Unbeschreiblich anziehend: wie wir einen Honeypot erschufen, der nicht enttarnt werden kann

Antivirus-Unternehmen, IT-Sicherheitsexperten und einfach Enthusiasten stellen im Internet Honeypot-Systeme auf, um neue Virusvarianten zu entdecken oder ungewöhnliche Hacker-Taktiken aufzudecken. Honeypots sind so häufig anzutreffen, dass Cyberkriminelle eine Art Immunität entwickelt haben: Sie erkennen schnell, dass es sich um eine Falle handelt und ignorieren sie einfach. Um die Taktiken moderner Hacker zu erforschen, haben wir einen realistischen Honeypot geschaffen, der über sieben Monate hinweg im Internet lebte und die unterschiedlichsten Angriffe anzog. In unserer Studie "Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats" haben wir darüber berichtet. Einige Fakten aus der Studie finden Sie in diesem Beitrag.

Entwicklung des Honeypots: Checkliste

Das Hauptziel bei der Erstellung unserer Superfalle war es, nicht von Hackern enttarnt zu werden, die Interesse daran zeigten. Dazu war es notwendig, umfangreiche Vorarbeiten zu leisten:

1. Eine realistische Legende über das Unternehmen zu schaffen, die Namen, Fotos der Mitarbeiter, Telefonnummern und E-Mail-Adressen umfasst.
2. Entwickeln und implementieren Sie ein industrielles Infrastrukturmodell, das der Legende über die Aktivitäten unseres Unternehmens entspricht.
3. Bestimmen Sie, welche Netzwerkdienste von außen verfügbar sein werden, ohne dabei risikobehaftete Ports zu öffnen, um nicht wie eine Falle für Dummköpfe zu wirken.
4. Organisieren Sie die Sichtbarkeit eines Datenlecks über ein anfälliges System und verbreiten Sie diese Informationen unter potenziellen Angreifern.
5. Implementieren Sie eine unauffällige Überwachung des Verhaltens von Hackern innerhalb der Falle.

Und jetzt der Reihe nach.

Wir erstellen eine Legende

Cyberkriminelle sind bereits an die Vielzahl von Honeypots gewöhnt, weshalb die fortgeschrittensten unter ihnen jede anfällige System gründlich untersuchen, um sicherzustellen, dass es sich nicht um eine Falle handelt. Aus diesem Grund strebten wir nicht nur nach der Realitätsnähe des Honeypots hinsichtlich Design und technischer Aspekte, sondern wollten auch den Anschein einer realen Firma erwecken.

Indem wir uns in die Lage eines hypothetischen Hackers versetzten, entwickelten wir einen Prüfalgorithmus, der es ermöglichen würde, ein echtes System von einer Falle zu unterscheiden. Dieser umfasste die Suche nach Unternehmens-IP-Adressen in Reputationssystemen, die Rückverfolgung der IP-Adressen-Historie, die Suche nach Namen und Keywords, die mit dem Unternehmen sowie dessen Partnern und vielen anderen Aspekten in Verbindung stehen. Letztendlich war die Legende durchaus überzeugend und ansprechend.

Wir entschieden uns, die Falle als eine kleine Boutique für industrielles Prototyping zu positionieren, die für sehr große, anonyme Kunden aus dem militärischen und Luftfahrtsektor arbeitet. Dies befreite uns von rechtlichen Schwierigkeiten, die mit der Verwendung einer bestehenden Marke verbunden sind.

Als nächstes mussten wir eine Vision, Mission und den Namen der Organisation entwickeln. Wir entschieden, dass unser Unternehmen ein Start-up mit einer kleinen Anzahl von Mitarbeitern sein würde, von denen jeder Mitgründer ist. Dies verlieh der Legende über die Spezialisierung unseres Unternehmens Glaubwürdigkeit, da wir mit sensiblen Projekten für große und wichtige Auftraggeber arbeiten können. Wir wollten, dass unser Unternehmen in Bezug auf Cybersicherheit schwach aussieht, es jedoch offensichtlich ist, dass wir mit wichtigen Vermögenswerten in den Zielsystemen arbeiten.

Screenshot der Honeypot-Website MeTech. Quelle: Trend Micro

Als Firmennamen wählten wir das Wort MeTech. Die Website wurde auf der Grundlage einer kostenlosen Vorlage erstellt. Die Bilder wurden aus Bilddatenbanken entnommen, wobei wir die am wenigsten beliebten ausgewählt und bearbeitet haben, um sie weniger erkennbar zu machen.

