Неискажливо привлечно: како создадовме саксија што не може да се открие

Антивирусни компании, експерти за информациска безбедност и едноставно ентузијасти ги ставаат системите honeypot на Интернет со цел да „фатат“ нова варијанта на вирусот или да идентификуваат необични хакерски тактики. Honeypots се толку чести што сајбер-криминалците развија еден вид имунитет: тие брзо идентификуваат дека се пред стапица и едноставно ја игнорираат. За да ги истражиме тактиките на модерните хакери, создадовме реалистичен хони-пот кој живееше на Интернет седум месеци, привлекувајќи различни напади. Разговаравме за тоа како се случи ова во нашата студија “Фатени на дело: Водење на реална фабрика Honeypot за фаќање на реални закани" Некои факти од студијата се во овој пост.

Развој на Honeypot: листа за проверка

Главната задача во создавањето на нашата суперзамка беше да не спречи да бидеме изложени од хакери кои покажаа интерес за неа. Ова бараше многу работа:

1. Создадете реална легенда за компанијата, вклучувајќи ги целосните имиња и фотографиите на вработените, телефонските броеви и е-поштата.
2. Да смислиме и имплементираме модел на индустриска инфраструктура што одговара на легендата за активностите на нашата компанија.
3. Одлучете кои мрежни услуги ќе бидат достапни однадвор, но не се занесувајте со отворање на ранливи порти за да не изгледа како стапица за пијавки.
4. Организирајте ја видливоста на протекување информации за ранлив систем и дистрибуирајте ги овие информации меѓу потенцијалните напаѓачи.
5. Спроведување на дискретно следење на хакерските активности во инфраструктурата на honeypot.

И сега прво прво.

Создавање легенда

Сајбер-криминалците веќе се навикнати да се сретнат со многу саксии, па најнапредниот дел од нив спроведува длабинска истрага за секој ранлив систем за да се увери дека тоа не е замка. Од истата причина, се обидовме да се осигураме дека саксијата не е реална само во поглед на дизајнот и техничките аспекти, туку и да создаде изглед на вистинска компанија.

Ставајќи се во кожата на хипотетички кул хакер, развивме алгоритам за верификација што ќе разликува вистински систем од стапица. Вклучуваше пребарување на IP адреси на компанијата во системите за репутација, обратно истражување во историјата на IP адресите, пребарување на имиња и клучни зборови поврзани со компанијата, како и нејзините договорни страни и многу други работи. Како резултат на тоа, легендата се покажа доста убедлива и привлечна.

Решивме да ја позиционираме фабриката за мамки како мал бутик за индустриски прототипови што работи за многу големи анонимни клиенти во воениот и воздухопловниот сегмент. Ова не ослободи од правните компликации поврзани со користење на постоечки бренд.

Следно моравме да смислиме визија, мисија и име за организацијата. Решивме нашата компанија да биде стартап со мал број вработени, од кои секој е основач. Ова додаде кредибилитет на приказната за специјализираната природа на нашиот бизнис, што му овозможува да се справи со чувствителни проекти за големи и важни клиенти. Сакавме нашата компанија да изгледа слаба од гледна точка на сајбер безбедноста, но во исто време беше очигледно дека работиме со важни средства на целните системи.

Слика од екранот на веб-страницата MeTech honeypot. Извор: Тренд Микро

Како име на компанијата го избравме зборот MeTech. Сајтот е направен врз основа на бесплатен шаблон. Сликите се направени од банките за фотографии, користејќи ги најнепопуларните и менувајќи ги за да бидат помалку препознатливи.

Сакавме компанијата да изгледа реално, па затоа требаше да додадеме вработени со професионални вештини кои одговараат на профилот на активноста. Смисливме имиња и личности за нив, а потоа се обидовме да избереме слики од фото-банки според етничката припадност.

Слика од екранот на веб-страницата MeTech honeypot. Извор: Тренд Микро

За да не бидеме откриени, баравме групни фотографии со добар квалитет од кои би можеле да ги избереме лицата што ни се потребни. Сепак, тогаш ја напуштивме оваа опција, бидејќи потенцијалниот хакер може да користи обратно пребарување на слики и да открие дека нашите „вработени“ живеат само во банки за фотографии. На крајот, користевме фотографии од непостоечки луѓе создадени со помош на невронски мрежи.

Профилите на вработените објавени на страницата содржеа важни информации за нивните технички вештини, но избегнавме да идентификуваме одредени училишта или градови.
За да креираме поштенски сандачиња, користевме сервер на давател на хостинг, а потоа изнајмивме неколку телефонски броеви во САД и ги комбиниравме во виртуелна PBX со гласовно мени и телефонска секретарка.

