Download
1 / 44
490 likes | 840 Views
مرکز آپای دانشگاه صنعتی شریف مرکز آپای دانشگاه صنعتی امیرکبیر مرکز ماهر. آشنایی با Stuxnet و نحوه شناسایی و رفع آن. هادی جعفریان آبان 89. سرفصل مطالب. چرا Stuxnet ؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم. سرفصل مطالب. چرا Stuxnet ؟ نحوه عملکرد
E N D
مرکز آپای دانشگاه صنعتی شریف مرکز آپای دانشگاه صنعتی امیرکبیر مرکز ماهر آشنایی با Stuxnet و نحوه شناسایی و رفع آن هادی جعفریان آبان 89
سرفصل مطالب آشنایی با بدافزار استاکس نت و راههای مقابله با آن چرا Stuxnet؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم
سرفصل مطالب آشنایی با بدافزار استاکس نت و راههای مقابله با آن چرا Stuxnet؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم
مقدمه آشنایی با بدافزار استاکس نت و راههای مقابله با آن بدافزار رايانه‌اي با سطح خطر بسيار بالا اهداف • تا حد زيادي خرابکاري • تا حد کمي جاسوسي طراحي و توليد توسط يک گروه بسيار خبره • استفاده از چند آسيب‌پذيري روزصفر، خطرناک و فعال در کليه نسخ ويندوز • استفاده از روتکيتها جهت مخفي‌سازي کد مخرب در رایانه و PLC • استفاده از گواهينامه مجاز (دزدي‌شده) جهت امضاي درايورها • فعاليت مخرب در سطح بسيار حرفه‌اي و دزدي اطلاعات از سيستم‌هاي SCADA
خرابکاري در SCADA آشنایی با بدافزار استاکس نت و راههای مقابله با آن خرابکاري در سيستم‌هاي SCADA • هدف قرار دادن سيستم‌هاي Step7 شرکت Siemens • استفاده از يک آسيبپذيری در اين سيستم‌ها • وابستگي شديد زيرساخت‌هاي حياتي به اين سيستم‌ها • صنايع مادر، صنايع پتروشيمی، صنايع نفت و گاز، صنايع هستهاي • تزريق کدهاي مخرب در PLCها به منظور آسيبرساني به عملکرد زيرساختها • دزدي اطلاعات از بانک‌هاي اطلاعاتي اين سيستم‌ها و و ارسال آنها به مرکز فرمان و کنترل (CnC)
خربکاري در SCADA (ادامه) آشنایی با بدافزار استاکس نت و راههای مقابله با آن مخاطرات بسيار گسترده به دليل حوزه کاربرد سيستم‌هاي SCADA • از کار افتادن پالايشگاه‌ها و ساير زيرساخت‌هاي حساس • انفجار در لوله‌هاي گاز و آب • انفجار در پالايشگاه‌ها و زيرساخت‌هاي حساس • آگاهي دشمن از زيرساخت‌هاي حياتي کشور • طرح‌ريزي حملات خطرناک‌تر سايبري در آينده • ….
آسيب رساني به PLCها آشنایی با بدافزار استاکس نت و راههای مقابله با آن آلوده‌سازي نرم‌افزار WinCC و Step7 استفاده از اين آلودگي جهت آلوده‌سازي PLCها • 6ES7-417 • 6ES7-315-2 نخستين روتکيت صنعتي تغيير رفتار سيستم‌هاي کنترل صنعتي • شنود درخواستهاي ارسالي به PLCها • اطمينان از دلخواه بودن نوع هدف • اصلاح کدهاي PLC موجود و نوشتن آنها روي PLC • استفاده از تکنولوژي روتکيت جهت مخفي سازي کدها
آمار توزيع جغرافيايي آشنایی با بدافزار استاکس نت و راههای مقابله با آن
آمار توزيع جغرافيايي (ادامه) آشنایی با بدافزار استاکس نت و راههای مقابله با آن بيشترين آسيب‌پذيري در کشور ايران • هدف: آلوده‌سازي ايران • عدم واکنش سريع به دليل ضعف در زيرساخت‌هاي مديريت حوادث • سکوت طولاني مدت ضدويرويس‌هاي خارجي • کشف توسط ضد ويروس Vba32بلاروسي • احتمال بسيار بالاي اسرائيلي بودن بدافزار • کليد رجستري خاص • آدرس فايل پروژه عبري
آمار بر اساس IP آشنایی با بدافزار استاکس نت و راههای مقابله با آن
آمار بر اساس IP(ادامه) آشنایی با بدافزار استاکس نت و راههای مقابله با آن هر آدرس اعلامشده مربوط به يک سازمان است. • آسيب‌پذيري بر روي رايانهها با کاربر فعال مورد سوء استفاده قرار ميگيرد. • در سازمان کاربران معمولا از طريق يک درگاه با تکنولوژي NAT به اينترنت متصل مي شوند. در يک سازمان تنها رايانه هاي بخش هاي کاربران آلوده شده اند. • هدف بد افزار هاي منتشر شده شبکه هاي صنعتي بوده است. هر سازمان به طور متوسط 6 رايانهي سرور و 100 رايانهي کاربري دارد.
