Hace seis meses, ya
escrib铆 una nota sobre Habr茅, donde compart铆 nuestra experiencia en el monitoreo de varias conferencias de TI y seguridad de la informaci贸n, en las que Cisco fue invitado a apoyar SOC y NOC (Black Hat, Mobile World Congress, RSAC, etc.). Hoy me gustar铆a compartir la experiencia de participar en el centro de monitoreo de red, que sirvi贸 al 煤ltimo Black Hat europeo, en el que hemos estado ayudando a NOC por segundo a帽o. Junto con RSA, Palo Alto, Gigamon y Rukus, brindamos protecci贸n para la infraestructura de conferencias y capacitaci贸n. Cisco ten铆a la responsabilidad de monitorear e investigar los incidentes de DNS (usando
Cisco Umbrella y
Cisco Umbrella Investigate ), as铆 como el an谩lisis automatizado de malware y Threat Intelligence usando
Cisco Threat Grid .
Garantizar la seguridad cibern茅tica de conferencias como Black Hat es m谩s que una tarea dif铆cil, ya que la aparici贸n de archivos maliciosos o los intentos de acceder a dominios maliciosos en el tr谩fico no es un evento fuera de lo com煤n. Por el contrario, en el marco de varios entrenamientos, este es un evento completamente normal que no puede ser bloqueado, violando as铆 el proceso de aprendizaje y causando descontento tanto a los participantes que pagaron su dinero como a los instructores. Lo mismo ocurre con los patrocinadores que, como parte de sus eventos, sesiones informativas y conferencias de prensa, a menudo muestran c贸mo funcionan sus soluciones, lo que tambi茅n requiere que el equipo NOC sea cuidadoso y selectivo.
Malware ofuscado
La soluci贸n RSA NetWitness fue responsable de monitorear la red en Black Hat, que inspeccion贸, entre otras cosas, los archivos transmitidos a trav茅s de varios protocolos de red, incluidos aquellos con varias violaciones. Por ejemplo, el primer d铆a en uno de los entrenamientos, se grab贸 la descarga del archivo table.png. NetWitness descubri贸 que a pesar de la extensi贸n inherente a las im谩genes, el encabezado del archivo comenz贸 con MZ, lo que podr铆a indicar que el archivo que se transfiere es realmente ejecutable. El archivo se transfiri贸 a Cisco Threat Grid para su an谩lisis din谩mico.
Unos minutos despu茅s de la descarga, el archivo table.png fue reconocido como un troyano Trickbot.
La detecci贸n se llev贸 a cabo en una serie de indicadores de comportamiento, incluido el trabajo con memoria. Es suficiente cambiar solo un bit para que cambie el hash del archivo, pero es dif铆cil reescribir el c贸digo para trabajar con la memoria y volverse invisible para el sistema de an谩lisis de malware. Trickbot utiliz贸 exactamente el mismo espacio de direcciones, lo que nos permiti贸 concluir exactamente sobre este malware.
Trickbot no es un nuevo troyano; Apareci贸 a fines de 2016, pero a煤n se encuentra en Internet. El equipo de NOC determin贸 la direcci贸n MAC de la computadora port谩til desde la cual se carg贸 Trickbot, disfrazado como un archivo .png. Verificamos toda la actividad relacionada con este Macbook: result贸 que en solo unos minutos se intent贸 conectar a cientos de dominios DGA, descargar docenas de diversos programas maliciosos, etc. Durante la investigaci贸n, se descubri贸 que el macbook se us贸 como parte de uno de los entrenamientos; por lo tanto, el equipo de NOC no bloque贸 esta actividad, mientras hac铆a esfuerzos para garantizar que nada peligroso quedara fuera del alcance de esta capacitaci贸n en las computadoras de otros participantes de Black Hat Europe.
Proxy inteligente
A medida que se expande la funci贸n en nuestras soluciones, las probamos en conferencias, donde estamos invitados a participar en SOC / NOC. Esta vez, el primer d铆a, activamos la funci贸n Intellgent Proxy en Cisco Umbrella, que le permite proxy del tr谩fico web mediante el monitoreo de amenazas, contenido y aplicaciones transmitidas como parte de la interacci贸n web.
En la ma帽ana del primer d铆a, arreglamos una alarma relacionada con el acceso al macautofixer.
El equipo NOC comenz贸 una investigaci贸n, que incluy贸 el an谩lisis de registros de la UIT, la reconstrucci贸n de paquetes de red y la identificaci贸n de la m谩quina que inici贸 la solicitud. A juzgar por los datos de Cisco Umbrella Investigate, este es un recurso malicioso bastante popular: se registran diariamente alrededor de 20 mil solicitudes:
principalmente de los Estados Unidos:
Result贸 que una de las computadoras de los organizadores de la conferencia estaba infectada. La pol铆tica de BlackHat permite el acceso a recursos maliciosos hasta que se identifique que se trata de un ataque externo a los recursos de Black Hat, como se registr贸 en este caso. Cisco Umbrella ha bloqueado el dominio para esta y todas las futuras conferencias de Black Hat.
El segundo d铆a, varios usuarios de la red Wi-Fi se infectaron con el malware Simba, que intent贸 conectarse a servidores de comando bastante antiguos:
- www [.] gadyniw [.] com / hbt.php? rewrite = login.php
- purycap [.] com / login.php
- gadyniw [.] com / hbt.php? rewrite = login.php
- ww1 [.] ysyfyj [.] com / login.php
Cisco Threat Grid ha identificado el dominio gadyniw [.] Com como malicioso y bloqueado. Durante la investigaci贸n, result贸 que este malware se utiliz贸 como parte de uno de los entrenamientos en los que los participantes resultaron ser computadoras sin parches. Aconsejamos al instructor que recuerde a los participantes infectados que no se conecten a su segmento p煤blico de Wi-Fi con sus computadoras port谩tiles.
Ataque de phishing
En el proceso de Black Hat, sus organizadores, la compa帽铆a UBM, enfrentaron un ataque de phishing masivo por correo electr贸nico, que sigue siendo el ataque m谩s extendido contra las organizaciones.
Investigamos el enlace HAGA CLIC AQU脥 utilizando la funci贸n Glovebox en Threat Grid, que le permite interactuar con una m谩quina virtual sin riesgo de infecci贸n. En dos navegadores, el enlace devolvi贸 un error como si la p谩gina necesaria no existiera.
Sin embargo, en el informe registramos unas 100 conexiones de red abiertas, unos 100 artefactos descargados al disco, incluido JavaScript, as铆 como unos 170 cambios en el registro.
Hemos agregado este dominio a la lista negra para todas las conferencias de Black Hat.
Actividad DNS
En 2017, registramos alrededor de 5,8 millones de consultas DNS en Black Hat Europe. Un a帽o despu茅s, en 2018, registramos 7,6 millones de solicitudes, de las cuales alrededor de 4000 estaban relacionadas con actividades maliciosas, servidores de equipos o phishing.
Nuevo en European Black Hat fue la notificaci贸n de usuarios cuyas credenciales para correo electr贸nico se transmitieron en texto claro. Afortunadamente, en comparaci贸n con conferencias anteriores, esta vez solo 14 usuarios enviaron su correo en modo desprotegido. Esta fue la primera conferencia en la que no observamos documentos financieros o bancarios transmitidos en forma abierta.
El equipo NOC tambi茅n registr贸 una gran cantidad de acceso a los recursos mineros. Por primera vez, comenzamos a registrar tales intentos hace un a帽o en Europa, seguido de un gran aumento en el Black Hat asi谩tico.
Los usuarios con criptomineros fueron advertidos por el equipo de Black Hat NOC. Si usaron la miner铆a conscientemente, entonces no hay problema. Si se trataba de una infecci贸n, a los usuarios se les ofreci贸 ayuda para tratar la computadora.
Adem谩s, una nueva caracter铆stica de Cisco Umbrella, que se prob贸 en European Black Hat, fue App Discovery, que le permite identificar las aplicaciones utilizadas (ahora hay m谩s de 2000) con una evaluaci贸n de su riesgo para la empresa.
Est谩 claro que la pol铆tica de Black Hat es diferente a la de una compa帽铆a normal, lo que puede prohibir el anonimato y los servicios VPN que podr铆an violar las pol铆ticas de seguridad corporativas. En una conferencia sobre seguridad de la informaci贸n, el uso de tales aplicaciones es bastante normal y, por lo tanto, no fueron bloqueadas. Pero fue interesante observar las soluciones m谩s populares de esta clase.
La pr贸xima parada para el equipo de Cisco Security ser谩 la Conferencia RSA, que se celebrar谩 en marzo de este a帽o en San Francisco, donde nuevamente seremos responsables del SOC RSA. Si de repente planea asistir a esta exposici贸n, lo invitamos a una excursi贸n al centro de monitoreo de seguridad de uno de los eventos de seguridad de la informaci贸n m谩s grandes del mundo, que es visitado anualmente por varias decenas de miles de personas. Si va a estar en los d铆as de RSAC en San Francisco y desea visitar la exposici贸n, pero no tiene un boleto, Cisco le da un c贸digo promocional para una entrada gratuita a la exposici贸n: X8SCISCOP.
