🥇अवर्णनीय रूप से आकर्षक: हमने एक ऐसा हनीपोट कैसे बनाया जिसे उजागर नहीं किया जा सकता

एंटीवायरस कंपनियां, सूचना सुरक्षा विशेषज्ञ और केवल उत्साही लोग वायरस के एक नए संस्करण को "पकड़ने" या असामान्य हैकर रणनीति की पहचान करने के लिए इंटरनेट पर हनीपोट सिस्टम डालते हैं। हनीपोट इतने आम हैं कि साइबर अपराधियों ने एक प्रकार की प्रतिरक्षा विकसित कर ली है: वे तुरंत पहचान लेते हैं कि वे एक जाल के सामने हैं और बस इसे अनदेखा कर देते हैं। आधुनिक हैकरों की रणनीति का पता लगाने के लिए, हमने एक यथार्थवादी हनीपॉट बनाया जो विभिन्न प्रकार के हमलों को आकर्षित करते हुए सात महीने तक इंटरनेट पर रहा। हमने अपने अध्ययन में इस बारे में बात की कि यह कैसे हुआ”अधिनियम में पकड़ा गया: वास्तविक खतरों को पकड़ने के लिए एक यथार्थवादी फैक्ट्री हनीपॉट चलाना" अध्ययन के कुछ तथ्य इस पोस्ट में हैं।

हनीपोट विकास: चेकलिस्ट

हमारे सुपरट्रैप को बनाने में मुख्य कार्य हमें उन हैकर्स द्वारा उजागर होने से रोकना था जिन्होंने इसमें रुचि दिखाई थी। इसके लिए बहुत काम की आवश्यकता थी:

कंपनी के बारे में एक यथार्थवादी किंवदंती बनाएं, जिसमें कर्मचारियों के पूरे नाम और तस्वीरें, फोन नंबर और ईमेल शामिल हों।
औद्योगिक बुनियादी ढांचे का एक मॉडल तैयार करना और उसे लागू करना जो हमारी कंपनी की गतिविधियों के बारे में किंवदंती से मेल खाता हो।
तय करें कि कौन सी नेटवर्क सेवाएं बाहर से पहुंच योग्य होंगी, लेकिन कमजोर बंदरगाहों को खोलने के चक्कर में न पड़ें ताकि यह बेकार लोगों के लिए जाल जैसा न लगे।
किसी कमजोर सिस्टम के बारे में सूचना लीक की दृश्यता को व्यवस्थित करें और संभावित हमलावरों के बीच इस जानकारी को वितरित करें।
हनीपोट बुनियादी ढांचे में हैकर गतिविधियों की विवेकपूर्ण निगरानी लागू करें।

और अब क्रम में सब कुछ के बारे में।

एक किंवदंती बनाना

साइबर अपराधी पहले से ही बहुत सारे हनीपोट का सामना करने के आदी हैं, इसलिए उनमें से सबसे उन्नत हिस्सा यह सुनिश्चित करने के लिए प्रत्येक कमजोर सिस्टम की गहन जांच करता है कि यह कोई जाल नहीं है। इसी कारण से, हमने यह सुनिश्चित करने की कोशिश की कि हनीपोट न केवल डिजाइन और तकनीकी पहलुओं के मामले में यथार्थवादी हो, बल्कि एक वास्तविक कंपनी की उपस्थिति भी बनाए।

खुद को एक काल्पनिक शांत हैकर के स्थान पर रखते हुए, हमने एक सत्यापन एल्गोरिथ्म विकसित किया जो एक वास्तविक प्रणाली को एक जाल से अलग करेगा। इसमें प्रतिष्ठा प्रणालियों में कंपनी के आईपी पते की खोज करना, आईपी पते के इतिहास में रिवर्स शोध, कंपनी के साथ-साथ उसके समकक्षों से संबंधित नामों और कीवर्ड की खोज करना और कई अन्य चीजें शामिल थीं। परिणामस्वरूप, किंवदंती काफी ठोस और आकर्षक निकली।

