Разследвайки случаи, свързани с фишинг, ботнет мрежи, измамни транзакции и престъпни хакерски групи, експертите на Group-IB използват анализ на графики в продължение на много години, за да идентифицират различни видове връзки. Различните случаи имат свои собствени набори от данни, свои собствени алгоритми за идентифициране на връзки и интерфейси, пригодени за конкретни задачи. Всички тези инструменти бяха вътрешно разработени от Group-IB и бяха достъпни само за нашите служители.

Графичен анализ на мрежова инфраструктура (мрежова графика) стана първият вътрешен инструмент, който вградихме във всички публични продукти на компанията. Преди да създадем нашата мрежова графика, анализирахме много подобни разработки на пазара и не намерихме нито един продукт, който да задоволи собствените ни нужди. В тази статия ще говорим за това как създадохме мрежовата графика, как я използваме и какви трудности срещнахме.

Дмитрий Волков, CTO Group-IB и ръководител на киберразузнаването

Какво може да направи мрежовата графика на Group-IB?

Изследвания

От основаването на Group-IB през 2003 г. до момента, идентифицирането, деканирането и изправянето пред правосъдието на киберпрестъпниците е основен приоритет в нашата работа. Нито едно разследване на кибератаки не е завършено без анализ на мрежовата инфраструктура на нападателите. В самото начало на нашето пътуване беше доста усърдна „ръчна работа“ за търсене на връзки, които биха могли да помогнат при идентифицирането на престъпниците: информация за имена на домейни, IP адреси, цифрови отпечатъци на сървъри и т.н.

Повечето нападатели се опитват да действат възможно най-анонимно в мрежата. Въпреки това, както всички хора, те правят грешки. Основната цел на такъв анализ е да се намерят „бели“ или „сиви“ исторически проекти на нападатели, които имат пресечки със злонамерената инфраструктура, използвана в настоящия инцидент, който разследваме. Ако е възможно да се открият „бели проекти“, тогава намирането на нападателя като правило се превръща в тривиална задача. В случай на „сиви“ търсенето отнема повече време и усилия, тъй като собствениците им се опитват да анонимизират или скрият регистрационните данни, но шансовете остават доста високи. По правило в началото на престъпната си дейност нападателите обръщат по-малко внимание на собствената си безопасност и правят повече грешки, така че колкото по-дълбоко можем да се потопим в историята, толкова по-големи са шансовете за успешно разследване. Ето защо мрежовата графика с добра история е изключително важен елемент от такова разследване. Просто казано, колкото по-задълбочени исторически данни има една компания, толкова по-добра е нейната графика. Да кажем, че 5-годишната история може да помогне за разкриването, условно, на 1-2 от 10 престъпления, а 15-годишната история дава шанс за разкриването на всичките десет.

Откриване на фишинг и измами

Всеки път, когато получим подозрителна връзка към фишинг, измамнически или пиратски ресурс, ние автоматично изграждаме графика на свързани мрежови ресурси и проверяваме всички намерени хостове за подобно съдържание. Това ви позволява да намерите както стари фишинг сайтове, които са били активни, но непознати, така и напълно нови, които са подготвени за бъдещи атаки, но все още не се използват. Елементарен пример, който се среща доста често: открихме фишинг сайт на сървър със само 5 сайта. Проверявайки всеки от тях, откриваме фишинг съдържание на други сайтове, което означава, че можем да блокираме 5 вместо 1.

Търсене на задните части

Този процес е необходим, за да се определи къде всъщност се намира злонамереният сървър.
99% от магазините за карти, хакерските форуми, много фишинг ресурси и други злонамерени сървъри са скрити както зад техните собствени прокси сървъри, така и зад проксита на легитимни услуги, например Cloudflare. Познаването на истинския бекенд е много важно за разследванията: хостинг доставчикът, от който сървърът може да бъде конфискуван, става известен и става възможно изграждането на връзки с други злонамерени проекти.

Например, имате сайт за фишинг за събиране на данни за банкови карти, който разрешава IP адрес 11.11.11.11, и адрес на магазин за картички, който разрешава IP адрес 22.22.22.22. По време на анализа може да се окаже, че както сайтът за фишинг, така и магазинът за карти имат общ IP адрес на бекенда, например 33.33.33.33. Това знание ни позволява да изградим връзка между фишинг атаки и магазин за карти, където може да се продават данни от банкови карти.

