फिसिङ, बोटनेट, जालसाजी लेनदेन र आपराधिक ह्याकर समूहहरूसँग सम्बन्धित मुद्दाहरूको अनुसन्धान गर्दै, समूह-आईबी विशेषज्ञहरूले विभिन्न प्रकारका जडानहरू पहिचान गर्न धेरै वर्षदेखि ग्राफ विश्लेषण प्रयोग गर्दै आएका छन्। बिभिन्न केसहरूसँग तिनीहरूको आफ्नै डेटा सेटहरू, जडानहरू पहिचान गर्नका लागि तिनीहरूको आफ्नै एल्गोरिदमहरू, र विशेष कार्यहरूको लागि अनुकूल इन्टरफेसहरू छन्। यी सबै उपकरणहरू आन्तरिक रूपमा Group-IB द्वारा विकसित गरिएका थिए र हाम्रा कर्मचारीहरूलाई मात्र उपलब्ध थिए।

नेटवर्क पूर्वाधारको ग्राफ विश्लेषण (नेटवर्क ग्राफ) पहिलो आन्तरिक उपकरण बन्यो जुन हामीले कम्पनीका सबै सार्वजनिक उत्पादनहरूमा निर्माण गर्यौं। हाम्रो नेटवर्क ग्राफ सिर्जना गर्नु अघि, हामीले बजारमा धेरै समान विकासहरू विश्लेषण गर्‍यौं र हाम्रो आफ्नै आवश्यकताहरू पूरा गर्ने एकल उत्पादन फेला पारेनौं। यस लेखमा हामी हामीले नेटवर्क ग्राफ कसरी सिर्जना गर्यौं, हामी यसलाई कसरी प्रयोग गर्छौं र हामीले सामना गरेका कठिनाइहरूको बारेमा कुरा गर्नेछौं।

दिमित्री भोल्कोभ, CTO Group-IB र साइबर खुफिया प्रमुख

Group-IB नेटवर्क ग्राफले के गर्न सक्छ?

अनुसन्धान

2003 मा Group-IB को स्थापना भएदेखि हालसम्म, साइबर अपराधीहरूको पहिचान, निन्दा र न्यायको दायरामा ल्याउने हाम्रो कामको उच्च प्राथमिकता रहेको छ। आक्रमणकारीहरूको नेटवर्क पूर्वाधारको विश्लेषण नगरी साइबर आक्रमणको अनुसन्धान पूरा भएको थिएन। हाम्रो यात्राको शुरुवातमा, अपराधीहरूलाई पहिचान गर्न मद्दत गर्न सक्ने सम्बन्धहरू खोज्नको लागि यो एक धेरै मेहनती "म्यानुअल कार्य" थियो: डोमेन नामहरू, आईपी ठेगानाहरू, सर्भरहरूको डिजिटल फिंगरप्रिन्टहरू, आदि बारे जानकारी।

अधिकांश आक्रमणकारीहरूले नेटवर्कमा सकेसम्म गुमनाम रूपमा कार्य गर्ने प्रयास गर्छन्। यद्यपि, सबै मानिसहरू जस्तै, तिनीहरूले गल्ती गर्छन्। यस्तो विश्लेषणको मुख्य लक्ष्य भनेको "सेतो" वा "खैरो" आक्रमणकारीहरूको ऐतिहासिक परियोजनाहरू फेला पार्नु हो जुन हामीले अनुसन्धान गरिरहेका वर्तमान घटनामा प्रयोग गरिएको दुर्भावनापूर्ण पूर्वाधारसँग प्रतिच्छेदन गर्दछ। यदि "सेतो परियोजनाहरू" पत्ता लगाउन सम्भव छ भने, त्यसपछि आक्रमणकारी फेला पार्न, एक नियमको रूपमा, एक तुच्छ कार्य हुन्छ। "खैरो" को मामलामा, खोजीले धेरै समय र प्रयास लिन्छ, किनकि तिनीहरूका मालिकहरूले दर्ता डेटा गुमनाम गर्ने वा लुकाउने प्रयास गर्छन्, तर सम्भावनाहरू धेरै उच्च रहन्छन्। एक नियमको रूपमा, तिनीहरूको आपराधिक गतिविधिहरूको सुरुमा, आक्रमणकारीहरूले आफ्नै सुरक्षामा कम ध्यान दिन्छन् र अधिक गल्तीहरू गर्छन्, त्यसैले हामी कथामा जति गहिरो डुब्न सक्छौं, सफल अनुसन्धानको सम्भावना उच्च हुन्छ। यसैले राम्रो इतिहासको साथ नेटवर्क ग्राफ यस्तो अनुसन्धानको एक अत्यन्त महत्त्वपूर्ण तत्व हो। सरल शब्दमा भन्नुपर्दा, कम्पनीसँग जति गहिरो ऐतिहासिक डेटा हुन्छ, त्यसको ग्राफ त्यति नै राम्रो हुन्छ। मानौं कि 5-वर्षको इतिहासले सशर्त, 1 मध्ये 2-10 अपराधहरू समाधान गर्न मद्दत गर्न सक्छ, र 15-वर्षको इतिहासले सबै दसवटा समाधान गर्ने मौका दिन्छ।

