אטרקטיבי מאין כמוהו: איך יצרנו סיר דבש שאי אפשר לחשוף אותו

חברות אנטי-וירוס, מומחי אבטחת מידע וחובבי פשוט שמים מערכות Honeypot באינטרנט כדי "לתפוס" גרסה חדשה של הווירוס או לזהות טקטיקות האקרים חריגות. עציצי דבש הם כל כך נפוצים עד שפושעי סייבר פיתחו סוג של חסינות: הם מזהים במהירות שהם מול מלכודת ופשוט מתעלמים ממנה. כדי לחקור את הטקטיקה של האקרים מודרניים, יצרנו סיר דבש מציאותי שחי באינטרנט במשך שבעה חודשים, ומושך מגוון התקפות. דיברנו על איך זה קרה במחקר שלנו "נתפס בשעת מעשה: הפעלת סיר דבש ריאליסטי במפעל כדי ללכוד איומים אמיתיים" כמה עובדות מהמחקר נמצאות בפוסט הזה.

פיתוח סיר דבש: רשימת בדיקה

המשימה העיקרית ביצירת מלכודת העל שלנו הייתה למנוע מאיתנו להיחשף על ידי האקרים שהראו בו עניין. זה דרש הרבה עבודה:

1. צור אגדה מציאותית על החברה, כולל שם מלא ותמונה של העובדים, מספרי טלפון ודואר אלקטרוני.
2. להמציא וליישם מודל תשתית תעשייתית התואם את האגדה על פעילות החברה שלנו.
3. החליטו אילו שירותי רשת יהיו זמינים מבחוץ, אבל אל תיסחפו עם פתיחת פורטים פגיעים כדי שזה לא ייראה כמו מלכודת ל-simps.
4. ארגן את הופעתה של דליפת מידע על מערכת פגיעה והפצת מידע זה בקרב תוקפים פוטנציאליים.
5. הטמעת ניטור דיסקרטי של פעולות האקרים בתשתית המלכודת.

ועכשיו על הכל בסדר.

צור אגדה

פושעי סייבר כבר רגילים להיתקל בהרבה עציצים, ולכן החלק המתקדם שבהם עורך חקירה מעמיקה של כל מערכת פגיעה כדי לוודא שלא מדובר במלכודת. מאותה סיבה, ביקשנו לוודא שסיר הדבש לא יהיה ריאלי רק מבחינה עיצובית וטכנית, אלא גם ליצור חזות של חברה אמיתית.

מכניסים את עצמנו לנעליו של האקר מגניב היפותטי, פיתחנו אלגוריתם אימות שיבדיל בין מערכת אמיתית למלכודת. זה כלל חיפוש כתובות IP של החברה במערכות מוניטין, מחקר הפוך על ההיסטוריה של כתובות IP, חיפוש שמות ומילות מפתח הקשורות לחברה, כמו גם לצדדים הנגדיים שלה, ועוד הרבה דברים אחרים. כתוצאה מכך, האגדה התבררה כדי משכנעת ומושכת.

החלטנו למקם את מפעל המלכודות כבוטיק קטן של אבות טיפוס תעשייתי, שעובד עבור לקוחות אנונימיים גדולים מאוד מהמגזר הצבאי והתעופה. זה הציל אותנו מהמורכבות המשפטית הקשורה לשימוש במותג קיים.

לאחר מכן, היינו צריכים להמציא חזון, ייעוד ושם לארגון. החלטנו שהחברה שלנו תהיה סטארטאפ עם מספר קטן של עובדים, שכל אחד מהם הוא מייסד. זה הוסיף אמינות לאגדת ההתמחות של העסק שלנו, המאפשרת לו לעבוד עם פרויקטים עדינים עבור לקוחות גדולים וחשובים. רצינו לגרום לחברה שלנו להיראות חלשה מבחינת אבטחת סייבר, אבל יחד עם זאת היה ברור שאנחנו עובדים עם נכסים חשובים במערכות היעד.

צילום מסך של אתר MeTech honeypot. מקור: Trend Micro

בחרנו את המילה MeTech כשם החברה. האתר נוצר על בסיס תבנית חינמית. התמונות נלקחו ממאגרי תמונות, תוך שימוש במאגרי התמונות הכי לא פופולריים ושינו אותם כדי להפוך אותם פחות לזיהוי.

רצינו שהחברה תיראה אמיתית ולכן היינו צריכים לצרף עובדים בעלי כישורים מקצועיים התואמים את פרופיל הפעילות. המצאנו שמות וזהויות עבורם, ואז ניסינו לבחור תמונות ממאגרי פוטו לפי מוצא אתני.

צילום מסך של אתר MeTech honeypot. מקור: Trend Micro

כדי לא להתגלות, חיפשנו תמונות קבוצתיות באיכות טובה ומהן נוכל לבחור את הפרצופים שאנחנו צריכים. עם זאת, מאוחר יותר נטשנו את האפשרות הזו, מכיוון שהאקר פוטנציאלי יכול להשתמש בחיפוש תמונות הפוך ולגלות ש"העובדים" שלנו חיים רק בבנקי תמונות. בסופו של דבר, השתמשנו בתמונות של אנשים לא קיימים שנוצרו באמצעות רשתות עצביות.

הפרופילים של העובדים שפורסמו באתר הכילו מידע חשוב על כישוריהם הטכניים, אך נמנענו מלציין מוסדות חינוך וערים ספציפיות.
ליצירת תיבות דואר, השתמשנו בשרת של ספק אחסון, ולאחר מכן שכרנו מספר מספרי טלפון בארצות הברית ושילבנו אותם למרכזייה וירטואלית עם תפריט קולי ומשיבון.

תשתית Honeypot

כדי להימנע מחשיפה, החלטנו להשתמש בשילוב של חומרה תעשייתית אמיתית, מחשבים פיזיים ומכונות וירטואליות מאובטחות. במבט קדימה, בדקנו את תוצאת המאמצים שלנו באמצעות מנוע החיפוש Shodan, וזה הראה שסיר הדבש נראה כמו מערכת תעשייתית אמיתית.

התוצאה של סריקת סיר דבש באמצעות Shodan. מקור: Trend Micro

השתמשנו בארבעה PLC כחומרה עבור המלכודת שלנו:

• סימנס S7-1200,
• שני AllenBradley MicroLogix 1100,
• אומרון CP1L.

PLCs אלו נבחרו בשל הפופולריות שלהם בשוק מערכות הבקרה העולמי. וכל אחד מהבקרים הללו משתמש בפרוטוקול משלו, מה שאפשר לנו לבדוק אילו מה-PLCs יותקפו לעתים קרובות יותר והאם הם יעניינו מישהו באופן עקרוני.

ציוד של מלכודת "המפעל" שלנו. מקור: Trend Micro

לא סתם התקנו חתיכות ברזל וחיברנו אותן לאינטרנט. תכנתנו כל בקר לבצע משימות, ביניהן

• עִרבּוּב,
• בקרת מבער ורצועת מסוע,
• משטחים באמצעות זרוע רובוטית.

וכדי להפוך את תהליך הייצור למציאותי, תכנתנו את ההיגיון לשנות באקראי פרמטרים של משוב, לדמות מנועים התחלה ועצירה, ומבערים נדלקים וכיבויים.

במפעל שלנו היו שלושה מחשבים וירטואליים ואחד פיזי. מחשבים וירטואליים שימשו לשליטה במפעל, רובוט פלטיזר וכתחנת עבודה למהנדס תוכנת PLC. המחשב הפיזי עבד כשרת קבצים.

בנוסף לניטור התקפות על PLCs, רצינו לעקוב אחר מצב התוכניות הטעונות במכשירים שלנו. לשם כך, יצרנו ממשק שאיפשר לנו לקבוע במהירות כיצד השתנו המצבים של המפעילים הווירטואליים וההגדרות שלנו. כבר בשלב התכנון גילינו שהרבה יותר קל ליישם זאת באמצעות תוכנת בקרה מאשר באמצעות תכנות ישיר של לוגיקת הבקר. פתחנו את הגישה לממשק ניהול המכשירים של ה-honeypot שלנו דרך VNC ללא סיסמה.

רובוטים תעשייתיים הם מרכיב מרכזי של ייצור חכם מודרני. בהקשר זה, החלטנו להוסיף רובוט ותחנת עבודה לשלוט בו לציוד של מפעל המלכודות שלנו. כדי להפוך את ה"מפעל" למציאותי יותר, התקנו תוכנה אמיתית על תחנת העבודה הבקרה, שבה משתמשים מהנדסים לתכנות גרפי של הלוגיקה של הרובוט. ובכן, מכיוון שרובוטים תעשייתיים ממוקמים בדרך כלל ברשת פנימית מבודדת, החלטנו להשאיר גישה לא מאובטחת דרך VNC רק לתחנת העבודה הבקרה.

סביבת RobotStudio עם מודל תלת מימד של הרובוט שלנו. מקור: Trend Micro

התקנו את סביבת התכנות RobotStudio מבית ABB Robotics על מכונה וירטואלית עם תחנת עבודה לבקרת רובוט. לאחר שהגדרנו את RobotStudio, פתחנו קובץ סימולציה עם הרובוט שלנו בתוכו כך שתמונת התלת-ממד שלו הייתה גלויה על המסך. כתוצאה מכך, Shodan ומנועי חיפוש אחרים, עם זיהוי שרת VNC לא מאובטח, יתפסו את תמונת המסך הזו ויציגו אותה למי שמחפש רובוטים תעשייתיים עם גישה פתוחה לשליטה.

המטרה של תשומת לב זו לפרטים הייתה ליצור מטרה אטרקטיבית ומציאותית לתוקפים שברגע שימצאו אותה יחזרו אליה שוב ושוב.

תחנת עבודה של מהנדס

כדי לתכנת את לוגיקת ה-PLC, הוספנו לתשתית מחשב הנדסי. הותקנה עליו תוכנה תעשייתית לתכנות PLC:

• פורטל TIA עבור סימנס,
• MicroLogix עבור בקר אלן-בראדלי,
• CX-One עבור Omron.

החלטנו שמקום העבודה ההנדסי לא יהיה זמין מחוץ לרשת. במקום זאת, אנו מגדירים את אותה סיסמה לחשבון המנהל שבו כמו בתחנת העבודה של רובוט בקרה הנגישה לאינטרנט ובתחנת העבודה של בקרת היצרן. תצורה זו נפוצה למדי בחברות רבות.
לרוע המזל, למרות כל המאמצים שלנו, אף תוקף לא הגיע לתחנת העבודה של המהנדס.

שרת קבצים

היינו צריכים את זה בתור פיתיון לתוקפים וכאמצעי לגיבוי "עבודה" משלנו במפעל ההטעיה. זה איפשר לנו לשתף קבצים עם ה-honeypot שלנו באמצעות התקני USB מבלי להשאיר עקבות ברשת ה-honeypot. התקנו את Windows 7 Pro כמערכת ההפעלה לשרת הקבצים, בה יצרנו תיקיה משותפת שניתן לקרוא ולכתוב על ידי כל אחד.

בהתחלה לא יצרנו היררכיה של תיקיות ומסמכים בשרת הקבצים. עם זאת, מאוחר יותר גילינו שתוקפים לומדים באופן פעיל את התיקיה הזו, אז החלטנו למלא אותה בקבצים שונים. לשם כך, כתבנו סקריפט python שיצר קובץ בגודל אקראי עם אחת הסיומות הנתונות, ויצר שם המבוסס על המילון.

סקריפט ליצירת שמות קבצים אטרקטיביים. מקור: Trend Micro

לאחר הפעלת הסקריפט, קיבלנו את התוצאה הרצויה בצורת תיקיה מלאה בקבצים עם שמות מעניינים מאוד.

התוצאה של התסריט. מקור: Trend Micro

סביבת ניטור

לאחר שהשקענו כל כך הרבה מאמצים ביצירת חברה מציאותית, פשוט לא יכולנו להרשות לעצמנו להיכשל בסביבה לניטור ה"מבקרים" שלנו. היינו צריכים לקבל את כל הנתונים בזמן אמת בצורה כזו שהתוקפים לא ישימו לב שצופים בהם.

עשינו זאת באמצעות ארבעה מתאמי USB ל-Ethernet, ארבעה ברזי SharkTap Ethernet, Raspberry Pi 3 וכונן חיצוני גדול. דיאגרמת הרשת שלנו נראתה כך:

דיאגרמת רשת Honeypot עם ציוד ניטור. מקור: Trend Micro

מיצבנו שלוש ברזי SharkTap כדי לנטר את כל התעבורה החיצונית ל-PLC, הנגישה רק מהרשת הפנימית. ה-SharkTap הרביעי ניטר את תעבורת האורחים של מכונה וירטואלית פגיעה.

SharkTap Ethernet Tap ונתב Sierra Wireless AirLink RV50. מקור: Trend Micro

Raspberry Pi ביצע לכידת תנועה יומית. התחברנו לאינטרנט באמצעות נתב סלולרי Sierra Wireless AirLink RV50, המשמש לעתים קרובות בארגונים תעשייתיים.

