美國國家安全局 (NSA) 和聯邦調查局 (FBI) 的聯合資安警報,警告說俄羅斯間諜正在使用新型惡意軟體入侵 Linux 作業系統…

美國國家安全局 (NSA) 和聯邦調查局 (FBI) 在 8月 13日發布的聯合資安警報,警告說俄羅斯間諜正在使用新型惡意軟體入侵 Linux 作業系統。

美國國家安全局和聯邦調查局表示,這是一個初次公佈的惡意軟體“ Drovorub”,據了解該惡意軟體是由與俄羅斯軍隊相關的國家贊助駭客組織 APT 28,又稱為 Fancy Bear 所部署的,而 APT 28 隸屬於俄羅斯總參謀部情報總局 (GRU) 第 85 主要主要特勤中心。

在一份長達 45頁的詳細報告中,這些機構指責駭客將 Drovorub 作為俄羅斯間諜活動的一部分,並提供了檢測和減輕感染的建議。

Drovorub 可讓國家贊助的駭客開展各種活動,例如竊取文件、建立後門訪問權限、遠端控制目標電腦。Drovorub 惡意軟體實作了一種先進的偵測躲避技術,它利用進階的 “rootkit” 功能躲避偵測。

惡意軟體的客戶端可以直接與威脅參與者的 C2 基礎結構通信,具有文件上傳/下載功能,具有 “root” 特權的用戶可以執行任意命令,並且可以將網路流量轉發到網路上的其他電腦。

一張含有 螢幕擷取畫面 的圖片

自動產生的描述

根據該報告,rootkit 非常成功的隱藏在受感染的電腦上,並且可以在重新啟動後保留下來,除非在 UEFI 啟動時選用 “Full boot” 或 “Thorough boot” 模式下以安全啟動。

報告描述了每個 Drovorub 元件的技術細節,這些元件透過 WebSockets 以 JSON 格式相互通信,並使用 RSA 算法對往返於伺服器的流量進行加密。

美國國家安全局和聯邦調查局建議組織將任何 Linux 系統更新為核心版本 3.7 或更高的版本,以避免受 Drovorub 惡意軟體的 rootkit 感染。

該聯合警報建議運行記憶體取證,探測文件隱藏行為,同時包含 snort 規則和 Yara 規則以檢測威脅。

專家還建議,網路邊界的封包數據檢測可用於發現網路上的 Drovorub 惡意軟體,而基於主機的威脅檢測方法包括掃瞄、資安產品、即時回應、記憶體分析和媒體(磁碟映像)分析,專家還建議系統擁有者使用有效且已簽章的模組進行登入。

欲了解更多關於 Drovorub 惡意軟體的相關情資,可至 OTX 社群:

https://otx.alienvault.com/pulse/5f3581cc4138be1d82c183b8

Source:https://media.defense.gov/2020/Aug/13/2002476465/-1/-1/0/CSA_DROVORUB_RUSSIAN_GRU_MALWARE_AUG_2020.PDF

竣盟科技官網:

https://www.billows.com.tw/