تخمين حداقل خسارت آشنایی با بدافزار استاکس نت و راههای مقابله با آن
تخمين حداقل خسارت (ادامه) آشنایی با بدافزار استاکس نت و راههای مقابله با آن
سرفصل مطالب آشنایی با بدافزار استاکس نت و راههای مقابله با آن چرا Stuxnet؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم
تعریف بدافزار آشنایی با بدافزار استاکس نت و راههای مقابله با آن تعريف بدافزار (Malware) • نرم‌افزار مخرب • با هدف آگاهانه سازنده براي نفوذ به کامپيوتر کاربر • بدون اجازه آگاهانه وي تهديدات امنيتي • نقض محرمانگي، صحت، و دسترس‌پذيري اطلاعات و حتي کل سامانه • دسترسي و کنترل از راه دور استفاده از آسیبپذیریها در سیستم‌عامل و ابزارها جهت انتشار و آلودهسازی
آسیبپذیریهای مورد استفاده در استاکسنت آسیب‌پذیری پردازش ناکافی میانبرها در Windows آسیب‌پذیری اجرای کد از راه دور در RPC آسیب‌پذیری محدودیت ناکافی جهت مجوزهای کاربری در Print Spooler آسیب‌پذیری در درایورهای سطح کرنل ویندوز ضعف در اعتبارسنجی گواهینامهها آسیب‌پذیری حساب کاربری غیرقابل تغییر و ثابت در محصولات Siemens آشنایی با بدافزار استاکس نت و راههای مقابله با آن
آلودهسازی ویندوز آشنایی با بدافزار استاکس نت و راههای مقابله با آن آسیب‌پذیری ضعف پردازش میانبرها در ویندوز • MS10-046 آسیب‌پذیری اجرای کد از راه دور در Microsoft Windows Server Service RPC Handling • S08-067 معرفی آسیب‌پذیری محدودیت ناکافی جهت مجوزهای کاربری در Microsoft Windows Print Spooler Service • MS10-061 آسیب‌پذیری در درایورهای سطح کرنل ویندوز • MS10-073
آلودهسازی WinCC و Step7 (1) آشنایی با بدافزار استاکس نت و راههای مقابله با آن استفاده از آسیب‌پذیری گذرواژه و کلمه کاربری ثابت جهت اتصال به پایگاه دادههای WinCC Server = .\wincc Uid = winccconect Pwd = 2wsxcder تزریق کد به پایگاه دادههای WinCC و قراردهی چند فایل در شاخههای پروژهها جهت آلودهسازی رایانه‌ها توسط پروژههای آلوده
آلودهسازی WinCC و Step7 (2) آشنایی با بدافزار استاکس نت و راههای مقابله با آن استفاده از DLL Hijacking جهت تغییر رفتار WinCC تغییر درایور مورد استفاده WinCC برای ارتباط با PLCها استفاده از درایور آلوده جهت • آلودهسازی PLCها • مخفیسازی کدهای آلوده روی PLCها
s7otbxdx.dll PLC Request code block from PLC S7blk_read Modified STL code block Modified STL code block Show PLC code block Modified STL code block s7otbxsx.dll S7blk_read آشنایی با بدافزار استاکس نت و راههای مقابله با آن
آلودهسازی PLCها Clean OB1 Infected OB1 آشنایی با بدافزار استاکس نت و راههای مقابله با آن تغییر OB1 و OB35 تغییر تابع دسترسی به Profibus
ارتباطات شبکه آشنایی با بدافزار استاکس نت و راههای مقابله با آن در سه بخش • ایجاد یک سرور RPC بر روی کارگزار قربانی • ارتباط با سرورهای کنترل و فرمان با استفاده از پروتکل HTTP • ایجاد شبکه Peer-to-Peer محلی در داخل شبکههای LAN با استفاده از سرور RPC
کارگزار RPC آشنایی با بدافزار استاکس نت و راههای مقابله با آن امکان دریافت دستورات تحت شبکه و از طریق یک پروتکل مشخص و اجرای آنها 0: returns the version number of Stuxnet installed 1: Receive an exe and execute it (via injection) .... 6: read file 7: drop file 8: delete file
