Viirusettevõtted, IBE eksperdid ja lihtsalt entusiastid loovad internetis lõksusüsteeme — honeypote, et "püüda elusat" uut viirusetüüpi või tuvastada ebatavalisi häkkerite taktikaid. Honeypote on nii levinud, et küberkurjategijatel on tekkinud omamoodi immuunsus: nad tuvastavad kiiresti, et nende ees on lõks ja lihtsalt ignoreerivad seda. Uuringute läbiviimiseks tänapäevaste häkkerite taktikate kohta lõime realistliku honeypoti, mis elas internetis seitse kuud, meelitades igasuguseid rünnakuid. Kuidas see kõik toimus, rääkisime oma uuringus "». Mõned faktid uuringust – selles postituses.
Honeypoti Arendamine: Kontrollnimekiri
Peamine eesmärk meie superlõksu loomisel oli vältida küberkurjategijate avastamist, kes olid sellele huvi tundnud. Selleks tuli teha suur töö:
- Luua realistlik ettevõtte legend, mis hõlmab töötajate nimesid ja pilte, telefoninumbrit ja e-kirju.
- Kujundada ja ellu viia tööstusliku infrastruktuuri mudel, mis vastab meie ettevõtte tegevuse legendile.
- Otsustada, millised võrguteenused on väljastpoolt saadaval, kuid mitte avada haavatavaid porte, et see ei näeks välja nagu lõks lihtsameelsetele.
- Luua mulje informatsiooni lekitamisest haavatava süsteemi kohta ja levitada neid andmeid potentsiaalsete ründajate seas.
- Teostada diskreetne jälgimistöö häkkerite tegevuse üle meie lõksu infrastruktuuris.
Ja nüüd kõigest järgemööda.
Loome Legendi
Küberkurjategijad on juba harjunud kohtuma paljude honeypotidega, seetõttu viib kõige arenenum nende osa süvitsi uurimise iga haavatava süsteemi, et veenduda, et see ei ole lõks. Sama põhjusel püüdsime saavutada mitte ainult honeypoti realistlikkust disaini ja tehniliste aspektide osas, vaid luua ka mulje tõelisest ettevõttest.
Asetades end hüpoteetilise kulhäkkeri rolli, töötasime välja kontrollalgoritmi, mis eristaks reaalse süsteemi lõksust. See hõlmas ettevõtte IP-aadresside otsimist maine süsteemidest, IP-aadresside ajaloo tagasipööramist, ettevõtte ning tema partnerite nimede ja märksõnade otsimist ning palju muud. Lõpptulemus oli üsna veenev ja atraktiivne.
Otsustasime, et lõksu tehas positsioneeritakse väikese, tööstusliku prototüüpimise butiigina, mis teenindab väga suuri anonüümseid kliente kaitse- ja lennundussektoris. See vabastas meid juriidilistest probleemidest, mis olid seotud olemasoleva brändi kasutamisega.
Järgmisena pidime välja mõtlema organisatsiooni visiooni, missiooni ja nime. Otsustasime, et meie ettevõte saab olema idufirma vähese töötajate arvuga, kus igaühel on kaasasutaja staatus. See lisas usku legendi meie äri spetsialiseerumise kohta, mis võimaldab meil tegeleda delikaatsete projektidega suurte ja oluliste klientide jaoks. Soovisime, et meie ettevõte näeks välja haavatav küberkaitse seisukohalt, kuid samas oleks selge, et tööleme oluliste varadega sihtsüsteemides.
Screenshot MeTechi honeypot veebisaidist. Allikas: Trend Micro
Ettevõtte nimeks valisime sõna MeTech. Veebileht loodi tasuta mallil. Pildid võeti fotopankadest, kasutades kõige vähem populaarseid ja muutes neid, et teha need vähem tuntuks.
Soovisime, et ettevõte näeks välja ehtne, seega oli vaja lisada töötajad professionaalsete oskustega, mis vastavad tegevusprofiilile. Väljamõeldud nimede ja isikute põhjal valisime seejärel fotopankadest sobivad pildid vastavalt etnilisele kuuluvusele.
