Bei der Untersuchung von Fällen im Zusammenhang mit Phishing, Bot-Netzen, betrügerischen Transaktionen und kriminellen Hackergruppen verwenden die Experten von Group-IB seit vielen Jahren die Graphanalyse zur Identifizierung verschiedener Arten von Verbindungen. In den unterschiedlichen Fällen gibt es jeweils eigene Datensätze, spezielle Algorithmen zur Identifikation von Verbindungen und Schnittstellen, die auf bestimmte Aufgaben zugeschnitten sind. All diese Werkzeuge waren interne Entwicklungen von Group-IB und standen ausschließlich unseren Mitarbeitern zur Verfügung.

Graphanalyse der Netzwerk Infrastruktur (Netzwerkgraph) war das erste interne Tool, das wir in alle öffentlichen Produkte des Unternehmens integriert haben. Bevor wir unseren Netzwerkgraphen erstellt haben, haben wir viele ähnliche Entwicklungen auf dem Markt analysiert und kein Produkt gefunden, das unseren eigenen Anforderungen gerecht wurde. In diesem Artikel werden wir darüber berichten, wie wir den Netzwerkgraphen erstellt haben, wie wir ihn nutzen und mit welchen Schwierigkeiten wir konfrontiert waren.

Dmitrij Wolkow, CTO von Group-IB und Leiter der Abteilung für Cyber-Intelligence

Was kann der Netzwerkgraph von Group-IB?

Ermittlungen

Seit der Gründung von Group-IB im Jahr 2003 ist die Identifizierung, De-Anonymisierung und die Verfolgung von Cyberkriminellen unsere oberste Priorität. Keine Untersuchung einer Cyberattacke kam ohne die Analyse der Netzwerkstruktur der Angreifer aus. Zu Beginn unseres Weges war das eine recht mühsame "Handarbeit" zur Auffindung von Verbindungen, die bei der Identifizierung von Kriminellen helfen konnten: Informationen über Domainnamen, IP-Adressen, digitale Fingerabdrücke von Servern und mehr.

Die meisten Angreifer versuchen, im Internet so anonym wie möglich zu handeln. Doch wie alle Menschen machen sie Fehler. Die Hauptaufgabe einer solchen Analyse besteht darin, „weiße“ oder „graue“ historische Projekte von Angreifern zu finden, die Überschneidungen mit der bösartigen Infrastruktur aufweisen, die beim aktuellen Vorfall verwendet wird, den wir untersuchen. Wenn es gelingt, „weiße Projekte“ zu entdecken, wird es in der Regel trivial, den Angreifer zu identifizieren. Im Falle von „grauen“ Projekten erfordert die Suche mehr Zeit und Mühe, da deren Eigentümer versuchen, die Registrierungsdaten zu anonymisieren oder zu verbergen, jedoch bleibt die Chance relativ hoch. In der Regel schenken Angreifer zu Beginn ihrer kriminellen Aktivitäten ihrer eigenen Sicherheit weniger Aufmerksamkeit und machen mehr Fehler, daher steigt die Wahrscheinlichkeit eines erfolgreichen Ermittlungsverlaufs, je tiefer wir in die Geschichte eintauchen. Aus diesem Grund ist ein Netzwerkgraph mit einer guten Historie ein extrem wichtiges Element dieser Untersuchungen. Einfach gesagt, je tiefere historische Daten das Unternehmen hat, desto qualitativ hochwertiger ist sein Graph. Nehmen wir an, eine Geschichte von 5 Jahren könnte helfen, etwa 1-2 von 10 Verbrechen aufzuklären, während eine Geschichte von 15 Jahren Chancen bietet, alle zehn aufzuklären.

Identifizierung von Phishing und Betrug

Jedes Mal, wenn wir einen verdächtigen Link zu Phishing-, Betrugs- oder Raubkopierressourcen erhalten, erstellen wir automatisch einen Graph verlinkter Netzwerkressourcen und überprüfen alle gefundenen Hosts auf ähnlichen Inhalt. Dies ermöglicht es, sowohl alte Phishing-Websites zu finden, die aktiv waren, aber unbekannt sind, als auch absolut neue, die für zukünftige Angriffe vorbereitet, aber noch nicht genutzt werden. Ein einfaches Beispiel, das häufig vorkommt: Wir haben eine Phishing-Website auf einem Server gefunden, auf dem insgesamt nur 5 Websites gehostet sind. Durch die Überprüfung jeder einzelnen stellen wir fest, dass auf den anderen Websites ebenfalls Phishing-Inhalte vorhanden sind, sodass wir 5 anstelle von 1 blockieren können.