Wir wollten, dass das Unternehmen realistisch wirkt, daher mussten wir Mitarbeiter mit professionellen Fähigkeiten hinzufügen, die dem Tätigkeitsprofil entsprechen. Wir haben ihnen Namen und Persönlichkeiten gegeben und dann versucht, Bilder aus Bilddatenbanken auszuwählen, die zu ihrer ethnischen Zugehörigkeit passen.

Screenshot der Honeypot-Website MeTech. Quelle: Trend Micro

Um nicht enttarnt zu werden, suchten wir nach Gruppenfotos in guter Qualität, aus denen wir die benötigten Gesichter auswählen konnten. Schließlich verworfen wir diese Option, da ein potenzieller Eindringling die Bilder mit einer Rückwärtssuche finden und herausfinden könnte, dass unsere „Mitarbeiter“ nur in Bilddatenbanken leben. Letztendlich entschieden wir uns für Fotos von nicht existierenden Personen, die mithilfe von KI erstellt wurden.

Die auf der Website veröffentlichten Profile der Mitarbeiter enthielten wichtige Informationen über ihre technischen Fähigkeiten, jedoch vermieden wir die Nennung spezifischer Bildungseinrichtungen und Städte.
Zur Erstellung von Postfächern nutzten wir den Server des Hostinganbieters und mieteten dann mehrere Telefonnummern in den USA, die wir in einer virtuellen Telefonzentrale mit Sprachmenü und Anrufbeantworter zusammenführten.

Die Infrastruktur eines Honeypots

Um eine Entdeckung zu vermeiden, haben wir uns für eine Kombination aus echtem Industrieequipment, physischen Computern und geschützten virtuellen Maschinen entschieden. Vorweg sei gesagt, dass wir das Ergebnis unserer Bemühungen mit der Suchmaschine Shodan überprüft haben, und sie zeigte, dass das Honeypot wie ein echtes Industriesystem aussieht.

Ergebnis des Scans des Honeypots mit Shodan. Quelle: Trend Micro

Als ''Hardware'' für unsere Falle haben wir vier SPS verwendet:

• Siemens S7-1200,
• zwei AllenBradley MicroLogix 1100,
• Omron CP1L.

Diese SPS wurden aufgrund ihrer Beliebtheit auf dem weltweiten Markt für Automatisierungstechnik ausgewählt. Außerdem nutzt jeder dieser Controller ein eigenes Protokoll, was es uns ermöglichte zu testen, welcher der SPS häufiger angegriffen wird und ob sie überhaupt jemanden interessieren.

Ausrüstung unserer ''Fabrik''-Falle. Quelle: Trend Micro

Wir haben nicht einfach nur Geräte aufgestellt und sie mit dem Internet verbunden. Jeden Controller haben wir programmiert, um Aufgaben auszuführen, darunter

• Mischen,
• Steuerung der Brenner und Förderbänder,
• Palettierung mit einem robotergestützten Manipulator.

Um den Produktionsprozess realistisch zu gestalten, haben wir die Logik programmiert, um die Parameter des Feedbacks willkürlich zu ändern, das Starten und Stoppen der Motoren zu simulieren sowie das An- und Ausschalten der Brenner.

In unserer Fabrik gab es drei virtuelle Computer und einen physischen. Die virtuellen Maschinen wurden zur Steuerung der Fabrik, des Palettierroboters und als Arbeitsplatz für den Ingenieur zur Programmierung der SPS genutzt. Der physische Computer fungierte als Dateiserver.

Neben der Überwachung von Angriffen auf die SPS wollten wir den Status der auf unseren Geräten geladenen Programme im Auge behalten. Dafür haben wir eine Schnittstelle erstellt, die es ermöglicht, schnell zu erkennen, wie die Zustände unserer virtuellen Aktoren und Anlagen verändert wurden. Bereits in der Planungsphase stellten wir fest, dass es viel einfacher war, dies über ein Steuerungsprogramm zu realisieren als durch direktes Programmieren der Logik des Controllers. Den Zugang zur Steuerungsschnittstelle unseres Honeypots haben wir über VNC ohne Passwort geöffnet.

Industrieroboter sind ein Schlüsselbestandteil der modernen intelligenten Produktion. Daher haben wir beschlossen, einen Roboter und einen Arbeitsplatz zur Steuerung in die Ausrüstung unserer Fangfabrik aufzunehmen. Um die "Fabrik" realistischer zu gestalten, haben wir auf dem Steuerungsarbeitsplatz echte Software installiert, die Ingenieure zur grafischen Programmierung der Robotiklogik verwenden. Da sich Industrieroboter normalerweise in einem isolierten internen Netzwerk befinden, haben wir uns entschieden, den ungeschützten Zugriff über VNC nur für den Steuerungsarbeitsplatz zu belassen.

