ການສືບສວນກໍລະນີທີ່ກ່ຽວຂ້ອງກັບ phishing, botnets, ການເຮັດທຸລະກໍາການສໍ້ໂກງແລະກຸ່ມແຮກເກີທາງອາຍາ, ຜູ້ຊ່ຽວຊານຂອງ Group-IB ໄດ້ໃຊ້ການວິເຄາະກາຟເປັນເວລາຫລາຍປີເພື່ອກໍານົດປະເພດຂອງການເຊື່ອມຕໍ່ຕ່າງໆ. ກໍລະນີທີ່ແຕກຕ່າງກັນມີຊຸດຂໍ້ມູນຂອງຕົນເອງ, ສູດການຄິດໄລ່ຂອງຕົນເອງສໍາລັບການກໍານົດການເຊື່ອມຕໍ່, ແລະການໂຕ້ຕອບທີ່ເຫມາະສົມກັບວຽກງານສະເພາະ. ເຄື່ອງມືທັງໝົດເຫຼົ່ານີ້ໄດ້ຖືກພັດທະນາພາຍໃນໂດຍ Group-IB ແລະສາມາດໃຊ້ໄດ້ກັບພະນັກງານຂອງພວກເຮົາເທົ່ານັ້ນ.

ການ​ວິ​ເຄາະ​ກ​ຣາບ​ຂອງ​ໂຄງ​ລ່າງ​ເຄືອ​ຂ່າຍ (ກຣາຟເຄືອຂ່າຍ) ໄດ້ກາຍເປັນເຄື່ອງມືພາຍໃນທໍາອິດທີ່ພວກເຮົາສ້າງຢູ່ໃນຜະລິດຕະພັນສາທາລະນະຂອງບໍລິສັດທັງຫມົດ. ກ່ອນທີ່ຈະສ້າງກາຟເຄືອຂ່າຍຂອງພວກເຮົາ, ພວກເຮົາໄດ້ວິເຄາະການພັດທະນາທີ່ຄ້າຍຄືກັນຫຼາຍໃນຕະຫຼາດແລະບໍ່ພົບຜະລິດຕະພັນດຽວທີ່ພໍໃຈກັບຄວາມຕ້ອງການຂອງພວກເຮົາເອງ. ໃນບົດຄວາມນີ້ພວກເຮົາຈະສົນທະນາກ່ຽວກັບວິທີທີ່ພວກເຮົາສ້າງກາຟເຄືອຂ່າຍ, ວິທີການທີ່ພວກເຮົາໃຊ້ມັນແລະສິ່ງທີ່ພວກເຮົາພົບຄວາມຫຍຸ້ງຍາກ.

Dmitry Volkov, CTO Group-IB ແລະຫົວຫນ້າຂອງ cyber intelligence

ກຣາຟເຄືອຂ່າຍ Group-IB ສາມາດເຮັດຫຍັງໄດ້ແດ່?

ການສືບສວນ

ນັບຕັ້ງແຕ່ການກໍ່ຕັ້ງຂອງ Group-IB ໃນປີ 2003 ຈົນເຖິງປັດຈຸບັນ, ການກໍານົດ, ການລົງໂທດແລະການນໍາເອົາອາຊະຍາກໍາທາງອິນເຕີເນັດໄປສູ່ຄວາມຍຸຕິທໍາແມ່ນເປັນບູລິມະສິດອັນດັບຫນຶ່ງໃນວຽກງານຂອງພວກເຮົາ. ບໍ່ແມ່ນການສືບສວນການໂຈມຕີທາງອິນເຕີເນັດຄັ້ງດຽວແມ່ນສໍາເລັດໂດຍບໍ່ໄດ້ວິເຄາະໂຄງສ້າງເຄືອຂ່າຍຂອງຜູ້ໂຈມຕີ. ໃນຕອນເລີ່ມຕົ້ນຂອງການເດີນທາງຂອງພວກເຮົາ, ມັນເປັນ "ການເຮັດວຽກຄູ່ມື" ທີ່ຫຍຸ້ງຍາກຫຼາຍໃນການຊອກຫາຄວາມສໍາພັນທີ່ສາມາດຊ່ວຍໃນການກໍານົດອາດຊະຍາກອນ: ຂໍ້ມູນກ່ຽວກັບຊື່ໂດເມນ, ທີ່ຢູ່ IP, ນິ້ວມືດິຈິຕອນຂອງເຄື່ອງແມ່ຂ່າຍ, ແລະອື່ນໆ.

ຜູ້ໂຈມຕີສ່ວນໃຫຍ່ພະຍາຍາມເຮັດແບບບໍ່ເປີດເຜີຍຊື່ເທົ່າທີ່ເປັນໄປໄດ້ໃນເຄືອຂ່າຍ. ຢ່າງໃດກໍຕາມ, ເຊັ່ນດຽວກັນກັບປະຊາຊົນທັງຫມົດ, ພວກເຂົາເຈົ້າເຮັດຜິດພາດ. ເປົ້າຫມາຍຕົ້ນຕໍຂອງການວິເຄາະດັ່ງກ່າວແມ່ນເພື່ອຊອກຫາໂຄງການປະຫວັດສາດ "ສີຂາວ" ຫຼື "ສີຂີ້ເຖົ່າ" ຂອງຜູ້ໂຈມຕີທີ່ມີຈຸດຕັດກັບໂຄງສ້າງພື້ນຖານທີ່ເປັນອັນຕະລາຍທີ່ໃຊ້ໃນເຫດການປະຈຸບັນທີ່ພວກເຮົາກໍາລັງສືບສວນ. ຖ້າມັນເປັນໄປໄດ້ທີ່ຈະກວດພົບ "ໂຄງການສີຂາວ", ຫຼັງຈາກນັ້ນການຊອກຫາຜູ້ໂຈມຕີ, ຕາມກົດລະບຽບ, ກາຍເປັນວຽກເລັກນ້ອຍ. ໃນກໍລະນີຂອງ "ສີຂີ້ເຖົ່າ", ການຄົ້ນຫາໃຊ້ເວລາແລະຄວາມພະຍາຍາມຫຼາຍ, ເພາະວ່າເຈົ້າຂອງຂອງພວກເຂົາພະຍາຍາມປິດບັງຂໍ້ມູນການລົງທະບຽນ, ແຕ່ໂອກາດຍັງສູງ. ຕາມກົດລະບຽບ, ໃນຕອນເລີ່ມຕົ້ນຂອງກິດຈະກໍາທາງອາຍາຂອງພວກເຂົາ, ຜູ້ໂຈມຕີບໍ່ສົນໃຈຄວາມປອດໄພຂອງຕົນເອງແລະເຮັດຜິດພາດຫຼາຍ, ດັ່ງນັ້ນພວກເຮົາເລິກເຂົ້າໄປໃນເລື່ອງ, ໂອກາດຂອງການສືບສວນທີ່ປະສົບຜົນສໍາເລັດສູງ. ນັ້ນແມ່ນເຫດຜົນທີ່ວ່າກາຟເຄືອຂ່າຍທີ່ມີປະຫວັດສາດທີ່ດີແມ່ນອົງປະກອບທີ່ສໍາຄັນຂອງການສືບສວນດັ່ງກ່າວ. ເວົ້າງ່າຍໆ, ຂໍ້ມູນປະຫວັດສາດທີ່ເລິກເຊິ່ງຂອງບໍລິສັດມີ, ເສັ້ນສະແດງຂອງມັນດີກວ່າ. ສົມມຸດວ່າປະຫວັດສາດ 5 ປີສາມາດຊ່ວຍແກ້ໄຂໄດ້, ມີເງື່ອນໄຂ, 1-2 ໃນ 10 ອາດຊະຍາກໍາ, ແລະປະຫວັດສາດ 15 ປີໃຫ້ໂອກາດທີ່ຈະແກ້ໄຂທັງສິບ.