फिसिङ र जालसाजी पत्ता लगाउने

प्रत्येक पटक हामीले फिसिङ, जालसाजी वा पाइरेटेड स्रोतको संदिग्ध लिङ्क प्राप्त गर्दा, हामी स्वचालित रूपमा सम्बन्धित सञ्जाल स्रोतहरूको ग्राफ बनाउँछौं र समान सामग्रीको लागि सबै भेटिएका होस्टहरू जाँच गर्छौं। यसले तपाईंलाई दुवै पुराना फिसिङ साइटहरू फेला पार्न अनुमति दिन्छ जुन सक्रिय थिए तर अज्ञात थिए, साथै पूर्ण रूपमा नयाँहरू जुन भविष्यका आक्रमणहरूको लागि तयार छन्, तर अझै प्रयोग नगरिएका छन्। प्रायः हुने एउटा प्राथमिक उदाहरण: हामीले सर्भरमा केवल ५ साइटहरू भएको फिसिङ साइट फेला पार्यौं। तिनीहरू मध्ये प्रत्येक जाँच गरेर, हामीले अन्य साइटहरूमा फिसिङ सामग्री फेला पार्छौं, जसको मतलब हामीले 5 को सट्टा 5 लाई रोक्न सक्छौं।

ब्याकएन्डहरू खोज्नुहोस्

यो प्रक्रिया दुर्भावनापूर्ण सर्भर वास्तवमा कहाँ रहन्छ भनेर निर्धारण गर्न आवश्यक छ।
99% कार्ड पसलहरू, ह्याकर फोरमहरू, धेरै फिसिङ स्रोतहरू र अन्य मालिसियस सर्भरहरू तिनीहरूका आफ्नै प्रोक्सी सर्भरहरू र वैध सेवाहरूको प्रोक्सीहरू पछाडि लुकेका छन्, उदाहरणका लागि, क्लाउडफ्लेयर। वास्तविक ब्याकइन्डको बारेमा ज्ञान अनुसन्धानका लागि धेरै महत्त्वपूर्ण छ: होस्टिङ प्रदायक जसबाट सर्भर जफत गर्न सकिन्छ थाहा हुन्छ, र अन्य दुर्भावनापूर्ण परियोजनाहरूसँग जडानहरू निर्माण गर्न सम्भव हुन्छ।

उदाहरणका लागि, तपाइँसँग आईपी ठेगाना 11.11.11.11 मा समाधान गर्ने बैंक कार्ड डाटा सङ्कलन गर्न फिसिङ साइट छ, र आईपी ठेगाना 22.22.22.22 मा समाधान गर्ने कार्डशप ठेगाना छ। विश्लेषणको क्रममा, यो पत्ता लाग्न सक्छ कि फिसिङ साइट र कार्डशप दुवैको साझा ब्याकएन्ड आईपी ठेगाना छ, उदाहरणका लागि, ३३.३३.३३.३३। यो ज्ञानले हामीलाई फिसिङ आक्रमणहरू र बैंक कार्ड डेटा बेच्न सकिने कार्ड पसल बीचको सम्बन्ध निर्माण गर्न अनुमति दिन्छ।

घटना सम्बन्ध

जब तपाईंसँग दुई फरक ट्रिगरहरू छन् (एक IDS मा भनौं) आक्रमण नियन्त्रण गर्न विभिन्न मालवेयर र फरक सर्भरहरू छन्, तपाईंले तिनीहरूलाई दुई स्वतन्त्र घटनाहरूको रूपमा व्यवहार गर्नुहुनेछ। तर यदि त्यहाँ दुर्भावनापूर्ण पूर्वाधारहरू बीच राम्रो सम्बन्ध छ, तब यो स्पष्ट हुन्छ कि यी विभिन्न आक्रमणहरू होइनन्, तर एक, अधिक जटिल बहु-चरण आक्रमणका चरणहरू हुन्। र यदि घटनाहरू मध्ये एउटा पहिले नै आक्रमणकारीहरूको कुनै समूहलाई श्रेय दिइएको छ भने, दोस्रो घटना पनि उही समूहलाई श्रेय दिन सकिन्छ। निस्सन्देह, एट्रिब्युसन प्रक्रिया धेरै जटिल छ, त्यसैले यसलाई सरल उदाहरणको रूपमा व्यवहार गर्नुहोस्।

सूचक संवर्धन

हामी यसमा धेरै ध्यान दिने छैनौं, किनकि यो साइबर सुरक्षामा ग्राफहरू प्रयोग गर्ने सबैभन्दा सामान्य परिदृश्य हो: तपाईंले इनपुटको रूपमा एउटा सूचक दिनुहुन्छ, र आउटपुटको रूपमा तपाईंले सम्बन्धित सूचकहरूको एर्रे प्राप्त गर्नुहुन्छ।

ढाँचाहरू पहिचान गर्दै

प्रभावकारी शिकारको लागि ढाँचाहरू पहिचान गर्न आवश्यक छ। ग्राफहरूले तपाईंलाई सम्बन्धित तत्वहरू फेला पार्न मात्र होइन, तर ह्याकरहरूको विशेष समूहको विशेषता भएका सामान्य गुणहरू पनि पहिचान गर्न अनुमति दिन्छ। त्यस्ता अनौठो विशेषताहरूको ज्ञानले तपाईंलाई आक्रमणकारीको पूर्वाधारलाई तयारीको चरणमा र फिसिङ इमेल वा मालवेयर जस्ता आक्रमणको पुष्टि गर्ने प्रमाण बिना नै पहिचान गर्न अनुमति दिन्छ।

हामीले हाम्रो आफ्नै नेटवर्क ग्राफ किन बनायौं?