Honeypot инфраструктура

За да избегнеме изложеност, решивме да користиме комбинација од вистински индустриски хардвер, физички компјутери и безбедни виртуелни машини. Гледајќи напред, ќе кажеме дека го проверивме резултатот од нашите напори користејќи го пребарувачот Шодан и покажа дека саксијата изгледа како вистински индустриски систем.

Резултат од скенирање на саксии со помош на Shodan. Извор: Тренд Микро

Ние користевме четири PLC како хардвер за нашата стапица:

• Сименс С7-1200,
• два AllenBradley MicroLogix 1100,
• Омрон CP1L.

Овие PLC беа избрани поради нивната популарност на глобалниот пазар на системи за контрола. И секој од овие контролери користи свој протокол, кој ни овозможи да провериме кој од PLC-овите почесто ќе биде напаѓан и дали тие во принцип би заинтересирале некого.

Опрема на нашата „фабрика“-стапица. Извор: Тренд Микро

Не само што инсталиравме хардвер и го поврзавме на Интернет. Го програмиравме секој контролер да извршува задачи, вклучувајќи

• мешање,
• контрола на горилникот и транспортната лента,
• палетизирање со помош на роботски манипулатор.

И за да го направиме процесот на производство реален, ја програмиравме логиката за случајно менување на параметрите за повратни информации, симулирање на стартување и стопирање на моторите и вклучување и исклучување на горилниците.

Нашата фабрика имаше три виртуелни компјутери и еден физички. Виртуелните компјутери се користеле за контрола на фабрика, робот за палети и како работна станица за софтверски инженер на PLC. Физичкиот компјутер работеше како сервер за датотеки.

Покрај следењето на нападите на PLC, сакавме да го следиме статусот на програмите вчитани на нашите уреди. За да го направите ова, создадовме интерфејс кој ни овозможи брзо да одредиме како се менуваат состојбите на нашите виртуелни актуатори и инсталации. Веќе во фазата на планирање, откривме дека е многу полесно да се имплементира ова користејќи контролна програма отколку преку директно програмирање на логиката на контролорот. Отворивме пристап до интерфејсот за управување со уреди на нашиот Honeypot преку VNC без лозинка.

Индустриските роботи се клучна компонента на модерното паметно производство. Во овој поглед, решивме да додадеме робот и автоматизирано работно место за да го контролираме во опремата на нашата фабрика за стапици. За да ја направиме „фабриката“ пореална, инсталиравме вистински софтвер на контролната работна станица, кој инженерите го користат за графички да ја програмираат логиката на роботот. Па, бидејќи индустриските роботи обично се наоѓаат во изолирана внатрешна мрежа, решивме да оставиме незаштитен пристап преку VNC само на контролната работна станица.

RobotStudio околина со 3D модел на нашиот робот. Извор: Тренд Микро

Ја инсталиравме програмската средина RobotStudio од ABB Robotics на виртуелна машина со работна станица за контрола на роботи. Откако го конфигуриравме RobotStudio, отворивме датотека за симулација со нашиот робот во неа, така што неговата 3D слика беше видлива на екранот. Како резултат на тоа, Shodan и другите пребарувачи, по откривање на необезбеден VNC сервер, ќе ја зграпчат оваа слика на екранот и ќе им ја покажат на оние кои бараат индустриски роботи со отворен пристап до контрола.

Поентата на ова внимание на деталите беше да се создаде атрактивна и реална цел за напаѓачите кои, откако ќе ја пронајдат, повторно и повторно ќе се вратат на неа.

Инженерска работна станица

За програмирање на PLC логиката, додадовме инженерски компјутер во инфраструктурата. На него беше инсталиран индустриски софтвер за програмирање на PLC:

• Порталот ТИА за Сименс,
• MicroLogix за контролер Ален-Бредли,
• CX-One за Омрон.

Решивме дека инженерскиот работен простор нема да биде достапен надвор од мрежата. Наместо тоа, ја поставивме истата лозинка за администраторската сметка како на работната станица за контрола на роботот и на работната станица за фабричка контрола достапна од Интернет. Оваа конфигурација е доста честа појава во многу компании.
За жал, и покрај сите наши напори, ниту еден напаѓач не стигна до работната станица на инженерот.

Сервер за датотеки

Ни требаше како мамка за напаѓачите и како средство за поддршка на сопствената „работа“ во фабриката за мамки. Ова ни овозможи да споделуваме датотеки со нашиот Honeypot користејќи USB-уреди без да оставиме трага на мрежата honeypot. Инсталиравме Windows 7 Pro како оперативен систем за серверот за датотеки, во кој создадовме споделена папка што може да ја чита и пишува секој.