ການກວດຫາການຫຼອກລວງແລະການສໍ້ໂກງ

ທຸກໆຄັ້ງທີ່ພວກເຮົາໄດ້ຮັບການເຊື່ອມຕໍ່ທີ່ຫນ້າສົງໄສກັບຊັບພະຍາກອນ phishing, ການສໍ້ໂກງຫຼືການລະເມີດລິຂະສິດ, ພວກເຮົາສ້າງເສັ້ນສະແດງຂອງຊັບພະຍາກອນເຄືອຂ່າຍທີ່ກ່ຽວຂ້ອງໂດຍອັດຕະໂນມັດແລະກວດເບິ່ງໂຮດທັງຫມົດທີ່ພົບເຫັນສໍາລັບເນື້ອຫາທີ່ຄ້າຍຄືກັນ. ນີ້ອະນຸຍາດໃຫ້ທ່ານຊອກຫາທັງສອງສະຖານທີ່ phishing ເກົ່າທີ່ມີການເຄື່ອນໄຫວແຕ່ບໍ່ຮູ້, ເຊັ່ນດຽວກັນກັບເວັບໄຊທ໌ໃຫມ່ທັງຫມົດທີ່ກຽມພ້ອມສໍາລັບການໂຈມຕີໃນອະນາຄົດ, ແຕ່ຍັງບໍ່ໄດ້ຖືກນໍາໃຊ້. ຕົວຢ່າງພື້ນຖານທີ່ເກີດຂື້ນເລື້ອຍໆ: ພວກເຮົາພົບເຫັນເວັບໄຊທ໌ phishing ຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ມີພຽງແຕ່ 5 ເວັບໄຊທ໌. ໂດຍການກວດສອບແຕ່ລະອັນ, ພວກເຮົາຊອກຫາເນື້ອຫາ phishing ຢູ່ໃນເວັບໄຊທ໌ອື່ນໆ, ຊຶ່ງຫມາຍຄວາມວ່າພວກເຮົາສາມາດບລັອກ 5 ແທນ 1.

ຊອກຫາ backends

ຂະບວນການນີ້ແມ່ນມີຄວາມຈໍາເປັນເພື່ອກໍານົດບ່ອນທີ່ເຄື່ອງແມ່ຂ່າຍທີ່ເປັນອັນຕະລາຍຢູ່.
99% ຂອງຮ້ານຂາຍບັດ, ກະດານແຮກເກີ, ຊັບພະຍາກອນ phishing ຈໍານວນຫຼາຍແລະເຄື່ອງແມ່ຂ່າຍທີ່ເປັນອັນຕະລາຍອື່ນໆຖືກເຊື່ອງໄວ້ຢູ່ຫລັງທັງເຄື່ອງແມ່ຂ່າຍຂອງຕົວແທນແລະຕົວແທນຂອງບໍລິການທີ່ຖືກຕ້ອງຕາມກົດຫມາຍ, ຕົວຢ່າງເຊັ່ນ Cloudflare. ຄວາມຮູ້ກ່ຽວກັບ backend ທີ່ແທ້ຈິງແມ່ນມີຄວາມສໍາຄັນຫຼາຍສໍາລັບການສືບສວນ: ຜູ້ໃຫ້ບໍລິການໂຮດຕິ້ງທີ່ເຄື່ອງແມ່ຂ່າຍສາມາດຖືກຍຶດໄດ້ກາຍເປັນທີ່ຮູ້ຈັກ, ແລະມັນກໍ່ເປັນໄປໄດ້ທີ່ຈະສ້າງການເຊື່ອມຕໍ່ກັບໂຄງການທີ່ເປັນອັນຕະລາຍອື່ນໆ.

ຕົວຢ່າງ, ທ່ານມີເວັບໄຊທ໌ phishing ສໍາລັບການເກັບກໍາຂໍ້ມູນບັດທະນາຄານທີ່ແກ້ໄຂກັບທີ່ຢູ່ IP 11.11.11.11, ແລະທີ່ຢູ່ cardshop ທີ່ແກ້ໄຂກັບທີ່ຢູ່ IP 22.22.22.22. ໃນລະຫວ່າງການວິເຄາະ, ມັນອາດຈະເຮັດໃຫ້ທັງສອງເວັບໄຊທ໌ phishing ແລະ cardshop ມີທີ່ຢູ່ IP backend ທົ່ວໄປ, ສໍາລັບການຍົກຕົວຢ່າງ, 33.33.33.33. ຄວາມຮູ້ນີ້ຊ່ວຍໃຫ້ພວກເຮົາສ້າງການເຊື່ອມຕໍ່ລະຫວ່າງການໂຈມຕີ phishing ແລະຮ້ານຂາຍບັດທີ່ຂໍ້ມູນບັດທະນາຄານອາດຈະຖືກຂາຍ.

ຄວາມສຳພັນຂອງເຫດການ

ເມື່ອທ່ານມີສອງຕົວກະຕຸ້ນທີ່ແຕກຕ່າງກັນ (ໃຫ້ເວົ້າວ່າຢູ່ໃນ IDS) ທີ່ມີ malware ທີ່ແຕກຕ່າງກັນແລະເຄື່ອງແມ່ຂ່າຍທີ່ແຕກຕ່າງກັນເພື່ອຄວບຄຸມການໂຈມຕີ, ທ່ານຈະປະຕິບັດພວກມັນເປັນສອງເຫດການເອກະລາດ. ແຕ່ຖ້າມີການເຊື່ອມຕໍ່ທີ່ດີລະຫວ່າງໂຄງສ້າງພື້ນຖານທີ່ເປັນອັນຕະລາຍ, ມັນຈະກາຍເປັນທີ່ຊັດເຈນວ່າການໂຈມຕີເຫຼົ່ານີ້ບໍ່ແມ່ນການໂຈມຕີທີ່ແຕກຕ່າງກັນ, ແຕ່ເປັນຂັ້ນຕອນຂອງການໂຈມຕີຫຼາຍຂັ້ນຕອນທີ່ສັບສົນຫຼາຍ. ແລະຖ້າເຫດການອັນໜຶ່ງຖືກອ້າງເຖິງກຸ່ມຜູ້ໂຈມຕີໃດໜຶ່ງແລ້ວ, ເຫດການອັນທີສອງກໍສາມາດຖືກລະບຸວ່າເປັນກຸ່ມດຽວກັນ. ແນ່ນອນ, ຂັ້ນຕອນການໃຫ້ເຫດຜົນແມ່ນສັບສົນຫຼາຍ, ສະນັ້ນໃຫ້ປະຕິບັດນີ້ເປັນຕົວຢ່າງທີ່ງ່າຍດາຍ.

ການເສີມສ້າງຕົວຊີ້ວັດ

ພວກເຮົາຈະບໍ່ສົນໃຈເລື່ອງນີ້ຫຼາຍ, ເພາະວ່ານີ້ແມ່ນສະຖານະການທົ່ວໄປທີ່ສຸດສໍາລັບການນໍາໃຊ້ກາຟໃນຄວາມປອດໄພທາງອິນເຕີເນັດ: ທ່ານໃຫ້ຕົວຊີ້ວັດຫນຶ່ງເປັນວັດສະດຸປ້ອນ, ແລະເປັນຜົນຜະລິດທີ່ທ່ານໄດ້ຮັບ array ຂອງຕົວຊີ້ວັດທີ່ກ່ຽວຂ້ອງ.

ການກໍານົດຮູບແບບ

ການກໍານົດຮູບແບບເປັນສິ່ງຈໍາເປັນສໍາລັບການລ່າສັດທີ່ມີປະສິດທິພາບ. Graphs ຊ່ວຍໃຫ້ທ່ານບໍ່ພຽງແຕ່ຊອກຫາອົງປະກອບທີ່ກ່ຽວຂ້ອງ, ແຕ່ຍັງສາມາດກໍານົດຄຸນສົມບັດທົ່ວໄປທີ່ເປັນລັກສະນະຂອງກຸ່ມແຮກເກີໂດຍສະເພາະ. ຄວາມຮູ້ກ່ຽວກັບຄຸນລັກສະນະທີ່ເປັນເອກະລັກດັ່ງກ່າວເຮັດໃຫ້ທ່ານສາມາດຮັບຮູ້ໂຄງສ້າງພື້ນຖານຂອງຜູ້ໂຈມຕີເຖິງແມ່ນວ່າຢູ່ໃນຂັ້ນຕອນການກະກຽມ ແລະບໍ່ມີຫຼັກຖານຢັ້ງຢືນການໂຈມຕີເຊັ່ນ: ອີເມວ phishing ຫຼື malware.