हमने डिकॉय फैक्ट्री को सैन्य और विमानन क्षेत्र में बहुत बड़े गुमनाम ग्राहकों के लिए काम करने वाले एक छोटे औद्योगिक प्रोटोटाइप बुटीक के रूप में स्थापित करने का निर्णय लिया। इसने हमें मौजूदा ब्रांड के उपयोग से जुड़ी कानूनी जटिलताओं से मुक्त कर दिया।

इसके बाद हमें संगठन के लिए एक दृष्टिकोण, मिशन और नाम के साथ आना था। हमने तय किया कि हमारी कंपनी कम संख्या में कर्मचारियों के साथ एक स्टार्टअप होगी, जिनमें से प्रत्येक एक संस्थापक है। इससे हमारे व्यवसाय की विशिष्ट प्रकृति की कहानी में विश्वसनीयता जुड़ गई, जो इसे बड़े और महत्वपूर्ण ग्राहकों के लिए संवेदनशील परियोजनाओं को संभालने की अनुमति देती है। हम चाहते थे कि हमारी कंपनी साइबर सुरक्षा के नजरिए से कमजोर दिखे, लेकिन साथ ही यह स्पष्ट था कि हम लक्ष्य प्रणालियों पर महत्वपूर्ण संपत्तियों के साथ काम कर रहे थे।

MeTech हनीपोट वेबसाइट का स्क्रीनशॉट। स्रोत: ट्रेंड माइक्रो

हमने कंपनी के नाम के रूप में MeTech शब्द चुना। यह साइट एक निःशुल्क टेम्पलेट के आधार पर बनाई गई थी। तस्वीरें फोटो बैंकों से ली गईं, जिनमें सबसे अलोकप्रिय तस्वीरों का उपयोग किया गया और उन्हें कम पहचानने योग्य बनाने के लिए संशोधित किया गया।

हम चाहते थे कि कंपनी वास्तविक दिखे, इसलिए हमें पेशेवर कौशल वाले कर्मचारियों को जोड़ने की ज़रूरत थी जो गतिविधि की प्रोफ़ाइल से मेल खाते हों। हम उनके लिए नाम और व्यक्तित्व लेकर आए और फिर जातीयता के अनुसार फोटो बैंकों से छवियों का चयन करने का प्रयास किया।

MeTech हनीपोट वेबसाइट का स्क्रीनशॉट। स्रोत: ट्रेंड माइक्रो

खोजे जाने से बचने के लिए, हमने अच्छी गुणवत्ता वाली समूह फ़ोटो की तलाश की, जिनमें से हम अपनी ज़रूरत के चेहरे चुन सकें। हालाँकि, हमने तब इस विकल्प को छोड़ दिया, क्योंकि एक संभावित हैकर रिवर्स इमेज सर्च का उपयोग कर सकता है और पता लगा सकता है कि हमारे "कर्मचारी" केवल फोटो बैंकों में रहते हैं। अंत में, हमने तंत्रिका नेटवर्क का उपयोग करके बनाई गई गैर-मौजूद लोगों की तस्वीरों का उपयोग किया।

साइट पर प्रकाशित कर्मचारी प्रोफाइल में उनके तकनीकी कौशल के बारे में महत्वपूर्ण जानकारी थी, लेकिन हमने विशिष्ट स्कूलों या शहरों की पहचान करने से परहेज किया।
मेलबॉक्स बनाने के लिए, हमने एक होस्टिंग प्रदाता के सर्वर का उपयोग किया, और फिर संयुक्त राज्य अमेरिका में कई टेलीफोन नंबर किराए पर लिए और उन्हें एक वॉयस मेनू और एक उत्तर देने वाली मशीन के साथ एक वर्चुअल पीबीएक्स में जोड़ दिया।

