{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"Foi identificado um worm FritzFrog, atacando servidores via SSH e construindo uma botnet descentralizada.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A empresa Guardicore, especializada na prote\u00e7\u00e3o de datacenters e sistemas em nuvem, expose<\/a><\/noindex> descobriu um novo malware de alta tecnologia chamado FritzFrog, que atinge servidores baseados em Linux. O FritzFrog combina um worm que se espalha por meio de um ataque de brute force a servidores com porta SSH aberta e componentes para a constru\u00e7\u00e3o de um botnet descentralizado, operando sem n\u00f3s de comando e sem um \u00fanico ponto de falha.<\/p>\n

Para formar o botnet, \u00e9 utilizado um protocolo P2P pr\u00f3prio, onde os n\u00f3s interagem entre si, coordenam a organiza\u00e7\u00e3o de ataques, mant\u00eam a opera\u00e7\u00e3o da rede e monitoram o estado uns dos outros. Novas v\u00edtimas s\u00e3o encontradas por meio de ataques de brute force a servidores que aceitam solicita\u00e7\u00f5es via SSH. Ao detectar um novo servidor, \u00e9 realizado um ataque de dicion\u00e1rio com combina\u00e7\u00f5es comuns de nomes de usu\u00e1rios e senhas. O controle pode ser feito atrav\u00e9s de qualquer n\u00f3, dificultando a identifica\u00e7\u00e3o e bloqueio dos operadores do botnet.<\/p>\n

De acordo com os pesquisadores, o botnet j\u00e1 possui cerca de 500 n\u00f3s, entre os quais est\u00e3o servidores de v\u00e1rias universidades e uma grande companhia ferrovi\u00e1ria. \u00c9 destacado que o principal alvo dos ataques s\u00e3o as redes de institui\u00e7\u00f5es educacionais, centros m\u00e9dicos, institui\u00e7\u00f5es governamentais, bancos e empresas de telecomunica\u00e7\u00f5es. Ap\u00f3s a comprova\u00e7\u00e3o do servidor, um processo de minera\u00e7\u00e3o da criptomoeda Monero \u00e9 organizado nele. A atividade deste malware \u00e9 registrada desde janeiro de 2020.<\/p>\n

Uma caracter\u00edstica do FritzFrog \u00e9 que ele mant\u00e9m todos os dados e o c\u00f3digo execut\u00e1vel apenas na mem\u00f3ria. As altera\u00e7\u00f5es no disco se limitam apenas \u00e0 adi\u00e7\u00e3o de uma nova chave SSH no arquivo authorized_keys, que \u00e9 posteriormente utilizado para acessar o servidor. Os arquivos de sistema n\u00e3o s\u00e3o modificados, o que torna o worm invis\u00edvel para sistemas que verificam a integridade por meio de somas de verifica\u00e7\u00e3o. Na mem\u00f3ria, tamb\u00e9m s\u00e3o mantidos dicion\u00e1rios para ataques de senha e dados para minera\u00e7\u00e3o, que s\u00e3o sincronizados entre os n\u00f3s atrav\u00e9s do protocolo P2P.<\/p>\n

Componentes maliciosos camuflam-se como processos , , e . N\u00f3s de botnet monitoram o estado dos vizinhos e, em caso de reinicializa\u00e7\u00e3o do servidor ou at\u00e9 mesmo reinstala\u00e7\u00e3o do SO (se um arquivo authorized_keys modificado foi transferido para o novo sistema), reativam novamente os componentes maliciosos no host. Para comunica\u00e7\u00e3o, utiliza-se SSH padr\u00e3o \u2014 o malware tamb\u00e9m inicia um local, que se conecta \u00e0 interface localhost e escuta o tr\u00e1fego na porta 1234, \u00e0 qual n\u00f3s externos se conectam atrav\u00e9s de um t\u00fanel SSH, usando a chave do authorized_keys para conex\u00e3o.
\n

\"Foi<\/a><\/noindex><\/center><\/p>\n

O c\u00f3digo dos componentes FritzFrog \u00e9 escrito na linguagem Go e opera em modo multithread. O malware inclui v\u00e1rios m\u00f3dulos que s\u00e3o executados em diferentes threads:<\/p>\n