Die RobotStudio-Umgebung mit 3D-Modell unseres Roboters. Quelle: Trend Micro

Auf der virtuellen Maschine mit dem Steuerungsarbeitsplatz des Roboters haben wir die Programmierumgebung RobotStudio von ABB Robotics installiert. Nachdem wir RobotStudio eingerichtet hatten, öffneten wir eine Simulationsdatei mit unserem Roboter, sodass seine 3D-Darstellung auf dem Bildschirm sichtbar wurde. Infolgedessen werden Shodan und andere Suchmaschinen, die den ungeschützten VNC-Server entdecken, dieses Bild vom Bildschirm erhalten und es denjenigen zeigen, die nach Industrierobotern mit offenem Zugang zur Steuerung suchen.

Der Sinn dieser Detailgenauigkeit bestand darin, ein ansprechendes und möglichst realistisches Ziel für Angreifer zu schaffen, die, sobald sie es entdeckt haben, immer wieder darauf zurückkommen würden.

Ingenieurarbeitsplatz

Für die Programmierung der SPS-Logik haben wir einen Engineering-Computer in die Infrastruktur integriert. Darauf haben wir industrielle Software zur Programmierung von SPS implementiert:

• TIA Portal für Siemens,
• MicroLogix für den Allen-Bradley-Controller,
• CX-One für Omron.

Wir haben beschlossen, dass der Ingenieurarbeitsplatz nicht außerhalb des Netzwerks zugänglich sein wird. Stattdessen haben wir dort dasselbe Passwort für das Administrator-Konto verwendet wie für die öffentlichen Robotermanagement- und Fabrikmanagement-Arbeitsplätze. Diese Konfiguration ist in vielen Unternehmen recht verbreitet.
Leider hat es trotz all unserer Bemühungen kein Angreifer bis zum Ingenieurarbeitsplatz geschafft.

Dateiserver

Er wurde benötigt, um Angreifer anzulocken und als Mittel zur Sicherung unserer eigenen „Arbeiten“ in der Falle. Dies ermöglichte uns den Austausch von Dateien mit unserem Honeypot über USB-Geräte, ohne Spuren im Fallenetz zu hinterlassen. Als Betriebssystem für den Dateiserver installierten wir Windows 7 Pro, in dem wir einen gemeinsamen Ordner einrichteten, der für jeden lesbar und beschreibbar war.

Zunächst hatten wir auf dem Dateiserver keine Hierarchie von Ordnern und Dokumenten erstellt. Doch später stellte sich heraus, dass Angreifer aktiv diesen Ordner untersuchten, also beschlossen wir, ihn mit verschiedenen Dateien zu füllen. Dazu schrieben wir ein Python-Skript, das eine Datei mit zufälliger Größe und einer der vorgegebenen Erweiterungen erstellte, wobei der Name auf einem Wörterbuch basierte.

Skript zur Generierung attraktiver Dateinamen. Quelle: Trend Micro

Nach dem Ausführen des Skripts erhielten wir das gewünschte Ergebnis in Form eines Ordners, der mit sehr interessanten Dateinamen gefüllt war.

Ergebnis der Skriptausführung. Quelle: Trend Micro

Überwachungsumgebung

Nachdem wir so viel Mühe in den Aufbau eines realistischen Unternehmens gesteckt hatten, konnten wir es uns einfach nicht leisten, bei der Überwachung unserer „Besucher“ zu versagen. Wir benötigten alle Daten in Echtzeit, sodass die Angreifer nicht merkten, dass sie überwacht wurden.

Wir haben dies mit vier USB-Ethernet-Adaptern, vier SharkTap-Ethernet-Splittern, einem Raspberry Pi 3 und einer großen externen Festplatte realisiert. Unser Netzwerkschema sah so aus:

Schema des Honeypots mit Überwachungsgeräten. Quelle: Trend Micro

Die drei SharkTap-Splitter haben wir so angeordnet, dass sie den gesamten externen Verkehr zu PLCs überwachen, die nur aus dem internen Netzwerk zugänglich sind. Der vierte SharkTap überwachte den Verkehr von Gästen der verwundbaren virtuellen Maschine.