हनीपोट बुनियादी ढांचा

एक्सपोज़र से बचने के लिए, हमने वास्तविक औद्योगिक हार्डवेयर, भौतिक कंप्यूटर और सुरक्षित वर्चुअल मशीनों के संयोजन का उपयोग करने का निर्णय लिया। आगे देखते हुए, हम कहेंगे कि हमने Shodan खोज इंजन का उपयोग करके अपने प्रयासों के परिणाम की जाँच की, और इससे पता चला कि हनीपोट एक वास्तविक औद्योगिक प्रणाली की तरह दिखता है।

Shodan का उपयोग करके हनीपोट को स्कैन करने का परिणाम। स्रोत: ट्रेंड माइक्रो

हमने अपने जाल के लिए हार्डवेयर के रूप में चार पीएलसी का उपयोग किया:

सीमेंस S7-1200,
दो एलनब्रैडली माइक्रोलॉगिक्स 1100,
ओमरॉन CP1L.

इन पीएलसी को वैश्विक नियंत्रण प्रणाली बाजार में उनकी लोकप्रियता के लिए चुना गया था। और इनमें से प्रत्येक नियंत्रक अपने स्वयं के प्रोटोकॉल का उपयोग करता है, जिससे हमें यह जांचने की अनुमति मिलती है कि किस पीएलसी पर अधिक बार हमला किया जाएगा और क्या वे सैद्धांतिक रूप से किसी को दिलचस्पी देंगे।

हमारे "कारखाने" के उपकरण - जाल। स्रोत: ट्रेंड माइक्रो

हमने सिर्फ हार्डवेयर स्थापित नहीं किया और उसे इंटरनेट से नहीं जोड़ा। हमने प्रत्येक नियंत्रक को कार्य करने के लिए प्रोग्राम किया, जिसमें शामिल हैं

मिश्रण,
बर्नर और कन्वेयर बेल्ट नियंत्रण,
रोबोटिक मैनिपुलेटर का उपयोग करके पैलेटाइज़ करना।

और उत्पादन प्रक्रिया को यथार्थवादी बनाने के लिए, हमने फीडबैक मापदंडों को बेतरतीब ढंग से बदलने, मोटरों को शुरू करने और रोकने, और बर्नर को चालू और बंद करने का अनुकरण करने के लिए तर्क को प्रोग्राम किया।

हमारे कारखाने में तीन आभासी कंप्यूटर और एक भौतिक कंप्यूटर था। वर्चुअल कंप्यूटर का उपयोग एक प्लांट, एक पैलेटाइज़र रोबोट और एक पीएलसी सॉफ्टवेयर इंजीनियर के लिए वर्कस्टेशन के रूप में किया जाता था। भौतिक कंप्यूटर एक फ़ाइल सर्वर के रूप में कार्य करता था।

पीएलसी पर हमलों की निगरानी के अलावा, हम अपने उपकरणों पर लोड किए गए कार्यक्रमों की स्थिति की निगरानी करना चाहते थे। ऐसा करने के लिए, हमने एक इंटरफ़ेस बनाया जिसने हमें तुरंत यह निर्धारित करने की अनुमति दी कि हमारे वर्चुअल एक्चुएटर्स और इंस्टॉलेशन की स्थिति को कैसे संशोधित किया गया। पहले से ही योजना चरण में, हमने पाया कि नियंत्रक तर्क की प्रत्यक्ष प्रोग्रामिंग की तुलना में नियंत्रण कार्यक्रम का उपयोग करके इसे लागू करना बहुत आसान है। हमने बिना पासवर्ड के वीएनसी के माध्यम से अपने हनीपोट के डिवाइस प्रबंधन इंटरफ़ेस तक पहुंच खोली।

