Kompani të antivirusit, ekspertë të sigurisë dhe thjesht entuziastë publikojnë në internet sisteme mashtruese — honeypots, për të 'kapur' lloje të reja viruse ose për të zbuluar taktika të pazakonta të hakerëve. Honeypot-et janë kaq të zakonshme sa që kriminelët kibernetikë kanë zhvilluar një lloj imuniteti: ata shpejt e zbulojnë se çfarë kanë përballë dhe thjesht e injorojnë. Për të studiuar taktikat e hakerëve të sotëm, ne krijuam një honeypot realistik, i cili gjatë shtatë muajve jetoi në internet, duke tërhequr sulme të ndryshme. Rreth kësaj historie, ne kemi folur në studimin tonë ''. Disa fakte nga studimi — në këtë postim.
Zhvillimi i honeypot-it: lista e kontrollit
Detyra kryesore gjatë krijimit të kurthit tonë super ishte që të siguroheshim që hakerët që treguan interes për të, nuk do të zbulonin mashtrimin. Për këtë, na u desh të kryenim një punë të madhe:
- Të krijonim një legjendë realiste për kompaninë, duke përfshirë emra dhe foto të punonjësve, numra telefoni dhe e-maile.
- Të imagjinonim dhe realizonim një model të infrastrukturës industriale, në përputhje me legjendën për aktivitetet e kompanisë sonë.
- Të vendosnim se cilat shërbime rrjetesh do të ishin të aksesueshme nga jashtë, megjithatë pa u tepruar me hapjen e porteve të dobët, për të mos e bërë atë të duket si një kurth për budallenj.
- Të organizonim dukshmërinë e rrjedhjes së informacionit rreth një sistemi të dobët dhe të shpërndanim këto të dhëna mes sulmuesve potencialë.
- Të zbatojmë një vëzhgim të padukshëm mbi veprimet e hakerëve në infrastrukturën e kurthit.
Dhe tani për çdo gjë në rendin e duhur.
Krijojmë legjendën
Kriminelët kibernetikë tashmë janë mësuar me shumë honeypots, prandaj pjesa më e avancuar e tyre kryen një hetim të thelluar të çdo sistemi të dobët për të siguruar se nuk është një kurth. Për këtë arsye, ne kërkuam të arrijmë jo vetëm realitetin e honeypot-it nga këndvështrimi i dizajnit dhe aspekteve teknike, por gjithashtu të krijojmë dukshmërinë e një kompanie reale.
Duke vënë veten në vendin e një hackeri hipotezë, ne zhvilluam një algoritëm kontrolli që mund të ndihmonte në identifikimin e sistemit të vërtetë nga kurthi. Ai përfshinte kërkimin e adresave IP të kompanisë në sistemet e reputacionit, hulumtimin e historisë së adresave IP, kërkimin e emrave dhe fjalëve kyçe lidhur me kompaninë, si dhe partnerët e saj dhe shumë gjëra të tjera. Në fund, legjenda doli mjaft bindëse dhe atraktive.
Ne vendosëm ta poziciononim fabrikën-kurth si një butik të vogël për prototipim industrial, që punon për klientë shumë të mëdhenj anonimë nga segmenti ushtarak dhe aviacione. Kjo na liroi nga vështirësitë ligjore që lidhen me përdorimin e një marke ekzistuese.
Më pas na duhej të krijonim një vizion, mision dhe emër për organizatën. Ne vendosëm se kompania jonë do të ishte një startup me një numër të vogël punonjësish, çdo njëri prej të cilëve do të ishte themelues. Kjo e shtonte besueshmërinë e legjendës për specializimin e biznesit tonë, i cili e bën atë të jetë në gjendje të punojë me projekte delikate për klientë të rëndësishëm. Ne doja që kompania jonë të dukej e dobët nga ana e sigurisë kibernetike, por njëkohësisht të ishte e qartë se ne punojmë me aktivet e rëndësishme në sistemet e synuara.
Screenshot i uebfaqes së honeypot-it MeTech. Burimi: Trend Micro
Si emër të kompanisë, ne zgjodhëm fjalën MeTech. Uebfaqja u bë mbi një template falas. Imazhet i morëm nga bankat e fotove, duke përdorur më të pakëta dhe duke i redaktuar për t'i bërë ato më pak të njohura.
Ne donim që kompania të dukej reale, prandaj duhej të shtonim punonjës me aftësi profesionale që përputhen me profilin e aktiviteteve. Ne krijuam emra dhe personalitete për ta, dhe pastaj u përpoqëm të zgjidhnim imazhe nga bankat e fotove përkatësisht me përkatësinë etnike.
Screenshot i uebfaqes së honeypot-it MeTech. Burimi: Trend Micro
Për t'u siguruar që nuk do të na zbulonin, ne kërkuam foto grupore me cilësi të lartë, nga të cilat mund të zgjidhnim fytyrat që na duhej. Sidoqoftë, ne më vonë heqëm dorë nga ky opsion, pasi një haker potencial mund ta përdorte kërkimin e reversit të imazheve dhe të zbulonte se 'punonjësit' tanë jetonin vetëm në bankat e fotove. Në fund, përdorëm fotografitë e njerëzve të pavërtetë, të krijuara me ndihmën e rrjeteve nervore.
Profilet e publikuara në uebfaqe përmbanin informacione të rëndësishme mbi aftësitë e tyre teknike, megjithatë ne shmangnim të dhënat e institucioneve të caktuara arsimore dhe qyteteve.
Për krijimin e kutive postare, ne përdorëm serverin e ofruesit të shërbimeve të hostingu, dhe më pas qeruan disa numra telefoni në SHBA dhe i kombinova në një PBX virtual me menu zanore dhe përgjigje automatike.
Infrastruktura e hani-poteve
Për të shmangur zbuluarjen, ne vendosëm të përdorim një kombinim të pajisjeve të vërteta industriale, kompjuterëve fizikë dhe makinave virtuale të mbrojtura. Siç do të shohim më vonë, ne e verifikuam rezultatin e përpjekjeve tona me ndihmën e motorit të kërkimit Shodan, dhe ai tregoi se hani-poti dukej si një sistem industrial të vërtetë.
Rezultati i skanimit të hani-poteve me Shodan. Burimi: Trend Micro
Si "pajisje" për kurthin tonë, ne përdorëm katër PLC:
- Siemens S7-1200,
- dy AllenBradley MicroLogix 1100,
- Omron CP1L.
Këto PLC u përzgjodhën për popullaritetin e tyre në tregun botëror të sistemit të menaxhimit. Gjithashtu, çdo njëri nga këta kontrollues përdor protokollin e saj, duke na lejuar të testojmë se cili nga PLC-të do të sulmohej më shpesh dhe nëse ata do të interesonin ndokënd.
Pajisjet e "fabrikës" sonë të kurthit. Burimi: Trend Micro
Ne nuk thjesht vendosëm pajisjet dhe i lidhëm ato me internetin. Çdo kontrollues e programuam për të kryer detyra, midis të cilave ishin
- shkëmbyes,
- kontrolli i oxhakut dhe linjës së konvejersë,
- paletizimi duke përdorur një manipulues robotik.
Dhe për të bërë procesin prodhues më realist, ne programuam logjikën për të modifikuar rastësisht parametrat e reagimit, duke simuluar ndezjen dhe fikjen e motorëve, duke aktivizuar dhe çaktivizuar oxhakun.
Në fabrikën tonë kishte tre kompjuterë virtualë dhe një fizik. Kompjuterët virtualë u përdorën për menaxhimin e fabrikës, robotit paletizues dhe si një stacion për inxhinierin e programimit PLC. Kompjuter fizike punonte si server dosjesh.
Përveç ndjekjes së sulmeve ndaj PLC-ve, ne donim të monitoronim gjendjen e programeleve të ngarkuara në pajisjet tona. Për këtë, ne krijuam një ndërfaqe që lejonte përcaktimin e shpejtë të mënyrës se si ishin modifikuar gjendjet e mekanizmave dhe vazhduesve tanë virtualë. Gjatë fazës së planifikimit, ne zbuluam se ishte më e lehtë ta realizonim këtë me një program menaxhimi sesa duke e programuar logjikën e kontrolluesit drejtpërdrejt. Ne hapëm aksesin në ndërfaqen e menaxhimit të pajisjeve të hani-poteve përmes VNC pa fjalëkalim.
Robotët industrialë janë një komponent kyç i prodhimit të mençur modern. Për këtë arsye, ne vendosëm të shtonim një robot dhe një stacion të menaxhimit për të në pajisjet e fabrikës sonë të kurthit. Për ta bërë "fabriken" më realiste, në stacionin e menaxhimit vendosëm software të vërtetë që inxhinierët përdorin për të programuar logjikën e robotit në stilin grafik. Njëkohësisht, pasi robotët industrialë zakonisht ndodhen në një rrjet të brendshëm të izoluar, ne vendosëm të lëmë vetëm aksesin e paprotectuar për VNC në stacionin e menaxhimit.
Mediat RobotStudio me model 3D të robotit tonë. Burimi: Trend Micro
Në virtualin me stacionin e menaxhimit të robotit, ne instalojmë mjedisin e programimit RobotStudio nga ABB Robotics. Duke konfiguruar RobotStudio, ne hapëm skedarin e simulimit me robotin tonë, në atë mënyrë që imazhi 3D të ishte i dukshëm në ekran. Si rezultat, Shodan dhe motorët e tjerë të kërkimit, duke zbuluar një server VNC të paprotectuar, do të merrnin këtë imazh nga ekrani dhe do ta tregonin për ata që kërkojnë robotë industrialë me qasje të hapur në menaxhim.
Qëllimi i këtij kujdesi për detajet ishte të krijonte një qëllim tërheqës dhe sa më realist për sulmuesit, të cilët, duke e zbuluar atë, ktheheshin përsëri për të.
Stacioni i inxhinierit
Për programimin e logjikës së PLC-ve, ne shtuam një kompjuter inxhinierik në infrastrukturë. Në të, ne instalojmë softuer industrial për programimin e PLC-ve:
- TIA Portal për Siemens,
- MicroLogix për kontrolluesin Allen-Bradley,
- CX-One për Omron.
Ne vendosëm që vendi i punës inxhinierik nuk do të ishte i qasshëm jashtë rrjetit. Në vend të kësaj, ne vendosëm të kemi të njëjtin fjalëkalim për llogarinë e administratorit, siç ka në stacionet e menaxhimit të robotit dhe fabrikës. Kjo konfigurim është mjaft e zakonshme në shumë kompani.
Fatkeqësisht, pavarësisht nga të gjitha përpjekjet tona, asnjë sulmues nuk arriti të hynte në stacionin e inxhinierit.
Serveri i skedarëve
Ai ishte i nevojshëm për ne si mamushka për sulmuesit dhe si mjet për kopje rezervë të "punëve" tona në fabrikën e kurthit. Kjo na lejoi të shkëmbenim skedarë me honeypot-in tonë duke përdorur pajisje USB, pa lënë gjurmë në rrjetin e kurthit. Si sistem operativ për serverin e skedarëve, ne instaluam Windows 7 Pro, ku krijuam një dosje të përbashkët, të disponueshme për lexim dhe shkrim nga kushdo.
Në fillim nuk krijuam asnjë hierarki dosjesh dhe dokumentesh në serverin e skedarëve. Sidoqoftë, më vonë u zbulua se sulmuesit aktivisht studionin këtë dosje, prandaj vendosëm ta mbushnim atë me skedarë të ndryshëm. Për këtë, shkruam një skritp python që krijonte një skedar me dimension të rastësishëm me një nga zgjedhjet e dhëna, duke formuar emrin mbi bazën e një fjalori.
Skript për gjenerimin e emrave tërheqës të skedarëve. Burimi: Trend Micro
Pas ekzekutimit të skriptit, morëm rezultatin e dëshiruar në formën e një dosje të mbushur me skedarë me emra shumë interesantë.
Rezultati i punës së skriptit. Burimi: Trend Micro
Mjedisi për monitorim
Pas gjithë atij përpjekjeje për të krijuar një kompani realiste, ne vërtet nuk mund të lejonim që të gabonim në mjedisin për monitorimin e "vizitorëve" tanë. Na nevojitej të merrnim të gjitha të dhënat në kohë reale në një mënyrë që sulmuesit nuk e kuptonin që po i vrojtonim.
Ne e realizuam këtë duke përdorur katër adaptrues USB-Ethernet, katër shpërndarës Ethernet të SharkTap, Raspberry Pi 3 dhe një disk të madh të jashtëm. Skema e rrjetit tonë dukej kështu:
Skema e rrjetit të honeypotit me pajisje për monitorim. Burimi: Trend Micro
Tre shpërndarës SharkTap i vendosëm në mënyrë që të monitoronin të gjithë trafikun e jashtëm drejt PLC-ve, të disponueshme vetëm nga rrjeti i brendshëm. SharkTap-i i katërt monitoronte trafikun e mysafirëve të makinës virtuale të prekshme.
Ethernet shpërndarësi SharkTap dhe routeri Sierra Wireless AirLink RV50. Burimi: Trend Micro
Raspberry Pi regjistronte trafikun ditore. Këtu u organizua lidhja me internetin me anë të routerit celular Sierra Wireless AirLink RV50, i cili shpesh përdoret në ndërmarrje industriale.
Fatkeqësisht, ky router nuk na lejonte të bllokonim selektivisht sulmet që nuk përputheshin me planet tona, prandaj shtuam në rrjet një firewall Cisco ASA 5505 në modalitetin e përshkruar, për të realizuar bllokimet me ndërlikim minimal në rrjet.
Analiza e trafikut
Tshark dhe tcpdump janë të përshtatshme për zgjidhjen e shpejtë të problemeve të tanishme, por në rastin tonë, kapaciteti i tyre ishte i pamjaftueshëm, pasi kishim shumë gigabajt trafiku që po analizohej nga disa persona. Ne përdorim një analist open-source Moloch, të zhvilluar nga AOL. Në funksionalitetin e saj, ajo është në nivelin e Wireshark, por ka më shumë mundësi për bashkëpunim, përshkrim dhe etiketim të paketeve, eksport dhe detyra të tjera.
Pasi nuk donim të përpunonim të dhënat e mbledhura në kompjuterët e honeypot-it, dump-et PCAP çdo ditë eksportoheshin në depo AWS, nga ku i importonim në makinë me Moloch.
Regjistrimi i ekranit
Për të dokumentuar veprimet e hakerëve në honeypot-in tonë, shkruam një skritp që në një interval të caktuar bënte screenshots të makinës virtuale dhe, duke i krahasuar me screenshot-in e mëparshëm, përcaktonte nëse ndodhte diçka apo jo. Kur identifikohej aktiviteti, skripti aktivizonte regjistrimin e ekranit. Ky qasje doli të ishte më efektiv. Ne gjithashtu u përpoqëm të analizonim trafikun VNC nga dump-i PCAP, për të kuptuar se cilat ndryshime ndodhën në sistem, por përfundimisht regjistrimi i ekranit që kishim realizuar ishte më i lehtë dhe më shkëlqyes.
Monitorimi i seancave VNC
Për këtë, ne përdorëm Chaosreader dhe VNCLogger. Të dy utilitetet nxjerrin nga dump-i PCAP shtypjet e çelësave, por VNCLogger trajton më saktë çelësat tipikë si Backspace, Enter, Ctrl.
VNCLogger ka dy disavantazhe. E para: ajo mund të nxjerrë çelësat vetëm duke "degjuar" trafikun në interfes, prandaj na duhej të imitojmë për të një seancë VNC me anë të tcpreplay. Disavantazhi i dytë VNCLogger ndan me Chaosreader: të dy nuk tregojnë përmbajtjen e skedës së kopjes. Për këtë, duhej të shfrytëzonim Wireshark.
Tërheqim hakerët
Ne krijuam honeypot-in që të sulmohej. Për ta arritur këtë, ne inskenuam një rrjedhje informacioni, e cila kishte për qëllim të tërhiqte vëmendjen e potencialeve hakerëve. Në honeypot u hapën portet e mëposhtme:
Porti RDP duhej mbyllur sapo filloi puna, për shkak të një numri të madh të trafikut skanuese në rrjetin tonë, që sjellin probleme me performancën.
Terminalet VNC fillimisht punuan në mënyrë 'përveç se shikimi' pa fjalëkalim, dhe pastaj 'gabimisht' i kaluam ato në modin e aksesit të plotë.
Për të tërhequr sulmuesit, ne publikuan dy postime me informacion "të rrjedhur" mbi një sistem industrial të disponueshëm në PasteBin.
Një nga postimet, të publikuara në PasteBin për të tërhequr sulmet. Burimi: Trend Micro
Sulmet
Honeypoti ka qenë online për rreth shtatë muaj. Sulmi i parë ka ndodhur një muaj pasi honeypoti doli online.
Skenerët
Ishte shumë trafik nga skenerë të kompanive të njohura — ip-ip, Rapid, Shadow Server, Shodan, ZoomEye dhe të tjera. Kishte kaq shumë, saqë na u desh të përjashtonim ato adresat IP nga analiza: 610 nga 9452 ose 6,45% e të gjitha adresa unike IP i përkisnin skenerëve të legjitimuar.
Mashtruesit
Një nga rreziqet më të mëdha që na është dashur të përballemi është përdorimi i sistemit tonë për qëllime kriminale: për të blerë smartphone përmes llogarisë së abonentit, për të kthyer milje compagnieve ajrore me kartat dhuratë dhe forma të tjera mashtrimi.
Minatorët
Një nga vizitorët e parë të sistemit tonë rezultoi të ishte një minator. Ai ngarkoi në të një softuer për minimin e Monero. Ai nuk do të ishte në gjendje të fitonte shumë në sistemin tonë të veçantë për shkak të performancës së ulët. Megjithatë, nëse do të bashkoheshin disa dhjetëra ose madje qindra nga këto sisteme, do të mund të ishte një arritje e mirë.
Shkërdhimi
Gjatë kohës së punës së honeypotit, u përballëm dy herë me viruse të vërteta kërcënuese. Në rastin e parë ishte Crysis. Operatoret e tij hynë në sistem përmes VNC, por më pas instaluan TeamViewer dhe me të kryenin veprimet e tjera. Pas pritjes së mesazhit të kërkesës për shpërblim prej 10 mijë dollarë në BTC, ne u angazhuam në biseda me kriminelët, duke u kërkuar atyre të na dekriptojnë një nga skedarët. Ata e përmbushën kërkesën dhe përsëritën kërkesën për shpërblim. Na arriti të negociojmë deri në 6 mijë dollarë, pas së cilës ne thjesht e rimbushëm sistemin në një virtual, pasi morëm gjitha informacionin e nevojshëm.
Shkërdhimi i dytë rezultoi të ishte Phobos. Hakeri që e instaloi, pas një ore shqyrtoi sistemin e skedarëve të honeypotit dhe skanoi rrjetin, e më pas gjithsesi instaloi kërcënuesin.
Sulmi i tretë i kërcënuesit ishte i rremë. Një "haker" shkarkoi në sistemin tonë skedarin haha.bat, pas së cilës për një kohë shikuam sesi ai përpiqej ta bënte atë të funksiononte. Një nga përpjekjet ishte rinaming haha.bat në haha.rnsmwr.
"Hakeri" rriti dëmshmërinë e skedarit bat, duke ndryshuar zgjerimin e saj në .rnsmwr. Burimi: Trend Micro
Kur skedari bat më në fund filloi të funksiononte, "hakeri" e redaktoi atë, duke e rritur shpërblimin nga 200 në 750 dollarë. Pas kësaj, ai "e kodoi" të gjitha skedarët, la një mesazh kërcënimi në desktop dhe u zhduk, duke ndërruar fjalëkalimet për VNC-në tonë.
Pas disa ditësh, hakeri u kthye për të na kujtuar, duke e aktivizuar skedarin, i cili hapte shumë dritare me një faqe pornografike. Dukej se kështu ai përpiqej të tërhiqte vëmendjen e kërkesës së tij.
Përfundimet
Gjatë hulumtimit u zbulua se sa herë që informacioni mbi ndjeshmërinë u publikua, honeypoti tërhoqi vëmendjen me një rritje të aktiviteteve nga dita në ditë. Për të bërë që gracka të tërhiqe vëmendje, duhej të lejohej një numër i konsiderueshëm shkeljesh të sigurisë së kompanisë sonë të shtirur. Fatkeqësisht, një situatë e tillë nuk është e pazakontë për shumë kompani reale, që nuk kanë stafin e TI dhe të sigurisë përkatëse.
Në përgjithësi, organizatat duhet të përdorin parimin e privilegjeve më të vogla, ndërsa ne zbatonim plotësisht kundërshtimin e tij për të tërhequr sulmuesit. Dhe sa më gjatë kemi vëzhguar sulmet, aq më të sofistikuara ato bëheshin krahasuar me metodat standarde të testimit të penetrimit.
Dhe më e rëndësishmja: të gjitha këto sulme do të kishin dështuar, nëse do të ishin zbatuar masa adekuate të sigurisë në konfigurimin e rrjetit. Organizatat duhet të kujdesen që pajisjet e tyre dhe komponentët e infrastrukturës industriale të mos jenë të aksesueshëm nga interneti, siç e bëmë ne me qëllim në grackën tonë.
Megjithëse nuk kemi regjistruar asnjë sulm në ARM e inxhinierit, pavarësisht se përdorej të njëjtin fjalëkalim të administratorit lokal në të gjitha kompjuterët, është e rëndësishme të shmanget kjo praktikë, për të minimizuar mundësinë e depërtimit. Sepse një siguri e dobët shërben si një ftesë shtesë për sulm në sistemet industriale, të cilat tashmë kohë kanë tërhequr interesin e kriminelëve kibernetik.
Burimi: habr.com
