FritzFrog किडा ओळखला गेला आहे, जो SSH द्वारे सर्व्हरला संक्रमित करतो आणि विकेंद्रित बॉटनेट तयार करतो

गार्डिकोर कंपनी, डेटा सेंटर्स आणि क्लाउड सिस्टम्सच्या संरक्षणात विशेष, प्रकट FritzFrog, एक नवीन हाय-टेक मालवेअर जो लिनक्स-आधारित सर्व्हरवर हल्ला करतो. FritzFrog एका खुल्या SSH पोर्टसह सर्व्हरवर ब्रूटफोर्स अटॅकद्वारे पसरणारा एक किडा आणि नियंत्रण नोड्सशिवाय चालणारे विकेंद्रित बॉटनेट तयार करण्यासाठी घटक एकत्र करतो आणि त्यात अपयशाचा एकही बिंदू नाही.

बॉटनेट तयार करण्यासाठी, मालकीचा P2P प्रोटोकॉल वापरला जातो, ज्यामध्ये नोड्स एकमेकांशी संवाद साधतात, हल्ल्यांच्या संघटनेत समन्वय साधतात, नेटवर्कच्या ऑपरेशनला समर्थन देतात आणि एकमेकांच्या स्थितीचे निरीक्षण करतात. SSH द्वारे विनंत्या स्वीकारणाऱ्या सर्व्हरवर ब्रूटफोर्स हल्ला करून नवीन बळी सापडले आहेत. जेव्हा नवीन सर्व्हर आढळतो, तेव्हा लॉगिन आणि पासवर्डच्या ठराविक संयोजनाचा शब्दकोश शोधला जातो. नियंत्रण कोणत्याही नोडद्वारे केले जाऊ शकते, ज्यामुळे बॉटनेट ऑपरेटर ओळखणे आणि अवरोधित करणे कठीण होते.

संशोधकांच्या मते, बॉटनेटमध्ये आधीच सुमारे 500 नोड्स आहेत, ज्यात अनेक विद्यापीठे आणि मोठ्या रेल्वे कंपनीचे सर्व्हर आहेत. या हल्ल्याचे मुख्य लक्ष्य शैक्षणिक संस्था, वैद्यकीय केंद्रे, सरकारी संस्था, बँका आणि दूरसंचार कंपन्यांचे नेटवर्क आहेत. सर्व्हरशी तडजोड झाल्यानंतर, त्यावर मोनेरो क्रिप्टोकरन्सी खाण करण्याची प्रक्रिया आयोजित केली जाते. जानेवारी 2020 पासून प्रश्नातील मालवेअरची अ‍ॅक्टिव्हिटी शोधण्यात आली आहे.

FritzFrog ची खास गोष्ट म्हणजे तो सर्व डेटा आणि एक्झिक्युटेबल कोड फक्त मेमरीमध्ये ठेवतो. डिस्कवरील बदलांमध्ये अधिकृत_की फाइलमध्ये नवीन SSH की जोडणे समाविष्ट असते, जी नंतर सर्व्हरमध्ये प्रवेश करण्यासाठी वापरली जाते. सिस्टम फाइल्स बदलल्या जात नाहीत, ज्यामुळे चेकसम्स वापरून अखंडता तपासणाऱ्या सिस्टममध्ये किडा अदृश्य होतो. मेमरी ब्रूट-फोर्सिंग पासवर्डसाठी शब्दकोष आणि खाणकामासाठी डेटा देखील संग्रहित करते, जे P2P प्रोटोकॉल वापरून नोड्समध्ये समक्रमित केले जातात.

दुर्भावनायुक्त घटक ifconfig, libexec, php-fpm आणि nginx प्रक्रिया म्हणून छद्म केले जातात. Botnet नोड्स त्यांच्या शेजाऱ्यांच्या स्थितीचे निरीक्षण करतात आणि, सर्व्हर रीबूट झाल्यास किंवा OS रीइंस्टॉल केले असल्यास (एखादी सुधारित अधिकृत_की फाइल नवीन सिस्टममध्ये हस्तांतरित केली असल्यास), ते होस्टवरील दुर्भावनापूर्ण घटक पुन्हा सक्रिय करतात. संप्रेषणासाठी, मानक SSH वापरला जातो - मालवेअर याव्यतिरिक्त स्थानिक "नेटकॅट" लाँच करतो जो लोकलहोस्ट इंटरफेसला बांधतो आणि पोर्ट 1234 वरील ट्रॅफिक ऐकतो, जो कनेक्ट करण्यासाठी अधिकृत_की मधील की वापरून SSH बोगद्याद्वारे बाह्य होस्ट प्रवेश करतो.