औद्योगिक रोबोट आधुनिक स्मार्ट विनिर्माण का एक प्रमुख घटक हैं। इस संबंध में, हमने अपने जाल कारखाने के उपकरणों में इसे नियंत्रित करने के लिए एक रोबोट और एक स्वचालित कार्यस्थल जोड़ने का निर्णय लिया। "फ़ैक्टरी" को और अधिक यथार्थवादी बनाने के लिए, हमने नियंत्रण कार्य केंद्र पर वास्तविक सॉफ़्टवेयर स्थापित किया, जिसका उपयोग इंजीनियर रोबोट के तर्क को ग्राफ़िक रूप से प्रोग्राम करने के लिए करते हैं। खैर, चूंकि औद्योगिक रोबोट आमतौर पर एक अलग आंतरिक नेटवर्क में स्थित होते हैं, इसलिए हमने वीएनसी के माध्यम से केवल नियंत्रण कार्य केंद्र तक असुरक्षित पहुंच छोड़ने का फैसला किया।

हमारे रोबोट के 3डी मॉडल के साथ रोबोटस्टूडियो वातावरण। स्रोत: ट्रेंड माइक्रो

हमने रोबोट कंट्रोल वर्कस्टेशन के साथ वर्चुअल मशीन पर एबीबी रोबोटिक्स से रोबोटस्टूडियो प्रोग्रामिंग वातावरण स्थापित किया। रोबोटस्टूडियो को कॉन्फ़िगर करने के बाद, हमने अपने रोबोट के साथ एक सिमुलेशन फ़ाइल खोली ताकि इसकी 3डी छवि स्क्रीन पर दिखाई दे। परिणामस्वरूप, शोडान और अन्य खोज इंजन, एक असुरक्षित वीएनसी सर्वर का पता लगाने पर, इस स्क्रीन छवि को ले लेंगे और इसे उन लोगों को दिखाएंगे जो नियंत्रण के लिए खुली पहुंच वाले औद्योगिक रोबोट की तलाश में हैं।

विस्तार पर इस ध्यान का उद्देश्य हमलावरों के लिए एक आकर्षक और यथार्थवादी लक्ष्य बनाना था, जो एक बार इसे पा लेने के बाद बार-बार उस पर लौटेंगे।

इंजीनियर का कार्य केंद्र

पीएलसी लॉजिक को प्रोग्राम करने के लिए, हमने बुनियादी ढांचे में एक इंजीनियरिंग कंप्यूटर जोड़ा। पीएलसी प्रोग्रामिंग के लिए औद्योगिक सॉफ्टवेयर इस पर स्थापित किया गया था:

सीमेंस के लिए टीआईए पोर्टल,
एलन-ब्रैडली नियंत्रक के लिए माइक्रोलॉगिक्स,
ओमरोन के लिए सीएक्स-वन।

हमने तय किया कि इंजीनियरिंग कार्यक्षेत्र नेटवर्क के बाहर पहुंच योग्य नहीं होगा। इसके बजाय, हम व्यवस्थापक खाते के लिए वही पासवर्ड सेट करते हैं जो रोबोट नियंत्रण वर्कस्टेशन और इंटरनेट से एक्सेस किए जाने वाले फ़ैक्टरी नियंत्रण वर्कस्टेशन पर होता है। यह कॉन्फ़िगरेशन कई कंपनियों में काफी सामान्य है.
दुर्भाग्य से, हमारे सभी प्रयासों के बावजूद, एक भी हमलावर इंजीनियर के कार्य केंद्र तक नहीं पहुंचा।

फ़ाइल सर्वर

हमें हमलावरों के लिए चारे के रूप में और नकली कारखाने में अपने स्वयं के "काम" का समर्थन करने के साधन के रूप में इसकी आवश्यकता थी। इससे हमें हनीपोट नेटवर्क पर कोई निशान छोड़े बिना यूएसबी उपकरणों का उपयोग करके अपने हनीपोट के साथ फ़ाइलें साझा करने की अनुमति मिली। हमने फ़ाइल सर्वर के लिए ओएस के रूप में विंडोज 7 प्रो स्थापित किया, जिसमें हमने एक साझा फ़ोल्डर बनाया जिसे कोई भी पढ़ और लिख सकता है।