Screenshot MeTechi honeypot veebisaidist. Allikas: Trend Micro
Kuna me ei soovinud end paljastada, otsisime hea kvaliteediga grupifotosid, kust saaksime sobivad näod valida. Kuid loobusime sellest valikust, kuna potentsiaalne häkker võis kasutada piltide tagasipööramist ja avastada, et meie "töötajad" elavad ainult fotopankades. Lõpuks kasutasime fotode loomisel närvivõrke, mis genereerivad mitteeksisteerivaid inimesi.
Veebisaidil avaldatud töötajate profiilid sisaldasid olulist teavet nende tehniliste oskuste kohta, kuid me vältisime konkreetsete haridusasutuste ja linnade nimetamise.
Me kasutasime postkastide loomiseks hostimise teenusepakkuja serverit ning seejärel rendisime mitmeid telefoninumbrid Ameerika Ühendriikides ja sidusime need virtuaalsesse PBX-i koos häälmenüü ja kõneautomaatiga.
Haniipoti infrastruktuur
Kuna soovime vältida paljastamist, otsustasime kasutada kombinatsiooni tõelisest tööstuslikust varustusest, füüsilistest arvutitest ja kaitstud virtuaalmasinatest. Kiirelt öeldes verifitseerisime meie jõupingutuste tulemused otsingumootori Shodan abil, ja see näitas, et haniipot näeb välja nagu tõeline tööstussüsteem.
Haniipoti skaneerimise tulemus Shodaniga. Allikas: Trend Micro
Meie lõksu «riistvara» olid neli PLC-d:
- Siemens S7-1200,
- kaks Allen-Bradley MicroLogix 1100,
- Omron CP1L.
Need PLC-d valiti nende populaarsuse tõttu ülemaailmses juhtimisseadmete turul. Samuti kasutab igaüks neist oma protokolli, mis lubas meil testida, milline PLC jääb sagedamini rünnakute alla ja kas need huvitavad kedagi üldse.
Meie «tehase» lõksu varustus. Allikas: Trend Micro
Me ei pannud lihtsalt seadmeid paika ja ei ühendanud neid internetti. Iga kontroller oli programmeeritud läbi viima ülesandeid, sealhulgas
- segamine,
- põlemise ja konveijerilindi juhtimine,
- paletiseerimine robotmanipulaatori abil.
Kuna tootmisprotsess pidi olema realistlik, programmeerisime loogika tagasiside parameetrite juhuslikuks muutmiseks, mootorite käivitamise ja peatamise simuleerimiseks, põlemise sisse- ja väljalülitamiseks.
Meie tehases oli kolm virtuaalset arvutit ja üks füüsiline. Virtuaalarvuteid kasutati tehase, paletiseerimise roboti juhtimiseks ja PLC insener-programmeerija töökoha jaoks. Füüsiline arvuti toimis failiserverina.
Lisaks rünnakute jälgimise PLC-de suhtes soovisime jälgida ka meie seadmetesse laaditud programmide seisukorda. Selle saavutamiseks lõime liidese, mis võimaldas kiiresti kindlaks teha, kuidas olid muudetud meie virtuaalsete täitevmehhanismide ja seadistuste olekud. Juba planeerimise etapis avastasime, et on palju lihtsam seda rakendada juhtprogrammi kaudu kui otsese programmimise kaudu kontrolleri loogika jaoks. Seadmestiku juhtimise liidesele meie honeypotis andsime juurdepääsu VNC kaudu ilma paroolita.
Tööstusrobotid on kaasaegse nutika tootmise võtmekomponent. Seetõttu otsustasime lisada robotit ja ARM-i selle haldamiseks meie lõksufabriika seadmete hulka. Selleks, et "tehast" realistlikumaks muuta, paigaldasime robotihalduse ARM-ile tõelise tarkvara, mida insenerid kasutavad roboti loogika graafiliseks programmeerimiseks. Kuna tööstusrobotid asuvad tavaliselt isoleeritud sisevõrgus, otsustasime jätta VNC kaudu kaitsmata juurdepääsu ainult robotihalduse ARM-ile.