Suche nach Backends

Dieser Prozess ist notwendig, um festzustellen, wo sich der bösartige Server tatsächlich befindet.
99 % der Cardshops, Hackerforen, viele Phishing-Ressourcen und andere bösartige Server verstecken sich sowohl hinter eigenen Proxy-Servern als auch hinter Proxys legitimer Dienste wie Cloudflare. Das Wissen über das tatsächliche Backend ist für Ermittlungen sehr wichtig: Der Hosting-Anbieter wird bekannt, von dem aus der Server beschlagnahmt werden kann, und es entsteht die Möglichkeit, Verbindungen zu anderen bösartigen Projekten aufzubauen.

Zum Beispiel haben Sie eine Phishing-Website zur Sammlung von Kreditkartendaten, die auf die IP-Adresse 11.11.11.11 aufgelöst wird, und die Adresse des Cardshops, die auf die IP-Adresse 22.22.22.22 aufgelöst wird. Bei der Analyse könnte sich herausstellen, dass sowohl die Phishing-Website als auch der Cardshop eine gemeinsame IP-Adresse des Backends haben, zum Beispiel 33.33.33.33. Dieses Wissen ermöglicht es, eine Verbindung zwischen Phishing-Angriffen und dem Cardshop herzustellen, in dem möglicherweise Kreditkartendaten verkauft werden.

Ereigniskorrelation

Wenn Sie zwei verschiedene Auslösungen (nehmen wir an, auf IDS) mit unterschiedlicher Schadsoftware und unterschiedlichen Servern für die Angriffssteuerung haben, würden Sie sie als zwei unabhängige Ereignisse betrachten. Wenn jedoch eine gute Verbindung zwischen den bösartigen Infrastrukturen besteht, wird offensichtlich, dass es sich nicht um verschiedene Angriffe handelt, sondern um Phasen eines komplexeren mehrstufigen Angriffs. Wenn eines der Ereignisse bereits einer Gruppe von Angreifern zugeordnet wurde, dann kann auch das zweite diesem gleichen Kreis zugeordnet werden. Natürlich ist der Prozess der Attribuierung bedeutend komplexer, daher betrachten Sie das Geschriebene nur als einfaches Beispiel.

Anreicherung von Indikatoren

Wir werden diesem nicht viel Aufmerksamkeit schenken, da es das häufigste Nutzungsszenario von Graphen in der Cybersicherheit ist: Sie geben einen Indikator ein und erhalten ein Array von zugehörigen Indikatoren aus.

Mustererkennung

Die Mustererkennung ist notwendig für ein effektives Hunting. Graphen ermöglichen nicht nur das Auffinden verwandter Elemente, sondern auch das Identifizieren gemeinsamer Eigenschaften, die einer bestimmten Hackergruppe eigen sind. Das Wissen um solche einzigartigen Merkmale erlaubt es, die Infrastruktur der Angreifer bereits in der Vorbereitung zu erkennen, ohne Beweise für den Angriff, wie Phishing-E-Mails oder Schadprogramme, zu haben.

Warum haben wir unser eigenes Netzwerkdiagramm erstellt?

Ich wiederhole, dass wir Lösungen von verschiedenen Anbietern betrachtet haben, bevor wir zu dem Schluss kamen, dass wir ein eigenes Werkzeug entwickeln müssen, das Fähigkeiten hat, die in keinem bestehenden Produkt vorhanden sind. Die Erstellung dauerte mehrere Jahre, in denen wir es mehrmals komplett umgestaltet haben. Trotz der langen Entwicklungszeit haben wir bis heute kein einziges Analogon gefunden, das unseren Anforderungen genügt. Mit unserem eigenen Produkt konnten wir letztendlich praktisch alle von uns festgestellten Probleme in den bestehenden Netzwerkgraphen lösen. Im Folgenden werden wir diese Probleme im Detail betrachten:

