Истражујући случајеве који се односе на пхисхинг, ботнетове, лажне трансакције и криминалне хакерске групе, стручњаци Гроуп-ИБ користе анализу графикона дуги низ година да идентификују различите врсте веза. Различити случајеви имају сопствене скупове података, сопствене алгоритме за идентификацију веза и интерфејсе прилагођене специфичним задацима. Све ове алате је интерно развио Гроуп-ИБ и били су доступни само нашим запосленима.

Графичка анализа мрежне инфраструктуре (мрежни граф) постао је први интерни алат који смо уградили у све јавне производе компаније. Пре креирања нашег мрежног графикона, анализирали смо много сличних дешавања на тржишту и нисмо пронашли ниједан производ који би задовољио наше сопствене потребе. У овом чланку ћемо говорити о томе како смо креирали мрежни граф, како га користимо и са каквим смо потешкоћама наишли.

Дмитриј Волков, ЦТО Гроуп-ИБ и шеф сајбер обавештајне службе

Шта може да уради Гроуп-ИБ мрежни графикон?

Истраге

Од оснивања Групе-ИБ 2003. године до данас, идентификација, деканизација и привођење сајбер криминалаца пред лице правде је главни приоритет у нашем раду. Ниједна истрага о сајбер нападима није била потпуна без анализе мрежне инфраструктуре нападача. На самом почетку нашег путовања, био је то прилично мукотрпан „ручни рад“ у потрази за односима који би могли да помогну у идентификацији криминалаца: информације о именима домена, ИП адресама, дигиталним отисцима сервера итд.

Већина нападача покушава да делује што је могуће анонимније на мрежи. Међутим, као и сви људи, греше. Главни циљ такве анализе је проналажење „белих“ или „сиве“ историјских пројеката нападача који имају укрштање са злонамерном инфраструктуром која се користи у актуелном инциденту који истражујемо. Ако је могуће открити „беле пројекте“, онда проналажење нападача, по правилу, постаје тривијалан задатак. У случају „сивих“, претрага захтева више времена и труда, јер њихови власници покушавају да анонимизују или сакрију податке о регистрацији, али шансе остају прилично велике. По правилу, на почетку својих криминалних активности, нападачи мање обраћају пажњу на сопствену безбедност и праве више грешака, па што дубље уђемо у причу, веће су шансе за успешну истрагу. Зато је мрежни граф са добром историјом изузетно важан елемент такве истраге. Једноставно речено, што компанија има дубље историјске податке, то је бољи њен графикон. Рецимо да историја од 5 година може помоћи у решавању, условно, 1-2 од 10 злочина, а историја од 15 година даје шансу да се реши свих десет.

Пецање и откривање превара

Сваки пут када добијемо сумњиву везу ка пхисхинг, лажном или пиратском ресурсу, ми аутоматски правимо графикон повезаних мрежних ресурса и проверавамо све пронађене хостове за сличан садржај. Ово вам омогућава да пронађете како старе пхисхинг локације које су биле активне, али непознате, тако и потпуно нове које су припремљене за будуће нападе, али се још не користе. Елементарни пример који се често јавља: ​​пронашли смо пхисхинг сајт на серверу са само 5 сајтова. Проверавањем сваког од њих налазимо пхисхинг садржај на другим сајтовима, што значи да можемо да блокирамо 5 уместо 1.

Потражите позадине

Овај процес је неопходан да би се утврдило где се злонамерни сервер заправо налази.
99% продавница картица, хакерских форума, многих пхисхинг ресурса и других злонамерних сервера скривено је и иза сопствених прокси сервера и иза проксија легитимних услуга, на пример, Цлоудфларе. Знање о стварном бацкенду је веома важно за истраге: постаје познат хостинг провајдер од кога се сервер може запленити и постаје могуће изградити везе са другим злонамерним пројектима.

На пример, имате пхисхинг сајт за прикупљање података о банковним картицама који се решавају на ИП адресу 11.11.11.11 и адресу продавнице картица која се решава на ИП адресу 22.22.22.22. Током анализе може се испоставити да и пхисхинг сајт и цардсхоп имају заједничку позадинску ИП адресу, на пример, 33.33.33.33. Ово знање нам омогућава да изградимо везу између пхисхинг напада и продавнице картица у којој се могу продати подаци о банковним картицама.

