FritzFrog कीरा पहिचान गरिएको छ, SSH मार्फत सर्भरहरू संक्रमित गर्दै र विकेन्द्रीकृत बोटनेट निर्माण गर्दै

गार्डीकोर कम्पनी, डाटा केन्द्र र क्लाउड प्रणाली को सुरक्षा मा विशेषज्ञता, खुलासा FritzFrog, एक नयाँ उच्च-टेक मालवेयर जसले लिनक्स-आधारित सर्भरहरूमा आक्रमण गर्दछ। फ्रिट्जफ्रोगले खुला SSH पोर्टको साथ सर्भरहरूमा ब्रूटफोर्स आक्रमणको माध्यमबाट फैलिने किरालाई संयोजन गर्दछ, र विकेन्द्रीकृत बोटनेट निर्माण गर्न कम्पोनेन्टहरू जसले नियन्त्रण नोडहरू बिना सञ्चालन गर्दछ र असफलताको कुनै बिन्दु छैन।

बोटनेट निर्माण गर्न, एक स्वामित्व P2P प्रोटोकल प्रयोग गरिन्छ, जसमा नोडहरू एकअर्कासँग अन्तरक्रिया गर्दछ, आक्रमणहरूको संगठन समन्वय गर्दछ, नेटवर्कको सञ्चालनलाई समर्थन गर्दछ र एक अर्काको स्थिति निगरानी गर्दछ। SSH मार्फत अनुरोधहरू स्वीकार गर्ने सर्भरहरूमा ब्रूटफोर्स आक्रमण गरेर नयाँ पीडितहरू फेला पर्छन्। जब नयाँ सर्भर पत्ता लगाइन्छ, लगइन र पासवर्डहरूको विशिष्ट संयोजनको शब्दकोश खोजिन्छ। नियन्त्रण कुनै पनि नोड मार्फत गर्न सकिन्छ, जसले बोटनेट अपरेटरहरूलाई पहिचान गर्न र ब्लक गर्न गाह्रो बनाउँछ।

अन्वेषकहरूका अनुसार, बोटनेटमा पहिले नै लगभग 500 नोडहरू छन्, धेरै विश्वविद्यालयहरू र ठूलो रेलवे कम्पनीका सर्भरहरू सहित। आक्रमणको मुख्य निशाना शैक्षिक संस्था, मेडिकल सेन्टर, सरकारी एजेन्सी, बैंक र दूरसञ्चार कम्पनीहरू रहेको उल्लेख छ। सर्भरमा सम्झौता भएपछि, मोनेरो क्रिप्टोकरेन्सी खनन गर्ने प्रक्रिया यसमा व्यवस्थित हुन्छ। प्रश्नमा रहेको मालवेयरको गतिविधि जनवरी २०२० देखि पत्ता लगाइएको छ।

FritzFrog को बारेमा विशेष कुरा यो हो कि यसले सबै डाटा र कार्यान्वयन योग्य कोड मेमोरीमा मात्र राख्छ। डिस्कमा भएका परिवर्तनहरूले आधिकारिक_कुञ्जी फाइलमा नयाँ SSH कुञ्जी थप्ने मात्र समावेश गर्दछ, जुन पछि सर्भरमा पहुँच गर्न प्रयोग गरिन्छ। प्रणाली फाइलहरू परिवर्तन गरिएका छैनन्, जसले चेकसमहरू प्रयोग गरेर अखण्डता जाँच गर्ने प्रणालीहरूमा कीरालाई अदृश्य बनाउँछ। मेमोरीले ब्रूट-फोर्सिङ पासवर्डहरू र खननका लागि डाटाका लागि शब्दकोशहरू भण्डारण गर्दछ, जुन P2P प्रोटोकल प्रयोग गरेर नोडहरू बीच सिङ्क्रोनाइज गरिएको छ।

मालिसियस कम्पोनेन्टहरू ifconfig, libexec, php-fpm र nginx प्रक्रियाहरूको रूपमा छद्म हुन्छन्। बोटनेट नोडहरूले आफ्ना छिमेकीहरूको स्थिति निगरानी गर्दछ र, यदि सर्भर रिबुट गरिएको छ वा OS पुन: स्थापना गरिएको छ (यदि परिमार्जित अधिकृत_कुञ्जी फाइल नयाँ प्रणालीमा स्थानान्तरण गरिएको थियो), तिनीहरूले होस्टमा मालिसियस कम्पोनेन्टहरू पुन: सक्रिय गर्दछ। संचारको लागि, मानक SSH प्रयोग गरिन्छ - मालवेयरले लोकलहोस्ट इन्टरफेसमा जोड्ने र पोर्ट 1234 मा ट्राफिक सुन्ने स्थानीय "नेटक्याट" पनि लन्च गर्दछ, जसले जोड्नको लागि अधिकृत_कुञ्जीहरूबाट कुञ्जी प्रयोग गरी बाह्य होस्टहरूले SSH टनेल मार्फत पहुँच गर्दछ।

FritzFrog कम्पोनेन्ट कोड Go मा लेखिएको छ र बहु-थ्रेडेड मोडमा चल्छ। मालवेयरले विभिन्न थ्रेडहरूमा चल्ने धेरै मोड्युलहरू समावेश गर्दछ:

• क्र्याकर - आक्रमण गरिएका सर्भरहरूमा पासवर्डहरूको खोजी गर्दछ।
• CryptoComm + Parser - एन्क्रिप्टेड P2P जडान व्यवस्थित गर्दछ।
• CastVotes संयुक्त रूपमा आक्रमणको लागि लक्षित होस्टहरू चयन गर्ने एक संयन्त्र हो।
• TargetFeed - छिमेकी नोडहरूबाट आक्रमण गर्न नोडहरूको सूची प्राप्त गर्दछ।
• DeployMgmt एउटा किराको कार्यान्वयन हो जसले एक सम्झौता गरिएको सर्भरमा मालिसियस कोड वितरण गर्दछ।
• स्वामित्व - पहिले नै मालिसियस कोड चलिरहेको सर्भरहरूमा जडान गर्न जिम्मेवार।
• एसेम्बल - छुट्टै स्थानान्तरण गरिएका ब्लकहरूबाट मेमोरीमा फाइल जम्मा गर्दछ।
• एन्टिभिर - प्रतिस्पर्धी मालवेयरलाई दबाउनको लागि मोड्युल, CPU स्रोतहरू उपभोग गर्ने "xmr" स्ट्रिङसँग प्रक्रियाहरू पहिचान र समाप्त गर्दछ।
• Libexec Monero cryptocurrency खनन को लागी एक मोड्युल हो।

FritzFrog मा प्रयोग गरिएको P2P प्रोटोकलले नोडहरू, चलिरहेको स्क्रिप्टहरू, मालवेयर कम्पोनेन्टहरू स्थानान्तरण, मतदान स्थिति, लगहरू आदानप्रदान गर्न, प्रोक्सीहरू सुरु गर्ने, आदि बीच डाटा स्थानान्तरण गर्न जिम्मेवार लगभग 30 आदेशहरूलाई समर्थन गर्दछ। JSON ढाँचामा सीरियलाइजेसनको साथ छुट्टै इन्क्रिप्टेड च्यानलमा जानकारी पठाइन्छ। एन्क्रिप्शनले असममित AES साइफर र Base64 एन्कोडिङ प्रयोग गर्दछ। DH प्रोटोकल कुञ्जी विनिमयको लागि प्रयोग गरिन्छ (डिफे-हेलम्यान)। राज्य निर्धारण गर्न, नोडहरू निरन्तर पिंग अनुरोधहरू आदानप्रदान गर्छन्।

सबै बोटनेट नोडहरूले आक्रमण र सम्झौता प्रणालीहरूको बारेमा जानकारीको साथ वितरित डाटाबेस राख्छन्। आक्रमण लक्ष्यहरू बोटनेटमा सिंक्रोनाइज हुन्छन् - प्रत्येक नोडले छुट्टै लक्ष्यमा आक्रमण गर्दछ, अर्थात्। दुई फरक बोटनेट नोडहरूले एउटै होस्टलाई आक्रमण गर्दैनन्। नोडहरूले स्थानीय तथ्याङ्कहरू पनि छिमेकीहरूलाई सङ्कलन र प्रसारण गर्दछ, जस्तै निःशुल्क मेमोरी साइज, अपटाइम, CPU लोड, र SSH लगइन गतिविधि। यो जानकारी खनन प्रक्रिया सुरु गर्ने वा अन्य प्रणालीहरूमा आक्रमण गर्न मात्र नोड प्रयोग गर्ने निर्णय गर्न प्रयोग गरिन्छ (उदाहरणका लागि, लोड गरिएका प्रणालीहरूमा वा बारम्बार प्रशासक जडान भएका प्रणालीहरूमा खनन सुरु हुँदैन)।

FritzFrog पहिचान गर्न, शोधकर्ताहरूले एक सरल प्रस्ताव गरेका छन् खोल लिपि। प्रणाली क्षति निर्धारण गर्न
संकेतहरू जस्तै पोर्ट 1234 मा सुन्ने जडानको उपस्थिति, उपस्थिति खराब कुञ्जी अधिकृत_कुञ्जीहरूमा (सबै नोडहरूमा एउटै SSH कुञ्जी स्थापना गरिएको छ) र चलिरहेको प्रक्रियाहरूको मेमोरीमा उपस्थिति "ifconfig", "libexec", "php-fpm" र "nginx" जुनसँग सम्बन्धित कार्यान्वयनयोग्य फाइलहरू छैनन् ("/proc/" /exe" रिमोट फाइलमा पोइन्ट गर्दछ)। एउटा चिन्ह नेटवर्क पोर्ट 5555 मा ट्राफिकको उपस्थिति पनि हुन सक्छ, जुन मोनेरो क्रिप्टोकरन्सीको खननको क्रममा मालवेयरले विशिष्ट पूल web.xmrpool.eu पहुँच गर्दा हुन्छ।

स्रोत: opennet.ru