RobotStudio keskkond koos meie roboti 3D mudeliga. Allikas: Trend Micro
Robotihalduse virtuaalmasinas paigaldasime ABB Roboticsi programmeerimiskeskkonna RobotStudio. RobotStudio seadistades avasime seal simulatsioonifaili meie robotiga nii, et selle 3D-pilt oleks ekraanil nähtav. Seetõttu saavad Shodan ja muud otsingumootorid, avastades kaitsmata VNC-serveri, selle ekraanipildi ja näitavad seda neile, kes otsivad tööstusroboteid, kellel on avatud juhtimise juurdepääs.
Selle detailide jälgimise mõte oli luua atraktiivne ja võimalikult realistlik sihtmärgiks kurjategijatele, kes tuvastasid selle ja naasid sinna pidevalt tagasi.
Inseneri ARM
PLC loogika programmeerimiseks lisasime infrastruktuuri inseneri arvuti. Sellele paigaldati tööstustarkvara PLC programmeerimiseks:
- TIA Portal Siemensile,
- MicroLogix Allen-Bradley kontrollerile,
- CX-One Omronile.
Oleme otsustanud, et inseneri töökoht ei ole väljaspool võrgus kergesti kättesaadav. Selle asemel oleme sellele seadnud sama administraatori konto parooli, nagu on internetist ligipääsetavatel roboti juhtimise ja tehase juhtimise ARM-del. See konfiguratsioon on paljudes ettevõtetes piisavalt levinud.
Kahjuks, vaatamata meie kõigile pingutustele, ei ole ükski ründaja inseneri ARM-ile saanud ligi.
Failiserver
See oli vajalik meelitada kurjategijaid ning varundada meie enda "tööd" lõksutehases. See võimaldas meil faile vahetada meie honeypoti ja USB-seadmete abil, jätmata jälgi lõksu võrgus. Failiserveri operatsioonisüsteemiks paigaldasime Windows 7 Pro, kus tegime jaotatud kausta, mis oli kõigile lugemiseks ja kirjutamiseks avatud.
Alguses me ei loonud failiserveris mingit kaustade ja dokumentide hierarhiat. Kuid hiljem selgus, et ründajad uurivad aktiivselt seda kausta, mistõttu otsustasime seda erinevate failidega täita. Selleks kirjutasime Python-skripti, mis genereeris juhuslikus suuruses faili mõne antud laiendiga, moodustades nime sõnastiku põhjal.
Skript atraktiivsete faili nimede genereerimiseks. Allikas: Trend Micro
Pärast skripti käivitamist saime vajaliku tulemuse kaustana, mis oli täidetud väga huvitavate nimedega failidega.
Skripti töö tulemus. Allikas: Trend Micro
Jälgimisümbrus
Pärast nii palju pingutusi realistliku ettevõtte loomisel ei saanud me lihtsalt endale lubada, et meie jälgimisümbrus meie "külaliste" jälgimisel ebaõnnestuks. Me pidime saama kõik andmed reaalajas viisil, et ründajad ei märkaks, et neid jälgitakse.
Rakendasime seda nelja USB-Ethernet-adapteri, nelja SharkTap Ethernet jaoturi, Raspberry Pi 3 ja suure välise ketta abil. Meie võrgu skeem nägi välja selline:
Honeypoti võrgu skeem jälgimisseadmetega. Allikas: Trend Micro
Paigaldasime kolm SharkTap jaoturit nii, et jälgida kogu välist liiklust PLC-dele, mis on kergesti kättesaadavad ainult sisemiselt. Neljas SharkTap jälgis ründaja haavatava virtuaalkine liiklust.
Ethernet jaotur SharkTap ja marsruuter Sierra Wireless AirLink RV50. Allikas: Trend Micro
Raspberry Pi tegi igapäevast liikluse jälgimist. Internetiühenduse korraldasime Sierra Wireless AirLink RV50 mobiilse marsruuteri abil, mida kasutatakse sageli tööstusettevõtetes.
