ફિશિંગ, બોટનેટ્સ, કપટપૂર્ણ વ્યવહારો અને ગુનાહિત હેકર જૂથો સંબંધિત કેસોની તપાસ કરતા, ગ્રુપ-આઈબી નિષ્ણાતો વિવિધ પ્રકારના જોડાણોને ઓળખવા માટે ઘણા વર્ષોથી ગ્રાફ વિશ્લેષણનો ઉપયોગ કરી રહ્યાં છે. વિવિધ કેસોમાં તેમના પોતાના ડેટા સેટ્સ, જોડાણોને ઓળખવા માટેના તેમના પોતાના અલ્ગોરિધમ્સ અને ચોક્કસ કાર્યો માટે તૈયાર કરાયેલ ઇન્ટરફેસ હોય છે. આ તમામ સાધનો ગ્રુપ-આઈબી દ્વારા આંતરિક રીતે વિકસાવવામાં આવ્યા હતા અને તે ફક્ત અમારા કર્મચારીઓ માટે જ ઉપલબ્ધ હતા.

નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરનું ગ્રાફ વિશ્લેષણ (નેટવર્ક ગ્રાફ) એ સૌપ્રથમ આંતરિક સાધન બન્યું જે અમે કંપનીના તમામ જાહેર ઉત્પાદનોમાં બનાવ્યું. અમારો નેટવર્ક ગ્રાફ બનાવતા પહેલા, અમે બજાર પરના ઘણા સમાન વિકાસનું વિશ્લેષણ કર્યું અને અમારી પોતાની જરૂરિયાતોને સંતોષે તેવું એક પણ ઉત્પાદન મળ્યું નહીં. આ લેખમાં અમે નેટવર્ક ગ્રાફ કેવી રીતે બનાવ્યો, અમે તેનો ઉપયોગ કેવી રીતે કર્યો અને અમને કઈ મુશ્કેલીઓનો સામનો કરવો પડ્યો તે વિશે વાત કરીશું.

દિમિત્રી વોલ્કોવ, CTO ગ્રુપ-IB અને સાયબર ઇન્ટેલિજન્સ વડા

ગ્રુપ-આઈબી નેટવર્ક ગ્રાફ શું કરી શકે છે?

તપાસ

2003માં ગ્રુપ-આઈબીની સ્થાપના થઈ ત્યારથી અત્યાર સુધી, સાયબર અપરાધીઓને ઓળખવા, ડીનિંગ કરવા અને તેમને ન્યાય અપાવવા એ અમારા કામમાં ટોચની પ્રાથમિકતા છે. હુમલાખોરોના નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરનું વિશ્લેષણ કર્યા વિના એક પણ સાયબર હુમલાની તપાસ પૂર્ણ થઈ ન હતી. અમારી મુસાફરીની શરૂઆતમાં, ગુનેગારોને ઓળખવામાં મદદ કરી શકે તેવા સંબંધો શોધવા માટે તે ખૂબ જ ઉદ્યમીભર્યું "મેન્યુઅલ વર્ક" હતું: ડોમેન નામો, IP સરનામાં, સર્વરની ડિજિટલ ફિંગરપ્રિન્ટ્સ વગેરે વિશેની માહિતી.

મોટાભાગના હુમલાખોરો નેટવર્ક પર શક્ય તેટલું અનામી રીતે કાર્ય કરવાનો પ્રયાસ કરે છે. જો કે, બધા લોકોની જેમ, તેઓ ભૂલો કરે છે. આવા વિશ્લેષણનો મુખ્ય ધ્યેય એ હુમલાખોરોના "સફેદ" અથવા "ગ્રે" ઐતિહાસિક પ્રોજેક્ટ્સ શોધવાનો છે જે વર્તમાન ઘટનામાં ઉપયોગમાં લેવાતા દૂષિત ઇન્ફ્રાસ્ટ્રક્ચર સાથે આંતરછેદ ધરાવે છે જેની અમે તપાસ કરી રહ્યા છીએ. જો "સફેદ પ્રોજેક્ટ્સ" શોધવાનું શક્ય છે, તો પછી હુમલાખોરને શોધવાનું, નિયમ તરીકે, એક તુચ્છ કાર્ય બની જાય છે. "ગ્રે" રાશિઓના કિસ્સામાં, શોધમાં વધુ સમય અને પ્રયત્ન લાગે છે, કારણ કે તેમના માલિકો નોંધણી ડેટાને અનામી અથવા છુપાવવાનો પ્રયાસ કરે છે, પરંતુ શક્યતાઓ ઘણી વધારે રહે છે. એક નિયમ તરીકે, તેમની ગુનાહિત પ્રવૃત્તિઓની શરૂઆતમાં, હુમલાખોરો તેમની પોતાની સલામતી પર ઓછું ધ્યાન આપે છે અને વધુ ભૂલો કરે છે, તેથી આપણે વાર્તામાં જેટલા ઊંડા જઈ શકીએ, સફળ તપાસની શક્યતાઓ વધારે છે. એટલા માટે સારા ઈતિહાસ સાથેનો નેટવર્ક ગ્રાફ આવી તપાસનું અત્યંત મહત્વનું તત્વ છે. સરળ શબ્દોમાં કહીએ તો, કંપની પાસે જેટલો ઊંડો ઐતિહાસિક ડેટા છે, તેટલો તેનો ગ્રાફ વધુ સારો છે. ચાલો કહીએ કે 5-વર્ષનો ઈતિહાસ શરતી રીતે, 1 માંથી 2-10 ગુનાઓને ઉકેલવામાં મદદ કરી શકે છે અને 15-વર્ષનો ઈતિહાસ તમામ દસને ઉકેલવાની તક આપે છે.

