ড্রোভোরাব ম্যালওয়্যার কমপ্লেক্স লিনাক্স ওএসকে সংক্রমিত করে

জাতীয় নিরাপত্তা সংস্থা এবং মার্কিন ফেডারেল ব্যুরো অফ ইনভেস্টিগেশন একটি প্রতিবেদন প্রকাশ করেছে, যা অনুযায়ী 85 তম বিশেষ সেবা প্রধান কেন্দ্র রাশিয়ান সশস্ত্র বাহিনীর জেনারেল স্টাফের প্রধান অধিদপ্তর (85 GCSS GRU) "Drovorub" নামে একটি ম্যালওয়্যার কমপ্লেক্স ব্যবহার করা হয়। Drovorub একটি লিনাক্স কার্নেল মডিউল আকারে একটি রুটকিট, ফাইল স্থানান্তর এবং নেটওয়ার্ক পোর্ট পুনঃনির্দেশ করার একটি টুল এবং একটি নিয়ন্ত্রণ সার্ভার অন্তর্ভুক্ত করে। ক্লায়েন্ট অংশটি ফাইলগুলি ডাউনলোড এবং আপলোড করতে পারে, রুট ব্যবহারকারী হিসাবে নির্বিচারে আদেশগুলি চালাতে পারে এবং নেটওয়ার্ক পোর্টগুলিকে অন্যান্য নেটওয়ার্ক নোডে পুনঃনির্দেশ করতে পারে।

Drovorub কন্ট্রোল সেন্টার কমান্ড লাইন আর্গুমেন্ট হিসাবে JSON ফর্ম্যাটে কনফিগারেশন ফাইলের পথ পায়:

{
"db_host" : " ",
"db_port" : " ",
"db_db" : " ",
"db_user" : " ",
"db_password" : " ",

"lport" : " ",
"lhost" : " ",
"ping_sec" : " ",

"priv_key_file" : " ",
"শব্দ" : " »
}

MySQL DBMS ব্যাকএন্ড হিসাবে ব্যবহৃত হয়। WebSocket প্রোটোকল ক্লায়েন্ট সংযোগ করতে ব্যবহৃত হয়.

ক্লায়েন্টের বিল্ট-ইন কনফিগারেশন রয়েছে, যার মধ্যে সার্ভার URL, এর RSA পাবলিক কী, ব্যবহারকারীর নাম এবং পাসওয়ার্ড রয়েছে। রুটকিট ইনস্টল করার পরে, কনফিগারেশনটি JSON ফর্ম্যাটে একটি পাঠ্য ফাইল হিসাবে সংরক্ষণ করা হয়, যা ড্রভোরুবা কার্নেল মডিউল দ্বারা সিস্টেম থেকে লুকানো হয়:

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"কী": "Y2xpZW50a2V5"
}

এখানে "আইডি" হল সার্ভার দ্বারা জারি করা একটি অনন্য শনাক্তকারী, যেখানে শেষ 48 বিট সার্ভারের নেটওয়ার্ক ইন্টারফেসের MAC ঠিকানার সাথে মিলে যায়। ডিফল্ট "কী" প্যারামিটার হল একটি base64 এনকোডেড স্ট্রিং "ক্লায়েন্টকি" যা প্রাথমিক হ্যান্ডশেকের সময় সার্ভার দ্বারা ব্যবহৃত হয়। উপরন্তু, কনফিগারেশন ফাইলে লুকানো ফাইল, মডিউল এবং নেটওয়ার্ক পোর্ট সম্পর্কে তথ্য থাকতে পারে:

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"key": "Y2xpZW50a2V5",
"মনিটর" : {
"ফাইল" : [
{
"সক্রিয়" : "সত্য"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"মাস্ক" : "টেস্টফাইল1"
}
],
"মডিউল" : [
{
"সক্রিয়" : "সত্য"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"মাস্ক" : "টেস্টমডিউল1"
}
],
"নেট" : [
{
"সক্রিয়" : "সত্য"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"বন্দর" : "12345",
"প্রটোকল" : "tcp"
}
] }
}

