सभी प्रकार के कनेक्शनों की पहचान करने के लिए फ़िशिंग, बॉटनेट्स, धोखाधड़ी लेनदेन और आपराधिक हैकर समूहों से जुड़े मामलों की जाँच करते हुए, ग्रुप-आईबी विशेषज्ञ कई वर्षों से ग्राफ विश्लेषण का उपयोग कर रहे हैं। अलग-अलग मामलों में अपने स्वयं के डेटा एरेज़, अपने स्वयं के कनेक्शन पहचान एल्गोरिदम और विशिष्ट कार्यों के लिए अनुरूप इंटरफेस हैं। ये सभी उपकरण समूह-आईबी का आंतरिक विकास थे और केवल हमारे कर्मचारियों के लिए उपलब्ध थे।

नेटवर्क इन्फ्रास्ट्रक्चर ( नेटवर्क ग्राफ ) का ग्राफ विश्लेषण पहला आंतरिक उपकरण था जिसे हमने कंपनी के सभी सार्वजनिक उत्पादों में बनाया था। अपना स्वयं का नेटवर्क ग्राफ बनाने से पहले, हमने बाजार पर कई समान विकासों का विश्लेषण किया और एक भी ऐसा उत्पाद नहीं मिला जो हमारी खुद की जरूरतों को पूरा करता हो। इस लेख में हम बात करेंगे कि हमने नेटवर्क ग्राफ कैसे बनाया, इसका उपयोग कैसे करें और हमें किन कठिनाइयों का सामना करना पड़ा।

दिमित्री वोल्कोव, सीटीओ ग्रुप-आईबी और साइबर इंटेलिजेंस के प्रमुख

ग्रुप-आईबी नेटवर्क ग्राफ क्या कर सकता है?

जांच

2003 में ग्रुप-आईबी की स्थापना के बाद से, पहचान, डीनन और साइबर अपराधियों को पकड़ना हमारे काम में मुख्य प्राथमिकता रही है। कोई भी साइबर हमले की जांच हमलावर के नेटवर्क के बुनियादी ढांचे के विश्लेषण के बिना नहीं कर सकता था। हमारी यात्रा की शुरुआत में, रिश्तों को खोजने के लिए "मैनुअल काम" के बजाय यह श्रमसाध्य था जो अपराधियों की पहचान करने में मदद कर सकता था: डोमेन नाम, आईपी पते, सर्वरों के डिजिटल उंगलियों के निशान आदि के बारे में जानकारी।

अधिकांश हमलावर नेटवर्क पर गुमनाम रूप से कार्य करने का प्रयास करते हैं। हालाँकि, सभी लोगों की तरह, वे गलतियाँ करते हैं। इस विश्लेषण का मुख्य कार्य हमलावरों की "सफेद" या "ग्रे" ऐतिहासिक परियोजनाओं को खोजना है जो वास्तविक घटना में उपयोग किए गए दुर्भावनापूर्ण बुनियादी ढांचे के साथ प्रतिच्छेद करते हैं जिनकी हम जांच कर रहे हैं। यदि "सफेद परियोजनाओं" का पता लगाना संभव है, तो हमलावर को ढूंढना, एक नियम के रूप में, एक तुच्छ कार्य बन जाता है। "ग्रेड" के मामले में, खोज में अधिक समय और प्रयास लगता है, क्योंकि उनके मालिक पंजीकरण डेटा को गुप्त या छिपाने की कोशिश करते हैं, लेकिन संभावना काफी अधिक रहती है। एक नियम के रूप में, अपनी आपराधिक गतिविधि की शुरुआत में, हमलावर अपनी सुरक्षा पर कम ध्यान देते हैं और अधिक गलतियां करते हैं, इसलिए हम इतिहास में जितनी गहराई से उतर सकते हैं, एक सफल जांच की संभावना उतनी ही अधिक होगी। यही कारण है कि एक अच्छे इतिहास के साथ एक नेटवर्क ग्राफ ऐसी जांच का एक अत्यंत महत्वपूर्ण तत्व है। सीधे शब्दों में कहें, एक कंपनी के पास जितना गहरा ऐतिहासिक डेटा होता है, उसका ग्राफ उतना ही बेहतर होता है। मान लीजिए 5 साल की कहानी को सुलझाने में मदद मिल सकती है, सशर्त रूप से, 10 अपराधों में से 1-2, और 15 साल की कहानी को दस प्रति दस साल हल करने का मौका मिलता है।

फ़िशिंग और धोखाधड़ी का पता लगाना

हर बार हमें फ़िशिंग, धोखाधड़ी या पायरेटेड संसाधनों के लिए एक संदिग्ध लिंक प्राप्त होता है, हम स्वचालित रूप से संबंधित नेटवर्क संसाधनों का एक ग्राफ बनाते हैं और समान सामग्री के लिए सभी पाए गए मेजबानों की जांच करते हैं। यह आपको दोनों पुराने फ़िशिंग साइटों को खोजने की अनुमति देता है जो सक्रिय लेकिन अज्ञात थे, और नए नए ब्रांड जो भविष्य के हमलों के लिए तैयार थे, लेकिन अभी तक उपयोग नहीं किए गए हैं। एक प्राथमिक उदाहरण जो काफी सामान्य है: हमें केवल 5 साइटों वाले सर्वर पर एक फ़िशिंग साइट मिली। उनमें से प्रत्येक की जांच करके, हम अन्य साइटों पर भी फ़िशिंग सामग्री ढूंढते हैं, जिसका अर्थ है कि हम 1 के बजाय 5 ब्लॉक कर सकते हैं।

बैकएंड सर्च

यह प्रक्रिया स्थापित करने के लिए आवश्यक है जहां दुर्भावनापूर्ण सर्वर वास्तव में स्थित है।
99% कार्ड शॉप, हैकिंग फ़ोरम, बहुत सारे फ़िशिंग संसाधन और अन्य दुर्भावनापूर्ण सर्वर अपने स्वयं के प्रॉक्सी सर्वर और वैध सेवाओं के प्रॉक्सी के पीछे छिपे हुए हैं, उदाहरण के लिए, क्लाउडफ़ेयर। वास्तविक बैकएंड के बारे में जानना जांच के लिए बहुत महत्वपूर्ण है: यह होस्टिंग प्रदाता से जाना जाता है जिससे आप सर्वर को हटा सकते हैं, अन्य दुर्भावनापूर्ण परियोजनाओं के साथ कनेक्शन बनाना संभव हो जाता है।

उदाहरण के लिए, आपके पास बैंक कार्ड डेटा एकत्र करने के लिए एक फ़िशिंग साइट है जो आईपी पते 11/11/11/11 और एक कार्ड शॉप का पता है जो आईपी पते 22.22.22.22 को हल करता है। विश्लेषण के दौरान, यह पता चल सकता है कि फ़िशिंग साइट और कार्ड शॉप दोनों में एक आम बैकएंड आईपी पता है, उदाहरण के लिए, 33.33.33.33। यह ज्ञान आपको फ़िशिंग हमलों और एक कार्ड की दुकान के बीच एक लिंक बनाने की अनुमति देता है, जिस पर, शायद, वे बैंक कार्ड डेटा बेचते हैं।

घटना सहसंबंध

जब आपके पास हमले को नियंत्रित करने के लिए विभिन्न मैलवेयर और विभिन्न सर्वरों के साथ (उदाहरण के लिए, आईडीएस पर) दो अलग-अलग ट्रिगर होते हैं, तो आप उन्हें दो स्वतंत्र घटनाओं के रूप में मानेंगे। लेकिन अगर दुर्भावनापूर्ण अवसंरचनाओं के बीच एक अच्छा संबंध है, तो यह स्पष्ट हो जाता है कि ये अलग-अलग हमले नहीं हैं, लेकिन एक के चरण, अधिक जटिल बहु-चरण के हमले हैं। और अगर किसी एक घटना के लिए पहले से ही हमलावरों के किसी समूह को जिम्मेदार ठहराया जाता है, तो दूसरे को भी उसी समूह को जिम्मेदार ठहराया जा सकता है। बेशक, एट्रिब्यूशन प्रक्रिया बहुत अधिक जटिल है, इसलिए लेखन को एक सरल उदाहरण के रूप में मानें।

संवर्धन संकेतक

हम इस पर ज्यादा ध्यान नहीं देंगे, क्योंकि साइबर स्पेस में ग्राफ़ का उपयोग करने के लिए यह सबसे आम परिदृश्य है: आप इनपुट को एक संकेतक देते हैं, और आपको आउटपुट पर संबंधित संकेतकों की एक सरणी मिलती है।

पैटर्न का पता लगाने

प्रभावी शिकार के लिए पैटर्न की पहचान आवश्यक है। रेखांकन न केवल संबंधित तत्वों को खोजने की अनुमति देता है, बल्कि सामान्य गुणों को भी प्रकट करता है जो हैकर्स के एक निश्चित समूह में निहित हैं। इस तरह की अनूठी विशेषताओं को जानने से आप तैयारी चरण पर और हमले की पुष्टि करने वाले सबूतों जैसे कि फ़िशिंग ईमेल या मैलवेयर के बिना भी हमलावर के बुनियादी ढांचे को पहचान सकते हैं।

हमने अपना नेटवर्क ग्राफ क्यों बनाया?

मैं दोहराता हूं कि हमने निष्कर्ष पर आने से पहले विभिन्न आपूर्तिकर्ताओं से समाधान पर विचार किया था कि हमें अपने स्वयं के उपकरण को विकसित करने की आवश्यकता है जो किसी भी मौजूदा उत्पाद में नहीं पाया जा सकता है। इसे बनाने में कई साल लग गए, जिसके दौरान हमने इसे एक से अधिक बार पूरी तरह से बदल दिया है। लेकिन, लंबी विकास अवधि के बावजूद, हमें अभी भी एक भी ऐसा एनालॉग नहीं मिला है जो हमारी आवश्यकताओं को पूरा करता हो। अपने स्वयं के उत्पाद का उपयोग करके, हम मौजूदा नेटवर्क ग्राफ़ में पाई गई लगभग सभी समस्याओं को हल करने में सक्षम थे। नीचे हम इन समस्याओं पर विस्तार से विचार करते हैं:

समस्या	निर्णय
विभिन्न डेटा संग्रह के साथ एक प्रदाता की कमी: डोमेन, निष्क्रिय DNS, निष्क्रिय एसएसएल, डीएनएस रिकॉर्ड, खुले बंदरगाह, बंदरगाहों पर चल रही सेवाएं, डोमेन नाम और आईपी पते के साथ बातचीत करने वाली फाइलें। स्पष्टीकरण। आपूर्तिकर्ता आमतौर पर विभिन्न प्रकार के डेटा प्रदान करते हैं, और पूरी तस्वीर प्राप्त करने के लिए, आपको सभी से सदस्यताएँ खरीदने की आवश्यकता होती है। लेकिन फिर भी, सभी डेटा प्राप्त करना हमेशा संभव नहीं होता है: कुछ निष्क्रिय एसएसएल प्रदाता केवल विश्वसनीय सीए द्वारा जारी किए गए प्रमाणपत्रों पर डेटा प्रदान करते हैं, और स्व-हस्ताक्षरित प्रमाणपत्रों की कवरेज बेहद खराब है। अन्य लोग स्व-हस्ताक्षरित प्रमाण पत्र पर डेटा प्रदान करते हैं, लेकिन केवल उन्हें मानक बंदरगाहों से इकट्ठा करते हैं।	हमने उपरोक्त सभी संग्रह स्वयं एकत्र किए हैं। उदाहरण के लिए, एसएसएल प्रमाणपत्रों के बारे में डेटा एकत्र करने के लिए, हमने अपनी स्वयं की सेवा लिखी जो उन्हें विश्वसनीय सीए से इकट्ठा करती है और पूरे आईपीवी 4 स्थान को स्कैन करके। प्रमाणपत्र न केवल आईपी से, बल्कि हमारे डेटाबेस से सभी डोमेन और उप-डोमेन से भी एकत्र किए गए थे: यदि आपके पास example.com डोमेन और उसका उप-डोमेन www.example.com है और वे सभी IP 1.1.1.1 का समाधान करते हैं, तब आप SSL प्राप्त करने का प्रयास करते हैं IP, डोमेन और इसके उप डोमेन द्वारा पोर्ट 443 से प्रमाणपत्र, आप तीन अलग-अलग परिणाम प्राप्त कर सकते हैं। खुले बंदरगाहों और चल रही सेवाओं पर डेटा एकत्र करने के लिए, मुझे अपना स्वयं का वितरित स्कैनिंग सिस्टम बनाना पड़ा, क्योंकि अन्य सेवाओं के लिए स्कैनिंग सर्वर के आईपी पते अक्सर "ब्लैक लिस्ट" में होते थे। हमारे स्कैनिंग सर्वर भी ब्लैकलिस्ट किए जाते हैं, लेकिन हमें जिन सेवाओं की आवश्यकता होती है, उन्हें खोजने का नतीजा उन लोगों की तुलना में अधिक है, जो बस अधिक से अधिक पोर्ट स्कैन करते हैं और इस डेटा तक पहुंच बेचते हैं।
ऐतिहासिक अभिलेखों के पूरे डेटाबेस तक पहुंच का अभाव। स्पष्टीकरण। प्रत्येक सामान्य आपूर्तिकर्ता का एक अच्छा संचित इतिहास होता है, लेकिन प्राकृतिक कारणों से एक ग्राहक के रूप में हम सभी ऐतिहासिक डेटा तक पहुँच प्राप्त नहीं कर सकते हैं। यानी आप पूरी कहानी एक अलग रिकॉर्ड के अनुसार प्राप्त कर सकते हैं, उदाहरण के लिए, डोमेन या आईपी पते से, लेकिन आप हर चीज का इतिहास नहीं देख सकते - और इसके बिना आप पूरी तस्वीर नहीं देख सकते।	संभव के रूप में डोमेन द्वारा कई ऐतिहासिक रिकॉर्ड इकट्ठा करने के लिए, हमने विभिन्न डेटाबेस खरीदे, कई खुले संसाधनों को पार्स किया, जिसमें यह इतिहास था (यह अच्छा है कि उनमें से बहुत सारे थे), और डोमेन नाम रजिस्ट्रार से सहमत थे। हमारे अपने संग्रह में सभी अपडेट, निश्चित रूप से, परिवर्तनों के पूर्ण इतिहास के साथ संग्रहीत हैं।
सभी मौजूदा समाधान आपको मैन्युअल मोड में एक ग्राफ बनाने की अनुमति देते हैं। स्पष्टीकरण। मान लें कि आपने सभी संभावित डेटा प्रदाताओं से बहुत सारे सब्सक्रिप्शन खरीदे हैं (आमतौर पर उन्हें "संवर्धन" कहा जाता है)। जब आपको एक ग्राफ बनाने की आवश्यकता होती है, तो आप वांछित संचार तत्व से निर्माण करने के लिए "हाथ" कमांड देते हैं, फिर दिखाई दिए गए तत्वों में से आवश्यक को चुनते हैं और उनसे कनेक्शन पूरा करने के लिए कमांड देते हैं, और इसी तरह। इस मामले में, ग्राफ़ का निर्माण कितनी अच्छी तरह से किया जाएगा इसकी जिम्मेदारी पूरी तरह से व्यक्ति के पास है।	हमने ऑटोमैटिक ग्राफिंग की। यानी यदि आपको एक ग्राफ बनाने की आवश्यकता है, तो पहले तत्व से कनेक्शन स्वचालित रूप से बनाए जाते हैं, बाद के सभी से भी। विशेषज्ञ केवल उस गहराई को इंगित करता है जिसके साथ ग्राफ का निर्माण करना है। स्वचालित रूप से ग्राफ़ को पूरा करने की प्रक्रिया सरल है, लेकिन अन्य विक्रेता इसे लागू नहीं करते हैं क्योंकि यह अप्रासंगिक परिणामों की एक बड़ी मात्रा देता है, और हमें इस खामी (नीचे देखें) पर भी विचार करना था।
बहुत सारे अप्रासंगिक परिणाम नेटवर्क तत्वों पर सभी रेखांकन की समस्या है। स्पष्टीकरण। उदाहरण के लिए, एक "खराब डोमेन" (हमले में भाग लिया गया) एक सर्वर से जुड़ा है जिसके साथ पिछले 10 वर्षों में 500 अन्य डोमेन जुड़े हैं। जब मैन्युअल रूप से ग्राफ़ जोड़ना या स्वचालित रूप से बनाना होता है, तो इन सभी 500 डोमेन को ग्राफ़ पर क्रॉल करना चाहिए, हालांकि वे हमले से संबंधित नहीं हैं। या, उदाहरण के लिए, आप विक्रेता की सुरक्षा रिपोर्ट से आईपी संकेतक की जांच करते हैं। एक नियम के रूप में, ऐसी रिपोर्ट एक महत्वपूर्ण देरी के साथ सामने आती है और अक्सर एक वर्ष या उससे अधिक समय तक कवर करती है। सबसे अधिक संभावना है, उस समय जब आप रिपोर्ट पढ़ते हैं, तो इस आईपी पते वाला सर्वर पहले से ही अन्य कनेक्शन वाले लोगों को पट्टे पर दिया जाता है, और ग्राफ़ के निर्माण से इस तथ्य को जन्म मिलेगा कि आपको फिर से अप्रासंगिक परिणाम प्राप्त हुए हैं।	हमने उस तर्क के अनुसार अप्रासंगिक तत्वों की पहचान करने के लिए प्रणाली को प्रशिक्षित किया जैसा कि हमारे विशेषज्ञों ने हाथ से किया था। उदाहरण के लिए, आप खराब डोमेन example.com की जांच करते हैं, जो अब IP 11.11.11.11 और एक महीने पहले IP 22.22.22.22 तक रहता है। डोमेन example.com के अलावा, example.ru IP 11.11.11.11 से जुड़ा है, और 25 हजार अन्य डोमेन IP 22.22.22.22 से जुड़े हैं। सिस्टम, एक व्यक्ति की तरह, समझता है कि 11.11.11.11, सबसे अधिक संभावना है, एक समर्पित सर्वर है, और चूंकि example.ru डोमेन example.com की वर्तनी के समान है, फिर, एक उच्च संभावना के साथ, वे जुड़े हुए हैं और ग्राफ पर होना चाहिए; लेकिन आईपी 22.22.22.22 साझा होस्टिंग से संबंधित है, इसलिए आपको अपने सभी डोमेन को ग्राफ़ में डालने की आवश्यकता नहीं है यदि कोई अन्य कनेक्शन नहीं दिखा रहा है कि इन 25 हजार डोमेन में से एक को भी बाहर निकालने की आवश्यकता है (उदाहरण के लिए, example.net)। इससे पहले कि सिस्टम को पता चले कि कनेक्शन को तोड़ने की आवश्यकता है और कुछ तत्वों को ग्राफ पर नहीं डाला जाना चाहिए, इसमें तत्वों और समूहों के कई गुणों को ध्यान में रखा जाता है जिसमें ये तत्व संयुक्त होते हैं, साथ ही साथ वर्तमान कनेक्शन की ताकत भी होती है। उदाहरण के लिए, यदि हमारे पास ग्राफ़ में एक छोटा क्लस्टर (50 तत्व) है, जिसमें एक खराब डोमेन शामिल है, और एक और बड़ा क्लस्टर (5 हजार तत्व) और दोनों क्लस्टर बहुत कम ताकत (वजन) के साथ एक लिंक (लाइन) से जुड़े हैं, तो यह कनेक्शन टूट जाएगा और बड़े क्लस्टर से आइटम हटा दिए जाएंगे। लेकिन अगर छोटे और बड़े समूहों के बीच कई लिंक होंगे और उनकी ताकत धीरे-धीरे बढ़ेगी, तो इस मामले में कनेक्शन नहीं टूटेगा और दोनों समूहों से आवश्यक तत्व ग्राफ पर बने रहेंगे।
