Forscher des Sicherheitsanbieters Guardicore haben ein neues Peer-to-Peer-Botnet namens FritzFrog analysiert. Es ist mindestens seit Januar aktiv und attackiert SSH-Server von Behörden, Bildungseinrichtungen sowie Unternehmen in den Bereichen Finanzen, Medizin und Telekommunikation per Brute-Force-Angriff.
Beschrieben wird FritzFrog als dezentralisiertes Botnet. Es kontrolliert seine Knoten über P2P-Protokolle, statt einen zentralen Befehlsserver einzusetzen – der aber auch eine Schwachstelle wäre.
Die Hintermänner schleusen, nachdem sie einen Zugang zu einem SSH-Server per Brute Force geknackt haben, eine dateilose Schadsoftware, die nur im Arbeitsspeicher ausgeführt wird. Das erlaubt es ihr, möglichst wenige Spuren zu hinterlassen und vielen gängigen Erkennungstechniken zu entgehen. Anschließend kann der Server Befehlen empfangen und ausführen und wird so zum Teil des Botnets.
Bisher registrierten die Forscher mehr als 20 Varianten der in Golang geschriebenen Schadsoftware. Sie empfängt Befehle über den Port 1234. Dafür wird erneut eine SSH-Verbindung aufgebaut. Um die Befehle zu verschleiern, setzen die Angreifer auf einen Netcat-Client und auf eine AES-Verschlüsselung. Außerdem fügen sie einen öffentlichen SSH-RSA-Schlüssel zur Datei „authorized_keys“ hinzu. Die nun eingerichtete Backdoor dient der Überwachung des Systems des Opfers und des Netzwerks.
Die Hauptaufgabe von FritzFrog ist es, den Cryptominer XMRig auszuführen und die Kryptowährung Monero zu schürfen. Zu diesem Zweck ist die Malware in der Lage, Server-Prozesse, die die CPU belasten, abzuschalten, um dem Miner so viel Leistung wie möglich zur Verfügung zu stellen. Darüber hinaus kann sich FritzFrog über das SHH-Protokoll weiterverbreiten.
Das P2P-Protokoll von FritzFrog ist laut der Analyse proprietär. Es basiere auf keiner bisher bekannten Implementierung. Als Folge stufen die Forscher die Hacker als „hochprofessionelle Softwareentwickler“ ein. Zu möglichen Hintermännern fand Guardicore indes keine Hinweise – außer Ähnlichkeiten mit dem 2016 entdeckten Botnet Rakos.
Vor COVID-19 war Remote-Work für viele Unternehmen fast undenkbar. Heute haben sie erkannt, dass es sehr gut funktionieren kann, wenn die Rahmenbedingungen stimmen. Erfahren Sie in diesem Webinar, wie Sie mit der Kollaborationslösung Slack auf die veränderten Arbeitsbedingungen optimal reagieren können.
Der neue Apple-Prozessor A18 basiert auf einem 3-Nanometer-Verfahren. Apple verspricht mehr Leistung und eine höhere…
Die stiehlt Daten aus weiteren Browsers. Zudem steigt die Zahl der Browser-Erweiterungen, die Atomic Stealer…
Der bis dato unbekannte Loader DodgeBox zeigt auffällige Ähnlichkeiten mit StealthVector, warnen Zscaler-Experten.
In fünf Monaten kommen rund 400.000 neue Nutzer hinzu. Die meisten zahlenden Nutzer hat ChatGPT…
Über drei Millionen Angriffsversuche unter Deckmantel von Minecraft / YouTube-Star Mr. Beast als prominenter Köder
Die Prognose für die Anfahrt bezieht das Verkehrsaufkommen, die Stellplatzverfügbarkeit sowie die Lenk- und Ruhezeiten…
