[ nkrgovic @ 13.08.2020. 22:09 ] @
NSA je objavila detalje o novom mallware-u za linux :

https://www.bleepingcomputer.c...vorub-malware-targeting-linux/

Deluje da je napravljen, da kazemo profesionalno. Custom kernel modul, uspesno inficira i boot (osim ako UEFI nije u punoj zastiti), komunicira kroz kriptovani websocket, poruke su json... Vrlo uredna i moderna aplikacija :)
[ mjanjic @ 13.08.2020. 22:33 ] @
Radi li na Elbrus procesorima :)
[ brainbuger @ 21.08.2020. 21:35 ] @
Koliko vidim, gadja samo starije verzije kernela ispod 3.7?

https://media.defense.gov/2020...SSIAN_GRU_MALWARE_AUG_2020.PDF

Citat:

To prevent a system from being susceptible to Drovorub’s hiding and persistence, system administrators
should update to Linux Kernel 3.7 or later in order to take full advantage of kernel signing enforcement.


Ako mi je kernel noviji tipa 4.4.x cenim da sam ok. Treba li neko dodatno podešavanje/ blokiranje kernel modula koji se učitavaju ili slično? Jel još neko istraživao?


[ Living Light @ 21.08.2020. 22:06 ] @
Brainbuger,..
ubices nas :-)

Ako BOGA znades, izbegni to!
[ brainbuger @ 22.08.2020. 01:29 ] @
Citat:
Living Light: Brainbuger,..
ubices nas :-)

Ako BOGA znades, izbegni to!


Izvini ne kapiram kako vas ubijam? Šta radim? :)
[ Branimir Maksimovic @ 22.08.2020. 02:01 ] @
A bre ljudi rootkitovi postoje od kad je sveta i veka, ovo je jedino posebno po tome sto je iz ruske kuhinje ;)
[ nkrgovic @ 22.08.2020. 16:24 ] @
Posebno je po kvalitetu rada, uradjen je vrlo moderno i profesionalno. Nije prvi visoko-kvalitetan mallware, ali se vidi veliki napredak, ovo je na nivou onoga sto ima u Vault7....
[ brainbuger @ 25.08.2020. 02:30 ] @
@nkrgovic, naravno, vidi se da iza stoji profi ekipa, verovatno i russian gov, nije sporno.

Ali kad već teramo mak na konac, nije mi jasno ovo :)

Citat:

Therefore, all traffic sent from a Drovorub-server to a Drovorub-client or Drovorub-agent will be readable
as plaintext JSON messages.


WTF? plaintext!?
[ nkrgovic @ 25.08.2020. 09:19 ] @
Plaintext, da. Postoji enkripcija na transportnom layer-u, tj. na nivou sesije. Data unutar sesije nije (jos jednom) kriptovana.