ເປັນຫຍັງພວກເຮົາສ້າງກາຟເຄືອຂ່າຍຂອງພວກເຮົາເອງ?

ອີກເທື່ອຫນຶ່ງ, ພວກເຮົາໄດ້ເບິ່ງການແກ້ໄຂຈາກຜູ້ຂາຍທີ່ແຕກຕ່າງກັນກ່ອນທີ່ພວກເຮົາຈະມາສະຫລຸບວ່າພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ພັດທະນາເຄື່ອງມືຂອງພວກເຮົາເອງທີ່ສາມາດເຮັດບາງສິ່ງບາງຢ່າງທີ່ບໍ່ມີຜະລິດຕະພັນທີ່ມີຢູ່ສາມາດເຮັດໄດ້. ມັນໃຊ້ເວລາຫຼາຍປີເພື່ອສ້າງມັນ, ໃນໄລຍະທີ່ພວກເຮົາປ່ຽນມັນຢ່າງສົມບູນຫຼາຍຄັ້ງ. ແຕ່, ເຖິງວ່າຈະມີໄລຍະເວລາການພັດທະນາທີ່ຍາວນານ, ພວກເຮົາຍັງບໍ່ທັນໄດ້ພົບເຫັນການປຽບທຽບດຽວທີ່ຈະຕອບສະຫນອງຄວາມຕ້ອງການຂອງພວກເຮົາ. ການນໍາໃຊ້ຜະລິດຕະພັນຂອງພວກເຮົາເອງ, ໃນທີ່ສຸດພວກເຮົາສາມາດແກ້ໄຂບັນຫາເກືອບທັງຫມົດທີ່ພວກເຮົາຄົ້ນພົບໃນກາຟເຄືອຂ່າຍທີ່ມີຢູ່ແລ້ວ. ຂ້າງລຸ່ມນີ້ພວກເຮົາຈະພິຈາລະນາບັນຫາເຫຼົ່ານີ້ໂດຍລະອຽດ:

ບັນຫາ
ການຕັດສິນໃຈ

ການຂາດຜູ້ໃຫ້ບໍລິການທີ່ມີການເກັບກໍາຂໍ້ມູນທີ່ແຕກຕ່າງກັນ: ໂດເມນ, DNS passive, passive SSL, ບັນທຶກ DNS, ເປີດພອດ, ແລ່ນບໍລິການໃນພອດ, ໄຟລ໌ທີ່ພົວພັນກັບຊື່ໂດເມນແລະທີ່ຢູ່ IP. ຄໍາອະທິບາຍ. ໂດຍປົກກະຕິ, ຜູ້ໃຫ້ບໍລິການໃຫ້ຂໍ້ມູນປະເພດແຍກຕ່າງຫາກ, ແລະເພື່ອໃຫ້ໄດ້ຮູບພາບເຕັມ, ທ່ານຈໍາເປັນຕ້ອງຊື້ການສະຫມັກຈາກທຸກໆຄົນ. ເຖິງແມ່ນວ່າ, ມັນບໍ່ແມ່ນຄວາມເປັນໄປໄດ້ທີ່ຈະໄດ້ຮັບຂໍ້ມູນທັງຫມົດ: ບາງຜູ້ໃຫ້ບໍລິການ SSL passive ໃຫ້ຂໍ້ມູນພຽງແຕ່ກ່ຽວກັບໃບຢັ້ງຢືນທີ່ອອກໂດຍ CAs ທີ່ເຊື່ອຖືໄດ້, ແລະການຄຸ້ມຄອງໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງແມ່ນບໍ່ດີທີ່ສຸດ. ຄົນອື່ນຍັງສະຫນອງຂໍ້ມູນໂດຍໃຊ້ໃບຢັ້ງຢືນທີ່ເຊັນດ້ວຍຕົນເອງ, ແຕ່ເກັບມັນຈາກພອດມາດຕະຖານເທົ່ານັ້ນ.
ພວກເຮົາເກັບກໍາການເກັບກໍາທັງຫມົດຂ້າງເທິງນີ້ເອງ. ຕົວຢ່າງ, ເພື່ອເກັບກໍາຂໍ້ມູນກ່ຽວກັບໃບຢັ້ງຢືນ SSL, ພວກເຮົາຂຽນການບໍລິການຂອງພວກເຮົາເອງທີ່ເກັບກໍາຂໍ້ມູນທັງສອງຈາກ CAs ທີ່ເຊື່ອຖືໄດ້ແລະໂດຍການສະແກນພື້ນທີ່ IPv4 ທັງຫມົດ. ໃບຢັ້ງຢືນໄດ້ຖືກເກັບກໍາບໍ່ພຽງແຕ່ຈາກ IP, ແຕ່ຍັງມາຈາກທຸກໂດເມນແລະໂດເມນຍ່ອຍຈາກຖານຂໍ້ມູນຂອງພວກເຮົາ: ຖ້າທ່ານມີໂດເມນ example.com ແລະໂດເມນຍ່ອຍຂອງມັນ. wwwexamplecom ແລະພວກເຂົາທັງຫມົດແກ້ໄຂກັບ IP 1.1.1.1, ຫຼັງຈາກນັ້ນເມື່ອທ່ານພະຍາຍາມທີ່ຈະໄດ້ຮັບໃບຢັ້ງຢືນ SSL ຈາກພອດ 443 ໃນ IP, ໂດເມນແລະໂດເມນຍ່ອຍຂອງມັນ, ທ່ານສາມາດໄດ້ຮັບສາມຜົນໄດ້ຮັບທີ່ແຕກຕ່າງກັນ. ເພື່ອເກັບກໍາຂໍ້ມູນໃນພອດທີ່ເປີດແລະບໍລິການແລ່ນ, ພວກເຮົາຕ້ອງສ້າງລະບົບການສະແກນທີ່ແຈກຢາຍຂອງພວກເຮົາເອງ, ເພາະວ່າບໍລິການອື່ນໆມັກຈະມີທີ່ຢູ່ IP ຂອງເຄື່ອງແມ່ຂ່າຍການສະແກນຂອງພວກເຂົາຢູ່ໃນ "ບັນຊີດໍາ." ເຄື່ອງແມ່ຂ່າຍການສະແກນຂອງພວກເຮົາຍັງສິ້ນສຸດລົງຢູ່ໃນບັນຊີດໍາ, ແຕ່ຜົນຂອງການກວດສອບການບໍລິການທີ່ພວກເຮົາຕ້ອງການແມ່ນສູງກວ່າຜູ້ທີ່ພຽງແຕ່ສະແກນພອດຫຼາຍເທົ່າທີ່ເປັນໄປໄດ້ແລະຂາຍການເຂົ້າເຖິງຂໍ້ມູນນີ້.

