Истражувајќи ги случаите поврзани со фишинг, ботнети, лажни трансакции и криминални хакерски групи, експертите на Group-IB користат анализа на графикони долги години за да идентификуваат различни видови врски. Различни случаи имаат свои множества на податоци, свои алгоритми за идентификување на врски и интерфејси прилагодени за специфични задачи. Сите овие алатки беа внатрешно развиени од Group-IB и беа достапни само за нашите вработени.

Анализа на графикони на мрежната инфраструктура (мрежен график) стана првата внатрешна алатка што ја вградивме во сите јавни производи на компанијата. Пред да го креираме нашиот мрежен график, анализиравме многу слични случувања на пазарот и не најдовме ниту еден производ што ги задоволува нашите сопствени потреби. Во оваа статија ќе зборуваме за тоа како го создадовме мрежниот график, како го користиме и со какви потешкотии наидовме.

Дмитриј Волков, CTO Group-IB и шеф на сајбер разузнавањето

Што може да направи графикот на мрежата Group-IB?

Истраги

Од основањето на Group-IB во 2003 година до денес, идентификувањето, обезгласувањето и изведувањето на сајбер-криминалците пред лицето на правдата е главен приоритет во нашата работа. Ниту една истрага за сајбер напад не беше завршена без да се анализира мрежната инфраструктура на напаѓачите. На самиот почеток на нашето патување, беше прилично макотрпна „рачна работа“ да бараме врски што би можеле да помогнат во идентификувањето на криминалците: информации за имиња на домени, IP адреси, дигитални отпечатоци од сервери итн.

Повеќето напаѓачи се обидуваат да дејствуваат што е можно поанонимно на мрежата. Сепак, како и сите луѓе, тие прават грешки. Главната цел на ваквата анализа е да се пронајдат „бели“ или „сиви“ историски проекти на напаѓачите кои имаат раскрсници со злонамерната инфраструктура користена во тековниот инцидент што го истражуваме. Ако е можно да се откријат „бели проекти“, тогаш наоѓањето на напаѓачот, по правило, станува тривијална задача. Во случај на „сиви“, пребарувањето бара повеќе време и напор, бидејќи нивните сопственици се обидуваат да ги анонимизираат или сокријат податоците за регистрација, но шансите остануваат доста високи. Како по правило, на почетокот на нивните криминални активности, напаѓачите посветуваат помалку внимание на сопствената безбедност и прават повеќе грешки, па колку подлабоко можеме да нурнеме во приказната, толку се поголеми шансите за успешна истрага. Затоа мрежен график со добра историја е исклучително важен елемент на таквото истражување. Едноставно кажано, колку подлабоки историски податоци има една компанија, толку е подобар нејзиниот график. Да речеме дека 5-годишната историја може да помогне во решавањето, условно, 1-2 од 10 злосторства, а 15-годишната историја дава шанса да се решат сите десет.

Фишинг и откривање измами

Секој пат кога ќе добиеме сомнителна врска до фишинг, лажен или пиратски ресурс, ние автоматски создаваме график на поврзаните мрежни ресурси и ги проверуваме сите пронајдени хостови за слична содржина. Ова ви овозможува да ги најдете и старите страници за фишинг кои биле активни, но непознати, како и целосно нови кои се подготвени за идни напади, но сè уште не се користат. Елементарен пример што се јавува доста често: најдовме фишинг-страница на сервер со само 5 локации. Со проверка на секоја од нив, наоѓаме фишинг содржина на други сајтови, што значи дека можеме да блокираме 5 наместо 1.

Пребарајте задни делови

Овој процес е неопходен за да се утврди каде всушност се наоѓа малициозниот сервер.
99% од продавниците за картички, хакерските форуми, многу ресурси за фишинг и други малициозни сервери се скриени и зад нивните сопствени прокси-сервери и позади прокси-серверите на легитимните услуги, на пример, Cloudflare. Знаењето за вистинскиот заднина е многу важно за истраги: провајдерот на хостинг од кој може да се одземе серверот станува познат и станува возможно да се градат врски со други злонамерни проекти.

