CERT Polska vs botnety SECURE 2013, Warszawa, 9 października 2013

Transkrypt

1 CERT Polska vs nety SECURE 2013, Warszawa, 9 października 2013 Piotr Kijewski

2 Agenda Botnet, czyli co? Botnety w Polsce Co dalej?

3 Botnety Botnet, czyli co?

4 Przydatne pojęcia Komputer Zombie (lub "")- komputer zainfekowany złośliwym oprogramowaniem, które pozwala na wykonywanie operacji bez wiedzy i zgody użytkownika oraz może służyć do wykradania jego poufnych danych. Serwer C&C (lub " master")- maszyna w sieci Internet (np. ircgalaxy.pl), z którą komunikują się komputery Zombie. Jej celem jest wydawanie rozkazów zainfekowanym komputerom oraz gromadzenie wykradzionych danych.

5 Przydatne pojęcia IRC (ang. Internet Relay Chat) - usługa w sieci Internet umożliwiająca prowadzenie grupowych oraz prywatnych rozmów na kanałach tematycznych. Niestety, jest także jedną z częściej wykorzystywanych metod zarządzania sieciami net. HTTP (HyperText Transfer Protocol) - Protokół sieci WWW. Może być wykorzystany do przekazywania dowolnych danych i dowolnie modyfikowany. Zarządzanie sieciami net najczęściej odbywa się za jego pośrednictwem (trudniej jest rozróżnić rodzaj ruchu, wpuszczany jest wszędzie itp)

6 Przydatne pojęcia P2P (ang. peer-to-peer) - technika komunikacji, w której dwa komputery (stacje robocze) wymieniają dane bez pośrednictwa serwera w sieci Internet. Jest wykorzystywana jako alternatywna metoda utrzymywania i kontroli najnowszych netów.

7 Przydatne pojęcia Botnet sieć zbudowana z przejętych komputerów (zombie, ów), której celem jest wykonywanie rozkazów pochodzących z serwera C&C ( mastera). Botnety stanowią jedno z najpoważniejszych zagrożeń współczesnej sieci Internet.

8 Botnety Drogi infekcji

9 Drogi infekcji Tak naprawdę w dzisiejszym świecie przeciętny użytkownik nie ma szans w starciu z cyberprzestępcami: zainfekować się można z łatwością, podczas codziennego korzystania z komputera.

10 Źródło: niebezpiecznik.pl Źródło: TIME

11 Drogi infekcji Złośliwa strona WWW - odpowiednio spreparowana strona WWW, której celem jest wykorzystanie luki w przeglądarce użytkownika. Udany atak skutkuje instalacją złośliwego oprogramowania.

12 Drogi infekcji Koń trojański - popularnie zwane "trojanem" złośliwe oprogramowanie, które podszywa się pod aplikacje użytkowe, w rzeczywistości instalując na komputerze szereg niepożądanych i groźnych aplikacji.

13 Drogi infekcji Złośliwy dokument - spreparowany plik PDF lub dokument pakietu biurowego, który zawiera w sobie kod mający na celu instalację złośliwego oprogramowania.

14 Drogi infekcji Złośliwy odnośnik - link (adres URL) do złośliwego oprogramowania rozpowszechniany poprzez komunikatory internetowe, serwisy społecznościowe lub fora. Po jego kliknięciu użytkownik może być zaatakowany jedną z wcześniej przedstawionych metod.

15 Botnety Struktura

16 Struktura Gwiazda C&C

17 Struktura Multi-serwer C&C C&C C&C

18 Struktura Hierarchiczna C&C

19 Struktura Hybrydowy P2P C&C C&C

20 Struktura P2P

21 Struktura C&C Serwer C&C Spełnia rolę zarządzającą netem, bez którego sieć jest bezczynna. Boty łączą się do C&C, odbierają nowe rozkazy, a następnie je wykonują. Przejęcie kontroli nad C&C lub usunięcie go z sieci prowadzi do zniszczenia netu.

22 Struktura Serwer C&C Działa w Internecie pod nazwą domenową, podobnie jak serwery WWW, np. zief.pl, co pozwala w łatwy sposób komputerom Zombie na odbiór nowych rozkazów. Bardzo często wykorzystuje wiele nazw domenowych zlokalizowanych w różnych krajach, aby utrudnić zniszczenie netu.

23 Botnety Ekonomia podziemia

24 Ekonomia podziemia Botnet to współczesna cyfrowa armia całkowicie poddanych najemników. Typowe nety różnią się wielkością między sobą, która waha się od kilkudziesięciu tysięcy ów do nawet setek tysięcy. Największe zaobserwowane sieci liczyły po kilka milionów komputerów. Tę armię można kupić! lub wynająć...