ຂາດການເຂົ້າເຖິງຖານຂໍ້ມູນທັງຫມົດຂອງບັນທຶກປະຫວັດສາດ. ຄໍາອະທິບາຍ. ທຸກໆຜູ້ສະຫນອງປົກກະຕິມີປະຫວັດການສະສົມທີ່ດີ, ແຕ່ສໍາລັບເຫດຜົນທໍາມະຊາດພວກເຮົາ, ໃນຖານະລູກຄ້າ, ບໍ່ສາມາດເຂົ້າເຖິງຂໍ້ມູນປະຫວັດສາດທັງຫມົດ. ເຫຼົ່ານັ້ນ. ທ່ານສາມາດໄດ້ຮັບປະຫວັດສາດທັງຫມົດສໍາລັບການບັນທຶກດຽວ, ສໍາລັບການຍົກຕົວຢ່າງ, ໂດຍໂດເມນຫຼືທີ່ຢູ່ IP, ແຕ່ທ່ານບໍ່ສາມາດເຫັນປະຫວັດສາດຂອງທຸກສິ່ງທຸກຢ່າງ - ແລະບໍ່ມີນີ້, ທ່ານບໍ່ສາມາດເຫັນຮູບພາບເຕັມ.
ເພື່ອເກັບກໍາບັນທຶກປະຫວັດສາດໃນໂດເມນຫຼາຍເທົ່າທີ່ເປັນໄປໄດ້, ພວກເຮົາໄດ້ຊື້ຖານຂໍ້ມູນຕ່າງໆ, ວິເຄາະຊັບພະຍາກອນທີ່ເປີດຫຼາຍທີ່ມີປະຫວັດນີ້ (ມັນດີທີ່ມີພວກມັນຫຼາຍ), ແລະເຈລະຈາກັບຜູ້ລົງທະບຽນຊື່ໂດເມນ. ການອັບເດດທັງໝົດຕໍ່ກັບຄໍເລັກຊັນຂອງພວກເຮົາແມ່ນແນ່ນອນຖືກເກັບໄວ້ດ້ວຍປະຫວັດການດັດແກ້ອັນເຕັມທີ່.

ການແກ້ໄຂທີ່ມີຢູ່ທັງຫມົດອະນຸຍາດໃຫ້ທ່ານສ້າງກາຟດ້ວຍຕົນເອງ. ຄໍາອະທິບາຍ. ໃຫ້ເວົ້າວ່າທ່ານໄດ້ຊື້ການສະຫມັກຈໍານວນຫລາຍຈາກຜູ້ໃຫ້ບໍລິການຂໍ້ມູນທີ່ເປັນໄປໄດ້ທັງຫມົດ (ໂດຍປົກກະຕິເອີ້ນວ່າ "enrichers"). ເມື່ອທ່ານຕ້ອງການສ້າງກາຟ, ທ່ານ "ມື" ໃຫ້ຄໍາສັ່ງທີ່ຈະສ້າງຈາກອົງປະກອບການເຊື່ອມຕໍ່ທີ່ຕ້ອງການ, ຫຼັງຈາກນັ້ນເລືອກເອົາສິ່ງທີ່ຈໍາເປັນຈາກອົງປະກອບທີ່ປາກົດແລະໃຫ້ຄໍາສັ່ງເພື່ອໃຫ້ສໍາເລັດການເຊື່ອມຕໍ່ຈາກພວກມັນ, ແລະອື່ນໆ. ໃນ​ກໍ​ລະ​ນີ​ນີ້, ຄວາມ​ຮັບ​ຜິດ​ຊອບ​ສໍາ​ລັບ​ການ​ດີ​ປານ​ໃດ​ຮູບ​ການ​ຈະ​ສ້າງ​ແມ່ນ​ຢູ່​ກັບ​ບຸກ​ຄົນ​ທັງ​ຫມົດ.
ພວກເຮົາສ້າງກາຟອັດຕະໂນມັດ. ເຫຼົ່ານັ້ນ. ຖ້າທ່ານຕ້ອງການສ້າງກາຟ, ຫຼັງຈາກນັ້ນການເຊື່ອມຕໍ່ຈາກອົງປະກອບທໍາອິດແມ່ນຖືກສ້າງຂຶ້ນໂດຍອັດຕະໂນມັດ, ຫຼັງຈາກນັ້ນຈາກທຸກໆອັນຕໍ່ມາ, ເຊັ່ນກັນ. ຜູ້ຊ່ຽວຊານພຽງແຕ່ຊີ້ໃຫ້ເຫັນເຖິງຄວາມເລິກຂອງກາຟທີ່ຕ້ອງໄດ້ຮັບການກໍ່ສ້າງ. ຂະບວນການເຮັດກາຟອັດຕະໂນມັດແມ່ນງ່າຍດາຍ, ແຕ່ຜູ້ຂາຍອື່ນໆບໍ່ໄດ້ປະຕິບັດມັນເພາະວ່າມັນເຮັດໃຫ້ຜົນໄດ້ຮັບທີ່ບໍ່ກ່ຽວຂ້ອງຢ່າງຫຼວງຫຼາຍ, ແລະພວກເຮົາຍັງຕ້ອງພິຈາລະນາຂໍ້ບົກຜ່ອງນີ້ (ເບິ່ງຂ້າງລຸ່ມນີ້).

ຜົນໄດ້ຮັບທີ່ບໍ່ກ່ຽວຂ້ອງຫຼາຍແມ່ນບັນຫາກັບກາຟອົງປະກອບເຄືອຂ່າຍທັງຫມົດ. ຄໍາອະທິບາຍ. ຕົວຢ່າງ, "ໂດເມນທີ່ບໍ່ດີ" (ເຂົ້າຮ່ວມໃນການໂຈມຕີ) ແມ່ນກ່ຽວຂ້ອງກັບເຄື່ອງແມ່ຂ່າຍທີ່ມີ 10 ໂດເມນອື່ນໆທີ່ກ່ຽວຂ້ອງກັບມັນໃນໄລຍະ 500 ປີທີ່ຜ່ານມາ. ເມື່ອເພີ່ມຫຼືສ້າງກາຟດ້ວຍຕົນເອງ, ທັງຫມົດ 500 ໂດເມນເຫຼົ່ານີ້ຍັງຄວນຈະປາກົດຢູ່ໃນກາຟ, ເຖິງແມ່ນວ່າພວກມັນບໍ່ກ່ຽວຂ້ອງກັບການໂຈມຕີ. ຫຼື, ສໍາລັບການຍົກຕົວຢ່າງ, ທ່ານກວດເບິ່ງຕົວຊີ້ວັດ IP ຈາກບົດລາຍງານຄວາມປອດໄພຂອງຜູ້ຂາຍ. ໂດຍປົກກະຕິ, ບົດລາຍງານດັ່ງກ່າວຖືກປ່ອຍອອກມາດ້ວຍຄວາມລ່າຊ້າຢ່າງຫຼວງຫຼາຍແລະມັກຈະກວມເອົາຫນຶ່ງປີຫຼືຫຼາຍກວ່ານັ້ນ. ສ່ວນຫຼາຍອາດຈະ, ໃນເວລາທີ່ທ່ານອ່ານບົດລາຍງານ, ເຄື່ອງແມ່ຂ່າຍທີ່ມີທີ່ຢູ່ IP ນີ້ໄດ້ຖືກເຊົ່າແລ້ວກັບຜູ້ອື່ນທີ່ມີການເຊື່ອມຕໍ່ອື່ນໆ, ແລະການສ້າງກາຟອີກເທື່ອຫນຶ່ງຈະເຮັດໃຫ້ທ່ານໄດ້ຮັບຜົນໄດ້ຮັບທີ່ບໍ່ກ່ຽວຂ້ອງ.
ພວກເຮົາໄດ້ຝຶກອົບຮົມລະບົບເພື່ອກໍານົດອົງປະກອບທີ່ບໍ່ກ່ຽວຂ້ອງໂດຍໃຊ້ເຫດຜົນດຽວກັນກັບຜູ້ຊ່ຽວຊານຂອງພວກເຮົາເຮັດດ້ວຍຕົນເອງ. ຕົວຢ່າງ, ທ່ານກໍາລັງກວດເບິ່ງໂດເມນທີ່ບໍ່ດີ example.com, ເຊິ່ງປະຈຸບັນໄດ້ແກ້ໄຂກັບ IP 11.11.11.11, ແລະຫນຶ່ງເດືອນກ່ອນຫນ້ານີ້ - ກັບ IP 22.22.22.22. ນອກເຫນືອຈາກໂດເມນ example.com, IP 11.11.11.11 ຍັງກ່ຽວຂ້ອງກັບ example.ru, ແລະ IP 22.22.22.22 ແມ່ນກ່ຽວຂ້ອງກັບ 25 ພັນໂດເມນອື່ນໆ. ລະບົບດັ່ງກ່າວ, ຄືກັບຄົນ, ເຂົ້າໃຈວ່າ 11.11.11.11 ສ່ວນຫຼາຍອາດຈະເປັນເຄື່ອງແມ່ຂ່າຍທີ່ອຸທິດຕົນ, ແລະນັບຕັ້ງແຕ່ໂດເມນ example.ru ແມ່ນຄ້າຍຄືກັນກັບການສະກົດຄໍາກັບ example.com, ດັ່ງນັ້ນ, ດ້ວຍຄວາມເປັນໄປໄດ້ສູງ, ພວກມັນເຊື່ອມຕໍ່ແລະຄວນຈະຢູ່ໃນ. ເສັ້ນສະແດງ; ແຕ່ IP 22.22.22.22 ເປັນຂອງການແບ່ງປັນໂຮດຕິ້ງ, ດັ່ງນັ້ນໂດເມນທັງຫມົດຂອງມັນບໍ່ຈໍາເປັນຕ້ອງຖືກລວມຢູ່ໃນກາຟເວັ້ນເສຍແຕ່ວ່າມີການເຊື່ອມຕໍ່ອື່ນໆທີ່ສະແດງໃຫ້ເຫັນວ່າຫນຶ່ງໃນ 25 ພັນໂດເມນເຫຼົ່ານີ້ຍັງຈໍາເປັນຕ້ອງຖືກລວມເຂົ້າ (ຕົວຢ່າງເຊັ່ນ example.net). . ກ່ອນທີ່ລະບົບຈະເຂົ້າໃຈວ່າການເຊື່ອມຕໍ່ຈໍາເປັນຕ້ອງແຕກຫັກແລະບາງອົງປະກອບບໍ່ໄດ້ຍ້າຍໄປຢູ່ໃນກາຟ, ມັນໃຊ້ເວລາເຂົ້າໄປໃນບັນຊີຫຼາຍຄຸນສົມບັດຂອງອົງປະກອບແລະກຸ່ມທີ່ອົງປະກອບເຫຼົ່ານີ້ຖືກລວມເຂົ້າກັນ, ເຊັ່ນດຽວກັນກັບຄວາມເຂັ້ມແຂງຂອງການເຊື່ອມຕໍ່ໃນປະຈຸບັນ. ຕົວຢ່າງ: ຖ້າພວກເຮົາມີກຸ່ມຂະຫນາດນ້ອຍ (50 ອົງປະກອບ) ໃນກາຟ, ເຊິ່ງປະກອບມີໂດເມນທີ່ບໍ່ດີ, ແລະກຸ່ມຂະຫນາດໃຫຍ່ອື່ນ (5 ພັນອົງປະກອບ) ແລະກຸ່ມທັງສອງແມ່ນເຊື່ອມຕໍ່ໂດຍການເຊື່ອມຕໍ່ (ເສັ້ນ) ທີ່ມີຄວາມເຂັ້ມແຂງຕ່ໍາຫຼາຍ (ນ້ໍາຫນັກ) , ຫຼັງຈາກນັ້ນການເຊື່ອມຕໍ່ດັ່ງກ່າວຈະແຕກຫັກແລະອົງປະກອບຈາກກຸ່ມຂະຫນາດໃຫຍ່ຈະຖືກລຶບອອກ. ແຕ່ຖ້າມີການເຊື່ອມຕໍ່ຫຼາຍລະຫວ່າງກຸ່ມຂະຫນາດນ້ອຍແລະຂະຫນາດໃຫຍ່ແລະຄວາມເຂັ້ມແຂງຂອງມັນຄ່ອຍໆເພີ່ມຂຶ້ນ, ຫຼັງຈາກນັ້ນ, ໃນກໍລະນີນີ້ການເຊື່ອມຕໍ່ຈະບໍ່ຖືກແຍກແລະອົງປະກອບທີ່ຈໍາເປັນຈາກທັງສອງກຸ່ມຈະຍັງຄົງຢູ່ໃນເສັ້ນສະແດງ.