На пример, имате фишинг-страница за собирање податоци од банкарска картичка што се решава на IP адресата 11.11.11.11 и адреса на продавница за картички што се решава на IP адресата 22.22.22.22. За време на анализата, може да испадне дека и страницата за фишинг и продавницата за картички имаат заедничка IP адреса, на пример, 33.33.33.33. Ова знаење ни овозможува да изградиме врска помеѓу нападите на фишинг и продавницата за картички каде што може да се продаваат податоци од банкарски картички.

Корелација на настанот

Кога имате два различни предизвикувачи (да речеме на IDS) со различен малициозен софтвер и различни сервери за контрола на нападот, ќе ги третирате како два независни настани. Но, ако постои добра врска помеѓу малициозните инфраструктури, тогаш станува очигледно дека тоа не се различни напади, туку фази на еден, покомплексен повеќестепен напад. И ако еден од настаните веќе се припишува на која било група напаѓачи, тогаш вториот исто така може да се припише на истата група. Се разбира, процесот на припишување е многу покомплексен, затоа третирајте го ова како едноставен пример.

Збогатување на индикаторот

Нема да обрнуваме многу внимание на ова, бидејќи ова е најчестото сценарио за користење на графикони во сајбер-безбедноста: давате еден индикатор како влез, а како излез добивате низа поврзани индикатори.

Идентификување на обрасци

Идентификувањето на обрасците е од суштинско значење за ефективен лов. Графиконите ви овозможуваат не само да пронајдете поврзани елементи, туку и да идентификувате заеднички својства кои се карактеристични за одредена група хакери. Познавањето на таквите уникатни карактеристики ви овозможува да ја препознаете инфраструктурата на напаѓачот дури и во фазата на подготовка и без докази што го потврдуваат нападот, како што се е-пошта за фишинг или малициозен софтвер.

Зошто создадовме сопствен мрежен графикон?

Повторно, разгледавме решенија од различни продавачи пред да дојдеме до заклучок дека треба да развиеме сопствена алатка која може да направи нешто што ниту еден постоечки производ не може да го направи. Беа потребни неколку години за да се создаде, при што целосно го менувавме неколку пати. Но, и покрај долгиот развојен период, сè уште не најдовме ниту еден аналог што би ги задоволил нашите барања. Користејќи го нашиот сопствен производ, на крајот успеавме да ги решиме речиси сите проблеми што ги откривме во постоечките мрежни графикони. Подолу ќе ги разгледаме овие проблеми подетално:

проблем
Решение

Недостаток на провајдер со различни збирки на податоци: домени, пасивен DNS, пасивен SSL, записи DNS, отворени порти, работи на услуги на порти, датотеки во интеракција со имиња на домени и IP адреси. Објаснување. Вообичаено, провајдерите обезбедуваат посебни типови на податоци, а за да ја добиете целосната слика, треба да купите претплати од сите. И покрај тоа, не е секогаш можно да се добијат сите податоци: некои пасивни SSL провајдери обезбедуваат податоци само за сертификати издадени од доверливи CA, а нивната покриеност со самопотпишаните сертификати е исклучително слаба. Други, исто така, обезбедуваат податоци користејќи самопотпишани сертификати, но ги собираат само од стандардни порти.
Сами ги собравме сите горенаведени колекции. На пример, за собирање податоци за SSL сертификатите, напишавме наша сопствена услуга која ги собира и од доверливи CA и со скенирање на целиот простор на IPv4. Сертификатите беа собрани не само од IP, туку и од сите домени и поддомени од нашата база на податоци: ако го имате доменот example.com и неговиот поддомен www.example.com и сите тие се решаваат на IP 1.1.1.1, тогаш кога ќе се обидете да добиете SSL сертификат од портата 443 на IP, домен и неговиот поддомен, можете да добиете три различни резултати. За да собираме податоци за отворените порти и услугите што работат, моравме да создадеме сопствен дистрибуиран систем за скенирање, бидејќи другите услуги често ги имаа IP-адресите на нивните сервери за скенирање на „црните листи“. Нашите сервери за скенирање исто така завршуваат на црните листи, но резултатот од откривањето на услугите што ни се потребни е повисок од оној на оние кои едноставно скенираат што е можно повеќе порти и продаваат пристап до овие податоци.

