स्टैंडऑफ़ साइबर लड़ाई के परिणाम, या पीटी विशेषज्ञ सुरक्षा केंद्र ने हमलावरों पर नज़र कैसे रखी

चौथी बार पॉजिटिव हैक डे पर स्टैंडऑफ प्रतियोगिता आयोजित की गई थी: यह आभासी शहर एफ के बुनियादी ढांचे पर नियंत्रण के लिए हमलावरों, रक्षकों और विशेषज्ञ सुरक्षा केंद्रों (एसओसी) की टीमों के बीच एक साइबर लड़ाई है।

हमलावरों का एक ही लक्ष्य था कि साइबर अपराधी आमतौर पर बैंक से पैसा चुराते हैं, गोपनीय डेटा चुराते हैं, तकनीकी दुर्घटना की व्यवस्था करते हैं। उन्होंने कार्यों को पूरा करने की कोशिश की, और डिफेंडर टीमों ने एसओसी टीमों के साथ मिलकर अपने उद्यमों की सुरक्षा सुनिश्चित की और दुश्मन के हमलों को तुरंत रोकने के लिए तैयार थे। इस वर्ष भी, विकास दल प्रतियोगिता में शामिल हुए: एक हैकथॉन को द स्टैंडऑफ के हिस्से के रूप में आयोजित किया गया था, हमने पहले ही इसके परिणामों के बारे में पिछले लेख में बात की थी।

सकारात्मक प्रौद्योगिकी सुरक्षा केंद्र ( पीटी विशेषज्ञ सुरक्षा केंद्र ) द्वारा गतिरोध की निगरानी की गई। हमारे विशेषज्ञों ने पॉजिटिव टेक्नॉलॉजी प्रोटेक्शन टूल्स - मैक्सपोट्रोल सिएम, पीटी नेटवर्क अटैक डिस्कवरी, पीटी एप्लीकेशन फायरवाल, पीटी मल्टीस्कैनर, पीटी आईएसआईएम द्वारा दर्ज की गई घटनाओं का विश्लेषण किया। उनकी मदद से टकराव की पूरी तस्वीर को बहाल किया गया था। इस लेख में हम बात करेंगे कि विभिन्न उद्यमों और शहर के बुनियादी ढांचे पर हमलों के दौरान साइट पर क्या हुआ और टीमों ने कैसे काम किया। जो लोग लंबे समय तक पढ़ने के लिए बहुत आलसी हैं, उनके लिए एंटी-मैलवेयर पर रिपोर्ट का एक संक्षिप्त संस्करण है ।

शहर के बुनियादी ढांचे एफ

सिटी एफ पहले की तुलना में काफी बड़ा हो गया है। कथानक के अनुसार, यह एक आधुनिक डिजिटल महानगर था। शहर के मुख्य औद्योगिक उद्यम थर्मल पावर प्लांट, तेल रिफाइनरी और रासायनिक संयंत्र हैं, जिन्हें बिग ब्रो ग्रुप द्वारा प्रबंधित किया गया था। सभी उत्पादन प्रक्रियाओं को आधुनिक प्रक्रिया नियंत्रण प्रणालियों द्वारा नियंत्रित किया गया था।

शहर एफ में, एक हवाई अड्डा, एक बंदरगाह और एक रेलवे संचालित है। इसने हेजहोग एयरलाइंस के कार्यालय और शिपिंग कंपनी हैवी शिप लॉजिस्टिक्स के मुख्यालय को भी रखा। शहर के बुनियादी ढांचे में कई कार्यालय शामिल थे: फ्यूचर इलेक्ट्रॉनिक्स आईटी कंपनी, बेहाल्टी बीमा कंपनी, सिटी-एफ मीडिया ग्रुप मीडिया होल्डिंग और यहां तक ​​कि वोस्कॉन फुटबॉल क्लब। सड़कों पर भारी ट्रैफ़िक था, और ट्रैफ़िक लाइट और रोड लाइटिंग पूरी तरह से स्वचालित थे।

