{"id":91919,"date":"2020-08-20T13:41:55","date_gmt":"2020-08-20T11:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet"},"modified":"2020-08-20T13:41:55","modified_gmt":"2020-08-20T11:41:55","slug":"vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/vyyavlen-cherv-fritzfrog-porazhayushhij-servery-po-ssh-i-stroyashhij-deczentralizovannyj-botnet","title":{"rendered":"En mask FritzFrog har uppt\u00e4ckts som attackerar servrar via SSH och bygger ett decentraliserat botn\u00e4t.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

F\u00f6retaget Guardicore, specialiserat p\u00e5 att skydda datacenter och molnsystem, har identifierat<\/a><\/noindex> den nya h\u00f6gteknologiska skadliga programvaran FritzFrog som attackerar servrar med Linux. FritzFrog \u00e4r en mask som sprider sig genom bruteforce-attacker p\u00e5 servrar med \u00f6ppna SSH-portar och komponenter f\u00f6r att bygga ett decentraliserat botn\u00e4t som fungerar utan styrande noder och inte har n\u00e5gon enskild punkt f\u00f6r fel.<\/p>\n

F\u00f6r att bygga botn\u00e4tet anv\u00e4nds en egen P2P-protokoll d\u00e4r noder interagerar med varandra, koordinerar attackorganisationen, uppr\u00e4tth\u00e5ller n\u00e4tverksdriften och kontrollerar varandras status. Nya offer hittas genom bruteforce-attacker p\u00e5 servrar som tar emot SSH-f\u00f6rfr\u00e5gningar. Vid uppt\u00e4ckten av en ny server g\u00f6rs en ordboksgenomg\u00e5ng av vanliga kombinationer av anv\u00e4ndarnamn och l\u00f6senord. Kontroll kan ske genom vilken nod som helst, vilket komplicerar uppt\u00e4ckten och blockeringen av botnets operat\u00f6rer.<\/p>\n

Enligt forskarna har botn\u00e4tet redan cirka 500 noder, inklusive servrar fr\u00e5n flera universitet och ett stort j\u00e4rnv\u00e4gsf\u00f6retag. Det noteras att det prim\u00e4ra m\u00e5let f\u00f6r attackerna \u00e4r n\u00e4tverk inom utbildningsinstitutioner, medicinska centra, statliga myndigheter, banker och telekommunikationsf\u00f6retag. Efter att en server har komprometterats startas en process f\u00f6r att bryta kryptovalutan Monero. Aktiviteten hos den aktuella skadliga programvaran har sp\u00e5rats sedan januari 2020.<\/p>\n

En s\u00e4rskiljande egenskap hos FritzFrog \u00e4r att den h\u00e5ller all data och utf\u00f6rbar kod enbart i minnet. \u00c4ndringar p\u00e5 disken begr\u00e4nsas endast till att l\u00e4gga till en ny SSH-nyckel i filen authorized_keys, som d\u00e4refter anv\u00e4nds f\u00f6r att f\u00e5 \u00e5tkomst till servern. Systemfiler \u00e4ndras inte, vilket g\u00f6r att masken f\u00f6rblir osynlig f\u00f6r system som kontrollerar integriteten med hj\u00e4lp av kontrollsummor. I minnet lagras \u00e4ven ordb\u00f6cker f\u00f6r att kn\u00e4cka l\u00f6senord och uppgifter f\u00f6r brytning, som synkroniseras mellan noder med hj\u00e4lp av P2P-protokollet.<\/p>\n

Skadliga komponenter kamuflerar sig som processer , , och . Botn\u00e4tets noder \u00f6vervakar tillst\u00e5ndet hos granne och aktiverar \u00e5terigen skadliga komponenter p\u00e5 v\u00e4rden vid omstart av server eller till och med ominstallation av OS (om en \u00e4ndrad fil authorized_keys har \u00f6verf\u00f6rts till det nya systemet). F\u00f6r kommunikation anv\u00e4nds standard SSH \u2014 skadlig programvara startar dessutom ett lokalt , som binder sig till localhost-gr\u00e4nssnittet och lyssnar p\u00e5 trafik p\u00e5 port 1234, till vilken externa noder ansluter via SSH-tunnel och anv\u00e4nder en nyckel fr\u00e5n authorized_keys f\u00f6r anslutning.
\n

\"En<\/a><\/noindex><\/center><\/p>\n

Koden f\u00f6r FritzFrog-komponenter \u00e4r skriven i Go och fungerar i flertr\u00e5dad l\u00e4ge. Den skadliga programvaran inneh\u00e5ller flera moduler som k\u00f6rs i olika tr\u00e5dar:<\/p>\n