ProHoster > Blogs > Administrācija > Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Izmeklējot lietas, kas saistÄ«tas ar pikŔķerÄ“Å”anu, robottÄ«kliem, krāpnieciskiem darÄ«jumiem un noziedzÄ«gām hakeru grupām, Group-IB eksperti jau daudzus gadus ir izmantojuÅ”i grafiku analÄ«zi, lai identificētu dažāda veida savienojumus. Dažādiem gadÄ«jumiem ir savas datu kopas, savi algoritmi savienojumu identificÄ“Å”anai un konkrētiem uzdevumiem pielāgotas saskarnes. Visus Å”os rÄ«kus iekŔēji izstrādāja Group-IB, un tie bija pieejami tikai mÅ«su darbiniekiem.

TÄ«kla infrastruktÅ«ras grafiskā analÄ«ze (tÄ«kla grafiks) kļuva par pirmo iekŔējo rÄ«ku, ko iestrādājām visos uzņēmuma publiskajos produktos. Pirms tÄ«kla diagrammas izveides mēs analizējām daudzas lÄ«dzÄ«gas norises tirgÅ« un neatradām nevienu produktu, kas apmierinātu mÅ«su vajadzÄ«bas. Å ajā rakstā mēs runāsim par to, kā mēs izveidojām tÄ«kla grafiku, kā mēs to izmantojam un ar kādām grÅ«tÄ«bām mēs saskārāmies.

Dmitrijs Volkovs, CTO Group-IB un kiberizlūkoŔanas vadītājs

Ko var darīt Group-IB tīkla diagramma?

IzmeklēŔanas

KopÅ” Group-IB dibināŔanas 2003. gadā lÄ«dz mÅ«sdienām kibernoziedznieku identificÄ“Å”ana, deanonÄ“Å”ana un saukÅ”ana pie atbildÄ«bas ir bijusi mÅ«su darba galvenā prioritāte. Neviena kiberuzbrukuma izmeklÄ“Å”ana nebija pabeigta, neanalizējot uzbrucēju tÄ«kla infrastruktÅ«ru. PaŔā mÅ«su ceļojuma sākumā tas bija diezgan rÅ«pÄ«gs ā€œroku darbsā€, lai meklētu attiecÄ«bas, kas varētu palÄ«dzēt identificēt noziedzniekus: informāciju par domēna vārdiem, IP adresēm, serveru digitālajiem pirkstu nospiedumiem utt.

Lielākā daļa uzbrucēju tÄ«klā cenÅ”as darboties pēc iespējas anonÄ«mi. Tomēr, tāpat kā visi cilvēki, viņi pieļauj kļūdas. Šādas analÄ«zes galvenais mērÄ·is ir atrast ā€œbaltusā€ vai ā€œpelēkusā€ uzbrucēju vēsturiskus projektus, kuriem ir krustoÅ”anās ar ļaunprātÄ«go infrastruktÅ«ru, kas tiek izmantota paÅ”reizējā incidentā, kuru mēs izmeklējam. Ja ir iespējams atklāt ā€œbaltos projektusā€, tad uzbrucēja atraÅ”ana, kā likums, kļūst par triviālu uzdevumu. ā€œPelēkoā€ gadÄ«jumā meklÄ“Å”ana prasa vairāk laika un pūļu, jo to Ä«paÅ”nieki cenÅ”as anonimizēt vai slēpt reÄ£istrācijas datus, taču iespēja joprojām ir diezgan liela. Parasti savu noziedzÄ«go darbÄ«bu sākumā uzbrucēji mazāk pievērÅ” uzmanÄ«bu savai droŔībai un pieļauj vairāk kļūdu, tāpēc, jo dziļāk varam ienirt stāstā, jo lielākas ir veiksmÄ«gas izmeklÄ“Å”anas iespējas. Tāpēc tÄ«kla grafiks ar labu vēsturi ir ārkārtÄ«gi svarÄ«gs Ŕādas izmeklÄ“Å”anas elements. VienkārÅ”i sakot, jo dziļāki vēsturiskie dati ir uzņēmumam, jo ā€‹ā€‹labāks ir tā grafiks. Pieņemsim, ka 5 gadu vēsture var palÄ«dzēt atrisināt nosacÄ«ti 1-2 no 10 noziegumiem, un 15 gadu vēsture dod iespēju atrisināt visus desmit.

