{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"De worm FritzFrog is gedetecteerd, die servers via SSH aanvalt en een gedecentraliseerd botnet opbouwt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Het bedrijf Guardicore, dat gespecialiseerd is in de beveiliging van datacenters en cloudsystemen, heeft<\/a><\/noindex> heeft een nieuwe geavanceerde malware ontwikkeld genaamd FritzFrog, die Linux-servers aanvalt. FritzFrog is een combinatie van een worm die zich verspreidt via bruteforce-aanvallen op servers met een open SSH-poort, en componenten voor het bouwen van een gedecentraliseerd botnet, dat functioneert zonder centrale controlepunten en geen enkelvoudig faalpunt heeft.<\/p>\n

Voor het opzetten van het botnet wordt een eigen P2P-protocol gebruikt, waarbij knooppunten met elkaar communiceren, het organiseren van aanvallen co\u00f6rdineren, de werking van het netwerk ondersteunen en elkaars status controleren. Nieuwe slachtoffers worden gevonden door middel van bruteforce-aanvallen op servers die SSH-verzoeken accepteren. Bij de ontdekking van een nieuwe server wordt een woordenlijst met typische gebruikersnamen en wachtwoorden doorlopen. Het beheer kan vanaf elk knooppunt plaatsvinden, wat het moeilijk maakt om de operators van het botnet te identificeren en te blokkeren.<\/p>\n

Volgens onderzoekers telt het botnet inmiddels ongeveer 500 knooppunten, waaronder servers van verschillende universiteiten en een groot spoorwegbedrijf. Het wordt opgemerkt dat het belangrijkste doelwit van de aanvallen netwerken van onderwijsinstellingen, medische centra, overheidsinstanties, banken en telecombedrijven zijn. Na compromittering van de server wordt er op deze server een proces voor de mining van de cryptocurrency Monero opgezet. De activiteit van deze malware is sinds januari 2020 te volgen.<\/p>\n

Een kenmerk van FritzFrog is dat het alle gegevens en uitvoerbare code alleen in het geheugen houdt. Wijzigingen op de schijf beperken zich tot het toevoegen van een nieuwe SSH-sleutel aan het bestand authorized_keys, dat vervolgens wordt gebruikt voor toegang tot de server. Systeembestanden worden niet gewijzigd, waardoor de worm onopgemerkt blijft voor systemen die integriteit controleren op basis van checksums. In het geheugen worden ook woordenlijsten voor het bruteforcen van wachtwoorden en mining-gegevens bewaard, die tussen knooppunten worden gesynchroniseerd via het P2P-protocol.<\/p>\n

Kwaadaardige componenten camoufleren zich als processen , , en . De nodes van het botnet volgen de status van buren en activeren in het geval van herstart van de server of zelfs herinstallatie van het besturingssysteem (als het gewijzigde bestand authorized_keys naar het nieuwe systeem is overgebracht) de kwaadaardige componenten opnieuw op de host. Voor communicatie wordt de standaard SSH gebruikt - de malware start ook een lokale , die zich aan het localhost-interface bindt en het verkeer op poort 1234 afluistert, waarbij externe nodes via een SSH-tunnel toegang krijgen met de sleutel uit authorized_keys.
\n

\"De<\/a><\/noindex><\/center><\/p>\n

De code van de FritzFrog-componenten is geschreven in de taal Go en werkt in meer-threading modus. De malware bevat verschillende modules die in verschillende threads worden uitgevoerd:<\/p>\n