ड्रोवरब मालवेयर कम्प्लेक्सले लिनक्स ओएसलाई संक्रमित गर्छ

राष्ट्रिय सुरक्षा एजेन्सी र अमेरिकी फेडरल ब्यूरो अफ इन्भेस्टिगेशन प्रतिवेदन प्रकाशित गरेको छजस अनुसार ८५ औं मुख्य सेवा केन्द्र हो रूसी सशस्त्र सेना को जनरल स्टाफ को मुख्य निर्देशनालय (85 GCSS GRU) "Drovorub" भनिने मालवेयर कम्प्लेक्स प्रयोग गरिन्छ। Drovorub ले लिनक्स कर्नेल मोड्युलको रूपमा रूटकिट समावेश गर्दछ, फाइलहरू स्थानान्तरण गर्न र नेटवर्क पोर्टहरू पुन: निर्देशित गर्ने उपकरण, र नियन्त्रण सर्भर। क्लाइन्ट भागले फाइलहरू डाउनलोड र अपलोड गर्न सक्छ, रूट प्रयोगकर्ताको रूपमा मनमानी आदेशहरू कार्यान्वयन गर्न सक्छ, र नेटवर्क पोर्टहरूलाई अन्य नेटवर्क नोडहरूमा रिडिरेक्ट गर्न सक्छ।

Drovorub नियन्त्रण केन्द्रले JSON ढाँचामा कन्फिगरेसन फाइलको लागि कमाण्ड लाइन तर्कको रूपमा मार्ग प्राप्त गर्दछ:

{
"db_host" : " ",
"db_port" : " ",
"db_db" : " ",
"db_user" : " ",
"db_password" : " ",

"lport" : " ",
"lhost" : " ",
"ping_sec" : " ",

"priv_key_file" : " ",
"वाक्यांश" : " »
}

MySQL DBMS ब्याकइन्डको रूपमा प्रयोग गरिन्छ। WebSocket प्रोटोकल क्लाइन्टहरू जडान गर्न प्रयोग गरिन्छ।

क्लाइन्टसँग सर्भर URL, यसको RSA सार्वजनिक कुञ्जी, प्रयोगकर्ता नाम र पासवर्ड सहित निर्मित कन्फिगरेसन छ। रूटकिट स्थापना गरेपछि, कन्फिगरेसनलाई JSON ढाँचामा पाठ फाइलको रूपमा बचत गरिन्छ, जुन Drovoruba कर्नेल मोड्युलद्वारा प्रणालीबाट लुकाइएको छ:

{
«id» : «cbcf6abc-466b-11e9-853b-000c29cb9f6f»,
"key": "Y2xpZW50a2V5"
}

यहाँ "आईडी" सर्भरद्वारा जारी गरिएको एक अद्वितीय पहिचानकर्ता हो, जसमा अन्तिम ४८ बिटहरू सर्भरको नेटवर्क इन्टरफेसको MAC ठेगानासँग मेल खान्छ। पूर्वनिर्धारित "कुञ्जी" प्यारामिटर एक base48 इन्कोड गरिएको स्ट्रिङ "क्लायन्टकी" हो जुन प्रारम्भिक ह्यान्डशेकको समयमा सर्भरद्वारा प्रयोग गरिन्छ। थप रूपमा, कन्फिगरेसन फाइलले लुकेका फाइलहरू, मोड्युलहरू र नेटवर्क पोर्टहरूको बारेमा जानकारी समावेश गर्न सक्छ:

{
«id» : «6fa41616-aff1-11ea-acd5-000c29283bbc»,
"key": "Y2xpZW50a2V5",
"मोनिटर" : {
"फाइल" : [
{
"सक्रिय" : "सत्य"
«id» : «d9dc492b-5a32-8e5f-0724-845aa13fff98»,
"mask" : "testfile1"
}
],
"मोड्युल" : [
{
"सक्रिय" : "सत्य"
«id» : «48a5e9d0-74c7-cc17-2966-0ea17a1d997a»,
"mask" : "testmodule1"
}
],
"नेट" : [
{
"सक्रिय" : "सत्य"
«id» : «4f355d5d-9753-76c7-161e-7ef051654a2b»,
"पोर्ट" : "१२३४५",
"प्रोटोकल" : "tcp"
}
] }
}

