ડ્રોવોરબ માલવેર કોમ્પ્લેક્સ Linux OS ને ચેપ લગાડે છે

રાષ્ટ્રીય સુરક્ષા એજન્સી અને યુએસ ફેડરલ બ્યુરો ઓફ ઇન્વેસ્ટિગેશન એક અહેવાલ પ્રકાશિત કર્યો, જે મુજબ વિશેષ સેવાનું 85મું મુખ્ય કેન્દ્ર છે રશિયન સશસ્ત્ર દળોના જનરલ સ્ટાફનું મુખ્ય નિર્દેશાલય (85 GCSS GRU) "ડ્રોવોરબ" નામના માલવેર સંકુલનો ઉપયોગ થાય છે. ડ્રોવોરબમાં Linux કર્નલ મોડ્યુલના રૂપમાં રૂટકીટ, ફાઇલોને સ્થાનાંતરિત કરવા અને નેટવર્ક પોર્ટને રીડાયરેક્ટ કરવા માટેનું સાધન અને નિયંત્રણ સર્વરનો સમાવેશ થાય છે. ક્લાયન્ટ ભાગ ફાઇલોને ડાઉનલોડ અને અપલોડ કરી શકે છે, રૂટ વપરાશકર્તા તરીકે મનસ્વી આદેશો ચલાવી શકે છે અને નેટવર્ક પોર્ટ્સને અન્ય નેટવર્ક નોડ્સ પર રીડાયરેક્ટ કરી શકે છે.

ડ્રોવોરબ કંટ્રોલ સેન્ટર આદેશ વાક્ય દલીલ તરીકે JSON ફોર્મેટમાં રૂપરેખાંકન ફાઇલનો માર્ગ મેળવે છે:

{
"db_host" : " ",
"db_port" : " ",
"db_db" : " ",
"db_user" : " ",
"db_password" : " ",

"lport" : " ",
"lhost" : " ",
"ping_sec" : " ",

"priv_key_file" : " ",
"શબ્દ" : " »
}

MySQL DBMS નો ઉપયોગ બેકએન્ડ તરીકે થાય છે. વેબસોકેટ પ્રોટોકોલનો ઉપયોગ ક્લાયંટને કનેક્ટ કરવા માટે થાય છે.

ક્લાયંટ પાસે સર્વર URL, તેની RSA સાર્વજનિક કી, વપરાશકર્તાનામ અને પાસવર્ડ સહિત બિલ્ટ-ઇન રૂપરેખાંકન છે. રૂટકીટ ઇન્સ્ટોલ કર્યા પછી, રૂપરેખાંકનને JSON ફોર્મેટમાં ટેક્સ્ટ ફાઇલ તરીકે સાચવવામાં આવે છે, જે ડ્રોવોરુબા કર્નલ મોડ્યુલ દ્વારા સિસ્ટમથી છુપાયેલ છે:

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"key": "Y2xpZW50a2V5"
}

અહીં "id" એ સર્વર દ્વારા જારી કરાયેલ અનન્ય ઓળખકર્તા છે, જેમાં છેલ્લા 48 બિટ્સ સર્વરના નેટવર્ક ઇન્ટરફેસના MAC સરનામાંને અનુરૂપ છે. ડિફૉલ્ટ "કી" પેરામીટર એ base64 એન્કોડેડ સ્ટ્રિંગ "ક્લાયન્ટકી" છે જેનો સર્વર દ્વારા પ્રારંભિક હેન્ડશેક દરમિયાન ઉપયોગ થાય છે. વધુમાં, રૂપરેખાંકન ફાઇલમાં છુપાયેલ ફાઇલો, મોડ્યુલો અને નેટવર્ક પોર્ટ વિશેની માહિતી શામેલ હોઈ શકે છે:

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"key": "Y2xpZW50a2V5",
"મોનિટર" : {
"ફાઇલ" : [
{
"સક્રિય" : "સાચું"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"માસ્ક" : "ટેસ્ટફાઇલ1"
}
],
"મોડ્યુલ" : [
{
"સક્રિય" : "સાચું"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"માસ્ક" : "ટેસ્ટ મોડ્યુલ 1"
}
],
"નેટ" : [
{
"સક્રિય" : "સાચું"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"પોર્ટ" : "12345",
"પ્રોટોકોલ" : "tcp"
}
] }
}