ໄລຍະການເປັນເຈົ້າຂອງເຊີບເວີ ແລະໂດເມນບໍ່ໄດ້ຖືກພິຈາລະນາ. ຄໍາອະທິບາຍ. "ໂດເມນທີ່ບໍ່ດີ" ຈະຫມົດອາຍຸໄວຫຼືຫຼັງຈາກນັ້ນແລະຖືກຊື້ອີກເທື່ອຫນຶ່ງສໍາລັບຈຸດປະສົງທີ່ເປັນອັນຕະລາຍຫຼືຖືກຕ້ອງ. ເຖິງແມ່ນວ່າເຄື່ອງແມ່ຂ່າຍຂອງ bulletproof hosting ໄດ້ຖືກເຊົ່າໃຫ້ກັບແຮກເກີທີ່ແຕກຕ່າງກັນ, ສະນັ້ນມັນເປັນສິ່ງສໍາຄັນທີ່ຈະຮູ້ແລະຄໍານຶງເຖິງໄລຍະຫ່າງໃນເວລາທີ່ໂດເມນ / ເຄື່ອງແມ່ຂ່າຍໃດຫນຶ່ງຢູ່ພາຍໃຕ້ການຄວບຄຸມຂອງເຈົ້າຂອງຫນຶ່ງ. ພວກເຮົາມັກຈະພົບກັບສະຖານະການທີ່ເຄື່ອງແມ່ຂ່າຍທີ່ມີ IP 11.11.11.11 ໃນປັດຈຸບັນຖືກນໍາໃຊ້ເປັນ C&C ສໍາລັບ bot ທະນາຄານ, ແລະ 2 ເດືອນກ່ອນຫນ້ານີ້ມັນຖືກຄວບຄຸມໂດຍ Ransomware. ຖ້າພວກເຮົາສ້າງການເຊື່ອມຕໍ່ໂດຍບໍ່ຄໍານຶງເຖິງໄລຍະເວລາການເປັນເຈົ້າຂອງ, ມັນຈະເບິ່ງຄືວ່າມີການເຊື່ອມຕໍ່ລະຫວ່າງເຈົ້າຂອງ botnet ທະນາຄານແລະ ransomware, ເຖິງແມ່ນວ່າໃນຄວາມເປັນຈິງບໍ່ມີ. ໃນການເຮັດວຽກຂອງພວກເຮົາ, ຄວາມຜິດພາດດັ່ງກ່າວແມ່ນສໍາຄັນ.
ພວກເຮົາໄດ້ສອນລະບົບເພື່ອກໍານົດໄລຍະການເປັນເຈົ້າຂອງ. ສໍາລັບໂດເມນນີ້ແມ່ນຂ້ອນຂ້າງງ່າຍດາຍ, ເພາະວ່າ whois ມັກຈະມີວັນທີເລີ່ມຕົ້ນການລົງທະບຽນແລະຫມົດອາຍຸແລະ, ເມື່ອມີປະຫວັດຄົບຖ້ວນສົມບູນຂອງການປ່ຽນແປງ whois, ມັນງ່າຍທີ່ຈະກໍານົດໄລຍະຫ່າງ. ເມື່ອການລົງທະບຽນຂອງໂດເມນບໍ່ໄດ້ຫມົດອາຍຸ, ແຕ່ການຄຸ້ມຄອງຂອງມັນໄດ້ຖືກໂອນໄປຫາເຈົ້າຂອງອື່ນ, ມັນກໍ່ສາມາດຕິດຕາມໄດ້. ບໍ່ມີບັນຫາດັ່ງກ່າວສໍາລັບໃບຢັ້ງຢືນ SSL, ເພາະວ່າພວກມັນຖືກອອກຄັ້ງດຽວແລະບໍ່ໄດ້ຮັບການຕໍ່ອາຍຸຫຼືໂອນ. ແຕ່ດ້ວຍໃບຮັບຮອງທີ່ລົງນາມດ້ວຍຕົນເອງ, ທ່ານບໍ່ສາມາດເຊື່ອຖືວັນທີທີ່ລະບຸໄວ້ໃນໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງໃບຢັ້ງຢືນ, ເພາະວ່າທ່ານສາມາດສ້າງໃບຢັ້ງຢືນ SSL ໃນມື້ນີ້, ແລະລະບຸວັນທີເລີ່ມຕົ້ນຂອງໃບຢັ້ງຢືນຈາກປີ 2010. ສິ່ງທີ່ຍາກທີ່ສຸດແມ່ນການກໍານົດໄລຍະເວລາການເປັນເຈົ້າຂອງສໍາລັບເຄື່ອງແມ່ຂ່າຍ, ເພາະວ່າພຽງແຕ່ຜູ້ໃຫ້ບໍລິການໂຮດຕິ້ງມີວັນທີແລະໄລຍະເວລາການເຊົ່າ. ເພື່ອກໍານົດໄລຍະເວລາການເປັນເຈົ້າຂອງເຄື່ອງແມ່ຂ່າຍ, ພວກເຮົາໄດ້ເລີ່ມນໍາໃຊ້ຜົນຂອງການສະແກນພອດແລະການສ້າງລາຍນິ້ວມືຂອງການບໍລິການແລ່ນຢູ່ໃນພອດ. ການນໍາໃຊ້ຂໍ້ມູນນີ້, ພວກເຮົາສາມາດເວົ້າໄດ້ຢ່າງຖືກຕ້ອງໃນເວລາທີ່ເຈົ້າຂອງເຄື່ອງແມ່ຂ່າຍມີການປ່ຽນແປງ.