PikŔķerÄ“Å”anas un krāpÅ”anas atklāŔana

Katru reizi, kad saņemam aizdomÄ«gu saiti uz pikŔķerÄ“Å”anas, krāpniecisku vai pirātisku resursu, mēs automātiski izveidojam saistÄ«to tÄ«kla resursu grafiku un pārbaudām, vai visos atrastajos saimniekdatoros nav lÄ«dzÄ«gs saturs. Tas ļauj atrast gan vecās pikŔķerÄ“Å”anas vietnes, kas bija aktÄ«vas, bet nezināmas, gan arÄ« pilnÄ«gi jaunas, kas ir sagatavotas turpmākiem uzbrukumiem, bet vēl netiek izmantotas. Elementārs piemērs, kas notiek diezgan bieži: mēs atradām pikŔķerÄ“Å”anas vietni serverÄ«, kurā ir tikai 5 vietnes. Pārbaudot katru no tiem, mēs atrodam pikŔķerÄ“Å”anas saturu citās vietnēs, kas nozÄ«mē, ka varam bloķēt 5, nevis 1.

Meklēt aizmugursistēmas

Šis process ir nepiecieŔams, lai noteiktu, kur patiesībā atrodas ļaunprātīgais serveris.
99% karÅ”u veikalu, hakeru forumu, daudzu pikŔķerÄ“Å”anas resursu un citu ļaunprātÄ«gu serveru ir paslēpti gan aiz saviem starpniekserveriem, gan likumÄ«gu pakalpojumu starpniekserveriem, piemēram, Cloudflare. ZināŔanas par Ä«sto aizmuguri ir ļoti svarÄ«gas izmeklÄ“Å”anai: kļūst zināms mitināŔanas pakalpojumu sniedzējs, no kura var konfiscēt serveri, un kļūst iespējams izveidot savienojumus ar citiem ļaunprātÄ«giem projektiem.

Piemēram, jums ir pikŔķerÄ“Å”anas vietne, kurā tiek apkopoti bankas karÅ”u dati, kuru IP adrese ir 11.11.11.11, un karÅ”u veikala adrese, kas atrisina IP adresi 22.22.22.22. AnalÄ«zes laikā var izrādÄ«ties, ka gan pikŔķerÄ“Å”anas vietnei, gan karÅ”u veikalam ir kopēja aizmugursistēmas IP adrese, piemēram, 33.33.33.33. Å Ä«s zināŔanas ļauj mums izveidot savienojumu starp pikŔķerÄ“Å”anas uzbrukumiem un karÅ”u veikalu, kurā var pārdot bankas karÅ”u datus.

Notikumu korelācija

Ja jums ir divi dažādi aktivizētāji (piemēram, IDS) ar atŔķirÄ«gu ļaunprātÄ«gu programmatÅ«ru un dažādiem serveriem, lai kontrolētu uzbrukumu, jÅ«s tos uzskatÄ«sit par diviem neatkarÄ«giem notikumiem. Bet, ja ir laba saikne starp ļaunprātÄ«gām infrastruktÅ«rām, tad kļūst skaidrs, ka tie nav dažādi uzbrukumi, bet gan viena, sarežģītāka daudzpakāpju uzbrukuma posmi. Un, ja kāds no notikumiem jau tiek attiecināts uz kādu uzbrucēju grupu, tad arÄ« otrais var tikt attiecināts uz Å”o paÅ”u grupu. Protams, attiecinājuma process ir daudz sarežģītāks, tāpēc uzskatiet to kā vienkārÅ”u piemēru.

Indikatora bagātināŔana

Mēs tam nepievērsÄ«sim Ä«paÅ”u uzmanÄ«bu, jo Å”is ir visizplatÄ«tākais grafiku izmantoÅ”anas scenārijs kiberdroŔībā: jÅ«s sniedzat vienu indikatoru kā ievadi un kā izvadi saņemat saistÄ«tu rādÄ«tāju masÄ«vu.