Drovorub এর আরেকটি উপাদান হল এজেন্ট; এর কনফিগারেশন ফাইলে সার্ভারের সাথে সংযোগ করার জন্য তথ্য রয়েছে:

{
"ক্লায়েন্ট_লগইন" : "user123",
"ক্লায়েন্ট_পাস" : "pass4567",
"ক্লায়েন্ট" : "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file" :"পাবলিক_কী",
"সার্ভার_হোস্ট" : "192.168.57.100",
"সার্ভার_পোর্ট" :"45122″,
"server_uri" :"/ws"
}

"clientid" এবং "clientkey_base64" ক্ষেত্রগুলি প্রাথমিকভাবে অনুপস্থিত; সেগুলি সার্ভারে প্রাথমিক নিবন্ধনের পরে যোগ করা হয়৷

ইনস্টলেশনের পরে, নিম্নলিখিত ক্রিয়াকলাপগুলি সঞ্চালিত হয়:

• কার্নেল মডিউল লোড করা হয়, যা সিস্টেম কলের জন্য হুক নিবন্ধন করে;
• ক্লায়েন্ট একটি কার্নেল মডিউল দিয়ে নিবন্ধন করে;
• কার্নেল মডিউল চলমান ক্লায়েন্ট প্রক্রিয়া এবং ডিস্কে এর এক্সিকিউটেবল ফাইল লুকিয়ে রাখে।

একটি ছদ্ম-ডিভাইস, উদাহরণস্বরূপ /dev/zero, ক্লায়েন্ট এবং কার্নেল মডিউলের মধ্যে যোগাযোগ করতে ব্যবহৃত হয়। কার্নেল মডিউল ডিভাইসে লেখা সমস্ত ডেটা পার্স করে, এবং বিপরীত দিকে ট্রান্সমিশনের জন্য এটি ক্লায়েন্টকে SIGUSR1 সংকেত পাঠায়, তারপরে এটি একই ডিভাইস থেকে ডেটা পড়ে।

Lumberjack শনাক্ত করতে, আপনি NIDS ব্যবহার করে নেটওয়ার্ক ট্র্যাফিক বিশ্লেষণ ব্যবহার করতে পারেন (সংক্রমিত সিস্টেমে দূষিত নেটওয়ার্ক কার্যকলাপ সনাক্ত করা যায় না, যেহেতু কার্নেল মডিউল এটি ব্যবহার করা নেটওয়ার্ক সকেটগুলি, নেটফিল্টার নিয়ম এবং প্যাকেটগুলিকে লুকিয়ে রাখে যা কাঁচা সকেট দ্বারা আটকানো যেতে পারে) . যে সিস্টেমে Drovorub ইনস্টল করা আছে, সেখানে আপনি কার্নেল মডিউলটিকে ফাইলটি লুকানোর কমান্ড পাঠিয়ে সনাক্ত করতে পারেন:

স্পর্শ পরীক্ষা ফাইল
প্রতিধ্বনি “ASDFZXCV:hf:testfile” > /dev/zero
ls

তৈরি করা "টেস্টফাইল" ফাইলটি অদৃশ্য হয়ে যায়।

অন্যান্য সনাক্তকরণ পদ্ধতির মধ্যে রয়েছে মেমরি এবং ডিস্ক বিষয়বস্তু বিশ্লেষণ। সংক্রমণ প্রতিরোধ করার জন্য, লিনাক্স কার্নেল সংস্করণ 3.7 থেকে শুরু করে উপলব্ধ কার্নেল এবং মডিউলগুলির বাধ্যতামূলক স্বাক্ষর যাচাইকরণ ব্যবহার করার পরামর্শ দেওয়া হয়।

রিপোর্টে ড্রোভোরুবের নেটওয়ার্ক কার্যকলাপ সনাক্ত করার জন্য স্নর্ট নিয়ম এবং এর উপাদানগুলি সনাক্ত করার জন্য ইয়ারা নিয়ম রয়েছে।

আমাদের স্মরণ করা যাক যে 85 তম GTSSS GRU (সামরিক ইউনিট 26165) গ্রুপের সাথে যুক্ত APT28 (অভিনব ভাল্লুক), অসংখ্য সাইবার হামলার জন্য দায়ী।

উত্স: opennet.ru