Drovorub malware კომპლექსი აინფიცირებს Linux OS-ს

ეროვნული უსაფრთხოების სააგენტო და აშშ-ს გამოძიების ფედერალური ბიურო ანგარიში გამოაქვეყნა, რომლის მიხედვითაც სპეცსამსახურის 85-ე მთავარი ცენტრი რუსეთის შეიარაღებული ძალების გენერალური შტაბის მთავარი დირექტორატი (85 GCSS GRU) გამოიყენება მავნე პროგრამის კომპლექსი სახელწოდებით "Drovorub". Drovorub მოიცავს rootkit-ს Linux-ის ბირთვის მოდულის სახით, ფაილების გადასატანად და ქსელის პორტების გადამისამართების ინსტრუმენტს და საკონტროლო სერვერს. კლიენტის ნაწილს შეუძლია ჩამოტვირთოთ და ატვირთოს ფაილები, შეასრულოს თვითნებური ბრძანებები, როგორც root მომხმარებელი და ქსელის პორტების გადამისამართება სხვა ქსელის კვანძებზე.

Drovorub-ის საკონტროლო ცენტრი იღებს გზას კონფიგურაციის ფაილის JSON ფორმატში, როგორც ბრძანების ხაზის არგუმენტი:

{
"db_host" : " ",
"db_port" : " ",
"db_db" : " ",
"db_user" : " ",
"db_password" : " ",

"lport": " ",
"მასპინძელი": " ",
"ping_sec" : " ",

"priv_key_file" : " ",
"ფრაზა": " »
}

MySQL DBMS გამოიყენება როგორც backend. WebSocket პროტოკოლი გამოიყენება კლიენტების დასაკავშირებლად.

კლიენტს აქვს ჩაშენებული კონფიგურაცია, მათ შორის სერვერის URL, მისი RSA საჯარო გასაღები, მომხმარებლის სახელი და პაროლი. rootkit-ის ინსტალაციის შემდეგ, კონფიგურაცია ინახება ტექსტური ფაილის სახით JSON ფორმატში, რომელიც იმალება სისტემისგან Drovoruba kernel მოდულით:

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"გასაღები": "Y2xpZW50a2V5"
}

აქ "id" არის სერვერის მიერ გაცემული უნიკალური იდენტიფიკატორი, რომელშიც ბოლო 48 ბიტი შეესაბამება სერვერის ქსელური ინტერფეისის MAC მისამართს. ნაგულისხმევი "გასაღების" პარამეტრი არის base64 კოდირებული სტრიქონი "clientkey", რომელიც გამოიყენება სერვერის მიერ თავდაპირველი ხელის ჩამორთმევის დროს. გარდა ამისა, კონფიგურაციის ფაილი შეიძლება შეიცავდეს ინფორმაციას ფარული ფაილების, მოდულების და ქსელის პორტების შესახებ:

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"გასაღები": "Y2xpZW50a2V5",
"მონიტორი" : {
"ფაილი" : [
{
"აქტიური": "მართალია"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"mask" : "testfile1"
}
],
"მოდული" : [
{
"აქტიური": "მართალია"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"ნიღაბი" : "testmodule1"
}
],
"net" : [
{
"აქტიური": "მართალია"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"პორტი" : "12345",
"პროტოკოლი": "tcp"
}
]}
}

Drovorub-ის კიდევ ერთი კომპონენტია აგენტი; მისი კონფიგურაციის ფაილი შეიცავს ინფორმაციას სერვერთან დასაკავშირებლად:

{
"client_login" : "user123",
"client_pass" : "pass4567",
"კლიენტიდი" : "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file" :"public_key",
"server_host" : "192.168.57.100",
"server_port" :"45122",
"server_uri" :"/ws"
}

ველები „clientid“ და „clientkey_base64“ თავდაპირველად აკლია, ისინი ემატება სერვერზე თავდაპირველი რეგისტრაციის შემდეგ.

ინსტალაციის შემდეგ ხორციელდება შემდეგი ოპერაციები:

• იტვირთება ბირთვის მოდული, რომელიც აღრიცხავს კაკვებს სისტემური ზარებისთვის;
• კლიენტი რეგისტრირდება ბირთვის მოდულით;
• ბირთვის მოდული მალავს გაშვებულ კლიენტის პროცესს და მის შესრულებად ფაილს დისკზე.

ფსევდო მოწყობილობა, მაგალითად /dev/zero, გამოიყენება კლიენტსა და ბირთვის მოდულს შორის კომუნიკაციისთვის. ბირთვის მოდული აანალიზებს მოწყობილობაზე დაწერილ ყველა მონაცემს და საპირისპირო მიმართულებით გადაცემისთვის ის აგზავნის SIGUSR1 სიგნალს კლიენტს, რის შემდეგაც ის კითხულობს მონაცემებს იმავე მოწყობილობიდან.

Lumberjack-ის აღმოსაჩენად, შეგიძლიათ გამოიყენოთ ქსელის ტრაფიკის ანალიზი NIDS-ის გამოყენებით (დაინფიცირებულ სისტემაში მავნე ქსელის აქტივობა ვერ გამოვლინდება, რადგან ბირთვის მოდული მალავს ქსელის სოკეტებს, რომლებსაც იყენებს, ქსელის ფილტრის წესებს და პაკეტებს, რომლებიც შეიძლება ჩაითვალოს ნედლეული სოკეტებით) . სისტემაში, სადაც Drovorub არის დაინსტალირებული, შეგიძლიათ იპოვოთ ბირთვის მოდული ფაილის დამალვის ბრძანების გაგზავნით:

შეხების სატესტო ფაილი
ექო „ASDFZXCV:hf:testfile“ > /dev/zero
ls

შექმნილი "testfile" ფაილი უხილავი ხდება.

გამოვლენის სხვა მეთოდები მოიცავს მეხსიერების და დისკის შინაარსის ანალიზს. ინფექციის თავიდან ასაცილებლად რეკომენდებულია ბირთვისა და მოდულების სავალდებულო ხელმოწერის გადამოწმების გამოყენება, რომელიც ხელმისაწვდომია Linux-ის ბირთვის 3.7 ვერსიიდან.

ანგარიში შეიცავს Snort-ის წესებს Drovorub-ის ქსელის აქტივობის დასადგენად და Yara-ს წესებს მისი კომპონენტების აღმოსაჩენად.

შეგახსენებთ, რომ 85-ე GTSSS GRU (სამხედრო ნაწილი 26165) დაკავშირებულია ჯგუფთან. APT28 (ლამაზი დათვი), პასუხისმგებელი მრავალი კიბერშეტევისთვის.

წყარო: opennet.ru