स्पष्टपणे आकर्षक: आम्ही एक हनीपॉट कसा तयार केला जो उघड होऊ शकत नाही

अँटीव्हायरस कंपन्या, माहिती सुरक्षा तज्ञ आणि फक्त उत्साही व्हायरसचे नवीन प्रकार "पकडण्यासाठी" किंवा असामान्य हॅकर युक्त्या ओळखण्यासाठी इंटरनेटवर हनीपॉट सिस्टम ठेवतात. हनीपॉट्स इतके सामान्य आहेत की सायबर गुन्हेगारांनी एक प्रकारची प्रतिकारशक्ती विकसित केली आहे: ते पटकन ओळखतात की ते सापळ्यासमोर आहेत आणि त्याकडे दुर्लक्ष करतात. आधुनिक हॅकर्सचे डावपेच एक्सप्लोर करण्यासाठी, आम्ही एक वास्तववादी हनीपॉट तयार केला जो इंटरनेटवर सात महिने जगला आणि विविध प्रकारचे हल्ले आकर्षित केले. आमच्या अभ्यासात हे कसे घडले याबद्दल आम्ही बोललो.कायद्यात पकडले गेले: वास्तविक धोके पकडण्यासाठी वास्तववादी कारखाना हनीपॉट चालवणे" अभ्यासातील काही तथ्ये या पोस्टमध्ये आहेत.

हनीपॉट डेव्हलपमेंट: चेकलिस्ट

आमचा सुपरट्रॅप तयार करण्याचे मुख्य कार्य म्हणजे त्यात रस दाखवणार्‍या हॅकर्सद्वारे आम्हाला उघड होण्यापासून रोखणे. यासाठी खूप काम करावे लागेल:

1. कर्मचार्‍यांची संपूर्ण नावे आणि फोटो, फोन नंबर आणि ईमेलसह कंपनीबद्दल एक वास्तववादी दंतकथा तयार करा.
2. आमच्या कंपनीच्या क्रियाकलापांबद्दलच्या दंतकथेशी सुसंगत औद्योगिक पायाभूत सुविधांचे मॉडेल आणण्यासाठी आणि अंमलात आणण्यासाठी.
3. कोणती नेटवर्क सेवा बाहेरून प्रवेशयोग्य असेल ते ठरवा, परंतु असुरक्षित पोर्ट उघडण्यापासून दूर जाऊ नका जेणेकरून ते शोषकांसाठी सापळ्यासारखे दिसू नये.
4. असुरक्षित प्रणालीबद्दल माहिती लीक होण्याची दृश्यमानता आयोजित करा आणि संभाव्य हल्लेखोरांमध्ये ही माहिती वितरित करा.
5. हनीपॉट इन्फ्रास्ट्रक्चरमध्ये हॅकर क्रियाकलापांचे विवेकपूर्ण निरीक्षण लागू करा.

आणि आता प्रथम गोष्टी प्रथम.

एक आख्यायिका तयार करणे

सायबर क्रिमिनल्सना आधीच अनेक हनीपॉट्सचा सामना करण्यासाठी वापरण्यात आले आहे, म्हणून त्यांचा सर्वात प्रगत भाग प्रत्येक असुरक्षित प्रणालीचा सखोल तपास करतो हे सुनिश्चित करण्यासाठी की ते सापळा नाही. त्याच कारणास्तव, आम्ही हे सुनिश्चित करण्याचा प्रयत्न केला की हनीपॉट केवळ डिझाइन आणि तांत्रिक बाबींच्या बाबतीत वास्तववादी नाही तर वास्तविक कंपनीचे स्वरूप देखील तयार करेल.

स्वतःला काल्पनिक कूल हॅकरच्या शूजमध्ये ठेवून, आम्ही एक पडताळणी अल्गोरिदम विकसित केला आहे जो सापळ्यापासून वास्तविक प्रणाली वेगळे करेल. त्यामध्ये प्रतिष्ठा प्रणालींमध्ये कंपनीचे IP पत्ते शोधणे, IP पत्त्यांच्या इतिहासात उलट संशोधन करणे, कंपनीशी संबंधित नावे आणि कीवर्ड शोधणे, तसेच त्याचे प्रतिपक्ष आणि इतर अनेक गोष्टींचा समावेश आहे. परिणामी, आख्यायिका जोरदार खात्रीशीर आणि आकर्षक बनली.