Корелација догађаја

Када имате два различита окидача (рецимо на ИДС-у) са различитим малвером и различитим серверима за контролу напада, третираћете их као два независна догађаја. Али ако постоји добра веза између злонамерних инфраструктура, онда постаје очигледно да то нису различити напади, већ фазе једног, сложенијег вишестепеног напада. А ако је један од догађаја већ приписан било којој групи нападача, онда се и други може приписати истој групи. Наравно, процес атрибуције је много сложенији, па ово третирајте као једноставан пример.

Обогаћивање индикатора

Нећемо обраћати много пажње на ово, јер је ово најчешћи сценарио за коришћење графова у сајбер безбедности: дајете један индикатор као улаз, а као излаз добијате низ повезаних индикатора.

Идентификовање образаца

Препознавање образаца је од суштинског значаја за ефикасан лов. Графикони вам омогућавају не само да пронађете повезане елементе, већ и да идентификујете заједничка својства која су карактеристична за одређену групу хакера. Познавање таквих јединствених карактеристика вам омогућава да препознате инфраструктуру нападача чак иу фази припреме и без доказа који потврђују напад, као што су пхисхинг мејлови или малвер.

Зашто смо направили сопствени мрежни графикон?

Опет, погледали смо решења различитих произвођача пре него што смо дошли до закључка да морамо да развијемо сопствени алат који би могао да уради нешто што ниједан постојећи производ не може. Било је потребно неколико година за његову израду, током којих смо је неколико пута потпуно мењали. Али, упркос дугом периоду развоја, још увек нисмо пронашли ниједан аналог који би задовољио наше захтеве. Користећи сопствени производ, на крају смо успели да решимо скоро све проблеме које смо открили у постојећим мрежним графовима. У наставку ћемо детаљно размотрити ове проблеме:

проблем
одлука

Недостатак провајдера са различитим збиркама података: домени, пасивни ДНС, пасивни ССЛ, ДНС записи, отворени портови, покретање сервиса на портовима, фајлови у интеракцији са именима домена и ИП адресама. Објашњење. Обично провајдери пружају засебне типове података, а да бисте добили потпуну слику, морате да купите претплату од свих. Чак и тако, није увек могуће добити све податке: неки пасивни ССЛ провајдери пружају податке само о сертификатима које су издали поуздани ЦА, а њихова покривеност самопотписаним сертификатима је изузетно лоша. Други такође пружају податке користећи самопотписане сертификате, али их прикупљају само са стандардних портова.
Све наведене колекције смо сами прикупили. На пример, да бисмо прикупили податке о ССЛ сертификатима, написали смо сопствену услугу која их прикупља и од поузданих ЦА и скенирањем целог ИПв4 простора. Цертификати су прикупљени не само са ИП-а, већ и са свих домена и поддомена из наше базе података: ако имате домен екампле.цом и његов поддомен ввв.екампле.цом и сви се решавају на ИП 1.1.1.1, онда када покушате да добијете ССЛ сертификат са порта 443 на ИП-у, домену и његовом поддомену, можете добити три различита резултата. Да бисмо прикупили податке о отвореним портовима и покренутим сервисима, морали смо да направимо сопствени дистрибуирани систем за скенирање, јер су друге услуге често имале ИП адресе својих сервера за скенирање на „црним листама“. Наши сервери за скенирање такође завршавају на црним листама, али резултат откривања услуга које су нам потребне је већи од резултата оних који једноставно скенирају што више портова и продају приступ овим подацима.

Недостатак приступа целокупној бази историјских записа. Објашњење. Сваки нормалан добављач има добру акумулирану историју, али из природних разлога ми, као клијент, нисмо могли да добијемо приступ свим историјским подацима. Оне. Можете добити целу историју за један запис, на пример, по домену или ИП адреси, али не можете да видите историју свега - а без тога не можете видети пуну слику.
Да бисмо прикупили што више историјских записа о доменима, купили смо разне базе података, анализирали многе отворене ресурсе који су имали ову историју (добро је да их је било много) и преговарали са регистраторима имена домена. Сва ажурирања наших сопствених колекција се наравно чувају са пуном историјом ревизија.

