Bei der Untersuchung von Fällen, die mit Phishing, Botnetzwerken, betrügerischen Transaktionen und kriminellen Hackergruppen verbunden sind, nutzen die Experten von Group-IB seit vielen Jahren graphische Analysen zur Identifizierung verschiedener Arten von Verbindungen. In unterschiedlichen Fällen gibt es eigene Datensätze, spezifische Algorithmen zur Verknüpfungserkennung und Interfaces, die auf bestimmte Aufgaben zugeschnitten sind. All diese Instrumente sind interne Entwicklungen von Group-IB und standen ausschließlich unseren Mitarbeitern zur Verfügung.

Die grafische Analyse der Netzwerkinfrastruktur (Netzwerkgraph) war das erste interne Werkzeug, das wir in alle öffentlichen Produkte des Unternehmens integriert haben. Bevor wir unseren Netzwerkgraphen erstellten, haben wir viele ähnliche Entwicklungen auf dem Markt analysiert und kein Produkt gefunden, das unseren eigenen Anforderungen gerecht wurde. In diesem Artikel erläutern wir, wie wir den Netzwerkgraphen erstellt haben, wie wir ihn nutzen und welche Herausforderungen wir dabei hatten.

Dmitry Volkov, CTO von Group-IB und Leiter der Abteilung für Cyberaufklärung

Was kann der Netzwerkgraph von Group-IB?

Untersuchungen

Seit der Gründung von Group-IB im Jahr 2003 ist die Identifizierung, De-Anonymisierung und die Verantwortlichmachung von Cyberkriminellen unser Hauptaugenmerk. Keine Untersuchung eines Cyberangriffs kommt ohne die Analyse der Netzwerk-Infrastruktur der Angreifer aus. Zu Beginn unserer Reise war dies eine aufwendige "manuelle Arbeit", bei der wir nach Verbindungen suchten, die bei der Identifizierung der Täter helfen konnten: Informationen über Domainnamen, IP-Adressen, digitale Fingerabdrücke von Servern und mehr.

Die meisten Angreifer versuchen, so anonym wie möglich im Internet zu agieren. Doch wie alle Menschen machen sie Fehler. Das Hauptziel einer solchen Analyse ist es, "weiße" oder "graue" historische Projekte von Tätern zu finden, die Überschneidungen mit der bösartigen Infrastruktur aufweisen, die in dem aktuellen Vorfall verwendet wird, den wir untersuchen. Wenn es gelingt, "weiße Projekte" zu entdecken, wird die Identifizierung des Angreifers in der Regel zu einer trivialen Aufgabe. Bei den "grauen Projekten" ist die Suche zeitaufwändiger und erfordert mehr Aufwand, da deren Betreiber versuchen, die Registrierungsdaten zu anonymisieren oder zu verbergen, jedoch bleiben die Chancen dennoch relativ hoch. Im Allgemeinen schenken Angreifer zu Beginn ihrer kriminellen Aktivitäten ihrer eigenen Sicherheit weniger Aufmerksamkeit und machen mehr Fehler, daher steigen die Erfolgschancen bei einer gründlicheren Analyse der Geschichte. Aus diesem Grund ist ein Netzwerkgraph mit einer soliden Historie ein äußerst wichtiger Bestandteil solcher Ermittlungen. Einfacher ausgedrückt: Je mehr historische Daten ein Unternehmen hat, desto qualitativ hochwertiger ist sein Graph. Eine fünfjährige Historie kann helfen, hypothetisch 1-2 von 10 Verbrechen aufzuklären, während eine 15-jährige Historie die Chancen erhöht, alle zehn aufzuklären.

Erkennung von Phishing und Betrug

Jedes Mal, wenn wir einen verdächtigen Link zu Phishing, betrügerischen oder piratierten Ressourcen erhalten, erstellen wir automatisch ein Netzwerkdiagramm der verwandten Netzressourcen und überprüfen alle gefundenen Hosts auf ähnliche Inhalte. Dadurch können sowohl alte Phishing-Websites gefunden werden, die aktiv, aber unbekannt waren, als auch völlig neue, die für zukünftige Angriffe vorbereitet, jedoch noch nicht genutzt werden. Ein einfaches, häufiges Beispiel: Wir haben eine Phishing-Seite auf einem Server gefunden, der nur 5 Websites hostet. Durch die Überprüfung jeder dieser Seiten finden wir Phishing-Inhalte auch auf den anderen Seiten, und können daher 5 statt 1 blockieren.