शहर में एक बड़ी आबादी का निवास था: लोगों ने कार्यालयों और उत्पादन में काम किया, आधुनिक घरों में रहते थे और राष्ट्रीय दूरसंचार ऑपरेटर फ्यूचर टेलीकॉम से ई-सिक्का बैंक सेवाओं और सेलुलर और इंटरनेट एक्सेस सेवाओं के सभी लाभों का आनंद लिया।

घटना स्थल पर शहर के पूरे बुनियादी ढांचे को एक बड़े लेआउट के रूप में प्रस्तुत किया गया था। लेआउट क्षेत्र लगभग 17 वर्ग मीटर था। इसे बनाने के लिए 3000 से अधिक कृत्रिम पेड़, 467 विभिन्न आंकड़े, 153 मीटर की छोटी रेल और 300 मीटर से अधिक तारों का उपयोग किया गया था।

टकराव के परिणाम

प्रतियोगिता में 18 आक्रमण टीमों, छह डिफेंडर टीमों और तीन एसओसी टीमों ने भाग लिया । हमलावरों ने कार्य किए, सफल समापन के लिए उन्हें आभासी मुद्रा मिली - जनता। रक्षकों ने उन्हें सौंपे गए कार्यालयों के लिए सुरक्षा प्रदान की और हमलावरों के हमलों को दोहरा दिया। एसओसी टीमों ने निगरानी की कि शहर में क्या हो रहा था और डिफेंडर टीमों को मदद मिली - उन्होंने नेटवर्क गतिविधि की निगरानी, ​​घटनाओं का पता लगाने और जांच करने के लिए सेवाएं प्रदान कीं।

समान प्रारंभिक कॉन्फ़िगरेशन वाले पांच कार्यालय (एक बीमा कंपनी का कार्यालय, एक एयरलाइन, एक फुटबॉल क्लब, एक मीडिया होल्डिंग और एक आईटी कंपनी) वकीलों की निगरानी में थे, जिन्हें पहले से कमजोरियों के लिए सिस्टम की जांच करनी थी, पहचान की कमियों को खत्म करने और अपने स्वयं के उपचार स्थापित करने के लिए उपाय करना था। रक्षकों की एक अलग टीम ने ई-सिक्का बैंक की सुरक्षा सुनिश्चित की, लेकिन समग्र रेटिंग में भाग नहीं लिया। गेमिंग इन्फ्रास्ट्रक्चर के शेष खंड असुरक्षित रहे (जैसा कि जीवन में कभी-कभी होता है)।

True0x3A टीम बिग ब्रो ग्रुप की होल्डिंग के कार्यालय को जब्त करने वाली पहली थी और लंबे समय तक इसे अपने नियंत्रण में रखा था। हालांकि, बाद में टीम को कार्यालय तक पहुंच प्राप्त हुई। हमलावरों ने एक दूसरे से बुनियादी ढांचे को नियंत्रित करने की कोशिश की और परिणामस्वरूप, डोमेन के अलग-अलग नोड्स पर अपनी उपस्थिति बनाए रखी और समानांतर में कार्यों को करने में सक्षम थे।

ये दोनों टीमें एसीएस सेगमेंट में उत्पादन प्रक्रियाओं को बाधित करने में सक्षम थीं। "CARK" के प्रतिभागियों ने तेल भंडारण सुविधा में एक विफलता का आयोजन किया, जिससे SCADA तक पहुंच प्राप्त हुई, जहां से तेल आपूर्ति के लिए पंपों को नियंत्रित करना संभव था। True0x3A ने भी तेल प्रबंधन की पहुँच प्राप्त की, लगभग एक आपात स्थिति को ट्रिगर किया और शहर की सड़कों पर प्रकाश व्यवस्था को बंद कर दिया।

टेलीकॉम ऑपरेटर, फ्यूचर टेलकॉम, जो साइबर हमलों से भी पीड़ित थे: कुछ टीमें एक लाभदायक टैरिफ प्लान से जुड़ने में कामयाब रहीं, जिसकी रूपरेखा में ग्राहकों को मोबाइल नेटवर्क पर अत्यधिक भार के साथ बेहतर संचार गुणवत्ता प्रदान की गई थी।