Modeļu identificÄ“Å”ana

Modeļu identificÄ“Å”ana ir bÅ«tiska efektÄ«vai medÄ«bām. Grafiki ļauj ne tikai atrast saistÄ«tos elementus, bet arÄ« noteikt kopÄ«gas Ä«paŔības, kas raksturÄ«gas noteiktai hakeru grupai. ZināŔanas par Ŕādām unikālām Ä«paŔībām ļauj atpazÄ«t uzbrucēja infrastruktÅ«ru pat sagatavoÅ”anas posmā un bez pierādÄ«jumiem, kas apstiprina uzbrukumu, piemēram, pikŔķerÄ“Å”anas e-pastiem vai ļaunprātÄ«gu programmatÅ«ru.

Kāpēc mēs izveidojām savu tīkla grafiku?

Atkal mēs apskatÄ«jām dažādu pārdevēju risinājumus, pirms nonācām pie secinājuma, ka mums ir jāizstrādā savs rÄ«ks, kas varētu darÄ«t kaut ko tādu, ko nevar paveikt neviens esoÅ”ais produkts. Tā izveide prasÄ«ja vairākus gadus, kuru laikā vairākas reizes to pilnÄ«bā mainÄ«jām. Bet, neskatoties uz ilgo izstrādes periodu, mēs vēl neesam atraduÅ”i nevienu analogu, kas atbilstu mÅ«su prasÄ«bām. Izmantojot mÅ«su paÅ”u produktu, mēs galu galā varējām atrisināt gandrÄ«z visas problēmas, kuras atklājām esoÅ”ajos tÄ«kla grafikos. Tālāk mēs detalizēti apsvērsim Ŕīs problēmas:

problēma
Å Ä·Ä«dums

Pakalpojumu sniedzēja trÅ«kums ar dažādām datu kolekcijām: domēni, pasÄ«vais DNS, pasÄ«vais SSL, DNS ieraksti, atvērtie porti, pakalpojumu darbÄ«ba portos, faili, kas mijiedarbojas ar domēnu nosaukumiem un IP adresēm. Paskaidrojums. Parasti pakalpojumu sniedzēji nodroÅ”ina atseviŔķus datu veidus, un, lai iegÅ«tu pilnÄ«gu priekÅ”statu, jums ir jāiegādājas abonementi no visiem. Tomēr ne vienmēr ir iespējams iegÅ«t visus datus: daži pasÄ«vie SSL nodroÅ”inātāji sniedz datus tikai par sertifikātiem, ko izsnieguÅ”as uzticamas CA, un viņu paÅ”u parakstÄ«to sertifikātu pārklājums ir ļoti zems. Citi arÄ« sniedz datus, izmantojot paÅ”parakstÄ«tus sertifikātus, bet apkopo tos tikai no standarta portiem.
Visas iepriekÅ” minētās kolekcijas savācām paÅ”i. Piemēram, lai apkopotu datus par SSL sertifikātiem, mēs izveidojām savu pakalpojumu, kas tos apkopo gan no uzticamām CA, gan skenējot visu IPv4 telpu. Sertifikāti tika savākti ne tikai no IP, bet arÄ« no visiem domēniem un apakÅ”domēniem no mÅ«su datu bāzes: ja jums ir domēns example.com un tā apakÅ”domēns www.example.com un tie visi izmanto IP 1.1.1.1, tad, mēģinot iegÅ«t SSL sertifikātu no 443. porta IP, domēnā un tā apakÅ”domēnā, varat iegÅ«t trÄ«s dažādus rezultātus. Lai apkopotu datus par atvērtajiem portiem un darbinātajiem pakalpojumiem, mums bija jāizveido sava izplatÄ«tā skenÄ“Å”anas sistēma, jo citos servisos bieži vien bija to skenÄ“Å”anas serveru IP adreses ā€œmelnajos sarakstosā€. ArÄ« mÅ«su skenÄ“Å”anas serveri nonāk melnajos sarakstos, taču mums vajadzÄ«go pakalpojumu noteikÅ”anas rezultāts ir augstāks nekā tiem, kuri vienkārÅ”i skenē pēc iespējas vairāk portu un pārdod piekļuvi Å”iem datiem.