ફિશીંગ અને છેતરપિંડી શોધ

જ્યારે પણ અમને ફિશિંગ, કપટપૂર્ણ અથવા પાઇરેટેડ સંસાધનની શંકાસ્પદ લિંક પ્રાપ્ત થાય છે, ત્યારે અમે આપમેળે સંબંધિત નેટવર્ક સંસાધનોનો ગ્રાફ બનાવીએ છીએ અને સમાન સામગ્રી માટે તમામ મળી આવેલા હોસ્ટને તપાસીએ છીએ. આ તમને બંને જૂની ફિશિંગ સાઇટ્સ શોધવાની મંજૂરી આપે છે જે સક્રિય હતી પરંતુ અજાણી હતી, તેમજ સંપૂર્ણપણે નવી કે જે ભવિષ્યના હુમલાઓ માટે તૈયાર છે, પરંતુ હજુ સુધી ઉપયોગમાં લેવાતી નથી. એક પ્રાથમિક ઉદાહરણ જે ઘણી વાર જોવા મળે છે: અમને સર્વર પર માત્ર 5 સાઇટ્સ સાથે ફિશિંગ સાઇટ મળી છે. તેમાંથી દરેકને તપાસીને, અમે અન્ય સાઇટ્સ પર ફિશિંગ સામગ્રી શોધીએ છીએ, જેનો અર્થ છે કે અમે 5 ને બદલે 1 ને અવરોધિત કરી શકીએ છીએ.

બેકએન્ડ માટે શોધો

દૂષિત સર્વર ખરેખર ક્યાં રહે છે તે નિર્ધારિત કરવા માટે આ પ્રક્રિયા જરૂરી છે.
99% કાર્ડ શોપ, હેકર ફોરમ, ઘણા ફિશિંગ સંસાધનો અને અન્ય દૂષિત સર્વર્સ તેમના પોતાના પ્રોક્સી સર્વર્સ અને કાયદેસર સેવાઓના પ્રોક્સી બંને પાછળ છુપાયેલા છે, ઉદાહરણ તરીકે, Cloudflare. તપાસ માટે વાસ્તવિક બેકએન્ડ વિશેનું જ્ઞાન ખૂબ જ મહત્વપૂર્ણ છે: હોસ્ટિંગ પ્રદાતા કે જેમાંથી સર્વર જપ્ત કરી શકાય છે તે જાણીતું બને છે, અને અન્ય દૂષિત પ્રોજેક્ટ્સ સાથે જોડાણો બનાવવાનું શક્ય બને છે.

ઉદાહરણ તરીકે, તમારી પાસે બેંક કાર્ડ ડેટા એકત્રિત કરવા માટે ફિશિંગ સાઇટ છે જે IP એડ્રેસ 11.11.11.11 પર રિઝોલ્યુશન કરે છે અને કાર્ડશોપ એડ્રેસ કે જે IP એડ્રેસ 22.22.22.22 પર રિઝોલ્યુશન કરે છે. વિશ્લેષણ દરમિયાન, તે બહાર આવી શકે છે કે ફિશિંગ સાઇટ અને કાર્ડશોપ બંને પાસે એક સામાન્ય બેકએન્ડ IP સરનામું છે, ઉદાહરણ તરીકે, 33.33.33.33. આ જ્ઞાન અમને ફિશિંગ હુમલાઓ અને કાર્ડની દુકાન વચ્ચે જોડાણ બનાવવાની મંજૂરી આપે છે જ્યાં બેંક કાર્ડ ડેટા વેચી શકાય છે.

ઘટના સહસંબંધ

જ્યારે તમારી પાસે બે અલગ-અલગ ટ્રિગર્સ હોય (ચાલો IDS પર કહીએ) અલગ-અલગ મૉલવેર અને એટેકને નિયંત્રિત કરવા માટે અલગ-અલગ સર્વર સાથે, તમે તેમને બે સ્વતંત્ર ઇવેન્ટ્સ તરીકે ગણશો. પરંતુ જો દૂષિત ઇન્ફ્રાસ્ટ્રક્ચર વચ્ચે સારું જોડાણ હોય, તો તે સ્પષ્ટ બને છે કે આ વિવિધ હુમલાઓ નથી, પરંતુ એક, વધુ જટિલ મલ્ટી-સ્ટેજ હુમલાના તબક્કા છે. અને જો કોઈ એક ઘટના પહેલાથી જ હુમલાખોરોના કોઈપણ જૂથને આભારી છે, તો બીજી ઘટના પણ તે જ જૂથને આભારી હોઈ શકે છે. અલબત્ત, એટ્રિબ્યુશન પ્રક્રિયા વધુ જટિલ છે, તેથી આને એક સરળ ઉદાહરણ તરીકે ગણો.

સૂચક સંવર્ધન

અમે આના પર વધુ ધ્યાન આપીશું નહીં, કારણ કે સાયબર સુરક્ષામાં ગ્રાફનો ઉપયોગ કરવા માટે આ સૌથી સામાન્ય દૃશ્ય છે: તમે ઇનપુટ તરીકે એક સૂચક આપો છો, અને આઉટપુટ તરીકે તમને સંબંધિત સૂચકોની શ્રેણી મળે છે.

પેટર્નની ઓળખ

અસરકારક શિકાર માટે પેટર્નની ઓળખ કરવી જરૂરી છે. આલેખ તમને માત્ર સંબંધિત તત્વો શોધવા માટે જ નહીં, પરંતુ હેકર્સના ચોક્કસ જૂથની લાક્ષણિકતા ધરાવતા સામાન્ય ગુણધર્મોને પણ ઓળખવા દે છે. આવી વિશિષ્ટ વિશેષતાઓનું જ્ઞાન તમને તૈયારીના તબક્કે પણ હુમલાખોરની ઇન્ફ્રાસ્ટ્રક્ચરને ઓળખવાની મંજૂરી આપે છે અને હુમલાની પુષ્ટિ કરતા પુરાવા વિના, જેમ કે ફિશિંગ ઇમેઇલ્સ અથવા માલવેર.

અમે અમારો પોતાનો નેટવર્ક ગ્રાફ કેમ બનાવ્યો?

