Die Schadsoftware "Holzfäller" infiziert Linux-Betriebssysteme.

Agentur für nationale Sicherheit und FBI der USA veröffentlichten einen Bericht, gemäß dem 85. Hauptzentrum für Spezialdienste Hauptverwaltung des Generalstabs der russischen Streitkräfte (85 GZSS GRU) verwendet ein Schadsoftware-Paket mit dem Namen „Holzfäller“. Teil von „Holzfäller“ ist ein Rootkit in Form eines Linux-Kernelmoduls, ein Tool zum Dateitransfer und zur Portweiterleitung sowie ein Steuerungsserver. Der Client kann Dateien herunterladen und hochladen, beliebige Befehle im Namen des Root-Benutzers ausführen und Ports an andere Knoten im Netzwerk weiterleiten.

Das Steuerzentrum von „Holzfäller“ erhält über die Befehlszeile den Pfad zur Konfigurationsdatei im JSON-Format:

{
"db_host" : "",
"db_port" : "",
"db_db" : "",
"db_user" : "",
"db_password" : "",

"lport" : "",
"lhost" : "",
"ping_sec" : "",

"priv_key_file" : "",
"phrase" : ""
}

Als Backend wird die MySQL-Datenbank verwendet. Zur Verbindung von Clients wird das WebSocket-Protokoll genutzt.

Der Client verfügt über eine integrierte Konfiguration, einschließlich der URL des Servers, seines öffentlichen RSA-Schlüssels, des Benutzernamens und des Passworts. Nach der Installation des Rootkits wird die Konfiguration als Textdatei im JSON-Format gespeichert, die durch das Kernelmodul „Holzfäller“ vor dem System verborgen wird:

{
"id" : "cbcf6abc-466b-11e9-853b-000c29cb9f6f",
"key": "Y2xpZW50a2V5"
}

Hierbei ist „id“ eine vom Server ausgegebene eindeutige ID, bei der die letzten 48 Bits der MAC-Adresse des Netzwerkinterfaces des Servers entsprechen. Der Parameter „key“ ist standardmäßig eine in base64 codierte Zeichenkette „clientkey“, die vom Server bei der initialen Handshake verwendet wird. Außerdem kann die Konfigurationsdatei Informationen über versteckte Dateien, Module und Netzwerkports enthalten:

{
"id" : "6fa41616-aff1-11ea-acd5-000c29283bbc",
"key": "Y2xpZW50a2V5",
"monitor" : {
"file" : [
{
"active" : "true",
"id" : "d9dc492b-5a32-8e5f-0724-845aa13fff98",
"mask" : "testfile1"
}
],
"module" : [
{
"active" : "true",
"id" : "48a5e9d0-74c7-cc17-2966-0ea17a1d997a",
"mask" : "testmodule1"
}
],
"net" : [
{
"active" : "true",
"id" : "4f355d5d-9753-76c7-161e-7ef051654a2b",
"port" : "12345",
"protocol" : "tcp"
}
]
}
}

Ein weiterer Bestandteil von „Holzfäller“ ist der Agent, dessen Konfigurationsdatei Informationen für die Verbindung zum Server enthält:

{
"client_login" : "user123",
"client_pass" : "pass4567",
"clientid" : "e391847c-bae7-11ea-b4bc-000c29130b71",
"clientkey_base64" : "Y2xpZW50a2V5",
"pub_key_file" : "public_key",
"server_host" : "192.168.57.100",
"server_port" : "45122"
«server_uri» :»/ws»
}

Die Felder „clientid“ und „clientkey_base64“ sind ursprünglich nicht vorhanden und werden nach der ersten Registrierung auf dem Server hinzugefügt.

Nach der Installation erfolgen die folgenden Vorgänge:

• Das Kernmodul wird geladen, das Hooks für Systemaufrufe registriert;
• Der Client registriert sich beim Kernmodul;
• Das Kernmodul versteckt den laufenden Prozess des Clients und dessen ausführbare Datei auf der Festplatte.

Für die Interaktion des Clients mit dem Kernmodul wird ein Pseudo-Gerät genutzt, beispielsweise /dev/zero. Das Kernmodul analysiert alle in das Gerät geschriebenen Daten und sendet zum Rückübertragen ein SIGUSR1-Signal an den Client, der dann die Daten von demselben Gerät liest.

Zur Entdeckung des „Holzfällers“ kann die Analyse des Netzwerkverkehrs mittels NIDS verwendet werden (schädliche Netzwerkaktivität im betroffenen System kann nicht festgestellt werden, da das Kernmodul die verwendeten Netzwerk-Sockets, netfilter-Regeln und Pakete, die von Raw-Sockets abgefangen werden könnten, verbirgt). In einem System, in dem der „Holzfäller“ installiert ist, kann das Kernmodul entdeckt werden, indem der Befehl zum Verstecken einer Datei gesendet wird:

touch testfile
echo “ASDFZXCV:hf:testfile” > /dev/zero
ls

Die erstellte Datei „testfile“ wird dabei unsichtbar.

Weitere Entdeckungsmethoden umfassen die Analyse des Speichers und des Festplattinhalts. Um eine Infektion zu verhindern, wird empfohlen, die obligatorische Überprüfung der Signatur des Kernels und der Module zu verwenden, die seit der Kernel-Version 3.7 verfügbar ist.

Der Bericht enthält Snort-Regeln zur Erkennung der Netzwerkaktivität des „Holzfällers“ und Yara-Regeln zur Erkennung seiner Komponenten.

Zur Erinnerung: Die 85 ГЦСС ГРУ (в/ч 26165) wird mit der Gruppe APT28 (Fancy Bear), die für zahlreiche Cyberangriffe verantwortlich ist.

Quelle: opennet.ru