प्रतिभागियों को पहले से पता था कि खेल के दौरान बुनियादी ढांचे में बदलाव होगा: आयोजकों ने कई आश्चर्य तैयार किए जो शहर एफ की कंपनियों के बीच संबंधों को प्रभावित करते थे और टीमों को अतिरिक्त अंक अर्जित करने की अनुमति देते थे। उदाहरण के लिए, पहले दिन की शाम तक यह ज्ञात हो गया कि बिग ब्रो ग्रुप ने सिटी-एफ मीडिया मीडिया होल्डिंग का अधिग्रहण कर लिया था, और इसलिए दो डोमेन के बीच स्थानांतरित करना संभव हो गया।

खेल के अंत में, एक प्रमुख डेटा लीक था: आयोजकों के विचार के अनुसार, संरक्षित खंडों में से प्रत्येक में डोमेन खातों से समझौता किया गया था। डिफेंडरों की चार टीमों ने हमलावरों को तुरंत प्रतिक्रिया दी, लेकिन टीम, जिसे बीमा कंपनी बेहाल्टी का कार्यालय सौंपा गया था, इतनी जल्दी नहीं थी। हमलावरों ने डिफेंडरों द्वारा अनजान नेटवर्क में प्रवेश किया और नेटवर्क पर एक सर्वर पाया जिसके लिए MS17-010 से अपडेट स्थापित नहीं किए गए थे।

खेल के दौरान, टीम True0x3A और TsARKA बाकी प्रतिभागियों से व्यापक अंतर के साथ नेतृत्व में थे, उन्होंने सबसे बड़ी संख्या में कार्यों को पूरा किया। इस वर्ष का विजेता ट्रू0x3 ए टीम (3,023,264 अंक) था, और TsARKA (1,261,019 अंक) ने दूसरा स्थान हासिल किया। रक्षकों के बीच, जेट सिक्योरिटी टीम (44 040 600) ने सबसे अधिक अंक बनाए, जो परिवहन कंपनी हेवी शिप लॉजिस्टिक्स के कार्यालय की सुरक्षा के लिए जिम्मेदार था और हमलावरों को इसके बुनियादी ढांचे में टूटने की अनुमति नहीं दी। अंतिम रैंकिंग में विस्तृत परिणाम।

हमला सुविधाएँ

हमने MITER ATT & CK मॉडल के अनुसार हमलावरों की सभी क्रियाओं की जांच की। यह मॉडल मूल रूप से उन तकनीकों और तरीकों के बारे में जानकारी के लिए बनाया गया था जो एपीटी समूह वास्तविक जीवन में सहारा लेते हैं। यह मॉडल हमें उन हमलों पर सामान्य आँकड़ों को प्रदर्शित करने की अनुमति देता है जो टीमों ने उपयोग किए थे और स्पष्ट रूप से यह दिखाने के लिए कि किस तकनीक का अधिक बार और किस चरणों में उपयोग किया गया था। नीचे दिए गए हीटमैप में शीर्ष 100 तकनीकें हैं जो प्रतिभागियों द्वारा उपयोग की गई थीं। हमलावरों ने सक्रिय रूप से बुनियादी ढांचे का पता लगाया, इसलिए नेटवर्क सेवा स्कैनिंग (नेटवर्क सर्विस स्कैनिंग) के तथ्य सबसे अधिक स्वाभाविक रूप से प्रकट हुए। इसके अलावा, सुलभ सेवाओं (एक्सप्लॉइट पब्लिक-फेसिंग एप्लिकेशन) और क्रेडेंशियल्स (ब्रूट फोर्स) में कमजोरियों का फायदा उठाने की कोशिश अक्सर दर्ज की जाती है। कंपनियों के कार्यालयों में घुसने के बाद आम कार्यों में, प्रतिभागियों ने स्क्रिप्ट (स्क्रिप्टिंग और पॉवर्सशेल तकनीक) का इस्तेमाल किया, जो पहले से ही क्रेडेंशियल निकालने और नेटवर्क के माध्यम से आगे बढ़ने के लिए क्लासिक तरीके बन गए हैं (क्रेडेंशियल डंपिंग और पास-द-हैश)।