Недостаток на пристап до целата база на историски записи. Објаснување. Секој нормален добавувач има добра акумулирана историја, но од природни причини ние како клиент не можевме да добиеме пристап до сите историски податоци. Оние. Можете да ја добиете целата историја за еден запис, на пример, по домен или IP адреса, но не можете да ја видите историјата на сè - и без ова не можете да ја видите целосната слика.
За да собереме што е можно повеќе историски записи за домени, купивме различни бази на податоци, анализиравме многу отворени ресурси што ја имаа оваа историја (добро е што имаше многу од нив) и преговаравме со регистратори на имиња на домени. Сите ажурирања на нашите сопствени колекции се разбира се чуваат со целосна историја на ревизии.

Сите постоечки решенија ви дозволуваат рачно да изградите график. Објаснување. Да речеме дека сте купиле многу претплати од сите можни даватели на податоци (обично наречени „збогатувачи“). Кога треба да изградите график, вие „рацете“ ја давате командата да се изгради од саканиот елемент за поврзување, потоа ги избирате потребните од елементите што се појавуваат и ја давате командата за завршување на врските од нив итн. Во овој случај, одговорноста за тоа колку добро ќе биде конструиран графикот лежи целосно на личноста.
Направивме автоматска конструкција на графикони. Оние. ако треба да изградите график, тогаш врските од првиот елемент се градат автоматски, а потоа и од сите наредни. Специјалистот само ја означува длабочината на која треба да се изгради графикот. Процесот на автоматско пополнување на графиконите е едноставен, но другите продавачи не го имплементираат затоа што произведува огромен број на неважни резултати, а ние исто така моравме да го земеме предвид овој недостаток (види подолу).

Многу ирелевантни резултати се проблем со сите графикони на мрежни елементи. Објаснување. На пример, „лош домен“ (учествувал во напад) е поврзан со сервер кој има 10 други домени поврзани со него во последните 500 години. При рачно додавање или автоматско конструирање график, сите овие 500 домени исто така треба да се појават на графикот, иако тие не се поврзани со нападот. Или, на пример, го проверувате индикаторот IP од безбедносниот извештај на продавачот. Вообичаено, таквите извештаи се објавуваат со значително задоцнување и често се протегаат од една година или повеќе. Најверојатно, во моментот кога ќе го прочитате извештајот, серверот со оваа IP адреса е веќе изнајмен на други луѓе со други врски, а градењето график повторно ќе резултира со неважни резултати.
Го обучивме системот да идентификува ирелевантни елементи користејќи ја истата логика како што направија нашите експерти рачно. На пример, проверувате лош домен example.com, кој сега се решава на IP 11.11.11.11, а пред еден месец - на IP 22.22.22.22. Покрај доменот example.com, IP 11.11.11.11 е поврзан и со example.ru, а IP 22.22.22.22 е поврзан со 25 илјади други домени. Системот, како личност, разбира дека 11.11.11.11 е најверојатно посветен сервер, и бидејќи доменот example.ru е сличен во правописот на example.com, тогаш, со голема веројатност, тие се поврзани и треба да бидат на графикон; но IP 22.22.22.22 припаѓа на споделениот хостинг, така што сите негови домени не треба да бидат вклучени во графиконот, освен ако има други врски што покажуваат дека треба да се вклучи и еден од овие 25 илјади домени (на пример, пример.нет) . Пред системот да разбере дека врските треба да се прекинат и некои елементи да не се преместат на графикот, тој зема предвид многу својства на елементите и кластерите во кои се комбинираат овие елементи, како и јачината на тековните врски. На пример, ако имаме мал кластер (50 елементи) на графикот, кој вклучува лош домен, и друг голем кластер (5 илјади елементи) и двата кластери се поврзани со врска (линија) со многу мала јачина (тежина) , тогаш таквата врска ќе се прекине и елементите од големиот кластер ќе бидат отстранети. Но, ако има многу врски помеѓу малите и големите кластери и нивната сила постепено се зголемува, тогаш во овој случај врската нема да се прекине и потребните елементи од двата кластери ќе останат на графиконот.