Problem
Lösung

Fehlende Anbieter mit verschiedenen Datensammlungen: Domains, passive DNS, passive SSL, DNS-Einträge, offene Ports, laufende Dienste auf Ports, Dateien, die mit Domainnamen und IP-Adressen interagieren. Erklärung. In der Regel bieten Anbieter separate Datentypen an, und um ein vollständiges Bild zu erhalten, muss man bei allen Abonnements kaufen. Aber selbst dann gelingt es nicht immer, alle Daten zu erhalten: Einige Anbieter von passiven SSL bieten nur Daten zu Zertifikaten an, die von vertrauenswürdigen CA ausgestellt wurden, während die Abdeckung selbstsignierter Zertifikate äußerst schlecht ist. Andere bieten auch Daten zu selbstsignierten Zertifikaten an, sammeln diese jedoch nur von Standardports.
Wir haben alle oben genannten Sammlungen selbst erstellt. Zum Beispiel haben wir für die Datensammlung von SSL-Zertifikaten einen eigenen Dienst geschrieben, der sie sowohl von vertrauenswürdigen CA als auch durch Scannen des gesamten IPv4-Bereichs sammelt. Die Zertifikate wurden nicht nur von IPs, sondern auch von allen Domains und Subdomains aus unserer Datenbank gesammelt: Wenn Sie eine Domain example.com und ihre Subdomain haben www.example.com und alle resolvieren sich auf die IP 1.1.1.1, dann können Sie bei dem Versuch, ein SSL-Zertifikat über Port 443 von der IP, der Domain und ihrer Subdomain zu erhalten, drei verschiedene Ergebnisse erzielen. Für die Datensammlung über offene Ports und laufende Dienste mussten wir unser eigenes verteiltes Scannersystem aufbauen, da die IP-Adressen der scannenden Server anderer Dienste oft auf „schwarzen Listen“ standen. Unsere Scannerserver landen ebenfalls auf „schwarzen Listen“, aber das Ergebnis des Auffindens der benötigten Dienste ist höher als bei denen, die einfach versuchen, so viele Ports wie möglich zu scannen und Zugang zu diesen Daten zu verkaufen.

Fehlender Zugriff auf die gesamte Datenbank historischer Aufzeichnungen. Erklärung. Jeder normale Anbieter hat eine gute kumulierte Historie, aber aus natürlichen Gründen konnten wir als Kunde keinen Zugriff auf alle historischen Daten erhalten. Das heißt, man kann die gesamte Geschichte zu einem einzelnen Datensatz wie einer Domain oder IP-Adresse einsehen, aber nicht die gesamte Geschichte – ohne dies ist es unmöglich, das Gesamtbild zu sehen.
Um möglichst viele historische Aufzeichnungen zu Domains zu sammeln, haben wir verschiedene Datenbanken aufgekauft, eine Vielzahl öffentlicher Ressourcen durchsucht, die über diese Geschichte verfügten (zum Glück gab es davon viele) und uns mit Domainregistraren geeinigt. Alle Aktualisierungen in unseren eigenen Sammlungen werden natürlich mit der vollständigen Historie der Änderungen gespeichert.

Alle bestehenden Lösungen ermöglichen den manuellen Aufbau eines Graphen. Erklärung. Angenommen, Sie haben viele Abonnements von allen möglichen Datenanbietern gekauft (im Allgemeinen werden sie als „Anreicherer“ bezeichnet). Wenn Sie einen Graphen erstellen müssen, geben Sie „manuell“ den Befehl, von dem benötigten Element die Verbindungen zu vervollständigen, und wählen dann aus den neu erschienenen Elementen die gewünschten aus und geben erneut den Befehl, die Verbindungen von diesen aus zu vervollständigen usw. In diesem Fall liegt die Verantwortung dafür, wie hochwertig der Graph erstellt wird, vollständig beim Menschen.
Wir haben eine automatische Erstellung von Graphen implementiert. Das heißt, wenn Sie einen Graphen erstellen möchten, dann werden die Verbindungen vom ersten Element automatisch aufgebaut, danach auch von allen nachfolgenden. Der Spezialist gibt lediglich die Tiefe an, von der aus der Graph erstellt werden soll. Der Prozess des automatischen Aufbaus von Graphen ist einfach, aber andere Anbieter setzen ihn nicht um, da er eine riesige Anzahl irrelevanter Ergebnisse liefert und dieses Manko mussten wir ebenfalls berücksichtigen (siehe unten).