शीर्ष 100 में ऐसी तकनीकें शामिल हैं जो आमतौर पर नेटवर्क में समेकन के चरण में लागू होती हैं, उदाहरण के लिए खाता हेरफेर, स्थानीय नौकरी निर्धारण, वेब शेल। स्टैंडऑफ़ एक विशिष्ट CTF की तरह नहीं दिखता है, और हैकर्स का कार्य एक साधारण ध्वज कैप्चर की तुलना में बहुत अधिक जटिल है: प्रतिभागी शहर एफ की कंपनियों पर हमला करते हैं और सिस्टम का नियंत्रण लेते हैं, उनके लिए अपनी स्थिति बनाए रखना महत्वपूर्ण है। इस साल, प्रतिभागियों ने विशेष रूप से हैक किए गए बुनियादी ढांचे में समेकन और प्रतिस्पर्धी टीमों से सुरक्षा के लिए संपर्क किया। यह सब एक वास्तविक एपीटी के दौरान हमलावरों की कार्रवाई के समान है।



खेल के दौरान, हमारे विशेषज्ञों ने हमला करने वाली प्रणालियों तक दूरस्थ पहुंच के आयोजन के कई अलग-अलग तरीके देखे। प्रतिभागियों ने हमला किए गए नोड्स में वेब गोले डाउनलोड किए, बैश, एसएसएच, नेटकैट, पायथन और रेडिस-सर्वर का उपयोग करके नेटवर्क कनेक्शन स्थापित किए। DMZ कार्यालयों में स्थित नोड्स पर हमलों के दौरान, हमला करने वाली टीमों को बाहरी सेवाओं का उपयोग करना पड़ा। इसलिए, औसतन, टीमों के पास तीन बाहरी वीपीएस सर्वर थे, जिनका उपयोग वे रिवर्स कनेक्शन स्थापित करने और कारनामे के लिए करते थे। इसके अलावा, Pastebin सेवाओं का उपयोग शेल को स्टोर करने के लिए किया गया था और बाह्य भंडारण के लिए फाइल अपलोड करने के लिए स्थानांतरण किया गया था। बेशक, एक लोकप्रिय एक्सेस विधि आरडीपी प्रोटोकॉल का उपयोग करके नोड्स से कनेक्ट करना था। टीमों ने दूरस्थ प्रशासन उपकरण का भी उपयोग किया, विशेष रूप से टीम व्यूअर और रॉडमिन में।

संदेहास्पद निष्पादन योग्य फ़ाइल बनाई गई। जैसा कि आप पीटी मल्टीस्कैनर से स्क्रीनशॉट में देख सकते हैं, यह एप्लिकेशन RAdmin है।



रद्मिन डाउनलोड करें

कुछ प्रतिभागियों ने वीपीएन सुरंग बनाने का सहारा लिया। उदाहरण के लिए, बिग ब्रो ग्रुप डोमेन को हाईजैक करने के बाद, हमलावर टीम ने इस बुनियादी ढांचे के अंदर एक सीधा नेटवर्क कनेक्शन स्थापित करने का फैसला किया। सबसे पहले, इसने प्राथमिक डोमेन नियंत्रक पर व्यवस्थापक खाते की ओर से OpenVPN एप्लिकेशन की डाउनलोड और स्थापना का पता लगाया, और थोड़ी देर बाद बैकअप पर। पहुंच प्राप्त करने के लिए, रूटिंग को कॉन्फ़िगर करना आवश्यक था। हमलावरों ने सभी आवश्यक मार्गों को जोड़ा, जिसके बाद वे आरडीपी प्रोटोकॉल का उपयोग करके डोमेन नियंत्रक से सफलतापूर्वक जुड़े, लेकिन वीपीएन नेटवर्क से।