Сва постојећа решења вам омогућавају да ручно направите графикон. Објашњење. Рецимо да сте купили много претплата од свих могућих добављача података (који се обично називају „обогаћивачи“). Када треба да направите графикон, „рукама“ дате команду да се изгради од жељеног елемента везе, затим изаберете потребне од елемената који се појављују и дате команду да се везе из њих доврше и тако даље. У овом случају, одговорност за то колико ће графикон бити добро направљен лежи у потпуности на особи.
Направили смо аутоматску конструкцију графикона. Оне. ако треба да направите графикон, онда се везе од првог елемента граде аутоматски, а затим и од свих наредних такође. Специјалиста само указује на дубину на којој треба да се изгради графикон. Процес аутоматског попуњавања графикона је једноставан, али га други произвођачи не примењују јер даје огроман број небитних резултата, а морали смо да узмемо у обзир и овај недостатак (види доле).

Многи ирелевантни резултати представљају проблем са свим графовима мрежних елемената. Објашњење. На пример, „лош домен“ (учествовао у нападу) је повезан са сервером који има 10 других домена повезаних са њим у последњих 500 година. Приликом ручног додавања или аутоматског конструисања графикона, свих ових 500 домена такође треба да се појави на графикону, иако нису повезани са нападом. Или, на пример, проверите ИП индикатор из безбедносног извештаја продавца. Обично се такви извештаји објављују са значајним закашњењем и често трају годину дана или више. Највероватније, у време када прочитате извештај, сервер са овом ИП адресом је већ изнајмљен другим људима са другим везама, а прављење графикона ће опет довести до тога да добијете небитне резултате.
Обучили смо систем да идентификује небитне елементе користећи исту логику као што су наши стручњаци радили ручно. На пример, проверавате лош домен екампле.цом, који се сада решава на ИП 11.11.11.11, а пре месец дана - на ИП 22.22.22.22. Поред домена екампле.цом, ИП 11.11.11.11 је такође повезан са екампле.ру, а ИП 22.22.22.22 је повезан са 25 хиљада других домена. Систем, као и особа, разуме да је 11.11.11.11 највероватније наменски сервер, а пошто је домен екампле.ру сличан правопису екампле.цом, онда су, са великом вероватноћом, повезани и требало би да буду на граф; али ИП 22.22.22.22 припада дељеном хостингу, тако да сви његови домени не морају да буду укључени у графикон осим ако постоје друге везе које показују да један од ових 25 хиљада домена такође треба да буде укључен (на пример, екампле.нет) . Пре него што систем схвати да везе треба прекинути и неке елементе не преместити на графикон, узима у обзир многа својства елемената и кластера у које су ови елементи комбиновани, као и јачину тренутних веза. На пример, ако имамо мали кластер (50 елемената) на графикону, који укључује лош домен, и други велики кластер (5 хиљада елемената) и оба кластера су повезана везом (линија) са веома малом снагом (тежином) , онда ће таква веза бити прекинута и елементи из великог кластера ће бити уклоњени. Али ако постоји много веза између малих и великих кластера и њихова снага се постепено повећава, онда у овом случају веза неће бити прекинута и потребни елементи из оба кластера ће остати на графикону.

Интервал власништва сервера и домена се не узима у обзир. Објашњење. „Лоши домени“ ће пре или касније истећи и поново ће бити купљени у злонамерне или легитимне сврхе. Чак и непробојни хостинг сервери се изнајмљују различитим хакерима, тако да је кључно знати и узети у обзир интервал када је одређени домен/сервер био под контролом једног власника. Често се сусрећемо са ситуацијом да се сервер са ИП 11.11.11.11 сада користи као Ц&Ц за банкарски бот, а пре 2 месеца га је контролисао Рансомваре. Ако успоставимо везу без узимања у обзир интервала власништва, изгледаће као да постоји веза између власника банкарског ботнета и рансомваре-а, иако је у ствари нема. У нашем раду таква грешка је критична.
Научили смо систем да одреди интервале власништва. За домене је то релативно једноставно, јер вхоис често садржи датуме почетка и истека регистрације и, када постоји комплетна историја вхоис промена, лако је одредити интервале. Када регистрација домена није истекла, али је управљање њиме пренето на друге власнике, може се пратити и он. Не постоји такав проблем за ССЛ сертификате, јер се издају једном и не обнављају се или преносе. Али са самопотписаним сертификатима, не можете веровати датумима наведеним у периоду важења сертификата, јер можете да генеришете ССЛ сертификат данас и наведете датум почетка сертификата од 2010. Најтеже је одредити интервале власништва за сервере, јер само хостинг провајдери имају датуме и периоде изнајмљивања. Да бисмо одредили период власништва сервера, почели смо да користимо резултате скенирања портова и креирања отисака прстију покренутих сервиса на портовима. Користећи ове информације, можемо прилично тачно рећи када се променио власник сервера.

