Неописуемо привлекателно: как създадохме гърне с мед, което не може да бъде изложено

Антивирусните компании, експертите по информационна сигурност и просто ентусиастите поставят honeypot системи в интернет, за да „уловят“ нов вариант на вируса или да идентифицират необичайни хакерски тактики. Honeypots са толкова често срещани, че киберпрестъпниците са развили един вид имунитет: те бързо разпознават, че са пред капан и просто го игнорират. За да проучим тактиката на съвременните хакери, ние създадохме реалистичен honeypot, който живееше в интернет в продължение на седем месеца, привличайки различни атаки. Говорихме за това как се случи това в нашето проучване "Хванат в престъплението: Пускане на реалистична фабрика за мед за улавяне на реални заплахи" Някои факти от проучването са в тази публикация.

Разработка на Honeypot: контролен списък

Основната задача при създаването на нашия суперкапан беше да ни предпази от разобличаване от хакери, проявили интерес към него. Това изискваше много работа:

1. Създайте реалистична легенда за компанията, включително пълни имена и снимки на служители, телефонни номера и имейли.
2. Да измислим и внедрим модел на индустриална инфраструктура, който отговаря на легендата за дейността на нашата компания.
3. Решете кои мрежови услуги ще бъдат достъпни отвън, но не се увличайте с отварянето на уязвими портове, за да не изглежда като капан за нещастници.
4. Организирайте видимостта на изтичането на информация за уязвима система и разпространете тази информация сред потенциалните нападатели.
5. Внедрете дискретно наблюдение на хакерските дейности в инфраструктурата на honeypot.

А сега за всичко по ред.

Създаване на легенда

Киберпрестъпниците вече са свикнали да срещат много honeypots, така че най-напредналата част от тях провеждат задълбочено разследване на всяка уязвима система, за да се уверят, че не е капан. По същата причина ние се опитахме да гарантираме, че honeypot е не само реалистичен по отношение на дизайна и техническите аспекти, но и да създаде вид на истинска компания.

Поставяйки се на мястото на хипотетичен готин хакер, ние разработихме алгоритъм за проверка, който би разграничил истинска система от капан. Включваше търсене на фирмени IP адреси в системи за репутация, обратно проучване на историята на IP адресите, търсене на имена и ключови думи, свързани с компанията, както и нейните контрагенти, и много други неща. В резултат на това легендата се оказа доста убедителна и привлекателна.

Решихме да позиционираме фабриката за примамки като малък бутик за индустриални прототипи, работещ за много големи анонимни клиенти във военния и авиационния сегмент. Това ни освободи от правните усложнения, свързани с използването на съществуваща марка.

След това трябваше да измислим визия, мисия и име на организацията. Решихме нашата компания да бъде стартъп с малък брой служители, всеки от които е основател. Това добави достоверност към историята за специализирания характер на нашия бизнес, който му позволява да обработва чувствителни проекти за големи и важни клиенти. Искахме нашата компания да изглежда слаба от гледна точка на киберсигурността, но в същото време беше очевидно, че работим с важни активи върху целеви системи.

Екранна снимка на уебсайта на MeTech honeypot. Източник: Trend Micro

Избрахме думата MeTech за име на компанията. Сайтът е направен на базата на безплатен шаблон. Изображенията са взети от фотобанки, като са използвани най-непопулярните и са модифицирани, за да станат по-малко разпознаваеми.

Искахме компанията да изглежда истинска, затова трябваше да добавим служители с професионални умения, отговарящи на профила на дейността. Измислихме имена и личности за тях и след това се опитахме да подберем изображения от фото банки според етническата принадлежност.

Екранна снимка на уебсайта на MeTech honeypot. Източник: Trend Micro

За да не ни разкрият, потърсихме групови снимки с добро качество, от които да изберем нужните лица. След това обаче изоставихме тази опция, тъй като потенциален хакер може да използва обратно търсене на изображения и да открие, че нашите „служители“ живеят само във фотобанки. В крайна сметка използвахме снимки на несъществуващи хора, създадени с помощта на невронни мрежи.

Публикуваните на сайта профили на служители съдържаха важна информация за техните технически умения, но ние избягвахме да идентифицираме конкретни училища или градове.
За създаване на пощенски кутии използвахме сървър на хостинг доставчик, след което наехме няколко телефонни номера в САЩ и ги обединихме във виртуална телефонна централа с гласово меню и телефонен секретар.

Honeypot инфраструктура

За да избегнем излагането, решихме да използваме комбинация от реален индустриален хардуер, физически компютри и сигурни виртуални машини. Гледайки напред, ще кажем, че проверихме резултата от нашите усилия с помощта на търсачката Shodan и тя показа, че honeypot изглежда като истинска индустриална система.

Резултатът от сканиране на honeypot с Shodan. Източник: Trend Micro

Използвахме четири PLC като хардуер за нашия капан:

• Siemens S7-1200,
• два AllenBradley MicroLogix 1100,
• Omron CP1L.

Тези PLC бяха избрани заради тяхната популярност на световния пазар на системи за управление. И всеки от тези контролери използва свой собствен протокол, което ни позволи да проверим кои от PLC ще бъдат атакувани по-често и дали биха заинтересували някого по принцип.

Оборудване на нашия „фабричен“ капан. Източник: Trend Micro

Ние не просто инсталирахме хардуер и го свързахме с интернет. Програмирахме всеки контролер да изпълнява задачи, вкл

• смесване,
• управление на горелка и транспортна лента,
• палетизиране с помощта на роботизиран манипулатор.

И за да направим производствения процес реалистичен, ние програмирахме логика за произволна промяна на параметрите на обратната връзка, симулиране на стартиране и спиране на двигатели и включване и изключване на горелки.

Нашата фабрика имаше три виртуални компютъра и един физически. Виртуалните компютри бяха използвани за управление на завод, робот за палетизатор и като работна станция за софтуерен инженер на PLC. Физическият компютър работеше като файлов сървър.

В допълнение към наблюдението на атаки срещу PLC, ние искахме да наблюдаваме състоянието на програмите, заредени на нашите устройства. За да направим това, ние създадохме интерфейс, който ни позволи бързо да определим как са променени състоянията на нашите виртуални задвижващи механизми и инсталации. Още на етапа на планиране открихме, че е много по-лесно да приложим това с помощта на програма за управление, отколкото чрез директно програмиране на логиката на контролера. Отворихме достъп до интерфейса за управление на устройството на нашия honeypot чрез VNC без парола.

Индустриалните роботи са ключов компонент на съвременното интелигентно производство. В тази връзка решихме да добавим робот и автоматизирано работно място за управлението му към оборудването на нашата фабрика за капани. За да направим „фабриката“ по-реалистична, инсталирахме реален софтуер на контролната работна станция, който инженерите използват за графично програмиране на логиката на робота. Е, тъй като индустриалните роботи обикновено се намират в изолирана вътрешна мрежа, решихме да оставим незащитен достъп през VNC само до контролната работна станция.

Среда RobotStudio с 3D модел на нашия робот. Източник: Trend Micro

Инсталирахме програмната среда RobotStudio от ABB Robotics на виртуална машина с работна станция за управление на робота. След като конфигурирахме RobotStudio, отворихме симулационен файл с нашия робот в него, така че неговото 3D изображение да се вижда на екрана. В резултат на това Shodan и други търсачки, при откриване на незащитен VNC сървър, ще грабнат това изображение на екрана и ще го покажат на тези, които търсят промишлени роботи с отворен достъп за управление.

Смисълът на това внимание към детайла беше да се създаде привлекателна и реалистична цел за нападателите, които, след като я намерят, ще се връщат към нея отново и отново.

Работна станция на инженера

За да програмираме логиката на PLC, добавихме инженерен компютър към инфраструктурата. На него е инсталиран индустриален софтуер за програмиране на PLC:

• TIA портал за Siemens,
• MicroLogix за контролер Allen-Bradley,
• CX-One за Omron.

Решихме, че инженерното работно пространство няма да бъде достъпно извън мрежата. Вместо това задаваме същата парола за администраторския акаунт като на работната станция за управление на робота и работната станция за фабрично управление, достъпна от интернет. Тази конфигурация е доста често срещана в много компании.
За съжаление, въпреки всичките ни усилия, нито един нападател не достигна работната станция на инженера.

Файлов сървър

Имахме нужда от него като стръв за нападателите и като средство за подкрепа на собствената ни „работа“ във фабриката за примамки. Това ни позволи да споделяме файлове с нашия honeypot чрез USB устройства, без да оставяме следа в мрежата на honeypot. Инсталирахме Windows 7 Pro като ОС за файловия сървър, в който създадохме споделена папка, която може да се чете и пише от всеки.

Първоначално не създадохме никаква йерархия от папки и документи на файловия сървър. По-късно обаче открихме, че нападателите активно изучават тази папка, така че решихме да я напълним с различни файлове. За да направим това, написахме скрипт на python, който създаде файл с произволен размер с едно от дадените разширения, образувайки име въз основа на речника.

Скрипт за генериране на атрактивни имена на файлове. Източник: Trend Micro

След стартиране на скрипта получихме желания резултат под формата на папка, пълна с файлове с много интересни имена.

Резултатът от скрипта. Източник: Trend Micro

Мониторингова среда

След като похарчихме толкова много усилия за създаване на реалистична компания, ние просто не можехме да си позволим да се провалим в средата за наблюдение на нашите „посетители“. Трябваше да получим всички данни в реално време, без нападателите да разберат, че са наблюдавани.

Реализирахме това с помощта на четири USB към Ethernet адаптера, четири SharkTap Ethernet крана, Raspberry Pi 3 и голямо външно устройство. Нашата мрежова диаграма изглеждаше така:

Мрежова схема на Honeypot с оборудване за наблюдение. Източник: Trend Micro

Позиционирахме три крана SharkTap така, че да наблюдаваме целия външен трафик към PLC, достъпен само от вътрешната мрежа. Четвъртият SharkTap наблюдава трафика на гости на уязвима виртуална машина.

SharkTap Ethernet Tap и Sierra Wireless AirLink RV50 рутер. Източник: Trend Micro

Raspberry Pi извършва ежедневно улавяне на трафика. Свързахме се с интернет с помощта на клетъчен рутер Sierra Wireless AirLink RV50, често използван в индустриални предприятия.

За съжаление, този рутер не ни позволи да блокираме избирателно атаки, които не отговарят на нашите планове, така че добавихме защитна стена Cisco ASA 5505 към мрежата в прозрачен режим, за да извършим блокиране с минимално въздействие върху мрежата.

Анализ на трафика

Tshark и tcpdump са подходящи за бързо разрешаване на текущи проблеми, но в нашия случай техните възможности не бяха достатъчни, тъй като имахме много гигабайти трафик, които бяха анализирани от няколко души. Използвахме анализатора Moloch с отворен код, разработен от AOL. Той е сравним по функционалност с Wireshark, но има повече възможности за сътрудничество, описване и маркиране на пакети, експортиране и други задачи.

Тъй като не искахме да обработваме събраните данни на honeypot компютри, PCAP дъмповете се експортираха всеки ден в хранилището на AWS, откъдето вече ги импортирахме в машината Moloch.

Запис на екрана

За да документираме действията на хакерите в нашия honeypot, ние написахме скрипт, който правеше екранни снимки на виртуалната машина през даден интервал и, сравнявайки го с предишната екранна снимка, определяше дали нещо се случва там или не. Когато беше открита активност, скриптът включваше запис на екрана. Този подход се оказа най-ефективен. Също така се опитахме да анализираме VNC трафик от PCAP дъмп, за да разберем какви промени са настъпили в системата, но в крайна сметка записът на екрана, който внедрихме, се оказа по-прост и по-визуален.

Мониторинг на VNC сесии

За целта използвахме Chaosreader и VNCLogger. И двете помощни програми извличат натискания на клавиши от PCAP дъмп, но VNCLogger обработва клавиши като Backspace, Enter, Ctrl по-правилно.

VNCLogger има два недостатъка. Първо: той може да извлича ключове само като „слуша“ трафика на интерфейса, така че трябваше да симулираме VNC сесия за него с помощта на tcpreplay. Вторият недостатък на VNCLogger е общ с Chaosreader: и двата не показват съдържанието на клипборда. За да направя това, трябваше да използвам Wireshark.

Примамваме хакери

Създадохме honeypot, за да бъдем атакувани. За да постигнем това, организирахме изтичане на информация, за да привлечем вниманието на потенциални нападатели. Следните портове бяха отворени на honeypot:

RDP портът трябваше да бъде затворен малко след като стартирахме на живо, защото огромното количество сканиращ трафик в нашата мрежа причиняваше проблеми с производителността.
VNC терминалите първо работеха в режим само за преглед без парола, а след това „по погрешка“ ги превключихме в режим на пълен достъп.