Eine Vielzahl irrelevanter Ergebnisse ist ein Problem aller Graphen von Netzwerkelementen. Erklärung. Zum Beispiel ist eine "schlechte Domain" (beteiligt an einem Angriff) mit einem Server verbunden, der in den letzten 10 Jahren mit 500 anderen Domains verknüpft war. Bei manueller Hinzufügung oder automatischer Erstellung des Graphen müssen alle diese 500 Domains ebenfalls im Graphen erscheinen, obwohl sie nichts mit dem Angriff zu tun haben. Oder zum Beispiel überprüfen Sie einen IP-Indikator aus einem Sicherheitsbericht des Anbieters. In der Regel werden solche Berichte mit erheblicher Verzögerung veröffentlicht und decken oft ein Jahr und mehr ab. Höchstwahrscheinlich war der Server mit der IP-Adresse zu dem Zeitpunkt, als Sie den Bericht lasen, bereits an andere Personen mit anderen Verbindungen vermietet, und der Graph würde dazu führen, dass Sie erneut irrelevante Ergebnisse erhalten.
Wir haben das System darauf trainiert, irrelevante Elemente nach der gleichen Logik zu identifizieren, die unsere Experten manuell verwendeten. Zum Beispiel überprüfen Sie die schlechte Domain example.com, die jetzt auf die IP 11.11.11.11 aufgelöst wird, und vor einem Monat auf die IP 22.22.22.22. Mit der IP 11.11.11.11 ist zusätzlich zur Domain example.com auch example.ru verbunden, während mit der IP 22.22.22.22 25.000 andere Domains verbunden sind. Das System versteht, ebenso wie ein Mensch, dass 11.11.11.11 höchstwahrscheinlich ein dedizierter Server ist, und da die Domain example.ru ähnlich zu example.com ist, besteht eine hohe Wahrscheinlichkeit, dass sie verbunden sind und im Graphen erscheinen sollten; und die IP 22.22.22.22 gehört zu Shared Hosting, weshalb es nicht notwendig ist, alle seine Domains im Graphen darzustellen, wenn es keine anderen Verbindungen gibt, die zeigen, dass eine dieser 25.000 Domains ebenfalls dargestellt werden sollte (z.B. example.net). Bevor das System versteht, dass Verbindungen getrennt werden müssen und einige Elemente nicht im Graphen dargestellt werden sollen, berücksichtigt es eine Vielzahl von Eigenschaften der Elemente und Cluster, in die diese Elemente gruppiert sind, sowie die Stärke der aktuellen Verbindungen. Zum Beispiel, wenn wir im Graphen einen kleinen Cluster (50 Elemente) haben, zu dem eine schlechte Domain gehört, und einen weiteren großen Cluster (5.000 Elemente) und beide Cluster mit einer Verbindung (Linie) verbunden sind, deren Stärke (Gewicht) sehr gering ist, dann wird diese Verbindung getrennt und die Elemente aus dem großen Cluster werden gelöscht. Aber wenn es viele Verbindungen zwischen dem kleinen und dem großen Cluster gibt und ihre Stärke schrittweise erhöht wird, dann bleibt diese Verbindung bestehen und die benötigten Elemente aus beiden Clustern bleiben im Graphen.