Събитийна корелация

Когато имате два различни тригера (да кажем на IDS) с различен злонамерен софтуер и различни сървъри за контролиране на атаката, ще ги третирате като две независими събития. Но ако има добра връзка между злонамерените инфраструктури, тогава става очевидно, че това не са различни атаки, а етапи на една, по-сложна многоетапна атака. И ако едно от събитията вече е приписано на група нападатели, тогава второто също може да бъде приписано на същата група. Разбира се, процесът на приписване е много по-сложен, така че разглеждайте това като прост пример.

Обогатяване на индикатора

Няма да обръщаме много внимание на това, тъй като това е най-често срещаният сценарий за използване на графики в киберсигурността: давате един индикатор като вход, а като изход получавате масив от свързани индикатори.

Идентифициране на модели

Идентифицирането на модели е от съществено значение за ефективния лов. Графиките ви позволяват не само да намерите свързани елементи, но и да идентифицирате общи свойства, които са характерни за определена група хакери. Познаването на такива уникални характеристики ви позволява да разпознаете инфраструктурата на нападателя дори на етапа на подготовка и без доказателства, потвърждаващи атаката, като фишинг имейли или зловреден софтуер.

Защо създадохме собствена мрежова графика?

Отново разгледахме решения от различни доставчици, преди да стигнем до заключението, че трябва да разработим наш собствен инструмент, който може да направи нещо, което никой съществуващ продукт не може да направи. Създаването му отне няколко години, през които няколко пъти го променихме напълно. Но въпреки дългия период на разработка, все още не сме намерили нито един аналог, който да задоволи нашите изисквания. Използвайки нашия собствен продукт, в крайна сметка успяхме да разрешим почти всички проблеми, които открихме в съществуващите мрежови графики. По-долу ще разгледаме подробно тези проблеми:

проблем
Решение

Липса на доставчик с различни колекции от данни: домейни, пасивен DNS, пасивен SSL, DNS записи, отворени портове, работещи услуги на портове, файлове, взаимодействащи с имена на домейни и IP адреси. Обяснение. Обикновено доставчиците предоставят отделни типове данни и за да получите пълната картина, трябва да закупите абонаменти от всички. Въпреки това не винаги е възможно да се получат всички данни: някои доставчици на пасивни SSL предоставят данни само за сертификати, издадени от доверени сертифициращи органи, и тяхното покритие на самоподписани сертификати е изключително слабо. Други също предоставят данни, използвайки самоподписани сертификати, но ги събират само от стандартни портове.
Ние сами събрахме всички горепосочени колекции. Например, за да събираме данни за SSL сертификати, написахме наша собствена услуга, която ги събира както от надеждни CAs, така и чрез сканиране на цялото IPv4 пространство. Сертификатите бяха събрани не само от IP, но и от всички домейни и поддомейни от нашата база данни: ако имате домейна example.com и неговия поддомейн www.example.com и всички те се разрешават на IP 1.1.1.1, тогава, когато се опитате да получите SSL сертификат от порт 443 на IP, домейн и неговия поддомейн, можете да получите три различни резултата. За да съберем данни за отворени портове и работещи услуги, трябваше да създадем наша собствена разпределена система за сканиране, тъй като други услуги често имаха IP адресите на своите сървъри за сканиране в „черни списъци“. Нашите сървъри за сканиране също попадат в черни списъци, но резултатът от откриването на услугите, от които се нуждаем, е по-висок от този на тези, които просто сканират възможно най-много портове и продават достъп до тези данни.

Липса на достъп до цялата база данни с исторически записи. Обяснение. Всеки нормален доставчик има добра натрупана история, но по естествени причини ние, като клиент, не можахме да получим достъп до всички исторически данни. Тези. Можете да получите цялата история за един запис, например по домейн или IP адрес, но не можете да видите историята на всичко - и без това не можете да видите пълната картина.
За да съберем възможно най-много исторически записи за домейни, купихме различни бази данни, анализирахме много отворени ресурси, които имаха тази история (добре е, че имаше много от тях) и преговаряхме с регистратори на имена на домейни. Всички актуализации на нашите собствени колекции, разбира се, се съхраняват с пълна история на ревизиите.

