यह मई, पॉजिटिव हैक डेज़ 8 सम्मेलन आयोजित किया गया था, जिस पर हमने पहले से ही पारंपरिक द स्टैंडऑफ़ में एसओसी की भूमिका में भाग लिया था।

इस वर्ष, आयोजकों ने पिछली गलतियों को ध्यान में रखा और समय पर टकराव शुरू हुआ। हमलावरों - अच्छा किया! उन्होंने लगभग 30 घंटों तक लगातार हमला किया, इसलिए हमारी रात की शिफ्ट में भी झपकी नहीं ली गई।

क्या क्या?

हमने अपने पिछले वर्ष के लेख में घटना के बारे में बात की थी, लेकिन इसे संक्षेप में ताज़ा करें।

लड़ाई डिफेंडरों और हमलावरों के बीच होती है। डिफेंडर खुद का बचाव कर सकते हैं, या वे विशेषज्ञ निगरानी केंद्रों (एसओसी) की सेवाओं का उपयोग कर सकते हैं और रक्षा "दोनों का सामना" कर सकते हैं। डिफेंडरों को दुर्भावनापूर्ण हैकर्स के खिलाफ रक्षा और रक्षा भी आवंटित की जाती है।

इस वर्ष, आयोजकों ने 7 वस्तुओं का निर्माण किया जिन्हें संरक्षित करने की आवश्यकता थी:

• कार्यालयों
• दूरसंचार ऑपरेटर
• सीपीएच
• तेल कंपनी
• रेलवे कंपनी
• बैंक
• IoT डिवाइस

और 3 एसओसी टीमों ने भाग लिया:

• संभावित निगरानी
• अंगारा टेक्नोलॉजीज ग्रुप
• रोस्टेलेकोम

हैकर्स अपने दम पर मस्ती कर सकते थे। वास्तव में, एकमात्र नियम बुनियादी ढांचे पर सीधे हमला नहीं करना था, जिस पर टकराव "कताई" था। इसके अलावा, आयोजकों ने समय-समय पर हमलावरों के साथ "साथ निभाया", छिद्रपूर्ण सेवाओं को तैनात किया। और अंत में उन्होंने शहर में एंटिफर्ड सिस्टम को पूरी तरह से बंद कर दिया।

हैकर्स के लिए एक विशेष क्रिप्टोक्यूरेंसी और खनिक विकसित किए गए थे, जिसे वे समझौता किए गए ऑब्जेक्ट में लागू कर सकते थे। "खनिक कताई है, बिटकॉइन मडलिंग है" - त्सर्क की कज़ाख टीम के एक सदस्य की उपयुक्त टिप्पणी के अनुसार।

इस साल हमने फिर से कार्यालय के एक सेगमेंट के लिए एसओसी के रूप में काम किया। इस खंड के रक्षक सर्वोनिका के लोग थे, जो पिछले साल के आयोजन से पहले से ही परिचित थे।

उन्होंने क्या बचाव किया

रक्षा के लिए, हमने इस्तेमाल किया:

• DMZ के लिए ViPNet IDS।
• स्थानीय नेटवर्क के लिए ViPNet IDS।
• मुख्य कार्यालय सर्वर की निगरानी के लिए ViPNet HIDS (होस्ट IDS)।
• लॉग विश्लेषण, निगरानी और विश्लेषण के लिए विनीपेट थ्रेट इंटेलिजेंस एनालिटिक्स सिस्टम (TIAS)।

और हां, हमारे सेंसर में, हम अपने स्वयं के विकसित नियमों का उपयोग करते हैं, जिसमें नवीनतम हमलों के लिए हस्ताक्षर भी शामिल हैं जो पूरी दुनिया को डराते हैं!

क्या रिकॉर्ड किया गया था

टकराव की अवधि में, एसओसी विश्लेषकों ने लगभग 2 मिलियन घटनाओं की संभावित निगरानी की, 30 सूचना सुरक्षा घटनाओं की पहचान की।

युद्ध मानचित्र पर बलों का संरेखण इस प्रकार था:

• Office-R2, Office 1 सुविधा का बॉर्डर राउटर है, जिसके माध्यम से यह दो इंटरनेट प्रदाताओं एफ-टेलीकॉम और बैकअप आईएसपी से जुड़ा था।
• ऑफिस-एफडब्ल्यू 1 - स्थानीय नेटवर्क और बाहरी संसाधनों (डीएमजेड) के क्षेत्रों के बीच पहुंच नियंत्रण के लिए एक फ़ायरवॉल।
• कार्यालय-आर 1 - कार्यालय खंड के भीतर मार्ग के लिए उपयोग किया जाता है।

हमारे सहयोगी, सर्विओनिका टीम, कार्यालय 1 की बुनियादी सुविधाओं का समर्थन करने के लिए जिम्मेदार थे। हमारा काम यह सूचित करना था कि लोगों के साथ कुछ गलत हुआ है।

खेल की शुरुआत के बाद, DMZ ज़ोन के चारों ओर बहुत सारे आयोजन हुए। हमलावरों ने वेब भेद्यता के दोहन के माध्यम से सीमा के माध्यम से तोड़ने की कोशिश की। यह सब एक स्कैन के साथ परंपरा के अनुसार शुरू हुआ। हमलावरों ने डर्बस्टर और एक्यूनेटिक्स स्कैनर लॉन्च किए और डीएमजेड के पते पर चले गए।