Ethernet-Splitter SharkTap und Router Sierra Wireless AirLink RV50. Quelle: Trend Micro

Der Raspberry Pi führte eine tägliche Verkehrserfassung durch. Die Internetverbindung haben wir über den Mobilfunkrouter Sierra Wireless AirLink RV50 organisiert, der häufig in Industrieunternehmen eingesetzt wird.

Leider erlaubte dieser Router kein selektives Blockieren von Angriffen, die nicht unseren Plänen entsprachen. Daher haben wir ein Cisco ASA 5505 Firewall im transparenten Modus in unser Netzwerk integriert, um Blockierungen mit minimalen Auswirkungen auf das Netzwerk durchzuführen.

Traffic-Analyse

Tshark und tcpdump sind für die schnelle Behebung aktueller Anliegen geeignet, aber in unserem Fall reichten ihre Möglichkeiten nicht aus, da wir viele Gigabyte an Datenverkehr hatten, die von mehreren Personen analysiert wurden. Wir haben den Open-Source-Analyzer Moloch verwendet, der von AOL entwickelt wurde. In Bezug auf die Funktionalität kann er mit Wireshark verglichen werden, bietet jedoch mehr Funktionen zur Zusammenarbeit, Beschreibung und Tagging von Paketen, zum Export und für andere Aufgaben.

Da wir die gesammelten Daten nicht an den Honeypot-Computern verarbeiten wollten, wurden die PCAP-Dumps täglich in den AWS-Speicher exportiert, von wo aus wir sie dann auf die Moloch-Maschine importierten.

Bildschirmaufnahme

Um die Aktivitäten von Angreifern in unserem Honeypot zu dokumentieren, haben wir ein Skript geschrieben, das in festgelegten Intervallen Screenshots der virtuellen Maschine erstellt und durch den Vergleich mit vorherigen Screenshots ermittelt, ob etwas passiert. Bei festgestellter Aktivität startete das Skript die Bildschirmaufnahme. Dieser Ansatz erwies sich als der effektivste. Wir haben auch versucht, den VNC-Datenverkehr aus dem PCAP-Dump zu analysieren, um herauszufinden, welche Änderungen im System stattgefunden haben, aber letztendlich war die von uns implementierte Bildschirmaufnahme einfacher und anschaulicher.

Überwachung von VNC-Sitzungen

Dafür haben wir Chaosreader und VNCLogger verwendet. Beide Utensilien extrahieren Tasteneingaben aus dem PCAP-Dump, aber VNCLogger verarbeitet Tasten wie Backspace, Enter und Ctrl korrekt.

VNCLogger hat zwei Nachteile. Erstens: Es kann Tasten nur „abhören“, indem es den Datenverkehr auf dem Interface prüft, weshalb wir eine VNC-Sitzung mit tcpreplay simulieren mussten. Der zweite Nachteil von VNCLogger ist der gleiche wie bei Chaosreader: Beide zeigen nicht den Inhalt der Zwischenablage. Dafür mussten wir Wireshark verwenden.

Wir locken Hacker an

Wir haben ein Honeypot erstellt, um angegriffen zu werden. Um dies zu erreichen, haben wir einen Datenleck-Szenario inszeniert, um die Aufmerksamkeit potenzieller Hacker zu gewinnen. Im Honeypot waren folgende Ports geöffnet:

Den RDP-Port mussten wir kurz nach dem Start schließen, da aufgrund des enormen Scanning-Verkehrs in unserem Netzwerk Leistungsprobleme auftraten.
Die VNC-Terminals arbeiteten zunächst im Modus «Nur-Anzeige» ohne Passwort, dann haben wir sie «versehentlich» in den Vollzugriffsmodus gewechselt.

Um Angreifer anzuziehen, haben wir zwei Beiträge mit «geleakten» Informationen über ein verfügbares Industriesystem auf PasteBin veröffentlicht.

Einer der Beiträge, die auf PasteBin zur Anwerbung von Angreifern gepostet wurden. Quelle: Trend Micro

Angriffe

Der Honeypot war etwa sieben Monate online. Der erste Angriff fand einen Monat nach dem Go-Live des Honeypots statt.

Scanner

Es gab viel Verkehr von Scannern bekannter Unternehmen – ip-ip, Rapid, Shadow Server, Shodan, ZoomEye und anderen. Es waren so viele, dass wir sie ausschließen mussten IP-Adressen von der Analyse: 610 von 9452 oder 6,45 % aller einzigartigen IP-Adressen gehörten völlig legitimen Scannern.

