突现新型P2P僵尸网络，已感染全世界百万台SSH服务器 – 作者:信息安全的那些事儿

记得多年前我的硕士论文，就是围绕如何利用蜜罐技术，获取僵尸主程序。但P2P（Peer-to-peer, p2p）技术的引入，使得研究和分析僵尸网络更加困难。

1.无文件。FritzFrog没有目录操作和文件传输使用，它在内存中组装和执行，不会接触被感染服务器的磁盘。

2.不断更新。自1月份活动开始以来，确定了20种不同版本的恶意软件可执行文件。

3.不断学习的字典。它拥有丰富的密码本，不断学习扩展，其保留的弱密码远比以前的僵尸网络更庞大、更适用。

4.高效。FritzFrog感染的服务器相互分散控制，目标在节点之间平均分配。并且，只感染网管用来管理计算机的安全Shell或SSH服务器，它以SSH公钥的形式创建后门，使攻击者能够持续访问受害计算机。

5.专有。P2P协议是完全专有的，不依赖诸如μTP之类的已知P2P协议。

研究人员表示，基于以上5个特点，这是一个技术高超的专业团队投入了相当多的资源建立的高效的、难以检测的、有弹性的僵尸网络。新的代码库与快速进化的版本和仅在内存中运行的有效负载相结合，使得杀毒软件和其他终端保护难以检测到该恶意软件。

为了逃避防火墙和端点保护，FritzFrog采用了一种创新技术来逃避检测。不是直接通过端口1234发送命令，而是通过以下方式将命令发送给受害者：攻击者通过SSH连接到受害者，并在受害者计算机上运行一个netcat客户端，该客户端又连接到恶意软件的服务器。从这点来看，FritzFrog的P2P结构并不纯粹。或者说，恶意软件服务器可能托管在其中一台受感染的机器上，而不是在专用服务器上。

恶意软件可以执行30条命令，包括运行脚本并下载数据库、日志或文件的命令。命令参数和响应在指定的数据结构中传输并序列化（“编组”）为JSON格式。在发送之前，数据使用AES对称加密进行加密并在Base64中进行编码。所涉及的节点使用Diffie-Hellman密钥交换协议。