ການເຊື່ອມຕໍ່ຈໍານວນຫນ້ອຍ. ຄໍາອະທິບາຍ. ໃນປັດຈຸບັນ, ມັນບໍ່ແມ່ນບັນຫາທີ່ຈະເອົາລາຍຊື່ໂດເມນທີ່ບໍ່ເສຍຄ່າທີ່ມີທີ່ຢູ່ອີເມວສະເພາະ, ຫຼືຊອກຫາໂດເມນທັງຫມົດທີ່ພົວພັນກັບທີ່ຢູ່ IP ສະເພາະ. ແຕ່ເມື່ອມັນມາກັບແຮກເກີທີ່ເຮັດສຸດຄວາມສາມາດຂອງເຂົາເຈົ້າຍາກທີ່ຈະຕິດຕາມ, ພວກເຮົາຕ້ອງການ tricks ເພີ່ມເຕີມເພື່ອຊອກຫາຄຸນສົມບັດໃຫມ່ແລະສ້າງການເຊື່ອມຕໍ່ໃຫມ່.
ພວກເຮົາໃຊ້ເວລາຫຼາຍໃນການຄົ້ນຄວ້າວິທີທີ່ພວກເຮົາສາມາດສະກັດຂໍ້ມູນທີ່ບໍ່ມີຢູ່ໃນແບບທໍາມະດາ. ພວກເຮົາບໍ່ສາມາດອະທິບາຍໄດ້ວ່າມັນເຮັດວຽກແນວໃດສໍາລັບເຫດຜົນທີ່ຊັດເຈນ, ແຕ່ພາຍໃຕ້ບາງກໍລະນີ, ແຮກເກີ, ເມື່ອລົງທະບຽນໂດເມນຫຼືເຊົ່າແລະຕັ້ງເຄື່ອງແມ່ຂ່າຍ, ເຮັດຜິດພາດທີ່ເຮັດໃຫ້ພວກເຂົາຊອກຫາທີ່ຢູ່ອີເມວ, ນາມແຝງແຮັກເກີ, ແລະທີ່ຢູ່ backend. ການເຊື່ອມຕໍ່ຫຼາຍທີ່ທ່ານສະກັດ, ເສັ້ນສະແດງທີ່ຖືກຕ້ອງຫຼາຍທ່ານສາມາດສ້າງ.

ເສັ້ນສະແດງຂອງພວກເຮົາເຮັດວຽກແນວໃດ

ເພື່ອເລີ່ມຕົ້ນການນໍາໃຊ້ກາຟເຄືອຂ່າຍ, ທ່ານຈໍາເປັນຕ້ອງໃສ່ໂດເມນ, ທີ່ຢູ່ IP, ອີເມວ, ຫຼືລາຍນິ້ວມືໃບຢັ້ງຢືນ SSL ເຂົ້າໄປໃນແຖບຄົ້ນຫາ. ມີສາມເງື່ອນໄຂທີ່ນັກວິເຄາະສາມາດຄວບຄຸມ: ເວລາ, ຄວາມເລິກຂອງຂັ້ນຕອນ, ແລະການເກັບກູ້.

ເວລາ

ເວລາ – ວັນທີ ຫຼືໄລຍະຫ່າງເວລາທີ່ອົງປະກອບທີ່ຄົ້ນຫາຖືກໃຊ້ເພື່ອຈຸດປະສົງທີ່ເປັນອັນຕະລາຍ. ຖ້າທ່ານບໍ່ລະບຸພາລາມິເຕີນີ້, ລະບົບຕົວມັນເອງຈະກໍານົດໄລຍະເວລາການເປັນເຈົ້າຂອງສຸດທ້າຍສໍາລັບຊັບພະຍາກອນນີ້. ຕົວຢ່າງ, ວັນທີ 11 ກໍລະກົດ, Eset ຈັດພີມມາ ລາຍງານ ກ່ຽວກັບວິທີທີ່ Buhtrap ໃຊ້ການຂູດຮີດ 0 ມື້ສໍາລັບການສອດແນມທາງອິນເຕີເນັດ. ມີ 6 ຕົວຊີ້ວັດໃນຕອນທ້າຍຂອງບົດລາຍງານ. ນຶ່ງໃນນັ້ນ, secure-telemetry[.]net, ໄດ້ຖືກລົງທະບຽນຄືນໃໝ່ໃນວັນທີ 16 ກໍລະກົດ. ດັ່ງນັ້ນ, ຖ້າທ່ານສ້າງກາຟຫຼັງຈາກວັນທີ 16 ເດືອນກໍລະກົດ, ທ່ານຈະໄດ້ຮັບຜົນໄດ້ຮັບທີ່ບໍ່ກ່ຽວຂ້ອງ. ແຕ່ຖ້າທ່ານຊີ້ບອກວ່າໂດເມນນີ້ຖືກນໍາໃຊ້ກ່ອນວັນທີນີ້, ຫຼັງຈາກນັ້ນ, ເສັ້ນສະແດງປະກອບມີ 126 ໂດເມນໃຫມ່, 69 ທີ່ຢູ່ IP ທີ່ບໍ່ໄດ້ລະບຸໄວ້ໃນບົດລາຍງານ Eset:

• ukrfreshnews[.]com
• unian-search[.]com
• vesti-world[.]ຂໍ້ມູນ
• runewsmeta[.]com
• foxnewsmeta[.]biz
• sobesednik-meta[.]ຂໍ້ມູນ
• rian-ua[.]net
• ແລະອື່ນໆ.

ນອກເຫນືອໄປຈາກຕົວຊີ້ວັດເຄືອຂ່າຍ, ພວກເຮົາທັນທີຊອກຫາການເຊື່ອມຕໍ່ກັບໄຟລ໌ທີ່ເປັນອັນຕະລາຍທີ່ມີການເຊື່ອມຕໍ່ກັບໂຄງສ້າງພື້ນຖານນີ້ແລະແທັກທີ່ບອກພວກເຮົາວ່າ Meterpreter ແລະ AZORult ຖືກນໍາໃຊ້.

ສິ່ງທີ່ຍິ່ງໃຫຍ່ແມ່ນວ່າທ່ານໄດ້ຮັບຜົນໄດ້ຮັບນີ້ພາຍໃນຫນຶ່ງວິນາທີແລະທ່ານບໍ່ຈໍາເປັນຕ້ອງໃຊ້ເວລາຫຼາຍມື້ໃນການວິເຄາະຂໍ້ມູນ. ແນ່ນອນ, ວິທີການນີ້ບາງຄັ້ງຫຼຸດລົງຢ່າງຫຼວງຫຼາຍສໍາລັບການສືບສວນ, ເຊິ່ງມັກຈະສໍາຄັນ.

