Drovorub 악성 코드 복합체가 Linux OS를 감염시킵니다.

국가안보국과 미국 연방수사국 보고서를 발표했다, 이에 따르면 85번째 메인센터 특별서비스는 러시아군 참모총장 본부 (85 GCSS GRU) “Drovorub”이라는 악성 코드 복합체가 사용됩니다. Drovorub에는 Linux 커널 모듈 형태의 루트킷, 파일 전송 및 네트워크 포트 리디렉션 도구, 제어 서버가 포함되어 있습니다. 클라이언트 부분은 파일을 다운로드 및 업로드하고, 루트 사용자로 임의의 명령을 실행하고, 네트워크 포트를 다른 네트워크 노드로 리디렉션할 수 있습니다.

Drovorub 제어 센터는 명령줄 인수로 JSON 형식의 구성 파일 경로를 받습니다.

{
"db_호스트": " ",
"db_포트": " ",
"db_db": " ",
"db_user": " ",
"db_password": " ",

"l포트": " ",
"호스트": " ",
"핑_초": " ",

"priv_key_file": " ",
"구절" : " »
}

MySQL DBMS는 백엔드로 사용됩니다. WebSocket 프로토콜은 클라이언트를 연결하는 데 사용됩니다.

클라이언트에는 서버 URL, RSA 공개 키, 사용자 이름 및 비밀번호를 포함한 구성이 내장되어 있습니다. 루트킷을 설치한 후 구성은 JSON 형식의 텍스트 파일로 저장되며 Drovoruba 커널 모듈에 의해 시스템에서 숨겨집니다.

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"키": "Y2xpZW50a2V5"
}

여기서 "id"는 서버가 발행한 고유 식별자로, 마지막 48비트는 서버 네트워크 인터페이스의 MAC 주소에 해당합니다. 기본 "key" 매개변수는 초기 핸드셰이크 중에 서버에서 사용하는 base64로 인코딩된 문자열 "clientkey"입니다. 또한 구성 파일에는 숨겨진 파일, 모듈 및 네트워크 포트에 대한 정보가 포함될 수 있습니다.

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"키": "Y2xpZW50a2V5",
"모니터": {
"파일": [
{
"활성": "사실"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"마스크": "테스트파일1"
}
],
"모듈": [
{
"활성": "사실"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"마스크": "테스트모듈1"
}
],
"그물" : [
{
"활성": "사실"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"포트": "12345",
"프로토콜": "TCP"
}
] }
}

Drovorub의 또 다른 구성 요소는 에이전트이며, 해당 구성 파일에는 서버에 연결하기 위한 정보가 포함되어 있습니다.

{
"client_login": "user123",
"client_pass": "pass4567",
"클라이언트": "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file":"공개_키",
"서버_호스트": "192.168.57.100",
"서버_포트":"45122″,
"서버_우리":"/ws"
}

"clientid" 및 "clientkey_base64" 필드는 처음에는 누락되었으며 서버에 처음 등록한 후에 추가됩니다.

설치 후에는 다음 작업이 수행됩니다.

• 시스템 호출을 위한 후크를 등록하는 커널 모듈이 로드됩니다.
• 클라이언트는 커널 모듈에 등록합니다.
• 커널 모듈은 실행 중인 클라이언트 프로세스와 해당 실행 파일을 디스크에 숨깁니다.

/dev/zero와 같은 의사 장치는 클라이언트와 커널 모듈 간의 통신에 사용됩니다. 커널 모듈은 장치에 기록된 모든 데이터를 구문 분석하고 반대 방향으로 전송하기 위해 SIGUSR1 신호를 클라이언트에 보낸 후 동일한 장치에서 데이터를 읽습니다.

Lumberjack을 탐지하려면 NIDS를 사용하여 네트워크 트래픽 분석을 사용할 수 있습니다(커널 모듈은 사용하는 네트워크 소켓, netfilter 규칙 및 원시 소켓에서 가로챌 수 있는 패킷을 숨기므로 감염된 시스템 자체의 악의적인 네트워크 활동은 탐지할 수 없습니다). . Drovorub이 설치된 시스템에서 파일을 숨기는 명령을 보내 커널 모듈을 감지할 수 있습니다.

터치 테스트 파일
에코 "ASDFZXCV:hf:testfile" > /dev/zero
ls

생성된 "testfile" 파일은 보이지 않게 됩니다.

다른 탐지 방법으로는 메모리 및 디스크 내용 분석이 있습니다. 감염을 방지하려면 Linux 커널 버전 3.7부터 사용 가능한 커널 및 모듈의 필수 서명 확인을 사용하는 것이 좋습니다.

보고서에는 Drovorub의 네트워크 활동을 탐지하기 위한 Snort 규칙과 해당 구성 요소를 탐지하기 위한 Yara 규칙이 포함되어 있습니다.

85번째 GTSSS GRU(군부대 26165)가 그룹과 연관되어 있음을 기억합시다. APT28(팬시 베어), 수많은 사이버 공격을 담당합니다.

출처 : opennet.ru