למרבה הצער, הנתב הזה לא איפשר לנו לחסום באופן סלקטיבי התקפות שלא תואמות את התוכניות שלנו, ולכן הוספנו חומת אש של Cisco ASA 5505 לרשת במצב שקוף על מנת לחסום במינימום השפעה על הרשת.

ניתוח תנועה

Tshark ו-tcpdump מתאימים לפתרון מהיר של בעיות עכשוויות, אבל במקרה שלנו היכולות שלהם לא הספיקו, שכן היו לנו הרבה ג'יגה-בייט של תעבורה, שניתחו על ידי מספר אנשים. השתמשנו בנתח Moloch בקוד פתוח שפותח על ידי AOL. זה דומה בפונקציונליות ל-Wireshark, אבל יש לו יותר יכולות לשיתוף פעולה, תיאור ותיוג חבילות, ייצוא ומשימות אחרות.

מכיוון שלא רצינו לעבד את הנתונים שנאספו במחשבי Honeypot, מטחי PCAP יוצאו כל יום לאחסון AWS, משם כבר ייבאנו אותם למכונת מולוך.

הקלטת מסך

כדי לתעד את פעולות האקרים בסיר הדבש שלנו, כתבנו סקריפט שצילם צילומי מסך של המכונה הוירטואלית במרווח נתון ובהשוואה לצילום המסך הקודם, קבע אם משהו קורה שם או לא. כאשר זוהתה פעילות, התסריט כלל הקלטת מסך. גישה זו התבררה כיעילה ביותר. ניסינו גם לנתח את תעבורת ה-VNC מה-PCAP dump כדי להבין אילו שינויים חלו במערכת, אך בסופו של דבר, הקלטת המסך שהטמענו התבררה כפשוטה ויזואלית יותר.

ניטור הפעלות VNC

לשם כך השתמשנו ב-Chaosreader וב-VNCLogger. שני כלי השירות מחלצים הקשות מ-PCAP dump, אבל VNCLogger מטפל בצורה נכונה יותר במקשים כמו Backspace, Enter, Ctrl.

ל-VNCLogger יש שני חסרונות. ראשית, הוא יכול לאחזר מפתחות רק על ידי "האזנה" לתעבורה בממשק, אז היינו צריכים לדמות עבורו סשן VNC באמצעות tcpreplay. החיסרון השני של VNCLogger משותף עם Chaosreader: שניהם אינם מציגים את תוכן הלוח. לשם כך נאלצתי להשתמש ב-Wireshark.

אנחנו מפתים האקרים

יצרנו סיר דבש שיתקפו אותו. כדי להשיג זאת, בימנו דליפת מידע שנועדה למשוך את תשומת לבם של האקרים פוטנציאליים. היציאות הבאות נפתחו ב-honeypot:

יציאת ה-RDP נאלצה להיסגר זמן קצר לאחר תחילת העבודה, מכיוון שבשל כמות הסריקה העצומה ברשת שלנו, היו בעיות ביצועים.
מסופי VNC עבדו תחילה במצב צפייה בלבד ללא סיסמה, ואז "בטעות" העברנו אותם למצב גישה מלאה.

כדי למשוך תוקפים, פרסמנו שני פוסטים עם מידע שדלף על המערכת התעשייתית הזמינה ב-PasteBin.

אחד הפוסטים שפורסמו ב-PasteBin כדי למשוך התקפות. מקור: Trend Micro

התקפות

Honeypot חי באינטרנט במשך כשבעה חודשים. המתקפה הראשונה התרחשה חודש לאחר שהונייפוט עלה לרשת.

סורקים

הייתה תנועה רבה מסורקים של חברות מוכרות - ip-ip, Rapid, Shadow Server, Shodan, ZoomEye ואחרות. היו כל כך הרבה מהם שנאלצנו להוציא את כתובות ה-IP שלהם מהניתוח: 610 מתוך 9452 או 6,45% מכל כתובות ה-IP הייחודיות היו שייכות לסורקים לגיטימיים לחלוטין.