ફરીથી, અમે નિષ્કર્ષ પર આવ્યા તે પહેલાં અમે વિવિધ વિક્રેતાઓના ઉકેલો જોયા કે અમારે અમારું પોતાનું સાધન વિકસાવવાની જરૂર છે જે એવું કંઈક કરી શકે જે કોઈ અસ્તિત્વમાંનું ઉત્પાદન ન કરી શકે. તેને બનાવવામાં ઘણા વર્ષો લાગ્યા, જે દરમિયાન અમે તેને ઘણી વખત સંપૂર્ણપણે બદલી નાખ્યું. પરંતુ, વિકાસની લાંબી અવધિ હોવા છતાં, અમને હજી સુધી એક પણ એનાલોગ મળ્યો નથી જે અમારી જરૂરિયાતોને સંતોષે. અમારા પોતાના ઉત્પાદનનો ઉપયોગ કરીને, અમે વર્તમાન નેટવર્ક ગ્રાફમાં શોધેલી લગભગ તમામ સમસ્યાઓને ઉકેલવામાં આખરે સક્ષમ હતા. નીચે આપણે આ સમસ્યાઓને વિગતવાર ધ્યાનમાં લઈશું:

સમસ્યા
નિર્ણય

ડેટાના વિવિધ સંગ્રહો સાથે પ્રદાતાનો અભાવ: ડોમેન્સ, નિષ્ક્રિય DNS, નિષ્ક્રિય SSL, DNS રેકોર્ડ્સ, ઓપન પોર્ટ્સ, પોર્ટ્સ પર ચાલી રહેલ સેવાઓ, ડોમેન નામો અને IP સરનામાઓ સાથે ક્રિયાપ્રતિક્રિયા કરતી ફાઇલો. સમજૂતી. સામાન્ય રીતે, પ્રદાતાઓ અલગ પ્રકારનો ડેટા પ્રદાન કરે છે અને સંપૂર્ણ ચિત્ર મેળવવા માટે, તમારે દરેક પાસેથી સબ્સ્ક્રિપ્શન્સ ખરીદવાની જરૂર છે. તેમ છતાં, તમામ ડેટા મેળવવો હંમેશા શક્ય નથી: કેટલાક નિષ્ક્રિય SSL પ્રદાતાઓ ફક્ત વિશ્વસનીય CA દ્વારા જારી કરાયેલ પ્રમાણપત્રો વિશે જ ડેટા પ્રદાન કરે છે, અને તેમના સ્વ-હસ્તાક્ષરિત પ્રમાણપત્રોનું કવરેજ અત્યંત નબળું છે. અન્ય લોકો સ્વ-હસ્તાક્ષરિત પ્રમાણપત્રોનો ઉપયોગ કરીને ડેટા પણ પ્રદાન કરે છે, પરંતુ તે ફક્ત માનક બંદરોથી જ એકત્રિત કરે છે.
અમે ઉપરોક્ત તમામ સંગ્રહો જાતે એકત્રિત કર્યા છે. ઉદાહરણ તરીકે, SSL પ્રમાણપત્રો વિશેનો ડેટા એકત્રિત કરવા માટે, અમે અમારી પોતાની સેવા લખી છે જે તેમને વિશ્વસનીય CA અને સમગ્ર IPv4 સ્પેસને સ્કેન કરીને બંને એકત્રિત કરે છે. પ્રમાણપત્રો માત્ર IP થી જ નહીં, પણ અમારા ડેટાબેઝમાંથી તમામ ડોમેન્સ અને સબડોમેન્સમાંથી પણ એકત્રિત કરવામાં આવ્યા હતા: જો તમારી પાસે ડોમેન example.com અને તેનું સબડોમેઇન હોય www.example.com અને તેઓ બધા IP 1.1.1.1 નો સંકલ્પ કરે છે, પછી જ્યારે તમે IP, ડોમેન અને તેના સબડોમેઇન પર પોર્ટ 443 પરથી SSL પ્રમાણપત્ર મેળવવાનો પ્રયાસ કરો છો, ત્યારે તમે ત્રણ અલગ-અલગ પરિણામો મેળવી શકો છો. ખુલ્લા બંદરો અને ચાલી રહેલ સેવાઓ પર ડેટા એકત્રિત કરવા માટે, અમારે અમારી પોતાની વિતરિત સ્કેનિંગ સિસ્ટમ બનાવવી પડી હતી, કારણ કે અન્ય સેવાઓમાં ઘણીવાર "બ્લેક લિસ્ટ" પર તેમના સ્કેનીંગ સર્વરના IP સરનામાં હોય છે. અમારા સ્કેનિંગ સર્વર્સ પણ બ્લેકલિસ્ટમાં સમાપ્ત થાય છે, પરંતુ અમને જોઈતી સેવાઓ શોધવાનું પરિણામ તે લોકો કરતા વધારે છે જેઓ ફક્ત શક્ય તેટલા પોર્ટ્સને સ્કેન કરે છે અને આ ડેટાની ઍક્સેસ વેચે છે.

ઐતિહાસિક રેકોર્ડ્સના સમગ્ર ડેટાબેઝની ઍક્સેસનો અભાવ. સમજૂતી. દરેક સામાન્ય સપ્લાયર પાસે સારો સંચિત ઇતિહાસ હોય છે, પરંતુ કુદરતી કારણોસર અમે, ક્લાયન્ટ તરીકે, તમામ ઐતિહાસિક ડેટાની ઍક્સેસ મેળવી શક્યા નથી. તે. તમે એક રેકોર્ડ માટે સમગ્ર ઇતિહાસ મેળવી શકો છો, ઉદાહરણ તરીકે, ડોમેન અથવા IP સરનામા દ્વારા, પરંતુ તમે દરેક વસ્તુનો ઇતિહાસ જોઈ શકતા નથી - અને આ વિના તમે સંપૂર્ણ ચિત્ર જોઈ શકતા નથી.
ડોમેન્સ પર શક્ય તેટલા ઐતિહાસિક રેકોર્ડ્સ એકત્રિત કરવા માટે, અમે વિવિધ ડેટાબેસેસ ખરીદ્યા, ઘણા ખુલ્લા સંસાધનોનું વિશ્લેષિત કર્યું જેમાં આ ઇતિહાસ હતો (તે સારું છે કે તેમાંના ઘણા હતા), અને ડોમેન નામ રજીસ્ટ્રાર સાથે વાટાઘાટો કરી. અમારા પોતાના સંગ્રહોના તમામ અપડેટ્સ અલબત્ત સંપૂર્ણ પુનરાવર્તન ઇતિહાસ સાથે રાખવામાં આવે છે.