На почетокот не создадовме хиерархија на папки и документи на серверот за датотеки. Меѓутоа, подоцна откривме дека напаѓачите активно ја проучувале оваа папка, па решивме да ја пополниме со разни датотеки. За да го направите ова, напишавме скрипта за python која создаде датотека со случајна големина со една од дадените екстензии, формирајќи име врз основа на речникот.

Скрипта за генерирање атрактивни имиња на датотеки. Извор: Тренд Микро

По извршувањето на скриптата, го добивме посакуваниот резултат во форма на папка исполнета со датотеки со многу интересни имиња.

Резултатот од сценариото. Извор: Тренд Микро

Опкружување за следење

Откако потрошивме толку многу напор за создавање на реална компанија, едноставно не можевме да си дозволиме да потфрлиме на околината за следење на нашите „посетители“. Требаше да ги добиеме сите податоци во реално време без напаѓачите да сфатат дека се набљудувани.

Ова го имплементиравме користејќи четири адаптери за USB на етернет, четири SharkTap Ethernet славини, Raspberry Pi 3 и голем надворешен диск. Нашиот мрежен дијаграм изгледаше вака:

Honeypot мрежен дијаграм со опрема за следење. Извор: Тренд Микро

Поставивме три кранови SharkTap за да го следиме целиот надворешен сообраќај кон PLC, достапно само од внатрешната мрежа. Четвртиот SharkTap го следеше сообраќајот на гостите на ранлива виртуелна машина.

SharkTap Ethernet Tap и Sierra Wireless AirLink RV50 рутер. Извор: Тренд Микро

Raspberry Pi изврши секојдневно снимање на сообраќајот. Се поврзавме на Интернет користејќи мобилен рутер Sierra Wireless AirLink RV50, кој често се користи во индустриските претпријатија.

За жал, овој рутер не ни дозволи селективно да блокираме напади кои не одговараат на нашите планови, па додадовме заштитен ѕид Cisco ASA 5505 на мрежата во транспарентен режим за да извршиме блокирање со минимално влијание врз мрежата.

Анализа на сообраќајот

Tshark и tcpdump се соодветни за брзо решавање на тековните проблеми, но во нашиот случај нивните можности не беа доволни, бидејќи имавме многу гигабајти сообраќај, кои беа анализирани од неколку луѓе. Го користевме анализаторот со отворен код Moloch развиен од AOL. Тој е споредлив по функционалност со Wireshark, но има повеќе способности за соработка, опишување и означување на пакети, извоз и други задачи.

Бидејќи не сакавме да ги обработуваме собраните податоци на компјутерите со Honeypot, депонии PCAP секој ден се извезуваа во складиштето AWS, од каде што веќе ги увезувавме на машината Moloch.

Снимка на екранот

За да ги документираме дејствата на хакерите во нашиот Honeypot, напишавме скрипта што сними слики од екранот на виртуелната машина во даден интервал и, споредувајќи ја со претходната слика од екранот, утврди дали нешто се случува таму или не. Кога беше откриена активност, скриптата вклучуваше снимање на екранот. Овој пристап се покажа како најефикасен. Се обидовме и да го анализираме VNC сообраќајот од депонија PCAP за да разбереме какви промени се случиле во системот, но на крајот снимањето на екранот што го имплементиравме се покажа поедноставно и повизуелно.

Следење на VNC сесии

За ова користевме Chaosreader и VNCLogger. Двете услужни програми извлекуваат тастатурата од депонијата PCAP, но VNCLogger поправилно се справува со копчињата како Backspace, Enter, Ctrl.

VNCLogger има две недостатоци. Прво: може да извлече клучеви само со „слушање“ на сообраќајот на интерфејсот, па моравме да симулираме VNC сесија за него користејќи tcpreplay. Вториот недостаток на VNCLogger е вообичаен со Chaosreader: и двата не ја прикажуваат содржината на таблата со исечоци. За да го направам ова, морав да користам Wireshark.

Намамуваме хакери

Создадовме honeypot за да бидеме нападнати. За да го постигнеме ова, организиравме протекување информации за да го привлечеме вниманието на потенцијалните напаѓачи. Следниве порти беа отворени на honeypot:

Пристаништето RDP мораше да се затвори набргу откако влеговме во живо бидејќи огромниот број на сообраќај за скенирање на нашата мрежа предизвикува проблеми со перформансите.
Терминалите VNC прво работеа во режим само за преглед без лозинка, а потоа „по грешка“ ги префрливме во режим на целосен пристап.