Suche nach Backends

Dieser Prozess ist notwendig, um zu bestimmen, wo sich der missbräuchliche Server tatsächlich befindet.
99 % der Cardshops, Hackerforen, zahlreiche Phishing-Ressourcen und andere bösartige Server verstecken sich hinter eigenen Proxy-Servern sowie hinter Proxys legitimer Dienste wie Cloudflare. Das Wissen über das tatsächliche Backend ist für Ermittlungen von großer Bedeutung: So wird der Hosting-Anbieter bekannt, von dem der Server beschlagnahmt werden kann, und es besteht die Möglichkeit, Verbindungen zu anderen bösartigen Projekten aufzubauen.

Angenommen, Sie haben eine Phishing-Website zur Sammlung von Bankkartendaten, die auf die IP-Adresse 11.11.11.11 aufgelöst wird, und die Adresse eines Cardshops, die auf die IP-Adresse 22.22.22.22 aufgelöst wird. Bei der Analyse kann sich herausstellen, dass sowohl die Phishing-Website als auch der Cardshop die gemeinsame Backend-IP-Adresse 33.33.33.33 haben. Dieses Wissen ermöglicht es, eine Verbindung zwischen den Phishing-Angriffen und dem Cardshop herzustellen, in dem möglicherweise die Bankkartendaten verkauft werden.

Ereigniskorrelation

Wenn Sie zwei verschiedene Alarme (zum Beispiel auf IDS) mit unterschiedlicher bösartiger Software und verschiedenen Servern zur Angriffsverwaltung haben, betrachten Sie diese als zwei unabhängige Ereignisse. Wenn jedoch eine gute Verbindung zwischen den bösartigen Infrastrukturen besteht, wird deutlich, dass dies keine unterschiedlichen Angriffe sind, sondern Phasen eines komplexeren mehrstufigen Angriffs. Wenn eines der Ereignisse bereits einer bestimmten Angreifergruppe zugeordnet wurde, kann auch das zweite diesem gleichen Kreis zugeordnet werden. Natürlich ist der Attributionsprozess erheblich komplizierter, daher betrachten Sie das Geschriebene als ein einfaches Beispiel.

Anreicherung von Indikatoren

Darüber wollen wir nicht viel Zeit verlieren, denn dies ist das am häufigsten verwendete Szenario für Graphen in der Cybersicherheit: Man gibt einen Indikator ein und erhält als Ausgabe ein Array von verwandten Indikatoren.

Mustererkennung

Die Identifizierung von Mustern ist entscheidend für effektives Hunting. Grafen ermöglichen es nicht nur, verwandte Elemente zu finden, sondern auch gemeinsame Eigenschaften zu erkennen, die einer bestimmten Gruppe von Hackern eigen sind. Das Wissen über solche einzigartigen Merkmale erlaubt es, die Infrastruktur der Angreifer bereits in der Vorbereitungsphase zu identifizieren, ohne Beweise wie Phishing-E-Mails oder Malware zu benötigen, die einen Angriff bestätigen.

Warum haben wir unser eigenes Netzwerkgraph entwickelt?

Ich möchte betonen, dass wir Lösungen von verschiedenen Anbietern in Betracht gezogen haben, bevor wir zu dem Schluss kamen, dass wir ein eigenes Werkzeug entwickeln müssen, das über Funktionen verfügt, die kein bestehendes Produkt bietet. Die Entwicklung hat mehrere Jahre gedauert, während der wir es mehrmals völlig umgestaltet haben. Trotz der langen Entwicklungszeit haben wir bis heute kein ähnliches Produkt gefunden, das unseren Anforderungen entspricht. Mit unserem eigenen Produkt konnten wir letztendlich nahezu alle Probleme lösen, die wir in bestehenden Netzwerkgraphen festgestellt haben. Nachfolgend betrachten wir diese Probleme im Detail:

Das Problem
Lösung

Es gibt keinen Anbieter, der verschiedene Datensammlungen anbietet: Domains, passive DNS, passive SSL, DNS-Einträge, offene Ports, laufende Dienste auf den Ports, Dateien, die mit Domains und IP-Adressen interagieren. Erklärung: Normalerweise bieten Anbieter separate Datentypen an, und um ein vollständiges Bild zu erhalten, muss man Abonnements bei allen kaufen. Aber selbst dann ist es nicht immer möglich, alle Daten zu erhalten: einige Anbieter von passivem SSL liefern nur Informationen über Zertifikate, die von vertrauenswürdigen CA ausgestellt wurden, während die Abdeckung selbstsignierter Zertifikate extrem schlecht ist. Andere bieten auch Daten zu selbstsignierten Zertifikaten an, sammeln diese jedoch nur von den Standardports.
Wir haben alle oben genannten Sammlungen selbst zusammengestellt. Beispielsweise haben wir für die Sammlung von SSL-Zertifikaten unseren eigenen Dienst entwickelt, der diese sowohl von vertrauenswürdigen CA als auch durch das Scannen des gesamten IPv4-Raums erfasst. Die Zertifikate wurden nicht nur von IPs, sondern auch von allen Domains und Subdomains aus unserer Datenbank gesammelt: Wenn Sie eine Domain wie example.com und dessen Subdomain besitzen. www.example.com Wenn alle auf IP 1.1.1.1 aufgelöst werden, können Sie beim Versuch, ein SSL-Zertifikat über Port 443 für die IP, die Domain und ihre Subdomains zu erhalten, drei unterschiedliche Ergebnisse erhalten. Um Daten über offene Ports und laufende Dienste zu sammeln, mussten wir unser eigenes verteiltes Scan-System erstellen, da die IP-Adressen der scannenden Server anderer Anbieter häufig auf „schwarzen Listen“ standen. Unsere Scanning-Server werden ebenfalls auf „schwarze Listen“ gesetzt, jedoch ist die Erfolgsquote bei der Entdeckung der benötigten Dienste höher als bei denen, die lediglich versuchen, so viele Ports wie möglich zu scannen und Zugang zu diesen Daten zu verkaufen.

Fehlender Zugang zu der gesamten Datenbasis historischer Aufzeichnungen. Erklärung. Jeder seriöse Anbieter hat eine gute Historie angesammelt, aber aus verständlichen Gründen konnten wir als Kunden keinen Zugang zu allen historischen Daten erhalten. Das bedeutet, dass man die gesamte Historie für einen einzelnen Datensatz, zum Beispiel für eine Domain oder eine IP-Adresse, abrufen kann, aber nicht die Geschichte des gesamten Datensatzes einsehen kann – ohne das ist es nicht möglich, das gesamte Bild zu sehen.
Um so viele historische Daten zu Domains wie möglich zu sammeln, haben wir verschiedene Datenbanken aufgekauft, zahlreiche öffentliche Ressourcen durchforstet, die diese Historie hatten (zum Glück gab es viele davon), und Vereinbarungen mit Domain-Registraren getroffen. Alle Aktualisierungen in unseren eigenen Sammlungen werden selbstverständlich mit einer vollständigen Historie der Änderungen gespeichert.

Alle bestehenden Lösungen ermöglichen den manuell gesteuerten Aufbau von Grafen. Erklärung: Angenommen, Sie haben zahlreiche Abonnements von allen möglichen Datenanbietern erworben (die in der Regel als "Anreicherer" bezeichnet werden). Wenn Sie einen Graphen erstellen möchten, geben Sie manuell den Befehl, die Verbindung vom gewünschten Element aus zu vervollständigen, wählen dann aus den neu erschienenen Elementen die geeigneten aus und geben wiederum den Befehl, die Verbindungen von diesen herzustellen, und so weiter. In diesem Fall liegt die Verantwortung dafür, wie gut der Graph aufgebaut wird, vollständig beim Menschen.
Wir haben die automatische Graphenbildung implementiert. Das bedeutet, dass, wenn Sie einen Graphen erstellen müssen, die Verbindungen vom ersten Element automatisch hergestellt werden, und auch für alle nachfolgenden Elemente. Der Spezialist gibt lediglich die Tiefe an, mit der der Graph erstellt werden soll. Der Prozess der automatischen Graphenvervollständigung ist einfach, aber andere Anbieter setzen ihn nicht um, da er eine enorme Anzahl von irrelevanten Ergebnissen liefert, und diesen Nachteil mussten wir ebenfalls berücksichtigen (siehe unten).

Eine Vielzahl irrelevanter Ergebnisse ist ein Problem aller Netzwerkelemente in Graphen. Erklärung: Zum Beispiel ist eine "schlechte Domain" (die an einem Angriff beteiligt war) mit einem Server verbunden, zu dem in den letzten 10 Jahren 500 andere Domains eine Verbindung hatten. Beim manuellen Hinzufügen oder automatischen Erstellen des Graphen sollten all diese 500 Domains ebenfalls im Graphen erscheinen, obwohl sie nichts mit dem Angriff zu tun haben. Oder beispielsweise überprüfen Sie einen IP-Indikator aus einem Bericht eines Sicherheitsanbieters. Solche Berichte weisen in der Regel erhebliche Verzögerungen auf und decken oft ein Jahr oder mehr ab. Höchstwahrscheinlich ist der Server mit dieser IP-Adresse, während Sie den Bericht lesen, bereits anderen Personen mit anderen Verbindungen vermietet worden, und die Erstellung des Graphen führt dazu, dass Sie erneut irrelevante Ergebnisse erhalten.
Wir haben das System darauf trainiert, irrelevante Elemente mit derselben Logik zu erkennen, wie es unsere Experten manuell getan haben. Zum Beispiel, wenn Sie eine fragwürdige Domain wie example.com überprüfen, die jetzt auf die IP 11.11.11.11 aufgelöst wird, während sie vor einem Monat die IP 22.22.22.22 hatte. Die IP 11.11.11.11 ist nicht nur mit der Domain example.com, sondern auch mit example.ru verbunden, während die IP 22.22.22.22 mit 25.000 anderen Domains verbunden ist. Das System erkennt, ähnlich wie ein Mensch, dass 11.11.11.11 wahrscheinlich ein dedizierter Server ist. Da die Domain example.ru eine ähnliche Schreibweise wie example.com hat, besteht eine hohe Wahrscheinlichkeit, dass sie verbunden sind und in das Graphen eingezeichnet werden sollten. Im Gegensatz dazu gehört die IP 22.22.22.22 zu einem Shared Hosting, weshalb nicht alle zugehörigen Domains in das Graphen aufgenommen werden müssen, es sei denn, es gibt andere Verbindungen, die zeigen, dass eine dieser 25.000 Domains ebenfalls berücksichtigt werden sollte (zum Beispiel example.net). Bevor das System entscheidet, dass Beziehungen getrennt und bestimmte Elemente nicht in das Graphen aufgenommen werden sollten, berücksichtigt es zahlreiche Eigenschaften der Elemente und Cluster, in die diese Elemente gruppiert sind, sowie die Stabilität der aktuellen Verbindungen. Zum Beispiel, wenn wir in dem Graphen ein kleines Cluster (50 Elemente) haben, das eine fragwürdige Domain enthält, und ein weiteres großes Cluster (5.000 Elemente), und beide Cluster mit einer sehr schwachen Verbindung (Linie) verbunden sind, wird diese Verbindung getrennt und die Elemente aus dem großen Cluster werden entfernt. Wenn jedoch viele Verbindungen zwischen dem kleinen und dem großen Cluster bestehen und deren Stabilität schrittweise zunimmt, bleibt in diesem Fall die Verbindung bestehen und die benötigten Elemente aus beiden Clustern bleiben im Graphen.