બધા હાલના સોલ્યુશન્સ તમને જાતે ગ્રાફ બનાવવાની મંજૂરી આપે છે. સમજૂતી. ચાલો કહીએ કે તમે તમામ સંભવિત ડેટા પ્રદાતાઓ પાસેથી ઘણા બધા સબ્સ્ક્રિપ્શન્સ ખરીદ્યા છે (સામાન્ય રીતે "સંવર્ધકો" કહેવાય છે). જ્યારે તમારે ગ્રાફ બનાવવાની જરૂર હોય, ત્યારે તમે "હાથ" ઇચ્છિત કનેક્શન એલિમેન્ટમાંથી બિલ્ડ કરવાનો આદેશ આપો છો, પછી જે તત્વો દેખાય છે તેમાંથી જરૂરી પસંદ કરો અને તેમાંથી કનેક્શન પૂર્ણ કરવા માટે આદેશ આપો, વગેરે. આ કિસ્સામાં, ગ્રાફ કેટલી સારી રીતે બાંધવામાં આવશે તેની જવાબદારી સંપૂર્ણપણે વ્યક્તિની છે.
અમે ગ્રાફનું સ્વચાલિત બાંધકામ કર્યું. તે. જો તમારે ગ્રાફ બનાવવાની જરૂર હોય, તો પ્રથમ તત્વના જોડાણો આપમેળે બાંધવામાં આવે છે, પછીના તમામ અનુગામીમાંથી પણ. નિષ્ણાત ફક્ત તે ઊંડાઈને સૂચવે છે કે જેના પર ગ્રાફ બનાવવાની જરૂર છે. આલેખને આપમેળે પૂર્ણ કરવાની પ્રક્રિયા સરળ છે, પરંતુ અન્ય વિક્રેતાઓ તેનો અમલ કરતા નથી કારણ કે તે મોટી સંખ્યામાં અપ્રસ્તુત પરિણામો ઉત્પન્ન કરે છે, અને અમારે આ ખામીને પણ ધ્યાનમાં લેવી પડી હતી (નીચે જુઓ).

ઘણા અપ્રસ્તુત પરિણામો બધા નેટવર્ક તત્વ ગ્રાફ સાથે સમસ્યા છે. સમજૂતી. ઉદાહરણ તરીકે, "ખરાબ ડોમેન" (એટેકમાં સહભાગી) એ એવા સર્વર સાથે સંકળાયેલું છે કે જેની સાથે છેલ્લા 10 વર્ષોમાં 500 અન્ય ડોમેન્સ સંકળાયેલા છે. ગ્રાફ પર મેન્યુઅલી ઉમેરતી વખતે અથવા આપમેળે બનાવતી વખતે, આ તમામ 500 ડોમેન્સ પણ ગ્રાફ પર દેખાવા જોઈએ, જો કે તે હુમલાથી સંબંધિત નથી. અથવા, ઉદાહરણ તરીકે, તમે વિક્રેતાના સુરક્ષા અહેવાલમાંથી IP સૂચક તપાસો. સામાન્ય રીતે, આવા અહેવાલો નોંધપાત્ર વિલંબ સાથે પ્રકાશિત થાય છે અને ઘણીવાર એક વર્ષ કે તેથી વધુ સમય સુધી ચાલે છે. મોટે ભાગે, જ્યારે તમે રિપોર્ટ વાંચો છો, ત્યારે આ IP એડ્રેસ ધરાવતું સર્વર પહેલાથી જ અન્ય કનેક્શન ધરાવતા અન્ય લોકોને ભાડે આપવામાં આવ્યું છે અને ગ્રાફ બનાવવાથી તમને ફરીથી અપ્રસ્તુત પરિણામો મળશે.
અમારા નિષ્ણાતોએ મેન્યુઅલી કર્યું તે જ તર્કનો ઉપયોગ કરીને અમે સિસ્ટમને અપ્રસ્તુત તત્વોને ઓળખવા માટે તાલીમ આપી. ઉદાહરણ તરીકે, તમે એક ખરાબ ડોમેન example.com તપાસી રહ્યા છો, જે હવે IP 11.11.11.11 અને એક મહિના પહેલા - IP 22.22.22.22 પર રિઝોલ્યુશન કરે છે. ડોમેન example.com ઉપરાંત, IP 11.11.11.11 પણ example.ru સાથે સંકળાયેલું છે, અને IP 22.22.22.22 25 હજાર અન્ય ડોમેન્સ સાથે સંકળાયેલું છે. સિસ્ટમ, એક વ્યક્તિની જેમ, સમજે છે કે 11.11.11.11 એ સંભવતઃ સમર્પિત સર્વર છે, અને કારણ કે example.ru ડોમેન એ example.com સાથે જોડણીમાં સમાન છે, તો પછી, ઉચ્ચ સંભાવના સાથે, તેઓ જોડાયેલા છે અને તેના પર હોવા જોઈએ. ગ્રાફ; પરંતુ IP 22.22.22.22 શેર કરેલ હોસ્ટિંગનું છે, તેથી તેના તમામ ડોમેન્સને ગ્રાફમાં સામેલ કરવાની જરૂર નથી સિવાય કે અન્ય કનેક્શન્સ હોય જે દર્શાવે છે કે આ 25 હજાર ડોમેન્સમાંથી એકને પણ સામેલ કરવાની જરૂર છે (ઉદાહરણ તરીકે, example.net) . સિસ્ટમ સમજે તે પહેલાં કે કનેક્શન્સ તોડવાની જરૂર છે અને કેટલાક ઘટકોને ગ્રાફ પર ખસેડવામાં આવ્યાં નથી, તે તત્વો અને ક્લસ્ટરોના ઘણા ગુણધર્મોને ધ્યાનમાં લે છે જેમાં આ તત્વો જોડાયેલા છે, તેમજ વર્તમાન જોડાણોની મજબૂતાઈ. ઉદાહરણ તરીકે, જો આપણી પાસે ગ્રાફ પર એક નાનું ક્લસ્ટર (50 તત્વો) છે, જેમાં ખરાબ ડોમેનનો સમાવેશ થાય છે, અને બીજું મોટું ક્લસ્ટર (5 હજાર તત્વો) અને બંને ક્લસ્ટર ખૂબ ઓછી શક્તિ (વજન) સાથે કનેક્શન (લાઇન) દ્વારા જોડાયેલા છે. , પછી આવા જોડાણ તૂટી જશે અને મોટા ક્લસ્ટરમાંથી તત્વો દૂર કરવામાં આવશે. પરંતુ જો નાના અને મોટા ક્લસ્ટરો વચ્ચે ઘણા બધા જોડાણો હોય અને તેમની તાકાત ધીમે ધીમે વધતી જાય, તો આ કિસ્સામાં જોડાણ તૂટી જશે નહીં અને બંને ક્લસ્ટરોમાંથી જરૂરી તત્વો ગ્રાફ પર રહેશે.

