针对全球SSH服务器的新型无文件P2P僵尸网络恶意软件

东塔安全学院 · · 3205 次点击 · · 开始浏览    
这是一个创建于 的文章,其中的信息可能已经有所发展或是发生改变。

image

网络安全研究人员2020年8月19日揭开了一个复杂的、多功能的P2P(peer-to-peer,P2P)僵尸网络的面纱,该僵尸网络自2020年1月以来一直在积极瞄准SSH服务器。Guardicore Labs2020年8月19日发布的一份报告显示,这个名为“FritzFrog”的是一个模块化、多线程、无文件的僵尸网络迄今已突破500多台服务器,感染了欧美知名大学和一家铁路公司。

Guardicore的Ophir Harpaz说:“凭借其分散的基础架构,它可以在所有节点之间分配控制权。” “在没有单一故障点的网络中,与对方不断相互通信,以保持网络的生命力,弹性和最新性。”

除了实施从头开始编写的专有P2P协议外,通信还通过加密通道进行,恶意软件能够在受害系统上创建后门,从而使攻击者得以继续访问。

无文件P2P僵尸网络

尽管以前曾观察到基于GoLang的僵尸网络,例如Gandalf和GoBrut,但FritzFrog似乎与Rakos有一些相似之处,Rakos是另一个基于Golang的Linux后门,以前曾发现它是通过对SSH登录的强行尝试渗透到目标系统的。

image

但是,令FritzFrog独树一帜的是它没有文件,这意味着它可以在内存中组装和执行有效载荷,并且在执行暴力攻击时更具攻击性,同时还可以通过在僵尸网络内平均分配目标来提高效率。

一旦确定了目标计算机,该恶意软件将执行一系列任务,包括对其进行暴力破解,在成功突破后用恶意有效载荷感染计算机,并将受害者添加到P2P网络。

image

为了掩盖事实,该恶意软件以ifconfig和NGINX的身份运行,并开始侦听端口1234,以接收进一步的执行命令,包括将受害者与网络对等方和暴力目标的数据库同步的命令。

这些命令本身通过旨在避免检测的一系列制造传输到恶意软件。僵尸网络中的攻击者节点首先通过SSH锁定特定的受害者,然后使用NETCAT实用程序与远程服务器建立连接。 此外,有效载荷文件以BitTorrent样式在节点之间交换,采用分段文件传输方法来发送数据块。

“当节点A希望从其对等节点B接收文件时,它可以使用getblobstats命令查询节点B所拥有的Blob,” Harpaz说。“然后,节点A可以通过其哈希(通过P2P命令getbin或通过HTTP,使用URL'https:// node_IP:1234 / blob_hash)来获得特定的blob。当节点A具有所有必需的Blob时,它将使用名为Assemble的特殊模块来组装文件并运行它。”

image

除了对命令响应进行加密和编码之外,该恶意软件还运行一个名为“ libexec“的单独进程来挖掘Monero硬币,并通过在SSH的“ authorized_keys ”文件中添加公钥来留下后门,以供以后访问受害者无需再次依赖密码即可进行身份验证。

攻击影响

据网络安全公司称,该活动于1月9日开始,自首次出现以来,累计攻击次数已达13,000次,涉及20种不同版本的恶意软件二进制文件。

image

除了针对教育机构以外,还发现FritzFrog暴力破解了属于政府组织,医疗中心,银行和电信公司的数百万个IP地址。

Guardicore Labs还提供了一个检测脚本,用于检查服务器是否已被FritzFrog感染,并共享其他危害指标(IoC)。

“弱密码是FritzFrog攻击的直接促成因素,” Harpaz总结道。“Harpaz建议选择强密码并使用公共密钥身份验证,这更加安全。路由器和IoT设备通常会暴露SSH,因此容易受到FritzFrog的攻击-如果不使用服务,请考虑更改其SSH端口或完全禁用对它们的SSH访问。”


有疑问加站长微信联系(非本文作者)

本文来自:简书

感谢作者:东塔安全学院

查看原文:针对全球SSH服务器的新型无文件P2P僵尸网络恶意软件

入群交流(和以上内容无关):加入Go大咖交流群,或添加微信:liuxiaoyan-s 备注:入群;或加QQ群:701969077

3205 次点击  
加入收藏 微博
添加一条新回复 (您需要 登录 后才能回复 没有账号 ?)
  • 请尽量让自己的回复能够对别人有帮助
  • 支持 Markdown 格式, **粗体**、~~删除线~~、`单行代码`
  • 支持 @ 本站用户;支持表情(输入 : 提示),见 Emoji cheat sheet
  • 图片支持拖拽、截图粘贴等方式上传