FritzFrog ਕੀੜੇ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, SSH ਦੁਆਰਾ ਸਰਵਰਾਂ ਨੂੰ ਸੰਕਰਮਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਬੋਟਨੈੱਟ ਬਣਾਉਂਦਾ ਹੈ

ਗਾਰਡੀਕੋਰ ਕੰਪਨੀ, ਡੇਟਾ ਸੈਂਟਰਾਂ ਅਤੇ ਕਲਾਉਡ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਸੁਰੱਖਿਆ ਵਿੱਚ ਮਾਹਰ, ਪ੍ਰਗਟ ਕੀਤਾ FritzFrog, ਇੱਕ ਨਵਾਂ ਉੱਚ-ਤਕਨੀਕੀ ਮਾਲਵੇਅਰ ਜੋ ਲੀਨਕਸ-ਅਧਾਰਿਤ ਸਰਵਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਦਾ ਹੈ। FritzFrog ਇੱਕ ਕੀੜੇ ਨੂੰ ਜੋੜਦਾ ਹੈ ਜੋ ਇੱਕ ਓਪਨ SSH ਪੋਰਟ ਦੇ ਨਾਲ ਸਰਵਰਾਂ 'ਤੇ ਇੱਕ ਬਰੂਟਫੋਰਸ ਹਮਲੇ ਦੁਆਰਾ ਫੈਲਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਬੋਟਨੈੱਟ ਬਣਾਉਣ ਲਈ ਕੰਪੋਨੈਂਟਸ ਜੋ ਕੰਟਰੋਲ ਨੋਡਾਂ ਤੋਂ ਬਿਨਾਂ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਅਸਫਲਤਾ ਦਾ ਕੋਈ ਵੀ ਬਿੰਦੂ ਨਹੀਂ ਹੁੰਦਾ ਹੈ।

ਇੱਕ ਬੋਟਨੈੱਟ ਬਣਾਉਣ ਲਈ, ਇੱਕ ਮਲਕੀਅਤ P2P ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਨੋਡ ਇੱਕ ਦੂਜੇ ਨਾਲ ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ, ਹਮਲਿਆਂ ਦੇ ਸੰਗਠਨ ਦਾ ਤਾਲਮੇਲ ਕਰਦੇ ਹਨ, ਨੈਟਵਰਕ ਦੇ ਸੰਚਾਲਨ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ ਅਤੇ ਇੱਕ ਦੂਜੇ ਦੀ ਸਥਿਤੀ ਦੀ ਨਿਗਰਾਨੀ ਕਰਦੇ ਹਨ। SSH ਦੁਆਰਾ ਬੇਨਤੀਆਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲੇ ਸਰਵਰਾਂ 'ਤੇ ਬ੍ਰੂਟਫੋਰਸ ਹਮਲਾ ਕਰਕੇ ਨਵੇਂ ਪੀੜਤ ਪਾਏ ਜਾਂਦੇ ਹਨ। ਜਦੋਂ ਇੱਕ ਨਵਾਂ ਸਰਵਰ ਖੋਜਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਲੌਗਿਨ ਅਤੇ ਪਾਸਵਰਡਾਂ ਦੇ ਆਮ ਸੰਜੋਗਾਂ ਦਾ ਇੱਕ ਸ਼ਬਦਕੋਸ਼ ਖੋਜਿਆ ਜਾਂਦਾ ਹੈ। ਨਿਯੰਤਰਣ ਕਿਸੇ ਵੀ ਨੋਡ ਰਾਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਬੋਟਨੈੱਟ ਆਪਰੇਟਰਾਂ ਦੀ ਪਛਾਣ ਕਰਨਾ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਬਲੌਕ ਕਰਨਾ ਮੁਸ਼ਕਲ ਹੋ ਜਾਂਦਾ ਹੈ।