Drovorub को अर्को घटक एजेन्ट हो; यसको कन्फिगरेसन फाइलले सर्भरमा जडानको लागि जानकारी समावेश गर्दछ:

{
"client_login" : "user123",
"client_pass" : "pass4567",
"clientid" : "e391847c-bae7-11ea-b4bc-000c29130b71",
«clientkey_base64» : «Y2xpZW50a2V5»,
"pub_key_file" :"सार्वजनिक_कुञ्जी",
"server_host" : "192.168.57.100",
"server_port" :"45122″,
"server_uri" :"/ws"
}

फिल्डहरू "clientid" र "clientkey_base64" सुरुमा हराइरहेका छन्; तिनीहरू सर्भरमा प्रारम्भिक दर्ता पछि थपिएका छन्।

स्थापना पछि, निम्न कार्यहरू प्रदर्शन गरिन्छ:

• कर्नेल मोड्युल लोड गरिएको छ, जसले प्रणाली कलहरूको लागि हुकहरू दर्ता गर्दछ;
• ग्राहकले कर्नेल मोड्युलसँग दर्ता गर्दछ;
• कर्नेल मोड्युलले चलिरहेको क्लाइन्ट प्रक्रिया र डिस्कमा यसको कार्यान्वयनयोग्य फाइल लुकाउँछ।

एक छद्म उपकरण, उदाहरणका लागि /dev/zero, ग्राहक र कर्नेल मोड्युल बीच सञ्चार गर्न प्रयोग गरिन्छ। कर्नेल मोड्युलले यन्त्रमा लेखिएका सबै डेटालाई पार्स गर्छ, र विपरीत दिशामा प्रसारणको लागि यसले ग्राहकलाई SIGUSR1 सिग्नल पठाउँछ, जस पछि यसले उही यन्त्रबाट डेटा पढ्छ।

Lumberjack पत्ता लगाउन, तपाईंले NIDS प्रयोग गरेर नेटवर्क ट्राफिक विश्लेषण प्रयोग गर्न सक्नुहुन्छ (संक्रमित प्रणालीमा नै खराब नेटवर्क गतिविधि पत्ता लगाउन सकिँदैन, किनकि कर्नेल मोड्युलले नेटवर्क सकेटहरू लुकाउँछ, नेटफिल्टर नियमहरू, र कच्चा सकेटहरूद्वारा अवरोध गर्न सकिने प्याकेटहरू)। । Drovorub स्थापना भएको प्रणालीमा, तपाईंले फाइल लुकाउन आदेश पठाएर कर्नेल मोड्युल पत्ता लगाउन सक्नुहुन्छ:

टच परीक्षण फाइल
इको "ASDFZXCV:hf:testfile" > /dev/zero
ls

सिर्जना गरिएको "testfile" फाइल अदृश्य हुन्छ।

अन्य पत्ता लगाउने विधिहरूमा मेमोरी र डिस्क सामग्री विश्लेषण समावेश छ। संक्रमण रोक्नको लागि, लिनक्स कर्नेल संस्करण 3.7 बाट उपलब्ध हुने कर्नेल र मोड्युलहरूको अनिवार्य हस्ताक्षर प्रमाणीकरण प्रयोग गर्न सिफारिस गरिन्छ।

रिपोर्टमा ड्रोवरबको सञ्जाल गतिविधि पत्ता लगाउनको लागि स्नोर्ट नियमहरू र यसको कम्पोनेन्टहरू पत्ता लगाउन यारा नियमहरू समावेश छन्।

हामीलाई याद गरौं कि 85 औं GTSSS GRU (सैन्य इकाई 26165) समूहसँग सम्बन्धित छ। APT28 (फ्यान्सी भालु), धेरै साइबर आक्रमणहरूको लागि जिम्मेवार।

स्रोत: opennet.ru