सबसे पहले हमने फ़ाइल सर्वर पर फ़ोल्डरों और दस्तावेज़ों का कोई पदानुक्रम नहीं बनाया। हालाँकि, बाद में हमें पता चला कि हमलावर सक्रिय रूप से इस फ़ोल्डर का अध्ययन कर रहे थे, इसलिए हमने इसे विभिन्न फ़ाइलों से भरने का निर्णय लिया। ऐसा करने के लिए, हमने एक पायथन स्क्रिप्ट लिखी, जिसने दिए गए एक्सटेंशन में से एक के साथ यादृच्छिक आकार की एक फ़ाइल बनाई, जो शब्दकोश के आधार पर एक नाम बनाती है।

आकर्षक फ़ाइल नाम उत्पन्न करने के लिए स्क्रिप्ट। स्रोत: ट्रेंड माइक्रो

स्क्रिप्ट चलाने के बाद, हमें बहुत दिलचस्प नामों वाली फ़ाइलों से भरे फ़ोल्डर के रूप में वांछित परिणाम मिला।

स्क्रिप्ट का परिणाम. स्रोत: ट्रेंड माइक्रो

पर्यावरण की निगरानी

एक यथार्थवादी कंपनी बनाने में इतना प्रयास करने के बाद, हम अपने "आगंतुकों" की निगरानी के लिए पर्यावरण पर असफल होने का जोखिम नहीं उठा सकते थे। हमें वास्तविक समय में सभी डेटा प्राप्त करने की आवश्यकता थी, बिना हमलावरों को यह एहसास हुए कि उन पर नज़र रखी जा रही है।

हमने इसे चार यूएसबी से ईथरनेट एडेप्टर, चार शार्कटैप ईथरनेट टैप, एक रास्पबेरी पाई 3 और एक बड़े बाहरी ड्राइव का उपयोग करके कार्यान्वित किया। हमारा नेटवर्क आरेख इस तरह दिखता था:

निगरानी उपकरण के साथ हनीपोट नेटवर्क आरेख। स्रोत: ट्रेंड माइक्रो

हमने तीन शार्कटैप टैप लगाए हैं ताकि पीएलसी पर सभी बाहरी ट्रैफ़िक की निगरानी की जा सके, जो केवल आंतरिक नेटवर्क से पहुंच योग्य है। चौथे शार्कटैप ने एक कमजोर वर्चुअल मशीन के मेहमानों के ट्रैफ़िक की निगरानी की।

शार्कटैप ईथरनेट टैप और सिएरा वायरलेस एयरलिंक आरवी50 राउटर। स्रोत: ट्रेंड माइक्रो

रास्पबेरी पाई ने दैनिक ट्रैफ़िक कैप्चर किया। हम सिएरा वायरलेस एयरलिंक आरवी50 सेल्युलर राउटर का उपयोग करके इंटरनेट से जुड़े, जिसका उपयोग अक्सर औद्योगिक उद्यमों में किया जाता है।

दुर्भाग्य से, इस राउटर ने हमें उन हमलों को चुनिंदा रूप से ब्लॉक करने की अनुमति नहीं दी जो हमारी योजनाओं से मेल नहीं खाते थे, इसलिए हमने नेटवर्क पर न्यूनतम प्रभाव के साथ ब्लॉकिंग करने के लिए पारदर्शी मोड में नेटवर्क में सिस्को एएसए 5505 फ़ायरवॉल जोड़ा।

