हमने ब्लैक हैट यूरोप 2018 की निगरानी कैसे की

छह महीने पहले, मैंने पहले ही हैबे पर एक नोट लिखा था , जहां मैंने विभिन्न आईटी और सूचना सुरक्षा सम्मेलनों की निगरानी में अपना अनुभव साझा किया था, जिसमें सिस्को को एसओसी और एनओसी (ब्लैक हैट, मोबाइल वर्ल्ड कांग्रेस, आरएसएसी, आदि) का समर्थन करने के लिए आमंत्रित किया गया था। आज मैं नेटवर्क निगरानी केंद्र में भाग लेने के अनुभव को साझा करना चाहूंगा, जिसने अंतिम यूरोपीय ब्लैक हैट की सेवा की, जिसमें हम दूसरे वर्ष के लिए एनओसी की मदद कर रहे हैं। आरएसए, पालो अल्टो, गिगामों और रुकस के साथ, हमने सम्मेलन और प्रशिक्षण बुनियादी ढांचे के लिए सुरक्षा प्रदान की। सिस्को के पास DNS घटनाओं ( सिस्को अंब्रेला और सिस्को छाता जांच का उपयोग ) की निगरानी और जांच करने की जिम्मेदारी थी, साथ ही सिस्को थ्रेट ग्रिड का उपयोग करके स्वचालित मैलवेयर विश्लेषण और थ्रेट इंटेलिजेंस।



ब्लैक हैट जैसे सम्मेलनों की साइबर सुरक्षा सुनिश्चित करना एक कठिन काम से अधिक है, क्योंकि दुर्भावनापूर्ण फ़ाइलों की उपस्थिति या ट्रैफ़िक में दुर्भावनापूर्ण डोमेन तक पहुंचने का प्रयास आम घटना से बाहर नहीं है। इसके विपरीत, विभिन्न प्रशिक्षणों के ढांचे में, यह एक पूरी तरह से सामान्य घटना है जिसे अवरुद्ध नहीं किया जा सकता है, जिससे सीखने की प्रक्रिया का उल्लंघन होता है और दोनों प्रतिभागियों के असंतोष का कारण बनता है जिन्होंने अपने पैसे और प्रशिक्षकों का भुगतान किया। प्रायोजकों के लिए वही जाता है, जो अपनी घटनाओं, ब्रीफिंग और प्रेस कॉन्फ्रेंस के हिस्से के रूप में, अक्सर दिखाते हैं कि उनके समाधान कैसे काम करते हैं, जिसके लिए एनओसी टीम को सावधान और चयनात्मक होने की भी आवश्यकता होती है।

विकृत मैलवेयर

RSA NetWitness समाधान ब्लैक हैट पर नेटवर्क की निगरानी के लिए जिम्मेदार था, जिसने अन्य चीजों के साथ, विभिन्न नेटवर्क प्रोटोकॉल पर प्रेषित फ़ाइलों का निरीक्षण किया, जिनमें विभिन्न उल्लंघन शामिल थे। उदाहरण के लिए, पहले दिन किसी एक प्रशिक्षण में, table.png फ़ाइल का डाउनलोड रिकॉर्ड किया गया था। NetWitness ने पाया कि छवियों में निहित विस्तार के बावजूद, फ़ाइल हेडर MZ के साथ शुरू हुआ, जो यह संकेत दे सकता है कि फ़ाइल को स्थानांतरित किया जा रहा है वास्तव में निष्पादन योग्य है। डायनामिक विश्लेषण के लिए फाइल को सिस्को थ्रेट ग्रिड में स्थानांतरित किया गया था।



डाउनलोड करने के कुछ मिनट बाद, table.png फ़ाइल को ट्रिकबोट ट्रोजन के रूप में मान्यता दी गई थी।



स्मृति के साथ काम सहित कई व्यवहार संकेतकों पर जांच हुई। यह सिर्फ एक बिट को बदलने के लिए पर्याप्त है ताकि फ़ाइल का हैश बदल जाए, लेकिन मालवेयर विश्लेषण प्रणाली के अदृश्य होने के लिए मेमोरी के साथ काम करने के लिए कोड को फिर से लिखना मुश्किल है। बिल्कुल वही एड्रेस स्पेस ट्रिकबोट द्वारा इस्तेमाल किया गया था, जिसने हमें इस मैलवेयर के बारे में सटीक निष्कर्ष निकालने की अनुमति दी।