लष्करी आणि विमानचालन विभागातील खूप मोठ्या अनामिक क्लायंटसाठी काम करणारी एक लहान औद्योगिक प्रोटोटाइपिंग बुटीक म्हणून डिकोय फॅक्टरी ठेवण्याचे आम्ही ठरवले. यामुळे विद्यमान ब्रँड वापरण्याशी संबंधित कायदेशीर गुंतागुंतीपासून आमची सुटका झाली.

पुढे आम्हाला संस्थेचे व्हिजन, ध्येय आणि नाव समोर आणायचे होते. आम्ही ठरवले की आमची कंपनी काही कमी कर्मचाऱ्यांसह स्टार्टअप असेल, ज्यापैकी प्रत्येकजण संस्थापक आहे. यामुळे आमच्या व्यवसायाच्या विशिष्ट स्वरूपाच्या कथेमध्ये विश्वासार्हता जोडली गेली, ज्यामुळे मोठ्या आणि महत्त्वाच्या ग्राहकांसाठी संवेदनशील प्रकल्प हाताळता येतात. आमची कंपनी सायबरसुरक्षा दृष्टीकोनातून कमकुवत दिसावी अशी आमची इच्छा होती, परंतु त्याच वेळी आम्ही लक्ष्य प्रणालीवर महत्त्वाच्या मालमत्तेसह काम करत आहोत हे स्पष्ट होते.

MeTech honeypot वेबसाइटचा स्क्रीनशॉट. स्रोत: ट्रेंड मायक्रो

कंपनीचे नाव म्हणून आम्ही MeTech हा शब्द निवडला. साइट विनामूल्य टेम्पलेटवर आधारित बनविली गेली. सर्वात लोकप्रिय नसलेल्यांचा वापर करून आणि त्यांना कमी ओळखण्यायोग्य बनवण्यासाठी त्या सुधारित करून, फोटो बँकांमधून प्रतिमा घेतल्या गेल्या.

आम्हाला कंपनी वास्तविक दिसावी अशी आमची इच्छा आहे, म्हणून आम्हाला क्रियाकलापांच्या प्रोफाइलशी जुळणारे व्यावसायिक कौशल्य असलेले कर्मचारी जोडणे आवश्यक आहे. आम्ही त्यांच्यासाठी नावे आणि व्यक्तिमत्त्वे घेऊन आलो आणि नंतर वांशिकतेनुसार फोटो बँकांमधून प्रतिमा निवडण्याचा प्रयत्न केला.

MeTech honeypot वेबसाइटचा स्क्रीनशॉट. स्रोत: ट्रेंड मायक्रो

शोधले जाऊ नये म्हणून, आम्ही चांगल्या गुणवत्तेचे गट फोटो शोधले ज्यातून आम्हाला आवश्यक असलेले चेहरे निवडता येतील. तथापि, आम्ही नंतर हा पर्याय सोडून दिला, कारण संभाव्य हॅकर रिव्हर्स इमेज शोध वापरू शकतो आणि आमचे "कर्मचारी" फक्त फोटो बँकांमध्ये राहतात हे शोधू शकतो. सरतेशेवटी, आम्ही न्यूरल नेटवर्क वापरून तयार केलेल्या अस्तित्वात नसलेल्या लोकांची छायाचित्रे वापरली.

साइटवर प्रकाशित कर्मचार्‍यांच्या प्रोफाइलमध्ये त्यांच्या तांत्रिक कौशल्यांबद्दल महत्त्वाची माहिती आहे, परंतु आम्ही विशिष्ट शाळा किंवा शहरे ओळखणे टाळले.
मेलबॉक्सेस तयार करण्यासाठी, आम्ही होस्टिंग प्रदात्याचा सर्व्हर वापरला, आणि नंतर युनायटेड स्टेट्समध्ये अनेक टेलिफोन नंबर भाड्याने घेतले आणि त्यांना व्हॉइस मेनू आणि आन्सरिंग मशीनसह व्हर्च्युअल PBX मध्ये एकत्र केले.

हनीपॉट पायाभूत सुविधा

एक्सपोजर टाळण्यासाठी, आम्ही वास्तविक औद्योगिक हार्डवेअर, भौतिक संगणक आणि सुरक्षित व्हर्च्युअल मशीनचे संयोजन वापरण्याचा निर्णय घेतला. पुढे पाहताना, आम्ही म्हणू की आम्ही शोधन शोध इंजिन वापरून आमच्या प्रयत्नांचे परिणाम तपासले आणि हे दाखवले की हनीपॉट वास्तविक औद्योगिक प्रणालीसारखे दिसते.

Shodan वापरून एक honeypot स्कॅनिंग परिणाम. स्रोत: ट्रेंड मायक्रो

आम्ही आमच्या सापळ्यासाठी हार्डवेअर म्हणून चार पीएलसी वापरले:

• सीमेन्स S7-1200,
• दोन अॅलनब्रॅडली मायक्रोलॉगिक्स 1100,
• ओमरॉन CP1L.

या PLC ची जागतिक नियंत्रण प्रणाली बाजारात त्यांच्या लोकप्रियतेसाठी निवड करण्यात आली. आणि यापैकी प्रत्येक नियंत्रक स्वतःचा प्रोटोकॉल वापरतो, ज्यामुळे आम्हाला कोणत्या PLC वर अधिक वेळा हल्ला केला जाईल आणि ते तत्वतः कोणाला स्वारस्य असेल की नाही हे तपासण्याची परवानगी देते.

आमच्या "फॅक्टरी" चे उपकरण - सापळा. स्रोत: ट्रेंड मायक्रो

आम्ही फक्त हार्डवेअर स्थापित केले नाही आणि ते इंटरनेटशी कनेक्ट केले. आम्ही प्रत्येक नियंत्रकास कार्ये करण्यासाठी प्रोग्राम केले आहे, यासह

• मिसळणे,
• बर्नर आणि कन्वेयर बेल्ट नियंत्रण,
• रोबोटिक मॅनिपुलेटर वापरून पॅलेटिझिंग.

आणि उत्पादन प्रक्रिया वास्तववादी बनवण्यासाठी, आम्ही यादृच्छिकपणे फीडबॅक पॅरामीटर्स बदलण्यासाठी लॉजिक प्रोग्राम केले, मोटर्स सुरू आणि थांबणे आणि बर्नर चालू आणि बंद करणे अनुकरण केले.

आमच्या कारखान्यात तीन आभासी संगणक आणि एक भौतिक संगणक होता. व्हर्च्युअल कॉम्प्युटरचा वापर प्लांट, पॅलेटायझर रोबोट आणि पीएलसी सॉफ्टवेअर इंजिनिअरसाठी वर्कस्टेशन म्हणून नियंत्रित करण्यासाठी केला जात असे. भौतिक संगणक फाइल सर्व्हर म्हणून काम करतो.

PLC वरील हल्ल्यांचे निरीक्षण करण्याव्यतिरिक्त, आम्हाला आमच्या डिव्हाइसेसवर लोड केलेल्या प्रोग्रामच्या स्थितीचे परीक्षण करायचे होते. हे करण्यासाठी, आम्ही एक इंटरफेस तयार केला ज्याने आम्हाला आमच्या व्हर्च्युअल अॅक्ट्युएटर्स आणि इंस्टॉलेशन्सची स्थिती कशी सुधारली गेली हे द्रुतपणे निर्धारित करण्यास अनुमती दिली. आधीच नियोजनाच्या टप्प्यावर, आम्ही शोधले की कंट्रोलर लॉजिकच्या थेट प्रोग्रामिंगपेक्षा कंट्रोल प्रोग्राम वापरून हे अंमलात आणणे खूप सोपे आहे. आम्ही पासवर्डशिवाय VNC द्वारे आमच्या हनीपॉटच्या डिव्हाइस व्यवस्थापन इंटरफेसमध्ये प्रवेश उघडला.

औद्योगिक रोबोट हे आधुनिक स्मार्ट मॅन्युफॅक्चरिंगचे प्रमुख घटक आहेत. या संदर्भात, आम्ही आमच्या ट्रॅप कारखान्याच्या उपकरणांवर नियंत्रण ठेवण्यासाठी एक रोबोट आणि स्वयंचलित कार्यस्थळ जोडण्याचा निर्णय घेतला. "फॅक्टरी" अधिक वास्तववादी बनवण्यासाठी, आम्ही कंट्रोल वर्कस्टेशनवर वास्तविक सॉफ्टवेअर स्थापित केले, जे अभियंते रोबोटचे तर्कशास्त्र ग्राफिकरित्या प्रोग्राम करण्यासाठी वापरतात. बरं, औद्योगिक यंत्रमानव सामान्यत: एका वेगळ्या अंतर्गत नेटवर्कमध्ये स्थित असल्याने, आम्ही VNC द्वारे केवळ नियंत्रण वर्कस्टेशनवर असुरक्षित प्रवेश सोडण्याचा निर्णय घेतला.

आमच्या रोबोटच्या 3D मॉडेलसह रोबोटस्टुडिओ वातावरण. स्रोत: ट्रेंड मायक्रो

आम्ही रोबोट कंट्रोल वर्कस्टेशनसह व्हर्च्युअल मशीनवर ABB रोबोटिक्सकडून रोबोटस्टुडिओ प्रोग्रामिंग वातावरण स्थापित केले. RobotStudio कॉन्फिगर केल्यावर, आम्ही आमच्या रोबोटसह एक सिम्युलेशन फाइल उघडली जेणेकरून त्याची 3D प्रतिमा स्क्रीनवर दिसावी. परिणामी, शोडन आणि इतर शोध इंजिने, असुरक्षित व्हीएनसी सर्व्हर शोधल्यानंतर, ही स्क्रीन प्रतिमा पकडतील आणि जे नियंत्रणासाठी खुल्या प्रवेशासह औद्योगिक रोबोट शोधत आहेत त्यांना ती दाखवतील.

या तपशीलाकडे लक्ष देण्याचा मुद्दा हल्लेखोरांसाठी एक आकर्षक आणि वास्तववादी लक्ष्य तयार करणे हा होता, जे एकदा त्यांना ते सापडले की पुन्हा पुन्हा त्याकडे परत येतील.

अभियंता वर्कस्टेशन

PLC लॉजिक प्रोग्राम करण्यासाठी, आम्ही पायाभूत सुविधांमध्ये एक अभियांत्रिकी संगणक जोडला. त्यावर पीएलसी प्रोग्रामिंगसाठी औद्योगिक सॉफ्टवेअर स्थापित केले गेले:

• सीमेन्ससाठी TIA पोर्टल,
• ऍलन-ब्रॅडली कंट्रोलरसाठी मायक्रोलॉगिक्स,
• Omron साठी CX-One.

आम्ही ठरवले की अभियांत्रिकी कार्यक्षेत्र नेटवर्कच्या बाहेर प्रवेश करण्यायोग्य नसेल. त्याऐवजी, आम्ही प्रशासक खात्यासाठी रोबोट कंट्रोल वर्कस्टेशन आणि फॅक्टरी कंट्रोल वर्कस्टेशनवर इंटरनेटवरून प्रवेश करता येण्याजोगा पासवर्ड सेट करतो. हे कॉन्फिगरेशन बर्‍याच कंपन्यांमध्ये सामान्य आहे.
दुर्दैवाने, आमच्या सर्व प्रयत्नांनंतरही, एकही हल्लेखोर अभियंत्याच्या वर्कस्टेशनवर पोहोचला नाही.

फाइल सर्व्हर

आम्हाला हल्लेखोरांसाठी आमिष म्हणून आणि डिकॉय फॅक्टरीत आमच्या स्वतःच्या "कामाचा" पाठींबा म्हणून त्याची गरज होती. यामुळे आम्हाला हनीपॉट नेटवर्कवर कोणताही ट्रेस न ठेवता USB उपकरणांचा वापर करून आमच्या हनीपॉटसह फायली सामायिक करण्याची परवानगी मिळाली. आम्ही फाइल सर्व्हरसाठी Windows 7 Pro OS म्हणून स्थापित केले, ज्यामध्ये आम्ही एक सामायिक फोल्डर तयार केले जे कोणीही वाचू आणि लिहू शकतो.

सुरुवातीला आम्ही फाइल सर्व्हरवर फोल्डर्स आणि दस्तऐवजांची कोणतीही पदानुक्रमे तयार केली नाहीत. तथापि, आम्हाला नंतर आढळले की आक्रमणकर्ते या फोल्डरचा सक्रियपणे अभ्यास करत आहेत, म्हणून आम्ही ते विविध फायलींनी भरण्याचा निर्णय घेतला. हे करण्यासाठी, आम्ही एक पायथन स्क्रिप्ट लिहिली ज्याने दिलेल्या विस्तारांपैकी एकासह यादृच्छिक आकाराची फाइल तयार केली, शब्दकोषावर आधारित नाव तयार केले.

आकर्षक फाइल नावे निर्माण करण्यासाठी स्क्रिप्ट. स्रोत: ट्रेंड मायक्रो

स्क्रिप्ट चालवल्यानंतर, आम्हाला अतिशय मनोरंजक नावांसह फायलींनी भरलेल्या फोल्डरच्या स्वरूपात इच्छित परिणाम मिळाला.

स्क्रिप्टचा परिणाम. स्रोत: ट्रेंड मायक्रो

निरीक्षण वातावरण

एक वास्तववादी कंपनी तयार करण्यासाठी खूप मेहनत घेतल्यानंतर, आम्ही आमच्या "अभ्यागत" चे निरीक्षण करण्यासाठी पर्यावरणावर अपयशी ठरू शकत नाही. हल्लेखोरांना ते पाहिल्या जात आहेत हे समजल्याशिवाय आम्हाला सर्व डेटा रिअल टाइममध्ये मिळणे आवश्यक आहे.

आम्ही हे चार USB ते इथरनेट अॅडॉप्टर, चार शार्कटॅप इथरनेट टॅप, एक रास्पबेरी Pi 3 आणि मोठ्या बाह्य ड्राइव्हचा वापर करून लागू केले. आमचे नेटवर्क आकृती असे दिसते:

मॉनिटरिंग उपकरणांसह हनीपॉट नेटवर्क आकृती. स्रोत: ट्रेंड मायक्रो

आम्ही तीन शार्कटॅप टॅप ठेवले आहेत जेणेकरुन PLC कडे सर्व बाह्य रहदारीचे निरीक्षण करता येईल, फक्त अंतर्गत नेटवर्कवरून प्रवेश करता येईल. चौथ्या शार्कटॅपने असुरक्षित आभासी मशीनच्या अतिथींच्या रहदारीचे निरीक्षण केले.

शार्कटॅप इथरनेट टॅप आणि सिएरा वायरलेस एअरलिंक RV50 राउटर. स्रोत: ट्रेंड मायक्रो

रास्पबेरी पाई ने दररोज ट्रॅफिक कॅप्चर केले. आम्ही Sierra Wireless AirLink RV50 सेल्युलर राउटर वापरून इंटरनेटशी कनेक्ट झालो, जे अनेकदा औद्योगिक उपक्रमांमध्ये वापरले जाते.

दुर्दैवाने, या राउटरने आमच्या योजनांशी जुळणारे हल्ले निवडकपणे ब्लॉक करण्याची परवानगी दिली नाही, म्हणून आम्ही नेटवर्कवर कमीतकमी प्रभावासह ब्लॉकिंग करण्यासाठी पारदर्शक मोडमध्ये नेटवर्कमध्ये Cisco ASA 5505 फायरवॉल जोडली.

रहदारी विश्लेषण

Tshark आणि tcpdump सध्याच्या समस्यांचे द्रुतपणे निराकरण करण्यासाठी योग्य आहेत, परंतु आमच्या बाबतीत त्यांची क्षमता पुरेशी नव्हती, कारण आमच्याकडे अनेक गीगाबाइट्स रहदारी होती, ज्याचे विश्लेषण अनेक लोकांनी केले होते. आम्ही AOL द्वारे विकसित केलेले ओपन-सोर्स मोलोच विश्लेषक वापरले. हे वायरशार्कच्या कार्यक्षमतेमध्ये तुलना करण्यायोग्य आहे, परंतु सहयोग, पॅकेजचे वर्णन आणि टॅग करणे, निर्यात करणे आणि इतर कार्यांसाठी अधिक क्षमता आहेत.

आम्‍हाला हनीपॉट संगणकांवर संकलित डेटावर प्रक्रिया करायची नसल्‍याने, PCAP डंप दररोज AWS स्‍टोरेजमध्‍ये निर्यात केले जात होते, जिथून आम्‍ही ते आधीच मोलोच मशिनवर आयात केले होते.

स्क्रीन रेकॉर्डिंग

आमच्या हनीपॉटमध्ये हॅकर्सच्या कृतींचे दस्तऐवजीकरण करण्यासाठी, आम्ही एक स्क्रिप्ट लिहिली ज्याने दिलेल्या अंतराने व्हर्च्युअल मशीनचे स्क्रीनशॉट घेतले आणि मागील स्क्रीनशॉटशी तुलना करून, तेथे काहीतरी घडत आहे की नाही हे निर्धारित केले. क्रियाकलाप आढळल्यावर, स्क्रिप्टमध्ये स्क्रीन रेकॉर्डिंग समाविष्ट होते. हा दृष्टिकोन सर्वात प्रभावी असल्याचे दिसून आले. सिस्टममध्ये काय बदल झाले आहेत हे समजून घेण्यासाठी आम्ही PCAP डंपमधून VNC ट्रॅफिकचे विश्लेषण करण्याचा प्रयत्न केला, परंतु शेवटी आम्ही लागू केलेले स्क्रीन रेकॉर्डिंग सोपे आणि अधिक दृश्यमान झाले.

VNC सत्रांचे निरीक्षण करणे

यासाठी आम्ही Chaosreader आणि VNLogger चा वापर केला. दोन्ही युटिलिटिज PCAP डंपमधून कीस्ट्रोक काढतात, परंतु VNCLogger बॅकस्पेस, एंटर, Ctrl सारख्या की अधिक योग्यरित्या हाताळतात.

VNCLogger चे दोन तोटे आहेत. प्रथम: ते इंटरफेसवरील रहदारीचे “ऐकून” फक्त की काढू शकते, म्हणून आम्हाला tcpreplay वापरून त्यासाठी VNC सत्राचे अनुकरण करावे लागले. VNCLogger चा दुसरा तोटा Chaosreader सह सामान्य आहे: ते दोन्ही क्लिपबोर्डची सामग्री दर्शवत नाहीत. हे करण्यासाठी मला वायरशार्क वापरावे लागले.

आम्ही हॅकर्सना आमिष दाखवतो

हल्ला करण्यासाठी आम्ही हनीपॉट तयार केले. हे साध्य करण्यासाठी, आम्ही संभाव्य हल्लेखोरांचे लक्ष वेधण्यासाठी माहिती लीक केली. हनीपॉटवर खालील बंदरे उघडली गेली:

आम्ही लाइव्ह झाल्यानंतर लगेचच RDP पोर्ट बंद करावे लागले कारण आमच्या नेटवर्कवरील मोठ्या प्रमाणात स्कॅनिंग ट्रॅफिकमुळे कार्यप्रदर्शन समस्या निर्माण होत होत्या.
व्हीएनसी टर्मिनल्सने पासवर्डशिवाय प्रथम केवळ-दृश्य मोडमध्ये कार्य केले आणि नंतर आम्ही त्यांना "चुकून" पूर्ण प्रवेश मोडवर स्विच केले.

हल्लेखोरांना आकर्षित करण्यासाठी, आम्ही PasteBin वर उपलब्ध औद्योगिक प्रणालीबद्दल लीक झालेल्या माहितीसह दोन पोस्ट पोस्ट केल्या.

हल्ले आकर्षित करण्यासाठी PasteBin वर पोस्ट केलेल्या पोस्टपैकी एक. स्रोत: ट्रेंड मायक्रो

हल्ले

हनीपॉट सुमारे सात महिने ऑनलाइन राहत होता. हनीपॉट ऑनलाइन झाल्यानंतर एक महिन्यानंतर पहिला हल्ला झाला.

स्कॅनर्स

ip-ip, Rapid, Shadow Server, Shodan, ZoomEye आणि इतर सुप्रसिद्ध कंपन्यांच्या स्कॅनरकडून भरपूर रहदारी होती. त्यापैकी बरेच असे होते की आम्हाला त्यांचे IP पत्ते विश्लेषणातून वगळावे लागले: 610 पैकी 9452 किंवा सर्व अद्वितीय IP पत्त्यांपैकी 6,45% पूर्णपणे वैध स्कॅनरचे होते.

घोटाळे करणारे

आमच्या सिस्टीमचा गुन्हेगारी हेतूंसाठी वापर करणे हा सर्वात मोठा धोका आहे: ग्राहकांच्या खात्यातून स्मार्टफोन खरेदी करणे, गिफ्ट कार्ड वापरून एअरलाइन मैल कॅश आउट करणे आणि इतर प्रकारची फसवणूक करणे.

खाण कामगार

आमच्या सिस्टीममधील पहिल्या अभ्यागतांपैकी एक खाण कामगार असल्याचे दिसून आले. त्याने त्यावर मोनेरो मायनिंग सॉफ्टवेअर डाउनलोड केले. कमी उत्पादकतेमुळे तो आमच्या विशिष्ट प्रणालीवर जास्त पैसे कमवू शकला नसता. तथापि, जर आपण अशा अनेक डझन किंवा अगदी शेकडो प्रणाल्यांचे प्रयत्न एकत्र केले तर ते बरेच चांगले होऊ शकते.

रॅन्समवेअर

हनीपॉटच्या कामादरम्यान, आम्हाला दोनदा वास्तविक रॅन्समवेअर व्हायरसचा सामना करावा लागला. पहिल्या प्रकरणात ते Crysis होते. त्याचे ऑपरेटर VNC द्वारे सिस्टममध्ये लॉग इन केले, परंतु नंतर TeamViewer स्थापित केले आणि पुढील क्रिया करण्यासाठी त्याचा वापर केला. BTC मध्ये $10 च्या खंडणीची मागणी करणार्‍या खंडणीच्या संदेशाची वाट पाहिल्यानंतर, आम्ही गुन्हेगारांशी पत्रव्यवहार केला, त्यांना आमच्यासाठी फायलींपैकी एक डिक्रिप्ट करण्यास सांगितले. त्यांनी विनंतीचे पालन केले आणि खंडणीची मागणी पुन्हा केली. आम्ही 6 हजार डॉलर्सपर्यंत वाटाघाटी करण्यात व्यवस्थापित केले, त्यानंतर आम्हाला सर्व आवश्यक माहिती मिळाल्यामुळे आम्ही सिस्टमला व्हर्च्युअल मशीनवर पुन्हा अपलोड केले.

दुसरे रॅन्समवेअर फोबोस असल्याचे निष्पन्न झाले. ज्या हॅकरने ते स्थापित केले त्याने हनीपॉट फाइल सिस्टम ब्राउझ करण्यात आणि नेटवर्क स्कॅन करण्यात एक तास घालवला आणि शेवटी रॅन्समवेअर स्थापित केले.
तिसरा रॅन्समवेअर हल्ला बनावट असल्याचे निष्पन्न झाले. एका अज्ञात “हॅकर” ने आमच्या सिस्टीमवर haha.bat फाइल डाउनलोड केली, ज्यानंतर तो कार्य करण्यासाठी प्रयत्न करत असताना आम्ही थोडा वेळ पाहिला. haha.bat चे नाव बदलून haha.rnsmwr करण्याचा एक प्रयत्न होता.

“हॅकर” बॅट फाईलचा विस्तार .rnsmwr मध्ये बदलून त्याची हानीकारकता वाढवतो. स्रोत: ट्रेंड मायक्रो

जेव्हा बॅच फाइल शेवटी चालू झाली तेव्हा “हॅकर” ने ती संपादित केली, खंडणी $200 वरून $750 पर्यंत वाढवली. त्यानंतर, त्याने सर्व फायली “एनक्रिप्ट” केल्या, डेस्कटॉपवर खंडणीचा संदेश सोडला आणि आमच्या व्हीएनसीवरील संकेतशब्द बदलून अदृश्य झाला.

काही दिवसांनंतर, हॅकर परत आला आणि स्वतःची आठवण करून देण्यासाठी, एक बॅच फाइल लॉन्च केली ज्याने पॉर्न साइटसह अनेक विंडो उघडल्या. वरवर पाहता, अशा प्रकारे त्याने आपल्या मागणीकडे लक्ष वेधण्याचा प्रयत्न केला.

परिणाम

अभ्यासादरम्यान, असे दिसून आले की असुरक्षिततेबद्दल माहिती प्रकाशित होताच, हनीपॉटकडे लक्ष वेधले गेले आणि दिवसेंदिवस क्रियाकलाप वाढत गेला. सापळ्याकडे लक्ष वेधण्यासाठी, आमच्या काल्पनिक कंपनीला अनेक सुरक्षा उल्लंघनांचा सामना करावा लागला. दुर्दैवाने, पूर्ण-वेळ आयटी आणि माहिती सुरक्षा कर्मचारी नसलेल्या अनेक वास्तविक कंपन्यांमध्ये ही परिस्थिती असामान्य आहे.

सर्वसाधारणपणे, संघटनांनी कमीत कमी विशेषाधिकाराच्या तत्त्वाचा वापर केला पाहिजे, तर आम्ही हल्लेखोरांना आकर्षित करण्यासाठी याच्या अगदी उलट कार्य केले. आणि जितके जास्त वेळ आम्ही हल्ले पाहत राहिलो, तितकेच ते मानक प्रवेश चाचणी पद्धतींच्या तुलनेत अधिक परिष्कृत झाले.

आणि सर्वात महत्त्वाचे म्हणजे नेटवर्क सेट करताना पुरेसे सुरक्षा उपाय लागू केले असते तर हे सर्व हल्ले अयशस्वी झाले असते. संस्थांनी हे सुनिश्चित केले पाहिजे की त्यांची उपकरणे आणि औद्योगिक पायाभूत सुविधांचे घटक इंटरनेटवरून प्रवेश करण्यायोग्य नाहीत, जसे आम्ही आमच्या सापळ्यात विशेषतः केले.

आम्ही अभियंत्याच्या वर्कस्टेशनवर एकच हल्ला नोंदवला नसला तरी, सर्व संगणकांवर समान स्थानिक प्रशासक पासवर्ड वापरूनही, घुसखोरीची शक्यता कमी करण्यासाठी ही प्रथा टाळली पाहिजे. शेवटी, कमकुवत सुरक्षा ही औद्योगिक प्रणालींवर हल्ला करण्यासाठी अतिरिक्त आमंत्रण म्हणून काम करते, जी सायबर गुन्हेगारांसाठी दीर्घकाळ रूची आहे.

स्त्रोत: www.habr.com