מתחם התוכנות הזדוניות של Drovorub מדביק את מערכת ההפעלה לינוקס

הסוכנות לביטחון לאומי והבולשת הפדרלית של ארה"ב פרסם דו"ח, לפיו המרכז המרכזי ה-85 של שירות מיוחד המנהלה הראשית של המטה הכללי של הכוחות המזוינים הרוסים (85 GCSS GRU) נעשה שימוש במתחם תוכנות זדוניות בשם "Drovorub". Drovorub כולל rootkit בצורת מודול ליבת לינוקס, כלי להעברת קבצים והפניית יציאות רשת ושרת בקרה. חלק הלקוח יכול להוריד ולהעלות קבצים, לבצע פקודות שרירותיות כמשתמש השורש ולהפנות מחדש יציאות רשת לצמתי רשת אחרים.

מרכז הבקרה של Drovorub מקבל את הנתיב לקובץ התצורה בפורמט JSON כארגומנט שורת פקודה:

{
"db_host" : " ",
"db_port" : " ",
"db_db" : " ",
"db_user" : " ",
"db_password" : " ",

"lport" : " ",
"lhost" : " ",
"ping_sec" : " ",

"priv_key_file" : " ",
"ביטוי" : " »
}

MySQL DBMS משמש כקצה אחורי. פרוטוקול WebSocket משמש לחיבור לקוחות.

ללקוח יש תצורה מובנית, כולל כתובת ה-URL של השרת, מפתח RSA ציבורי שלו, שם משתמש וסיסמה. לאחר התקנת ה-rootkit, התצורה נשמרת כקובץ טקסט בפורמט JSON, אשר מוסתר מהמערכת על ידי מודול הקרנל של Drovoruba:

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"key": "Y2xpZW50a2V5"
}

כאן "id" הוא מזהה ייחודי שמונפק על ידי השרת, שבו 48 הסיביות האחרונות תואמות את כתובת ה-MAC של ממשק הרשת של השרת. פרמטר ברירת המחדל של "מפתח" הוא מחרוזת "מפתח לקוח" מקודדת base64 המשמשת את השרת במהלך לחיצת היד הראשונית. בנוסף, קובץ התצורה עשוי להכיל מידע על קבצים מוסתרים, מודולים ויציאות רשת:

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"key": "Y2xpZW50a2V5",
"מוניטור" : {
"קובץ" : [
{
"פעיל" : "נכון"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"mask" : "testfile1"
}
],
"מודול" : [
{
"פעיל" : "נכון"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"mask" : "testmodule1"
}
],
"נטו" : [
{
"פעיל" : "נכון"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"port" : "12345",
"פרוטוקול" : "tcp"
}
]}}
}

מרכיב נוסף של Drovorub הוא הסוכן; קובץ התצורה שלו מכיל מידע לחיבור לשרת:

{
"client_login" : "user123",
"client_pass" : "pass4567",
"clientid" : "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file" :"מפתח_ציבורי",
"server_host" : "192.168.57.100",
"שרת_פורט" :"45122",
"server_uri" :"/ws"
}

השדות "clientid" ו-"clientkey_base64" חסרים בתחילה; הם מתווספים לאחר הרישום הראשוני בשרת.

לאחר ההתקנה מתבצעות הפעולות הבאות:

• מודול הליבה נטען, אשר רושם ווים עבור קריאות מערכת;
• הלקוח נרשם במודול הקרנל;
• מודול הליבה מסתיר את תהליך הלקוח הפועל ואת קובץ ההפעלה שלו בדיסק.

פסאודו-מכשיר, למשל /dev/zero, משמש לתקשורת בין הלקוח למודול הליבה. מודול הקרנל מנתח את כל הנתונים שנכתבו למכשיר, ולשידור בכיוון ההפוך הוא שולח את האות SIGUSR1 ללקוח, ולאחר מכן הוא קורא נתונים מאותו התקן.

כדי לזהות את חוטב העצים, אתה יכול להשתמש בניתוח תעבורת רשת באמצעות NIDS (לא ניתן לזהות פעילות רשת זדונית במערכת הנגועה עצמה, מכיוון שמודול הליבה מסתיר את שקעי הרשת שבהם הוא משתמש, חוקי רשת מסנן וחבילות שעלולות להיות יורטו על ידי שקעים גולמיים) . במערכת שבה מותקן Drovorub, אתה יכול לזהות את מודול הליבה על ידי שליחת הפקודה להסתרת הקובץ:

מגע בקובץ הבדיקה
echo "ASDFZXCV:hf:testfile" > /dev/zero
ls

קובץ ה"testfile" שנוצר הופך לבלתי נראה.

שיטות זיהוי אחרות כוללות ניתוח זיכרון ותוכן דיסק. כדי למנוע זיהום, מומלץ להשתמש באימות חתימה חובה של הליבה והמודולים, זמין החל מגירסת ליבת לינוקס 3.7.

הדוח מכיל כללי Snort לאיתור פעילות הרשת של דרבורוב ויארה כללי לאיתור מרכיביה.

הבה נזכיר שה-GTSSS GRU ה-85 (יחידה צבאית 26165) קשורה לקבוצה APT28 (דוב מפואר), אחראי על מתקפות סייבר רבות.

מקור: OpenNet.ru