आईपी ​​100.110.255.127 के साथ एक हमलावर ने संरक्षित नोड 100.64.100.167 पर ऑनलाइन स्टोर के MySQL डेटाबेस से एक संबंध स्थापित करने की कोशिश की। सभी ब्रूट बल प्रयासों को सर्वर द्वारा सफलतापूर्वक ब्लॉक कर दिया गया था।

थोड़ी देर बाद, वे पारंपरिक रूप से एसएसएच और आरडीपी के लिए पासवर्ड का चयन करने लगे।

SMB में पता 100.110.255.17 के साथ एक हमलावर द्वारा स्कैन करते समय मेजबान 100.64.100.183 पर एक हमले का पता चला था। सर्वर में MS17-010 अपडेट docs.microsoft.com/en-us/security-updates/SecurityBulletins/2017/ms17-010 नहीं था। समयबद्ध तरीके से रक्षकों को सूचित किया गया था।

यह उल्लेखनीय है कि इटरनलब्यू में भेद्यता के दोहन की संभावना के लिए परीक्षण कई बार किया गया है। ये कार्यक्रम टकराव के दौरान सबसे अधिक बार होते थे। लेकिन यह आश्चर्य की बात नहीं है। इस तथ्य के बावजूद कि बड़े पैमाने पर संक्रमण के क्षण से एक वर्ष बीत चुका है, अभी भी बड़ी संख्या में मशीनें इस हमले की चपेट में हैं।



इसके अलावा, हमलावरों ने भेद्यता CVE-2014-6271 (बाश में रिमोट कोड निष्पादन) का फायदा उठाने के लिए सामूहिक रूप से प्रयास किया।

पहले दिन लगभग 16:00 बजे, नोड 100.64.100.167 पर SambaCry भेद्यता का सफलतापूर्वक शोषण किया गया। रक्षकों ने अगले दिन तक इस साइट तक पहुंच खो दी। ऑपरेशन के बाद पता 100.110.255.176 के साथ हमलावर ने NMAP का उपयोग करके परिधि की खोज की और स्कैन डेटा के साथ आउटफिट लिया।

समझौता किए गए नोड की रात में, 100300.100.202 नोड के 443 वें बंदरगाह पर कनेक्शन स्थापित किए गए थे। सभी सत्रों को रीसेट करने के बाद, गतिविधि समाप्त हो गई। संभवतः, हैक किए गए 100.64.100.167 से खनिक को नोड 100.100.100.202 पर अपलोड किया गया था।


मुख्य जांच उपकरण कागज की एक शीट और एक कलम है

रात में, हमलावरों ने ज़ैबिक्स निगरानी प्रणाली से सक्रिय रूप से सामना किया। शाश्वत भेद्यता का फायदा उठाने की कोशिश की गई, उन्होंने ssh के लिए एक पासवर्ड चुना और शेल को /zabbix/zabbix.php के माध्यम से भरने की कोशिश की।



दूसरे दिन की सुबह, संरक्षित नोड 100.100.100.202 से संदिग्ध गतिविधि दर्ज की गई थी। बाहरी नेटवर्क से आईपी से कनेक्शन स्थापित किया गया था। 100.64.100.242 और संदिग्ध प्रमाण पत्र भेजे गए थे। एक जांच से पता चला कि ssh पासवर्ड इस नोड पर रीसेट किया गया था और माइनर अपलोड किया गया था। इसके अलावा bd.frm डेटाबेस फ़ाइल चुरा ली। सामान्य तौर पर, हमलावर एक स्व-हस्ताक्षरित प्रमाण पत्र पर "जलाया" जाता है। हमने तुरंत इस मशीन पर प्रतिक्रिया दी, सत्रों को देखा, और अभी भी एक हैकर है। Toplenky।

इसके समानांतर लगभग, एक और नोड 100.64.100.242 (वर्डप्रेस) की हैकिंग की खोज की गई थी। यह कुछ बहुत ही रोचक साख था। हमने "झबरा" लॉगिन के लिए एक पासवर्ड चुना। और वह निकला ... निश्चित रूप से, "स्कूबी।"



इस साइट से समझौता करने के बाद, परिधि की टोह ली गई। 20 वीं, 25 वीं, 80 वीं बंदरगाहों को स्कैन किया। हैकर को बाहर निकाल दिया गया, कार ले ली गई।

कुछ समय पहले तक हैकर्स ने sql-injection, brutal FTP, RDP, SSH जैसे हमले करने की कोशिश की थी। सामान्य तौर पर, उन्होंने शास्त्रीय योजना के अनुसार काम किया।

परिणाम

"टकराव" सफल हुआ! बेशक, इस बार हम "सूखे पानी से बाहर निकलने में सक्षम नहीं थे।" हमलावर कार्यालय की रक्षा के माध्यम से आंशिक रूप से तोड़ने में कामयाब रहे। हालाँकि, यह आयोजन अमूल्य अनुभव लेकर आया। प्राप्त जानकारी आधुनिक आक्रमण वैक्टर को बेहतर ढंग से समझने और व्यवहार में उनका मुकाबला करने के लिए उपाय करने में मदद करेगी।