Piekļuves trūkums visai vēsturisko ierakstu datubāzei. Paskaidrojums. Katram normālam piegādātājam ir laba uzkrātā vēsture, taču dabisku iemeslu dēļ mēs, klienti, nevarējām piekļūt visiem vēsturiskajiem datiem. Tie. Jūs varat iegūt visu vēsturi vienam ierakstam, piemēram, pēc domēna vai IP adreses, taču jūs nevarat redzēt visu vēsturi - un bez tā jūs nevarat redzēt pilnu attēlu.
Lai apkopotu pēc iespējas vairāk domēnu vēsturisko ierakstu, mēs iegādājāmies dažādas datu bāzes, analizējām daudzus atvērtos resursus, kuriem bija Ŕī vēsture (labi, ka to bija daudz), un vienojāmies ar domēna vārdu reÄ£istratoriem. Visi mÅ«su paÅ”u kolekciju atjauninājumi, protams, tiek glabāti ar pilnu pārskatÄ«Å”anas vēsturi.

Visi esoÅ”ie risinājumi ļauj izveidot grafiku manuāli. Paskaidrojums. Pieņemsim, ka esat iegādājies daudz abonementu no visiem iespējamiem datu nodroÅ”inātājiem (parasti sauktiem par bagātinātājiem). Kad jums ir nepiecieÅ”ams izveidot grafiku, jÅ«s "rokas" dodat komandu veidot no vēlamā savienojuma elementa, pēc tam atlasiet vajadzÄ«gos no parādÄ«tajiem elementiem un dodat komandu no tiem pabeigt savienojumus utt. Å ajā gadÄ«jumā atbildÄ«ba par to, cik labi grafiks tiks izveidots, pilnÄ«bā gulstas uz personu.
Izgatavojām automātisku grafiku konstruÄ“Å”anu. Tie. ja jāveido grafiks, tad savienojumi no pirmā elementa tiek veidoti automātiski, tad arÄ« no visiem nākamajiem. Speciālists norāda tikai dziļumu, kādā grafiks ir jāveido. Grafiku automātiskās aizpildÄ«Å”anas process ir vienkārÅ”s, taču citi piegādātāji to neievieÅ”, jo tas rada milzÄ«gu skaitu neatbilstoÅ”u rezultātu, un mums bija jāņem vērā arÄ« Å”is trÅ«kums (skatiet tālāk).

Daudzi neatbilstoÅ”i rezultāti ir problēma ar visiem tÄ«kla elementu grafikiem. Paskaidrojums. Piemēram, ā€œslikts domēnsā€ (piedalÄ«jies uzbrukumā) ir saistÄ«ts ar serveri, kuram pēdējo 10 gadu laikā ir saistÄ«ti 500 citi domēni. Manuāli pievienojot vai automātiski veidojot grafiku, grafikā jāparādās arÄ« visiem Å”iem 500 domēniem, lai gan tie nav saistÄ«ti ar uzbrukumu. Vai, piemēram, pārbaudāt IP indikatoru pārdevēja droŔības pārskatā. Parasti Ŕādi ziņojumi tiek publicēti ar ievērojamu kavÄ“Å”anos un bieži vien aptver gadu vai ilgāk. Visticamāk, atskaites lasÄ«Å”anas laikā serveris ar Å”o IP adresi jau ir iznomāts citiem cilvēkiem ar citiem savienojumiem, un diagrammas veidoÅ”ana atkal radÄ«s neatbilstoÅ”us rezultātus.
Mēs apmācÄ«jām sistēmu identificēt neatbilstoÅ”os elementus, izmantojot to paÅ”u loÄ£iku, ko mÅ«su eksperti darÄ«ja manuāli. Piemēram, jÅ«s pārbaudāt nepareizu domēnu example.com, kas tagad atrisina IP 11.11.11.11, bet pirms mēneÅ”a ā€” IP 22.22.22.22. Papildus domēnam example.com IP 11.11.11.11 ir saistÄ«ts arÄ« ar example.ru, bet IP 22.22.22.22 ir saistÄ«ts ar 25 tÅ«kstoÅ”iem citu domēnu. Sistēma, tāpat kā cilvēks, saprot, ka 11.11.11.11, visticamāk, ir veltÄ«ts serveris, un, tā kā domēna example.ru pareizrakstÄ«ba ir lÄ«dzÄ«ga example.com, tad ar lielu varbÅ«tÄ«bu tie ir savienoti un tiem jāatrodas grafiks; bet IP 22.22.22.22 pieder dalÄ«tajam hostingam, tāpēc visi tā domēni nav jāiekļauj grafikā, ja vien nav citu savienojumu, kas parāda, ka ir jāiekļauj arÄ« viens no Å”iem 25 tÅ«kstoÅ”iem domēnu (piemēram, example.net) . Pirms sistēma saprot, ka savienojumi ir jāpārtrauc un daži elementi nav jāpārvieto uz grafiku, tā ņem vērā daudzas elementu un kopu Ä«paŔības, kurās Å”ie elementi ir apvienoti, kā arÄ« paÅ”reizējo savienojumu stiprums. Piemēram, ja grafikā ir mazs klasteris (50 elementi), kas ietver sliktu domēnu, un vēl viens liels klasteris (5 tÅ«kstoÅ”i elementu) un abas kopas ir savienotas ar savienojumu (lÄ«niju) ar ļoti zemu stiprÄ«bu (svaru) , tad Ŕāds savienojums tiks pārtraukts un elementi no lielās kopas tiks noņemti. Bet, ja starp mazajiem un lielajiem klasteriem ir daudz savienojumu un to stiprums pakāpeniski palielinās, tad Å”ajā gadÄ«jumā savienojums nepārtrÅ«ks un grafikā paliks nepiecieÅ”amie elementi no abiem klasteriem.