Kahjuks ei võimaldanud see marsruuter rünnakute selektiivset blokeerimist, mis ei vastanud meie plaanidele, seega lisasime võrku Cisco ASA 5505 tulemüüri läbipaistvas režiimis, et blokeerimist teostada minimaalsete mõjude korral võrku.
Liikluse analüüs
Tshark ja tcpdump on sobivad kiirete probleemide lahendamiseks, kuid meie puhul polnud nende võimalused piisavad, kuna meil oli palju gigabaites liiklust, mille analüüsiga tegeles mitu inimest. Kasutasime AOL-i välja töötatud avatud lähtekoodiga analyut Molochit. Selle funktsionaalsus on võrreldav Wiresharkiga, kuid see pakub rohkem võimalusi koostööks, pakettide kirjeldamiseks ja märgistamiseks, eksportimiseks ja muude ülesannete jaoks.
Kuna me ei soovinud kogutud andmeid töödelda honeypoti arvutites, eksportisime PCAP-dumpe igapäevaselt AWS-i salvestusse, kust me impordisime need juba Molochiga masinasse.
Ekraani salvestamine
Häkkerite tegevuse dokumenteerimiseks meie honeypotis kirjutasime skripti, mis määratud intervallide järel tegi virtuaalmasinast ekraanivõtteid ja võrreldes eelneva ekraanipildiga tuvastas, kas seal toimub midagi või mitte. Tegevuse tuvastamisel käivitas skript ekraani salvestamise. See lähenemine osutus kõige tõhusamaks. Üritasime ka analüüsida VNC-liiklust PCAP-dumpist, et mõista, millised muudatused süsteemis toimusid, kuid lõpuks osutus meie rakendatud ekraanisalvestus lihtsamaks ja selgemaks.
VNC-seansside jälgimine
Selle jaoks kasutasime Chaosreaderit ja VNCLoggerit. Mõlemad tööriistad extraktsivad PCAP-dumpist klahvivajutusi, kuid VNCLogger käsitleb tagasi ja Enter-klahve korrektsemalt.
VNCLoggeril on kaks puudust. Esiteks: see suudab klahve ekstrakti ainult siis, kui see „kuuleb” liiklust liidesel, seega pidime selle jaoks VNC-seanssi simuleerima tcpreplay abil. Teine puudus on VNCLoggeril sama nagu Chaosreaderil: need ei näita vahemälu sisu. Selle jaoks pidime kasutama Wiresharki.
Meelitame häkkerid
Me lõime honeypoti selleks, et sellele rünnata. Selle saavutamiseks simuleerisime teabe leket, et köita potentsiaalsete häkkerite tähelepanu. Honeypotis olid avatud järgmised pordid:
RDP port tuli peagi pärast töö käivitamist sulgeda, kuna meie võrgus tekkisid jõudluse probleemid tohutu skaneerimistaktika tõttu.
VNC terminalid töötasid alguses ainult vaatamisrežiimis ilma paroolita, kuid siis „kogemata” lülitasime need täieliku juurdepääsu režiimi.
Ründajate tõmbamiseks postitasime kaks postitust „lekkinud” teave kohta saadaval oleva tööstussüsteemi kohta PasteBini.
Üks postitus, mis pandi üles PasteBini rünnakute meelitamiseks. Allikas: Trend Micro
Rünnakud
Honeypot jäi internetti umbes seitse kuud. Esimene rünnak toimus kuu aega pärast honeypoti online’i tulekut.
Skannerid
Külastas palju skaneerimise liiklust tuntud ettevõtetelt — ip-ip, Rapid, Shadow Server, Shodan, ZoomEye ja teised. Nende arv oli nii suur, et pidime need analüüsist välja jätma: IP-aadressid 610 9452-st või 6,45% kõikidest unikaalsetest IP-aadressidest kuulusid täiesti seaduslikele skanneritele.
Petturid
Üks suurimaid riske, millega silmitsi seisime, oli meie süsteemi kasutamine kuritegelikel eesmärkidel: nutitelefonide ostmine abonendi arvelt, lennufirma miilide sularaha väljavõtmine kinkekaartidega ja muud pettused.