ਖੋਜਕਰਤਾਵਾਂ ਦੇ ਅਨੁਸਾਰ, ਬੋਟਨੈੱਟ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਲਗਭਗ 500 ਨੋਡ ਹਨ, ਜਿਸ ਵਿੱਚ ਕਈ ਯੂਨੀਵਰਸਿਟੀਆਂ ਅਤੇ ਇੱਕ ਵੱਡੀ ਰੇਲਵੇ ਕੰਪਨੀ ਦੇ ਸਰਵਰ ਸ਼ਾਮਲ ਹਨ। ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ ਹਮਲੇ ਦਾ ਮੁੱਖ ਨਿਸ਼ਾਨਾ ਵਿਦਿਅਕ ਸੰਸਥਾਵਾਂ, ਮੈਡੀਕਲ ਕੇਂਦਰਾਂ, ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ, ਬੈਂਕਾਂ ਅਤੇ ਦੂਰਸੰਚਾਰ ਕੰਪਨੀਆਂ ਦੇ ਨੈਟਵਰਕ ਹਨ। ਸਰਵਰ ਨਾਲ ਸਮਝੌਤਾ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਮੋਨੇਰੋ ਕ੍ਰਿਪਟੋਕਰੰਸੀ ਦੀ ਮਾਈਨਿੰਗ ਦੀ ਪ੍ਰਕਿਰਿਆ ਇਸ 'ਤੇ ਆਯੋਜਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਜਨਵਰੀ 2020 ਤੋਂ ਸਵਾਲ ਵਿੱਚ ਮਾਲਵੇਅਰ ਦੀ ਗਤੀਵਿਧੀ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਹੈ।

FritzFrog ਦੀ ਖਾਸ ਗੱਲ ਇਹ ਹੈ ਕਿ ਇਹ ਸਾਰਾ ਡਾਟਾ ਅਤੇ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਕੋਡ ਸਿਰਫ ਮੈਮੋਰੀ ਵਿੱਚ ਰੱਖਦਾ ਹੈ। ਡਿਸਕ 'ਤੇ ਤਬਦੀਲੀਆਂ ਸਿਰਫ਼ ਅਧਿਕਾਰਤ_ਕੀਜ਼ ਫਾਈਲ ਵਿੱਚ ਇੱਕ ਨਵੀਂ SSH ਕੁੰਜੀ ਨੂੰ ਸ਼ਾਮਲ ਕਰਦੀਆਂ ਹਨ, ਜੋ ਬਾਅਦ ਵਿੱਚ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। ਸਿਸਟਮ ਫਾਈਲਾਂ ਨੂੰ ਬਦਲਿਆ ਨਹੀਂ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ ਕੀੜੇ ਨੂੰ ਉਹਨਾਂ ਸਿਸਟਮਾਂ ਲਈ ਅਦਿੱਖ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਚੈਕਸਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਕਸਾਰਤਾ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹਨ। ਮੈਮੋਰੀ ਬਰੂਟ-ਫੋਰਸਿੰਗ ਪਾਸਵਰਡ ਅਤੇ ਮਾਈਨਿੰਗ ਲਈ ਡੇਟਾ ਲਈ ਸ਼ਬਦਕੋਸ਼ਾਂ ਨੂੰ ਵੀ ਸਟੋਰ ਕਰਦੀ ਹੈ, ਜੋ P2P ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਨੋਡਾਂ ਵਿਚਕਾਰ ਸਮਕਾਲੀ ਹੁੰਦੇ ਹਨ।

