{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"A fost detectat viermele FritzFrog, care afecteaz\u0103 serverele prin SSH \u0219i construie\u0219te un botnet descentralizat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Compania Guardicore, specializat\u0103 \u00een protejarea datacentrelor \u0219i sistemelor cloud, a eviden\u021biat<\/a><\/noindex> noul malware de \u00eenalt\u0103 tehnologie FritzFrog, care afecteaz\u0103 serverele bazate pe Linux. FritzFrog combin\u0103 un malware de tip worm care se r\u0103sp\u00e2nde\u0219te printr-un atac bruteforce asupra serverelor cu port SSH deschis \u0219i componente pentru construirea unei botnet-uri descentralizate, care func\u021bioneaz\u0103 f\u0103r\u0103 noduri de comand\u0103 \u0219i nu are un singur punct de e\u0219ec.<\/p>\n

Pentru construirea botnet-ului se folose\u0219te un protocol P2P propriu, prin care nodurile interac\u021bioneaz\u0103 \u00eentre ele, coordoneaz\u0103 organizarea atacurilor, men\u021bin func\u021bionarea re\u021belei \u0219i controleaz\u0103 starea unii altora. Victimele noi sunt g\u0103site prin efectuarea atacurilor bruteforce asupra serverelor care accept\u0103 solicitan\u021bi prin SSH. La descoperirea unui nou server, se efectueaz\u0103 un algoritm de c\u0103utare folosind un dic\u021bionar de combina\u021bii tipice de nume de utilizator \u0219i parole. Controlul poate fi efectuat prin orice nod, ceea ce complic\u0103 identificarea \u0219i blocarea operatorilor botnet-ului.<\/p>\n

Potrivit cercet\u0103torilor, botnet-ul num\u0103r\u0103 deja aproximativ 500 de noduri, inclusiv servere ale mai multor universit\u0103\u021bi \u0219i ale unei mari companii feroviare. Se constat\u0103 c\u0103 principalul obiectiv al atacurilor sunt re\u021belele institu\u021biilor de \u00eenv\u0103\u021b\u0103m\u00e2nt, centrelor medicale, institu\u021biilor guvernamentale, b\u0103ncilor \u0219i companiilor de telecomunica\u021bii. Dup\u0103 compromiterea unui server, pe acesta se organizeaz\u0103 un proces de minare a criptovalutei Monero. Activitatea acestui malware este urm\u0103rit\u0103 din ianuarie 2020.<\/p>\n

O caracteristic\u0103 a FritzFrog este c\u0103 p\u0103streaz\u0103 toate datele \u0219i codul executabil doar \u00een memorie. Modific\u0103rile pe disc sunt reduse doar la ad\u0103ugarea unei noi chei SSH \u00een fi\u0219ierul authorized_keys, care este utilizat ulterior pentru accesul la server. Fi\u0219ierele de sistem nu sunt modificate, ceea ce face ca worm-ul s\u0103 fie invizibil pentru sistemele care verific\u0103 integritatea prin sume de control. \u00cen memorie sunt p\u0103strate, de asemenea, dic\u021bionare pentru spargerea parolelor \u0219i datele pentru minare, care sunt sincronizate \u00eentre noduri prin intermediul protocolului P2P.<\/p>\n

Componentele mali\u021bioase se camufleaz\u0103 sub procesele «ifconfig», «libexec», «php-fpm» \u0219i «nginx». Nodurile botnetului monitorizeaz\u0103 starea vecinilor \u0219i, \u00een cazul repornirii serverului sau chiar reinstal\u0103rii sistemului de operare (dac\u0103 fi\u0219ierul authorized_keys modificat a fost transferat \u00een noul sistem), reactiveaz\u0103 din nou componentele mali\u021bioase de pe gazd\u0103. Pentru comunicare se folose\u0219te SSH-ul standard — malware-ul porne\u0219te suplimentar un «netcat» local, care se leag\u0103 la interfa\u021ba localhost \u0219i ascult\u0103 traficul pe portul 1234, la care nodurile externe acceseaz\u0103 printr-un tunel SSH, folosind cheia din authorized_keys.
\n

\"A<\/a><\/noindex><\/center><\/p>\n

Codul componentelor FritzFrog este scris \u00een limbajul Go \u0219i func\u021bioneaz\u0103 \u00een mod multi-thread. Malware-ul include mai multe module, care sunt ini\u021biate \u00een fire separate:<\/p>\n