Интервалот на сопственост на серверот и доменот не се зема предвид. Објаснување. „Лошите домени“ порано или подоцна ќе истечат и ќе бидат купени повторно за злонамерни или легитимни цели. Дури и хостинг серверите отпорни на куршуми се изнајмуваат на различни хакери, па затоа е критично да се знае и да се земе предвид интервалот кога одреден домен/сервер бил под контрола на еден сопственик. Често се среќаваме со ситуација кога серверот со IP 11.11.11.11 сега се користи како C&C за банкарски бот, а пред 2 месеци бил контролиран од Ransomware. Ако изградиме врска без да ги земеме предвид интервалите на сопственост, ќе изгледа како да постои врска помеѓу сопствениците на банкарскиот ботнет и откупниот софтвер, иако всушност нема. Во нашата работа, таквата грешка е критична.
Го научивме системот да одредува интервали на сопственост. За домени ова е релативно едноставно, бидејќи whois често содржи датуми за почеток и истекување на регистрацијата и, кога има целосна историја на промени на whois, лесно е да се одредат интервалите. Кога регистрацијата на доменот не е истечена, но неговото управување е префрлено на други сопственици, тој исто така може да се следи. За SSL сертификатите нема таков проблем, бидејќи тие се издаваат еднаш и не се обновуваат или пренесуваат. Но, со самопотпишаните сертификати, не можете да им верувате на датумите наведени во периодот на важност на сертификатот, бидејќи можете да генерирате SSL сертификат денес и да го одредите датумот на започнување на сертификатот од 2010 година. Најтешко е да се одредат интервалите на сопственост за серверите, бидејќи само хостинг провајдерите имаат датуми и периоди на изнајмување. За да го одредиме периодот на сопственост на серверот, почнавме да ги користиме резултатите од скенирањето на портите и создавањето отпечатоци од тековните услуги на пристаништата. Користејќи ги овие информации, можеме прилично точно да кажеме кога се смени сопственикот на серверот.

Малку врски. Објаснување. Во денешно време, дури и не е проблем да се добие бесплатна листа на домени чии whois содржи одредена адреса за е-пошта, или да ги дознаете сите домени кои биле поврзани со одредена IP адреса. Но, кога станува збор за хакери кои даваат се од себе за да биде тешко да се следи, потребни ни се дополнителни трикови за да пронајдеме нови својства и да изградиме нови врски.
Потрошивме многу време истражувајќи како можеме да извлечеме податоци што не беа достапни на конвенционален начин. Овде не можеме да опишеме како функционира од очигледни причини, но под одредени околности, хакерите, кога регистрираат домени или изнајмуваат и поставуваат сервери, прават грешки што им овозможуваат да дознаат адреси на е-пошта, хакерски псевдоними и адреси на заднината. Колку повеќе врски извлекувате, толку попрецизни графикони можете да изградите.

Како функционира нашиот график

За да започнете да го користите мрежниот график, треба да ги внесете доменот, IP адресата, е-поштата или отпечатокот од прст од SSL сертификатот во лентата за пребарување. Постојат три услови кои аналитичарот може да ги контролира: време, длабочина на чекорот и расчистување.

Време

Време – датум или интервал кога бараниот елемент бил користен за злонамерни цели. Ако не го наведете овој параметар, самиот систем ќе го одреди последниот интервал на сопственост за овој ресурс. На пример, на 11 јули, Eset објави извештај за тоа како Buhtrap ја користи 0-дневната експлоатација за сајбер шпионажа. На крајот од извештајот има 6 индикатори. Еден од нив, safe-telemetry[.]net, беше пререгистриран на 16 јули. Затоа, ако изградите графикон по 16 јули, ќе добиете неважни резултати. Но, ако наведете дека овој домен бил користен пред овој датум, тогаш графикот вклучува 126 нови домени, 69 IP адреси кои не се наведени во извештајот на Eset:

• ukrfreshnews[.]com
• unian-search[.]com
• vesti-world[.]информации
• runewsmeta[.]com
• foxnewsmeta[.]biz
• собеседник-мета[.]инфо
• ријан-уа[.]нето
• итн

Покрај мрежните индикатори, веднаш наоѓаме врски со малициозни датотеки кои имале врски со оваа инфраструктура и ознаки кои ни кажуваат дека се користени Meterpreter и AZORult.

Одлично е што го добивате овој резултат во рок од една секунда и повеќе нема потреба да поминувате денови за анализа на податоците. Се разбира, овој пристап понекогаш значително го намалува времето за истраги, што често е критично.

Бројот на чекори или длабочината на рекурзијата со која ќе се изгради графикот

Стандардно, длабочината е 3. Тоа значи дека сите директно поврзани елементи ќе се најдат од саканиот елемент, потоа ќе се градат нови врски од секој нов елемент до други елементи и ќе се создадат нови елементи од новите елементи од последниот чекор.

Да земеме пример кој не е поврзан со APT и 0-дневните експлоатирања. Неодамна, на Хабре беше опишан интересен случај на измама поврзана со криптовалути. Извештајот го спомнува доменот themcx[.]co, кој го користат измамниците за да хостираат веб-локација што се претендира да биде Размена на монети на Miner и телефонски пребарување[.]xyz за привлекување сообраќај.

Од описот е јасно дека шемата бара прилично голема инфраструктура за да привлече сообраќај кон измамнички ресурси. Решивме да ја разгледаме оваа инфраструктура со градење график во 4 чекори. Излезот беше график со 230 домени и 39 IP адреси. Следно, ги делиме домените во 2 категории: оние кои се слични на услугите за работа со криптовалути и оние кои се наменети да го поттикнат сообраќајот преку услугите за проверка на телефонот:

Поврзани со криптовалути
Поврзано со услуги за удирање телефони

монети[.]cc
повикувач-евиденција[.]сајт.

mcxwallet[.]co
телефон-записи[.]простор

btcnoise[.]com
fone-открива[.]xyz

cryptominer[.] часовник
број-откривање[.]информации

Чистење

Стандардно, опцијата „Cleanup“ е овозможена и сите ирелевантни елементи ќе бидат отстранети од графикот. Патем, се користеше во сите претходни примери. Предвидувам природно прашање: како да се осигураме дека нешто важно не е избришано? Ќе одговорам: за аналитичарите кои сакаат рачно да градат графикони, автоматското чистење може да се оневозможи и да се избере бројот на чекори = 1. Следно, аналитичарот ќе може да го комплетира графикот од елементите што му се потребни и да ги отстрани елементите од графикот кои се ирелевантни за задачата.

Веќе на графиконот, историјата на промените во whois, DNS, како и отворените порти и услугите што работат на нив станува достапна за аналитичарот.

Финансиски фишинг

Ги истражувавме активностите на една група APT, која неколку години вршеше фишинг напади врз клиенти на различни банки во различни региони. Карактеристична карактеристика на оваа група беше регистрацијата на домени многу слични на имињата на вистинските банки, а повеќето од фишинг-страниците имаа ист дизајн, а единствените разлики беа во имињата на банките и нивните логоа.