ຈໍານວນຂັ້ນຕອນຫຼືຄວາມເລິກ recursion ທີ່ກາຟຈະຖືກສ້າງຂຶ້ນ

ໂດຍຄ່າເລີ່ມຕົ້ນ, ຄວາມເລິກແມ່ນ 3. ນີ້ຫມາຍຄວາມວ່າອົງປະກອບທີ່ກ່ຽວຂ້ອງໂດຍກົງທັງຫມົດຈະພົບເຫັນຈາກອົງປະກອບທີ່ຕ້ອງການ, ຫຼັງຈາກນັ້ນການເຊື່ອມຕໍ່ໃຫມ່ຈະຖືກສ້າງຈາກແຕ່ລະອົງປະກອບໃຫມ່ໄປຫາອົງປະກອບອື່ນໆ, ແລະອົງປະກອບໃຫມ່ຈະຖືກສ້າງຂື້ນຈາກອົງປະກອບໃຫມ່ຈາກສຸດທ້າຍ. ຂັ້ນ​ຕອນ​.

ໃຫ້ເອົາຕົວຢ່າງທີ່ບໍ່ກ່ຽວຂ້ອງກັບ APT ແລະການຂູດຮີດ 0 ມື້. ບໍ່ດົນມານີ້, ກໍລະນີທີ່ຫນ້າສົນໃຈຂອງການສໍ້ໂກງທີ່ກ່ຽວຂ້ອງກັບ cryptocurrencies ໄດ້ຖືກອະທິບາຍຢູ່ໃນHabre. ບົດລາຍງານກ່າວເຖິງໂດເມນ themcx[.]co, ທີ່ໃຊ້ໂດຍ scammers ເພື່ອເປັນເຈົ້າພາບເວັບໄຊທ໌ທີ່ອ້າງວ່າເປັນ Miner Coin Exchange ແລະ phone-lookup[.]xyz ເພື່ອດຶງດູດການເຂົ້າຊົມ.

ມັນເປັນທີ່ຊັດເຈນຈາກຄໍາອະທິບາຍວ່າໂຄງການຮຽກຮ້ອງໃຫ້ມີໂຄງສ້າງພື້ນຖານຂະຫນາດໃຫຍ່ພໍສົມຄວນເພື່ອດຶງດູດການຈະລາຈອນໄປຫາຊັບພະຍາກອນທີ່ສໍ້ໂກງ. ພວກເຮົາໄດ້ຕັດສິນໃຈເບິ່ງໂຄງສ້າງພື້ນຖານນີ້ໂດຍການສ້າງກາຟໃນ 4 ຂັ້ນຕອນ. ຜົນໄດ້ຮັບແມ່ນກາຟທີ່ມີ 230 ໂດເມນແລະ 39 ທີ່ຢູ່ IP. ຕໍ່ໄປ, ພວກເຮົາແບ່ງໂດເມນອອກເປັນ 2 ປະເພດ: ທີ່ຄ້າຍຄືກັບການບໍລິການສໍາລັບການເຮັດວຽກກັບ cryptocurrencies ແລະທີ່ມີຈຸດປະສົງເພື່ອຂັບລົດການຈະລາຈອນຜ່ານການບໍລິການກວດສອບໂທລະສັບ:

ກ່ຽວຂ້ອງກັບ cryptocurrency
ກ່ຽວຂ້ອງກັບການບໍລິການເຈາະໂທລະສັບ

coinkeeper[.]cc
caller-record[.]site.

mcxwallet[.]co
phone-records[.]space

btcnoise[.]com
fone-uncover[.]xyz

cryptominer[.]ເບິ່ງ
number-uncover[.]ຂໍ້ມູນ

ທໍາຄວາມສະອາດ

ໂດຍຄ່າເລີ່ມຕົ້ນ, ທາງເລືອກ "ການລ້າງກຣາບ" ຖືກເປີດໃຊ້ງານ ແລະອົງປະກອບທີ່ບໍ່ກ່ຽວຂ້ອງທັງໝົດຈະຖືກລຶບອອກຈາກກຣາບ. ໂດຍວິທີທາງການ, ມັນຖືກນໍາໃຊ້ໃນຕົວຢ່າງທີ່ຜ່ານມາທັງຫມົດ. ຂ້າພະເຈົ້າຄາດຄະເນຄໍາຖາມທໍາມະຊາດ: ພວກເຮົາສາມາດເຮັດແນວໃດໃຫ້ແນ່ໃຈວ່າບາງສິ່ງບາງຢ່າງທີ່ສໍາຄັນບໍ່ໄດ້ຖືກລຶບ? ຂ້ອຍຈະຕອບວ່າ: ສໍາລັບນັກວິເຄາະທີ່ມັກສ້າງກາຟດ້ວຍມື, ການທໍາຄວາມສະອາດອັດຕະໂນມັດສາມາດຖືກປິດການໃຊ້ງານໄດ້ແລະຈໍານວນຂັ້ນຕອນສາມາດເລືອກໄດ້ = 1. ຕໍ່ໄປ, ນັກວິເຄາະຈະສາມາດເຮັດສໍາເລັດຮູບກາຟຈາກອົງປະກອບທີ່ລາວຕ້ອງການແລະເອົາອົງປະກອບອອກຈາກ. ເສັ້ນສະແດງທີ່ບໍ່ກ່ຽວຂ້ອງກັບວຽກງານ.

ແລ້ວໃນກາຟ, ປະຫວັດສາດຂອງການປ່ຽນແປງໃນ whois, DNS, ເຊັ່ນດຽວກັນກັບພອດເປີດແລະການບໍລິການທີ່ແລ່ນຢູ່ໃນພວກມັນກາຍເປັນສໍາລັບນັກວິເຄາະ.

ຟິດຊິງທາງການເງິນ

ພວກເຮົາໄດ້ສືບສວນກິດຈະກໍາຂອງກຸ່ມ APT ຫນຶ່ງ, ເຊິ່ງເປັນເວລາຫຼາຍປີໄດ້ດໍາເນີນການໂຈມຕີ phishing ຕໍ່ລູກຄ້າຂອງທະນາຄານຕ່າງໆໃນພາກພື້ນຕ່າງໆ. ຄຸນລັກສະນະລັກສະນະຂອງກຸ່ມນີ້ແມ່ນການລົງທະບຽນໂດເມນທີ່ຄ້າຍຄືກັບຊື່ຂອງທະນາຄານທີ່ແທ້ຈິງ, ແລະເວັບໄຊທ໌ phishing ສ່ວນໃຫຍ່ມີການອອກແບບດຽວກັນ, ຄວາມແຕກຕ່າງພຽງແຕ່ຢູ່ໃນຊື່ຂອງທະນາຄານແລະໂລໂກ້ຂອງພວກເຂົາ.

ໃນກໍລະນີນີ້, ການວິເຄາະກາຟອັດຕະໂນມັດໄດ້ຊ່ວຍພວກເຮົາຫຼາຍ. ເອົາຫນຶ່ງໃນໂດເມນຂອງພວກເຂົາ - lloydsbnk-uk[.]com, ໃນສອງສາມວິນາທີພວກເຮົາໄດ້ສ້າງກາຟທີ່ມີຄວາມເລິກ 3 ຂັ້ນຕອນ, ເຊິ່ງໄດ້ກໍານົດຫຼາຍກວ່າ 250 ໂດເມນທີ່ເປັນອັນຕະລາຍທີ່ກຸ່ມນີ້ໃຊ້ຕັ້ງແຕ່ປີ 2015 ແລະສືບຕໍ່ຖືກນໍາໃຊ້. . ບາງໂດເມນເຫຼົ່ານີ້ໄດ້ຖືກຊື້ໂດຍທະນາຄານແລ້ວ, ແຕ່ບັນທຶກປະຫວັດສາດສະແດງໃຫ້ເຫັນວ່າພວກເຂົາໄດ້ລົງທະບຽນກັບຜູ້ໂຈມຕີກ່ອນຫນ້ານີ້.

ເພື່ອຄວາມຊັດເຈນ, ຕົວເລກສະແດງໃຫ້ເຫັນກາຟທີ່ມີຄວາມເລິກ 2 ຂັ້ນຕອນ.