Der Zeitraum des Besitzes von Servern und Domains wird nicht berücksichtigt. Erklärung. Die Registrierungsdauer von "schlechten Domains" läuft früher oder später ab, und sie werden wieder für böswillige oder legitime Zwecke gekauft. Selbst bei bulletproof-Hostern werden Server an verschiedene Hacker vermietet, weshalb es entscheidend ist, den Zeitraum zu wissen und zu berücksichtigen, in dem eine bestimmte Domain/Server unter der Kontrolle eines einzigen Besitzers stand. Wir sehen häufig Situationen, in denen ein Server mit der IP 11.11.11.11 jetzt als C&C für Bankbot-Software genutzt wird, während er vor 2 Monaten von Ransomware betrieben wurde. Wenn man Verbindungen herstellt, ohne die Besitzzeiträume zu berücksichtigen, könnte es den Anschein haben, dass es eine Verbindung zwischen den Besitzern des Bankbot-Netzwerks und den Erpressern gibt, obwohl dies in Wirklichkeit nicht der Fall ist. Solch ein Fehler ist in unserer Arbeit kritisch.
Wir haben das System darauf trainiert, Besitzzeiträume zu bestimmen. Bei Domains ist das relativ einfach, da im Whois oft Anfangs- und Enddaten der Registrierung angegeben sind, und wenn die vollständige Historie der Whois-Änderungen vorhanden ist, lässt sich der Zeitraum leicht ermitteln. Wenn die Registrierungsdauer einer Domain noch nicht abgelaufen ist, aber die Verwaltung an andere Besitzer übertragen wurde, lässt sich dies ebenfalls verfolgen. Bei SSL-Zertifikaten gibt es dieses Problem nicht, da sie einmal ausgestellt werden, nicht verlängert und nicht übertragen werden. Bei selbstsignierten Zertifikaten kann man den angegebenen Gültigkeitsdaten jedoch nicht vertrauen, weil man heute ein SSL-Zertifikat generieren kann und das Datum des Beginns der Gültigkeit auf das Jahr 2010 setzen kann. Am schwierigsten ist es, Besitzzeiträume für Server zu bestimmen, da nur Hosting-Anbieter Daten und Mietfristen haben. Um den Besitzzeitraum eines Servers zu bestimmen, begannen wir, die Ergebnisse von Portscans und die Fingerabdrücke der auf den Ports ausgeführten Dienste zu nutzen. Anhand dieser Informationen können wir ziemlich genau sagen, wann der Besitzer des Servers gewechselt hat.

Wenige Verbindungen. Erklärung. Es ist heutzutage kein Problem, sogar kostenlos eine Liste von Domains zu erhalten, in deren Whois eine bestimmte E-Mail-Adresse angegeben ist, oder alle Domains zu erfahren, die mit einer bestimmten IP-Adresse verbunden sind. Wenn es jedoch um Hacker geht, die alles tun, um schwer zu verfolgen zu sein, sind zusätzliche „Tricks“ erforderlich, um neue Eigenschaften zu finden und neue Verbindungen herzustellen.
Wir haben viel Zeit damit verbracht, zu erforschen, wie man Daten extrahiert, die auf herkömmliche Weise nicht zugänglich sind. Aus verständlichen Gründen können wir hier nicht erklären, wie das funktioniert, aber unter bestimmten Umständen machen Hacker bei der Registrierung von Domains oder der Miete und Konfiguration von Servern Fehler, die es ermöglichen, E-Mail-Adressen, Pseudonyme von Hackern und Backend-Adressen zu ermitteln. Je mehr Verbindungen Sie extrahieren, desto genauer können Grafiken erstellt werden.

Wie unser Graph funktioniert

Um mit dem Netzwerkgraph zu beginnen, müssen Sie in die Suchleiste eine Domain, eine IP-Adresse, eine E-Mail oder einen Fingerabdruck eines SSL-Zertifikats eingeben. Es gibt drei Bedingungen, die der Analyst steuern kann: Zeit, Schritttiefe und Bereinigung.

Zeit

Zeit – Datum oder Zeitraum, in dem das gesuchte Element für böswillige Zwecke verwendet wurde. Wenn dieser Parameter nicht angegeben wird, bestimmt das System selbst den letzten Besitzzeitraum dieser Ressource. Zum Beispiel veröffentlichte die Firma Eset am 11. Juli einen Bericht darüber, wie Buhtrap einen 0-Day-Exploit für Cyber-Spionage nutzt. Am Ende des Berichts gibt es 6 Indikatoren. Einer von ihnen, secure-telemetry[.]net, wurde am 16. Juli erneut registriert. Wenn Sie also nach dem 16. Juli Grafiken erstellen, erhalten Sie irrelevante Ergebnisse. Wenn Sie jedoch angeben, dass diese Domain bis zu diesem Datum verwendet wurde, kommen 126 neue Domains, 69 IP-Adressen, die nicht im Eset-Bericht erwähnt werden, in das Diagramm:

• ukrfreshnews[.]com
• unian-search[.]com
• vesti-world[.]info
• runewsmeta[.]com
• foxnewsmeta[.]biz
• sobesednik-meta[.]info
• rian-ua[.]net
• usw.

