🥇Невероятно привлекателен: как създадохме хани пот, който не може да бъде разкрит

Антивирусни компании, експерти по киберсигурност и просто ентусиасти публикуват системи за примамка в интернет — хонипоти, за да „уловят на живец“ нова разновидност вирус или да разкрият необичайна хакерска тактика. Хонипотите се срещат толкова често, че киберпрестъпниците развиват нещо като имунитет: бързо разпознават, че са попаднали на капан и просто го игнорират. За да изследваме тактиката на съвременните хакери, създадохме реалистичен хонипот, който в продължение на седем месеца съществуваше в интернет, привличайки най-различни атаки. За това как стана, разказваме в нашето изследване „Заловен на място: Как да управляваш реалистичен хонипот за улов на реални заплахи“. Някои факти от изследването — в този пост.

Разработка на хонипот: контролен списък

Основната задача при създаването на нашия супер капан беше да не позволим на хакерите, проявили интерес, да ни разобличат. За това се наложи да извършим сериозна работа:

Да създадем реалистична легенда за компанията, включваща имена и снимки на служители, телефонни номера и имейли.
Да измислим и реализираме модел на индустриална инфраструктура, съвпадаща с легендата за дейността на нашата компания.
Да решим кои мрежови услуги да бъдат достъпни навън, но без да прекаляваме с отварянето на уязвими портове, за да не изглежда това като капан за наивници.
Да организираме видимост на изтичане на информация относно уязвимата система и да разпространим тези сведения сред потенциални нападатели.
Да реализираме незабелязано наблюдение на действията на хакерите в инфраструктурата на капана.

А сега за всичко по ред.

Създаваме легенда

Киберпрестъпниците вече са свикнали с наличието на множеството хонипоти, затова най-прогресивната им част провежда дълбочинно проучване на всяка уязвима система, за да се увери, че не е капан. По същата причина ние се стремяхме да постигнем не само реализъм на хонипота по отношение на дизайна и техническите аспекти, но и да създадем видимост на истинска компания.

Поставя себе на мястото на хипотетичен кулхакер, разработихме алгоритъм за проверка, който би отличил реалната система от капан. Той включваше търсене на IP адреси на компанията в репутационни системи, реверсивно изследване на историята на IP адресите, търсене на имена и ключови думи, свързани с компанията, както и нейните контрагенти и много други неща. В крайна сметка легендата стана напълно убедителна и привлекателна.

Решихме да позиционираме фабриката-капан като малък бутиков производител на индустриални прототипи, работещ за много големи анонимни клиенти от военния и авиационния сектор. Това ни избавяше от юридически усложнения, свързани с използването на съществуващ бранд.

След това ни трябваше да измислим визия, мисия и име на организацията. Решихме, че нашата компания ще бъде стартъп с малък брой служители, всеки от които е учредител. Това добавяше убедителност на легендата за специализацията на нашия бизнес, която му позволява да работи с деликатни проекти за големи и важни клиенти. Искахме нашата компания да изглежда слаба от гледна точка на киберсигурността, но в същото време да е очевидно, че работим с важни активи в целевите системи.

Скриншот на сайта на ханипота MeTech. Източник: Trend Micro

Като име на компанията избрахме думата MeTech. Сайтът направихме на база на безплатен шаблон. Снимките взехме от фотобанкове, използвайки най-малко популярни изображения и ги доработихме, за да ги направим по-малко разпознаваеми.

Искахме компанията да изглежда реална, затова трябваше да добавим в нея служители с професионални умения, съответстващи на профила на дейността. Придумвахме имена и личности за тях и след това се опитахме да изберем изображения от фотобанкове, съответстващи на етническия произход.

Скриншот на сайта на ханипота MeTech. Източник: Trend Micro

За да не бъдем разкрити, търсихме групови снимки с добро качество, от които можехме да изберем нужните лица. Въпреки това впоследствие се отказахме от този вариант, тъй като потенциалният хакер можеше да използва реверсно търсене на изображения и да открие, че нашите "служители" живеят само в фотобанкове. В крайна сметка, използвахме фотографии на несъществуващи хора, създадени с помощта на невронни мрежи.

Профилите на служителите, публикувани на сайта, съдържаха важна информация за техните технически умения, но избягвахме да посочваме конкретни учебни заведения и градове.
За създаването на имейл кутии използвахме сървъра на хостинг доставчика и след това наехме няколко телефонни номера в САЩ, които обединихме в виртуална АТС с гласово меню и автоприемник.