ارتباط با سرورهای CnC آشنایی با بدافزار استاکس نت و راههای مقابله با آن با هدف ارسال اطلاعات دریافت دستورات سرورهای شناخته شده • www.mypremierfutbol.com • www.todaysfutbol.com • همکنون غیرفعال هستند. اطلاعات ارسالی • نسخه ویندوز، نام کامپیوتر، نام گروه شبکه • نصب یا عدم نصب SCADA • آدرس IP تمامی واسطهای شبکه
شبکه P2P داخلی قربانی به عنوان Client 5 Install latest Ver. قربانی به عنوان Server داراي آخرين نسخه‌ي بدافزار →1Call RPC 0 – Get Version ←2Send Installed Ver. →3Call RPC 4 – Request latest Ver. ←4 Send latest Ver. آشنایی با بدافزار استاکس نت و راههای مقابله با آن با هدف بروزرسانی استفاده از سرور RPC موجود بر روی رایانههای قربانی جهت بروزرسانی نسخ بدافزار
بنابراین... آشنایی با بدافزار استاکس نت و راههای مقابله با آن بروز حمله در آینده‌ی نزدیک بسیار محتمل است. • مشکلات امنیتی Adobe و DLL Hijack • این‌بار نفوذگران اطلاعات دقیق‌تری از ایران دارند. با استفاده از Removal نمی‌توان به طور قطع با کرم مبارزه کرد. آلودگی در سطح سطح رایانه‌ها، پروژه و ابزارهای Step7، و PLC است.
سرفصل مطالب آشنایی با بدافزار استاکس نت و راههای مقابله با آن چرا Stuxnet؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم
نقاط آلودهسازی در سطح رایانه آشنایی با بدافزار استاکس نت و راههای مقابله با آن کلیدهای رجیستری • [HKLM\SYSTEM\CurrentControlSet\Services\MRxNet] • [HKLM\SYSTEM\CurrentControlSet\Services\MRxCls] • [HKLM\SYSTEM\CurrentControlSet00X\Services\MRxNet] • [HKLM\SYSTEM\CurrentControlSet00X\Services\MRxCls] تزریق ماژول آلوده به پردازه‌ها • ماژول KERNEL32.DLL.ASLR.XXXXXدر پردازههای • services.exe • lsass.exe • svchost.exe ایجاد فایل در شاخه سیستمی • %WinDir%\system32\drivers\mrxnet.sys • %WinDir%\system32\drivers\mrxcls.sys
کشف آلودگی در سطح رایانه آشنایی با بدافزار استاکس نت و راههای مقابله با آن کشف Rootkitها • IF EXIST %windir%\system32\drivers\mrxnet.sys echo FOUND! کشف پردازه‌هاي آلوده • TASKLIST /FI “MODULE eq KERNEL32.DLL.ASLR.*”
رفع آلودگی آشنایی با بدافزار استاکس نت و راههای مقابله با آن
پیکربندی مجدد آشنایی با بدافزار استاکس نت و راههای مقابله با آن عملیات قطع ارتباط رایانه‌ها با شبکه پشتیبانی و پالایش داده‌ها حذف کامل اطلاعات موجود در رایانه حتی Partition Table و BIOS باز نصب سیستم‌عامل و به‌روزرسانی آن باز نصب نرم‌افزارها و به‌روزرسانی آنها اعمال پیکربندی و تنظیمات رایانه بازگردانی داده‌ها بازگردانی رایانه به شبکه
پاکسازی در سطح رایانه آشنایی با بدافزار استاکس نت و راههای مقابله با آن استفاده از ضدویروسها • بروزرسانی ضدویروسهای موجود • استفاده از ضدویروسهای داخلی استفاده از ابزارهای پاکسازی خودکار مرکز ماهر استفاده از روش دستی آثار ناشناخته بدافزار به جا میماند
رفع دستي - قدم (1) آشنایی با بدافزار استاکس نت و راههای مقابله با آن اطلاع رساني به مرکز ماهر خاتمه دادن به پردازه‌هاي آلوده • عدم آلوده‌سازي باينري پردازه‌ها • خاتمه پردازه‌هاي آلوده به منزله پاکسازي Sectionهاي تزريق‌شده • نياز به Reboot • Batch Script • TASKKILL /F /Fi “MODULE eq ERNEL32.DLL.ASLR.*”
رفع دستي - قدم (2) آشنایی با بدافزار استاکس نت و راههای مقابله با آن پاکسازي Windows Registry • کليدهاي رجيستري ايجادشده بايد حذف شوند • پاکسازی دستی با Regedit • استفاده از دستور reg در cmd reg delete /f HKLM\SYSTEM\CurrentControlSet\Services\MRxNet ….