Servera un domēna Ä«paÅ”umtiesÄ«bu intervāls netiek ņemts vērā. Paskaidrojums. ā€œSlikti domēniā€ agrāk vai vēlāk beigsies, un tie tiks atkārtoti iegādāti ļaunprātÄ«giem vai likumÄ«giem nolÅ«kiem. Pat ložu necaurlaidÄ«gi hostinga serveri tiek izÄ«rēti dažādiem hakeriem, tāpēc ir ļoti svarÄ«gi zināt un ņemt vērā intervālu, kad konkrēts domēns/serveris atradās viena Ä«paÅ”nieka pārziņā. Mēs bieži sastopamies ar situāciju, kad serveris ar IP 11.11.11.11 tagad tiek izmantots kā bankas robota C&C, un pirms 2 mēneÅ”iem to kontrolēja Ransomware. Ja mēs izveidosim savienojumu, neņemot vērā Ä«paÅ”umtiesÄ«bu intervālus, izskatÄ«sies, ka starp banku robottÄ«kla Ä«paÅ”niekiem un izspiedējvÄ«rusu ir savienojums, lai gan patiesÄ«bā tādas nav. MÅ«su darbā Ŕāda kļūda ir kritiska.
Mēs mācÄ«jām sistēmai noteikt Ä«paÅ”umtiesÄ«bu intervālus. Domēniem tas ir salÄ«dzinoÅ”i vienkārÅ”i, jo whois bieži satur reÄ£istrācijas sākuma un beigu datumus, un, ja ir pilnÄ«ga whois izmaiņu vēsture, ir viegli noteikt intervālus. Ja domēna reÄ£istrācija nav beidzies, bet tā pārvaldÄ«Å”ana ir nodota citiem Ä«paÅ”niekiem, to var arÄ« izsekot. SSL sertifikātiem Ŕādu problēmu nav, jo tie tiek izsniegti vienreiz un netiek atjaunoti vai nodoti. Bet ar paÅ”parakstÄ«tiem sertifikātiem nevar uzticēties sertifikāta derÄ«guma termiņā norādÄ«tajiem datumiem, jo ā€‹ā€‹jÅ«s varat Ä£enerēt SSL sertifikātu jau Å”odien un norādÄ«t sertifikāta sākuma datumu no 2010. gada. VisgrÅ«tāk ir noteikt serveru Ä«paÅ”umtiesÄ«bu intervālus, jo datumi un nomas periodi ir tikai hostinga pakalpojumu sniedzējiem. Lai noteiktu servera Ä«paÅ”umtiesÄ«bu periodu, mēs sākām izmantot portu skenÄ“Å”anas rezultātus un izveidot portos darbojoÅ”os pakalpojumu pirkstu nospiedumus. Izmantojot Å”o informāciju, mēs varam diezgan precÄ«zi pateikt, kad ir mainÄ«jies servera Ä«paÅ”nieks.