सर्वर और डोमेन के स्वामित्व के अंतराल को ध्यान में नहीं रखा जाता है। स्पष्टीकरण। "खराब डोमेन" का पंजीकरण जल्द या बाद में समाप्त हो जाता है, और उन्हें फिर से दुर्भावनापूर्ण या वैध उद्देश्यों के लिए खरीदा जाता है। बुलेटप्रूफ होस्टिंग के साथ भी, सर्वर अलग-अलग हैकर्स को पट्टे पर दिए जाते हैं, इसलिए किसी विशेष डोमेन / सर्वर के एक मालिक के नियंत्रण में होने पर अंतराल को जानना और लेना महत्वपूर्ण है। हम अक्सर ऐसी स्थिति का सामना करते हैं जहां आईपी 11.11.11.11 के साथ एक सर्वर अब बैंकिंग बॉट के लिए सी एंड सी के रूप में उपयोग किया जाता है, और रैनसमवेयर 2 महीने पहले प्रबंधित किया गया था। यदि आप एक कनेक्शन बनाते हैं, तो स्वामित्व के अंतराल को ध्यान में नहीं रखते हुए, ऐसा लगेगा कि बैंकिंग बॉटनेट और रैनसमवेयर के मालिकों के बीच एक संबंध है, हालांकि वास्तव में यह नहीं है। हमारे काम में, ऐसी गलती महत्वपूर्ण है।	हमने स्वामित्व अंतराल निर्धारित करने के लिए प्रणाली सिखाई। डोमेन के लिए, यह अपेक्षाकृत सरल है, क्योंकि जो अक्सर पंजीकरण की शुरुआत और समाप्ति तिथियां दिखाता है और, जब पूरी तरह से Whois बदल जाता है, तो अंतराल को निर्धारित करना आसान होता है। जब डोमेन समाप्त नहीं हुआ है, लेकिन इसका प्रबंधन अन्य मालिकों को स्थानांतरित कर दिया गया है, तो आप इसे ट्रैक भी कर सकते हैं। एसएसएल प्रमाणपत्रों के लिए ऐसी कोई समस्या नहीं है, क्योंकि यह एक बार जारी किया जाता है, इसे नवीनीकृत नहीं किया जाता है, और इसे प्रेषित नहीं किया जाता है। लेकिन स्व-हस्ताक्षरित प्रमाणपत्रों के लिए, आप प्रमाणपत्र समाप्ति तिथियों में बताई गई तारीखों पर भरोसा नहीं कर सकते, क्योंकि आप आज एक एसएसएल प्रमाणपत्र उत्पन्न कर सकते हैं, और 2010 से प्रमाण पत्र प्रारंभ तिथि निर्दिष्ट कर सकते हैं। सर्वर के लिए स्वामित्व अंतराल को निर्धारित करना सबसे मुश्किल काम है, क्योंकि केवल होस्टिंग प्रदाताओं के पास दिनांक और पट्टे हैं। सर्वर के स्वामित्व की अवधि निर्धारित करने के लिए, हमने पोर्ट स्कैनिंग और पोर्ट पर चलने वाली सेवाओं के फिंगरप्रिंट बनाने के परिणामों का उपयोग करना शुरू कर दिया। इस जानकारी के आधार पर, हम सर्वर के मालिक के बदलने पर सही-सही कह सकते हैं।
कुछ कनेक्शन। स्पष्टीकरण। अब यह भी कोई समस्या नहीं है कि एक विशिष्ट ईमेल पते के लिए डोमेन की एक सूची प्राप्त करें, या एक विशिष्ट आईपी पते के साथ जुड़े सभी डोमेन का पता लगाने के लिए। लेकिन, जब हैकर्स की बात आती है जो इसे ट्रैक करना मुश्किल बनाते हैं, तो नए गुणों को खोजने और नए कनेक्शन बनाने के लिए अतिरिक्त "ट्रिक्स" की आवश्यकता होती है।	हमने यह जानने में बहुत समय बिताया कि सामान्य तरीके से उपलब्ध डेटा को कैसे पुनः प्राप्त किया जाए। हम स्पष्ट कारणों के लिए यहाँ कैसे काम करते हैं, इसका वर्णन नहीं कर सकते हैं, लेकिन कुछ परिस्थितियों में, हैकर्स डोमेन रजिस्टर करते समय या सर्वर किराए पर लेने और सर्वर स्थापित करने में गलती करते हैं, जो आपको ईमेल पते, हैकर उपनाम, बैकएंड पते का पता लगाने की अनुमति देते हैं। जितने अधिक कनेक्शन आप निकालते हैं, उतने ही सटीक रूप से आप ग्राफ़ बना सकते हैं।