FritzFrog घटक कोड Go मध्ये लिहिलेला आहे आणि मल्टी-थ्रेडेड मोडमध्ये चालतो. मालवेअरमध्ये विविध थ्रेडमध्ये चालणारे अनेक मॉड्यूल समाविष्ट आहेत:

• क्रॅकर - हल्ला केलेल्या सर्व्हरवर पासवर्ड शोधतो.
• क्रिप्टोकॉम + पार्सर - एनक्रिप्टेड P2P कनेक्शन आयोजित करते.
• CastVotes ही आक्रमणासाठी संयुक्तपणे लक्ष्य यजमान निवडण्याची यंत्रणा आहे.
• TargetFeed - शेजारच्या नोड्सवरून हल्ला करण्यासाठी नोड्सची सूची प्राप्त करते.
• DeployMgmt ही एक वर्मची अंमलबजावणी आहे जी तडजोड केलेल्या सर्व्हरला दुर्भावनायुक्त कोड वितरीत करते.
• मालकीचे - आधीपासून दुर्भावनापूर्ण कोड चालू असलेल्या सर्व्हरशी कनेक्ट करण्यासाठी जबाबदार.
• असेंबल - स्वतंत्रपणे हस्तांतरित केलेल्या ब्लॉक्समधून मेमरीमध्ये फाइल एकत्र करते.
• अँटीवीर - प्रतिस्पर्धी मालवेअर दाबण्यासाठी मॉड्यूल, CPU संसाधने वापरणाऱ्या “xmr” स्ट्रिंगसह प्रक्रिया ओळखते आणि समाप्त करते.
• लिबेक्सेक हे मोनेरो क्रिप्टोकरन्सीचे उत्खनन करणारे मॉड्यूल आहे.

FritzFrog मध्ये वापरलेला P2P प्रोटोकॉल नोड्स, रनिंग स्क्रिप्ट्स, मालवेअर घटक ट्रान्सफर, पोलिंग स्टेटस, लॉग्सची देवाणघेवाण, प्रॉक्सी लॉन्च करणे इत्यादीसाठी जबाबदार असलेल्या सुमारे 30 कमांडसचे समर्थन करतो. JSON फॉरमॅटमध्ये सीरियलायझेशनसह वेगळ्या एनक्रिप्टेड चॅनेलवर माहिती प्रसारित केली जाते. एनक्रिप्शन असममित AES सिफर आणि बेस64 एन्कोडिंग वापरते. डीएच प्रोटोकॉलचा वापर की एक्सचेंजसाठी केला जातो (डिफी-हेलमॅन). स्थिती निश्चित करण्यासाठी, नोड्स सतत पिंग विनंत्यांची देवाणघेवाण करतात.

सर्व बोटनेट नोड्स हल्ला झालेल्या आणि तडजोड केलेल्या प्रणालींबद्दल माहितीसह वितरित डेटाबेस राखतात. आक्रमण लक्ष्य संपूर्ण बॉटनेटमध्ये समक्रमित केले जातात - प्रत्येक नोड वेगळ्या लक्ष्यावर हल्ला करतो, उदा. दोन भिन्न बॉटनेट नोड्स एकाच होस्टवर हल्ला करणार नाहीत. नोड्स स्थानिक आकडेवारी देखील गोळा करतात आणि शेजाऱ्यांना प्रसारित करतात, जसे की विनामूल्य मेमरी आकार, अपटाइम, CPU लोड आणि SSH लॉगिन क्रियाकलाप. या माहितीचा वापर खाण प्रक्रिया सुरू करायचा की नोडचा वापर फक्त इतर सिस्टीमवर हल्ला करण्यासाठी केला जातो (उदाहरणार्थ, लोड केलेल्या सिस्टमवर किंवा वारंवार प्रशासक कनेक्शन असलेल्या सिस्टमवर खाणकाम सुरू होत नाही).

FritzFrog ओळखण्यासाठी, संशोधकांनी एक सोपा प्रस्ताव दिला आहे शेल स्क्रिप्ट. सिस्टम नुकसान निश्चित करण्यासाठी
पोर्ट 1234 वर ऐकण्याच्या कनेक्शनची उपस्थिती, उपस्थिती यासारखी चिन्हे दुर्भावनापूर्ण की अधिकृत_की मध्ये (सर्व नोड्सवर समान SSH की स्थापित केली आहे) आणि "ifconfig", "libexec", "php-fpm" आणि "nginx" चालू असलेल्या प्रक्रियांच्या मेमरीमध्ये उपस्थिती ज्यांच्याशी संबंधित एक्झिक्युटेबल फाइल्स नाहीत (“/proc/” /exe" रिमोट फाइलकडे निर्देश करते). नेटवर्क पोर्ट 5555 वर रहदारीची उपस्थिती देखील एक चिन्ह असू शकते, जे मोनेरो क्रिप्टोकरन्सीच्या खनन दरम्यान मालवेअर विशिष्ट पूल web.xmrpool.eu मध्ये प्रवेश करते तेव्हा उद्भवते.

स्त्रोत: opennet.ru