Drovorub मालवेअर कॉम्प्लेक्स Linux OS ला संक्रमित करते

राष्ट्रीय सुरक्षा एजन्सी आणि यूएस फेडरल ब्युरो ऑफ इन्व्हेस्टिगेशन एक अहवाल प्रकाशित केला, त्यानुसार विशेष सेवेचे 85 वे मुख्य केंद्र रशियन सशस्त्र दलाच्या जनरल स्टाफचे मुख्य संचालनालय (85 GCSS GRU) “Drovorub” नावाचे मालवेअर कॉम्प्लेक्स वापरले जाते. ड्रॉवरबमध्ये लिनक्स कर्नल मॉड्यूलच्या स्वरूपात रूटकिट, फाइल्स ट्रान्सफर करण्यासाठी आणि नेटवर्क पोर्ट्स पुनर्निर्देशित करण्यासाठी एक साधन आणि कंट्रोल सर्व्हर समाविष्ट आहे. क्लायंट भाग फायली डाउनलोड आणि अपलोड करू शकतो, रूट वापरकर्ता म्हणून अनियंत्रित आदेश कार्यान्वित करू शकतो आणि नेटवर्क पोर्ट्स इतर नेटवर्क नोड्सवर पुनर्निर्देशित करू शकतो.

ड्रॉवरब कंट्रोल सेंटरला कमांड लाइन आर्ग्युमेंट म्हणून JSON फॉरमॅटमध्ये कॉन्फिगरेशन फाइलचा मार्ग प्राप्त होतो:

{
"db_host" : " ",
"db_port" : " ",
"db_db" : " ",
"db_user" : " ",
"db_password" : " ",

"lport" : " ",
"lhost" : " ",
"ping_sec" : " ",

"priv_key_file" : " ",
"वाक्यांश" : " »
}

MySQL DBMS बॅकएंड म्हणून वापरला जातो. WebSocket प्रोटोकॉल क्लायंट कनेक्ट करण्यासाठी वापरले जाते.

क्लायंटकडे अंगभूत कॉन्फिगरेशन आहे, त्यात सर्व्हर URL, त्याची RSA सार्वजनिक की, वापरकर्तानाव आणि पासवर्ड समाविष्ट आहे. रूटकिट स्थापित केल्यानंतर, कॉन्फिगरेशन जेएसओएन फॉरमॅटमध्ये मजकूर फाइल म्हणून सेव्ह केले जाते, जे ड्रोवोरुबा कर्नल मॉड्यूलद्वारे सिस्टमपासून लपवले जाते:

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"की": "Y2xpZW50a2V5"
}

येथे "आयडी" हा सर्व्हरद्वारे जारी केलेला एक अद्वितीय ओळखकर्ता आहे, ज्यामध्ये शेवटचे 48 बिट्स सर्व्हरच्या नेटवर्क इंटरफेसच्या MAC पत्त्याशी संबंधित आहेत. डीफॉल्ट "की" पॅरामीटर ही बेस64 एन्कोड केलेली स्ट्रिंग "क्लायंटकी" आहे जी सुरुवातीच्या हँडशेक दरम्यान सर्व्हरद्वारे वापरली जाते. याव्यतिरिक्त, कॉन्फिगरेशन फाइलमध्ये लपविलेल्या फाइल्स, मॉड्यूल्स आणि नेटवर्क पोर्ट्सबद्दल माहिती असू शकते:

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"key": "Y2xpZW50a2V5",
"मॉनिटर" : {
"फाइल" : [
{
"सक्रिय" : "सत्य"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"मास्क" : "testfile1"
}
],
"मॉड्यूल" : [
{
"सक्रिय" : "सत्य"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"मास्क" : "testmodule1"
}
],
"नेट" : [
{
"सक्रिय" : "सत्य"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"पोर्ट" : "१२३४५",
"प्रोटोकॉल" : "टीसीपी"
}
] }
}

ड्रोवरबचा आणखी एक घटक म्हणजे एजंट; त्याच्या कॉन्फिगरेशन फाइलमध्ये सर्व्हरशी कनेक्ट करण्यासाठी माहिती असते:

{
"client_login" : "user123",
"क्लायंट_पास" : "पास४५६७",
"क्लायंट" : "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file" :"सार्वजनिक_की",
"server_host" : "192.168.57.100",
"server_port" :"45122″,
"server_uri" :"/ws"
}

“clientid” आणि “clientkey_base64” फील्ड सुरुवातीला गहाळ आहेत; ते सर्व्हरवर प्रारंभिक नोंदणीनंतर जोडले जातात.

स्थापनेनंतर, खालील ऑपरेशन्स केल्या जातात:

• कर्नल मॉड्यूल लोड केले आहे, जे सिस्टम कॉलसाठी हुकची नोंदणी करते;
• क्लायंट कर्नल मॉड्यूलसह ​​नोंदणी करतो;
• कर्नल मॉड्यूल रनिंग क्लायंट प्रक्रिया आणि डिस्कवरील त्याची एक्झिक्यूटेबल फाइल लपवते.

एक छद्म-डिव्हाइस, उदाहरणार्थ /dev/zero, क्लायंट आणि कर्नल मॉड्यूल दरम्यान संवाद साधण्यासाठी वापरले जाते. कर्नल मॉड्यूल डिव्हाइसवर लिहिलेल्या सर्व डेटाचे विश्लेषण करते आणि उलट दिशेने प्रसारित करण्यासाठी ते क्लायंटला SIGUSR1 सिग्नल पाठवते, त्यानंतर ते त्याच डिव्हाइसवरून डेटा वाचते.

Lumberjack शोधण्यासाठी, तुम्ही NIDS वापरून नेटवर्क रहदारी विश्लेषण वापरू शकता (संक्रमित प्रणालीमधील दुर्भावनापूर्ण नेटवर्क क्रियाकलाप स्वतःच शोधता येत नाही, कारण कर्नल मॉड्यूल ते वापरत असलेले नेटवर्क सॉकेट लपवते, नेटफिल्टरचे नियम आणि पॅकेट्स जे कच्च्या सॉकेट्सद्वारे रोखले जाऊ शकतात) . ज्या सिस्टीमवर Drovorub स्थापित केले आहे, तेथे तुम्ही कर्नल मॉड्यूल फाईल लपवण्यासाठी कमांड पाठवून शोधू शकता:

चाचणी फाइलला स्पर्श करा
इको “ASDFZXCV:hf:testfile” > /dev/zero
ls

तयार केलेली "testfile" फाइल अदृश्य होते.

इतर शोध पद्धतींमध्ये मेमरी आणि डिस्क सामग्री विश्लेषण समाविष्ट आहे. संसर्ग टाळण्यासाठी, लिनक्स कर्नल आवृत्ती 3.7 पासून उपलब्ध असलेल्या कर्नल आणि मॉड्यूल्सचे अनिवार्य स्वाक्षरी सत्यापन वापरण्याची शिफारस केली जाते.

अहवालात ड्रॉवरबची नेटवर्क क्रियाकलाप शोधण्यासाठी स्नॉर्ट नियम आणि त्याचे घटक शोधण्यासाठी यारा नियम आहेत.

आम्हाला आठवू द्या की 85 वी GTSSS GRU (लष्करी युनिट 26165) या गटाशी संबंधित आहे. APT28 (फॅन्सी बेअर), असंख्य सायबर हल्ल्यांसाठी जबाबदार.

स्त्रोत: opennet.ru