रूटिंग करना आसान नहीं है, खासकर जब इसमें बहुत कुछ होता है, तो यह विविधतापूर्ण और अराजक होता है। इसलिए, यहां तक ​​कि सबसे उच्च श्रेणी के स्वामी हमेशा मार्गों को सही ढंग से पंजीकृत करने में सफल नहीं होते हैं। स्क्रीनशॉट में, आप देख सकते हैं कि हमलावर कैसे अनावश्यक मार्गों को हटाते हैं और नए जोड़ते हैं।





रूटिंग सेटअप

एक असामान्य तरीके से, एक और टीम टीम का उल्लेख किया गया था। हेजहोग एयरलाइंस सेवा पर हमले के दौरान, उन्होंने लंगर के लिए अपने आंतरिक गो भाषा उपकरण का उपयोग किया। हमलावरों ने एक बाहरी सर्वर से एक स्क्रिप्ट डाउनलोड की जो एक निष्पादन योग्य फ़ाइल को ऑटोरन निर्देशिका में जोड़ता है। यह फ़ाइल एक दूरस्थ सर्वर के साथ एक वीपीएन सुरंग बनाती है और उसी सर्वर से कनेक्ट करने के लिए क्लाइंट का इंतजार करती है।





ऑटोरन में एक निष्पादन योग्य फ़ाइल जोड़ना

इसके अलावा, हम DMZ सेगमेंट के आंतरिक नोड्स के साथ-साथ रिस्पॉन्डर और इनवीघ यूटिलिटीज से कनेक्ट होने के लिए 3proxy यूटिलिटी के उपयोग पर ध्यान देते हैं, जिनका उपयोग रिले हमलों को करने के लिए किया गया था।

हम आपको दिखाते हैं कि बिग ब्रो ग्रुप पर हमले के उदाहरण के रूप में टीमों ने किन अन्य तकनीकों का इस्तेमाल किया। जैसा कि हमने कहा, इस कंपनी के कार्यालय का बचाव नहीं किया गया था, इसलिए इसे बहुत जल्दी हैक कर लिया गया था। True0x3A टीम दूरस्थ डेस्कटॉप गेटवे (RDG) सर्वर पर MS17-010 की भेद्यता की खोज करने वाली पहली खोज थी जहां Windows 2012 R2 स्थापित किया गया था, और तुरंत इसका फायदा उठाएं।

अन्य टीमों को समान भेद्यता का फायदा उठाने और बुनियादी ढांचे के नियंत्रण को संभालने से रोकने के लिए, हमलावरों ने एसएमबी पोर्ट को बंद कर दिया। अंतर्निहित Windows netsh उपयोगिता का उपयोग करते हुए, उन्होंने स्थानीय फ़ायरवॉल नीति में अवरुद्ध नियम जोड़े, इस प्रकार SMB और RPC प्रोटोकॉल के माध्यम से होस्ट तक पहुंच को अक्षम कर दिया। उन्होंने टर्मिनल एक्सेस सर्वर सेवाओं को भी अक्षम कर दिया, यह संबंधित रजिस्ट्री कुंजी के मूल्यों में परिवर्तन से स्पष्ट था। कुछ मिनट बाद, netsh उपयोगिता का उपयोग करते हुए, TCP पोर्ट 80 और 443 तक पहुंच को बंद कर दिया गया था।



टीसीपी पोर्ट्स को बंद करना

बिग ब्रो ग्रुप के बुनियादी ढांचे के मालिकों ने नवीनतम ओएस अपडेट स्थापित करने का निर्णय लिया ताकि अन्य सदस्य कुछ भी दरार न कर सकें। उन्होंने बैकअप डोमेन नियंत्रक सहित कई डोमेन नोड्स पर विंडोज अपडेट सेवा शुरू की।





OS अद्यतन स्थापित करें

हमलावरों ने कई विशेषाधिकार प्राप्त खाते बनाए। चूंकि MS17-010 की भेद्यता का शोषण एक हमलावर को सिस्टम खाते के विशेषाधिकारों के साथ मनमाने कोड को निष्पादित करने की क्षमता देता है, इससे उन्हें एक नया उपयोगकर्ता बनाने और विशेषाधिकार प्राप्त स्थानीय सुरक्षा समूह में जोड़ने की अनुमति मिली। कुछ नए उपयोगकर्ताओं को डोमेन व्यवस्थापक डोमेन सुरक्षा समूह में जोड़ा गया है। अन्य उपयोगकर्ताओं के लिए विशेषाधिकार भी विशेष रूप से बढ़ाए गए हैं।