यातायात विश्लेषण

Tshark और tcpdump वर्तमान समस्याओं को शीघ्रता से हल करने के लिए उपयुक्त हैं, लेकिन हमारे मामले में उनकी क्षमताएं पर्याप्त नहीं थीं, क्योंकि हमारे पास कई गीगाबाइट ट्रैफ़िक था, जिसका कई लोगों द्वारा विश्लेषण किया गया था। हमने एओएल द्वारा विकसित ओपन-सोर्स मोलोच विश्लेषक का उपयोग किया। कार्यक्षमता में यह वायरशार्क से तुलनीय है, लेकिन इसमें सहयोग, पैकेजों का वर्णन और टैगिंग, निर्यात और अन्य कार्यों के लिए अधिक क्षमताएं हैं।

चूंकि हम एकत्र किए गए डेटा को हनीपोट कंप्यूटर पर संसाधित नहीं करना चाहते थे, इसलिए पीसीएपी डंप को हर दिन एडब्ल्यूएस स्टोरेज में निर्यात किया जाता था, जहां से हम पहले ही उन्हें मोलोच मशीन पर आयात कर चुके थे।

स्क्रीन रिकॉर्डिंग

अपने हनीपोट में हैकर्स की गतिविधियों का दस्तावेजीकरण करने के लिए, हमने एक स्क्रिप्ट लिखी जिसमें एक निश्चित अंतराल पर वर्चुअल मशीन के स्क्रीनशॉट लिए गए और पिछले स्क्रीनशॉट के साथ तुलना करके यह निर्धारित किया गया कि वहां कुछ हो रहा था या नहीं। जब गतिविधि का पता चला, तो स्क्रिप्ट में स्क्रीन रिकॉर्डिंग शामिल थी। यह तरीका सबसे कारगर साबित हुआ. हमने यह समझने के लिए कि सिस्टम में क्या परिवर्तन हुए हैं, पीसीएपी डंप से वीएनसी ट्रैफ़िक का विश्लेषण करने का भी प्रयास किया, लेकिन अंत में हमने जो स्क्रीन रिकॉर्डिंग लागू की वह सरल और अधिक दृश्यमान निकली।

वीएनसी सत्रों की निगरानी करना

इसके लिए हमने कैओसरीडर और वीएनसीलॉगर का इस्तेमाल किया। दोनों उपयोगिताएँ PCAP डंप से कीस्ट्रोक्स निकालती हैं, लेकिन VNCLogger बैकस्पेस, एंटर, Ctrl जैसी कुंजियों को अधिक सही ढंग से संभालता है।

VNCLogger के दो नुकसान हैं। पहला: यह केवल इंटरफ़ेस पर ट्रैफ़िक को "सुनकर" कुंजी निकाल सकता है, इसलिए हमें tcpreplay का उपयोग करके इसके लिए एक VNC सत्र अनुकरण करना पड़ा। VNCLogger का दूसरा नुकसान कैओसरीडर के साथ आम है: वे दोनों क्लिपबोर्ड की सामग्री नहीं दिखाते हैं। ऐसा करने के लिए मुझे वायरशार्क का उपयोग करना पड़ा।

हम हैकर्स को लुभाते हैं

हमने हमला करने के लिए हनीपोट बनाया। इसे हासिल करने के लिए, हमने संभावित हमलावरों का ध्यान आकर्षित करने के लिए सूचना लीक का मंचन किया। हनीपोट पर निम्नलिखित बंदरगाह खोले गए:

हमारे लाइव होने के तुरंत बाद आरडीपी पोर्ट को बंद करना पड़ा क्योंकि हमारे नेटवर्क पर भारी मात्रा में स्कैनिंग ट्रैफ़िक प्रदर्शन संबंधी समस्याओं का कारण बन रहा था।
वीएनसी टर्मिनल पहले बिना पासवर्ड के केवल-दृश्य मोड में काम करते थे, और फिर हमने "गलती से" उन्हें पूर्ण एक्सेस मोड में बदल दिया।