رفع دستي – قدم (3) آشنایی با بدافزار استاکس نت و راههای مقابله با آن پاکسازي Rootkitها • mrxnet.sys • mrxcls.sys • مسير • %windir%\system32\drivers\ • del /F %windir%\system32\drivers\mrxnet.sys
تأثیرات دیگر بدافزار آشنایی با بدافزار استاکس نت و راههای مقابله با آن آثار جانبی بدافزار • کلیدهای رجیستری Legacy • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS\0000\Control] • .... • فایلهای Log و Config • % Windir%\inf\mdmcpq3.PNF • %Windir%\inf\mdmeric3.PNF • %Windir%\inf\oem6C.PNF • %Windir%\inf\oem7A.PNF • حاوی اطلاعات ارزشمند باقیماندن آنها تأثیر مخربی ندارد. همانند فایلها و کلیدهای رجستری قبلی قابل پاکسازی است.
اطمينان از رفع آشنایی با بدافزار استاکس نت و راههای مقابله با آن بررسي مجدد پردازههای هدف TASKLIST /Fi “MODULE eq KERNEL32.DLL.ASLR.*” بررسي وجود يا عدم وجود Rootkitها IF EXIST %windir%\system32\drivers\mrxnet.sys echo FOUND!
سرفصل مطالب آشنایی با بدافزار استاکس نت و راههای مقابله با آن چرا Stuxnet؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم
پیشگیری از آلودگی آشنایی با بدافزار استاکس نت و راههای مقابله با آن نصب وصله براي آسيب‌پذيري امنيتي • MS10-046 • MS10-061 • MS08-067 • MS10-073 نصب وصله Siemens برای WinCC عدم اجرای پروژههای آلوده Step7 بر روی رایانه
سرفصل مطالب آشنایی با بدافزار استاکس نت و راههای مقابله با آن چرا Stuxnet؟ نحوه عملکرد نحوه شناسایی و رفع نحوه پیشگیری اقدامات لازم
اقدامات سریع آشنایی با بدافزار استاکس نت و راههای مقابله با آن آموزش نيروهای متخصص جهت شناسايي و رفع آلودگی شناسايي سيستمهای آلوده اتخاذ سیاست رفع آلودگی مناسب • پیکربندی مجدد • پاکسازی دستی
اقدامات میانمدت آشنایی با بدافزار استاکس نت و راههای مقابله با آن تعیین خطمشیهای امنیتی در ارتباط با • مدیریت وصلهها • اتصال رایانه‌ها به شبکه • حافظههای قابل حمل • ضدویروسها • اصل حداقل مجوز • به اشتراک گذاری فایل و پرینتر • پشتیبانگیری از داده‌ها
اقدامات بلندمدت آشنایی با بدافزار استاکس نت و راههای مقابله با آن راهاندازی مراکز گوهر در سازمانها به منظور آمادگی دربرابر حوادث آتی آموزش اصول امنيتي به نيروهای انسانی • يکی از دلايل گسترش آسيبپذيری عدم آشنايي با نکات ساده امنيتي • آموزش در سطح • مديران • متخصصين فناوری اطلاعات • کارمندان
آشنایی با بدافزار استاکس نت و راههای مقابله با آن با تشکر از توجه شما ... پرسش و پاسخ
![Some Stuxnet Related Comments [excerpted from a longer presentation]](https://cdn0.slideserve.com/1152501/some-stuxnet-related-comments-excerpted-from-a-longer-presentation-dt.jpg)