एक नया विशेषाधिकार खाता जोड़ना

उपयोगकर्ता क्रेडेंशियल प्राप्त करने के मुख्य तरीकों में से एक है lsass प्रक्रिया को डंप करना और इसे पार्स करना। विशेष रूप से, ऐसे मॉड्यूल को mimikatz उपयोगिता में लागू किया जाता है, जो खिलाड़ी उपयोग करते थे। शायद, mimikatz मॉड्यूल के माध्यम से क्रेडेंशियल निकालने का प्रयास सफल रहा - डोमेन उपयोगकर्ता व्यवस्थापक के लिए पासवर्ड प्राप्त हुआ था। इसके बाद आरडीजी सर्वर से डोमेन नियंत्रक के लिए एक सफल आरडीपी कनेक्शन था।



OS मेमोरी से क्रेडेंशियल प्राप्त करने का प्रयास

प्रतियोगिता के दौरान, आयोजकों ने गेमिंग के बुनियादी ढांचे में बदलाव किया और अंक अर्जित करने के नए अवसर खोले। यह ज्ञात होने के बाद कि शहर में क्रिप्टोक्यूरेंसी थी, हमलावरों ने बिग ब्रो ग्रुप के पूरे कैप्चर किए गए बुनियादी ढांचे पर जल्दी से खनन करने वाले एजेंट डाउनलोड और इंस्टॉल किए। पहले दिन की शाम, आयोजकों ने सिटी-एफ मीडिया के साथ बिग ब्रो ग्रुप के विलय की खबर प्रकाशित की। डोमेन के बीच विश्वास के प्रति जागरूक, हमलावर सीएफ-मीडिया डोमेन में चले गए। ओएस और पास-ए-हैश की मेमोरी से पासवर्ड हैश निकालने के लिए लगातार तकनीकों को लागू करना, वे इस कार्यालय पर पूर्ण नियंत्रण हासिल करने में सक्षम थे। पिछले बिग ब्रो समूह के बुनियादी ढांचे के रूप में, क्रिप्टोक्यूरेंसी खनिकों को सीएफ-मीडिया डोमेन में केंद्रीय रूप से वितरित और स्थापित किया गया था।

पहले दिन, एक और दिलचस्प घटना बिग ब्रो ग्रुप के कार्यालय में हुई - ट्रू0x3 ए और सक्सेका टीमों के बीच टकराव। CARKA टीम phpMMAdmin में CVE-2018-12613 की भेद्यता का फायदा उठाकर कार्यालय के बुनियादी ढांचे तक पहुँचने में सक्षम थी।



PhpMyAdmin में CVE-2018-12613 भेद्यता का शोषण

CARKA वेब एप्लिकेशन की निर्देशिका में एक नई निष्पादन योग्य फ़ाइल को जोड़ा गया, जिसने कजाकिस्तान में स्थित बाहरी सर्वर 109.233.110.31 से एक कनेक्शन बनाया। फिर बिगब्रोग्रुप सेगमेंट के आंतरिक बुनियादी ढांचे का एक नेटवर्क स्कैन शुरू किया, और स्कैन को एक ही निष्पादन योग्य फ़ाइल द्वारा शुरू किया गया था।



बाहरी सर्वर के साथ नेटवर्क कनेक्शन का ग्राफ

"TSARKA" ने जल्दी से डोमेन में अधिकतम विशेषाधिकार प्राप्त कर लिया और डोमेन व्यवस्थापक का पासवर्ड बदलकर प्रतियोगियों को इससे बाहर निकालने की कोशिश की। True0x3A टीम ने इसे तुरंत देखा और कुछ मिनटों के बाद, कई और विशेषाधिकार प्राप्त उपयोगकर्ता छोड़ दिए, इसने स्वयं मुख्य डोमेन व्यवस्थापक और अन्य रणनीतिक रूप से महत्वपूर्ण खातों के पासवर्ड को बदल दिया। इस छोटी अवधि के लिए पासवर्ड वाली दोनों टीमों की जोड़-तोड़ आंशिक रूप से नीचे की आकृति में परिलक्षित होती है।