Maz savienojumu. Paskaidrojums. MÅ«sdienās nav pat problēma iegÅ«t bezmaksas sarakstu ar domēniem, kuru whois satur konkrētu e-pasta adresi, vai noskaidrot visus domēnus, kas bija saistÄ«ti ar noteiktu IP adresi. Bet, runājot par hakeriem, kuri dara visu iespējamo, lai viņus bÅ«tu grÅ«ti izsekot, mums ir nepiecieÅ”ami papildu triki, lai atrastu jaunus Ä«paÅ”umus un izveidotu jaunus savienojumus.
Mēs pavadÄ«jām daudz laika, pētot, kā parastā veidā iegÅ«t datus, kas nebija pieejami. Mēs nevaram Å”eit aprakstÄ«t, kā tas darbojas acÄ«mredzamu iemeslu dēļ, taču noteiktos apstākļos hakeri, reÄ£istrējot domēnus vai Ä«rējot un uzstādot serverus, pieļauj kļūdas, kas ļauj uzzināt e-pasta adreses, hakeru aizstājvārdus un aizmugursistēmas adreses. Jo vairāk savienojumu jÅ«s iegÅ«stat, jo precÄ«zākus grafikus varat izveidot.

Kā darbojas mūsu grafiks

Lai sāktu izmantot tÄ«kla diagrammu, meklÄ“Å”anas joslā ir jāievada domēns, IP adrese, e-pasts vai SSL sertifikāta pirkstu nospiedums. Ir trÄ«s nosacÄ«jumi, kurus analÄ«tiÄ·is var kontrolēt: laiks, soļa dziļums un klÄ«ringa.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Laiks

Laiks ā€” datums vai intervāls, kad meklētais elements tika izmantots ļaunprātÄ«giem nolÅ«kiem. Ja nenorādÄ«siet Å”o parametru, sistēma pati noteiks pēdējo Ŕī resursa Ä«paÅ”umtiesÄ«bu intervālu. Piemēram, 11. jÅ«lijā Eset publicēja ziņot par to, kā Buhtrap izmanto 0 dienu izmantoÅ”anu kiberspiegoÅ”anai. Pārskata beigās ir 6 rādÄ«tāji. Viens no tiem, safe-telemetry[.]net, tika pārreÄ£istrēts 16. jÅ«lijā. Tāpēc, izveidojot grafiku pēc 16. jÅ«lija, jÅ«s iegÅ«sit nebÅ«tiskus rezultātus. Bet, ja norādāt, ka Å”is domēns tika izmantots pirms Ŕī datuma, diagrammā ir iekļauti 126 jauni domēni, 69 IP adreses, kas nav norādÄ«tas Eset pārskatā:

  • ukrfreshnews[.]com
  • unian-search[.]com
  • vesti-world[.]info
  • runewsmeta[.]com
  • foxnewsmeta[.]biz
  • sobesednik-meta[.]info
  • rian-ua[.]net
  • uc

Papildus tÄ«kla indikatoriem mēs nekavējoties atrodam savienojumus ar ļaunprātÄ«giem failiem, kuriem bija savienojumi ar Å”o infrastruktÅ«ru, un tagus, kas norāda, ka tika izmantoti Meterpreter un AZORult.

Lieliski ir tas, ka jÅ«s iegÅ«stat Å”o rezultātu vienas sekundes laikā un jums vairs nav jātērē dienas datu analÄ«zei. Protams, Ŕī pieeja dažkārt ievērojami samazina izmeklÄ“Å”anas laiku, kas bieži vien ir kritiski.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Soļu skaits vai rekursijas dziļums, ar kādu grafiks tiks veidots

Pēc noklusējuma dziļums ir 3. Tas nozÄ«mē, ka no vēlamā elementa tiks atrasti visi tieÅ”i saistÄ«tie elementi, pēc tam no katra jaunā elementa tiks veidoti jauni savienojumi ar citiem elementiem, un jauni elementi tiks izveidoti no jaunajiem elementiem no pēdējā. solis.

Ņemsim piemēru, kas nav saistÄ«ts ar APT un 0-dienu izmantoÅ”anu. Nesen vietnē HabrĆ© tika aprakstÄ«ts interesants krāpÅ”anas gadÄ«jums saistÄ«bā ar kriptovalÅ«tām. Ziņojumā minēts domēns themcx[.]co, ko izmanto krāpnieki, lai mitinātu vietni, kas it kā ir Miner Coin Exchange, un tālruņa meklÄ“Å”anai[.]xyz, lai piesaistÄ«tu trafiku.