25 Ekonomia podziemia Ataki z wykorzystaniem netów są jednymi z najtrudniejszych do powstrzymania, ze względu na skalę działania oraz rozproszenie geograficzne ów. Najczęściej nety wykorzystuje się do: o ataków DDoS, czyli zablokowaniu dostępu do usług w sieci Internet poprzez generowanie sztucznego ruchu, o rozsyłania niechcianej poczty - SPAM o kradzieży poufnych danych, o wyprowadzania środków z kont bankowości elektronicznej, o wstrzykiwania reklam na strony WWW odwiedzane przez użytkownika.

26 Ekonomia podziemia Motywacją dla światka przestępczego są jak zawsze zyski: o o net DNSChanger w ciągu 5 lat działania (wstrzykiwanie reklam) zbudował sieć liczącą ponad 4 mln ów i przyniósł dochód rzędu 14 mln $ net Storm rozsyłał SPAM, a każdego roku swego działania przynosił dochód rzędu ok. 3.5 mln $; jego wielkość szacowano na ok. 5 mln ów

27 Ekonomia podziemia Niebezpieczeństwo związane z wykorzystaniem netów znacznie rośnie, gdy weźmie się pod uwagę niski koszt zakupu lub wynajęcia takiej sieci: o całodniowy atak DDoS: $30 - $70 o SPAM: $10/1 mln wiadomości o zakup 2000 ów: $200 o zakup netu zdolnego wykonać efektywny atak DDoS: $700 o zakup 1000 odwiedzin na stronie WWW: $7 - $15

28 Botnety Sytuacja w Polsce

29 Botnety w Polsce

30 Botnety w Polsce W 2012 roku, CERT Polska zidentyfikował 137 domen.pl wykorzystywanych do C&C Do 20 maja 2013 roku domen.pl wykryto 123 domeny.pl wykorzystywane w celach C&C (z czego 116 jest wyłącznie w tym celu, reszta w wyniku włamań)

31 Głośne przypadki C&C w Polsce 2012 nagły wzrost! Robak Sality (korzystał z domeny Interii) RunForestRun (korzysta z losowych domen w waw.pl) Skype Dork Botnety ZeuSowe/Citadelowe (wykradające dane bankowe użytkowników) regularnie korzystają z domen.pl Virut!!! (działał od 2006 roku!)

32 cctld.ru w Rosji od listopada 2011 roku

33 Głośne przypadki C&C w Polsce problem.pl.ru przodowało w infrastrukturze C&C, ale problem przenosi się do Polski A few days ago Jindrich Kubec (Avast) pinged me that the RunForestRun malware changed the domain generating algorithm (DGA) and now uses waw.pl subdomains (instead of.ru) in malicious URLs.

34 Botnety Virut

35 Sprawa Viruta Pierwsze wzmianki odnotowano w 2006 roku. Wykorzystuje domeny.pl do: o dystrybucji złośliwego oprogramowania o zarządzania (serwery C&C) Od początku istnienia zarządzany za pośrednictwem domen ircgalaxy.pl i zief.pl

36 Co robi Virut? Złośliwa działalność: o kradzież danych dostępowych, o ataki DDoS np. na serwis ogłoszeń nieruchomości domiporta.pl czy internetowy bank e-gold.com, o rozsyłanie spamu, o czerpanie korzyści majątkowej, z wykorzystaniem maszyn ofiar, np. w wyniku otwierania płatnych reklam, o komputery ofiar są łączone w mniejsze podgrupy i odsprzedawane czasowo innym grupom przestępczym.

37 Virut Kaspersky

38 Virut w zgłoszeniach do CERT Polska (10/ )

39 Virut w Polsce w zgłoszeniach do CERT Virut in Poland

40 Virut jaki przyniósł przychód? Nie wiadomo, ale porównując jego skalę (jeden z największych netów) i okres działania (6-7 lat) można zaryzykować i mówić o podobnym przychodzie co wcześniej sygnalizowane przypadki DNSChangera i Storm Worm ~ 5 10 mln USD

41 Virut likwidacja Styczeń/luty 2013 NASK we współpracy z wieloma partnerami (także z rejestrami.ru,.at i.org) działając na podstawie danych CERT Polska, Virustotal i Spamhaus przejął kontrolę na wszystkimi znanymi domenami Viruta Przejęto 82 domeny 43.pl, 30.ru, 8.at i 1.org Ustanowiono sinkhole: sinkhole.cert.pl

42 Sinkholing ANALIZA PRZEJĘCIE domenanetowa.pl domenanetowa.pl

43 Virut liczba połączeń dziennie

44 Virut rozkład geograficzny

45 Virut rozkład geograficzny Liczba zainfekowanych IP w sinkhole u 19 styczeń 5 luty 2013

46 Botnety Citadel plitfi

47 Citadel co to jest? Bot stworzy na bazie kodu ZeuSa Sprzedawany w modelu Crimeware as a Service Główny cel: kradzież środków pieniężnych użytkowników bankowych systemów transakcyjnych Atak MitB (Man-in-the-Browser)

48 Citadel MitB

49 Citadel sposób ataku

50 Citadel plitfi rozbicie netu Pod koniec lutego przejęcie przez CERT Polska/NASK 3 domen Citadel plifti znajdujących się w.pl i przekierowanie na sinkhole Dzienna wielkość netu to nieco ponad 10k komputerów z czego prawie 80% to zainfekowani użytkownicy z Polski

51 Domain Silver, Inc Spółka zarejestrowana na Seshelach, aktywna od czerwca 2012 Q4 2012: wzrost liczby rejestrowanych domen za pośrednictwem tego Rejestratora, głównie w celach C&C Słaba reakcja na zgłoszenia o Powolne zawieszenie domen, tak, aby dać czas netowi na przeskoczenie na inną domenę C&C Pomimo wielu próśb, złośliwe rejestracje trwały nadal

52 Domain Silver, Inc Q1-Q2 2013: przejęcia około setki złośliwych domen, służących do C&C Formalna prośba o zaprzestanie dalszych złośliwych rejestracji Domain Silver twierdził, że się dostosuje, ale złośliwe rejestracje trwały nadal 30 lipca 2013: NASK wypowiada umowę Domain Silver, Inc.

53 Domain Silver, Inc Domeny przeniesione do wirtualnego rejestratora, vinask Zmiany właściwości domen nie są już możliwe, ale dalej się rozwiązują Domeny systematycznie analizowane, i przenoszone do sinkhole a (głównie C&C) 12 września: pozostałe domeny przeniesione w stan HOLD, przestają się rozwiązywać

54 Domain Silver, Inc Stan w dniu 9 lipca: 641 zarejestrowanych domen (wraz z tymi uprzednio przejętymi) o tylko jedna aktywna domena, domainsilver.pl była niezłośliwa 404 domeny rozpoznano jako złośliwe, z czego 179 użyte jako C&C 179 domen wykorzystywanych do spamu i rekrutacji słupów Pozostałe domeny się nie rozwiązywały

55 Domain Silver, Inc Ogółem zidentyfikowano około 20 różnych netów, w tym: o Citadel o ZeuS ICE IX o Dork/NgrBot o Andromeda/Gamrue o RunForestRun Ransomware

56 Domain Silver, Inc infrastuktura proxy

57 Domain Silver, Inc unikalne IP/dzień (sinkhole)

58 DS rozkład geograficzny IP netów

59 Botnety w Polsce 1-8/ mln unikalnych ów (na bazie IP)

60 Botnety Co dalej?

61 Botnety jak je zwalczać? Użytkownicy ISP/CSP/hostownie Registrarzy Registry Zespoły CERT Firmy związane z branżą security Organy ścigania (krajowe i międzynarodowe) o różne systemy prawne

62 Komisja Europejska strategia dot. netów Cybersecurity Strategy of the European Union: An Open, Safe and Secure Cyberspace (7 luty 2013 r.): o określa m. in. konieczność i ogólne zalecenia walki z netami i złośliwym oprogramowaniem

63 Komisja Europejska dyrektywa o atakach Directive 2013/40/EU of the European Parliament and of the Council of 12 August 2013 on attacks against information systems: This Directive aims, inter alia, to introduce criminal penalties for the creation of nets, namely, the act of establishing remote control over a significant number of computers by infecting them with malicious software through targeted cyber attacks.

64 ICANN stanowisko dot. złośliwych domen Registration Abuse Policies Working Group Final Report (maj 2010): m. in. o zalecenie dodania anti-abuse terms of service do porozumień na poziomie Registry-Registrar o practices for suspending domain names gtld Applicant Guidebook (version ) o oczekiwanie spełnienia abuse handling policies

65 Przykład SIDN (Holandia) General Terms and Conditions for.nl Registrants (marzec 2010): o pkt 12: Notice and Takedown SIDN może jednostronnie zawiesić domeny jeśli ich zdaniem służą do działań niezgodnych z prawem Procedura określona w Notice and Take Down Code for.nl domains (marzec 2010)

66 NASK stanowisko w sprawie złośliwych domen Troska o bezpieczeństwo Internautów, wizerunek.pl cctld i NASK Dostosowanie się do oczekiwań ICANN, UE i społeczności zajmującej się bezpieczeństwem Internetu Domeny których jedynym celem jest zarządzanie i/lub rozpowszechnianie złośliwego oprogramowania będą przejmowane przez cert.pl i NASK (przede wszystkim we współpracy z Registrarami)

67 NASK Jak zgłosić złośliwą domenę? Zgłosić domenę do Registrara z kopią do cert@cert.pl Do zgłoszenia najlepiej załączyć dowód: o kopia złośliwego oprogramowania o zrzut kopii ruchu do złośliwej domeny Jeżeli domena jest tylko w celu zarządzania C&C bądź dystrybucji złośliwego oprogramowania, zostanie przejęta w ciągu 1-3 dni* Jeżeli domena jest złośliwa w wyniku włamania to będziemy usiłować usunąć malware we współpraca z właścicielem/isp/hostownią * Mogą się zdarzyć wyjątki

68 DZIĘKUJĘ, CZY SĄ PYTANIA? Facebook: Kontakt: Widzisz net? Zgłaszaj na