De Amerikaanse autoriteiten hebben Rusland vandaag beschuldigd van het gebruik van de Drovorub-malware om Linux-systemen mee te infecteren. In een gezamenlijke advisory geven de Amerikaanse opsporingsdienst FBI en geheime dienst NSA meer informatie over de malware, die door Rusland voor spionagedoeleinden zou worden ingezet (pdf).

Drovorub wordt omschreven als een "Linux malware toolset" die uit verschillende onderdelen bestaat, waaronder een rootkit, een module om bestanden mee te downloaden en uploaden en een portforwardingtool. Via de malware kunnen aanvallers op afstand met besmette systemen communiceren. Volgens de FBI en NSA wordt de malware gebruikt door een eenheid van de Russische inlichtingendienst GRU, die ook bekendstaat als Fancy Bear, Strontium of APT 28.

De advisory bevat allerlei informatie over de werking van de malware en hoe die op systemen is te detecteren. Zo zijn er verschillende Yara- en Snort-rules gegeven om de malware mee te vinden, alsmede allerlei kenmerken van een besmet systeem. De overheidsdiensten stellen dat detectie van Drovorub vanwege de rootkitmodule lastig kan zijn. Hoe de aanvallers in eerste instantie toegang tot een systeem weten te krijgen om de malware te installeren wordt niet in de advisory duidelijk gemaakt.

Om Linux-systemen te beschermen adviseren de FBI en NSA om naar Linux-kernel 3.7 of nieuwer te updaten. Vanaf deze versie is er ondersteuning toegevoegd voor het laden van digitaal gesigneerde kernelmodules. Daarnaast wordt aangeraden om SecureBoot in "full" of "thorough" mode in te stellen, aangezien ook dit het laden van kwaadaardige kernelmodules voorkomt. De Amerikaanse overheidsdiensten willen met de publicatie naar eigen zeggen het publiek voor de malware waarschuwen (pdf).