Beveiligingsonderzoekers hebben onlangs een geavanceerde P2P ontdekt (Peer naar peer) botnet dat aanvallen heeft uitgevoerd tegen ten minste 500 overheid en bedrijf SSH-servers overal 2020. Nagesynchroniseerd FritzFrog, het botnet werd in januari gedetecteerd door Guardicore Labs.
Blijkbaar, het botnet heeft getracht brute-force aanvallen uit te voeren op SSH-servers van verschillende organisaties wereldwijd, inclusief overheid, leerzaam, financieel, medisch en telecom.
FritzFrog P2P-botnet in detail
Hoe ontdekten de onderzoekers FritzFrog?
Het FritzFrog-botnet werd ontdekt door Guardicore's onderzoeker-onderzoeker Ophir Harpaz terwijl hij werkte aan de zogenaamde Botnet Encyclopedia, een gratis te gebruiken dreigingstracker.
Het botnet is in ieder geval geschonden 500 servers, sommigen van hen behoren tot vooraanstaande Amerikaanse en Europese universiteiten. Terwijl de onderzoekers het FritzFrog-botnet niet konden toeschrijven aan een specifieke bedreigingsgroep, ze ontdekten enige gelijkenis met een eerder bekende P2P-botnet genaamd Rakos.
De Rakos-malware is ontworpen om via SSH-scans naar slachtoffers te zoeken, met aanvallen geregistreerd in 2016. Rakos-botnetcode is geschreven in de Go-taal. Toen, beveiligingsonderzoekers hebben vastgesteld dat de malware geen permanente installatie kan opzetten, maar zou de beoogde hosts liever herhaaldelijk aanvallen.
FritzFrog is ook geschreven in de Golang-taal. Het botnet wordt beschreven als “volledig vluchtig“, laat geen sporen achter op de schijf. Het creëert ook een achterdeur in de vorm van een openbare SSH-sleutel, waardoor de aanvallers doorlopend toegang hebben tot gerichte machines. Sinds het begin van de campagne, de onderzoekers konden identificeren 20 verschillende versies van het uitvoerbare bestand van malware.
Hoe analyseerden de onderzoekers FritzFrog-aanvallen?
Om het FritzFrog-netwerk te onderscheppen, het team ontwikkelde een klantenprogramma in Golang, die het sleuteluitwisselingsproces met de malware uitvoert. Het clientprogramma is ook in staat om opdrachten te verzenden en hun uitvoer te ontvangen. De onderzoekers noemden hun programma frogger, en hielp hen bij het onderzoek naar de aard en omvang van het botnet-netwerk. Frogger gebruiken, ze “waren ook in staat om deel te nemen aan het netwerk door onze eigen knooppunten te “injecteren” en deel te nemen aan het lopende P2P-verkeer.”
Het geavanceerde botnet heeft met succes miljoenen IP-adressen geforceerd, inclusief die van regeringen, onderwijsinstellingen, medische centra, banken en telecombedrijven.
Bovendien, FritzFrog “is met succes doorgebroken 500 SSH-servers, inclusief die van bekende instellingen voor hoger onderwijs in de VS.. en Europa, en een spoorwegmaatschappij,” aldus het rapport.
Hoe kunnen ondernemingen en organisaties beschermd blijven tegen FritzFrog?
Wat dit botnet mogelijk maakt, is het gebruik van zwakke wachtwoorden. De onderzoekers raden aan om sterke wachtwoorden en authenticatie met openbare sleutels te gebruiken. Het is ook cruciaal om de openbare sleutel van FritzFrog te verwijderen uit het bestand Authorized_keys, waardoor de aanvallers geen toegang krijgen tot de beoogde machine. Bovendien, Het blijkt dat routers en IoT-apparaten vaak SSH blootleggen, waardoor ze kwetsbaar zijn voor FritzFrog-aanvallen.
Een goed advies is om hun SSH-poort te wijzigen of SSH-toegang volledig uit te schakelen, vooral als de dienst niet in gebruik is. Een andere tip is om procesgebaseerde segmentatieregels te gebruiken, aangezien het botnet misbruik maakt van het feit dat de meeste netwerkbeveiligingsoplossingen verkeer alleen via poort en protocol afdwingen.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: