말할 수 없이 매력적인: 노출될 수 없는 허니팟을 만든 방법

바이러스 백신 회사, 정보 보안 전문가 및 열성팬은 새로운 바이러스 변종을 "잡거나" 특이한 해커 전술을 식별하기 위해 인터넷에 허니팟 시스템을 설치합니다. 허니팟은 너무 흔해서 사이버 범죄자들은 ​​일종의 면역력을 개발했습니다. 즉, 자신이 함정 앞에 있다는 것을 재빨리 식별하고 이를 무시하는 것입니다. 현대 해커들의 전술을 탐색하기 위해 우리는 XNUMX개월 동안 인터넷에 살면서 다양한 공격을 유도하는 현실적인 허니팟을 만들었습니다. 우리는 연구에서 어떻게 이런 일이 일어났는지에 대해 이야기했습니다.현장 포착: 실제 위협을 포착하기 위해 현실적인 공장 허니팟 실행" 이 게시물에는 연구의 일부 사실이 포함되어 있습니다.

허니팟 개발: 체크리스트

우리의 슈퍼트랩을 만드는 주요 임무는 이에 관심을 보이는 해커들에게 우리가 노출되는 것을 막는 것이었습니다. 이를 위해서는 많은 작업이 필요했습니다.

1. 직원의 이름과 사진, 전화번호, 이메일을 포함하여 회사에 대한 현실적인 전설을 만드세요.
2. 우리 회사 활동에 대한 전설에 부합하는 산업 인프라 모델을 고안하고 구현합니다.
3. 외부에서 액세스할 수 있는 네트워크 서비스를 결정하되, 취약한 포트를 열어서 허풍쟁이의 함정처럼 보이지 않도록 해서는 안 됩니다.
4. 취약한 시스템에 대한 정보 유출의 가시성을 구성하고 이 정보를 잠재적인 공격자에게 배포합니다.
5. 허니팟 인프라에서 해커 활동에 대한 신중한 모니터링을 구현합니다.

그리고 이제 모든 것에 대해 순서대로.

범례 만들기

사이버범죄자들은 ​​이미 수많은 허니팟을 접하는 데 익숙하기 때문에 가장 진보된 부분은 각각의 취약한 시스템에 대해 심층적인 조사를 실시하여 함정이 아닌지 확인합니다. 같은 이유로 허니팟이 디자인이나 기술적인 측면에서 사실적일 뿐만 아니라, 실제 회사의 모습을 연출할 수 있도록 노력했습니다.

우리는 가상의 멋진 해커의 입장에서 실제 시스템과 트랩을 구별하는 검증 알고리즘을 개발했습니다. 여기에는 평판 시스템에서 회사 IP 주소 검색, IP 주소 이력에 대한 역연구, 회사 및 상대방과 관련된 이름 및 키워드 검색 등이 포함되었습니다. 결과적으로 그 전설은 매우 설득력 있고 매력적이었습니다.

우리는 미끼 공장을 군사 및 항공 분야의 대규모 익명 고객을 위해 일하는 소규모 산업용 프로토타이핑 부티크로 자리매김하기로 결정했습니다. 이를 통해 기존 브랜드 사용과 관련된 법적 문제에서 벗어날 수 있었습니다.

다음으로 우리는 조직의 비전, 사명, 이름을 정해야 했습니다. 우리는 우리 회사를 직원 한 명이 창업자인 소수의 스타트업으로 만들기로 결정했습니다. 이는 크고 중요한 고객을 위한 민감한 프로젝트를 처리할 수 있는 우리 사업의 전문적인 성격에 대한 이야기에 신뢰성을 더했습니다. 우리는 사이버 보안의 관점에서 우리 회사가 약해 보이길 원했지만 동시에 우리가 대상 시스템의 중요한 자산을 가지고 작업하고 있다는 것이 분명했습니다.

MeTech 허니팟 웹사이트의 스크린샷. 출처: 트렌드마이크로

우리는 회사 이름으로 MeTech라는 단어를 선택했습니다. 이 사이트는 무료 템플릿을 기반으로 제작되었습니다. 이미지는 사진 모음에서 가져온 것이며, 가장 인기 없는 이미지를 사용하고 알아볼 수 없도록 수정했습니다.

우리는 회사가 실제처럼 보이기를 원했기 때문에 활동 프로필에 맞는 전문 기술을 갖춘 직원을 추가해야 했습니다. 우리는 그들의 이름과 성격을 생각해낸 다음 인종에 따라 사진 모음에서 이미지를 선택하려고 했습니다.

MeTech 허니팟 웹사이트의 스크린샷. 출처: 트렌드마이크로

들키는 것을 피하기 위해 우리는 필요한 얼굴을 선택할 수 있는 좋은 품질의 단체 사진을 찾았습니다. 그러나 잠재적인 해커가 역 이미지 검색을 사용하여 우리의 "직원"이 사진 은행에만 살고 있다는 것을 발견할 수 있기 때문에 우리는 이 옵션을 포기했습니다. 결국 우리는 신경망을 이용해 생성된 존재하지 않는 인물의 사진을 사용했습니다.

사이트에 게시된 직원 프로필에는 기술 능력에 대한 중요한 정보가 포함되어 있었지만 특정 학교나 도시를 식별하는 것은 피했습니다.
사서함을 만들기 위해 우리는 호스팅 제공업체의 서버를 사용한 다음 미국의 여러 전화번호를 임대하여 음성 메뉴와 자동 응답기를 갖춘 가상 PBX로 결합했습니다.

허니팟 인프라

노출을 피하기 위해 우리는 실제 산업용 하드웨어, 물리적 컴퓨터 및 보안 가상 머신을 조합하여 사용하기로 결정했습니다. 앞으로 우리가 노력한 결과를 쇼단(Shodan) 검색엔진을 이용해 확인한 결과, 허니팟이 실제 산업 시스템처럼 보이는 것으로 나타났다고 하겠습니다.

Shodan을 이용하여 허니팟을 스캔한 결과입니다. 출처: 트렌드마이크로

우리는 트랩의 하드웨어로 XNUMX개의 PLC를 사용했습니다.

• 지멘스 S7-1200,
• Allen-Bradley MicroLogix 1100 XNUMX개,
• 옴론 CP1L.

이 PLC는 글로벌 제어 시스템 시장에서 인기를 끌기 위해 선택되었습니다. 그리고 이러한 각 컨트롤러는 자체 프로토콜을 사용하므로 어떤 PLC가 더 자주 공격을 받는지, 원칙적으로 누구에게 관심이 있는지 확인할 수 있습니다.

우리 "공장"의 장비-트랩. 출처: 트렌드마이크로

우리는 단지 하드웨어를 설치하고 인터넷에 연결한 것이 아닙니다. 우리는 다음을 포함한 작업을 수행하도록 각 컨트롤러를 프로그래밍했습니다.

• 혼입,
• 버너 및 컨베이어 벨트 제어,
• 로봇 매니퓰레이터를 이용한 팔레타이징.

그리고 생산 공정을 현실적으로 만들기 위해 피드백 매개변수를 무작위로 변경하고 모터 시작 및 중지, 버너 켜기 및 끄기를 시뮬레이션하는 로직을 프로그래밍했습니다.

우리 공장에는 가상 컴퓨터 XNUMX대와 실제 컴퓨터 XNUMX대가 있었습니다. 가상 컴퓨터는 플랜트, 팔레타이저 로봇을 제어하고 PLC 소프트웨어 엔지니어를 위한 워크스테이션으로 사용되었습니다. 물리적 컴퓨터는 파일 서버로 작동했습니다.

PLC에 대한 공격을 모니터링하는 것 외에도 우리 장치에 로드된 프로그램의 상태를 모니터링하고 싶었습니다. 이를 위해 우리는 가상 액추에이터의 상태와 설정이 어떻게 수정되었는지 빠르게 확인할 수 있는 인터페이스를 만들었습니다. 이미 계획 단계에서 우리는 컨트롤러 로직을 직접 프로그래밍하는 것보다 제어 프로그램을 사용하여 이를 구현하는 것이 훨씬 쉽다는 것을 발견했습니다. 비밀번호 없이 VNC를 통해 허니팟의 장치 관리 인터페이스에 대한 액세스를 열었습니다.

산업용 로봇은 현대 스마트 제조의 핵심 구성 요소입니다. 이에 당사 트랩공장 장비에 로봇과 이를 제어할 수 있는 자동화 작업장을 추가하기로 결정하였습니다. "공장"을 더욱 현실적으로 만들기 위해 엔지니어가 로봇의 논리를 그래픽으로 프로그래밍하는 데 사용하는 제어 워크스테이션에 실제 소프트웨어를 설치했습니다. 글쎄, 산업용 로봇은 일반적으로 격리된 내부 네트워크에 위치하기 때문에 우리는 VNC를 통한 보호되지 않은 액세스를 제어 워크스테이션에만 남겨두기로 결정했습니다.

로봇의 3D 모델이 포함된 RobotStudio 환경. 출처: 트렌드마이크로

우리는 로봇 제어 워크스테이션이 있는 가상 머신에 ABB Robotics의 RobotStudio 프로그래밍 환경을 설치했습니다. RobotStudio를 구성한 후 로봇이 포함된 시뮬레이션 파일을 열어 로봇의 3D 이미지가 화면에 표시되도록 했습니다. 결과적으로 Shodan 및 기타 검색 엔진은 보안되지 않은 VNC 서버를 감지하면 이 화면 이미지를 가져와 제어에 대한 공개 액세스가 가능한 산업용 로봇을 찾는 사람들에게 표시합니다.

세부 사항에 대한 이러한 관심의 요점은 공격자가 해당 표적을 발견하고 계속해서 돌아올 수 있도록 매력적이고 현실적인 표적을 만드는 것이었습니다.

엔지니어의 워크스테이션

PLC 로직을 프로그래밍하기 위해 인프라에 엔지니어링 컴퓨터를 추가했습니다. PLC 프로그래밍을 위한 산업용 소프트웨어가 설치되었습니다.

• Siemens용 TIA 포털,
• Allen-Bradley 컨트롤러용 MicroLogix,
• Omron용 CX-One.

우리는 네트워크 외부에서 엔지니어링 작업 공간에 접근할 수 없도록 결정했습니다. 대신 관리자 계정에 대해 로봇 제어 워크스테이션 및 인터넷에서 액세스할 수 있는 공장 제어 워크스테이션과 동일한 비밀번호를 설정했습니다. 이 구성은 많은 회사에서 매우 일반적입니다.
불행하게도 우리의 모든 노력에도 불구하고 단 한 명의 공격자도 엔지니어의 워크스테이션에 접근하지 못했습니다.

파일 서버

우리는 공격자를 위한 미끼이자 미끼 공장에서 우리 자신의 "작업"을 백업하는 수단으로 이것이 필요했습니다. 이를 통해 허니팟 네트워크에 흔적을 남기지 않고 USB 장치를 사용하여 허니팟과 파일을 공유할 수 있었습니다. 파일 서버용 OS로 Windows 7 Pro를 설치하여 누구나 읽고 쓸 수 있는 공유 폴더를 만들었습니다.

처음에는 파일 서버에 폴더와 문서의 계층 구조를 만들지 않았습니다. 그러나 나중에 우리는 공격자들이 이 폴더를 적극적으로 연구하고 있다는 사실을 발견했고, 그래서 우리는 이 폴더를 다양한 파일로 채우기로 결정했습니다. 이를 위해 우리는 주어진 확장자 중 하나를 사용하여 임의 크기의 파일을 생성하고 사전을 기반으로 이름을 만드는 Python 스크립트를 작성했습니다.

매력적인 파일 이름을 생성하는 스크립트입니다. 출처: 트렌드마이크로

스크립트를 실행한 후 매우 흥미로운 이름을 가진 파일로 가득 찬 폴더 형태로 원하는 결과를 얻었습니다.

스크립트의 결과입니다. 출처: 트렌드마이크로

모니터링 환경

현실적인 회사를 만들기 위해 많은 노력을 기울인 우리는 "방문자"를 모니터링하는 환경에서 실패할 여유가 없었습니다. 우리는 공격자가 감시당하고 있다는 사실을 깨닫지 못한 채 실시간으로 모든 데이터를 얻어야 했습니다.

우리는 USB-이더넷 어댑터 3개, SharkTap 이더넷 탭 XNUMX개, Raspberry Pi XNUMX 및 대형 외부 드라이브를 사용하여 이를 구현했습니다. 우리의 네트워크 다이어그램은 다음과 같습니다:

모니터링 장비를 갖춘 허니팟 네트워크 다이어그램. 출처: 트렌드마이크로

우리는 내부 네트워크에서만 액세스할 수 있는 PLC에 대한 모든 외부 트래픽을 모니터링하기 위해 XNUMX개의 SharkTap 탭을 배치했습니다. 네 번째 SharkTap은 취약한 가상 머신의 게스트 트래픽을 모니터링했습니다.

SharkTap 이더넷 탭 및 Sierra Wireless AirLink RV50 라우터. 출처: 트렌드마이크로

Raspberry Pi는 일일 트래픽 캡처를 수행했습니다. 우리는 산업체에서 자주 사용되는 Sierra Wireless AirLink RV50 셀룰러 라우터를 사용하여 인터넷에 연결했습니다.

아쉽게도 이 라우터에서는 우리의 계획에 맞지 않는 공격을 선택적으로 차단할 수 없었기 때문에 우리는 네트워크에 미치는 영향을 최소화하면서 차단을 수행하기 위해 투명 모드에서 네트워크에 Cisco ASA 5505 방화벽을 추가했습니다.

트래픽 분석

Tshark와 tcpdump는 현재 문제를 신속하게 해결하는 데 적합하지만 우리의 경우 여러 사람이 분석한 기가바이트의 트래픽이 있었기 때문에 그 기능이 충분하지 않았습니다. 우리는 AOL에서 개발한 오픈 소스 Moloch 분석기를 사용했습니다. 기능면에서는 Wireshark와 비슷하지만 공동 작업, 패키지 설명 및 태그 지정, 내보내기 및 기타 작업을 위한 더 많은 기능이 있습니다.

우리는 수집된 데이터를 허니팟 컴퓨터에서 처리하고 싶지 않았기 때문에 PCAP 덤프를 매일 AWS 스토리지로 내보내고 이미 Moloch 시스템으로 가져왔습니다.

화면 녹화

허니팟에 있는 해커의 행동을 문서화하기 위해 우리는 주어진 간격으로 가상 머신의 스크린샷을 찍고 이를 이전 스크린샷과 비교하여 그곳에서 무슨 일이 일어나고 있는지 확인하는 스크립트를 작성했습니다. 활동이 감지되면 스크립트에 화면 녹화가 포함되었습니다. 이 접근 방식이 가장 효과적인 것으로 나타났습니다. 또한 시스템에 어떤 변화가 발생했는지 이해하기 위해 PCAP 덤프에서 VNC 트래픽을 분석하려고 시도했지만 결국 구현한 화면 녹화가 더 간단하고 시각적인 것으로 나타났습니다.

VNC 세션 모니터링

이를 위해 우리는 Chaosreader와 VNCLogger를 사용했습니다. 두 유틸리티 모두 PCAP 덤프에서 키 입력을 추출하지만 VNCLogger는 Backspace, Enter, Ctrl과 같은 키를 더 정확하게 처리합니다.

VNCLogger에는 두 가지 단점이 있습니다. 첫째: 인터페이스의 트래픽을 "듣는" 방식으로만 키를 추출할 수 있으므로 tcpreplay를 사용하여 이에 대한 VNC 세션을 시뮬레이션해야 했습니다. VNCLogger의 두 번째 단점은 Chaosreader와 공통적입니다. 둘 다 클립보드의 내용을 표시하지 않습니다. 이를 위해 Wireshark를 사용해야 했습니다.

우리는 해커를 유인합니다

공격을 받기 위해 허니팟을 만들었습니다. 이를 달성하기 위해 우리는 잠재적인 공격자의 관심을 끌기 위해 정보 유출을 준비했습니다. 허니팟에서 다음 포트가 열렸습니다.

네트워크의 엄청난 양의 스캔 트래픽으로 인해 성능 문제가 발생했기 때문에 RDP 포트는 가동 직후 닫혀야 했습니다.
VNC 터미널은 처음에 비밀번호 없이 보기 전용 모드로 작동한 다음 "실수로" 전체 액세스 모드로 전환했습니다.

공격자를 유인하기 위해 우리는 PasteBin에 사용 가능한 산업 시스템에 대한 '유출된' 정보가 포함된 게시물 XNUMX개를 게시했습니다.

공격을 유도하기 위해 PasteBin에 게시된 게시물 중 하나입니다. 출처: 트렌드마이크로

공격

허니팟은 약 XNUMX개월 동안 온라인에서 생활했습니다. 첫 번째 공격은 허니팟이 온라인에 접속한 지 한 달 후에 발생했습니다.

스캐너

ip-ip, Rapid, Shadow Server, Shodan, ZoomEye 등 잘 알려진 회사의 스캐너에서 많은 트래픽이 발생했습니다. 그 수가 너무 많아서 분석에서 해당 IP 주소를 제외해야 했습니다. 610개 중 9452개, 즉 모든 고유 IP 주소의 6,45%가 완전히 합법적인 스캐너에 속했습니다.

사기꾼

우리가 직면한 가장 큰 위험 중 하나는 범죄 목적으로 우리 시스템을 사용하는 것입니다. 즉, 가입자 계정을 통해 스마트폰을 구매하고, 기프트 카드를 사용하여 항공사 마일리지를 현금화하고, 기타 사기 행위를 하는 것입니다.

광부

우리 시스템을 처음 방문한 사람 중 한 명은 광부였습니다. 그는 여기에 Monero 채굴 소프트웨어를 다운로드했습니다. 그는 낮은 생산성으로 인해 우리의 특정 시스템에서 많은 돈을 벌 수 없었을 것입니다. 그러나 수십 또는 수백 개의 이러한 시스템의 노력을 결합하면 꽤 좋은 결과를 얻을 수 있습니다.

랜섬웨어

허니팟을 운영하는 과정에서 실제 랜섬웨어 바이러스를 두 번이나 접했습니다. 첫 번째 경우는 크라이시스였습니다. 그의 운영자는 VNC를 통해 시스템에 로그인한 후 TeamViewer를 설치하고 이를 사용하여 추가 작업을 수행했습니다. 몸값으로 BTC 10달러를 요구하는 강탈 메시지를 기다린 후, 우리는 범죄자들과 서신을 주고받아 파일 중 하나를 해독해 달라고 요청했습니다. 그들은 요청에 응하고 몸값 요구를 반복했습니다. 우리는 필요한 모든 정보를 받았기 때문에 최대 6달러까지 흥정한 후 시스템을 가상 머신에 업로드했습니다.

두 번째 랜섬웨어는 포보스(Phobos)로 밝혀졌습니다. 이를 설치한 해커는 허니팟의 파일 시스템을 뒤져 XNUMX시간 동안 네트워크를 스캔한 뒤 랜섬웨어를 설치했다.
세 번째 랜섬웨어 공격은 가짜로 드러났다. 알려지지 않은 "해커"가 haha.bat 파일을 우리 시스템에 다운로드한 후 우리는 그가 그 파일을 작동시키려고 시도하는 것을 잠시 지켜보았습니다. 시도 중 하나는 haha.bat의 이름을 haha.rnsmwr로 바꾸는 것이었습니다.

"해커"는 확장자를 .rnsmwr로 변경하여 bat 파일의 유해성을 증가시킵니다. 출처: 트렌드마이크로

마침내 배치 파일이 실행되기 시작했을 때 "해커"는 이를 편집하여 몸값을 200달러에서 750달러로 늘렸습니다. 그 후 그는 모든 파일을 "암호화"하고 바탕 화면에 강탈 메시지를 남긴 후 사라져 VNC의 비밀번호를 변경했습니다.

며칠 후 해커가 돌아와서 스스로를 상기시키기 위해 포르노 사이트가 포함된 여러 창을 여는 배치 파일을 실행했습니다. 분명히 그는 이런 식으로 자신의 요구에 관심을 끌려고 노력했습니다.

결과

연구 결과, 취약점에 대한 정보가 공개되자마자 허니팟이 주목을 받으며 활동이 나날이 증가하는 것으로 나타났습니다. 이 함정이 관심을 끌기 위해 우리가 만든 가상의 회사는 여러 차례의 보안 위반을 겪어야 했습니다. 불행하게도 이러한 상황은 정규 IT 및 정보 보안 직원이 없는 많은 실제 회사에서 흔히 발생합니다.

일반적으로 조직은 최소 권한 원칙을 사용해야 하지만 우리는 공격자를 유인하기 위해 이와 정반대를 구현했습니다. 그리고 공격을 오랫동안 관찰할수록 표준 침투 테스트 방법에 비해 공격이 더욱 정교해졌습니다.

그리고 가장 중요한 것은 네트워크를 설정할 때 적절한 보안 조치가 구현되었다면 이러한 공격은 모두 실패했을 것입니다. 조직은 우리가 트랩에서 특별히 한 것처럼 장비 및 산업 인프라 구성 요소가 인터넷에서 액세스할 수 없도록 해야 합니다.

모든 컴퓨터에서 동일한 로컬 관리자 비밀번호를 사용함에도 불구하고 엔지니어의 워크스테이션에 대한 단일 공격을 기록하지는 않았지만 침입 가능성을 최소화하려면 이러한 관행을 피해야 합니다. 결국 취약한 보안은 오랫동안 사이버 범죄자들의 관심을 끌었던 산업 시스템을 공격하도록 유도하는 역할을 합니다.

출처 : habr.com