हमारा ग्राफ कैसे काम करता है

नेटवर्क ग्राफ का उपयोग शुरू करने के लिए, आपको खोज बॉक्स में एसएसएल प्रमाणपत्र के डोमेन, आईपी पते, ईमेल या फिंगरप्रिंट दर्ज करना होगा। ऐसी तीन स्थितियां हैं जिन्हें एक विश्लेषक नियंत्रित कर सकता है: समय, कदम गहराई, और सफाई।

समय

समय - वह तिथि या अंतराल जब खोज आइटम का उपयोग दुर्भावनापूर्ण उद्देश्यों के लिए किया गया था। यदि आप इस पैरामीटर को निर्दिष्ट नहीं करते हैं, तो सिस्टम इस संसाधन के स्वामित्व के अंतिम अंतराल को निर्धारित करेगा। उदाहरण के लिए, 11 जुलाई को, एसेट ने एक रिपोर्ट प्रकाशित की कि कैसे बुचरैप साइबर जासूसी के लिए 0-दिन के शोषण का उपयोग करता है। रिपोर्ट के अंत में 6 संकेतक हैं। उनमें से एक, सिक्योर-टेलीमेट्री [।] नेट, 16 जुलाई को फिर से पंजीकृत किया गया था। इसलिए, यदि आप 16 जुलाई के बाद एक ग्राफ बनाते हैं, तो आपको अप्रासंगिक परिणाम प्राप्त होंगे। लेकिन यदि आप इंगित करते हैं कि इस तिथि से पहले इस डोमेन का उपयोग किया गया था, तो 126 नए डोमेन और 69 आईपी पते जो कि एसेट रिपोर्ट में सूचीबद्ध नहीं हैं, ग्राफ पर आते हैं:

ukrfreshnews [।] com
अनियन-खोज [।] com
वेस्टी-वर्ल्ड [।] जानकारी
runewsmeta [।] com
foxnewsmeta [।] बिज़
sobesednik-meta [।] जानकारी
रियान-ua [।] नेट
और अन्य

नेटवर्क संकेतकों के अलावा, हम तुरंत दुर्भावनापूर्ण फ़ाइलों के लिंक ढूंढते हैं, जिनके पास इस बुनियादी ढांचे और टैग के लिंक थे जो हमें बताते हैं कि मीटरपरेटर, एज़ुरॉल्ट का उपयोग किया गया था।

बड़ी बात यह है कि आपको यह परिणाम एक सेकंड में मिलता है और आपको अब डेटा का विश्लेषण करने के लिए दिन बिताने की आवश्यकता नहीं है। बेशक, यह दृष्टिकोण कभी-कभी कई बार जांच के लिए समय कम कर देता है, जो अक्सर महत्वपूर्ण होता है।

चरणों की संख्या या पुनरावृत्ति की गहराई जिसके साथ ग्राफ बनाया जाएगा

डिफ़ॉल्ट रूप से, गहराई 3 है। इसका मतलब है कि सभी सीधे संबंधित तत्व आवश्यक तत्व से मिल जाएंगे, फिर प्रत्येक नए तत्व को अन्य तत्वों से नए कनेक्शन बनाए जाएंगे, और अंतिम चरण से नए तत्वों में नए तत्व होंगे।

एपीटी और 0-दिन के कारनामों से संबंधित एक उदाहरण न लें। हाल ही में Habré ने क्रिप्टोकरेंसी के साथ जुड़े धोखाधड़ी के एक दिलचस्प मामले का वर्णन किया। रिपोर्ट में डोमेन - themcx [।] सह का उल्लेख किया गया है, जिसे स्कैमर्स द्वारा इस्तेमाल किया जाता है, जो कथित रूप से एक्सचेंजर्स माइनर कॉइन एक्सचेंज और फोन-लुकअप की साइट को होस्ट करने के लिए इस्तेमाल किया जाता है।

विवरण से यह स्पष्ट है कि इस योजना में धोखाधड़ी संसाधनों के लिए यातायात को आकर्षित करने के लिए पर्याप्त बड़े बुनियादी ढांचे की आवश्यकता है। हमने 4 चरणों में एक ग्राफ बनाकर इस बुनियादी ढांचे को देखने का फैसला किया। आउटपुट 230 डोमेन और 39 आईपी पते के साथ एक ग्राफ था। अगला, हम डोमेन को 2 श्रेणियों में तोड़ते हैं: वे जो क्रिप्टोकरेंसी के साथ काम करने के लिए सेवाओं के समान हैं और जिन्हें फोन सत्यापन सेवाओं के माध्यम से ट्रैफ़िक पकड़ने के लिए डिज़ाइन किया गया है:

क्रिप्टोकरेंसी संबंधी	फोन पंचिंग सेवाओं के साथ जुड़े
संयोग से [।] सी.सी.	कॉलर-रिकॉर्ड [] साइट।
mcxwallet [।] सह	फोन-रिकॉर्ड [।] अंतरिक्ष
btcnoise [।] com	fone-unlock- [।] xyz
क्रिप्टोकरंसी [।] घड़ी	संख्या-उजागर [] जानकारी

सफाई

डिफ़ॉल्ट रूप से, "स्पष्ट ग्राफ़" विकल्प सक्षम है और सभी अप्रासंगिक तत्व ग्राफ़ से हटा दिए जाएंगे। वैसे, इसका उपयोग पिछले सभी उदाहरणों में किया गया था। मैं एक प्राकृतिक प्रश्न का पूर्वाभास करता हूं: यह सुनिश्चित करने के लिए कि कुछ महत्वपूर्ण बात दूर नहीं जाती है? : , , = 1. .

whois, DNS, .

APT- , . , , , .

. — lloydsbnk-uk[.]com, 3 , 250 , 2015 . , , .

2 .

, 2019 -, . , swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.

Cobalt gang

2018 Cobalt, , .

hXXps://nationalbank.bz/Doc/Prikaz.doc. , powershell, hXXp://wateroilclub.com/file/dwm.exe %Temp%\einmrmdmy.exe. %Temp%\einmrmdmy.exe aka dwm.exe — CobInt stager, hXXp://admvmsopp.com/rilruietguadvtoefmuy.

, . nationalbank[.]bz , .

IP- 46.173.219[.]152 . 40 , , bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

, , , , .

nationalbank[.]bz, , 500 Cobalt, . , :

निष्कर्ष

, , , . . , , , . “” , . , . . Group-IB . . , , , , .

आपका रास्ता, ग्राफ: हम कैसे एक अच्छा नेटवर्क ग्राफ नहीं मिला और अपना खुद का बनाया