સર્વર અને ડોમેન માલિકી અંતરાલને ધ્યાનમાં લેવામાં આવતું નથી. સમજૂતી. "ખરાબ ડોમેન્સ" વહેલા કે પછી સમાપ્ત થશે અને દૂષિત અથવા કાયદેસર હેતુઓ માટે ફરીથી ખરીદવામાં આવશે. બુલેટપ્રૂફ હોસ્ટિંગ સર્વર પણ અલગ-અલગ હેકરોને ભાડે આપવામાં આવે છે, તેથી જ્યારે કોઈ ચોક્કસ ડોમેન/સર્વર એક માલિકના નિયંત્રણ હેઠળ હોય ત્યારે અંતરાલને જાણવું અને ધ્યાનમાં લેવું મહત્વપૂર્ણ છે. અમે ઘણીવાર એવી પરિસ્થિતિનો સામનો કરીએ છીએ કે જ્યાં IP 11.11.11.11 સાથે સર્વર હવે બેંકિંગ બોટ માટે C&C તરીકે ઉપયોગમાં લેવાય છે, અને 2 મહિના પહેલા તે રેન્સમવેર દ્વારા નિયંત્રિત હતું. જો આપણે માલિકીના અંતરાલોને ધ્યાનમાં લીધા વિના કનેક્શન બનાવીએ, તો એવું લાગશે કે બેંકિંગ બોટનેટ અને રેન્સમવેરના માલિકો વચ્ચે કનેક્શન છે, જો કે હકીકતમાં એવું કોઈ નથી. અમારા કાર્યમાં, આવી ભૂલ ગંભીર છે.
અમે સિસ્ટમને માલિકી અંતરાલ નક્કી કરવાનું શીખવ્યું. ડોમેન્સ માટે આ પ્રમાણમાં સરળ છે, કારણ કે whois માં વારંવાર નોંધણીની શરૂઆત અને સમાપ્તિ તારીખો હોય છે અને, જ્યારે whois બદલાય છે તેનો સંપૂર્ણ ઇતિહાસ હોય છે, ત્યારે અંતરાલ નક્કી કરવાનું સરળ છે. જ્યારે ડોમેનની નોંધણી સમાપ્ત થઈ નથી, પરંતુ તેનું સંચાલન અન્ય માલિકોને સ્થાનાંતરિત કરવામાં આવ્યું છે, ત્યારે તેને પણ ટ્રેક કરી શકાય છે. SSL પ્રમાણપત્રો માટે આવી કોઈ સમસ્યા નથી, કારણ કે તે એકવાર જારી કરવામાં આવે છે અને તે નવીકરણ અથવા સ્થાનાંતરિત થતા નથી. પરંતુ સ્વ-હસ્તાક્ષરિત પ્રમાણપત્રો સાથે, તમે પ્રમાણપત્રની માન્યતા અવધિમાં ઉલ્લેખિત તારીખો પર વિશ્વાસ કરી શકતા નથી, કારણ કે તમે આજે SSL પ્રમાણપત્ર જનરેટ કરી શકો છો, અને પ્રમાણપત્રની શરૂઆતની તારીખ 2010 થી સ્પષ્ટ કરી શકો છો. સર્વરો માટે માલિકી અંતરાલ નક્કી કરવાનું સૌથી મુશ્કેલ બાબત છે, કારણ કે માત્ર હોસ્ટિંગ પ્રદાતાઓ પાસે તારીખો અને ભાડાની અવધિ હોય છે. સર્વરની માલિકીનો સમયગાળો નક્કી કરવા માટે, અમે પોર્ટ સ્કેનિંગના પરિણામોનો ઉપયોગ કરવાનું શરૂ કર્યું અને પોર્ટ પર ચાલી રહેલી સેવાઓની ફિંગરપ્રિન્ટ્સ બનાવવાનું શરૂ કર્યું. આ માહિતીનો ઉપયોગ કરીને, સર્વરનો માલિક ક્યારે બદલાયો તે અમે એકદમ સચોટપણે કહી શકીએ છીએ.