Kaevurid
Üks esimesi külastajaid meie süsteemis oli kaevur. Ta laadis üles Monero kaevandamise tarkvara. Meie konkreetse süsteemi puhul ei olnud tal palju kasu madala jõudluse tõttu. Kuid kui ühendada mitme kümne või isegi saja sellise süsteemi jõud, võiks tulemuseks olla üsna hea.
Lunarid
Hani poti töö ajal oleme korduvalt kokku puutunud tõeliste lunavaradega. Esimesel juhul oli see Crysis. Selle operaatorid pääsesid süsteemi sisse VNC kaudu, kuid seejärel installisid nad TeamViewer'i, mille kaudu tegid nad edasisi toiminguid. Oodates lunavara sõnumit, kus nõutakse väljapressimise summat 10 tuhat dollarit BTC-s, astusime suhtlemisse kurjategijatega, paludes neil dekrüpteerida meile üks fail. Nad täitsid meie soovi ja kordasid lunavara nõudmist. Meil õnnestus kaubelda summa 6 tuhande dollari peale, peale mida lihtsalt töötlime süsteemi virtuaalkeskkonda, kuna saime kogu vajaliku teabe.
Teiseks lunavaraks osutus Phobos. Selle paigaldanud häkker vaatas tunni jooksul hani poti failisüsteemi ja skaneeris võrku ning seejärel lõpuks installeeris lunavara.
Kolmas lunavara rünne osutus valehäireks. Tundmatu "häkker" laadis meie süsteemi failihaha.bat, pärast mida jälgisime mõnda aega, kuidas ta püüab seda töötama panna. Üks katsetest oli nimetada haha.bat ümber haha.rnsmwr.
"Häkker" suurendab bat-faili kahjulikkust, muutes selle faililaiendit .rnsmwr. Allikas: Trend Micro
Kui bat-fail lõpuks käivituma hakkas, muutis "häkker" seda, tõstes lunapäringu 200 dollarilt 750 dollarini. Pärast seda "dekrüpteeris" ta kõik failid, jättis lauale lunavara sõnumi ja haihtus, muutes meie VNC paroolid.
Paari päeva pärast naasis häkker ja, et end meelde tuletada, käivitas bat-faili, mis avas arvukalt aknaid pornsaitiga. Ilmselt püüdis ta sel viisil tähelepanu juhtida oma nõudmisele.
Summary
Uuringu käigus selgus, et niipea kui haavatavuse kohta andmed avaldati, tõmbas hani poti tähelepanu, kusjuures aktiivsus kasvas päev-päevalt. Et lõks tähelepanu pälviks, tuli lubada palju turvaprobleeme meie väljamõeldud ettevõttes. Kahjuks ei ole selline olukord sugugi haruldane paljude reaalses elus olevate ettevõtete seas, kellel ei ole oma IT- ja turvaosakondi.
Üldiselt peaksid organisatsioonid järgima vähimate privileegide põhimõtet, samas kui meie rakendasime täielikku vastandit, et meelitada kurjategijaid. Ja mida kauem me rünnakute üle vaatasime, seda keerukamaks need muutusid võrreldes standardsete nõrkuste testimise meetoditega.
Ja mis kõige tähtsam: kõik need rünnakud oleksid ebaõnnestunud, kui võrgu seadistamisel oleksid rakendatud adekvaatsed turvameetmed. Organisatsioonid peavad tagama, et nende seadmed ja tööstuslikud infrastruktuuri komponendid ei oleks Interneti kaudu ligipääsetavad, nagu me spetsiaalselt tegime oma lõksus.
Kuigi me ei registreerinud ühtegi rünnakut inseneri ARM-ile, vaatamata sellele, et kõikides arvutites kasutati sama kohaliku administraatori parooli, tasuks sellisest praktikast loobuda, et minimeerida sissetungimise võimalusi. Lõppude lõpuks on nõrk turvalisus lisakutse rünnakute jaoks tööstussüsteemidesse, mis on juba pikka aega äratanud küberkurjategijate huvi.
Allikas: habr.com