Инфраструктура на хани-пот

За да избегнем разкрития, решихме да използваме комбинация от истинско индустриално оборудване, физически компютри и защитени виртуални машини. Предварително споделяме, че резултатите от нашите усилия проверихме с търсачката Shodan, която показа, че хани-потът изглежда като истинска индустриална система.

Резултат от сканирането на хани-пота с помощта на Shodan. Източник: Trend Micro

Като 'желязо' за нашата капан използвахме четири PLC:

Siemens S7-1200,
два AllenBradley MicroLogix 1100,
Omron CP1L.

Тези PLC бяха избрани заради тяхната популярност на световния пазар на системи за управление. Освен това всеки от тези контролери използва свой протокол, което ни позволи да проверим кой от PLC ще бъде атакуван по-често и дали ще представлява интерес за някого изобщо.

Оборудването на нашата 'фабрика'-капана. Източник: Trend Micro

Ние не просто поставихме устройства и ги свързахме в интернет. Всеки контролер бе програмиран за изпълнение на задачи, сред които бяха

разбъркване,
управление на горелка и конвейерна лента,
палетизиране с помощта на роботизирана ръка.

И за да бъде производственият процес реалистичен, програмирахме логика за случайна промяна на параметрите за обратна връзка, имитицация на стартиране и спиране на двигатели, включване и изключване на горелката.

В нашата фабрика имаше три виртуални компютъра и един физически. Виртуалките се използваха за управление на завода, робот-палетайзер и като работно място на инженера-програмист PLC. Физическият компютър функционираше като файл-сървър.

Освен наблюдението над атаките на PLC, искахме да следим за състоянието на програмите, заредени на нашите устройства. За целта създадохме интерфейс, който позволяваше бързо да определим как са изменени състоянията на нашите виртуални изпълнителни механизми и настройки. Вече на етапа на планиране установихме, че е много по-лесно да реализираме това чрез управляваща програма, отколкото чрез непосредствено програмиране на логиката на контролера. До интерфейса за управление на устройства на нашия хани-пот осигурихме достъп чрез VNC без парола.

Индустриалните роботи са ключов компонент на съвременното умно производство. С оглед на това решихме да добавим робот и АРМ за управление в състава на оборудването на нашата фабрика-ловушка. За да направим „фабриката“ по-реалистична, на АРМ за управление инсталирахме истински софтуер, който инженерите използват за графично програмиране на логиката на робота. Понеже индустриалните роботи обикновено се намират в изолирана вътрешна мрежа, решихме да оставим незащитен достъп по VNC само до АРМ за управление.

Средата RobotStudio с 3D-модел на нашия робот. Източник: Trend Micro

На виртуалната машина с АРМ за управление на робота инсталирахме среда за програмиране RobotStudio от ABB Robotics. Настройвайки RobotStudio, отворихме в него файл за симулация с нашия робот, така че 3D-изображението му да бъде видимо на екрана. В резултат на това, Shodan и другите търсачки, откривайки незащитен VNC-сървър, ще получат това изображение от екрана и ще го покажат на тези, които търсят индустриални роботи с отворен достъп до управлението.

Смисълът на такова внимание към детайлите беше да се създаде привлекателна и максимално реалистична цел за злонамерени лица, които, откривайки я, да се връщат отново и отново.

АРМ инженера

За програмирането на логиката на PLC добавихме инженерен компютър в инфраструктурата. На него инсталирахме индустриален софтуер за програмиране на PLC:

TIA Portal за Siemens,
MicroLogix за контролера Allen-Bradley,
CX-One за Omron.

Решихме, че инженерното работно място няма да бъде достъпно извън мрежата. Вместо това наложихме същата парола за администраторския акаунт, която използваме за интернет достъпните АРМ за управление на робота и АРМ за управление на фабриката. Тази конфигурация е сравнително разпространена в много компании.
За съжаление, въпреки усилията ни, нито един атакуващ не успя да достигне ДОС на инженера.

Файлов сървър

Той ни беше необходим като примамка за злонамерени лица и като средство за архивиране на нашите собствени "работи" в фабриката-ловушка. Това ни позволи да обменяме файлове с нашия ханипот чрез USB устройствата, без да оставяме следи в мрежата на ловушката. За ОС на файловия сървър инсталирахме Windows 7 Pro, в която създадохме споделена папка, достъпна за четене и запис от всеки.