Der Besitzzeitraum des Servers oder der Domain wird nicht berücksichtigt. Erklärung: Die Registrierungsdauer von "schlechten Domains" läuft früher oder später ab, und sie werden erneut für böswillige oder legitime Zwecke gekauft. Selbst bei bulletproof-Hostern werden Server an verschiedene Hacker vermietet, daher ist es entscheidend, den Zeitraum zu kennen und zu berücksichtigen, in dem eine bestimmte Domain oder ein Server unter der Kontrolle eines bestimmten Eigentümers stand. Wir sehen häufig Situationen, in denen ein Server mit der IP 11.11.11.11 derzeit als C&C für Bankbots verwendet wird, während er vor nur 2 Monaten von Ransomware kontrolliert wurde. Wenn man eine Verbindung herstellt, ohne die Besitzintervalle zu berücksichtigen, könnte es so erscheinen, als gäbe es eine Beziehung zwischen den Besitzern des Bankbot-Netzwerks und den Erpressers, obwohl diese in Wirklichkeit nicht besteht. Ein solcher Fehler ist in unserer Arbeit entscheidend.
Wir haben das System darin geschult, Besitzintervalle zu bestimmen. Bei Domains ist dies relativ einfach, da in der Whois-Datenbank häufig die Daten für den Beginn und das Ende der Registrierung angegeben sind und es, wenn eine vollständige Historie der Whois-Änderungen vorliegt, leicht ist, die Intervalle zu erfassen. Wenn eine Domain nicht abgelaufen ist, aber die Verwaltung an andere Besitzer übertragen wurde, kann man dies ebenfalls nachverfolgen. Bei SSL-Zertifikaten gibt es dieses Problem nicht, da sie einmal ausgestellt werden, nicht verlängert und nicht übertragen werden. Bei selbstsignierten Zertifikaten kann man den angegebenen Daten im Gültigkeitszeitraum jedoch nicht vertrauen, da man ein SSL-Zertifikat heute erstellen und das Startdatum seit 2010 angeben kann. Am schwierigsten ist es, die Besitzintervalle für Server zu bestimmen, da nur die Hosting-Anbieter die Daten und Laufzeiten der Mietverträge haben. Um den Besitzzeitraum eines Servers zu ermitteln, haben wir begonnen, die Ergebnisse von Port-Scans und die Erstellung von Fingerabdrücken der gestarteten Dienste an den Ports zu nutzen. Mit diesen Informationen können wir ziemlich genau sagen, wann der Eigentümer des Servers gewechselt hat.

Wenig Verbindungen. Erklärung. Es ist heutzutage kein Problem, sogar kostenlos eine Liste von Domains zu erhalten, bei denen eine bestimmte E-Mail-Adresse im Whois angegeben ist, oder alle Domains herauszufinden, die mit einer bestimmten IP-Adresse verbunden sind. Doch wenn es um Hacker geht, die alles tun, um schwer aufzufinden zu sein, sind zusätzliche "Tricks" erforderlich, um neue Eigenschaften zu entdecken und neue Verbindungen herzustellen.
Wir haben viel Zeit damit verbracht, zu erforschen, wie man Daten extrahiert, die auf herkömmlichem Weg nicht verfügbar sind. Aus verständlichen Gründen können wir hier nicht genau beschreiben, wie das funktioniert, aber unter bestimmten Umständen machen Hacker bei der Registrierung von Domains oder der Anmietung und Konfiguration von Servern Fehler, die es ermöglichen, E-Mail-Adressen, Pseudonyme der Hacker und Backend-Adressen zu erfahren. Je mehr Verbindungen Sie extrahieren, desto genauer können Sie Grafiken erstellen.

Wie unser Graph funktioniert

Um das Netzwerkgrafik-Tool zu nutzen, müssen Sie in die Suchleiste eine Domain, IP-Adresse, E-Mail oder den Fingerabdruck eines SSL-Zertifikats eingeben. Es gibt drei Bedingungen, die vom Analysten gesteuert werden können: Zeit, Schrittanzahl und Bereinigung.

Zeit

Zeit – ein Datum oder Zeitraum, in dem das gesuchte Element für schädliche Zwecke verwendet wurde. Wenn dieser Parameter nicht angegeben wird, bestimmt das System automatisch den letzten Zeitraum des Besitzes dieser Ressource. Zum Beispiel veröffentlichte das Unternehmen Eset am 11. Juli einen Bericht darüber, wie Buhtrap einen 0-Day-Exploit zur Cyberspionage nutzt. Am Ende des Berichts gibt es 6 Indikatoren. Einer davon, secure-telemetry[.]net, wurde am 16. Juli neu registriert. Daher erhalten Sie, wenn Sie das Diagramm nach dem 16. Juli erstellen, irrelevante Ergebnisse. Aber wenn Sie angeben, dass diese Domain bis zu diesem Datum verwendet wurde, erscheinen im Diagramm 126 neue Domains und 69 IP-Adressen, die im Eset-Bericht nicht erwähnt werden:

• ukrfreshnews[.]com
• unian-search[.]com
• vesti-world[.]info
• runewsmeta[.]com
• foxnewsmeta[.]biz
• sobesednik-meta[.]info
• rian-ua[.]net
• usw.