No apraksta ir skaidrs, ka shēmai ir nepiecieÅ”ama diezgan liela infrastruktÅ«ra, lai piesaistÄ«tu satiksmi krāpnieciskiem resursiem. Mēs nolēmām aplÅ«kot Å”o infrastruktÅ«ru, izveidojot grafiku 4 soļos. Rezultāts bija grafiks ar 230 domēniem un 39 IP adresēm. Tālāk mēs sadalām domēnus 2 kategorijās: tie, kas ir lÄ«dzÄ«gi pakalpojumiem darbam ar kriptovalÅ«tām, un tie, kas paredzēti trafika virzÄ«Å”anai, izmantojot tālruņa verifikācijas pakalpojumus:

Saistīts ar kriptovalūtu
SaistÄ«ts ar tālruņa caurumoÅ”anas pakalpojumiem

monētu glabātājs[.]cc
zvanītāja ieraksta[.]vietne.

mcxwallet[.]co
telefona ierakstu[.]telpa

btcnoise[.]com
fone-uncover[.]xyz

kriptomīner[.]pulkstenis
number-uncover[.]info

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

tīrīŔana

Pēc noklusējuma ir iespējota opcija ā€œGrafa tÄ«rÄ«Å”anaā€, un visi neatbilstoÅ”ie elementi tiks noņemti no diagrammas. Starp citu, tas tika izmantots visos iepriekŔējos piemēros. Es paredzu dabisku jautājumu: kā mēs varam nodroÅ”ināt, ka kaut kas svarÄ«gs netiek izdzēsts? Es atbildÄ“Å”u: analÄ«tiÄ·iem, kuriem patÄ«k ar roku veidot grafikus, var atspējot automātisko tÄ«rÄ«Å”anu un izvēlēties soļu skaitu = 1. Tālāk analÄ«tiÄ·is varēs pabeigt grafiku no viņam nepiecieÅ”amajiem elementiem un noņemt elementus no grafiki, kas nav saistÄ«ti ar uzdevumu.

Jau grafikā analÄ«tiÄ·im kļūst pieejama whois, DNS, kā arÄ« atvērto portu un tajos strādājoÅ”o pakalpojumu izmaiņu vēsture.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

FinanÅ”u pikŔķerÄ“Å”ana

IzpētÄ«jām vienas APT grupas darbÄ«bas, kas vairākus gadus veica pikŔķerÄ“Å”anas uzbrukumus dažādu banku klientiem dažādos reÄ£ionos. Å ai grupai raksturÄ«ga iezÄ«me bija Ä«stu banku nosaukumiem ļoti lÄ«dzÄ«gu domēnu reÄ£istrācija, un lielākajai daļai pikŔķerÄ“Å”anas vietņu dizains bija vienāds, atŔķirÄ«bas bija tikai banku nosaukumos un to logotipos.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu
Å ajā gadÄ«jumā automatizētā grafiku analÄ«ze mums ļoti palÄ«dzēja. Izmantojot vienu no viņu domēniem ā€” lloydsbnk-uk[.]com, dažu sekunžu laikā mēs izveidojām grafiku ar 3 pakāpju dziļumu, kas identificēja vairāk nekā 250 Ä¼aunprātÄ«gus domēnus, kurus Ŕī grupa izmantoja kopÅ” 2015. gada un turpina izmantot. . Dažus no Å”iem domēniem bankas jau ir iegādājuŔās, taču vēsturiskie ieraksti liecina, ka tie iepriekÅ” bijuÅ”i reÄ£istrēti uzbrucējiem.

Skaidrības labad attēlā parādīts grafiks ar 2 soļu dziļumu.