खाता पासवर्ड परिवर्तन

इसके अलावा, डोमेन नियंत्रक के लिए वैकल्पिक नेटवर्क एक्सेस बनाने के लिए, True0x3A टीम ने अपने बाहरी सर्वर के लिए टीसीपी पोर्ट को कॉन्फ़िगर किया।



TCP पोर्ट अग्रेषण कॉन्फ़िगर करें

यह कुछ भी नहीं है कि हमने नोट किया था कि True0x3A प्रतिभागियों ने जिम्मेदारी के साथ समेकन चरण में संपर्क किया: तथ्य यह है कि उनके पास विशेषाधिकार प्राप्त खाते थे और बुनियादी ढांचे के अंदर वैकल्पिक नेटवर्क एक्सेस चैनलों की एक बड़ी संख्या ने उन्हें कुछ नेटवर्क नोड्स पर नियंत्रण बनाए रखने और डोमेन नियंत्रक को बंद करने की अनुमति दी थी। अंततः, दोनों टीमों (TsARKA और True0x3A) ने डोमेन में अलग-अलग नोड्स पर काम करना जारी रखा।



डोमेन नियंत्रक अक्षम करना

वही दो टीमें तेल आपूर्ति प्रक्रिया में हस्तक्षेप करने और तेल भंडारण में विफलता का कारण बनने में सक्षम थीं। CARKA ने ICS सेगमेंट में EternBlue के लिए वर्कस्टेशन पाया, SCADA WinCC और साइट सिस्टम तक पहुंच प्राप्त की, और True0x3A एलन-ब्रैडली कॉम्पैक्टलॉगिक्स कंट्रोलर मैनेजमेंट से जुड़ा।



आईसीएस नेटवर्क टोपोलॉजी

True0x3A टीम ने शहर की सड़कों पर प्रकाश व्यवस्था को भी बंद कर दिया: हमलावरों ने ICS नेटवर्क में Modicon M340 कंट्रोलर की खोज की, जिसके बाद उन्होंने इसे रोकने के लिए रेडीमेड Metasploit मॉड्यूल का उपयोग किया।



Modicon M340 कंट्रोलर अटैक चेन

खेल की समाप्ति से एक घंटे पहले, आयोजकों ने शहर में एक नई घटना की सूचना दी: प्रत्येक संरक्षित कार्यालयों में डोमेन उपयोगकर्ताओं की साख से समझौता किया गया था। हमलावरों ने तुरंत प्राप्त जानकारी का लाभ उठाया और वीपीएन के माध्यम से नेटवर्क से जुड़ने की कोशिश की, लेकिन रक्षकों ने तुरंत संदिग्ध कनेक्शनों को अवरुद्ध कर दिया, और फिर समझौता किए गए खातों के पासवर्ड बदल दिए। केवल अस्वास्थ्य बीमा कंपनी के कार्यालय में आक्रमण पर किसी का ध्यान नहीं गया। True0x3A टीम ने जल्दी से नेटवर्क के भीतर टोही को अंजाम दिया और एक कमजोर एक्सचेंज सर्वर की खोज की: प्रतियोगिता की तैयारी के दौरान, रक्षकों ने MS17-010 अपडेट स्थापित नहीं किया।



एक बेहाल सर्वर पर भेद्यता CVE-2017-0146 को उजागर करना

एक ही सर्वर पर, हमलावरों को डोमेन व्यवस्थापक के पासवर्ड का एक हैश प्राप्त होता है और इसे PsExec का उपयोग करके डोमेन नियंत्रक से जोड़ा जाता है।