Zusätzlich zu den Netzwerkindikatoren finden wir sofort Verbindungen zu schädlichen Dateien, die mit dieser Infrastruktur und Tags verbunden sind, die uns anzeigen, dass Meterpreter und AZORult verwendet wurden.

Das Beste daran ist, dass Sie dieses Ergebnis innerhalb von Sekunden erhalten und nicht mehr Tage mit der Datenanalyse verbringen müssen. Dieser Ansatz verkürzt in der Tat manchmal die Ermittlungszeit erheblich, was häufig entscheidend ist.

Die Anzahl der Schritte oder die Tiefe der Rekursion, mit der der Graph erstellt wird.

Standardmäßig beträgt die Tiefe 3. Das bedeutet, dass alle direkt verbundenen Elemente des gesuchten Elements gefunden werden. Danach werden neue Verbindungen für jedes dieser Elemente zu anderen Elementen aufgebaut, und von den neuen Elementen werden erneut neue Elemente erzeugt.

Nehmen wir ein Beispiel, das nicht mit APT und 0-Day-Exploits zu tun hat. Kürzlich wurde auf Habré ein interessanter Fall von Betrug im Zusammenhang mit Kryptowährungen beschrieben. Im Bericht wird die Domain themcx[.]co erwähnt, die von Betrügern genutzt wurde, um eine angebliche Wechselstube, Miner Coin Exchange, zu hosten, sowie phone-lookup[.]xyz zur Traffic-Generierung.

Aus der Beschreibung geht hervor, dass das Schema eine ziemlich große Infrastruktur benötigt, um Traffic auf betrügerische Ressourcen zu lenken. Wir haben uns entschieden, diese Infrastruktur zu untersuchen, indem wir ein grafisches Modell in 4 Schritten erstellt haben. Am Ende erhielten wir ein Diagramm mit 230 Domains und 39 IP-Adressen. Anschließend teilen wir die Domains in zwei Kategorien auf: solche, die wie Dienste für Kryptowährungsoperationen aussehen, und solche, die dazu dienen, Traffic über Telefonverifizierungsdienste zu generieren:

Mit Kryptowährung verbunden
Mit Telefonabfragservices verbunden

coinkeeper[.]cc
caller-record[.]site.

mcxwallet[.]co
phone-records[.]space

btcnoise[.]com
fone-uncover[.]xyz

cryptominer[.]watch
number-uncover[.]info

Bereinigung

Standardmäßig ist die Option „Diagrammbereinigung“ aktiviert, und alle irrelevanten Elemente werden aus dem Diagramm entfernt. Übrigens wurde sie auch in all unseren vorherigen Beispielen verwendet. Ich antizipiere die nachvollziehbare Frage: Wie kann ich sicherstellen, dass nichts Wichtiges gelöscht wird? Ich antworte: Für Analysten, die gerne manuell Diagramme erstellen, kann die automatisierte Bereinigung deaktiviert werden, und die Anzahl der Schritte kann auf 1 gesetzt werden. Anschließend kann der Analyst das Diagramm mit den gewählten Elementen ergänzen und irrelevante Elemente, die nicht zur gestellten Aufgabe passen, aus dem Diagramm löschen.

In der Analyse sind bereits die Änderungen von Whois, DNS sowie die offenen Ports und die darauf laufenden Dienste einsehbar.

Finanz-Phishing

Wir haben die Aktivitäten einer APT-Gruppe untersucht, die über mehrere Jahre hinweg Phishing-Angriffe auf Kunden verschiedener Banken in unterschiedlichen Regionen durchgeführt hat. Ein charakteristisches Merkmal dieser Gruppe war die Registrierung von Domains, die den Namen echter Banken sehr ähnlich waren. Die meisten Phishing-Websites hatten ein identisches Design; die Unterschiede lagen nur in den Banknamen und deren Logos.

In diesem Fall hat uns die automatisierte Graphanalyse sehr geholfen. Durch die Analyse einer ihrer Domains – lloydsbnk-uk[.]com – konnten wir innerhalb von Sekunden einen Graphen mit einer Tiefe von 3 Schritten erstellen, der über 250 bösartige Domains aufdeckte, die von dieser Gruppe seit 2015 verwendet wurden und weiterhin genutzt werden. Einige dieser Domains sind bereits von Banken aufgekauft worden, aber aus historischen Aufzeichnungen geht hervor, dass sie zuvor auf Angreifer registriert waren.

