള്ള സിസ്റ്റങ്ങളിലോ ഖനനം ആരംഭിക്കുന്നില്ല).

ഫ്രിറ്റ്സ് ഫ്രോഗിനെ തിരിച്ചറിയാൻ, ഗവേഷകർ ഒരു ലളിതമായ നിർദ്ദേശം നൽകി ഷെൽ സ്ക്രിപ്റ്റ്. സിസ്റ്റം കേടുപാടുകൾ നിർണ്ണയിക്കാൻ
പോർട്ട് 1234-ൽ ഒരു ലിസണിംഗ് കണക്ഷന്റെ സാന്നിധ്യം, സാന്നിധ്യം തുടങ്ങിയ അടയാളങ്ങൾ ക്ഷുദ്ര കീ authorized_keys-ൽ (എല്ലാ നോഡുകളിലും ഒരേ SSH കീ ഇൻസ്‌റ്റാൾ ചെയ്‌തിരിക്കുന്നു) കൂടാതെ അനുബന്ധ എക്‌സിക്യൂട്ടബിൾ ഫയലുകൾ ഇല്ലാത്ത "ifconfig", "libexec", "php-fpm", "nginx" എന്നിവ പ്രവർത്തിപ്പിക്കുന്ന പ്രക്രിയകളുടെ മെമ്മറിയിലെ സാന്നിധ്യം ("/proc/ /exe" ഒരു റിമോട്ട് ഫയലിലേക്ക് പോയിന്റ് ചെയ്യുന്നു). നെറ്റ്‌വർക്ക് പോർട്ട് 5555-ലെ ട്രാഫിക്കിന്റെ സാന്നിധ്യവും ഒരു അടയാളം ആകാം, മോനേറോ ക്രിപ്‌റ്റോകറൻസിയുടെ ഖനന വേളയിൽ ക്ഷുദ്രവെയർ സാധാരണ പൂൾ web.xmrpool.eu-ലേക്ക് ആക്‌സസ് ചെയ്യുമ്പോൾ ഇത് സംഭവിക്കുന്നു.

അവലംബം: opennet.ru