Поначало не създадохме никаква йерархия от папки и документи на файловия сървър. Впоследствие обаче стана ясно, че атакуващите активно изучават тази папка, затова решихме да я запълним с различни файлове. За целта написахме python скрипт, който създава файл с произволен размер с едно от зададените разширения, генерирайки име на базата на речник.

Скрипт за генериране на привлекателни имена на файлове. Източник: Trend Micro

След стартиране на скрипта получихме желан резултат под формата на папка, изпълнена с файлове с много интересни имена.

Резултат от работата на скрипта. Източник: Trend Micro

Среда за мониторинг

След като вложихме толкова усилия в създаването на реалистична компания, просто не можехме да позволим да провалим средата за мониторинг на нашите "посетители". Трябваше да получаваме всички данни в реално време по начин, по който атакуващите да не забелязват, че ги наблюдаваме.

Реализирахме това с помощта на четири USB-Ethernet адаптера, четири Ethernet конектора SharkTap, Raspberry Pi 3 и голям външен диск. Схемата на нашата мрежа изглеждаше така:

Схема на мрежата на ханипота с оборудване за мониторинг. Източник: Trend Micro

Трите SharkTap адаптера разположихме така, че да следим целия външен трафик към ПЛС, достъпни само от вътрешната мрежа. Четвъртият SharkTap следеше трафика на гостите на уязвимата виртуалка.

Ethernet конектор SharkTap и рутер Sierra Wireless AirLink RV50. Източник: Trend Micro

Raspberry Pi извършваше ежедневно улавяне на трафик. Свързването с интернет организирахме чрез мобилния рутер Sierra Wireless AirLink RV50, често използван в индустриални предприятия.

За съжаление, този рутер не позволяваше целенасочено блокиране на атаки, несъответстващи на нашите планове, затова добавихме в мрежата защитна стена Cisco ASA 5505 в прозрачен режим, за да извършваме блокировки с минимално влияние върху мрежата.

Анализ на трафика

Tshark и tcpdump са подходящи за бързо решаване на текущи проблеми, но в нашия случай техните възможности не бяха достатъчни, тъй като имахме много гигабайти трафик, анализа на който извършваха няколко човека. Използвахме open-source анализатор Moloch, разработен от AOL. По функционалност той е сравним с Wireshark, но предлага повече възможности за сътрудничество, описания и етикетиране на пакети, експорт и други задачи.

Тъй като не искахме да обработваме събраните данни на компютрите на ханипота, PCAP дамповете се експортираха ежедневно в хранилище AWS, от което след това ги импортирахме на машина с Moloch.

Запис на екрана

За да документираме действията на хакерите в нашия ханиipot, написахме скрипт, който на зададен интервал правеше скрийншоти на виртуалната машина и, сравнявайки с предишния скрийншот, определяше дали има активност. При откритие на активност скриптът стартираше запис на екрана. Този подход се оказа най-ефективен. Опитвахме се също да анализираме VNC трафик от PCAP дампа, за да разберем какви промени са настъпили в системата, но в крайна сметка реализираният от нас запис на екрана се оказа по-лесен и очевиден.

Мониторинг на VNC сесии

За това използвахме Chaosreader и VNCLogger. И двете утилити извлекоха натисканията на клавиши от PCAP дампа, но VNCLogger се справя по-добре с клавишите тип Backspace, Enter, Ctrl.

VNCLogger има два недостатъка. Първият: тя може да извлича клавиши само като "слуша" трафика на интерфейса, затова ни се наложи да симулираме VNC сесия за нея с помощта на tcpreplay. Вторият недостатък на VNCLogger е общ с Chaosreader: и двете не показват съдържанието на клипборда. Затова се наложи да използваме Wireshark.

Примамваме хакери

Създадохме хани пот, за да бъде атакуван. За да постигнем това, инсценировахме изтичане на информация, което да привлече вниманието на потенциални хакери. На хани пота бяха отворени следните портове:

Портът RDP трябваше да бъде затворен скоро след началото на работата, защото заради огромното количество сканиращ трафик в нашата мрежа възникнаха проблеми с производителността.
VNC терминалите първоначално работеха в режим "само за преглед" без парола, а след това "по грешка" ги превключихме в режим на пълен достъп.