થોડા જોડાણો. સમજૂતી. આજકાલ, તે ડોમેન્સની મફત સૂચિ મેળવવામાં પણ કોઈ સમસ્યા નથી કે જેમની પાસે ચોક્કસ ઇમેઇલ સરનામું છે, અથવા ચોક્કસ IP સરનામાં સાથે સંકળાયેલા તમામ ડોમેન્સ શોધવા માટે. પરંતુ જ્યારે હેકર્સની વાત આવે છે કે જેઓ ટ્રૅક કરવા માટે તેમના શ્રેષ્ઠ પ્રયાસો કરે છે, ત્યારે અમને નવી મિલકતો શોધવા અને નવા જોડાણો બનાવવા માટે વધારાની યુક્તિઓની જરૂર છે.
અમે પરંપરાગત રીતે ઉપલબ્ધ ન હોય તેવા ડેટાને કેવી રીતે બહાર કાઢી શકીએ તે અંગે સંશોધન કરવામાં ઘણો સમય પસાર કર્યો. અમે સ્પષ્ટ કારણોસર તે કેવી રીતે કાર્ય કરે છે તેનું વર્ણન અહીં કરી શકતા નથી, પરંતુ અમુક સંજોગોમાં, હેકર્સ, ડોમેનની નોંધણી કરતી વખતે અથવા સર્વર ભાડે લેતી વખતે અને સેટઅપ કરતી વખતે, ભૂલો કરે છે જે તેમને ઇમેઇલ સરનામાં, હેકર ઉપનામો અને બેકએન્ડ સરનામાંઓ શોધવાની મંજૂરી આપે છે. તમે જેટલા વધુ કનેક્શન્સ કાઢો છો, તેટલા વધુ સચોટ ગ્રાફ તમે બનાવી શકો છો.

આપણો ગ્રાફ કેવી રીતે કામ કરે છે

નેટવર્ક ગ્રાફનો ઉપયોગ શરૂ કરવા માટે, તમારે શોધ બારમાં ડોમેન, IP સરનામું, ઇમેઇલ અથવા SSL પ્રમાણપત્ર ફિંગરપ્રિન્ટ દાખલ કરવાની જરૂર છે. ત્રણ શરતો છે જેને વિશ્લેષક નિયંત્રિત કરી શકે છે: સમય, પગલાની ઊંડાઈ અને ક્લિયરિંગ.

Время

સમય – તારીખ અથવા અંતરાલ જ્યારે શોધેલ ઘટકનો ઉપયોગ દૂષિત હેતુઓ માટે કરવામાં આવ્યો હતો. જો તમે આ પરિમાણનો ઉલ્લેખ કરતા નથી, તો સિસ્ટમ પોતે આ સંસાધન માટે છેલ્લું માલિકી અંતરાલ નક્કી કરશે. ઉદાહરણ તરીકે, જુલાઈ 11 ના રોજ, Eset પ્રકાશિત અહેવાલ બુહટ્રેપ સાયબર જાસૂસી માટે 0-દિવસના શોષણનો ઉપયોગ કેવી રીતે કરે છે તે વિશે. અહેવાલના અંતે 6 સૂચકાંકો છે. તેમાંથી એક, સુરક્ષિત-ટેલિમેટ્રી[.]નેટ, 16 જુલાઈના રોજ ફરીથી નોંધણી કરવામાં આવી હતી. તેથી, જો તમે 16 જુલાઈ પછી ગ્રાફ બનાવો છો, તો તમને અપ્રસ્તુત પરિણામો મળશે. પરંતુ જો તમે સૂચવો છો કે આ ડોમેનનો ઉપયોગ આ તારીખ પહેલાં કરવામાં આવ્યો હતો, તો ગ્રાફમાં 126 નવા ડોમેન્સ, 69 IP સરનામાં શામેલ છે જે Eset રિપોર્ટમાં સૂચિબદ્ધ નથી:

• ukrfreshnews[.]com
• યુનિયન-સર્ચ[.]com
• વેસ્ટિ-વર્લ્ડ[.]માહિતી
• runewsmeta[.]com
• foxnewsmeta[.]biz
• sobesednik-meta[.]માહિતી
• rian-ua[.]નેટ
• અને અન્ય

નેટવર્ક સૂચકાંકો ઉપરાંત, અમે તરત જ દૂષિત ફાઇલો સાથે કનેક્શન શોધીએ છીએ કે જે આ ઇન્ફ્રાસ્ટ્રક્ચર અને ટૅગ્સ સાથે કનેક્શન ધરાવે છે જે અમને કહે છે કે Meterpreter અને AZORult નો ઉપયોગ કરવામાં આવ્યો હતો.

સૌથી મોટી વાત એ છે કે તમને આ પરિણામ એક સેકન્ડમાં મળી જશે અને તમારે હવે ડેટાનું વિશ્લેષણ કરવામાં દિવસો પસાર કરવાની જરૂર નથી. અલબત્ત, આ અભિગમ કેટલીકવાર તપાસ માટેના સમયને નોંધપાત્ર રીતે ઘટાડે છે, જે ઘણીવાર જટિલ હોય છે.

પગલાઓની સંખ્યા અથવા પુનરાવર્તિત ઊંડાઈ કે જેની સાથે ગ્રાફ બનાવવામાં આવશે

ડિફૉલ્ટ રૂપે, ઊંડાઈ 3 છે. આનો અર્થ એ છે કે ઇચ્છિત તત્વમાંથી બધા સીધા સંબંધિત ઘટકો મળશે, પછી દરેક નવા ઘટકથી અન્ય ઘટકો સાથે નવા જોડાણો બનાવવામાં આવશે, અને છેલ્લાથી નવા ઘટકોમાંથી નવા ઘટકો બનાવવામાં આવશે. પગલું.

ચાલો એક ઉદાહરણ લઈએ જે APT અને 0-દિવસના શોષણથી સંબંધિત નથી. તાજેતરમાં, હેબ્રે પર ક્રિપ્ટોકરન્સી સંબંધિત છેતરપિંડીનો એક રસપ્રદ કેસ વર્ણવવામાં આવ્યો હતો. રિપોર્ટમાં ડોમેન themcx[.]co નો ઉલ્લેખ કરવામાં આવ્યો છે, જેનો ઉપયોગ સ્કેમર્સ દ્વારા એક વેબસાઇટને હોસ્ટ કરવા માટે કરવામાં આવે છે જે માઇનર કોઇન એક્સચેન્જ અને ટ્રાફિકને આકર્ષવા માટે ફોન-લુકઅપ[.]xyz હોવાનું જણાવે છે.

