Volodymyr Ilibman - Close Look at Nyetya Investigation
•3 likes•413 views
Report
Share
Download to read offline
First-hand experience shared by the guy who has been a part of the June, 27 attack investigation and response from the very beginning.
Recommended
More Related Content
More from OWASP Kyiv
More from OWASP Kyiv(20)
Volodymyr Ilibman - Close Look at Nyetya Investigation
- 1. Close look at Nyetya investigation Volodymyr Ilibman Cisco Ukraine
- 2. О чем будем говорить • Расследование • Анализ поведения Nyetya • Выводы и стратегии предотвращения
- 4. Сэмпл был перехвачен в 12:54 у одного из клиентов
- 5. Было замечено очень быстрое распространение по сети через SMB
- 15. Malware Credential Stealing • Command line – Modified version of Mimikatz pen testing tool. – Credentials passed over a named pipe. • Malware collects stolen credentials as it propagates. • Collects users token via Windows API. rundll32.exe C:Windowsperfc.dat,#1 60 "username:password” C:WINDOWSTEMP561D.tmp, .pipe{C1F0bf2d-8c17-4550-af5a-65a22c61739c}
- 16. Propagation Perfc.dat If MS17-010 not applied: Trigger EB or ER exploits. Installs modified DP backdoor. Installs perfc.dat, executes as a dll. DoublePulsar – modified command codes modified response codes modified response location in SMB packet ETERNALBLUE ETERNALROMANCE MODIFIED DOUBLEPULSAR
- 17. Propagation Perfc.dat PSEXEC Drops PsExec as dllhost.dat. Uses stolen user token. Connects to new machine (IP: w.x.y.z). Installs perfc.dat, executes as a dll. C:WINDOWSdllhost.dat w.x.y.z -accepteula -s -d C:WindowsSystem32rundll32.exe C:Windowsperfc.dat,#1
- 18. Propagation Perfc.dat WMI Uses stolen username & password. Connects to new machine (IP: w.x.y.z). Installs perfc.dat, executes as a dll. Wbemwmic.exe /node:"w.x.y.z" /user:"username" /password:"password" "process call create "C:WindowsSystem32rundll32.exe "C:Windowsperfc.dat" #1"
- 20. Payload
- 21. Genuine Ransomware? § Single bitcoin wallet means difficult to follow who has paid. § Single contact email address, now blocked § you can’t contact the criminals even if you want to. § If admin, MBR is overwritten. § If MBR not overwritten, wipes first 10 disk sectors. § If have software “avp.exe” running, wipes first 10 disk sectors.
- 23. Cisco Talos: “Злоумышленники отказались то возможности доставлять любой код в 80% вредоносных компаний, которые используют M.E.Doc. Маловероятно терять доступ такого уровня без уверенности, что можно получить аналогичный доступ с высоким приоритетом в будущем Один из выводов
- 24. Мифы, развенчанные атакой 1. Обновлений Windows хватает для защиты 2. Антивирусы с эвристикой могут предотвратить заражение 3. Файервол cпособен в одиночку остановить распространение вирусов 4. Пользователь - самое слабое звено 5. Все беды из-за фишинга
- 25. WHAT COULD HAVE BEEN DONE DIFFERENTLY? 1. Secure Development Lifecycle
- 26. WHAT COULD HAVE BEEN DONE DIFFERENTLY? 2. Threat Information Exchange
- 27. WHAT COULD HAVE BEEN DONE DIFFERENTLY? 3. Защитить себя
- 28. WHAT COULD HAVE BEEN DONE DIFFERENTLY? § Patching § Least Functionality § Least Privilege § System and Network Monitoring § Network Segmentation § Processes and Policies http://blog.talosintelligence.com/2017/08/worm-defense.html Back to Basics: Worm Defense in the Ransomware Age
- 29. Безопасность серверных и клиентских ОС ....Patching and upgrades should be prioritized on these systems and customers should move to transition these systems to Windows 10, following the guidance from Microsoft on securing those systems… Cisco TALOS The MEDoc Connection Безопасность ОС Windows 10, Mac и Linux не являются панацеей
- 30. Безопасность серверных и клиентских ОС Безопасность ОС + Ограничение/разграничение доменных полномочий + Создание белых/черных списков процессов + Мониторинг использования системных и сетевых ресурсов + Двухфакторная аутентификация + Использование систем Breach Detection Systems / EDR/ “песочниц” …..
- 31. Снижение рисков Supply Chain • Идентификация сервисов сторонних компаний и самописаного ПО • Выделение сервисов в отдельную зону(ы) безопасности • Сегментация и минимизация полномочий Supply-Chain
- 32. • Разбить сеть на сегменты (DC, филиалы, внешние сервисы, партнеры…) • Ограничить или запретить трафик между сегментами (включая TCP 139/445) • Новое направление - микросегментация Сегментация внутренней сети Ограничить сферу распространения malware Сегментация
- 35. Stay Informed Spreading security news, updates, and other information to the public ThreatSource Newsletter cs.co/TalosUpdate Social Media Posts Facebook: TalosGroupatCisco Twitter: @talossecurity White papers, articles, & other information talosintelligence.com Talos Blog blog.talosintelligence.com Instructional Videos cs.co/talostube