हमलावरों को आकर्षित करने के लिए, हमने PasteBin पर उपलब्ध औद्योगिक प्रणाली के बारे में लीक हुई जानकारी के साथ दो पोस्ट पोस्ट कीं।

हमलों को आकर्षित करने के लिए पेस्टबिन पर पोस्ट की गई पोस्टों में से एक। स्रोत: ट्रेंड माइक्रो

आक्रमण

हनीपॉट लगभग सात महीने तक ऑनलाइन रहा। पहला हमला हनीपॉट के ऑनलाइन होने के एक महीने बाद हुआ।

स्कैनर

जानी-मानी कंपनियों - आईपी-आईपी, रैपिड, शैडो सर्वर, शोडान, ज़ूमआई और अन्य के स्कैनर से बहुत अधिक ट्रैफ़िक आया। उनमें से इतने सारे थे कि हमें उनके आईपी पते को विश्लेषण से बाहर करना पड़ा: 610 में से 9452 या सभी अद्वितीय आईपी पते में से 6,45% पूरी तरह से वैध स्कैनर के थे।

धोखाधड़ी करने वाले

हमारे द्वारा सामना किए गए सबसे बड़े जोखिमों में से एक आपराधिक उद्देश्यों के लिए हमारे सिस्टम का उपयोग है: ग्राहक के खाते के माध्यम से स्मार्टफोन खरीदना, उपहार कार्ड का उपयोग करके एयरलाइन मील को नकद करना और अन्य प्रकार की धोखाधड़ी।

खनिकों

हमारे सिस्टम पर आने वाले पहले आगंतुकों में से एक एक खनिक निकला। उन्होंने इस पर मोनेरो माइनिंग सॉफ्टवेयर डाउनलोड किया। कम उत्पादकता के कारण वह हमारे विशेष सिस्टम पर अधिक पैसा नहीं कमा पाता। हालाँकि, अगर हम कई दर्जन या सैकड़ों ऐसी प्रणालियों के प्रयासों को जोड़ दें, तो यह काफी अच्छा हो सकता है।

रैंसमवेयर

हनीपॉट के काम के दौरान, हमें दो बार वास्तविक रैंसमवेयर वायरस का सामना करना पड़ा। पहले मामले में यह क्राइसिस था। इसके ऑपरेटरों ने वीएनसी के माध्यम से सिस्टम में लॉग इन किया, लेकिन फिर टीमव्यूअर स्थापित किया और आगे की कार्रवाई करने के लिए इसका इस्तेमाल किया। बीटीसी में 10 डॉलर की फिरौती मांगने वाले जबरन वसूली संदेश की प्रतीक्षा करने के बाद, हमने अपराधियों के साथ पत्राचार किया, और उनसे हमारे लिए फाइलों में से एक को डिक्रिप्ट करने के लिए कहा। उन्होंने अनुरोध का अनुपालन किया और फिरौती की मांग दोहराई। हम 6 हजार डॉलर तक बातचीत करने में कामयाब रहे, जिसके बाद हमने सिस्टम को वर्चुअल मशीन पर दोबारा अपलोड कर दिया, क्योंकि हमें सभी आवश्यक जानकारी प्राप्त हो गई थी।

दूसरा रैंसमवेयर फोबोस निकला। इसे इंस्टॉल करने वाले हैकर ने हनीपोट फ़ाइल सिस्टम को ब्राउज़ करने और नेटवर्क को स्कैन करने में एक घंटा बिताया, और फिर अंततः रैंसमवेयर इंस्टॉल किया।
तीसरा रैंसमवेयर हमला फर्जी निकला. एक अज्ञात "हैकर" ने हमारे सिस्टम पर haha.bat फ़ाइल डाउनलोड की, जिसके बाद हमने कुछ देर तक उसे काम पर लाने की कोशिश करते हुए देखा। इनमें से एक प्रयास haha.bat का नाम बदलकर haha.rnsmwr करना था।

