insane-forensics/drovorub-huntEin Werkzeug zur Unterstützung der netzwerkbasierten Jagd nach GRU's Drovorub Malware C2
Kürzlich veröffentlichten die National Security Agency und das Federal Bureau of Investigation einen Bericht, der die Command-and-Control-Fähigkeiten des russischen Hauptnachrichtendienstes des Generalstabs (GRU) 85. Hauptspezialdienstzentrum (GTsSS), Militäreinheit 26265, beschreibt, die zur Beeinflussung der US-Präsidentschaftswahl 2016 eingesetzt wurden. Während dieser Bericht technische Details zu den Malware-Technologien enthielt, stellte er kein netzwerktaugliches Tool für die netzwerkbasierte Bedrohungsjagd bereit. Heute stellt Insane Forensics ein kostenloses Open-Source-Tool zur Verfügung, das die skalierte Netzwerkerkennung und -reaktion für die Drovorub-Malware des GRU mit Elasticsearch und Kibana unterstützt. Das bereitgestellte Tool arbeitet mit vorhandenen Netzwerkerfassungen (pcap-Dateien) und unterstützt auch den Live-Erfassungsmodus.
Haftungsausschluss: Wir haben dieses Tool ausschließlich auf der Grundlage der NSA/FBI-Berichtsdaten erstellt. Wir hatten keine tatsächlichen Malware-Beispiele oder Paketerfassungen. Wenn Sie Beispiele/Netzwerkerfassungen haben oder dieses Tool mit echten Daten validieren können, nehmen Sie bitte Kontakt mit uns auf.
Diese Anweisungen dienen nur zu Informationszwecken. Verstehen Sie die für Ihre Umgebung erforderlichen Abweichungen, bevor Sie fortfahren
pip install -r requirements.txtpython3 create_elk_index.py https://<elk ip>:9200 drovorub_test -elk_un <elk username> -elk_pw <elk password> verwendet.python3 drovorubhunt.py <elk ip> drovorub_test -elk_un <username> -elk_pw <password> -pcap <pcap file>python3 drovorubhunt.py <elk ip> drovorub_test -elk_un <username> -elk_pw <password> -live <interface>python3 drovorubhunt.py <elk ip> drovorub_test -elk_un <username> -elk_pw <password> -test. Wenn Sie Testdaten verwenden, stellen Sie sicher, dass der Zeitfenster auf 2016 zurückgesetzt wird, da die Beispieldaten aus diesem Zeitstempel stammen. Die Testdaten-Payload stammt aus den Screenshots des NSA/FBI-Berichts.Das bereitgestellte Dashboard ermöglicht primäre Jagd- und Reaktionstechniken, die das Command-and-Control (C2) von Drovorub abdecken. Drovorub C2 verwendet das WebSockets-Protokoll gemäß RFC 6455. Alle WebSocket-Kommunikationen erscheinen in den Quell-, Ziel- und Netzwerkprotokollbereichen des bereitgestellten Dashboards. Wir haben uns für diese Designentscheidung entschieden, um eine breitere Perspektive auf mögliche unbekannte oder nicht dekodierte WebSocket-Kommunikationen über die im Bericht beschriebenen bekannten Kommunikationsformate hinaus zu ermöglichen.
Als Netzwerkanalyst sollten Sie versuchen, den Unterschied zwischen gesunden und abnormalen WebSocket-Kommunikationen in Ihrer Umgebung zu verstehen. Der innerste Ring der Quell- und Zielbereiche zeigt die MAC-Adressen der kommunizierenden Assets. Der mittlere Kreis zeigt IP-Adressen und der äußere Ring den Port. Für den Netzwerkprotokollbereich zeigt der innere Ring das Transportprotokoll, während der äußere Ring die Anwendungsprotokolle anzeigt. Sie können pivotieren, indem Sie auf einen beliebigen Ringwert oder die Werte auf der rechten Seite klicken.
Der Bereich mit dem Titel 'Drovorub Session Tracking' ermöglicht es Ihnen, zwischen Sitzungs-IDs zu pivotieren, die in Drovorub C2-Sitzungen vorhanden sind. Dieser Bereich kann auch anzeigen, wie viele Sitzungen in Ihrer Umgebung und auf einem einzelnen Host aktiv sind. Der innere Ring repräsentiert die Ziel-ID, der mittlere Ring die Quell-ID und der äußere Ring die Sitzungs-ID. Im gezeigten Dashboard sehen wir eine Sitzung zwischen zwei Drovorub-kommunizierenden Assets.
Die Modul- und Aktionsbereiche ermöglichen es Ihnen, nach dem beobachteten Drovorub-Modul oder den beobachteten Aktionen zu pivotieren. Jeder Bereich stellt eine Wortwolke der gewichteten Anzahl jedes gesehenen Moduls oder jeder Aktion dar. Sie können auf ein bestimmtes Modul pivotieren, indem Sie einfach darauf klicken. Durch Klicken wird ein Kibana-Filter auf das gesamte Dashboard angewendet. Im folgenden Bild zeigt der aktive Filter den Datenverkehr des Drovorub-Shell-Moduls. Wir können schnell den Datenverkehr des Shell-Moduls zwischen zwei Hosts mit einer Root-Level-Befehlszeilenaufforderung im Datenfeld sehen.
Der Rest des Dashboards zeigt einige Parameter für verschiedene Module und Aktionen an. Die Bereiche für die lokale Tunnelverbindung und die entfernte Tunnelverbindung oben zeigen Tunnelinformationen, die vom Tunnelmodul von Drovorub verwendet werden.
Die Felder für lokalen und entfernten Pfad zeigen Informationen darüber, welche Dateien angefordert wurden und wohin die Dateien verschoben wurden. In diesem Fall wurde die Datei /etc/passwd nach /tmp/passwd verschoben.
Wenn Sie dieses Tool nützlich finden, Hilfe benötigen oder einen Beitrag leisten möchten, lassen Sie es uns bitte wissen! Sie erreichen uns auf unserer Website oder auf LinkedIn.