Företaget Guardicore, specialiserat pÄ att skydda datacenter och molnsystem, den nya högteknologiska skadliga programvaran FritzFrog som attackerar servrar med Linux. FritzFrog Àr en mask som sprider sig genom bruteforce-attacker pÄ servrar med öppna SSH-portar och komponenter för att bygga ett decentraliserat botnÀt som fungerar utan styrande noder och inte har nÄgon enskild punkt för fel.
För att bygga botnÀtet anvÀnds en egen P2P-protokoll dÀr noder interagerar med varandra, koordinerar attackorganisationen, upprÀtthÄller nÀtverksdriften och kontrollerar varandras status. Nya offer hittas genom bruteforce-attacker pÄ servrar som tar emot SSH-förfrÄgningar. Vid upptÀckten av en ny server görs en ordboksgenomgÄng av vanliga kombinationer av anvÀndarnamn och lösenord. Kontroll kan ske genom vilken nod som helst, vilket komplicerar upptÀckten och blockeringen av botnets operatörer.
Enligt forskarna har botnÀtet redan cirka 500 noder, inklusive servrar frÄn flera universitet och ett stort jÀrnvÀgsföretag. Det noteras att det primÀra mÄlet för attackerna Àr nÀtverk inom utbildningsinstitutioner, medicinska centra, statliga myndigheter, banker och telekommunikationsföretag. Efter att en server har komprometterats startas en process för att bryta kryptovalutan Monero. Aktiviteten hos den aktuella skadliga programvaran har spÄrats sedan januari 2020.
En sĂ€rskiljande egenskap hos FritzFrog Ă€r att den hĂ„ller all data och utförbar kod enbart i minnet. Ăndringar pĂ„ disken begrĂ€nsas endast till att lĂ€gga till en ny SSH-nyckel i filen authorized_keys, som dĂ€refter anvĂ€nds för att fĂ„ Ă„tkomst till servern. Systemfiler Ă€ndras inte, vilket gör att masken förblir osynlig för system som kontrollerar integriteten med hjĂ€lp av kontrollsummor. I minnet lagras Ă€ven ordböcker för att knĂ€cka lösenord och uppgifter för brytning, som synkroniseras mellan noder med hjĂ€lp av P2P-protokollet.
Skadliga komponenter camouflerar sig som processerna «ifconfig», «libexec», «php-fpm» och «nginx». Botnet-noder övervakar grannarnas status och aktiverar pĂ„ nytt de skadliga komponenterna pĂ„ vĂ€rden i hĂ€ndelse av en serveromstart eller till och med en ominstallation av operativsystemet (om den modifierade filen authorized_keys har överförts till det nya systemet). Kommunikation sker via standard SSH â skadlig programvara startar dessutom en lokal «netcat» som bindar sig till localhost-grĂ€nssnittet och lyssnar pĂ„ trafik pĂ„ port 1234, som externa noder nĂ„r via en SSH-tunnel med hjĂ€lp av en nyckel frĂ„n authorized_keys.
Koden för FritzFrog-komponenter Àr skriven i Go och fungerar i flertrÄdad lÀge. Den skadliga programvaran innehÄller flera moduler som körs i olika trÄdar:
- Cracker â utför lösenordsĂ„terstĂ€llning pĂ„ attackerade servrar.
- CryptoComm + Parser â organiserar en krypterad P2P-anslutning.
- CastVotes â mekanismen för gemensamt val av mĂ„lvĂ€rdar för attack.
- TargetFeed â fĂ„r en lista över noder att attackera frĂ„n grannnoder.
- DeployMgmt â implementeringen av mask som sprider skadlig kod pĂ„ den hackade servern.
- Owned â ansvarar för anslutningen till servrar dĂ€r skadlig kod redan körs.
- Assemble â sammanstĂ€ller en fil i minnet frĂ„n separat överförda block.
- Antivir â modul som undertrycker konkurrerande skadliga program, identifierar och avslutar processer med strĂ€ngen «xmr» som anvĂ€nder CPU-resurser.
- Det P2P-protokoll som anvÀnds i FritzFrog stödjer cirka 30 kommandon som ansvarar för dataöverföring mellan noder, skarpa script, överföring av skadlig programvara, statusfrÄgor, loggbyte, proxystart och sÄ vidare. Informationen överförs via en separat krypterad kanal med serialisering i JSON-format. För kryptering anvÀnds den asymmetriska chiffret AES och Base64-kodning. Nyckelutbytet sker via protokollet DH (
Diffie-Hellman). To determine state, the nodes continuously exchange ping requests.
Alla noder i botnetet stöder en distribuerad databas med information om attackerade och komprometterade system. MĂ„len för attackerna synkroniseras över hela botnetet â varje nod attackerar ett separat mĂ„l, det vill sĂ€ga tvĂ„ olika noder i botnetet kommer inte att attackera samma vĂ€rd. Noderna samlar ocksĂ„ in och skickar lokal statistik till sina grannar, sĂ„som mĂ€ngd ledigt minne, drifttid, CPU-belastning och aktivitet pĂ„ SSH-inloggningar. Denna information anvĂ€nds för att besluta om starten av gruvdriftprocessen eller för att anvĂ€nda noden endast för att attackera andra system (till exempel startas gruvdrift inte pĂ„ belastade system eller system med frekvent administratörsinloggning).
För att identifiera FritzFrog föreslog forskarna en enkel . För att avgöra om systemet Àr infekterat kan sÄdana tecken som nÀrvaro av en lyssnande anslutning pÄ port 1234, nÀrvaron av
ett skadligt nyckel Företaget Guardicore, specialiserat pÄ skydd av datacenter och molnsystem, har identifierat.
KĂ€lla: opennet.ru