Мало веза. Објашњење. Данас није чак ни проблем добити бесплатну листу домена чији вхоис садржи одређену адресу е-поште, или сазнати све домене који су повезани са одређеном ИП адресом. Али када су у питању хакери који дају све од себе да их је тешко пратити, потребни су нам додатни трикови да пронађемо нова својства и изградимо нове везе.
Провели смо доста времена истражујући како бисмо могли да извучемо податке који нису били доступни на конвенционалан начин. Не можемо овде да опишемо како то функционише из очигледних разлога, али под одређеним околностима, хакери, приликом регистрације домена или изнајмљивања и подешавања сервера, праве грешке које им омогућавају да сазнају адресе е-поште, псеудониме хакера и позадинске адресе. Што више веза издвојите, прецизније графике можете направити.

Како функционише наш графикон

Да бисте почели да користите мрежни графикон, потребно је да унесете домен, ИП адресу, е-пошту или отисак прста ССЛ сертификата у траку за претрагу. Постоје три услова која аналитичар може да контролише: време, дубина корака и чишћење.

Време

Време – датум или интервал када је тражени елемент коришћен у злонамерне сврхе. Ако не наведете овај параметар, систем ће сам одредити последњи интервал власништва за овај ресурс. На пример, 11. јула Есет је објавио пријавити о томе како Бухтрап користи 0-даи екплоит за сајбер шпијунажу. На крају извештаја налази се 6 индикатора. Једна од њих, сецуре-телеметри[.]нет, поново је регистрована 16. јула. Стога, ако направите графикон после 16. јула, добићете небитне резултате. Али ако наведете да је овај домен коришћен пре овог датума, онда графикон укључује 126 нових домена, 69 ИП адреса које нису наведене у Есет извештају:

• укрфресхневс[.]цом
• униан-сеарцх[.]цом
• вести-ворлд[.]инфо
• руневсмета[.]цом
• фокневсмета[.]биз
• собеседник-мета[.]инфо
• риан-уа[.]нет
• итд

Поред мрежних индикатора, одмах проналазимо везе са злонамерним датотекама које су имале везе са овом инфраструктуром и ознаке које нам говоре да су коришћени Метерпретер и АЗОРулт.

Одлична ствар је што овај резултат добијате у року од једне секунде и више не морате да проводите дане анализирајући податке. Наравно, овакав приступ понекад значајно скраћује време за истрагу, што је често критично.

Број корака или дубина рекурзије са којом ће граф бити изграђен

Подразумевано, дубина је 3. То значи да ће сви директно повезани елементи бити пронађени из жељеног елемента, затим ће се изградити нове везе од сваког новог елемента са другим елементима, а нови елементи ће бити креирани од нових елемената из последњег елемента. Корак.

Узмимо пример који се не односи на АПТ и 0-дневне експлоатације. Недавно је на Хабреу описан занимљив случај преваре у вези са криптовалутама. У извештају се помиње домен тхемцк[.]цо, који преваранти користе за хостовање веб локације која наводно представља размену кованица за рударе и тражење телефона[.]киз за привлачење саобраћаја.

Из описа је јасно да шема захтева прилично велику инфраструктуру да би привукла саобраћај на лажне ресурсе. Одлучили смо да погледамо ову инфраструктуру тако што смо направили графикон у 4 корака. Излаз је био графикон са 230 домена и 39 ИП адреса. Затим делимо домене у 2 категорије: оне који су слични сервисима за рад са криптовалутама и они који су намењени за усмеравање саобраћаја путем услуга верификације телефона:

Везано за криптовалуте
Повезано са услугама пробијања телефона

чувар новца[.]цц
цаллер-рецорд[.]сајт.

мцкваллет[.]цо
телефонски записи[.]простор

бтцноисе[.]цом
фоне-унцовер[.]киз

криптоминер[.]сат
нумбер-унцовер[.]инфо

Чишћење

Подразумевано, опција „Чишћење графикона“ је омогућена и сви небитни елементи ће бити уклоњени са графикона. Иначе, коришћен је у свим претходним примерима. Предвиђам природно питање: како можемо осигурати да нешто важно не буде избрисано? Одговорићу: за аналитичаре који воле да граде графиконе ручно, може се онемогућити аутоматизовано чишћење и може се изабрати број корака = 1. Затим ће аналитичар моћи да заврши графикон од елемената који су му потребни и да уклони елементе из графикона који су небитни за задатак.