Zur Veranschaulichung zeigt das Bild einen Graphen mit einer Tiefe von 2 Schritten.

Bemerkenswert ist, dass Angreifer bereits 2019 ihre Taktik geändert haben und nicht nur Bankendomen für das Hosting von Web-Phishing registrierten, sondern auch Domains verschiedener Beratungsunternehmen für den Versand von Phishing-E-Mails. Zum Beispiel die Domains swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

Cobalt Gang

Im Dezember 2018 führte die Hackergruppe Cobalt, die auf gezielte Angriffe auf Banken spezialisiert ist, eine Mailing-Aktion im Namen der Nationalbank Kasachstans durch.

In den E-Mails waren Links zu hXXps://nationalbank.bz/Doc/Prikaz.doc enthalten. Das heruntergeladene Dokument beinhaltete ein Makro, das PowerShell startete, um zu versuchen, eine Datei von hXXp://wateroilclub.com/file/dwm.exe in %Temp%einmrmdmy.exe zu laden und auszuführen. Die Datei %Temp%einmrmdmy.exe alias dwm.exe ist ein CobInt-Stager, der darauf eingestellt ist, mit dem Server hXXp://admvmsopp.com/rilruietguadvtoefmuy zu kommunizieren.

Stellen Sie sich vor, Sie haben keine Möglichkeit, diese Phishing-E-Mails zu erhalten und eine vollständige Analyse der Malware durchzuführen. Das Diagramm für die bösartige Domain nationalbank[.]bz zeigt sofort Verbindungen zu anderen bösartigen Domains, attribuiert dies einer Gruppe und zeigt, welche Dateien bei dem Angriff verwendet wurden.

Nehmen wir die IP-Adresse 46.173.219[.]152 aus diesem Graphen und erstellen wir in einem Durchgang einen Graphen ohne die Bereinigung. Mit dieser IP sind 40 Domains verbunden, wie zum Beispiel bl0ckchain[.]ug.
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

Anhand der Domainnamen sieht es so aus, als ob sie in betrügerische Aktivitäten verwickelt sind, aber der Bereinigungsalgorithmus hat erkannt, dass sie mit diesem Angriff nichts zu tun haben und deshalb nicht in den Graphen aufgenommen wurden, was den Analyse- und Attributionsprozess erheblich vereinfacht.

Wenn wir den Graphen für nationalbank[.]bz neu aufbauen, jedoch den Bereinigungsalgorithmus deaktivieren, werden über 500 Elemente erfasst, von denen die meisten weder zur Gruppe Cobalt noch zu ihren Angriffen gehören. Ein Beispiel, wie ein solcher Graph aussieht, ist unten aufgeführt:

Fazit

Nach mehreren Jahren der Feinabstimmung, Tests in realen Ermittlungen, Bedrohungsanalysen und der Jagd auf Angreifer ist es uns gelungen, nicht nur ein einzigartiges Werkzeug zu schaffen, sondern auch die Einstellung der Experten in unserem Unternehmen dazu zu verändern. Zu Beginn wollten die technischen Experten die vollständige Kontrolle über den Prozess der Graphenerstellung. Es war äußerst schwierig, sie davon zu überzeugen, dass die automatische Erstellung des Graphen dies besser leisten kann als eine Person mit jahrelanger Erfahrung. Zeit und die mehrfachen „manuellen“ Überprüfungen der Ergebnisse des Graphen haben schließlich entscheidend beigetragen. Jetzt vertrauen unsere Experten nicht nur dem System, sondern nutzen auch die Ergebnisse, die es liefert, in ihrer täglichen Arbeit. Diese Technologie funktioniert in jedem unserer Systeme und ermöglicht eine bessere Erkennung von Bedrohungen jeglicher Art. Die Benutzeroberfläche für die manuelle Analyse des Graphen ist in alle Produkte von Group-IB integriert und erweitert die Möglichkeiten bei der Bekämpfung von Cyberkriminalität erheblich. Dies belegen die Rückmeldungen von Analysten aus dem Kreis unserer Kunden. Wir hingegen bereichern weiterhin den Graph mit Daten und arbeiten an neuen Algorithmen, die Künstliche Intelligenz nutzen, um einen möglichst präzisen Netzwerkgraphen zu erstellen.

Quelle: habr.com