Всички съществуващи решения ви позволяват да изградите графика ръчно. Обяснение. Да приемем, че сте закупили много абонаменти от всички възможни доставчици на данни (обикновено наричани „обогатители“). Когато трябва да изградите графика, вие „ръцете“ давате команда за изграждане от желания елемент на връзката, след това избирате необходимите от появилите се елементи и давате команда за завършване на връзките от тях и т.н. В този случай отговорността за това колко добре ще бъде изградена графиката е изцяло на човека.
Направихме автоматично изграждане на графики. Тези. ако трябва да изградите графика, тогава връзките от първия елемент се изграждат автоматично, а след това и от всички следващи. Специалистът само посочва дълбочината, на която трябва да се изгради графиката. Процесът на автоматично попълване на графики е прост, но други доставчици не го прилагат, защото произвежда огромен брой неуместни резултати и ние също трябваше да вземем предвид този недостатък (вижте по-долу).

Много неподходящи резултати са проблем с всички графики на мрежови елементи. Обяснение. Например „лош домейн“ (участвал в атака) е свързан със сървър, който има 10 други домейна, свързани с него през последните 500 години. При ръчно добавяне или автоматично конструиране на графика, всички тези 500 домейна също трябва да се появят на графиката, въпреки че не са свързани с атаката. Или, например, проверявате IP индикатора от доклада за сигурност на доставчика. Обикновено такива доклади се публикуват със значително закъснение и често обхващат година или повече. Най-вероятно по времето, когато четете доклада, сървърът с този IP адрес вече е нает на други хора с други връзки и изграждането на графика отново ще доведе до получаване на неуместни резултати.
Ние обучихме системата да идентифицира неподходящи елементи, използвайки същата логика, както нашите експерти направиха ръчно. Например, проверявате лош домейн example.com, който сега се разрешава на IP 11.11.11.11, а преди месец - на IP 22.22.22.22. В допълнение към домейна example.com, IP 11.11.11.11 също е свързан с example.ru, а IP 22.22.22.22 е свързан с 25 хиляди други домейна. Системата, подобно на човек, разбира, че 11.11.11.11 най-вероятно е специален сървър и тъй като домейнът example.ru е подобен на изписването на example.com, тогава с голяма вероятност те са свързани и трябва да бъдат на графика; но IP 22.22.22.22 принадлежи на споделен хостинг, така че не е необходимо всички негови домейни да бъдат включени в графиката, освен ако няма други връзки, показващи, че един от тези 25 хиляди домейна също трябва да бъде включен (например example.net) . Преди системата да разбере, че връзките трябва да бъдат прекъснати и някои елементи да не бъдат преместени в графиката, тя взема предвид много свойства на елементите и клъстерите, в които тези елементи са комбинирани, както и силата на текущите връзки. Например, ако имаме малък клъстер (50 елемента) на графиката, който включва лош домейн, и друг голям клъстер (5 хиляди елемента) и двата клъстера са свързани чрез връзка (линия) с много ниска сила (тегло) , тогава такава връзка ще бъде прекъсната и елементи от големия клъстер ще бъдат премахнати. Но ако има много връзки между малки и големи клъстери и тяхната сила постепенно се увеличава, тогава връзката няма да бъде прекъсната и необходимите елементи от двата клъстера ще останат на графиката.

Интервалът на собственост на сървъра и домейна не се взема предвид. Обяснение. „Лошите домейни“ рано или късно ще изтекат и ще бъдат закупени отново за злонамерени или законни цели. Дори бронираните хостинг сървъри се отдават под наем на различни хакери, така че е изключително важно да знаете и да вземете предвид интервала, когато даден домейн/сървър е бил под контрола на един собственик. Често срещаме ситуация, при която сървър с IP 11.11.11.11 сега се използва като C&C за банков бот, а преди 2 месеца беше контролиран от Ransomware. Ако изградим връзка, без да вземем предвид интервалите на собственост, ще изглежда, че има връзка между собствениците на банковия ботнет и рансъмуера, въпреки че всъщност няма такава. В нашата работа такава грешка е критична.
Научихме системата да определя интервалите на собственост. За домейни това е относително просто, тъй като whois често съдържа дати за начало и изтичане на регистрацията и когато има пълна история на промените whois, е лесно да се определят интервалите. Когато регистрацията на домейн не е изтекла, но управлението му е прехвърлено на други собственици, той също може да бъде проследен. При SSL сертификатите такъв проблем няма, тъй като те се издават еднократно и не се подновяват или прехвърлят. Но със самоподписаните сертификати не можете да се доверите на датите, посочени в периода на валидност на сертификата, тъй като можете да генерирате SSL сертификат днес и да посочите началната дата на сертификата от 2010 г. Най-трудно е да се определят интервалите на собственост на сървърите, защото само хостинг доставчиците имат дати и периоди за наемане. За да определим периода на собственост на сървъра, започнахме да използваме резултатите от сканирането на портове и създаването на пръстови отпечатъци на работещи услуги на портове. Използвайки тази информация, можем доста точно да кажем кога се е променил собственикът на сървъра.