एक अस्वास्थ्यकर डोमेन नियंत्रक से कनेक्ट करें

बेहाली ऑफिस पर हुए पूरे हमले में 7 मिनट लगे। रक्षकों के साथ सहयोग करने वाले एसओसी विशेषज्ञों ने असामान्य गतिविधि देखी, लेकिन टीम को समय पर घटना पर प्रतिक्रिया देने में मदद करने का प्रबंधन नहीं किया।

निष्कर्ष

वर्चुअल सिटी F का इंफ्रास्ट्रक्चर किसी असली शहर के इन्फ्रास्ट्रक्चर के जितना करीब हो सके। जो सिस्टम विभिन्न सेगमेंट बनाने के लिए उपयोग किए जाते हैं - वाणिज्यिक संगठनों के कार्यालय, एक बैंक, एक टेलीकॉम ऑपरेटर, और औद्योगिक उद्यमों - का व्यापक रूप से अभ्यास में उपयोग किया जाता है, और उनमें निहित कमजोरियों और सुरक्षा को लगभग किसी भी वास्तविक नेटवर्क में पाया जा सकता है। यह सूचना सुरक्षा की दुनिया में अन्य समान प्रतियोगिताओं से अलग है।

आधुनिक साइबर अपराधियों का मुकाबला करने के लिए, आपको सबसे अधिक प्रासंगिक हमले के तरीकों के बारे में पता होना चाहिए और नियमित रूप से अपने कौशल में सुधार करना चाहिए। एक सुरक्षित गेमिंग वातावरण में हमलावरों और रक्षकों के बीच प्रतिस्पर्धा नए हमले के परिदृश्यों को जानने और प्रभावी प्रतिपुष्टि विधियों को काम करने का एक अच्छा अवसर है।द स्टैंडऑफ़ में भागीदारी सूचना सुरक्षा विशेषज्ञों को अभ्यास में अपने कौशल का परीक्षण करने की अनुमति देती है: प्रत्येक प्रतिभागी कुछ नया सीख सकता है, अपनी ताकत और कमजोरियों को समझ सकता है। हमलावरों की ओर से खेल, कमजोरियों को खोजने और उनका फायदा उठाने, रक्षा प्रणालियों को दरकिनार करने के साथ-साथ अच्छी तरह से समन्वित टीमवर्क के आयोजन में पैठ परीक्षण विशेषज्ञों को प्रशिक्षित करने में मदद करता है। एसओसी अधिवक्ताओं और विशेषज्ञों के पास घटनाओं का पता लगाने और उन पर त्वरित प्रतिक्रिया देने की अपनी इच्छा का परीक्षण करने का अवसर है।

इस टकराव ने पर्यवेक्षकों को क्या दिया? साइट पर और इंटरनेट के माध्यम से दर्शक वास्तविक समय में देख सकते हैं कि टीमों ने अंक कैसे बनाए, लेकिन वास्तव में उन्होंने ऐसा कैसे किया कि यह ओवरों में रह गया। इस लेख में, हमने विवरणों का खुलासा करने की कोशिश की, क्योंकि प्रतिभागियों की कुछ टीम पहले ही कर चुकी है (True0xA3 टीम का विश्लेषण) -भाग 1 , भाग 2 , भाग 3 , रक्षा के विश्लेषण जेट सुरक्षा टीम , टीम antifraud जेट और जेट CSIRT , रिपोर्ट आदेश आप नहीं होगा दर्रा)। लेकिन टीमों के विपरीत, पीटी विशेषज्ञ सुरक्षा केंद्र ने प्रतियोगिता स्थल पर होने वाली घटनाओं में हस्तक्षेप नहीं किया, हमारे विशेषज्ञों का लक्ष्य साइबर घटनाओं का पता लगाने और जांच के लिए आधुनिक प्रणालियों की प्रभावशीलता का प्रदर्शन करना था। और, जैसा कि हम देखते हैं, प्रदर्शन सफल रहा। उपयोग किए गए समाधानों ने विशेषज्ञों को हमलावरों के कार्यों को देखने और हमले वाले वैक्टर को बहाल करने में मदद की। यदि वास्तविक जीवन में इस तरह के हमले होते हैं, तो हमलावरों की गणना की जा सकती है और कुछ ही घंटों में रोक दिया जाता है।