ເປັນທີ່ສັງເກດວ່າແລ້ວໃນປີ 2019, ຜູ້ໂຈມຕີໄດ້ປ່ຽນກົນລະຍຸດຂອງພວກເຂົາເລັກນ້ອຍແລະເລີ່ມລົງທະບຽນບໍ່ພຽງແຕ່ໂດເມນຂອງທະນາຄານສໍາລັບການໂຮດເວັບ phishing, ແຕ່ຍັງໂດເມນຂອງບໍລິສັດທີ່ປຶກສາຕ່າງໆສໍາລັບການສົ່ງອີເມວ phishing. ຕົວຢ່າງ, ໂດເມນ swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

ແກ໊ງ Cobalt

ໃນເດືອນທັນວາ 2018, ກຸ່ມແຮກເກີ Cobalt, ຊ່ຽວຊານໃນການໂຈມຕີເປົ້າຫມາຍທະນາຄານ, ໄດ້ສົ່ງການໂຄສະນາທາງໄປສະນີໃນນາມຂອງທະນາຄານແຫ່ງຊາດ Kazakhstan.

ຈົດໝາຍມີລິ້ງໄປຫາ hXXps://nationalbank.bz/Doc/Prikaz.doc. ເອກະສານທີ່ດາວໂຫຼດມານັ້ນມີມະຫາພາກທີ່ເປີດໃຊ້ Powershell, ເຊິ່ງຈະພະຍາຍາມໂຫລດ ແລະດໍາເນີນການໄຟລ໌ຈາກ hXXp://wateroilclub.com/file/dwm.exe ໃນ %Temp%einmrmdmy.exe. ໄຟລ໌ %Temp%einmrmdmy.exe aka dwm.exe ເປັນຂັ້ນຕອນ CobInt ທີ່ຖືກຕັ້ງຄ່າໃຫ້ໂຕ້ຕອບກັບເຊີບເວີ hXXp://admvmsopp.com/rilruietguadvtoefmuy.

ຈິນຕະນາການວ່າບໍ່ສາມາດຮັບອີເມວ phishing ເຫຼົ່ານີ້ໄດ້ ແລະເຮັດການວິເຄາະອັນເຕັມທີ່ຂອງໄຟລ໌ທີ່ເປັນອັນຕະລາຍ. ກຣາຟສຳລັບໂດເມນທີ່ເປັນອັນຕະລາຍແຫ່ງຊາດ[.]bz ສະແດງການເຊື່ອມຕໍ່ກັບໂດເມນທີ່ເປັນອັນຕະລາຍອື່ນໆໃນທັນທີ, ລະບຸວ່າມັນເປັນກຸ່ມ ແລະສະແດງໃຫ້ເຫັນວ່າໄຟລ໌ໃດຖືກໃຊ້ໃນການໂຈມຕີ.

ໃຫ້ເອົາທີ່ຢູ່ IP 46.173.219[.]152 ຈາກກາຟນີ້ແລະສ້າງເສັ້ນສະແດງຈາກມັນໃນຫນຶ່ງຜ່ານແລະປິດການທໍາຄວາມສະອາດ. ມີ 40 ໂດເມນທີ່ກ່ຽວຂ້ອງກັບມັນ, ຕົວຢ່າງ, bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

ການຕັດສິນໂດຍຊື່ໂດເມນ, ມັນເບິ່ງຄືວ່າພວກເຂົາຖືກນໍາໃຊ້ໃນລະບົບການສໍ້ໂກງ, ແຕ່ສູດການທໍາຄວາມສະອາດໄດ້ຮັບຮູ້ວ່າພວກເຂົາບໍ່ກ່ຽວຂ້ອງກັບການໂຈມຕີນີ້ແລະບໍ່ໄດ້ເອົາພວກມັນໃສ່ໃນກາຟ, ເຊິ່ງເຮັດໃຫ້ຂະບວນການວິເຄາະແລະການສະແດງຜົນງ່າຍຢ່າງຫຼວງຫຼາຍ.

ຖ້າທ່ານສ້າງກາຟຄືນໃຫມ່ໂດຍໃຊ້ Nationalbank[.]bz, ແຕ່ການປິດການທໍາຄວາມສະອາດລະບົບກຣາຟ, ຫຼັງຈາກນັ້ນມັນຈະມີຫຼາຍກວ່າ 500 ອົງປະກອບ, ເຊິ່ງສ່ວນໃຫຍ່ແມ່ນບໍ່ມີຫຍັງກ່ຽວຂ້ອງກັບກຸ່ມ Cobalt ຫຼືການໂຈມຕີຂອງພວກເຂົາ. ຕົວຢ່າງຂອງກາຟດັ່ງກ່າວມີລັກສະນະຄືດັ່ງລຸ່ມນີ້:

ສະຫລຸບ

ຫຼັງຈາກເວລາຫຼາຍປີຂອງການປັບໄຫມ, ການທົດສອບໃນການສືບສວນທີ່ແທ້ຈິງ, ການຄົ້ນຄວ້າໄພຂົ່ມຂູ່ແລະການລ່າສັດສໍາລັບຜູ້ໂຈມຕີ, ພວກເຮົາຈັດການບໍ່ພຽງແຕ່ສ້າງເຄື່ອງມືທີ່ເປັນເອກະລັກ, ແຕ່ຍັງມີການປ່ຽນແປງທັດສະນະຄະຕິຂອງຜູ້ຊ່ຽວຊານພາຍໃນບໍລິສັດຕໍ່ກັບມັນ. ໃນເບື້ອງຕົ້ນ, ຜູ້ຊ່ຽວຊານດ້ານວິຊາການຕ້ອງການການຄວບຄຸມຢ່າງສົມບູນກ່ຽວກັບຂະບວນການສ້າງກາຟ. ການເຮັດໃຫ້ພວກເຂົາເຊື່ອວ່າການສ້າງກາຟອັດຕະໂນມັດສາມາດເຮັດໄດ້ດີກວ່າຄົນທີ່ມີປະສົບການຫຼາຍປີແມ່ນຍາກທີ່ສຸດ. ທຸກສິ່ງທຸກຢ່າງໄດ້ຖືກຕັດສິນໃຈໂດຍເວລາແລະການກວດສອບ "ຄູ່ມື" ຫຼາຍຄັ້ງຂອງຜົນໄດ້ຮັບຂອງກາຟທີ່ຜະລິດ. ໃນປັດຈຸບັນຜູ້ຊ່ຽວຊານຂອງພວກເຮົາບໍ່ພຽງແຕ່ໄວ້ວາງໃຈລະບົບ, ແຕ່ຍັງນໍາໃຊ້ຜົນໄດ້ຮັບທີ່ມັນໄດ້ຮັບໃນວຽກງານປະຈໍາວັນຂອງພວກເຂົາ. ເທັກໂນໂລຍີນີ້ເຮັດວຽກຢູ່ໃນແຕ່ລະລະບົບຂອງພວກເຮົາ ແລະຊ່ວຍໃຫ້ພວກເຮົາສາມາດລະບຸໄພຂົ່ມຂູ່ຂອງປະເພດໃດກໍໄດ້ດີຂຶ້ນ. ການໂຕ້ຕອບສໍາລັບການວິເຄາະກາຟຄູ່ມືແມ່ນສ້າງຂຶ້ນໃນທຸກຜະລິດຕະພັນ Group-IB ແລະຂະຫຍາຍຄວາມສາມາດຢ່າງຫຼວງຫຼາຍສໍາລັບການລ່າສັດທາງອິນເຕີເນັດ. ນີ້ແມ່ນຢືນຢັນໂດຍການທົບທວນຄືນຂອງນັກວິເຄາະຈາກລູກຄ້າຂອງພວກເຮົາ. ແລະພວກເຮົາ, ໃນທາງກັບກັນ, ສືບຕໍ່ເສີມຂະຫຍາຍກຣາຟດ້ວຍຂໍ້ມູນແລະເຮັດວຽກກ່ຽວກັບສູດການຄິດໄລ່ໃຫມ່ໂດຍໃຊ້ປັນຍາປະດິດເພື່ອສ້າງກາຟເຄືອຂ່າຍທີ່ຖືກຕ້ອງທີ່ສຸດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com