વર્ણન પરથી તે સ્પષ્ટ છે કે આ યોજનાને છેતરપિંડીયુક્ત સંસાધનો તરફ ટ્રાફિકને આકર્ષવા માટે એકદમ મોટી ઈન્ફ્રાસ્ટ્રક્ચરની જરૂર છે. અમે 4 પગલામાં ગ્રાફ બનાવીને આ ઈન્ફ્રાસ્ટ્રક્ચર જોવાનું નક્કી કર્યું છે. આઉટપુટ 230 ડોમેન્સ અને 39 IP સરનામાઓ સાથેનો ગ્રાફ હતો. આગળ, અમે ડોમેન્સને 2 કેટેગરીમાં વિભાજિત કરીએ છીએ: તે કે જે ક્રિપ્ટોકરન્સી સાથે કામ કરવા માટેની સેવાઓ જેવી હોય છે અને જે ફોન વેરિફિકેશન સેવાઓ દ્વારા ટ્રાફિકને ચલાવવાના હેતુથી હોય છે:

ક્રિપ્ટોકરન્સી સાથે સંબંધિત
ફોન પંચિંગ સેવાઓ સાથે સંકળાયેલ

સિક્કા કીપર[.]સીસી
કોલર-રેકોર્ડ[.]સાઇટ.

mcxwallet[.]co
ફોન-રેકોર્ડ્સ[.]જગ્યા

btcnoise[.]com
fone-અનકવર[.]xyz

ક્રિપ્ટોમિનર[.]ઘડિયાળ
નંબર-અનકવર[.]માહિતી

ઓકિસ્ક્કક

ડિફૉલ્ટ રૂપે, "ગ્રાફ ક્લીનઅપ" વિકલ્પ સક્ષમ છે અને તમામ અપ્રસ્તુત તત્વો ગ્રાફમાંથી દૂર કરવામાં આવશે. માર્ગ દ્વારા, તેનો ઉપયોગ અગાઉના તમામ ઉદાહરણોમાં કરવામાં આવ્યો હતો. હું એક કુદરતી પ્રશ્નની આગાહી કરું છું: આપણે કેવી રીતે ખાતરી કરી શકીએ કે કંઈક મહત્વપૂર્ણ કાઢી નાખવામાં આવ્યું નથી? હું જવાબ આપીશ: વિશ્લેષકો કે જેઓ હાથથી ગ્રાફ બનાવવાનું પસંદ કરે છે, સ્વયંસંચાલિત સફાઈને અક્ષમ કરી શકાય છે અને પગલાંઓની સંખ્યા પસંદ કરી શકાય છે = 1. આગળ, વિશ્લેષક તેને જરૂરી ઘટકોમાંથી ગ્રાફ પૂર્ણ કરવામાં અને તેમાંથી તત્વોને દૂર કરવામાં સક્ષમ હશે. ગ્રાફ કે જે કાર્ય માટે અપ્રસ્તુત છે.

પહેલેથી જ ગ્રાફ પર, whois, DNS, તેમજ તેમના પર ચાલી રહેલા ખુલ્લા બંદરો અને સેવાઓમાં ફેરફારોનો ઇતિહાસ વિશ્લેષક માટે ઉપલબ્ધ છે.

નાણાકીય ફિશિંગ

અમે એક APT જૂથની પ્રવૃત્તિઓની તપાસ કરી, જેણે ઘણા વર્ષો સુધી વિવિધ પ્રદેશોમાં વિવિધ બેંકોના ગ્રાહકો સામે ફિશિંગ હુમલાઓ કર્યા. આ જૂથની લાક્ષણિકતા એ હતી કે વાસ્તવિક બેંકોના નામો જેવા જ ડોમેન્સનું રજીસ્ટ્રેશન, અને મોટાભાગની ફિશીંગ સાઇટ્સની ડિઝાઇન સમાન હતી, માત્ર બેંકોના નામ અને તેમના લોગોમાં તફાવત હતો.

આ કિસ્સામાં, સ્વયંસંચાલિત ગ્રાફ વિશ્લેષણે અમને ઘણી મદદ કરી. તેમના ડોમેન્સમાંથી એકને લઈને - lloydsbnk-uk[.]com, થોડીક સેકન્ડોમાં અમે 3 પગલાંની ઊંડાઈ સાથેનો ગ્રાફ બનાવ્યો, જેમાં 250 થી વધુ દૂષિત ડોમેન્સ ઓળખવામાં આવ્યા કે જેનો ઉપયોગ 2015 થી આ જૂથ દ્વારા કરવામાં આવ્યો છે અને તેનો ઉપયોગ ચાલુ છે. . આમાંના કેટલાક ડોમેન્સ પહેલેથી જ બેંકો દ્વારા ખરીદવામાં આવ્યા છે, પરંતુ ઐતિહાસિક રેકોર્ડ દર્શાવે છે કે તેઓ અગાઉ હુમલાખોરો માટે નોંધાયેલા હતા.

સ્પષ્ટતા માટે, આકૃતિ 2 પગલાંની ઊંડાઈ સાથેનો ગ્રાફ બતાવે છે.

નોંધનીય છે કે પહેલેથી જ 2019 માં, હુમલાખોરોએ તેમની રણનીતિમાં થોડો ફેરફાર કર્યો હતો અને વેબ ફિશિંગ હોસ્ટ કરવા માટે માત્ર બેંકોના ડોમેન્સ જ નહીં, પરંતુ ફિશિંગ ઇમેઇલ્સ મોકલવા માટે વિવિધ કન્સલ્ટિંગ કંપનીઓના ડોમેન્સ પણ નોંધવાનું શરૂ કર્યું હતું. ઉદાહરણ તરીકે, ડોમેન્સ swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

કોબાલ્ટ ગેંગ

ડિસેમ્બર 2018 માં, હેકર જૂથ કોબાલ્ટ, બેંકો પરના લક્ષ્યાંકિત હુમલાઓમાં વિશેષતા ધરાવે છે, તેણે નેશનલ બેંક ઓફ કઝાકિસ્તાન વતી એક મેઇલિંગ અભિયાન મોકલ્યું હતું.

