NSA a FBI upozorňují na linuxový malware Drovorub

Národní bezpečnostní agentura (NSA) a Federální úřad pro vyšetřování (FBI) upozorňují na linuxový malware Drovorub. Odpovědi na nejčastěji kladené dotazy ve FAQ. Detaily v pětačtyřicetistránkové analýze.

14.8.2020 09:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[NUKE GAZA! 🎆]

To prevent attacks, the agency recommends that US organizations update any Linux system to a version running kernel version 3.7 or later

hele :O :O 3.7 je už jakoby hrozně moc starej kernel ne?? :O :O

[Bedňa]

Jako kde.

Linux ubuntu-phablet 3.4.0-Sultan-CAF #1 SMP PREEMPT Fri May 8 04:10:06 CEST 2020 armv7l armv7l armv7l GNU/Linux

V Android telefóne mám 3.10.49.

[Grétin fanda]

Gréto, si to ty? Oh, a aby se neřeklo že nekomentuji k článku - Ačkoli nemám šmírovací agentury jako NSA rád, tohle je jedna z činností kterou kvituji (upozorňovaní na malware).

[johny555]

No ona si NSA takhle vyřizuje účty s konkurencí.

[NUKE GAZA! 🎆]

to neni možný :O :O to přece jako nemuže jít tak děsně snadno poznat ne?? :O :O :D :D

jo a aby se neřkelo že nemluvim k věci tak nsa jenom jakoby sleduje nějakej svuj děsně tajnej zájem a že z toho máme něco i my je uplně vedlejší :O :/

[Cabrón]

To není kvůli nějaké zranitelnosti. V 3.7 bylo začleněno podepisování modulů, což trochu zkomplikuje instalaci modulu třetí strany, včetně tohoto rootkitu. Pokud máš novej kernel ale moduly nepodepisuješ, tak ti to agent Stokurev nainstaluje i do 5.8.x

Je to rootkit, nešíří se to samo. IMO když už získá někdo cizí root přístup do mýho stroje (aby to mohl nainstalovat), tak je to už prohraný a je v podstatě jedno co tam udělá, jestli nasadí super rootkit nebo si jen někam přidá svůj ssh klíč.

[Petr Ježek]

Už ani ten název Putinova malware neumí správně transponovat z azbuky do latinky. Nějak nám ta NSA upadá...jako celé USA...

[Monika Kokešová]

Chybí mi tam srovnání s americkými mallwary. Který je lepší? Jaké jsou HW nároky? Srovnání funkcionalit a licencí.

Přijde mi to hrozně jednostranné. Burgeři nadávají na ušanky a naopak, ale nějaké objektivní srovnání nikde.

[mica]

Přesně tak. Člověk potom neví, který si má pořídit.

[JiK]

ja uz jsem si pro jistototu nainstaloval oba tri, burgera, usanku, i geneticky modifikovaneho netopyra...

[k3dAR]

lepsi je ten americkej, nemaji k nemu pristup z ruska a NSA ho instaluje radeji vsem navstevnikum USA potom co si pro jistotu zaroven vsechna data uzivatele stahne a ulozi na 75let

[vandrovnik]

Není pro nás líné někde zmínka, jak se to může dostat do systému?

[Jendа]

Dal jsem tomu 3 minuty a nedokázal jsem zjistit, jak se šíří. To by mělo být v jakémkoli reportu o malware hned na začátku, ne? Takhle to vypadá, že to je rootkit/backdoor, který umožňuje těžko odhalitelnou persistenci na již kompromitovaném systému - ten ale musí být předem kompromitován nějakým jiným způsobem. Jak se to liší od jiných rootkitů?

[Peter Golis]

Nepotrebuješ spustiť štandardnú trojkombináciu (./configure; make; make install).

Ozaj, už nsa vydala tomu zdrojáky pod gnu/gpl?

[petr_p]

Nijak se to nešíří. Je to C&C agent, který žije v prostoru jádra a svoji přítomnost maskuje. Nic víc.

Než popis protokolu, kterým komunikuje se serverem a kterému zpráva věnuje většinu prostoru, by mě zajímalo, na jaká jádra cílí. Přepisovat interní funkce jádra za běhu není bezchybný proces a vyžaduje dobrou znalost napadeného systému. Taková informace by byla mnohem zajímavější, protože by ukázala opravdovou míru ohrožení a vyspělosti softwaru. (Například by se mohlo ukázat, že funguje jen s distribučním jádrem na RHEL 6.3 pro x86_64 s vypnutým secure bootem.)

[k3dAR]

za 5minut sem nezjistil vice, ale vypadata ze se siri tak, ze predas utocnikovi stroj s odemcenym LUKS, prihlasenym uzivatelem a otevrenym terminalem s zadanym "sudo bash", pak pockas nez to nainstaluje a vratit ti to zpatky

[trekker.dk]

Takže je to ruský malware, co se šíří během americké celní kontroly? No jo, outsourcing je všude

[Petr Ježek]

Drevorub by znělo uvěřitelně rusky, Drovorub zní jako nepovedený podvrh.

[Bherzet]

Nebo to prostě pojmenovali podle ukrajinského obrazu.

[Petr Ježek]

Když to tvrdí NSA, tak to na sebe přeci neřekne.