ट्रिकबोट कोई नया ट्रोजन नहीं है; यह 2016 के अंत में दिखाई दिया, लेकिन अभी भी इंटरनेट पर पाया जाता है। एनओसी टीम ने उस लैपटॉप के मैक पते को निर्धारित किया जिसमें से ट्राइपबोट को .png फ़ाइल के रूप में प्रच्छन्न किया गया था। हमने इस मैकबुक के साथ जाने वाली सभी गतिविधि की जांच की - यह पता चला कि कुछ ही मिनटों में सैकड़ों डीजीए डोमेन से जुड़ने का प्रयास किया गया, दर्जनों विभिन्न दुर्भावनापूर्ण प्रोग्राम डाउनलोड किए गए, आदि। जांच के दौरान, यह पाया गया कि मैकबुक का उपयोग प्रशिक्षण में से एक के हिस्से के रूप में किया गया था; इसलिए, एनओसी टीम ने इस गतिविधि को अवरुद्ध नहीं किया, जबकि यह सुनिश्चित करने के प्रयास किए कि अन्य ब्लैक हैट यूरोप के प्रतिभागियों के कंप्यूटरों पर इस प्रशिक्षण के दायरे से बाहर कुछ भी खतरनाक न हो।

बुद्धिमान प्रॉक्सी

जैसा कि हमारे समाधानों में फ़ंक्शन का विस्तार होता है, हम उन्हें सम्मेलनों में परीक्षण करते हैं, जहां हमें एसओसी / एनओसी में भाग लेने के लिए आमंत्रित किया जाता है। इस बार, पहले दिन, हमने सिस्को अंब्रेला में इंटेलीजेंट प्रॉक्सी फीचर चालू किया, जो आपको वेब इंटरेक्शन के हिस्से के रूप में प्रेषित खतरों, सामग्री और अनुप्रयोगों की निगरानी करके वेब ट्रैफ़िक को प्रॉक्सी करने की अनुमति देता है।

पहले दिन की सुबह, हमने macautofixer के उपयोग से संबंधित एक अलार्म तय किया।



एनओसी टीम ने एक जांच शुरू की, जिसमें आईटीयू लॉग का विश्लेषण, नेटवर्क पैकेट का पुनर्निर्माण और अनुरोध शुरू करने वाली मशीन की पहचान करना शामिल है। सिस्को अंब्रेला जांच के आंकड़ों को देखते हुए, यह एक काफी लोकप्रिय दुर्भावनापूर्ण संसाधन है - इसके लिए लगभग 20 हजार अनुरोधों को दर्ज किया गया है:



मुख्य रूप से संयुक्त राज्य अमेरिका से:



यह पता चला कि सम्मेलन आयोजकों में से एक कंप्यूटर संक्रमित था। ब्लैकहैट नीति दुर्भावनापूर्ण संसाधनों तक पहुंच की अनुमति देती है जब तक कि यह पहचाना नहीं जाता है कि यह ब्लैक हैट संसाधनों पर एक बाहरी हमला है, जैसा कि इस मामले में दर्ज किया गया था। इस और सभी भविष्य के ब्लैक हैट सम्मेलनों के लिए सिस्को छाता द्वारा डोमेन को अवरुद्ध कर दिया गया है।



दूसरे दिन, कई वाई-फाई नेटवर्क उपयोगकर्ता सिम्बा मैलवेयर से संक्रमित थे, जो काफी पुराने कमांड सर्वर से जुड़ने की कोशिश करते थे:

• www [।] गदीनिव [।] कॉम / hbt.php? rewrite = login.php
• purycap [।] com / login.php
• gadyniw [।] com / hbt.php? rewrite = login.php
• ww1 [।] ysyfyj [।] com / login.php

गैडीनिवि [।] कॉम डोमेन को सिस्को थ्रेट ग्रिड द्वारा दुर्भावनापूर्ण और अवरुद्ध के रूप में पहचाना गया है। जांच के दौरान, यह पता चला कि इस मैलवेयर का उपयोग उन प्रशिक्षणों में से एक के भाग के रूप में किया गया था, जिसमें प्रतिभागी अप्रभावित कंप्यूटर के रूप में निकले थे। हमने प्रशिक्षक को संक्रमित प्रतिभागियों को अपने लैपटॉप के साथ सार्वजनिक वाई-फाई सेगमेंट से कनेक्ट न करने की याद दिलाने की सलाह दी।

फिशिंग अटैक

ब्लैक हैट की प्रक्रिया में, इसके आयोजकों, कंपनी यूबीएम को ई-मेल के माध्यम से बड़े पैमाने पर फ़िशिंग हमले का सामना करना पड़ा, जो संगठनों पर सबसे व्यापक हमला बना हुआ है।



हमने Threat Grid में Glovebox सुविधा का उपयोग करके CLICK HERE लिंक की जांच की, जो आपको संक्रमण के जोखिम के बिना एक वर्चुअल मशीन के साथ बातचीत करने की अनुमति देता है। दो ब्राउज़रों में, लिंक ने एक त्रुटि लौटा दी जैसे कि आवश्यक पृष्ठ मौजूद नहीं है।



हालाँकि, रिपोर्ट में हमने लगभग 100 खुले नेटवर्क कनेक्शन दर्ज किए, लगभग 100 कलाकृतियाँ डिस्क पर डाउनलोड की गईं, जिनमें जावास्क्रिप्ट भी शामिल है, साथ ही लगभग 170 रजिस्ट्री परिवर्तन भी हुए हैं।



हमने सभी Black Hat सम्मेलनों के लिए इस डोमेन को ब्लैकलिस्ट में जोड़ दिया है।

डीएनएस गतिविधि

2017 में, हमने ब्लैक हैट यूरोप में लगभग 5.8 मिलियन DNS प्रश्नों को रिकॉर्ड किया। एक साल बाद, 2018 में, हमने 7.6 मिलियन अनुरोध दर्ज किए, जिनमें से लगभग 4000 दुर्भावनापूर्ण गतिविधि, टीम सर्वर या फ़िशिंग से संबंधित थे।



नई से यूरोपीय ब्लैक हैट उन उपयोगकर्ताओं की अधिसूचना थी जिनके ई-मेल के लिए प्रमाण स्पष्ट पाठ में प्रेषित किए गए थे। सौभाग्य से, पिछले सम्मेलनों की तुलना में, इस बार केवल 14 उपयोगकर्ताओं ने असुरक्षित मेल में अपना मेल भेजा। यह पहला सम्मेलन था, जिसमें हमने खुले रूप में प्रेषित वित्तीय या बैंकिंग दस्तावेजों का अवलोकन नहीं किया था।

एनओसी टीम ने खनन संसाधनों तक बड़ी संख्या में पहुंच दर्ज की। पहली बार, हमने यूरोप में एक साल पहले इस तरह के प्रयासों को रिकॉर्ड करना शुरू किया, इसके बाद एशियन ब्लैक हैट में बड़ा उछाल आया।



क्रिप्टो खनिक वाले उपयोगकर्ताओं को ब्लैक हैट एनओसी टीम द्वारा चेतावनी दी गई थी। यदि वे होशपूर्वक खनन करते थे, तो कोई समस्या नहीं है। यदि यह संक्रमण का सवाल था, तो उपयोगकर्ताओं को कंप्यूटर के इलाज में मदद की पेशकश की गई थी।



इसके अलावा, सिस्को छाता की एक नई विशेषता, जिसे यूरोपीय ब्लैक हैट पर परीक्षण किया गया था, ऐप डिस्कवरी था, जो आपको उद्यम के लिए उनके जोखिम के आकलन के साथ उपयोग किए गए अनुप्रयोगों (अब 2000 से अधिक हैं) की पहचान करने की अनुमति देता है।



यह स्पष्ट है कि ब्लैक हैट की नीति एक नियमित कंपनी से अलग है, जो अज्ञात और वीपीएन सेवाओं को प्रतिबंधित कर सकती है जो कॉर्पोरेट सुरक्षा नीतियों का उल्लंघन कर सकती हैं। सूचना सुरक्षा पर एक सम्मेलन में, ऐसे अनुप्रयोगों का उपयोग काफी सामान्य है और इसलिए उन्हें अवरुद्ध नहीं किया गया था। लेकिन इस वर्ग के सबसे लोकप्रिय समाधानों को देखना दिलचस्प था।



सिस्को सुरक्षा दल का अगला पड़ाव RSA सम्मेलन होगा, जो इस साल मार्च में सैन फ्रांसिस्को में आयोजित किया जाएगा, जहां हम फिर से RSA SOC के लिए जिम्मेदार होंगे। यदि आप अचानक इस प्रदर्शनी में भाग लेने की योजना बनाते हैं, तो हम आपको दुनिया के सबसे बड़े सूचना सुरक्षा कार्यक्रमों में से एक के सुरक्षा निगरानी केंद्र के भ्रमण के लिए आमंत्रित करते हैं, जो कि कई दसियों हज़ार लोगों द्वारा सालाना दौरा किया जाता है। यदि आप सैन फ्रांसिस्को में आरएसएसी के दिनों में रहेंगे और प्रदर्शनी का दौरा करना चाहते हैं, लेकिन इसके लिए टिकट नहीं है, तो सिस्को आपको प्रदर्शनी के मुफ्त प्रवेश के लिए प्रचार कोड देता है - X8SCISCOP।