За да привлечеме напаѓачи, објавивме две објави со протечени информации за достапниот индустриски систем на PasteBin.

Еден од објавите објавени на PasteBin за привлекување напади. Извор: Тренд Микро

Напади

Honeypot живееше на интернет околу седум месеци. Првиот напад се случи еден месец откако honeypot се појави на интернет.

Скенери

Имаше многу сообраќај од скенери на познати компании - ip-ip, Rapid, Shadow Server, Shodan, ZoomEye и други. Имаше толку многу што моравме да ги исклучиме нивните IP адреси од анализата: 610 од 9452 или 6,45% од сите единствени IP адреси припаѓаа на целосно легитимни скенери.

Измамници

Еден од најголемите ризици со кои се соочивме е употребата на нашиот систем за криминални цели: купување паметни телефони преку сметка на претплатник, наплата на милји од авиокомпанија со помош на картички за подарок и други видови измами.

Рудари

Еден од првите посетители на нашиот систем се покажа дека е рудар. Тој го симнал софтверот за рударство Monero на него. Тој немаше да може да заработи многу пари на нашиот конкретен систем поради ниската продуктивност. Меѓутоа, ако ги комбинираме напорите на неколку десетици, па дури и стотици такви системи, тоа би можело да испадне доста добро.

Ransomware

За време на работата на honeypot, двапати наидовме на вистински ransomware вируси. Во првиот случај тоа беше Crysis. Неговите оператори се најавија во системот преку VNC, но потоа го инсталираа TeamViewer и го користеа за извршување на понатамошни дејства. Откако ја чекавме пораката за изнуда со која се бара откуп од 10 долари во БТК, влеговме во кореспонденција со криминалците, барајќи од нив да ни дешифрираат една од датотеките. Тие го исполнија барањето и го повторија барањето за откуп. Успеавме да преговараме до 6 илјади долари, по што едноставно повторно го поставивме системот на виртуелна машина, бидејќи ги добивме сите потребни информации.

Се покажа дека вториот откупен софтвер е Фобос. Хакерот кој го инсталирал поминал еден час прелистувајќи го датотечен систем honeypot и скенирајќи ја мрежата, а потоа конечно го инсталирал откупниот софтвер.
Третиот напад со откупнина се покажа дека е лажен. Непознат „хакер“ ја презеде датотеката haha.bat на нашиот систем, по што извесно време гледавме како тој се обидува да ја натера да работи. Еден од обидите беше да се преименува haha.bat во haha.rnsmwr.

„Хакерот“ ја зголемува штетноста на датотеката bat со менување на нејзината екстензија во .rnsmwr. Извор: Тренд Микро

Кога сериската датотека конечно почна да работи, „хакерот“ ја уреди, зголемувајќи го откупот од 200 на 750 долари. После тоа, тој ги „шифрираше“ сите датотеки, остави порака за изнуда на работната површина и исчезна, менувајќи ги лозинките на нашиот VNC.

Неколку дена подоцна, хакерот се врати и, за да се потсети, лансираше серија датотека што отвори многу прозорци со порно-страница. Очигледно, на овој начин се обидел да привлече внимание на своето барање.

Резултатите од

Во текот на студијата, се покажа дека веднаш штом беа објавени информациите за ранливоста, honeypot привлече внимание, а активноста расте од ден на ден. За да може стапицата да привлече внимание, нашата фиктивна компанија мораше да претрпи повеќекратни безбедносни прекршувања. За жал, оваа ситуација е далеку од невообичаена кај многу реални компании кои немаат вработени во ИТ и информациска безбедност со полно работно време.

Генерално, организациите треба да го користат принципот на најмала привилегија, додека ние го имплементиравме токму спротивното од него за да привлечеме напаѓачи. И колку подолго ги гледавме нападите, тие стануваа пософистицирани во споредба со стандардните методи за тестирање на пенетрација.

И што е најважно, сите овие напади би биле неуспешни доколку се спроведат соодветни безбедносни мерки при поставувањето на мрежата. Организациите мора да се погрижат нивната опрема и компонентите на индустриската инфраструктура да не се достапни од Интернет, како што конкретно направивме во нашата стапица.

Иако не сме снимиле ниту еден напад на работната станица на инженерот, и покрај употребата на истата локална администраторска лозинка на сите компјутери, оваа практика треба да се избегнува за да се минимизира можноста за упади. На крајот на краиштата, слабата безбедност служи како дополнителна покана за напад на индустриски системи, кои долго време беа интересни за сајбер-криминалците.

Извор: www.habr.com