Већ на графикону аналитичару постаје доступна историја промена у вхоис-у, ДНС-у, као и отвореним портовима и сервисима који на њима раде.

Финансијска пхисхинг

Истраживали смо активности једне АПТ групе, која је неколико година спроводила пхисхинг нападе на клијенте разних банака у различитим регионима. Карактеристична карактеристика ове групе била је регистрација домена веома сличних називима правих банака, а већина пхисхинг сајтова је имала исти дизајн, а разлике су биле само у називима банака и њиховим логотипима.

У овом случају нам је много помогла аутоматска анализа графикона. Узимајући један од њихових домена - ллоидсбнк-ук[.]цом, за неколико секунди направили смо графикон са дубином од 3 корака, који је идентификовао више од 250 злонамерних домена које ова група користи од 2015. године и настављају да се користе . Неке од ових домена су банке већ купиле, али историјски записи показују да су претходно били регистровани на нападаче.

Ради јасноће, на слици је приказан график са дубином од 2 корака.

Важно је напоменути да су нападачи већ у 2019. донекле променили тактику и почели да региструју не само домене банака за хостовање веб пхисхинг-а, већ и домене разних консултантских компанија за слање пхисхинг мејлова. На пример, домени свифт-департмент.цом, саудцонсултанци.цом, вбгригорианпартнерс.цом.

Цобалт банда

У децембру 2018, хакерска група Цобалт, специјализована за циљане нападе на банке, послала је кампању поштом у име Народне банке Казахстана.

Писма су садржала везе ка хКСКСпс://натионалбанк.бз/Доц/Приказ.доц. Преузети документ је садржао макро који је покренуо Поверсхелл, који би покушао да учита и изврши датотеку са хКСКСп://ватероилцлуб.цом/филе/двм.еке у %Темп%еинмрмдми.еке. Датотека %Темп%еинмрмдми.еке ака двм.еке је ЦобИнт стагер конфигурисан за интеракцију са сервером хКСКСп://адмвмсопп.цом/рилруиетгуадвтоефмуи.

Замислите да не можете да примате ове пхисхинг поруке е-поште и извршите потпуну анализу злонамерних датотека. Графикон за злонамерни домен Натионалбанк[.]бз одмах показује везе са другим злонамерним доменима, приписује га групи и показује које датотеке су коришћене у нападу.

Узмимо ИП адресу 46.173.219[.]152 са овог графа и направимо график од ње у једном пролазу и искључимо чишћење. Постоји 40 ​​домена повезаних са њим, на пример, бл0цкцхаин[.]уг
паипал.цо.ук.клг6[.]пв
цриптоелипс[.]цом

Судећи по именима домена, чини се да се користе у лажним шемама, али је алгоритам чишћења схватио да нису повезани са овим нападом и није их ставио на графикон, што умногоме поједностављује процес анализе и атрибуције.

Ако поново направите график користећи Натионалбанк[.]бз, али онемогућите алгоритам за чишћење графикона, онда ће он садржати више од 500 елемената, од којих већина нема никакве везе са групом Цобалт или њиховим нападима. Пример како изгледа такав графикон је дат у наставку:

Закључак

После неколико година финог подешавања, тестирања у стварним истрагама, истраживања претњи и лова на нападаче, успели смо не само да креирамо јединствени алат, већ и да променимо став стручњака унутар компаније према њему. У почетку, технички стручњаци желе потпуну контролу над процесом изградње графикона. Убедити их да аутоматска конструкција графикона то може да уради боље од особе са дугогодишњим искуством било је изузетно тешко. Све је одлучено временом и вишеструким „ручним” проверама резултата онога што је графикон произвео. Сада наши стручњаци не само да верују систему, већ и користе резултате које добија у свом свакодневном раду. Ова технологија функционише унутар сваког нашег система и омогућава нам да боље идентификујемо претње било које врсте. Интерфејс за ручну анализу графикона уграђен је у све Гроуп-ИБ производе и значајно проширује могућности за лов на сајбер криминал. То потврђују прегледи аналитичара наших клијената. А ми, заузврат, настављамо да обогаћујемо графикон подацима и радимо на новим алгоритмима користећи вештачку интелигенцију да бисмо направили најтачнији мрежни графикон.

Извор: ввв.хабр.цом