רמאים

אחד הסיכונים הגדולים ביותר שעמדנו בפנינו הוא השימוש במערכת שלנו למטרות פליליות: לקנות סמארטפונים דרך חשבון מנוי, לפדות מיילים של חברת תעופה באמצעות כרטיסי מתנה וסוגים אחרים של הונאה

כורים

אחד המבקרים הראשונים במערכת שלנו התברר ככורה. הוא הוריד אליו תוכנת כרייה Monero. הוא לא היה יכול להרוויח הרבה כסף על המערכת הספציפית שלנו בגלל פרודוקטיביות נמוכה. עם זאת, אם נשלב את המאמצים של כמה עשרות או אפילו מאות מערכות כאלה, זה יכול להתברר די טוב.

כופרה

במהלך פעולת ה-honeypot, נתקלנו פעמיים בווירוסי כופר אמיתיים. במקרה הראשון זה היה קריסיס. המפעילים שלו התחברו למערכת באמצעות VNC, אך לאחר מכן התקינו את TeamViewer והשתמשו בו כדי לבצע פעולות נוספות. לאחר שחיכינו להודעה סחטנית שדרשה כופר של 10$ ב-BTC, נכנסנו להתכתבות עם הפושעים, וביקשנו מהם לפענח עבורנו את אחד התיקים. הם נענו לבקשה וחזרו על דרישת הכופר. הצלחנו להתמקח על עד 6 דולר, ולאחר מכן פשוט העלינו את המערכת למכונה וירטואלית, מכיוון שקיבלנו את כל המידע הדרוש.

התברר כי תוכנת הכופר השנייה היא Phobos. ההאקר שהתקין את זה עבר דרך מערכת הקבצים של ה-honeypot וסרק את הרשת במשך שעה, ולאחר מכן התקין את תוכנת הכופר.
התקפת תוכנת הכופר השלישית התבררה כמזויפת. "האקר" לא ידוע הוריד את הקובץ haha.bat למערכת שלנו, ולאחר מכן צפינו במשך זמן מה שהוא מנסה לגרום לזה לעבוד. ניסיון אחד היה לשנות את השם של haha.bat ל-haha.rnsmwr.

"האקר" מגביר את הזדוניות של קובץ bat על ידי שינוי הסיומת שלו ל-.rnsmwr. מקור: Trend Micro

כאשר קובץ האצווה סוף סוף התחיל לרוץ, ה"האקר" ערך אותו, והגדיל את הכופר מ-$200 ל-$750. לאחר מכן, הוא "הצפין" את כל הקבצים, השאיר הודעה סחטנית על שולחן העבודה ונעלם, תוך שהוא משנה את הסיסמאות ב-VNC שלנו.

כמה ימים לאחר מכן, ההאקר חזר וכדי להזכיר לעצמו, השיק קובץ אצווה שפתח חלונות רבים עם אתר פורנו. ככל הנראה, בדרך זו הוא ניסה למשוך תשומת לב לדרישתו.

תוצאות של

במהלך המחקר התברר כי מיד עם פרסום המידע על הפגיעות משך הדבש תשומת לב, כאשר הפעילות גדלה מיום ליום. כדי שהמלכודת תזכה לתשומת לב, החברה הפיקטיבית שלנו נאלצה לסבול מפרצות אבטחה מרובות. למרבה הצער, מצב זה רחוק מלהיות נדיר בקרב חברות אמיתיות רבות שאין להן עובדי IT ואבטחת מידע במשרה מלאה.

באופן כללי, ארגונים צריכים להשתמש בעקרון המינימום הפריבילגיה, בעוד שיישמנו בדיוק את ההפך ממנו כדי למשוך תוקפים. וככל שצפינו זמן רב יותר בהתקפות, כך הן נעשו מתוחכמות יותר בהשוואה לשיטות בדיקת חדירה סטנדרטיות.

והכי חשוב, כל ההתקפות הללו היו נכשלות אילו אמצעי אבטחה נאותים היו מיושמים בעת הגדרת הרשת. ארגונים חייבים להבטיח שהציוד ורכיבי התשתית התעשייתית שלהם אינם נגישים מהאינטרנט, כפי שעשינו ספציפית במלכודת שלנו.

למרות שלא תיעדנו התקפה אחת על תחנת העבודה של המהנדס, למרות השימוש באותה סיסמת מנהל מקומית בכל המחשבים, יש להימנע מנוהג זה על מנת למזער את האפשרות של פריצות. אחרי הכל, אבטחה חלשה משמשת הזמנה נוספת לתקוף מערכות תעשייתיות שכבר מזמן מעניינות פושעי סייבר.

מקור: www.habr.com