Neben den Netzwerkindikatoren finden wir sofort Verbindungen zu bösartigen Dateien, die mit dieser Infrastruktur und Tags verbunden sind, die uns darauf hinweisen, dass Meterpreter, AZORult verwendet wurden.

Das Erstaunlichste ist, dass Sie dieses Ergebnis innerhalb von einer Sekunde erhalten, und Sie müssen keine Tage mit der Datenauswertung verbringen. Dieser Ansatz verkürzt definitiv manchmal die Ermittlungszeiten erheblich, was häufig kritisch ist.

Anzahl der Schritte oder Schritttiefe, mit der der Graph erstellt wird

Standardmäßig beträgt die Tiefe 3. Das bedeutet, dass von dem gesuchten Element alle direkt verbundenen Elemente gefunden werden, dann werden von jedem neuen Element neue Verbindungen zu anderen Elementen erstellt, und bereits von den neuen Elementen, die im vorherigen Schritt gefunden wurden, wird es neue Elemente geben.

Nehmen wir ein Beispiel, das nicht mit APT und 0-Day-Exploits zu tun hat. Kürzlich wurde auf Habré ein interessanter Fall von Betrug im Zusammenhang mit Kryptowährungen beschrieben. Der Bericht erwähnt die Domain — themcx[.]co, die von Betrügern für das Hosting der vermeintlichen Wechselstube Miner Coin Exchange verwendet wird, und phone-lookup[.]xyz, um Traffic zu generieren.

Aus der Beschreibung geht hervor, dass das Schema eine recht umfangreiche Infrastruktur erfordert, um Traffic zu betrügerischen Ressourcen zu leiten. Wir haben uns entschieden, diese Infrastruktur zu untersuchen, indem wir ein Graf in 4 Schritten gebaut haben. Am Ende hatten wir ein Graf mit 230 Domains und 39 IP-Adressen. Danach teilen wir die Domains in 2 Kategorien auf: solche, die wie Dienste für Kryptowährungen aussehen, und solche, die dazu dienen, Traffic durch Telefonprüfdienste zu generieren:

Mit Kryptowährung verbunden
Mit Telefonprüfdiensten verbunden

coinkeeper[.]cc
caller-record[.]site.

mcxwallet[.]co
phone-records[.]space

btcnoise[.]com
fone-uncover[.]xyz

cryptominer[.]watch
number-uncover[.]info

Bereinigung

Standardmäßig ist die Option "Graf bereinigen" aktiviert und alle irrelevanten Elemente werden vom Graf entfernt. Übrigens wurde sie auch in allen vorherigen Beispielen verwendet. Ich erwarte die natürliche Frage: Wie kann man sicherstellen, dass nichts Wichtiges gelöscht wird? Ich antworte: Für Analysten, die es lieben, Grafen manuell zu erstellen, kann die automatisierte Bereinigung deaktiviert werden, und die Anzahl der Schritte kann auf 1 gesetzt werden. Danach kann der Analyst den Graf mit den für ihn relevanten Elementen erweitern und irrelevante Elemente, die nicht zur gestellten Aufgabe passen, aus dem Graf entfernen.

Bereits im Graf stehen dem Analysten die Historie der whois-Änderungen, DNS sowie offene Ports und die darauf laufenden Dienste zur Verfügung.

Finanzieller Phishing

Wir haben die Aktivitäten einer APT-Gruppe untersucht, die über mehrere Jahre hinweg Phishing-Angriffe auf Kunden verschiedener Banken in unterschiedlichen Regionen durchgeführt hat. Ein charakteristisches Merkmal dieser Gruppe war die Registrierung von Domains, die sehr ähnlich den Namen realer Banken waren, während die meisten Phishing-Websites ein identisches Design aufwiesen; die Unterschiede lagen nur in den Namen der Banken und ihren Logos.

In diesem Fall hat uns die automatisierte Graphenanalyse sehr geholfen. Wir haben einen ihrer Domains - lloydsbnk-uk[.]com - genommen und innerhalb von Sekunden einen Graphen mit einer Tiefe von 3 Schritten erstellt, der mehr als 250 bösartige Domains aufdeckte, die von dieser Gruppe seit 2015 verwendet wurden und weiterhin verwendet werden. Einige dieser Domains wurden bereits von Banken aufgekauft, aber anhand historischer Aufzeichnungen ist zu sehen, dass sie früher auf die Angreifer registriert waren.