"हैकर" बैट फ़ाइल के एक्सटेंशन को .rnsmwr में बदलकर उसकी हानिकारकता को बढ़ाता है। स्रोत: ट्रेंड माइक्रो

जब बैच फ़ाइल अंततः चलने लगी, तो "हैकर" ने इसे संपादित किया, फिरौती की रकम $200 से बढ़ाकर $750 कर दी। उसके बाद, उसने सभी फाइलों को "एन्क्रिप्ट" कर दिया, डेस्कटॉप पर एक जबरन वसूली संदेश छोड़ा और गायब हो गया, हमारे वीएनसी पर पासवर्ड बदल दिया।

कुछ दिनों बाद, हैकर वापस आया और खुद को याद दिलाने के लिए, एक बैच फ़ाइल लॉन्च की जिसने एक पोर्न साइट वाली कई विंडो खोल दीं। जाहिर है, इस तरह उन्होंने अपनी मांग पर ध्यान खींचने की कोशिश की.

परिणाम

अध्ययन के दौरान, यह पता चला कि जैसे ही भेद्यता के बारे में जानकारी प्रकाशित हुई, हनीपॉट ने ध्यान आकर्षित किया, गतिविधि दिन-ब-दिन बढ़ती गई। जाल पर ध्यान आकर्षित करने के लिए, हमारी काल्पनिक कंपनी को कई सुरक्षा उल्लंघनों का सामना करना पड़ा। दुर्भाग्य से, यह स्थिति कई वास्तविक कंपनियों के बीच असामान्य नहीं है जिनके पास पूर्णकालिक आईटी और सूचना सुरक्षा कर्मचारी नहीं हैं।

सामान्य तौर पर, संगठनों को कम से कम विशेषाधिकार के सिद्धांत का उपयोग करना चाहिए, जबकि हमने हमलावरों को आकर्षित करने के लिए इसके ठीक विपरीत कार्यान्वित किया। और जितनी देर हमने हमलों को देखा, मानक प्रवेश परीक्षण विधियों की तुलना में वे उतने ही अधिक परिष्कृत होते गए।

और सबसे महत्वपूर्ण बात यह है कि यदि नेटवर्क स्थापित करते समय पर्याप्त सुरक्षा उपाय लागू किए गए होते तो ये सभी हमले विफल हो जाते। संगठनों को यह सुनिश्चित करना चाहिए कि उनके उपकरण और औद्योगिक बुनियादी ढांचे के घटक इंटरनेट से पहुंच योग्य न हों, जैसा कि हमने विशेष रूप से अपने जाल में किया था।

हालाँकि हमने सभी कंप्यूटरों पर एक ही स्थानीय व्यवस्थापक पासवर्ड का उपयोग करने के बावजूद किसी इंजीनियर के कार्य केंद्र पर एक भी हमला दर्ज नहीं किया है, घुसपैठ की संभावना को कम करने के लिए इस अभ्यास से बचना चाहिए। आख़िरकार, कमज़ोर सुरक्षा औद्योगिक प्रणालियों पर हमला करने के लिए एक अतिरिक्त निमंत्रण के रूप में कार्य करती है, जो लंबे समय से साइबर अपराधियों के लिए रुचिकर रही है।

स्रोत: www.habr.com

अकथनीय रूप से आकर्षक: हमने एक ऐसा हनीपोट कैसे बनाया जिसे उजागर नहीं किया जा सकता

हनीपोट विकास: चेकलिस्ट

एक किंवदंती बनाना

हनीपोट बुनियादी ढांचा

इंजीनियर का कार्य केंद्र

फ़ाइल सर्वर

पर्यावरण की निगरानी

यातायात विश्लेषण

स्क्रीन रिकॉर्डिंग

वीएनसी सत्रों की निगरानी करना

हम हैकर्स को लुभाते हैं

आक्रमण

परिणाम

एक टिप्पणी जोड़ें उत्तर रद्द