Caso de Estudio: Análisis Forense en un entorno de Malware

Análisis en un entorno de Malware
Pedro Sánchez

Whoami
He trabajado en importantes empresas como consultor especializado en ComputerForensics, Honeynets, detección de intrusiones, redes trampa y pen-testing. He implantado normas ISO 27001, CMMI (nivel 5) y diversas metodologías de seguridad. También colaboro sobre seguridad y análisis forense informático con diversas organizaciones comerciales y con las fuerzas de seguridad del estado, especialmente con el Grupo de Delitos Telemáticos de la Guadia Civil y la Brigada de Investigación Tecnológica de la policia nacional.También he participado en las jornadas JWID/CWID organizadas por el ministerio de defensa, en donde obtuve la certificación nato secret.Actualmente soy miembro de la SpanishHoneynet Project y trabajo como Information Security and ForensicsConsultant para dos grandes compañías como Bitdefender y Google inc.

http://conexioninversa.blogspot.com

Escenario actual del malware

Escenariode Amenazas - El Pasado
Fuentes de ataque
Tipos de amenazas
Medios de Proliferación
Dispositivo
Extraíble
Virus
Gusanos de correo
Gusanos exploit
Rootkits
Troyanos de puerta trasera
Adjuntos de correo
Script Kiddies
Clientes de Mensajería Instantánea

Escenario de Amenazas de Internet - Presente
Medios de Proliferación
Fuentes de ataque
Tipos de amenazas
Clientes de Mensajería Instantánea
Virus
Gusanos de correo
Gusanos exploit
Gusanos P2P
Gusanos IM
Rootkits
Troyanos de puerta trasera
Spyware
Adware
Greyware
Hackers
Sitios Web Multimedia Legítimos Comprometidos
Aplicaciones Web 2.0
Dispositivos extraíbles
Redes P2P
Phishing
Crimen organizado
Adjuntos de Correo SPAM
Redes Públicas
Wi-Fi
Dispositivos Móviles
Empresas Legítimas
Gobiernos extranjeros

Panorama
El ataque a web sigue siendo el más utilizado
Un alto número de ataques provienen de Rusia y China
Se ha incrementado los ataques de denegación de servicio
Se incrementan el fraude y se han multiplicado en los dos últimos años por 10 (forensico a PC' portatiles, dispositivos,Moviles, PDA's)
Las fugas de información están a la orden del día

Casos de Malware
Como se identifican

1
Análisis bajo demanda del antivirus que se disponga en la propia empresa desde donde se supone que reside la infección. Si el análisis detecta Malware, lo ideal es interpretar o enviar el informe. Si es necesario detección en tiempo real es necesario obtener todo tipo de información, captura de pantalla, error…etc.
Si el archivo lo detecta pero no puede aplicar una acción, enviarlo en formato zipy con una contraseña.

2
Disponer de un entorno limpio, equipo, pendrive con protección, CD / DVD con utilidades para su adquisición bien de datos o del disco duro completo.
Las que me gustan:
FTK IMAGER LITE

3
Las que me gustan:
BDSI

4
Las que me gustan:
GMER

Las que me gustan:
SMARTSNIFF
5

Casos de Malware
Casos de libro

Man in the ‘borrego’
Yo a todo digo si

1
3
4
2
Autopsia del ataque:
PASO 1:
2.-El servidor maligno le hace entrega de una página falsa, que simula al banco. En esta le pide el nombre de usuario y contraseña y lo envía
4.-El servidor maligno 'pilla' los datos y los envía al servidor legitimo
1.- El cliente hace 'click' en un vinculo sobre un falso correo
3.-El cliente introduce los datos y pulsa el botón enviar

1
5
PASO 2:
6.-El servidor maligno 'parsea' los datos y los maqueta dinámicamente sobre una pagina en PHP que le será mostrada con todos los datos del cliente y le añade un nuevo campo
7.- El cliente recibe la página con sus datos y un campo más en el que le piden el DNI y lo vuelve a enviar
8.-El malo envia el nuevo valor (dni) e intenta hacer una trasferencia automatica
5.-El servidor legitimo valida el nombre de usuario y contraseña y muestra la posición global y se la envía al cliente, pasando por el servidor malicioso

5
PASO 3:
10.-El servidor maligno 'parsea' los datos y los maqueta dinámicamente sobre una pagina en PHP que le será mostrada con todos los datos del cliente
13.-El malo envia el nuevo valor (token) y realiza una transferencia automaticamente
11.- El cliente recibe la página con sus datos y un campo más la solicitud de su token
12.-El cliente introduce los nuevos datos y pulsa el botón enviar
9.-Dado que este cliente es VIP y dispone Token de un solo uso le solicita el uso del mismo

El dinero que vuela

¿Quieren verlo?

Análisis de Malware con Volatility
(por ejemplo)

El malware tiene muchas formas
gRaCiAs a tOs y t0As
Conexioninversa

Caso de Estudio: Análisis Forense en un entorno de Malware

by Eventos Creativos on Jul 08, 2011

Accessibility

Categories

Tags

Upload Details

Usage Rights

Statistics

Caso de Estudio: Análisis Forense en un entorno de Malware — Presentation Transcript