Uploaded byPositive Hack Days
Целевые атаки: прицелься первым
Документ описывает различные аспекты целенаправленных атак, включая методы их проведения и последствия для финансовых учреждений и компаний. В нем также рассматриваются примеры атак, такие как компрометация банкоматов и утечки данных, а также упоминаются инструменты и техники, используемые злоумышленниками. Основное внимание уделяется важности безопасности сетевой инфраструктуры и методам обнаружения угроз.
More Related Content
Similar to Целевые атаки: прицелься первым
![NSA's panic. JetBrains [RU] .pdf](https://cdn.slidesharecdn.com/ss_thumbnails/nsaspanic-240623103726-5a57272a-thumbnail.jpg?width=640&height=640&fit=bounds)
Целевые атаки: прицелься первым
- 1. Целенаправленные атаки Прицелься первымВладимир Иванов Сергей Гордейчик
- 2. На что ябуду ссылаться
- 3.
- 4.
- 5. На что похожатипичная сеть?
- 6. Мне нужен самыйпростой свич для heartbeat. Их сеть пакеты теряет, и у нас кластер разваливается. Мы поставим выделенный свич, подключим к нему ноды кластера. > Зачем это тебе?
- 7.
- 8. Security Day 2016 Высокоуровневаякарта сети 8
- 9.
- 12.
- 14. /* shocker: dockerPoC VMM-container breakout (C) 2014 Sebastian Krahmer * * Demonstrates that any given docker image someone is asking * you to run in your docker setup can access ANY file on your host, * e.g. dumping hosts /etc/shadow or other sensitive info, compromising * security of the host and any other docker VM's on it. https://github.com/gabrtv/shocker/blob/master/shocker.c
- 15. FROM ubuntu:14.04 RUN apt-getupdate && apt-get upgrade RUN apt-get install -y curl RUN cd /usr/local && curl http://nodejs.org/... | tar … -zxf- RUN npm -g update npm RUN npm install -g forever ADD . /opt/apps/node-docker RUN cd /opt/apps/node-docker && npm install EXPOSE 8000 CMD forever /opt/apps/node-docker/app.js
- 16.
- 17. alias ssh =“LD_LIBRARY_PATH=/usr/lib/mylibc.so ssh”
- 18.
- 19. Результаты расследования Скомпрометирован контроллердомена сети банкоматов На банкоматы установлены «USB-сниферы» Сниферы собирают информацию о карточках клиентов Информация монетизируются через другие банки Основная IT-сеть и сетевой периметр не содержит следов атаки
- 20. Результаты расследования Анализ инструментов:загрузка на VirusTotal из нескольких сетей Один из источников: крупный телеком-провайдер Анализ OSINT: незащищенные маршрутизаторы телекома на периметре банка Совместный анализ инцидента Источник атаки – магистраль MPLS подрядчика-телекома
- 21. Техники, тактики ипроцедуры Не обязательно быть целью, чтобы быть жертвой Атаки на подрядчиков Атаки на инфраструктуры банков В дополнение к атакам на клиентов Сложная монетизация Metel Carbanak и другие… http://bit.ly/1NySY1a Ольга Кочетова Malware and non-malware ways for ATM jackpotting. Extended cut
- 22.
- 23. Результаты расследования Более 500станций под контролем злоумышленников Проникновение произошло более 6 месяцев назад Доступ был перепродан на черном рынке Шифрование – ошибка оператора
- 24. Техники, тактики ипроцедуры Обработка результатов массовых атак Выбор «вкусных» целей Черный рынок НСД Инсайдеры Пароли Уничтожение данных Black Energy Saudi Aramco и другие… Руслан Стоянов Русскоязычная финансовая киберпреступность: как это работает http://bit.ly/23S2ZIZ
- 26.
- 27. Анализ защищенности Резервная копияweb-сервера на ftp-сервере подрядчика Пароли web-сервера подходят к VPN Сенсоры системы пожаротушения в корпоративной сети Система управления пожаротушением в технологической сети Полный доступ к SCADA и PLC из Интернета за 3 дня
- 28.
- 29. Duqu miniFlame Gauss Icefog Winnti NetTraveler Miniduke Epic Turla Energetic Bear/ Crouching Yeti RedOctober CosmicDuke Darkhotel Careto / The Mask Regin 2010 Sofacy Carbanak Desert Falcons Equation Naikon Hellsing TeamSpy Duqu 2.0 Animal Farm Kimsuky Stuxnet Flame2011 2012 2013 2014 2015 Darkhotel – part 2. MsnMM Compaigns Satellite Turla Wild Neutron Blue Termite Spring Dragon В среднем 2-3 новых отчета об APT-угрозах в месяц В марте 2016 г. – заказчикам APT Intelligence Reporting предоставлено 4 отчета (в том числе новая активность Carbanak) В активной фазе расследование по 12 кампаниям
- 33.
- 34. Выживание в любойситуации 34 Изменение прошивок Seagate, Western Digital, IBM, Toshiba, Samsung, Maxtor «Выживает» при форматировании «Невидимая» область данных Может использоваться для выноса данных из изолированных сетей
- 35. Работа в закрытыхсетях 35 Заражение флэш-накопителей Запуск в изолированных сетях Сбор информации о сети Копирование информации при подключении к сети Получение дальнейших команд
- 36. DUQU 2.0 36 3 «новых»уязвимости Украденные сертификаты Заражение через контроллеры Минимум файловых IoC Пиринговая сеть
- 37. Побочный ущерб 37 DUQU 2.0DarkHotel
- 38.