પત્રોમાં hXXps://nationalbank.bz/Doc/Prikaz.docની લિંક્સ હતી. ડાઉનલોડ કરેલા દસ્તાવેજમાં પાવરશેલ લોન્ચ કરનાર મેક્રો છે, જે hXXp://wateroilclub.com/file/dwm.exe માંથી ફાઇલને %Temp%einmrmdmy.exe માં લોડ કરવાનો અને એક્ઝિક્યુટ કરવાનો પ્રયાસ કરશે. ફાઇલ %Temp%einmrmdmy.exe ઉર્ફે dwm.exe એ સર્વર hXXp://admvmsopp.com/rilruietguadvtoefmuy સાથે ક્રિયાપ્રતિક્રિયા કરવા માટે ગોઠવેલ CobInt સ્ટેજર છે.

આ ફિશિંગ ઇમેઇલ્સ પ્રાપ્ત કરવામાં અને દૂષિત ફાઇલોનું સંપૂર્ણ વિશ્લેષણ કરવા માટે સક્ષમ ન હોવાની કલ્પના કરો. દૂષિત ડોમેન નેશનલબેંક[.]bz માટેનો ગ્રાફ તરત જ અન્ય દૂષિત ડોમેન્સ સાથેના જોડાણો દર્શાવે છે, તેને જૂથને આભારી છે અને બતાવે છે કે હુમલામાં કઈ ફાઇલોનો ઉપયોગ કરવામાં આવ્યો હતો.

ચાલો આ ગ્રાફમાંથી IP એડ્રેસ 46.173.219[.]152 લઈએ અને તેમાંથી એક પાસમાં ગ્રાફ બનાવીએ અને સફાઈ બંધ કરીએ. તેની સાથે 40 ડોમેન્સ સંકળાયેલા છે, ઉદાહરણ તરીકે, bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
ક્રિપ્ટોલિપ્સ[.]com

ડોમેન નામો દ્વારા અભિપ્રાય આપતા, એવું લાગે છે કે તેઓ કપટપૂર્ણ યોજનાઓમાં ઉપયોગમાં લેવાય છે, પરંતુ સફાઈ અલ્ગોરિધમને સમજાયું કે તેઓ આ હુમલા સાથે સંબંધિત નથી અને તેમને ગ્રાફ પર મૂક્યા નથી, જે વિશ્લેષણ અને એટ્રિબ્યુશનની પ્રક્રિયાને મોટા પ્રમાણમાં સરળ બનાવે છે.

જો તમે Nationalbank[.]bz નો ઉપયોગ કરીને ગ્રાફ ફરીથી બનાવો છો, પરંતુ ગ્રાફ ક્લિનિંગ એલ્ગોરિધમને અક્ષમ કરો છો, તો તેમાં 500 થી વધુ તત્વો હશે, જેમાંથી મોટાભાગનાને કોબાલ્ટ જૂથ અથવા તેમના હુમલાઓ સાથે કોઈ લેવાદેવા નથી. આવા ગ્રાફ જેવો દેખાય છે તેનું ઉદાહરણ નીચે આપેલ છે:

નિષ્કર્ષ

ઘણા વર્ષોના ફાઇન ટ્યુનિંગ, વાસ્તવિક તપાસમાં પરીક્ષણ, ધમકી સંશોધન અને હુમલાખોરોનો શિકાર કર્યા પછી, અમે માત્ર એક અનોખું ટૂલ બનાવવા માટે જ નહીં, પરંતુ તેના પ્રત્યે કંપનીના નિષ્ણાતોના વલણને પણ બદલવામાં વ્યવસ્થાપિત થયા. શરૂઆતમાં, તકનીકી નિષ્ણાતો ગ્રાફ નિર્માણ પ્રક્રિયા પર સંપૂર્ણ નિયંત્રણ ઇચ્છે છે. ઘણા વર્ષોનો અનુભવ ધરાવનાર વ્યક્તિ કરતાં ઓટોમેટિક ગ્રાફ કન્સ્ટ્રક્શન આ વધુ સારી રીતે કરી શકે છે તેની ખાતરી કરવી અત્યંત મુશ્કેલ હતું. આલેખ શું ઉત્પન્ન કરે છે તેના પરિણામોની સમય અને બહુવિધ "મેન્યુઅલ" તપાસ દ્વારા બધું નક્કી કરવામાં આવ્યું હતું. હવે અમારા નિષ્ણાતો માત્ર સિસ્ટમ પર વિશ્વાસ કરતા નથી, પરંતુ તે તેમના રોજિંદા કાર્યમાં મેળવેલા પરિણામોનો પણ ઉપયોગ કરે છે. આ ટેક્નોલોજી અમારી દરેક સિસ્ટમની અંદર કામ કરે છે અને અમને કોઈપણ પ્રકારના જોખમોને વધુ સારી રીતે ઓળખવા દે છે. મેન્યુઅલ ગ્રાફ પૃથ્થકરણ માટેનું ઈન્ટરફેસ તમામ ગ્રુપ-આઈબી ઉત્પાદનોમાં બનેલ છે અને સાયબર ક્રાઈમ શિકાર માટેની ક્ષમતાઓને નોંધપાત્ર રીતે વિસ્તૃત કરે છે. અમારા ગ્રાહકોની વિશ્લેષક સમીક્ષાઓ દ્વારા આની પુષ્ટિ થાય છે. અને અમે, બદલામાં, ડેટા સાથે ગ્રાફને સમૃદ્ધ કરવાનું ચાલુ રાખીએ છીએ અને સૌથી સચોટ નેટવર્ક ગ્રાફ બનાવવા માટે આર્ટિફિશિયલ ઇન્ટેલિજન્સનો ઉપયોગ કરીને નવા અલ્ગોરિધમ્સ પર કામ કરીએ છીએ.

સોર્સ: www.habr.com