{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Wykryto robaka FritzFrog, atakuj\u0105cego serwery przez SSH i tworz\u0105cego zdecentralizowanego botneta","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Guardicore, specjalizuj\u0105ca si\u0119 w ochronie centr\u00f3w danych i system\u00f3w chmurowych, ujawnili<\/a><\/noindex> nowe wysoko zaawansowane z\u0142o\u015bliwe oprogramowanie FritzFrog, kt\u00f3re atakuje serwery oparte na systemie Linux. FritzFrog \u0142\u0105czy w sobie cechy robaka rozprzestrzeniaj\u0105cego si\u0119 przez ataki brute force na serwery z otwartym portem SSH oraz komponenty do budowy zdecentralizowanego botnetu, kt\u00f3ry dzia\u0142a bez w\u0119z\u0142\u00f3w zarz\u0105dzaj\u0105cych i nie ma jednego punktu awarii.<\/p>\n

Do budowy botnetu wykorzystywany jest w\u0142asny protok\u00f3\u0142 P2P, w kt\u00f3rym w\u0119z\u0142y komunikuj\u0105 si\u0119 ze sob\u0105, koordynuj\u0105 organizacj\u0119 atak\u00f3w, utrzymuj\u0105 prac\u0119 sieci i monitoruj\u0105 stan innych w\u0119z\u0142\u00f3w. Nowe ofiary s\u0105 pozyskiwane poprzez przeprowadzanie atak\u00f3w brute force na serwery akceptuj\u0105ce zapytania po SSH. Po zidentyfikowaniu nowego serwera wykonywany jest atak s\u0142ownikowy przy u\u017cyciu typowych kombinacji login\u00f3w i hase\u0142. Zarz\u0105dzanie mo\u017ce by\u0107 prowadzone przez dowolny w\u0119ze\u0142, co utrudnia identyfikacj\u0119 i zablokowanie operator\u00f3w botnetu.<\/p>\n

Z danych badaczy wynika, \u017ce botnet ju\u017c liczy oko\u0142o 500 w\u0119z\u0142\u00f3w, w tym serwery kilku uniwersytet\u00f3w i du\u017cej firmy kolejowej. Zaznacza si\u0119, \u017ce g\u0142\u00f3wnym celem ataku s\u0105 sieci instytucji edukacyjnych, centr\u00f3w medycznych, instytucji rz\u0105dowych, bank\u00f3w oraz firm telekomunikacyjnych. Po skompromitowaniu serwera uruchamiany jest proces wydobywania kryptowaluty Monero. Aktywno\u015b\u0107 analizowanego z\u0142o\u015bliwego oprogramowania obserwowana jest od stycznia 2020 roku.<\/p>\n

Cech\u0105 charakterystyczn\u0105 FritzFrog jest to, \u017ce przechowuje wszystkie dane i kod wykonywalny tylko w pami\u0119ci. Zmiany na dysku ograniczaj\u0105 si\u0119 jedynie do dodania nowego klucza SSH do pliku authorized_keys, kt\u00f3ry nast\u0119pnie jest wykorzystywany do dost\u0119pu do serwera. Pliki systemowe nie s\u0105 modyfikowane, co sprawia, \u017ce robak jest niewidoczny dla system\u00f3w sprawdzaj\u0105cych integralno\u015b\u0107 za pomoc\u0105 sum kontrolnych. W pami\u0119ci przechowywane s\u0105 tak\u017ce s\u0142owniki do atak\u00f3w na has\u0142a oraz dane do wydobywania, kt\u00f3re s\u0105 synchronizowane mi\u0119dzy w\u0119z\u0142ami za pomoc\u0105 protoko\u0142u P2P.<\/p>\n

Z\u0142o\u015bliwe komponenty kamufluj\u0105 si\u0119 jako procesy , , i . W\u0119z\u0142y botnetu monitoruj\u0105 stan s\u0105siad\u00f3w i w przypadku ponownego uruchomienia serwera lub nawet ponownej instalacji systemu operacyjnego (je\u015bli do nowego systemu przeniesiono zmieniony plik authorized_keys) ponownie aktywuj\u0105 z\u0142o\u015bliwe komponenty na ho\u015bcie. Do komunikacji wykorzystywane jest standardowe SSH \u2014 z\u0142o\u015bliwe oprogramowanie dodatkowo uruchamia lokalny , kt\u00f3ry \u0142\u0105czy si\u0119 z interfejsem localhost i nas\u0142uchuje ruchu na porcie 1234, do kt\u00f3rego zewn\u0119trzne w\u0119z\u0142y komunikuj\u0105 si\u0119 przez tunel SSH, u\u017cywaj\u0105c do po\u0142\u0105czenia klucza z authorized_keys.
\n

\"Wykryto<\/a><\/noindex><\/center><\/p>\n

Kod komponent\u00f3w FritzFrog zosta\u0142 napisany w j\u0119zyku Go i dzia\u0142a w trybie wielow\u0105tkowym. Z\u0142o\u015bliwe oprogramowanie zawiera kilka modu\u0142\u00f3w uruchamianych w r\u00f3\u017cnych w\u0105tkach:<\/p>\n