Малко връзки. Обяснение. В днешно време дори не е проблем да получите безплатен списък с домейни, чийто whois съдържа конкретен имейл адрес, или да откриете всички домейни, които са били свързани с конкретен IP адрес. Но когато става въпрос за хакери, които правят всичко възможно да бъдат трудни за проследяване, имаме нужда от допълнителни трикове, за да намерим нови имоти и да изградим нови връзки.
Прекарахме много време в проучване как можем да извлечем данни, които не са налични по конвенционален начин. Не можем да опишем тук как работи по очевидни причини, но при определени обстоятелства хакерите, когато регистрират домейни или наемат и настройват сървъри, правят грешки, които им позволяват да открият имейл адреси, хакерски псевдоними и бекенд адреси. Колкото повече връзки извличате, толкова по-точни графики можете да изградите.

Как работи нашата графика

За да започнете да използвате мрежовата графика, трябва да въведете домейна, IP адреса, имейла или отпечатъка на SSL сертификата в лентата за търсене. Има три условия, които анализаторът може да контролира: време, дълбочина на стъпката и изчистване.

път

Време – дата или интервал, когато търсеният елемент е използван за злонамерени цели. Ако не посочите този параметър, системата сама ще определи последния интервал на собственост за този ресурс. Например на 11 юли Eset публикува докладва за това как Buhtrap използва 0-дневния експлойт за кибер шпионаж. В края на отчета има 6 индикатора. Една от тях, secure-telemetry[.]net, беше пререгистрирана на 16 юли. Следователно, ако изградите графика след 16 юли, ще получите неуместни резултати. Но ако посочите, че този домейн е бил използван преди тази дата, тогава графиката включва 126 нови домейна, 69 IP адреса, които не са изброени в отчета на Eset:

• ukrfreshnews[.]com
• unian-търсене[.]com
• vesti-world[.]инфо
• runewsmeta[.]com
• foxnewsmeta[.]биз
• sobesednik-meta[.]info
• rian-ua[.]net
• и др.

В допълнение към мрежовите индикатори, веднага откриваме връзки със злонамерени файлове, които са имали връзки с тази инфраструктура и тагове, които ни казват, че са използвани Meterpreter и AZORult.

Страхотното е, че получавате този резултат в рамките на една секунда и вече не е необходимо да прекарвате дни в анализиране на данните. Разбира се, този подход понякога значително намалява времето за разследване, което често е критично.

Броят на стъпките или дълбочината на рекурсия, с които ще бъде построена графиката

По подразбиране дълбочината е 3. Това означава, че всички директно свързани елементи ще бъдат намерени от желания елемент, след това ще бъдат изградени нови връзки от всеки нов елемент към други елементи и нови елементи ще бъдат създадени от новите елементи от последния стъпка.

Нека вземем пример, който не е свързан с APT и 0-дневни експлойти. Наскоро в Хабре беше описан интересен случай на измама, свързана с криптовалути. В доклада се споменава домейнът themcx[.]co, използван от измамници за хостване на уебсайт, който претендира да бъде обмен на монети за копачи и телефонно търсене[.]xyz за привличане на трафик.

От описанието става ясно, че схемата изисква доста голяма инфраструктура за привличане на трафик към измамни ресурси. Решихме да разгледаме тази инфраструктура, като изградим графика в 4 стъпки. Резултатът беше графика с 230 домейна и 39 IP адреса. След това разделяме домейните на 2 категории: такива, които са подобни на услуги за работа с криптовалути, и такива, които са предназначени да насочват трафик чрез услуги за потвърждение по телефона:

Свързани с криптовалута
Свързано с услуги за пробиване на телефони

монетар[.]cc
caller-record[.]сайт.

mcxwallet[.]co
телефонни записи [.] пространство

btcnoise[.]com
fone-разкривам[.]xyz

криптомайнер[.]гледайте
number-uncover[.]info

почистване

По подразбиране опцията „Почистване на графиката“ е активирана и всички неподходящи елементи ще бъдат премахнати от графиката. Между другото, той беше използван във всички предишни примери. Предвиждам един естествен въпрос: как можем да сме сигурни, че нещо важно няма да бъде изтрито? Ще отговоря: за анализатори, които обичат да изграждат графики на ръка, автоматизираното почистване може да бъде деактивирано и броят на стъпките може да бъде избран = 1. След това анализаторът ще може да завърши графиката от елементите, от които се нуждае, и да премахне елементи от графиката, които нямат отношение към задачата.