Во овој случај, автоматизираната анализа на графикони ни помогна многу. Преземајќи еден од нивните домени - lloydsbnk-uk[.]com, за неколку секунди изградивме график со длабочина од 3 чекори, кој идентификуваше повеќе од 250 малициозни домени кои се користат од оваа група од 2015 година и продолжуваат да се користат. . Некои од овие домени веќе се купени од банките, но историските записи покажуваат дека тие претходно биле регистрирани на напаѓачите.

За јасност, сликата покажува график со длабочина од 2 чекори.

Вреди да се одбележи дека веќе во 2019 година, напаѓачите донекаде ја сменија тактиката и почнаа да ги регистрираат не само домените на банките за хостирање на веб-фишинг, туку и домените на различни консултантски компании за испраќање фишинг-мејлови. На пример, домените swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

Кобалт банда

Во декември 2018 година, хакерската група Кобалт, специјализирана за насочени напади врз банки, испрати кампања за пошта во име на Народната банка на Казахстан.

Писмата содржеа линкови до hXXps://nationalbank.bz/Doc/Prikaz.doc. Преземениот документ содржеше макро што го стартуваше Powershell, кое ќе се обиде да ја вчита и изврши датотеката од hXXp://wateroilclub.com/file/dwm.exe во %Temp%einmrmdmy.exe. Датотеката %Temp%einmrmdmy.exe или dwm.exe е стејџер на CobInt конфигуриран да комуницира со серверот hXXp://admvmsopp.com/rilruietguadvtoefmuy.

Замислете да не можете да ги добивате овие е-пораки за фишинг и да извршите целосна анализа на малициозните датотеки. Графиконот за малициозниот домен Nationalbank[.]bz веднаш покажува врски со други малициозни домени, го припишува на група и покажува кои датотеки се користени во нападот.

Ајде да ја земеме IP-адресата 46.173.219[.]152 од овој график и да изградиме график од него во едно поминување и да го исклучиме чистењето. Има 40 домени поврзани со него, на пример, bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

Судејќи според имињата на домени, се чини дека тие се користат во измамнички шеми, но алгоритмот за чистење сфатил дека тие не се поврзани со овој напад и не ги ставил на графиконот, што во голема мера го поедноставува процесот на анализа и припишување.

Ако повторно го изградите графикот користејќи Nationalbank[.]bz, но го оневозможите алгоритмот за чистење графикони, тогаш тој ќе содржи повеќе од 500 елементи, од кои повеќето немаат врска со групата Кобалт или нивните напади. Пример за тоа како изгледа таков график е даден подолу:

Заклучок

По неколку години фино подесување, тестирање во вистински истраги, истражување на закани и лов на напаѓачи, успеавме не само да создадеме единствена алатка, туку и да го промениме односот на експертите во компанијата кон неа. Првично, техничките експерти сакаат целосна контрола врз процесот на градење графикони. Убедувањето дека автоматската конструкција на графикони може да го направи тоа подобро од личност со долгогодишно искуство беше исклучително тешко. Сè беше одлучено со времето и повеќекратните „рачни“ проверки на резултатите од она што го произведе графикот. Сега нашите експерти не само што му веруваат на системот, туку и ги користат резултатите што ги добива во нивната секојдневна работа. Оваа технологија работи во секој наш систем и ни овозможува подобро да ги идентификуваме заканите од секаков тип. Интерфејсот за рачна анализа на графикони е вграден во сите производи на Group-IB и значително ги проширува можностите за лов на компјутерски криминал. Ова е потврдено од прегледите на аналитичарите од нашите клиенти. А ние, пак, продолжуваме да го збогатуваме графикот со податоци и работиме на нови алгоритми користејќи вештачка интелигенција за да создадеме најточен мрежен графикон.

Извор: www.habr.com