ડ્રોવોરબનો બીજો ઘટક એજન્ટ છે; તેની રૂપરેખાંકન ફાઇલમાં સર્વર સાથે કનેક્ટ કરવા માટેની માહિતી શામેલ છે:

{
"client_login" : "user123",
"client_pass" : "pass4567",
"clientid" : "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file" :"પબ્લિક_કી",
"server_host" : "192.168.57.100",
"સર્વર_પોર્ટ" :"45122″,
"server_uri" :"/ws"
}

“clientid” અને “clientkey_base64” ફીલ્ડ શરૂઆતમાં ખૂટે છે; તેઓ સર્વર પર પ્રારંભિક નોંધણી પછી ઉમેરવામાં આવે છે.

ઇન્સ્ટોલેશન પછી, નીચેની કામગીરી કરવામાં આવે છે:

• કર્નલ મોડ્યુલ લોડ થયેલ છે, જે સિસ્ટમ કોલ્સ માટે હુક્સ રજીસ્ટર કરે છે;
• ક્લાયંટ કર્નલ મોડ્યુલ સાથે નોંધણી કરે છે;
• કર્નલ મોડ્યુલ ચાલી રહેલ ક્લાયન્ટ પ્રક્રિયા અને ડિસ્ક પર તેની એક્ઝેક્યુટેબલ ફાઇલને છુપાવે છે.

સ્યુડો-ડિવાઈસ, ઉદાહરણ તરીકે /dev/zero, ક્લાયંટ અને કર્નલ મોડ્યુલ વચ્ચે વાતચીત કરવા માટે વપરાય છે. કર્નલ મોડ્યુલ ઉપકરણ પર લખેલા તમામ ડેટાને પાર્સ કરે છે, અને વિરુદ્ધ દિશામાં ટ્રાન્સમિશન માટે તે ક્લાયન્ટને SIGUSR1 સિગ્નલ મોકલે છે, જે પછી તે સમાન ઉપકરણમાંથી ડેટા વાંચે છે.

લમ્બરજેકને શોધવા માટે, તમે NIDS નો ઉપયોગ કરીને નેટવર્ક ટ્રાફિક વિશ્લેષણનો ઉપયોગ કરી શકો છો (સંક્રમિત સિસ્ટમમાં જ દૂષિત નેટવર્ક પ્રવૃત્તિ શોધી શકાતી નથી, કારણ કે કર્નલ મોડ્યુલ તેના દ્વારા ઉપયોગમાં લેવાતા નેટવર્ક સોકેટ્સ, નેટફિલ્ટર નિયમો અને પેકેટોને છુપાવે છે જે કાચા સોકેટ્સ દ્વારા અટકાવી શકાય છે) . સિસ્ટમ પર જ્યાં ડ્રોવોરબ ઇન્સ્ટોલ કરેલું છે, તમે કર્નલ મોડ્યુલને ફાઇલ છુપાવવા માટે આદેશ મોકલીને શોધી શકો છો:

ટચ ટેસ્ટ ફાઇલ
echo “ASDFZXCV:hf:testfile” > /dev/zero
ls

બનાવેલ "ટેસ્ટફાઈલ" ફાઈલ અદ્રશ્ય બની જાય છે.

અન્ય શોધ પદ્ધતિઓમાં મેમરી અને ડિસ્ક સામગ્રી વિશ્લેષણનો સમાવેશ થાય છે. ચેપને રોકવા માટે, કર્નલ અને મોડ્યુલોની ફરજિયાત સહી ચકાસણીનો ઉપયોગ કરવાની ભલામણ કરવામાં આવે છે, જે Linux કર્નલ સંસ્કરણ 3.7 થી શરૂ થાય છે.

રિપોર્ટમાં ડ્રોવોરબની નેટવર્ક એક્ટિવિટી શોધવા માટેના સ્નોર્ટ નિયમો અને તેના ઘટકોને શોધવા માટે યારાના નિયમો છે.

ચાલો યાદ કરીએ કે 85મું GTSSS GRU (લશ્કરી એકમ 26165) જૂથ સાથે સંકળાયેલું છે. APT28 (ફેન્સી રીંછ), અસંખ્ય સાયબર હુમલાઓ માટે જવાબદાર.

સોર્સ: opennet.ru