За да привлечем нападатели, публикувахме две публикации с изтекла информация за наличната индустриална система в PasteBin.

Една от публикациите, публикувани в PasteBin за привличане на атаки. Източник: Trend Micro

атаки

Honeypot живя онлайн около седем месеца. Първата атака се случи месец след като honeypot влезе онлайн.

скенери

Имаше голям трафик от скенери на известни компании - ip-ip, Rapid, Shadow Server, Shodan, ZoomEye и други. Имаше толкова много от тях, че трябваше да изключим IP адресите им от анализа: 610 от 9452 или 6,45% от всички уникални IP адреси принадлежаха на напълно легитимни скенери.

измамници

Един от най-големите рискове, с които се сблъскваме, е използването на нашата система за престъпни цели: за закупуване на смартфони чрез абонатен акаунт, теглене на авиокомпанионни мили с помощта на карти за подаръци и други видове измами.

Миньори

Един от първите посетители на нашата система се оказа миньор. Той изтегли софтуера за копаене Monero върху него. Той не би могъл да спечели много пари от нашата конкретна система поради ниската производителност. Въпреки това, ако обединим усилията на няколко десетки или дори стотици такива системи, може да се получи доста добре.

Ransomware

По време на работата на honeypot два пъти се сблъскахме с истински ransomware вируси. В първия случай беше Crysis. Неговите оператори влизат в системата чрез VNC, но след това инсталират TeamViewer и го използват за извършване на допълнителни действия. След като изчакахме съобщение за изнудване, изискващо откуп от $10 6 в BTC, ние влязохме в кореспонденция с престъпниците, като ги помолихме да дешифрират един от файловете вместо нас. Те изпълниха искането и повториха искането за откуп. Успяхме да договорим до XNUMX хиляди долара, след което просто качихме отново системата на виртуална машина, тъй като получихме цялата необходима информация.

Вторият ransomware се оказа Phobos. Хакерът, който го инсталира, прекара един час в сърфиране във файловата система honeypot и сканиране на мрежата, след което най-накрая инсталира рансъмуера.
Третата ransomware атака се оказа фалшива. Неизвестен „хакер“ изтегли файла haha.bat в нашата система, след което го наблюдавахме известно време как се опитва да го накара да работи. Един от опитите беше да преименуваме haha.bat на haha.rnsmwr.

„Хакерът“ увеличава вредността на bat файла, като променя разширението му на .rnsmwr. Източник: Trend Micro

Когато пакетният файл най-накрая започна да се изпълнява, „хакерът“ го редактира, увеличавайки откупа от $200 на $750. След това той „криптира“ всички файлове, остави съобщение за изнудване на работния плот и изчезна, променяйки паролите на нашия VNC.

Няколко дни по-късно хакерът се върна и, за да си припомни, стартира пакетен файл, който отвори много прозорци с порно сайт. Очевидно по този начин той се е опитал да привлече вниманието към искането си.

Резултати от

По време на проучването се оказа, че веднага щом информацията за уязвимостта беше публикувана, honeypot привлече вниманието, като активността нараства с всеки изминал ден. За да привлече вниманието на капана, нашата фиктивна компания трябваше да претърпи множество пробиви в сигурността. За съжаление, тази ситуация далеч не е необичайна сред много реални компании, които нямат служители на пълен работен ден в областта на ИТ и информационната сигурност.

Като цяло организациите трябва да използват принципа на най-малко привилегии, докато ние прилагаме точно обратното на него, за да привлечем нападатели. И колкото по-дълго наблюдавахме атаките, толкова по-сложни ставаха те в сравнение със стандартните методи за тестване на проникване.

И най-важното, всички тези атаки биха се провалили, ако бяха приложени адекватни мерки за сигурност при настройването на мрежата. Организациите трябва да гарантират, че тяхното оборудване и индустриални инфраструктурни компоненти не са достъпни от интернет, както направихме специално в нашия капан.

Въпреки че не сме записали нито една атака срещу работна станция на инженер, въпреки използването на една и съща локална администраторска парола на всички компютри, тази практика трябва да се избягва, за да се сведе до минимум възможността от прониквания. В крайна сметка слабата сигурност служи като допълнителна покана за атака на индустриални системи, които отдавна представляват интерес за киберпрестъпниците.

Източник: www.habr.com