Det amerikanske nationale sikkerhedsagentur og FBI , hvorefter 85. hovedcenter for den særlige tjeneste (85 GЦСС ГРУ) anvender et skadelig softwarekompleks kaldet "Drovorez". "Drovorez" indeholder en rootkit i form af en Linux-kernemodul, værktøjer til filoverførsel og omdirigering af netværksporte samt en kontrollerende server. Klientdelen kan downloade og uploade filer, udføre vilkårlige kommandoer på vegne af root-brugeren og omdirigere netværksporte til andre noder i netværket.
Kontrolcentret for "Drovorez" modtager en kommandolinjeargument med stien til konfigurationsfilen i JSON-format:
{
"db_host": "",
"db_port": "",
"db_db": "",
"db_user": "",
"db_password": "",
"lport": "",
"lhost": "",
"ping_sec": "",
"priv_key_file": "",
"phrase": ""
}
MySQL anvendes som backend-database. Klienter forbinder via WebSocket-protokollen.
Klienten har en indbygget konfiguration, herunder serverens URL, dens offentlige RSA-nøgle, brugernavn og adgangskode. Efter installationen af rootkit gemmes konfigurationen som en tekstfil i JSON-format, der skjules for systemet af "Drovorez"-kernemodulet:
{
"id": "cbcf6abc-466b-11e9-853b-000c29cb9f6f",
"key": "Y2xpZW50a2V5"
}
Her er "id" en unik identifikator udstedt af serveren, hvor de sidste 48 bits svarer til MAC-adressen for serverens netværksinterface. Parameteren "key" er som standard en i base64 kodet streng "clientkey", som bruges af serveren under den indledende håndtryk. Desuden kan konfigurationsfilen indeholde oplysninger om skjulte filer, moduler og netværksporte:
{
"id": "6fa41616-aff1-11ea-acd5-000c29283bbc",
"key": "Y2xpZW50a2V5",
"monitor": {
"file": [
{
"active": "true",
"id": "d9dc492b-5a32-8e5f-0724-845aa13fff98",
"mask": "testfile1"
}
],
"module": [
{
"active": "true",
"id": "48a5e9d0-74c7-cc17-2966-0ea17a1d997a",
"mask": "testmodule1"
}
],
"net": [
{
"active": "true",
"id": "4f355d5d-9753-76c7-161e-7ef051654a2b",
"port": "12345",
"protocol": "tcp"
}
]
}
}
En anden komponent af "Drovorez" er agenten, hvis konfigurationsfil indeholder oplysninger om forbindelsen til serveren:
{
"client_login": "user123",
"client_pass": "pass4567",
"clientid": "e391847c-bae7-11ea-b4bc-000c29130b71",
"clientkey_base64": "Y2xpZW50a2V5",
"pub_key_file": "public_key",
"server_host": "192.168.57.100",
"server_port": "45122"
«server_uri» :»/ws»
}
Felterne «clientid» og «clientkey_base64» er oprindeligt fraværende, de tilføjes efter den første registrering på serveren.
Efter installationen udføres følgende operationer:
- kernen modul indlæses, som registrerer hooks til systemopkald;
- klienten registrerer sig i kernen modul;
- kernen modul skjuler klientens kørende proces og dens eksekveringsfil på disken.
For at interagere med kernen modul bruges et pseudostyrelsen, f.eks. /dev/zero. Kernen modul analyserer alle data, der skrives til enheden, og sender et SIGUSR1 signal til klienten for at overføre data i den modsatte retning, efter hvilket klienten læser data fra samme enhed.
For at opdage «Drovoreb» kan netværkstrafik analyseres med NIDS (den skadelige netværksaktivitet i det inficerede system kan ikke opdages, da kernen modul skjuler de netværks-sockets, reglerne for netfilter og pakker, der kunne fanges af raw-sockets). I et system, hvor «Drovoreb» er installeret, kan kernen modul opdages ved at sende det en kommando til at skjule en fil:
touch testfile
echo “ASDFZXCV:hf:testfile” > /dev/zero
ls
Den oprettede fil «testfile» bliver dermed usynlig.
Andre metoder til opdagelse inkluderer analyse af hukommelse og indhold af disken. For at forhindre infektion anbefales det at anvende obligatorisk kontrol af underskriften af kernen og moduler, tilgængelig fra version 3.7 af linux kernen.
Rapporten indeholder Snort-regler til opdagelse af netværksaktivitet fra «Drovoreb» og Yara-regler til at detektere dets komponenter.
Lad os minde om, at 85 GCSS GRU (v/h 26165) er associeret med gruppen , som er ansvarlig for adskillige cyberangreb.
Kilde: opennet.ru