ਖਤਰਨਾਕ ਭਾਗਾਂ ਨੂੰ ifconfig, libexec, php-fpm ਅਤੇ nginx ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਛੁਪਿਆ ਹੋਇਆ ਹੈ। ਬੋਟਨੈੱਟ ਨੋਡ ਆਪਣੇ ਗੁਆਂਢੀਆਂ ਦੀ ਸਥਿਤੀ ਦੀ ਨਿਗਰਾਨੀ ਕਰਦੇ ਹਨ ਅਤੇ, ਜੇ ਸਰਵਰ ਰੀਬੂਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਾਂ ਓਐਸ ਨੂੰ ਮੁੜ ਸਥਾਪਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਜੇ ਇੱਕ ਸੋਧਿਆ ਅਧਿਕਾਰਤ_ਕੀਜ਼ ਫਾਈਲ ਨਵੇਂ ਸਿਸਟਮ ਵਿੱਚ ਟ੍ਰਾਂਸਫਰ ਕੀਤੀ ਗਈ ਸੀ), ਤਾਂ ਉਹ ਹੋਸਟ ਉੱਤੇ ਖਤਰਨਾਕ ਭਾਗਾਂ ਨੂੰ ਮੁੜ-ਸਰਗਰਮ ਕਰਦੇ ਹਨ। ਸੰਚਾਰ ਲਈ, ਸਟੈਂਡਰਡ SSH ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ - ਮਾਲਵੇਅਰ ਇੱਕ ਸਥਾਨਕ "ਨੈੱਟਕੈਟ" ਨੂੰ ਵੀ ਲਾਂਚ ਕਰਦਾ ਹੈ ਜੋ ਲੋਕਲਹੋਸਟ ਇੰਟਰਫੇਸ ਨਾਲ ਜੁੜਦਾ ਹੈ ਅਤੇ ਪੋਰਟ 1234 'ਤੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸੁਣਦਾ ਹੈ, ਜੋ ਕਿ ਬਾਹਰੀ ਮੇਜ਼ਬਾਨ ਇੱਕ SSH ਸੁਰੰਗ ਰਾਹੀਂ ਪਹੁੰਚ ਕਰਦਾ ਹੈ, ਕਨੈਕਟ ਕਰਨ ਲਈ ਅਧਿਕਾਰਤ_ਕੀਜ਼ ਦੀ ਇੱਕ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ।

FritzFrog ਕੰਪੋਨੈਂਟ ਕੋਡ Go ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਮਲਟੀ-ਥ੍ਰੈਡਡ ਮੋਡ ਵਿੱਚ ਚੱਲਦਾ ਹੈ। ਮਾਲਵੇਅਰ ਵਿੱਚ ਕਈ ਮੋਡੀਊਲ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਵੱਖ-ਵੱਖ ਥਰਿੱਡਾਂ ਵਿੱਚ ਚੱਲਦੇ ਹਨ:

• ਕਰੈਕਰ - ਹਮਲਾਵਰ ਸਰਵਰਾਂ 'ਤੇ ਪਾਸਵਰਡਾਂ ਦੀ ਖੋਜ ਕਰਦਾ ਹੈ।
• CryptoComm + ਪਾਰਸਰ - ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ P2P ਕਨੈਕਸ਼ਨ ਦਾ ਪ੍ਰਬੰਧ ਕਰਦਾ ਹੈ।
• ਕਾਸਟਵੋਟਸ ਹਮਲੇ ਲਈ ਸਾਂਝੇ ਤੌਰ 'ਤੇ ਨਿਸ਼ਾਨਾ ਮੇਜ਼ਬਾਨਾਂ ਦੀ ਚੋਣ ਕਰਨ ਲਈ ਇੱਕ ਵਿਧੀ ਹੈ।
• ਟਾਰਗੇਟਫੀਡ - ਗੁਆਂਢੀ ਨੋਡਾਂ ਤੋਂ ਹਮਲਾ ਕਰਨ ਲਈ ਨੋਡਾਂ ਦੀ ਸੂਚੀ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ।
• DeployMgmt ਇੱਕ ਕੀੜੇ ਦਾ ਇੱਕ ਲਾਗੂਕਰਨ ਹੈ ਜੋ ਇੱਕ ਸਮਝੌਤਾ ਸਰਵਰ ਨੂੰ ਖਤਰਨਾਕ ਕੋਡ ਵੰਡਦਾ ਹੈ।
• ਮਲਕੀਅਤ - ਉਹਨਾਂ ਸਰਵਰਾਂ ਨਾਲ ਕਨੈਕਟ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ ਜੋ ਪਹਿਲਾਂ ਹੀ ਖਤਰਨਾਕ ਕੋਡ ਚਲਾ ਰਹੇ ਹਨ।
• ਅਸੈਂਬਲ - ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਟ੍ਰਾਂਸਫਰ ਕੀਤੇ ਬਲਾਕਾਂ ਤੋਂ ਮੈਮੋਰੀ ਵਿੱਚ ਇੱਕ ਫਾਈਲ ਨੂੰ ਇਕੱਠਾ ਕਰਦਾ ਹੈ।
• ਐਂਟੀਵਾਇਰ - ਮੁਕਾਬਲਾ ਕਰਨ ਵਾਲੇ ਮਾਲਵੇਅਰ ਨੂੰ ਦਬਾਉਣ ਲਈ ਇੱਕ ਮੋਡੀਊਲ, "xmr" ਸਤਰ ਨਾਲ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਪਛਾਣ ਅਤੇ ਸਮਾਪਤੀ ਕਰਦਾ ਹੈ ਜੋ CPU ਸਰੋਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।
• Libexec ਮੋਨੇਰੋ ਕ੍ਰਿਪਟੋਕਰੰਸੀ ਦੀ ਮਾਈਨਿੰਗ ਲਈ ਇੱਕ ਮੋਡੀਊਲ ਹੈ।