Betrüger

Eines der größten Risiken, mit denen wir konfrontiert sind, ist der Missbrauch unseres Systems zu kriminellen Zwecken: beispielsweise um Smartphones über die Abonnentennummer zu kaufen, Vielfliegermeilen durch Geschenkkarten abzuheben und andere Betrugsarten.

Miner

Einer der ersten Besucher unseres Systems war ein Miner. Er lud Mining-Software für Monero hoch. Auf unserem speziellen System hätte er nicht viel verdienen können aufgrund der niedrigen Leistung. Wenn jedoch mehrere Dutzend oder sogar Hundert solcher Systeme zusammenarbeiten, könnte das durchaus lukrativ sein.

Erpresser

Während des Betriebs des Honeypots sind wir zweimal auf echte Ransomware gestoßen. Im ersten Fall handelte es sich um Crysis. Die Betreiber gelangten über VNC in das System, installierten dann aber TeamViewer und führten damit weitere Aktionen durch. Nachdem wir auf die Lösegeldnachricht gewartet hatten, in der ein Betrag von 10.000 US-Dollar in BTC gefordert wurde, traten wir in Kontakt mit den Tätern und baten sie, eine unserer Dateien zu entschlüsseln. Sie erfüllten diese Bitte und wiederholten die Lösegeldforderung. Es gelang uns, den Betrag auf 6.000 US-Dollar zu verhandeln, bevor wir einfach das System auf eine virtuelle Maschine zurücksetzten, da wir alle benötigten Informationen erhalten hatten.

Der zweite Erpresser war Phobos. Der Hacker, der ihn installiert hatte, durchsuchte innerhalb einer Stunde das Dateisystem des Honeypots und scannte das Netzwerk, bevor er schließlich die Ransomware installierte.
Der dritte Ransomware-Angriff stellte sich als Fake heraus. Ein unbekannter „Hacker“ lud die Datei haha.bat auf unser System herunter, wonach wir eine Zeit lang beobachteten, wie er versuchte, sie auszuführen. Einer der Versuche bestand darin, haha.bat in haha.rnsmwr umzubenennen.

Der «Hacker» erhöht die Schadenswirkung der Batch-Datei, indem er ihre Erweiterung in .rnsmwr ändert. Quelle: Trend Micro

Nachdem die Batch-Datei endlich lief, erhöhte der «Hacker» das Lösegeld von 200 auf 750 Dollar. Danach «verschlüsselte» er alle Dateien, hinterließ eine Erpressungsnachricht auf dem Desktop und verschwand, indem er die Passwörter für unser VNC änderte.

Nach ein paar Tagen kehrte der Hacker zurück und um auf sich aufmerksam zu machen, aktivierte er die Batch-Datei, die zahlreiche Fenster mit Pornoseiten öffnete. Offenbar versuchte er so, die Aufmerksamkeit auf seine Forderungen zu lenken.

Ergebnisse

Im Laufe der Untersuchung wurde festgestellt, dass, sobald die Informationen über die Schwachstelle veröffentlicht wurden, der Honeypot Aufmerksamkeit erregte, wobei die Aktivität täglich zunahm. Um die Falle ansprechend zu gestalten, mussten zahlreiche Sicherheitsverstöße in unserem fiktiven Unternehmen hingenommen werden. Leider ist eine solche Situation unter vielen realen Unternehmen, die keine eigenen IT- und Sicherheitsmitarbeiter haben, keine Seltenheit.

Im Allgemeinen sollten Organisationen das Prinzip der geringsten Privilegien anwenden, während wir das Gegenteil umgesetzt haben, um Angreifer anzulocken. Je länger wir die Angriffe beobachteten, desto raffinierter wurden sie im Vergleich zu herkömmlichen Penetrationstest-Methoden.

Am wichtigsten ist: Alle diese Angriffe wären gescheitert, wenn bei der Netzwerkkonfiguration angemessene Sicherheitsmaßnahmen umgesetzt worden wären. Organisationen müssen sicherstellen, dass ihre Ausrüstung und Komponenten der industriellen Infrastruktur nicht aus dem Internet zugänglich sind, was wir gezielt in unserer Falle durchgeführt haben.

Obwohl wir keinen einzigen Angriff auf die Ingenieurs-ARM registriert haben, trotz der Verwendung des gleichen lokalen Administratorpassworts auf allen Computern, sollte eine solche Praxis vermieden werden, um die Möglichkeit von Eindringlingen zu minimieren. Schwache Sicherheitsvorkehrungen dienen als zusätzliche Einladung für Angriffe auf industrielle Systeme, die schon lange das Interesse von Cyberkriminellen wecken.

Quelle: habr.com