Вече на графиката историята на промените в whois, DNS, както и отворените портове и услугите, изпълнявани на тях, стават достъпни за анализатора.

Финансов фишинг

Разследвахме дейността на една APT група, която в продължение на няколко години извършваше фишинг атаки срещу клиенти на различни банки в различни региони. Характерна черта на тази група беше регистрацията на домейни, много подобни на имената на реални банки, а повечето фишинг сайтове бяха с еднакъв дизайн, като единствените разлики бяха в имената на банките и техните лога.

В този случай автоматизираният анализ на графиките ни помогна много. Вземайки един от техните домейни - lloydsbnk-uk[.]com, за няколко секунди построихме графика с дълбочина от 3 стъпки, която идентифицира повече от 250 злонамерени домейна, които са били използвани от тази група от 2015 г. и продължават да се използват . Някои от тези домейни вече са закупени от банки, но историческите записи показват, че преди това са били регистрирани на нападатели.

За по-голяма яснота фигурата показва графика с дълбочина 2 стъпки.

Трябва да се отбележи, че още през 2019 г. нападателите промениха донякъде тактиката си и започнаха да регистрират не само домейните на банките за хостване на уеб фишинг, но и домейните на различни консултантски компании за изпращане на фишинг имейли. Например домейните swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

Кобалтова банда

През декември 2018 г. хакерската група Cobalt, специализирана в целенасочени атаки срещу банки, изпрати пощенска кампания от името на Националната банка на Казахстан.

Писмата съдържаха връзки към hXXps://nationalbank.bz/Doc/Prikaz.doc. Изтегленият документ съдържа макрос, който стартира Powershell, който ще се опита да зареди и изпълни файла от hXXp://wateroilclub.com/file/dwm.exe в %Temp%einmrmdmy.exe. Файлът %Temp%einmrmdmy.exe, известен още като dwm.exe, е CobInt stager, конфигуриран да взаимодейства със сървъра hXXp://admvmsopp.com/rilruietguadvtoefmuy.

Представете си, че не можете да получавате тези фишинг имейли и да извършвате пълен анализ на злонамерените файлове. Графиката за злонамерения домейн nationalbank[.]bz веднага показва връзки с други злонамерени домейни, приписва го на група и показва кои файлове са използвани при атаката.

Нека вземем IP адреса 46.173.219[.]152 от тази графика и да изградим графика от него с едно преминаване и да изключим почистването. Има 40 домейна, свързани с него, например bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

Съдейки по имената на домейни, изглежда, че те се използват в измамни схеми, но алгоритъмът за почистване разбра, че не са свързани с тази атака и не ги постави на графиката, което значително опростява процеса на анализ и приписване.

Ако изградите отново графиката с помощта на nationalbank[.]bz, но дезактивирате алгоритъма за почистване на графика, тогава тя ще съдържа повече от 500 елемента, повечето от които нямат нищо общо с групата Cobalt или техните атаки. Пример за това как изглежда такава графика е даден по-долу:

Заключение

След няколко години фина настройка, тестване в реални разследвания, проучване на заплахи и лов на нападатели, успяхме не само да създадем уникален инструмент, но и да променим отношението на експертите в компанията към него. Първоначално техническите експерти искат пълен контрол върху процеса на изграждане на графиката. Беше изключително трудно да ги убедим, че автоматичното конструиране на графики може да направи това по-добре от човек с дългогодишен опит. Всичко беше решено от времето и многобройните „ръчни“ проверки на резултатите от това, което показва графиката. Сега нашите експерти не само се доверяват на системата, но и използват получените от нея резултати в ежедневната си работа. Тази технология работи във всяка от нашите системи и ни позволява по-добре да идентифицираме заплахи от всякакъв тип. Интерфейсът за ръчен графичен анализ е вграден във всички продукти на Group-IB и значително разширява възможностите за лов на киберпрестъпления. Това се потвърждава от прегледи на анализатори от наши клиенти. А ние от своя страна продължаваме да обогатяваме графиката с данни и да работим върху нови алгоритми, използвайки изкуствен интелект, за да създадем най-точната мрежова графика.

Източник: www.habr.com