FritzFrog ਵਿੱਚ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ P2P ਪ੍ਰੋਟੋਕੋਲ ਲਗਭਗ 30 ਕਮਾਂਡਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਜੋ ਨੋਡਾਂ ਵਿਚਕਾਰ ਡਾਟਾ ਟ੍ਰਾਂਸਫਰ ਕਰਨ, ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਚਲਾਉਣ, ਮਾਲਵੇਅਰ ਭਾਗਾਂ ਨੂੰ ਟ੍ਰਾਂਸਫਰ ਕਰਨ, ਪੋਲਿੰਗ ਸਥਿਤੀ, ਲੌਗਸ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ, ਪ੍ਰੌਕਸੀ ਲਾਂਚ ਕਰਨ ਆਦਿ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹਨ। JSON ਫਾਰਮੈਟ ਵਿੱਚ ਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਦੇ ਨਾਲ ਇੱਕ ਵੱਖਰੇ ਐਨਕ੍ਰਿਪਟਡ ਚੈਨਲ ਉੱਤੇ ਜਾਣਕਾਰੀ ਪ੍ਰਸਾਰਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਏਨਕ੍ਰਿਪਸ਼ਨ ਅਸਮੈਟ੍ਰਿਕ AES ਸਾਈਫਰ ਅਤੇ ਬੇਸ64 ਏਨਕੋਡਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। DH ਪ੍ਰੋਟੋਕੋਲ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ (ਡਿਫੀ-ਹੇਲਮੈਨ). ਰਾਜ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ, ਨੋਡ ਲਗਾਤਾਰ ਪਿੰਗ ਬੇਨਤੀਆਂ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ.