ZÄ«mÄ«gi, ka jau 2019. gadā uzbrucēji nedaudz mainÄ«ja savu taktiku un sāka reÄ£istrēt ne tikai banku domēnus tÄ«mekļa pikŔķerÄ“Å”anas mitināŔanai, bet arÄ« dažādu konsultāciju uzņēmumu domēnus pikŔķerÄ“Å”anas e-pastu sÅ«tÄ«Å”anai. Piemēram, domēni swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Kobalta banda

2018. gada decembrÄ« hakeru grupa Cobalt, kas specializējas mērÄ·tiecÄ«gos uzbrukumos bankām, Kazahstānas Nacionālās bankas vārdā izsÅ«tÄ«ja pasta kampaņu.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu
Vēstulēs bija saites uz hXXps://nationalbank.bz/Doc/Prikaz.doc. Lejupielādētajā dokumentā bija makro, kas palaida programmu Powershell, kas mēģinās ielādēt un izpildīt failu no hXXp://wateroilclub.com/file/dwm.exe failā %Temp%einmrmdmy.exe. Fails %Temp%einmrmdmy.exe jeb dwm.exe ir CobInt posms, kas konfigurēts mijiedarbībai ar serveri hXXp://admvmsopp.com/rilruietguadvtoefmuy.

Iedomājieties, ka nevarat saņemt Å”os pikŔķerÄ“Å”anas e-pasta ziņojumus un veikt pilnu ļaunprātÄ«go failu analÄ«zi. Ä»aunprātÄ«gā domēna nationalbank[.]bz grafikā nekavējoties tiek parādÄ«ti savienojumi ar citiem ļaunprātÄ«giem domēniem, tas tiek attiecināts uz grupu un parāda, kuri faili tika izmantoti uzbrukumā.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu
Ņemsim no Ŕīs diagrammas IP adresi 46.173.219[.]152 un izveidosim grafiku, izmantojot to vienā piegājienā, un izslēgsim tÄ«rÄ«Å”anu. Ar to ir saistÄ«ti 40 domēni, piemēram, bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
kriptoelips[.]com

Spriežot pēc domēna nosaukumiem, Ŕķiet, ka tie tiek izmantoti krāpnieciskās shēmās, taču tÄ«rÄ«Å”anas algoritms saprata, ka tie nav saistÄ«ti ar Å”o uzbrukumu, un neievietoja tos grafikā, kas ievērojami vienkārÅ”o analÄ«zes un attiecināŔanas procesu.

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu
Ja izveidosit grafiku no jauna, izmantojot nationalbank[.]bz, bet atspējojot grafika tÄ«rÄ«Å”anas algoritmu, tajā bÅ«s vairāk nekā 500 elementu, no kuriem lielākajai daļai nav nekāda sakara ar Cobalt grupu vai tās uzbrukumiem. Piemērs tam, kā izskatās Ŕāds grafiks, ir sniegts zemāk:

Jūsu izeja, grafiks: kā mēs neatradām labu tīkla grafiku un izveidojām savu

Secinājums

Pēc vairāku gadu precÄ«zas regulÄ“Å”anas, testÄ“Å”anas reālās izmeklÄ“Å”anās, draudu izpētes un uzbrucēju meklÄ“Å”anas mums izdevās ne tikai izveidot unikālu rÄ«ku, bet arÄ« mainÄ«t uzņēmuma ekspertu attieksmi pret to. Sākotnēji tehniskie eksperti vēlas pilnÄ«gu kontroli pār grafu veidoÅ”anas procesu. Pārliecināt viņus, ka automātiskā grafu veidoÅ”ana varētu to paveikt labāk nekā cilvēks ar daudzu gadu pieredzi, bija ārkārtÄ«gi grÅ«ti. Visu izŔķīra laiks un vairākas ā€œmanuālāsā€ diagrammas rezultātu pārbaudes. Tagad mÅ«su speciālisti ne tikai uzticas sistēmai, bet arÄ« izmanto tās iegÅ«tos rezultātus savā ikdienas darbā. Å Ä« tehnoloÄ£ija darbojas katrā mÅ«su sistēmā un ļauj mums labāk identificēt jebkura veida draudus. Interfeiss manuālai grafiku analÄ«zei ir iebÅ«vēts visos Group-IB produktos un ievērojami paplaÅ”ina kibernoziegumu meklÄ“Å”anas iespējas. To apstiprina mÅ«su klientu analÄ«tiÄ·u atsauksmes. Un mēs, savukārt, turpinām bagātināt grafiku ar datiem un strādāt pie jauniem algoritmiem, izmantojot mākslÄ«go intelektu, lai izveidotu visprecÄ«zāko tÄ«kla grafiku.

Avots: www.habr.com

Pievieno komentāru