За да привлечем атакуващите, публикувахме два поста с "изтекла" информация за налична промишлена система в PasteBin.

Един от постовете, публикувани в PasteBin за привличане на атаки. Източник: Trend Micro

Атаки

Хани потът беше онлайн около седем месеца. Първата атака се случи месец след пускането на хани пота онлайн.

Сканери

Имаше много трафик от скенери на известни компании — ip-ip, Rapid, Shadow Server, Shodan, ZoomEye и други. Бяха толкова много, че трябваше да ги изключим IP адреси от анализа: 610 от 9452 или 6,45% от всички уникални IP адреси принадлежаха на напълно легитимни скенери.

Мошеници

Един от най-големите рискове, с които трябваше да се справим, е използването на нашата система за престъпни цели: за закупуване на смартфони през абонатен акаунт, за кеширане на мили от авиокомпании с подаръчни карти и други видове измами.

Копачи

Един от първите посетители на нашата система се оказа копач. Той качи софтуер за копаене на Monero на нея. Не би могъл да спечели много на нашата конкретна система заради ниската производителност. Въпреки това, ако обедини усилията на десетки или дори стотици подобни системи, можеше да се получи доста прилично.

Изнудвачи

По време на работата на ханипота се сблъскахме два пъти с истински вируси-рекетьори. В първия случай това беше Crysis. Неговите оператори влязоха в системата чрез VNC, но след това инсталираха TeamViewer и с негова помощ извършиха следващите действия. Изчакахме съобщение за изнудване с искане за откуп от 10 хиляди долара в BTC, след което влязохме в кореспонденция с престъпниците, молейки ги да ни дешифрират един от файловете. Те изпълниха молбата и повториха искането за откуп. Успяхме да се споразумеем до 6 хиляди долара, след което просто преинсталирахме системата на виртуалка, тъй като получихме цялата необходима информация.

Вторият рекетьор се оказа Phobos. Хакерът, който го инсталира, прегледа файловата система на ханипота и сканира мрежата в рамките на час, след което все пак инсталира рекетьора.
Третата атака на рекетьора се оказа фалшива. Неизвестен „хакер“ изтегли на нашата система файл haha.bat, след което известно време наблюдавахме как опитва да го накара да работи. Една от опитите беше преименуването на haha.bat в haha.rnsmwr.

„Хакерът“ увеличава зловредността на bat-файла, сменяйки разширението му на .rnsmwr. Източник: Trend Micro

Когато батникът най-накрая започна да се стартира, „хакерът“ го редактира, увеличавайки откупа от 200 на 750 долара. След това той „шафира“ всички файлове, остави на работния плот изнудваческо съобщение и изчезна, сменяйки паролите на нашия VNC.

След няколко дни хакерът се върна и, за да ни напомни за себе си, стартира батника, който отваряше много прозорци с порносайт. Явно по този начин се опитваше да привлече вниманието към своето искане.

Итог

По време на изследването установихме, че веднага след публикуването на информацията за уязвимостта, ханипотът привлече внимание, като активността нарастваше ден след ден. За да привлече внимание към капана, трябваше да допуснем множество нарушения на сигурността на нашата фиктивна компания. За съжаление, такава ситуация е далеч от рядкост сред много реални компании, които нямат наети ИТ и ИБ специалисти.

Общото правило е, че организациите трябва да прилагат принципа на най-малките привилегии, докато ние приложихме пълна противоположност, за да привлечем злонамерени актьори. И с течение на времето, в което наблюдавахме атаките, те станаха все по-изобретателни в сравнение със стандартните методи за тестове за проникване.

И най-важното: всички тези атаки биха се провалили, ако бяха предприети адекватни мерки за сигурност при настройката на мрежата. Организациите трябва да следят, за да не бъдат оборудването и компонентите на промишлената инфраструктура достъпни от интернет, както ние направихме специално в нашата примамка.

Въпреки че не регистрирахме нито една атака на АРМ инженера, независимо от използването на едно и също локално административно парола на всички компютри, е важно да се избягва такава практика, за да се минимизира възможността за нахлуване. Налице е слаба сигурност, която е допълнителна покана за атака на промишлени системи, които вече отдавна привлекат вниманието на киберпрестъпниците.

Източник: habr.com