ਸਾਰੇ ਬੋਟਨੈੱਟ ਨੋਡ ਹਮਲਾ ਕੀਤੇ ਅਤੇ ਸਮਝੌਤਾ ਕੀਤੇ ਸਿਸਟਮਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਇੱਕ ਵੰਡਿਆ ਡੇਟਾਬੇਸ ਬਣਾਈ ਰੱਖਦੇ ਹਨ। ਹਮਲੇ ਦੇ ਟੀਚੇ ਪੂਰੇ ਬੋਟਨੈੱਟ ਵਿੱਚ ਸਮਕਾਲੀ ਹੁੰਦੇ ਹਨ - ਹਰੇਕ ਨੋਡ ਇੱਕ ਵੱਖਰੇ ਟੀਚੇ 'ਤੇ ਹਮਲਾ ਕਰਦਾ ਹੈ, ਯਾਨੀ. ਦੋ ਵੱਖ-ਵੱਖ ਬੋਟਨੈੱਟ ਨੋਡ ਇੱਕੋ ਹੋਸਟ 'ਤੇ ਹਮਲਾ ਨਹੀਂ ਕਰਨਗੇ। ਨੋਡ ਗੁਆਂਢੀਆਂ ਨੂੰ ਸਥਾਨਕ ਅੰਕੜੇ ਵੀ ਇਕੱਤਰ ਕਰਦੇ ਅਤੇ ਪ੍ਰਸਾਰਿਤ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਮੁਫਤ ਮੈਮੋਰੀ ਦਾ ਆਕਾਰ, ਅਪਟਾਈਮ, CPU ਲੋਡ, ਅਤੇ SSH ਲੌਗਇਨ ਗਤੀਵਿਧੀ। ਇਹ ਜਾਣਕਾਰੀ ਇਹ ਫੈਸਲਾ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਕੀ ਮਾਈਨਿੰਗ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਨੀ ਹੈ ਜਾਂ ਨੋਡ ਦੀ ਵਰਤੋਂ ਸਿਰਫ਼ ਦੂਜੇ ਸਿਸਟਮਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ (ਉਦਾਹਰਣ ਵਜੋਂ, ਮਾਈਨਿੰਗ ਲੋਡ ਕੀਤੇ ਸਿਸਟਮਾਂ ਜਾਂ ਅਕਸਰ ਪ੍ਰਬੰਧਕ ਕਨੈਕਸ਼ਨਾਂ ਵਾਲੇ ਸਿਸਟਮਾਂ 'ਤੇ ਸ਼ੁਰੂ ਨਹੀਂ ਹੁੰਦੀ ਹੈ)।

FritzFrog ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇੱਕ ਸਧਾਰਨ ਪ੍ਰਸਤਾਵ ਕੀਤਾ ਹੈ ਸ਼ੈੱਲ ਸਕ੍ਰਿਪਟ. ਸਿਸਟਮ ਦੇ ਨੁਕਸਾਨ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ
ਸੰਕੇਤ ਜਿਵੇਂ ਕਿ ਪੋਰਟ 1234 'ਤੇ ਸੁਣਨ ਦੇ ਕੁਨੈਕਸ਼ਨ ਦੀ ਮੌਜੂਦਗੀ, ਮੌਜੂਦਗੀ ਖਤਰਨਾਕ ਕੁੰਜੀ ਅਧਿਕਾਰਤ_ਕੀਜ਼ ਵਿੱਚ (ਉਹੀ SSH ਕੁੰਜੀ ਸਾਰੇ ਨੋਡਾਂ 'ਤੇ ਸਥਾਪਤ ਕੀਤੀ ਗਈ ਹੈ) ਅਤੇ "ifconfig", "libexec", "php-fpm" ਅਤੇ "nginx" ਚੱਲ ਰਹੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਯਾਦ ਵਿੱਚ ਮੌਜੂਦਗੀ ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਨਹੀਂ ਹਨ ("/proc/" /exe" ਰਿਮੋਟ ਫਾਈਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ)। ਇੱਕ ਨਿਸ਼ਾਨੀ ਨੈੱਟਵਰਕ ਪੋਰਟ 5555 'ਤੇ ਟ੍ਰੈਫਿਕ ਦੀ ਮੌਜੂਦਗੀ ਵੀ ਹੋ ਸਕਦੀ ਹੈ, ਜੋ ਉਦੋਂ ਵਾਪਰਦਾ ਹੈ ਜਦੋਂ ਮਾਲਵੇਅਰ ਮੋਨੇਰੋ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਦੀ ਮਾਈਨਿੰਗ ਦੌਰਾਨ ਆਮ ਪੂਲ web.xmrpool.eu ਤੱਕ ਪਹੁੰਚ ਕਰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru