Неописиво привлачно: како смо створили лонац меда који се не може изложити

Антивирусне компаније, стручњаци за безбедност информација и једноставно ентузијасти постављају хонеипот системе на Интернет како би „ухватили“ нову варијанту вируса или идентификовали необичне хакерске тактике. Хонеипотс су толико чести да су сајбер криминалци развили неку врсту имунитета: брзо идентификују да су пред замком и једноставно је игноришу. Да бисмо истражили тактику модерних хакера, направили смо реалистичан медени лонац који је живео на Интернету седам месеци, привлачећи разне нападе. Разговарали смо о томе како се то догодило у нашој студији “Ухваћени на делу: Покретање реалистичног фабричког Хонеипот-а за хватање стварних претњи" Неке чињенице из студије су у овом посту.

Хонеипот развој: контролна листа

Главни задатак у креирању наше суперзамке био је да нас спречи да нас разоткрију хакери који су показали интересовање за њу. Ово је захтевало много рада:

1. Направите реалистичну легенду о компанији, укључујући пуна имена и фотографије запослених, бројеве телефона и е-пошту.
2. Осмислити и имплементирати модел индустријске инфраструктуре који одговара легенди о активностима наше компаније.
3. Одлучите које мрежне услуге ће бити доступне споља, али немојте се заносити отварањем рањивих портова како то не би изгледало као замка за наивчине.
4. Организујте видљивост цурења информација о рањивом систему и дистрибуирајте ове информације међу потенцијалним нападачима.
5. Спроведите дискретно праћење хакерских активности у инфраструктури хонеипот.

А сада о свему по реду.

Стварање легенде

Сајбер-криминалци су већ навикли да наилазе на много меда, па најнапреднији део њих спроводи детаљну истрагу сваког рањивог система како би се уверио да то није замка. Из истог разлога, настојали смо да обезбедимо да лонац не буде реалан само у погледу дизајна и техничких аспеката, већ и да створимо изглед праве компаније.

Стављајући се у кожу хипотетичког цоол хакера, развили смо алгоритам за верификацију који би разликовао прави систем од замке. То је укључивало тражење ИП адреса компаније у системима репутације, обрнуто истраживање историје ИП адреса, тражење имена и кључних речи у вези са компанијом, као и њеним партнерима и многе друге ствари. Као резултат тога, легенда се показала прилично убедљивом и атрактивном.

Одлучили смо да фабрику мамаца позиционирамо као мали индустријски бутик за израду прототипа који ради за веома велике анонимне клијенте у сегменту војске и авијације. Ово нас је ослободило правних компликација повезаних са коришћењем постојећег бренда.

Затим смо морали да смислимо визију, мисију и назив организације. Одлучили смо да наша компанија буде стартап са малим бројем запослених, од којих је сваки оснивач. Ово је додало кредибилитет причи о специјализованој природи нашег пословања, што му омогућава да се бави осетљивим пројектима за велике и важне клијенте. Желели смо да наша компанија изгледа слабо из перспективе сајбер безбедности, али је у исто време било очигледно да радимо са важним средствима на циљним системима.

Снимак екрана веб локације МеТецх хонеипот. Извор: Тренд Мицро

За име компаније изабрали смо реч МеТецх. Сајт је направљен на основу бесплатног шаблона. Слике су преузете из фото банака, користећи оне најнепопуларније и модификоване како би биле мање препознатљиве.

Желели смо да компанија изгледа стварно, па смо морали да додамо запослене са професионалним вештинама које одговарају профилу делатности. Осмислили смо имена и личности за њих, а затим покушали да одаберемо слике из фото банака према етничкој припадности.

Снимак екрана веб локације МеТецх хонеипот. Извор: Тренд Мицро

Да не бисмо били откривени, тражили смо квалитетне групне фотографије од којих смо могли да бирамо лица која су нам потребна. Међутим, тада смо напустили ову опцију, јер би потенцијални хакер могао да користи обрнуту претрагу слика и открије да наши „запослени“ живе само у фото банкама. На крају смо користили фотографије непостојећих људи направљене помоћу неуронских мрежа.

Профили запослених објављени на сајту садржали су важне информације о њиховим техничким вештинама, али смо избегавали да идентификујемо одређене школе или градове.
За креирање поштанских сандучића користили смо сервер хостинг провајдера, а затим изнајмили неколико телефонских бројева у Сједињеним Државама и комбиновали их у виртуелну ПБКС са гласовним менијем и телефонском секретарицом.

Хонеипот инфраструктура

Да бисмо избегли излагање, одлучили смо да користимо комбинацију стварног индустријског хардвера, физичких рачунара и сигурних виртуелних машина. Гледајући унапред, рећи ћемо да смо резултат наших напора проверили користећи Сходан претраживач, и показао је да хонеипот изгледа као прави индустријски систем.

Резултат скенирања меда помоћу Сходана. Извор: Тренд Мицро

Користили смо четири ПЛЦ-а као хардвер за нашу замку:

• Сиеменс С7-1200,
• два АлленБрадлеи МицроЛогик 1100,
• Омрон ЦП1Л.

Ови ПЛЦ-ови су одабрани због њихове популарности на глобалном тржишту управљачких система. И сваки од ових контролера користи свој протокол, који нам је омогућио да проверимо који од ПЛЦ-ова би били чешће нападнути и да ли би некога у принципу занимали.

Опрема наше "фабрике"-замке. Извор: Тренд Мицро

Нисмо само инсталирали хардвер и повезали га на Интернет. Програмирали смо сваки контролер за обављање задатака, укључујући

• мешање,
• контрола горионика и транспортне траке,
• палетирање помоћу роботског манипулатора.

А да бисмо производни процес учинили реалистичним, програмирали смо логику да насумично мења параметре повратне спреге, симулира покретање и заустављање мотора и паљење и искључивање горионика.

Наша фабрика је имала три виртуелна рачунара и један физички. Виртуелни рачунари су коришћени за управљање постројењем, роботом палетизатором и као радна станица за софтверског инжењера ПЛЦ-а. Физички рачунар је радио као сервер датотека.

Поред праћења напада на ПЛЦ-ове, желели смо да пратимо статус програма учитаних на нашим уређајима. Да бисмо то урадили, креирали смо интерфејс који нам је омогућио да брзо одредимо како су модификована стања наших виртуелних актуатора и инсталација. Већ у фази планирања открили смо да је то много лакше имплементирати помоћу управљачког програма него директним програмирањем логике контролера. Отворили смо приступ интерфејсу за управљање уређајем нашег хонеипот-а преко ВНЦ-а без лозинке.

Индустријски роботи су кључна компонента модерне паметне производње. С тим у вези, одлучили смо да опреми наше фабрике замки додамо робота и аутоматизовано радно место за контролу истог. Да би „фабрика“ била реалистичнија, инсталирали смо прави софтвер на контролну радну станицу, који инжењери користе да графички програмирају логику робота. Па, пошто се индустријски роботи обично налазе у изолованој интерној мрежи, одлучили смо да оставимо незаштићени приступ преко ВНЦ-а само контролној радној станици.

РоботСтудио окружење са 3Д моделом нашег робота. Извор: Тренд Мицро

Инсталирали смо програмско окружење РоботСтудио компаније АББ Роботицс на виртуелну машину са радном станицом за управљање роботом. Након што смо конфигурисали РоботСтудио, отворили смо симулациони фајл са нашим роботом у њему тако да је његова 3Д слика била видљива на екрану. Као резултат тога, Сходан и други претраживачи, након што открију необезбеђен ВНЦ сервер, зграбиће ову слику на екрану и показати је онима који траже индустријске роботе са отвореним приступом контроли.

Сврха ове пажње посвећене детаљима била је да се створи атрактивна и реална мета за нападаче који би јој се, када би је пронашли, враћали изнова и изнова.

Инжењерска радна станица

Да бисмо програмирали ПЛЦ логику, инфраструктури смо додали инжењерски рачунар. На њему је инсталиран индустријски софтвер за ПЛЦ програмирање:

• ТИА Портал за Сиеменс,
• МицроЛогик за Аллен-Брадлеи контролер,
• ЦКС-Оне за Омрон.

Одлучили смо да инжењерски радни простор неће бити доступан ван мреже. Уместо тога, постављамо исту лозинку за администраторски налог као на радној станици за контролу робота и на фабричкој контролној радној станици која је доступна са Интернета. Ова конфигурација је прилично уобичајена у многим компанијама.
Нажалост, упркос свим нашим напорима, ниједан нападач није стигао до радне станице инжењера.

Филе сервер

Требао нам је као мамац за нападаче и као средство за подршку сопственог „рада“ у фабрици мамаца. Ово нам је омогућило да делимо датотеке са нашим хонеипотом користећи УСБ уређаје без остављања трага на мрежи хонеипот. Инсталирали смо Виндовс 7 Про као ОС за сервер датотека, у којем смо креирали заједничку фасциклу коју свако може читати и писати.

У почетку нисмо направили никакву хијерархију фасцикли и докумената на серверу датотека. Међутим, касније смо открили да нападачи активно проучавају ову фасциклу, па смо одлучили да је попунимо разним датотекама. Да бисмо то урадили, написали смо питхон скрипту која је креирала фајл насумичне величине са једним од датих екстензија, формирајући име на основу речника.

Скрипта за генерисање атрактивних имена датотека. Извор: Тренд Мицро

Након покретања скрипте, добили смо жељени резултат у виду фасцикле испуњене датотекама са веома занимљивим именима.

Резултат сценарија. Извор: Тренд Мицро

Мониторинг окружења

Пошто смо потрошили толико труда на стварање реалне компаније, једноставно нисмо могли да приуштимо да подбацимо окружење за праћење наших „посетилаца“. Требали смо да добијемо све податке у реалном времену, а да нападачи не схвате да их прате.

Ово смо имплементирали користећи четири УСБ на Етхернет адаптера, четири СхаркТап Етхернет славине, Распберри Пи 3 и велики екстерни диск. Наш мрежни дијаграм је изгледао овако:

Хонеипот мрежни дијаграм са опремом за праћење. Извор: Тренд Мицро

Поставили смо три СхаркТап славине тако да пратимо сав екстерни саобраћај до ПЛЦ-а, доступан само са интерне мреже. Четврти СхаркТап пратио је саобраћај гостију рањиве виртуелне машине.

СхаркТап Етхернет Тап и Сиерра бежични АирЛинк РВ50 рутер. Извор: Тренд Мицро

Распберри Пи је обављао дневно снимање саобраћаја. Повезали смо се на Интернет користећи Сиерра Вирелесс АирЛинк РВ50 целуларни рутер, који се често користи у индустријским предузећима.

Нажалост, овај рутер нам није дозволио да селективно блокирамо нападе који нису одговарали нашим плановима, па смо додали Цисцо АСА 5505 заштитни зид мрежи у транспарентном режиму како бисмо извршили блокирање са минималним утицајем на мрежу.

Анализа саобраћаја

Тсхарк и тцпдумп су погодни за брзо решавање актуелних проблема, али у нашем случају њихове могућности нису биле довољне, пошто смо имали много гигабајта саобраћаја, који је анализирало неколико људи. Користили смо Молоцх анализатор отвореног кода који је развио АОЛ. По функционалности је упоредив са Виресхарком, али има више могућности за сарадњу, описивање и означавање пакета, извоз и друге задатке.

Пошто нисмо хтели да обрађујемо прикупљене податке на хонеипот рачунарима, ПЦАП дампови су се свакодневно извозили у АВС складиште, одакле смо их већ увезли на Молоцх машину.

Снимање екрана

Да бисмо документовали акције хакера у нашем хонеипот-у, написали смо скрипту која је направила снимке екрана виртуелне машине у датом интервалу и, упоређујући га са претходним снимком екрана, утврдила да ли се тамо нешто дешава или не. Када је откривена активност, скрипта је укључивала снимање екрана. Овај приступ се показао најефикаснијим. Такође смо покушали да анализирамо ВНЦ саобраћај из ПЦАП депоније да бисмо разумели које су се промене десиле у систему, али се на крају показало да је снимање екрана које смо имплементирали једноставније и визуелније.

Надгледање ВНЦ сесија

За ово смо користили Цхаосреадер и ВНЦЛоггер. Оба услужна програма издвајају притиске тастера из ПЦАП депоније, али ВНЦЛоггер исправније рукује тастерима као што су Бацкспаце, Ентер, Цтрл.

ВНЦЛоггер има два недостатка. Прво: може да издвоји кључеве само „слушајући“ саобраћај на интерфејсу, тако да смо морали да симулирамо ВНЦ сесију за њега користећи тцпреплаи. Други недостатак ВНЦЛоггер-а је заједнички са Цхаосреадер-ом: оба не приказују садржај међуспремника. Да бих то урадио, морао сам да користим Виресхарк.

Ми мамимо хакере

Створили смо лонац за напад. Да бисмо то постигли, организовали смо цурење информација како бисмо привукли пажњу потенцијалних нападача. Следећи портови су отворени на хонеипот:

РДП порт је морао да се затвори убрзо након што смо објавили уживо јер је огромна количина саобраћаја скенирања на нашој мрежи изазивала проблеме са перформансама.
ВНЦ терминали су прво радили у режиму само за преглед без лозинке, а онда смо их „грешком“ пребацили у режим пуног приступа.

Да бисмо привукли нападаче, поставили смо два поста са процурелим информацијама о доступном индустријском систему на ПастеБин-у.

Један од постова постављених на ПастеБин да би привукао нападе. Извор: Тренд Мицро

Napadi

Хонеипот је живео на мрежи око седам месеци. Први напад се догодио месец дана након што је хонеипот изашао на мрежу.

Скенери

Било је доста саобраћаја са скенера познатих компанија - ип-ип, Рапид, Схадов Сервер, Сходан, ЗоомЕие и других. Било их је толико да смо морали да искључимо њихове ИП адресе из анализе: 610 од 9452 или 6,45% свих јединствених ИП адреса припадало је потпуно легитимним скенерима.

Мошенники

Један од највећих ризика са којима смо се суочили је коришћење нашег система у криминалне сврхе: за куповину паметних телефона преко рачуна претплатника, исплату авио миља коришћењем поклон картица и друге врсте превара.

рудари

Испоставило се да је један од првих посетилаца нашег система рудар. На њега је преузео софтвер за рударење Монеро. Он не би могао да заради много новца на нашем систему због ниске продуктивности. Међутим, ако удружимо напоре неколико десетина или чак стотина таквих система, могло би да испадне сасвим добро.

Рансомваре

Током рада хонеипота два пута смо се сусрели са правим рансомваре вирусима. У првом случају то је био Црисис. Његови оператери су се пријавили на систем преко ВНЦ-а, али су потом инсталирали ТеамВиевер и користили га за обављање даљих радњи. Након што смо чекали поруку изнуде која је захтевала откуп од 10 долара у БТЦ-у, ушли смо у преписку са криминалцима, тражећи од њих да нам дешифрују један од фајлова. Удовољили су захтеву и поновили захтев за откупнином. Успели смо да испреговарамо до 6 хиљада долара, након чега смо једноставно поново поставили систем на виртуелну машину, пошто смо добили све потребне информације.

Испоставило се да је други рансомваре Фобос. Хакер који га је инсталирао провео је сат времена претражујући систем датотека хонеипот и скенирајући мрежу, а затим је коначно инсталирао рансомваре.
Испоставило се да је трећи напад рансомваре-а био лажан. Непознати „хакер“ је преузео хаха.бат фајл на наш систем, након чега смо неко време гледали како он покушава да га покрене. Један од покушаја је био да се хаха.бат преименује у хаха.рнсмвр.

„Хакер“ повећава штетност бат датотеке мењајући њену екстензију у .рнсмвр. Извор: Тренд Мицро

Када је батцх фајл коначно почео да ради, „хакер“ га је уредио, повећавши откупнину са 200 на 750 долара. Након тога је „шифровао“ све датотеке, оставио поруку изнуде на радној површини и нестао, мењајући лозинке на нашем ВНЦ-у.

Неколико дана касније, хакер се вратио и, да се подсетимо, покренуо батцх фајл који је отворио многе прозоре са порно сајтом. Очигледно је на овај начин покушао да скрене пажњу на свој захтев.

Резултати

Током студије показало се да чим је објављена информација о рањивости, медени пот је привукао пажњу, а активност је расла из дана у дан. Да би замка привукла пажњу, наша фиктивна компанија морала је да претрпи вишеструке пропусте у безбедности. Нажалост, ова ситуација је далеко од неуобичајеног међу многим стварним компанијама које немају стално запослене у ИТ и информационој безбедности.

Уопштено говорећи, организације треба да користе принцип најмање привилегија, док смо ми применили управо супротно од њега да бисмо привукли нападаче. И што смо дуже гледали нападе, постајали су софистициранији у поређењу са стандардним методама тестирања пенетрације.

И што је најважније, сви ови напади би пропали да су при постављању мреже примењене адекватне мере безбедности. Организације морају осигурати да њихова опрема и компоненте индустријске инфраструктуре нису доступне са Интернета, као што смо посебно урадили у нашој замци.

Иако нисмо забележили ниједан напад на радну станицу инжењера, упркос коришћењу исте лозинке локалног администратора на свим рачунарима, ову праксу треба избегавати како би се минимизирала могућност упада. На крају крајева, слаба безбедност служи као додатна позивница за напад на индустријске системе, који су дуго били интересантни сајбер криминалцима.

Извор: ввв.хабр.цом