Drovorub: FBI und NSA warnen vor russischem Linux-Rootkit

17.08.2020

Anbieter zum Thema

Die NSA und das FBI warnen in einem gemeinsamen Bericht vor einer bislang unbekannten russischen Malware. Das als Drovorub bezeichnete Rootkit soll sich tief in Linux-Systemen einnisten, um heimlich Netzwerke zu infiltrieren, Informationen abzugreifen oder Befehle auf der Infrastruktur auszuführen.

Linux gilt gemeinhin als sicheres Betriebssystem. Nun aber warnen FBI und NSA explizit von einem auf Linux-Systeme abzielenden Rootkit, dass direkt mit russischen Hackern in Verbindung gebracht wird.
(Bild: gemeinfrei / Pixabay)

FBI und NSA warnen in einem gemeinsam veröffentlichten, öffentlichen Bericht (PDF) vor einer bisher nicht bekannten Linux-Schadsoftware. Das Drovorub genannte Rootkit soll in erster Linie von der berüchtigten russischen Hackertruppe APT28, auch als Fancy Bear oder Strontium bekannt, genutzt werden, um damit linux-basierte Systeme zu infiltrieren.

Direkter Zusammenhang zwischen Hackingtool und Geheimdienst etabliert

Erstmals bringen die US-Sicherheitsbehörden damit ein Hacker-Tool direkt mit einer spezifischen Abteilung des russischen Geheimdiensts in Verbindung. dem 85. Haupt-Sonderdienstzentrum (GTsSS), Militäreinheit 26165. Das GTsSS sei dabei mit denselben Hackern verbunden, die 2016 in das Demokratische Nationalkomitee eingebrochen seien, geben NSA und FBI in ihrem gemeinsamen Bericht an.

Die Hackergruppe APT28 wird dem russischen Militärgeheimdienst GRU zugeordnet und soll unter anderem auch für die Hackerangriffe auf den deutschen Bundestag verantwortlich sein. Das Tool wird von FBI und NSA auch mit den konzentrierten Angriffen auf IoT-Geräte im ersten Halbjahr 2019 in Verbindung gebracht.

Ein Multitool des Linux-Hackings

Der Name Drovorub bedeutet wortwörtlich übersetzt Holzfäller. Da im russischen Sprachraum der Begriff Drovo auch häufig als Bezeichnung für (Kernel-)Treiber verwendet wird, dürfte in diesem Zusammenhang Drovorub wortwörtlich für "Treiber-Hacker" stehen. "Drovorub ist ein 'Schweizer Taschenmesser' mit Fähigkeiten, die es dem Angreifer erlauben, viele verschiedene Funktionen auszuführen, wie zum Beispiel Dateien zu stehlen und den Computer des Opfers fernzusteuern", gibt Steve Grobman, CTO der Cybersicherheitsfirma McAfee, zur Auskunft.

Wie unter anderem Golem.de meldet, setzt sich die Malware aus einem Client und einem Kernelmodul zusammen, die von der Hackergruppe auf den betroffenen Linux-Systemen installiert werden. Das Kernelmodul dient dabei als Rootkit, das sich tief im Betriebssystem einnistet, um unerkannt zu bleiben und Persistenz zu erlangen. Es kann nur schwer wieder entfernt werden, läuft mit uneingeschränkten Root-Rechten und lässt die Hackergruppe das Linuxsystem vollständig kontrollieren. Ist die Malware erst einmal etabliert, können über einen Agenten die gestohlenen Informationen oder Steuerungsbefehle zwischen dem Client und den Command-and-Control-Servern der Hackergruppe ausgetauscht werden.