研究：新一代僵尸网络FritzFrog感染500台服务器以帮骇客挖矿

资安业者Guardicore Labs本周揭露了一个新型态的P2P僵尸网络FritzFrog，骇客撰写了一个全新的恶意程式，企图攻击全球数百万个装置的IP地址，进而感染逾500台SSH服务器，利用它们替骇客开挖门罗币（Monero）。

Guardicore Labs是在今年1月察觉FritzFrog的行动，这是一个以Golang撰写的无档案恶意程式，它以SSH公钥的形式在受害系统上建立后门，以让骇客能够持续存取被骇系统，且这8个月以来，Guardicore Labs已发现20种不同的FritzFrog执行版本。

FritzFrog有许多特点，它采用无档案技术，在内存中运作，因而无从追踪。相较于其它只使用固定用户名称，来渗透IP装置的P2P僵尸网络，FritzFrog使用了相对积极的暴力破解技术，它会持续更新攻击对象与被骇机器的数据库，而且使用了私有的P2P协定。

此外，FritzFrog相准了全球-机构、教育机构、医疗中心、银行与电信业者的数千万个IP地址发动攻击，而且成功地入侵了这些组织的逾500台服务器，受害者包括美国与欧洲的多所知名大学，还有一家铁路公司。这些受害的服务器借由P2P协定相互联系及同步，就算有哪个节点遗失了，很快就会被其它节点递补，以保持僵尸网络的资讯畅通。

FritzFrog不只储存了被骇系统的登入凭证，也在系统上的授权金钥档案中新增了SSH-RSA公钥，于是，即便组织变更了凭证的密码，握有私钥的骇客依旧可以继续存取被骇系统。

骇客利用FritzFrog僵尸网络替他们挖掘门罗币，不过，Guardicore Labs并未公布该恶意行动迄今的收益。

Guardicore Labs建议各大组织应该设定强密码且使用公钥认证，也呼吁受害系统记得从授权金钥档案中，移除FritzFrog所植入的公钥。此外，将SSH曝露在外的IoT装置则是FritzFrog主要的切入点，组织应变更相关装置SSH传输埠，或是关闭SSH的存取能力。