- 39. Целевые атаки: ужеповседневность Криминальные группы и государственные организации Региональные и нишевые атаки: Банки Кража денег, персональных данных Государственные органы Шпионаж Производство Промышленный шпионаж Телеком Доступ к биллингу, системам самообслуживания Медиа Электронная почта, новостные порталы
- 40.
- 41. Endpoint protection isdead 4 1
- 42. Security Day 2015 Malwareне работает автономно 4 2
- 43.
- 44. Как отличить подозрительное •Обнаружение аномалий • Подозрительные адреса • Подозрительные домены • Подозрительные запросы • Подозрительный траффик • Сигнатуры • Общее место
- 45.
- 46. Сколько «заражений» предотвращаетантивирус в сети на 10000 рабочих станций в неделю?
- 47. permit ip anyany log
- 49.
- 51.
- 52. 2004: Personal Firewalls/HIPS https://securityvulns.com/advisories/bypassing.asphttps://hacktivity.com/en/downloads/archives/429/ Перепрыгиваем … 2014: Sandbox
- 53. Игры в песочнице •Выявление • Выявление виртуализации • Выявление трассировок • Железо/ПО/ОС • Обход • Игры со временем • Посчитать что-то • CAPTCHA • Утечки информации • Взлом
- 54. Выявление • Виртуализация • Sandbox:qemu/virtualbox/KVM/«proprietary» • Ent:HyperV/VmWare/Citrix • Серверная/клиентская виртуализация • Железо/ПО/ОС • CPU/RAM/экрана/периферия/сеть… • ПО для отладки/несовпадение с «разведкой» • «Чистая» память, состояние системы • Устаревшие ОС
- 55. To jump ornot to jump http://pelevin.nov.ru/images/Scorpion.html
- 56. Neutrino – DDoS-бот •IsDebuggerPresent • CheckRemoteDebuggerPresent(GetCurrentProcess(), pDebuggerPresent) • GetProcAddress(GetModuleHandleW(“kernel32.dll”), “wine_get_unix_file_name”) • GetUserNameW vs {“MALTEST“, “TEQUILABOOMBOOM“, “SANDBOX“, “VIRUS“,”MALWARE“} • GetModuleNameW vs {“SAMPLE“, “VIRUS“, “SANDBOX” } • “HARDWAREDescriptionSystem“, value “SystemBiosVersion” against: {“VBOX“, “QEMU“, “BOCHS“} • “HARDWAREDescriptionSystem“, value “VideoBiosVersion” against: “VIRTUALBOX“ • “HARDWAREDEVICEMAPScsiScsi Port 0Scsi Bus 0Target Id“, value “Identifier“), against {“VMWARE“, “VBOX“, “QEMU“} • VMWareTools, via registry key: SOFTWAREVMware, Inc.VMware Tools • VBoxGuestAdditions, via registry key: SOFTWAREOracleVirtualBox Guest Additions • …
- 57. Обход •CAPTCHA • Осмысленный пользовательскийввод • Последовательность действий • Взаимосвязь с корпоративным ПО/настройками (dll) •Игры со временем • “Sleep” a lot • Внешние источники • NTP/DNS/HTTP/… • Расшифровать себя • … http://bit.ly/1NuMaSt
- 58.
- 59.
- 60. Обработка данных из(очень-очень) недоверенного источника http://bit.ly/1VXzCpt
- 61. Как обойти обходы? •Бытькак цель •Железо/ПО/ОС •Вести себя как цель •Пользовательский ввод •Сетевая активность •Работать долго
- 62. 2004: Personal Firewalls/HIPS https://securityvulns.com/advisories/bypassing.asphttps://hacktivity.com/en/downloads/archives/429/ Bypassing 2014: Sandbox 2018: NG AV/EEP/EDR Endpoint Protection Next Generation, old problems J. Rand the Hacker AnyCon 2018
- 63. Сколько нужно чтобы“украсть” все?!
- 64.
- 65. A thousand battles,a thousand victories • Awareness • Process • Preventive tools FW/AV/IPS/WAF… Exploit Prevention AND FIGHT AS YOU TRAIN TRAIN AS YOU FIGHT PREVENT DETECT • (all these)SandBox • Network/Host Behavior • (NG)SIEM RESPOND • Incident response • Network/Host Forensic • Enterprise Response tools CLOTHE THEE IN WAR ARM THEE IN PEACE PREDICT • Security assessment • Threat Intelligence KNOW YOURSELF KNOW THE ENEMY SI VI SPACEM PARA BELUM
- 66. Целенаправленные атаки Прицелься первым ВладимирИванов ivlad@yandex.com Сергей Гордейчик 1337@kaspersky.com
Editor's Notes
- #66 TIME: nn:nn We’re out of time for now, but here’s a brief re-cap on building what we call an Adaptive Enterprise Security Strategy And at each stage of the cycle, Kaspersky Lab has something to offer.