Az Egyesült Államok Nemzeti Biztonsági Ügynöksége és a Szövetségi Nyomozó Iroda , amely szerint a 85-ös Szolgálati Központ (85 GCU GRU) egy "Fahasító" nevű kártékony programcsomagot használ. A "Fahasító" tartalmaz egy Linux kernel modul formájában megvalósított rootkit-et, fájlátviteli és hálózati portok átirányítására szolgáló eszközt, illetve egy vezérlő szervert. Az ügyfélrész képes fájlokat letölteni és feltölteni, rendkívüli parancsokat végrehajtani a root felhasználó nevében, és hálózati portokat más hálózati csomópontokhoz irányítani.
A "Fahasító" vezérlő központ a parancssori argumentumok segítségével kapja meg a JSON formátumú konfigurációs fájl elérési útját:
{
"db_host" : "",
"db_port" : "",
"db_db" : "",
"db_user" : "",
"db_password" : "",
"lport" : "",
"lhost" : "",
"ping_sec" : "",
"priv_key_file" : "",
"phrase" : ""
}
A háttéradatbázis MySQL. Az ügyfelek csatlakoztatásához WebSocket protokollt használnak.
Az ügyfél beépített konfigurációval rendelkezik, beleértve a szerver URL-jét, RSA nyilvános kulcsát, felhasználónevét és jelszavát. A rootkit telepítése után a konfigurációt szöveges fájlban, JSON formátumban menti, amelyet a "Fahasító" kernel modulja rejt el a rendszertől:
{
"id" : "cbcf6abc-466b-11e9-853b-000c29cb9f6f",
"key": "Y2xpZW50a2V5"
}
Itt az "id" az egyedi azonosító, amelyet a szerver bocsátott ki; az utolsó 48 bit megfelel a szerver hálózati interfészének MAC-címének. A "key" alapértelmezett értéke a base64 kódolású "clientkey" sztring, amelyet a szerver az első kézfogáskor használ. Ezen kívül a konfigurációs fájl tartalmazhatja a rejtett fájlok, modulok és hálózati portok információit:
{
"id" : "6fa41616-aff1-11ea-acd5-000c29283bbc",
"key": "Y2xpZW50a2V5",
"monitor" : {
"file" : [
{
"active" : "true",
"id" : "d9dc492b-5a32-8e5f-0724-845aa13fff98",
"mask" : "testfile1"
}
],
"module" : [
{
"active" : "true",
"id" : "48a5e9d0-74c7-cc17-2966-0ea17a1d997a",
"mask" : "testmodule1"
}
],
"net" : [
{
"active" : "true",
"id" : "4f355d5d-9753-76c7-161e-7ef051654a2b",
"port" : "12345",
"protocol" : "tcp"
}
]
}
}
A "Fahasító" egy másik összetevője egy ügynök, amelynek konfigurációs fájlja tartalmazza a szerverhez való csatlakozáshoz szükséges információkat:
{
"client_login" : "user123",
"client_pass" : "pass4567",
"clientid" : "e391847c-bae7-11ea-b4bc-000c29130b71",
"clientkey_base64" : "Y2xpZW50a2V5",
"pub_key_file" :"public_key",
"server_host" : "192.168.57.100",
"server_port" :"45122"
«server_uri» :»/ws»
}
A «clientid» és a «clientkey_base64» mezők kezdetben nem állnak rendelkezésre, ezeket a szerveren történő elsődleges regisztráció után adják hozzá.
A telepítés után a következő műveletek hajtódnak végre:
- betöltődik a kernelművelet, amely regisztrálja a horgokat a rendszerhívásokhoz;
- a kliens regisztrál a kernelműveletben;
- a kernelművelet elrejti a kliens futó folyamatát és annak végrehajtható fájlját a lemezen.
A kliens és a kernelművelet közötti interakcióhoz pszeudoberendezés használatos, például /dev/zero. A kernelművelet értelmezi az eszközbe írt adatokat, és a visszafelé történő továbbításhoz SIGUSR1 jelet küld a kliensnek, amely ezután ugyanebből az eszközből olvassa az adatokat.
A «Drovoru» felfedezéséhez használható a hálózati forgalom elemzése NIDS segítségével (a fertőzött rendszeren belüli rosszindulatú hálózati tevékenység nem észlelhető, mivel a kernelművelet elrejti a használt hálózati socketeket, a netfilter szabályokat és a csomagokat, amelyek a raw socketeken keresztül elkaphatók). Olyan rendszeren, ahol a «Drovoru» telepítve van, a kernelművelet észlelhető, ha a fájl elrejtési parancsot küldünk neki:
touch testfile
echo “ASDFZXCV:hf:testfile” > /dev/zero
ls
A létrehozott „testfile” fájl ezzel láthatatlanná válik.
A felfedezés más módszerei közé tartozik a memória és a lemez tartalmának elemzése. A fertőzés megelőzése érdekében ajánlott a kernelt és a modulokat kötelező aláírás-ellenőrzésnek alávetni, amely a linux 3.7 verziójától érhető el.
A jelentés tartalmazza a Snort szabályokat a «Drovoru» hálózati aktivitásának észlelésére, valamint a Yara szabályokat komponenseinek detektálására.
Emlékeztetünk arra, hogy a 85 GCSZ GRU (v/k 26165) a következő csoporttal társul: , amely számos kiber támadásért felelős.
Forrás: opennet.ru