Zur Veranschaulichung ist im Bild ein Graph mit einer Tiefe von 2 Schritten dargestellt.

Bemerkenswerterweise haben die Angreifer bereits 2019 ihre Taktik etwas geändert und begannen, nicht nur Bankdomains für das Hosting von Web-Phishing zu registrieren, sondern auch Domains verschiedener Beratungsunternehmen für den Versand von Phishing-E-Mails. Zum Beispiel die Domains swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

Cobalt Gang

Im Dezember 2018 versandte die Hackergruppe Cobalt, die sich auf gezielte Angriffe auf Banken spezialisiert hat, eine E-Mail im Namen der Nationalbank Kasachstans.

In den E-Mails waren Links zu hXXps://nationalbank.bz/Doc/Prikaz.doc enthalten. Das herunterladbare Dokument enthielt ein Makro, das PowerShell startet und versucht, eine Datei von hXXp://wateroilclub.com/file/dwm.exe in %Temp%einmrmdmy.exe herunterzuladen und auszuführen. Die Datei %Temp%einmrmdmy.exe aka dwm.exe ist ein CobInt Stager, der für die Interaktion mit dem Server hXXp://admvmsopp.com/rilruietguadvtoefmuy konfiguriert ist.

Stellen Sie sich vor, Sie haben nicht die Möglichkeit, diese Phishing-E-Mails zu erhalten und eine vollständige Analyse der bösartigen Dateien durchzuführen. Der Graph für die bösartige Domain nationalbank[.]bz zeigt sofort die Verbindungen zu anderen bösartigen Domains, attribuiert dies zur Gruppe und zeigt, welche Dateien in dem Angriff verwendet wurden.

Nehmen wir aus diesem Graphen die IP-Adresse 46.173.219[.]152 und erstellen wir in einem Durchgang einen Graphen, während wir die Bereinigung deaktivieren. Damit sind 40 Domains verbunden, zum Beispiel bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

Anhand der Domainnamen scheint es, dass sie in betrügerischen Schemen verwendet werden, aber der Bereinigungsalgorithmus hat erkannt, dass sie mit diesem Angriff nichts zu tun haben und sie daher nicht im Graphen angezeigt, was den Analyse- und Attributionsprozess erheblich vereinfacht.

Wenn man den Graphen für nationalbank[.]bz erneut erstellt, aber den Bereinigungsalgorithmus deaktiviert, ergibt sich mehr als 500 Elemente, von denen der Großteil weder mit der Cobalt-Gruppe noch mit ihren Angriffen in Verbindung steht. Ein Beispiel dafür, wie ein solcher Graph aussieht, wird unten dargestellt:

Fazit

Nach mehreren Jahren feiner Anpassungen, Tests in echten Ermittlungen, Bedrohungsforschung und Verfolgung von Angreifern ist es uns gelungen, nicht nur ein einzigartiges Werkzeug zu schaffen, sondern auch die Einstellung der Experten innerhalb des Unternehmens zu ihm zu ändern. Zunächst wollten die technischen Experten die volle Kontrolle über den Prozess der Grafikerstellung. Sie davon zu überzeugen, dass die automatische Grafikerstellung das besser machen kann als ein Mensch mit jahrelanger Erfahrung, war äußerst schwierig. Die Zeit und wiederholte „manuelle“ Überprüfungen der Ergebnisse, die der Graf erzeugt hat, haben alles entschieden. Jetzt vertrauen unsere Experten nicht nur dem System, sondern nutzen auch die von ihm generierten Ergebnisse in ihrer täglichen Arbeit. Diese Technologie arbeitet innerhalb jedes unserer Systeme und ermöglicht eine bessere Erkennung von Bedrohungen jeglicher Art. Die Benutzeroberfläche für die manuelle Analyse des Grafen ist in alle Produkte von Group-IB integriert und erweitert die Möglichkeiten zur Bekämpfung von Cyberkriminalität erheblich. Dies bestätigen die Rückmeldungen von Analysten unserer Kunden. Wir wiederum bereichern das Diagramm weiterhin mit Daten und arbeiten an neuen, auf künstlicher Intelligenz basierenden Algorithmen, um ein möglichst genaues Netzwerkdiagramm zu erstellen.

Quelle: habr.com