फेरि, हामीले कुनै पनि अवस्थित उत्पादनले गर्न नसक्ने कुरा गर्न सक्ने हाम्रो आफ्नै उपकरण विकास गर्न आवश्यक छ भन्ने निष्कर्षमा आउनु अघि हामीले विभिन्न विक्रेताहरूबाट समाधानहरू हेर्यौं। यसलाई सिर्जना गर्न धेरै वर्ष लाग्यो, जसको समयमा हामीले यसलाई पूर्ण रूपमा धेरै पटक परिवर्तन गर्यौं। तर, लामो विकास अवधिको बावजुद, हामीले हाम्रो आवश्यकताहरू पूरा गर्ने एकल एनालॉग फेला पार्न सकेका छैनौं। हाम्रो आफ्नै उत्पादन प्रयोग गरेर, हामी अन्ततः अवस्थित नेटवर्क ग्राफहरूमा फेला परेका लगभग सबै समस्याहरू समाधान गर्न सक्षम भयौं। तल हामी यी समस्याहरू विस्तारमा विचार गर्नेछौं:

समस्या
निर्णय

डाटाको विभिन्न सङ्कलन भएको प्रदायकको अभाव: डोमेनहरू, निष्क्रिय DNS, निष्क्रिय SSL, DNS रेकर्डहरू, खुला पोर्टहरू, पोर्टहरूमा चलिरहेको सेवाहरू, डोमेन नामहरू र IP ठेगानाहरूसँग अन्तरक्रिया गर्ने फाइलहरू। व्याख्या। सामान्यतया, प्रदायकहरूले अलग-अलग प्रकारको डेटा प्रदान गर्छन्, र पूर्ण तस्विर प्राप्त गर्न, तपाईंले सबैबाट सदस्यताहरू खरिद गर्न आवश्यक छ। तैपनि, यो सधैं सबै डाटा प्राप्त गर्न सम्भव छैन: केहि निष्क्रिय SSL प्रदायकहरूले विश्वसनीय CA द्वारा जारी प्रमाणपत्रहरूको बारेमा मात्र डाटा प्रदान गर्छन्, र तिनीहरूको स्व-हस्ताक्षरित प्रमाणपत्रहरूको कभरेज अत्यन्तै कमजोर छ। अरूले पनि स्व-हस्ताक्षरित प्रमाणपत्रहरू प्रयोग गरेर डेटा प्रदान गर्छन्, तर यसलाई मानक पोर्टहरूबाट मात्र सङ्कलन गर्छन्।
हामीले माथिका सबै संग्रहहरू आफैं सङ्कलन गरेका छौं। उदाहरणका लागि, SSL प्रमाणपत्रहरूको बारेमा डेटा सङ्कलन गर्न, हामीले हाम्रो आफ्नै सेवा लेख्यौं जसले तिनीहरूलाई विश्वसनीय CA बाट र सम्पूर्ण IPv4 स्पेस स्क्यान गरेर सङ्कलन गर्छ। प्रमाणपत्रहरू IP बाट मात्र होइन, हाम्रो डेटाबेसबाट सबै डोमेन र सबडोमेनहरूबाट पनि सङ्कलन गरिएको थियो: यदि तपाईंसँग डोमेन example.com र यसको सबडोमेन छ भने www.example.com र तिनीहरू सबै IP 1.1.1.1 मा संकल्प गर्छन्, त्यसपछि जब तपाईंले IP, डोमेन र यसको सबडोमेनमा पोर्ट 443 बाट SSL प्रमाणपत्र प्राप्त गर्ने प्रयास गर्नुहुन्छ, तपाईंले तीन फरक परिणामहरू प्राप्त गर्न सक्नुहुन्छ। खुला पोर्टहरू र चलिरहेको सेवाहरूमा डाटा सङ्कलन गर्न, हामीले हाम्रो आफ्नै वितरित स्क्यानिङ प्रणाली सिर्जना गर्नुपर्‍यो, किनभने अन्य सेवाहरूमा प्रायः तिनीहरूको स्क्यानिङ सर्भरहरूको आईपी ठेगानाहरू "कालो सूचीहरू" मा हुन्छन्। हाम्रो स्क्यानिङ सर्भरहरू पनि कालोसूचीहरूमा समाप्त हुन्छन्, तर हामीलाई चाहिने सेवाहरू पत्ता लगाउने परिणामहरू सम्भव भएसम्म धेरै पोर्टहरू स्क्यान गर्ने र यस डाटामा पहुँच बेच्नेहरूको भन्दा बढी हुन्छ।

ऐतिहासिक अभिलेखहरूको सम्पूर्ण डाटाबेसमा पहुँचको अभाव। व्याख्या। प्रत्येक सामान्य आपूर्तिकर्ताको राम्रो संचित इतिहास छ, तर प्राकृतिक कारणले गर्दा हामीले, ग्राहकको रूपमा, सबै ऐतिहासिक डेटामा पहुँच प्राप्त गर्न सकेनौं। ती। तपाईंले एकल रेकर्डको लागि सम्पूर्ण इतिहास प्राप्त गर्न सक्नुहुन्छ, उदाहरणका लागि, डोमेन वा IP ठेगानाद्वारा, तर तपाईंले सबै कुराको इतिहास देख्न सक्नुहुन्न - र यो बिना तपाईंले पूरा तस्वीर देख्न सक्नुहुन्न।
डोमेनहरूमा सम्भव भएसम्म धेरै ऐतिहासिक रेकर्डहरू सङ्कलन गर्न, हामीले विभिन्न डाटाबेसहरू खरिद गर्यौं, धेरै खुला स्रोतहरू पार्स गर्यौं जुन यो इतिहास थियो (यो राम्रो छ कि त्यहाँ धेरै थिए), र डोमेन नाम रजिस्ट्रारहरूसँग वार्ता गर्यौं। हाम्रा आफ्नै संग्रहहरूमा सबै अद्यावधिकहरू पक्कै पनि पूर्ण संशोधन इतिहाससँग राखिएका छन्।

सबै अवस्थित समाधानहरूले तपाईंलाई म्यानुअल रूपमा ग्राफ निर्माण गर्न अनुमति दिन्छ। व्याख्या। मानौं कि तपाईंले सबै सम्भावित डेटा प्रदायकहरूबाट धेरै सदस्यताहरू खरिद गर्नुभयो (सामान्यतया "समृद्धकर्ताहरू" भनिन्छ)। जब तपाइँ ग्राफ बनाउन आवश्यक छ, तपाइँ "हात" ले इच्छित जडान तत्वबाट निर्माण गर्न आदेश दिनुहुन्छ, त्यसपछि देखा पर्ने तत्वहरूबाट आवश्यक व्यक्तिहरू चयन गर्नुहोस् र तिनीहरूबाट जडानहरू पूरा गर्न आदेश दिनुहोस्, र यस्तै। यस अवस्थामा, ग्राफ कत्तिको राम्रोसँग निर्माण हुनेछ भन्ने जिम्मेवारी पूर्णतया व्यक्तिको हो।
हामीले ग्राफको स्वचालित निर्माण गर्यौं। ती। यदि तपाईंलाई ग्राफ बनाउन आवश्यक छ भने, त्यसपछि पहिलो तत्वबाट जडानहरू स्वचालित रूपमा बनाइन्छ, त्यसपछि सबै पछिल्लाहरूबाट पनि। विशेषज्ञले मात्र ग्राफ निर्माण गर्न आवश्यक गहिराई संकेत गर्दछ। स्वचालित रूपमा ग्राफहरू पूरा गर्ने प्रक्रिया सरल छ, तर अन्य विक्रेताहरूले यसलाई लागू गर्दैनन् किनभने यसले ठूलो संख्यामा अप्रासंगिक परिणामहरू उत्पादन गर्दछ, र हामीले यो कमीलाई पनि ध्यानमा राख्नुपर्छ (तल हेर्नुहोस्)।

धेरै अप्रासंगिक परिणामहरू सबै नेटवर्क तत्व ग्राफहरूसँग समस्या हो। व्याख्या। उदाहरण को लागी, एक "खराब डोमेन" (एक आक्रमण मा सहभागी) एक सर्भर संग सम्बन्धित छ जुन 10 अन्य डोमेनहरु संग गत 500 बर्ष मा सम्बन्धित छ। म्यानुअल रूपमा ग्राफ थप्दा वा स्वचालित रूपमा निर्माण गर्दा, यी सबै 500 डोमेनहरू ग्राफमा पनि देखिनुपर्छ, यद्यपि तिनीहरू आक्रमणसँग सम्बन्धित छैनन्। वा, उदाहरणका लागि, तपाईले विक्रेताको सुरक्षा रिपोर्टबाट IP सूचक जाँच गर्नुहुन्छ। सामान्यतया, त्यस्ता रिपोर्टहरू महत्त्वपूर्ण ढिलाइको साथ जारी गरिन्छ र प्रायः एक वर्ष वा बढी अवधिको हुन्छ। सम्भवतः, तपाईंले रिपोर्ट पढ्नुभएको समयमा, यो IP ठेगाना भएको सर्भर पहिले नै अन्य जडान भएका अन्य व्यक्तिहरूलाई भाडामा दिइएको छ, र ग्राफ निर्माण गर्दा तपाईंले फेरि अप्रासंगिक परिणामहरू प्राप्त गर्नुहुनेछ।
हामीले प्रणालीलाई हाम्रा विशेषज्ञहरूले म्यानुअल रूपमा गरे जस्तै तर्क प्रयोग गरेर अप्रासंगिक तत्वहरू पहिचान गर्न तालिम दियौं। उदाहरणका लागि, तपाईंले खराब डोमेन example.com जाँच गर्दै हुनुहुन्छ, जसले अब IP 11.11.11.11 मा समाधान गर्छ, र एक महिना अघि - IP 22.22.22.22 मा। डोमेन example.com को अतिरिक्त, IP 11.11.11.11 पनि example.ru सँग सम्बन्धित छ, र IP 22.22.22.22 25 हजार अन्य डोमेनहरूसँग सम्बन्धित छ। प्रणाली, एक व्यक्ति जस्तै, बुझ्छ कि 11.11.11.11 प्राय: एक समर्पित सर्भर हो, र जब example.ru डोमेन हिज्जे मा example.com सँग मिल्दोजुल्दो छ, तब, उच्च सम्भाव्यता संग, तिनीहरू जोडिएका छन् र मा हुनुपर्छ। ग्राफ; तर IP 22.22.22.22 साझा होस्टिङसँग सम्बन्धित छ, त्यसैले यसका सबै डोमेनहरूलाई ग्राफमा समावेश गर्न आवश्यक छैन जबसम्म यी २५ हजार डोमेनहरूमध्ये एउटा पनि समावेश गर्न आवश्यक छ भनेर देखाउने अन्य जडानहरू छैनन् (उदाहरणका लागि, example.net) । प्रणालीले जडानहरू तोड्न आवश्यक छ र केही तत्वहरूलाई ग्राफमा सार्न आवश्यक छैन भनेर बुझ्नु अघि, यसले तत्वहरू र क्लस्टरहरूको धेरै गुणहरूलाई ध्यानमा राख्छ जसमा यी तत्वहरू संयुक्त छन्, साथै हालको जडानहरूको बल। उदाहरणका लागि, यदि हामीसँग ग्राफमा एउटा सानो क्लस्टर (25 तत्वहरू) छ, जसमा खराब डोमेन समावेश छ, र अर्को ठूलो क्लस्टर (50 हजार तत्वहरू) र दुबै क्लस्टरहरू धेरै कम शक्ति (तौल) सँग जडान (लाइन) द्वारा जोडिएका छन्। , त्यसपछि यस्तो जडान तोडिनेछ र ठूलो क्लस्टरबाट तत्वहरू हटाइनेछ। तर यदि साना र ठूला क्लस्टरहरू बीच धेरै जडानहरू छन् र तिनीहरूको बल क्रमशः बढ्दै जान्छ भने, यस अवस्थामा जडान तोडिने छैन र दुवै क्लस्टरहरूबाट आवश्यक तत्वहरू ग्राफमा रहनेछन्।

सर्भर र डोमेन स्वामित्व अन्तराललाई ध्यानमा राखिएको छैन। व्याख्या। "खराब डोमेनहरू" चाँडै वा ढिलो समाप्त हुनेछ र दुर्भावनापूर्ण वा वैध उद्देश्यका लागि फेरि खरिद गरिनेछ। बुलेटप्रुफ होस्टिङ सर्भरहरू पनि विभिन्न ह्याकरहरूलाई भाडामा दिइन्छ, त्यसैले कुनै विशेष डोमेन/सर्भर एक मालिकको नियन्त्रणमा हुँदा अन्तराललाई जान्न र यसलाई ध्यानमा राख्नु महत्त्वपूर्ण छ। हामीले प्रायः यस्तो अवस्थाको सामना गर्छौं जहाँ IP 11.11.11.11 भएको सर्भर अब बैंकिङ बोटको लागि C&C को रूपमा प्रयोग गरिन्छ, र 2 महिना पहिले यसलाई Ransomware द्वारा नियन्त्रित गरिएको थियो। यदि हामीले खाता स्वामित्व अन्तरालहरूलाई ध्यान नदिई जडान निर्माण गर्छौं भने, यसले बैंकिङ बोटनेट र ransomware को मालिकहरू बीचको सम्बन्ध रहेको जस्तो देखिन्छ, यद्यपि वास्तवमा त्यहाँ कुनै पनि छैन। हाम्रो काममा, यस्तो त्रुटि महत्वपूर्ण छ।
हामीले प्रणालीलाई स्वामित्व अन्तरालहरू निर्धारण गर्न सिकायौं। डोमेनहरूको लागि यो अपेक्षाकृत सरल छ, किनभने whois मा प्राय: दर्ता सुरु र म्याद समाप्ति मितिहरू समावेश हुन्छन् र, जब whois परिवर्तनहरूको पूर्ण इतिहास हुन्छ, अन्तरालहरू निर्धारण गर्न सजिलो हुन्छ। जब डोमेनको दर्ताको म्याद सकिएको छैन, तर यसको व्यवस्थापन अन्य मालिकहरूलाई हस्तान्तरण गरिएको छ, यो पनि ट्र्याक गर्न सकिन्छ। SSL प्रमाणपत्रहरूको लागि त्यस्तो कुनै समस्या छैन, किनभने तिनीहरू एक पटक जारी हुन्छन् र नवीकरण वा स्थानान्तरण हुँदैनन्। तर स्व-हस्ताक्षरित प्रमाणपत्रहरूसँग, तपाईंले प्रमाणपत्रको वैधता अवधिमा निर्दिष्ट गरिएका मितिहरूमा विश्वास गर्न सक्नुहुन्न, किनभने तपाईंले आज एउटा SSL प्रमाणपत्र उत्पन्न गर्न सक्नुहुन्छ, र प्रमाणपत्रको सुरु मिति २०१० देखि निर्दिष्ट गर्नुहोस्। सबैभन्दा गाह्रो कुरा सर्भरहरूको लागि स्वामित्व अन्तरालहरू निर्धारण गर्न हो, किनभने होस्टिङ प्रदायकहरूसँग मात्र मितिहरू र भाडा अवधिहरू छन्। सर्भर स्वामित्व अवधि निर्धारण गर्न, हामीले पोर्ट स्क्यानिङ र पोर्टहरूमा चलिरहेको सेवाहरूको फिंगरप्रिन्टहरू सिर्जना गर्ने परिणामहरू प्रयोग गर्न थाल्यौं। यो जानकारी प्रयोग गरेर, हामी सर्भरको मालिक परिवर्तन भएको बेलामा सही रूपमा भन्न सक्छौं।

थोरै जडानहरू। व्याख्या। आजकल, डोमेनहरूको नि: शुल्क सूची प्राप्त गर्न पनि समस्या छैन जसको एक विशिष्ट इमेल ठेगाना समावेश छ, वा सबै डोमेनहरू पत्ता लगाउन जुन एक विशिष्ट आईपी ठेगानासँग सम्बन्धित थियो। तर जब यो ह्याकरहरूको कुरा आउँदछ जसले ट्र्याक गर्न गाह्रो हुन्छ, हामीलाई नयाँ गुणहरू फेला पार्न र नयाँ जडानहरू निर्माण गर्न थप चालहरू चाहिन्छ।
हामीले परम्परागत तरिकामा उपलब्ध नभएको डेटा कसरी निकाल्न सकिन्छ भनेर अनुसन्धान गर्न धेरै समय खर्च्यौं। हामी स्पष्ट कारणहरूका लागि यसले कसरी काम गर्छ भनेर यहाँ वर्णन गर्न सक्दैनौं, तर निश्चित परिस्थितिहरूमा, ह्याकरहरूले डोमेनहरू दर्ता गर्दा वा भाडामा लिँदा र सर्भरहरू सेटअप गर्दा, गल्तीहरू गर्छन् जसले तिनीहरूलाई इमेल ठेगानाहरू, ह्याकर उपनामहरू, र ब्याकएन्ड ठेगानाहरू पत्ता लगाउन अनुमति दिन्छ। तपाईंले जति धेरै जडानहरू निकाल्नुहुन्छ, त्यति नै सटीक ग्राफहरू तपाईंले निर्माण गर्न सक्नुहुन्छ।

हाम्रो ग्राफ कसरी काम गर्दछ

नेटवर्क ग्राफ प्रयोग गर्न सुरु गर्न, तपाईंले खोज पट्टीमा डोमेन, IP ठेगाना, इमेल, वा SSL प्रमाणपत्र फिंगरप्रिन्ट प्रविष्ट गर्न आवश्यक छ। विश्लेषकले नियन्त्रण गर्न सक्ने तीन सर्तहरू छन्: समय, चरण गहिराइ, र क्लियरिङ।

समय

समय - मिति वा अन्तराल जब खोज गरिएको तत्व दुर्भावनापूर्ण उद्देश्यका लागि प्रयोग गरिएको थियो। यदि तपाईंले यो प्यारामिटर निर्दिष्ट गर्नुभएन भने, प्रणाली आफैले यो स्रोतको लागि अन्तिम स्वामित्व अन्तराल निर्धारण गर्नेछ। उदाहरण को लागी, जुलाई 11 मा, Eset प्रकाशित रिपोर्ट बुहट्रापले साइबर जासूसीको लागि ०-दिनको शोषण कसरी प्रयोग गर्छ भन्ने बारे। प्रतिवेदनको अन्त्यमा ६ वटा सूचक छन् । ती मध्ये एक, सुरक्षित-टेलिमेट्री [.]नेट, जुलाई 0 मा पुन: दर्ता गरिएको थियो। त्यसकारण, यदि तपाईंले जुलाई 6 पछि ग्राफ निर्माण गर्नुभयो भने, तपाईंले अप्रासंगिक परिणामहरू पाउनुहुनेछ। तर यदि तपाईंले यो डोमेन यस मिति भन्दा पहिले प्रयोग भएको संकेत गर्नुभयो भने, तब ग्राफमा 16 नयाँ डोमेनहरू, 16 आईपी ठेगानाहरू समावेश छन् जुन Eset रिपोर्टमा सूचीबद्ध छैनन्:

• ukrfreshnews[.]com
• unian-search[.]com
• vesti-world [।] जानकारी
• runewsmeta [.]com
• foxnewsmeta [.]बिज
• sobesednik-meta[।]जानकारी
• rian-ua[।]नेट
• र अन्य।

सञ्जाल संकेतकहरूका अतिरिक्त, हामीले तुरुन्तै यस पूर्वाधार र ट्यागहरूसँग जडान भएका दुर्भावनापूर्ण फाइलहरूसँग जडानहरू फेला पार्छौं जसले हामीलाई Meterpreter र AZORult प्रयोग गरिएको थियो भनेर बताउँछ।

ठूलो कुरा यो हो कि तपाईले यो नतिजा एक सेकेन्ड भित्र प्राप्त गर्नुहुन्छ र तपाईले अब डेटा विश्लेषण गर्न दिनहरू खर्च गर्नु पर्दैन। निस्सन्देह, यो दृष्टिकोणले कहिलेकाहीँ अनुसन्धानको लागि समयलाई महत्त्वपूर्ण रूपमा घटाउँछ, जुन प्रायः महत्वपूर्ण हुन्छ।

चरणहरूको संख्या वा पुनरावृत्ति गहिराइ जसको साथ ग्राफ बनाइनेछ

पूर्वनिर्धारित रूपमा, गहिराई 3 हो। यसको मतलब सबै प्रत्यक्ष सम्बन्धित तत्वहरू इच्छित तत्वबाट फेला पर्नेछ, त्यसपछि नयाँ जडानहरू प्रत्येक नयाँ तत्वबाट अन्य तत्वहरूमा निर्माण गरिनेछ, र नयाँ तत्वहरू अन्तिमबाट नयाँ तत्वहरूबाट सिर्जना गरिनेछ। कदम।

APT र 0-दिन शोषणसँग सम्बन्धित नभएको उदाहरण लिनुहोस्। हालै, क्रिप्टोकरेन्सीसँग सम्बन्धित धोखाधडीको एक रोचक केस Habré मा वर्णन गरिएको थियो। प्रतिवेदनले डोमेन thecx[.]co को उल्लेख गरेको छ, ट्राफिकलाई आकर्षित गर्न माइनर कोइन एक्सचेन्ज र फोन-लुकअप[.]xyz भएको वेबसाइट होस्ट गर्न स्क्यामरहरूले प्रयोग गरेको थियो।

यो विवरणबाट स्पष्ट छ कि योजनालाई धोखाधडी स्रोतहरूमा ट्राफिक आकर्षित गर्न पर्याप्त ठूलो पूर्वाधार आवश्यक छ। हामीले ४ चरणमा ग्राफ निर्माण गरेर यस पूर्वाधारलाई हेर्ने निर्णय गर्यौं। आउटपुट 4 डोमेन र 230 आईपी ठेगानाहरूसँग ग्राफ थियो। अर्को, हामी डोमेनहरूलाई २ कोटिहरूमा विभाजन गर्छौं: क्रिप्टोकरेन्सीहरूसँग काम गर्नका लागि सेवाहरू जस्तै र फोन प्रमाणिकरण सेवाहरू मार्फत ट्राफिक चलाउन खोज्नेहरू:

क्रिप्टोकरेन्सीसँग सम्बन्धित
फोन पंचिंग सेवाहरूसँग सम्बद्ध

सिक्का किपर [.]सीसी
कलर रेकर्ड[।] साइट।

mcxwallet [.] सह
फोन रेकर्डहरू [।] ठाउँ

btcnoise [.]com
fone-uncover[.]xyz

क्रिप्टोमाइनर [।] घडी
नम्बर अनकवर[।] जानकारी

सफाई

पूर्वनिर्धारित रूपमा, "ग्राफ क्लिनअप" विकल्प सक्षम गरिएको छ र ग्राफबाट सबै अप्रासंगिक तत्वहरू हटाइनेछ। खैर, यो सबै अघिल्लो उदाहरणहरूमा प्रयोग भएको थियो। म एक प्राकृतिक प्रश्नको पूर्वानुमान गर्छु: हामी कसरी निश्चित गर्न सक्छौं कि केहि महत्त्वपूर्ण मेटिएको छैन? म जवाफ दिनेछु: हातले ग्राफहरू बनाउन मन पराउने विश्लेषकहरूका लागि, स्वचालित सफाई असक्षम गर्न सकिन्छ र चरणहरूको संख्या = 1 चयन गर्न सकिन्छ। अर्को, विश्लेषकले आफूलाई आवश्यक तत्वहरूबाट ग्राफ पूरा गर्न र तत्वहरू हटाउन सक्षम हुनेछ। ग्राफ जुन कार्यसँग अप्रासंगिक छ।

पहिले नै ग्राफमा, whois, DNS, साथै खुला पोर्टहरू र तिनीहरूमा चलिरहेका सेवाहरूमा परिवर्तनहरूको इतिहास विश्लेषकलाई उपलब्ध हुन्छ।

वित्तीय फिसिङ

हामीले एपीटी समूहका गतिविधिहरूको अनुसन्धान गर्‍यौं, जसले धेरै वर्षसम्म विभिन्न क्षेत्रहरूमा विभिन्न बैंकका ग्राहकहरू विरुद्ध फिसिङ आक्रमणहरू गर्‍यो। यस समूहको एक विशेषता भनेको वास्तविक बैंकहरूको नामसँग मिल्दोजुल्दो डोमेनहरूको दर्ता थियो, र धेरैजसो फिसिङ साइटहरूको डिजाइन एउटै थियो, बैंकहरूको नाम र तिनीहरूको लोगोमा मात्र भिन्नता थियो।

यस अवस्थामा, स्वचालित ग्राफ विश्लेषणले हामीलाई धेरै मद्दत गर्यो। तिनीहरूको डोमेनहरू मध्ये एउटा - lloydsbnk-uk[.]com लिएर, हामीले केही सेकेन्डमा ३ चरणहरूको गहिराइको ग्राफ बनायौं, जसले यस समूहद्वारा २०१५ देखि प्रयोग गरिसकेका २५० भन्दा बढी दुर्भावनापूर्ण डोमेनहरू पहिचान गर्‍यौं र प्रयोग गरिँदैछ। । यी मध्ये केही डोमेनहरू पहिले नै बैंकहरूले खरिद गरिसकेका छन्, तर ऐतिहासिक रेकर्डहरूले देखाउँछन् कि तिनीहरू पहिले आक्रमणकारीहरूमा दर्ता भएका थिए।

स्पष्टताको लागि, चित्रले २ चरणहरूको गहिराइको साथ ग्राफ देखाउँछ।

यो उल्लेखनीय छ कि पहिले नै 2019 मा, आक्रमणकारीहरूले आफ्नो रणनीति केही हदसम्म परिवर्तन गरिसकेका छन् र वेब फिसिङ होस्ट गर्नका लागि बैंकहरूको डोमेन मात्र होइन, फिसिङ इमेलहरू पठाउनका लागि विभिन्न परामर्श कम्पनीहरूको डोमेनहरू पनि दर्ता गर्न थालेका छन्। उदाहरणका लागि, डोमेनहरू swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com।

कोबाल्ट गिरोह

डिसेम्बर 2018 मा, ह्याकर समूह कोबाल्ट, बैंकहरूमा लक्षित आक्रमणहरूमा विशेषज्ञ, नेश्नल बैंक अफ काजाकिस्तानको तर्फबाट एउटा मेलिङ अभियान पठायो।

पत्रहरूमा hXXps://nationalbank.bz/Doc/Prikaz.doc को लिङ्कहरू थिए। डाउनलोड गरिएको कागजातमा Powershell सुरु गर्ने म्याक्रो समावेश थियो, जसले फाइललाई hXXp://wateroilclub.com/file/dwm.exe %Temp%einmrmdmy.exe बाट लोड र कार्यान्वयन गर्ने प्रयास गर्नेछ। फाइल %Temp%einmrmdmy.exe उर्फ ​​dwm.exe सर्भर hXXp://admvmsopp.com/rilruietguadvtoefmuy सँग अन्तरक्रिया गर्न कन्फिगर गरिएको CobInt स्टेजर हो।

यी फिसिङ इमेलहरू प्राप्त गर्न र दुर्भावनापूर्ण फाइलहरूको पूर्ण विश्लेषण गर्न सक्षम नहुने कल्पना गर्नुहोस्। मालिसियस डोमेन Nationalbank[.]bz को लागि ग्राफले तुरुन्तै अन्य मालिसियस डोमेनहरूसँग जडानहरू देखाउँछ, यसलाई समूहमा श्रेय दिन्छ र आक्रमणमा कुन फाइलहरू प्रयोग गरिएको थियो भनेर देखाउँछ।

यस ग्राफबाट IP ठेगाना 46.173.219[।] 152 लिनुहोस् र एक पासमा यसबाट ग्राफ बनाउनुहोस् र सफाई बन्द गर्नुहोस्। यससँग सम्बन्धित ४० डोमेनहरू छन्, उदाहरणका लागि, bl40ckchain[.]ug
paypal.co.uk.qlg6[।]pw
cryptoelips [.]com

डोमेन नामहरू द्वारा न्याय गर्दै, तिनीहरू धोखाधडी योजनाहरूमा प्रयोग गरिन्छ जस्तो देखिन्छ, तर सफाई एल्गोरिथ्मले महसुस गर्यो कि तिनीहरू यस आक्रमणसँग सम्बन्धित छैनन् र ग्राफमा राखेनन्, जसले विश्लेषण र एट्रिब्युसनको प्रक्रियालाई धेरै सरल बनाउँछ।

यदि तपाईंले Nationalbank[.]bz प्रयोग गरेर ग्राफ पुन: निर्माण गर्नुहुन्छ, तर ग्राफ क्लिनिङ एल्गोरिदम असक्षम पार्दै, त्यसमा 500 भन्दा बढी तत्वहरू समावेश हुनेछन्, जसमध्ये अधिकांशको कोबाल्ट समूह वा तिनीहरूका आक्रमणहरूसँग कुनै सम्बन्ध छैन। यस्तो ग्राफ कस्तो देखिन्छ को एक उदाहरण तल दिइएको छ:

निष्कर्षमा

धेरै वर्षको राम्रो ट्युनिङ, वास्तविक अनुसन्धानमा परीक्षण, खतरा अनुसन्धान र आक्रमणकारीहरूको खोजी पछि, हामीले एक अद्वितीय उपकरण सिर्जना गर्न मात्र होइन, कम्पनी भित्रका विज्ञहरूको दृष्टिकोणलाई पनि परिवर्तन गर्न व्यवस्थित गर्यौं। प्रारम्भिक रूपमा, प्राविधिक विज्ञहरू ग्राफ निर्माण प्रक्रियामा पूर्ण नियन्त्रण चाहन्छन्। धेरै वर्षको अनुभव भएको व्यक्तिको तुलनामा स्वचालित ग्राफ निर्माणले यो राम्रो गर्न सक्छ भनेर उनीहरूलाई विश्वस्त पार्नु अत्यन्तै गाह्रो थियो। सबै कुरा समय र ग्राफले उत्पादन गरेको नतिजाहरूको बहु "म्यानुअल" जाँचद्वारा निर्णय गरिएको थियो। अब हाम्रा विज्ञहरूले प्रणालीलाई मात्र विश्वास गर्दैनन्, तर यसले प्राप्त परिणामहरू उनीहरूको दैनिक काममा पनि प्रयोग गर्छन्। यो प्रविधिले हाम्रो प्रत्येक प्रणाली भित्र काम गर्छ र हामीलाई कुनै पनि प्रकारको खतराहरू अझ राम्रोसँग पहिचान गर्न अनुमति दिन्छ। म्यानुअल ग्राफ विश्लेषणको लागि इन्टरफेस सबै Group-IB उत्पादनहरूमा बनाइएको छ र यसले साइबर अपराध शिकारका लागि क्षमताहरूलाई उल्लेखनीय रूपमा विस्तार गर्दछ। यो हाम्रो ग्राहकहरु बाट विश्लेषक समीक्षा द्वारा पुष्टि छ। र हामी, बारीमा, डाटाको साथ ग्राफलाई समृद्ध गर्न जारी राख्छौं र सबैभन्दा सटीक नेटवर्क ग्राफ सिर्जना गर्न कृत्रिम बुद्धिमत्ता प्रयोग गरेर नयाँ एल्गोरिदमहरूमा काम गर्छौं।

स्रोत: www.habr.com