Los investigadores de seguridad descubrieron recientemente un sofisticado P2P (de igual a igual) botnet que ha llevado a cabo ataques contra al menos 500 servidores SSH gubernamentales y empresariales en todo 2020. Apodado FritzFrog, la botnet fue detectada por Guardicore Labs en enero.
Al parecer,, la botnet ha intentado realizar ataques de fuerza bruta contra servidores SSH que pertenecen a varias organizaciones en todo el mundo, incluyendo gubernamental, educativo, financiero, médico y telecomunicaciones.
La botnet FritzFrog P2P en detalle
¿Cómo descubrieron los investigadores a FritzFrog??
La botnet FritzFrog fue descubierta por el investigador investigador de Guardicore, Ophir Harpaz, mientras trabajaba en la llamada Enciclopedia Botnet., un rastreador de amenazas de uso gratuito.
La botnet ha violado al menos 500 servidores, algunos de ellos pertenecientes a destacadas universidades estadounidenses y europeas. Si bien los investigadores no pudieron atribuir la botnet FritzFrog a un grupo de amenazas específico, descubrieron cierto parecido con un botnet P2P anteriormente conocido llamado Rakos.
El malware Rakos fue diseñado para buscar víctimas a través de escaneos SSH, con ataques registrados en 2016. El código de la botnet Rakos se escribió en el lenguaje Go. En aquel momento, los investigadores de seguridad determinaron que el software malicioso no podía configurar una instalación persistente, pero preferiría atacar a los hosts objetivo repetidamente.
FritzFrog también está escrito en el idioma Golang.. La botnet se describe como “completamente volátil“, sin dejar rastros en el disco. También crea una puerta trasera en forma de clave pública SSH, otorgando así a los atacantes acceso continuo a las máquinas objetivo. Desde el inicio de la campaña, los investigadores pudieron identificar 20 diferentes versiones del ejecutable de malware.
¿Cómo analizaron los investigadores los ataques de FritzFrog??
Para interceptar la red FritzFrog, el equipo desarrolló un programa de cliente en Golang, que lleva a cabo el proceso de intercambio de claves con el malware. El programa cliente también es capaz de enviar comandos y recibir sus salidas.. Los investigadores llamaron a su programa frogger, y les ayudó en la investigación de la naturaleza y el alcance de la red de botnets. Usando frogger, ellos “también pudimos unirnos a la red "inyectando" nuestros propios nodos y participando en el tráfico P2P en curso.”
La sofisticada botnet ha forzado con éxito millones de direcciones IP, incluyendo tales de gobiernos, instituciones educativas, centros medicos, bancos y empresas de telecomunicaciones.
Adicionalmente, FritzFrog “ha superado con éxito 500 Servidores SSH, incluidos los de instituciones de educación superior conocidas en los EE. UU.. y Europa, y una empresa ferroviaria,” según el informe.
¿Cómo pueden las empresas y organizaciones mantenerse protegidas contra FritzFrog??
Lo que habilita esta botnet es el uso de contraseñas débiles. Los investigadores recomiendan usar contraseñas seguras y autenticación de clave pública. También es crucial eliminar la clave pública de FritzFrog del archivo authorized_keys, lo que evitaría que los atacantes accedan a la máquina objetivo. Además, resulta que los enrutadores y los dispositivos IoT a menudo exponen SSH, lo que los hace vulnerables a los ataques de FritzFrog.
Un buen consejo es cambiar su puerto SSH o deshabilitar completamente el acceso SSH, especialmente si el servicio no está en uso. Otro consejo es utilizar reglas de segmentación basadas en procesos., ya que la botnet explota el hecho de que la mayoría de las soluciones de seguridad de red imponen el tráfico solo por puerto y protocolo.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: