नेटवर्क विसंगति विश्लेषण उपकरण का उपयोग करने के लिए केस स्टडी: DNSpionage अभियान डिस्कवरी

हम साइबर सुरक्षा लक्ष्यों के लिए नेटवर्क ट्रैफ़िक विश्लेषण (NTA) सिस्टम के मामलों की समीक्षा करना जारी रखते हैं। आज हम देखेंगे कि DNSpionage और Sea Turtle नामक बहुत ही जटिल, लक्षित और बहुत प्रभावी अभियानों का पता लगाने के लिए ऐसे समाधानों का उपयोग कैसे किया जा सकता है।

लेकिन इससे पहले, मैं संक्षेप में याद करूंगा कि डोमेन नेम सिस्टम (डीएनएस), जो इंटरनेट पर बातचीत को रेखांकित करता है, कैसे काम करता है। मानव मस्तिष्क इतना व्यवस्थित है कि यह कई नंबरों और संख्याओं को याद करने में असमर्थ है जो एक व्यक्ति को किसी परिचित चीज के साथ नहीं जोड़ता है। और संख्या और संख्याओं के यादगार संयोजनों की संख्या किसी भी मामले में छोटी है। इसलिए, जिन साइटों में हम रुचि रखते हैं, उनके सैकड़ों और हज़ारों आईपी पते नोटबुक में याद रखने और संग्रहीत करने के लिए नहीं, डीएनएस प्रणाली का आविष्कार किया गया था, जो उन साइटों के प्रतीकात्मक पतों का अनुवाद करता है जो उनके आईपी पतों में मनुष्यों के लिए अधिक समझने योग्य हैं। अगर मुझे किसी भी साइट पर जाने की आवश्यकता है, तो मैं साइट के नाम के साथ एक DNS क्वेरी DNS सर्वर को भेजता हूं, जो मुझे अपना आईपी पता देता है, जिसे मैं जाता हूं।



यदि आप विवरण में थोड़ा और गोता लगाते हैं, तो योजना अधिक जटिल लगती है। यदि डीएनएस सर्वर मेरे सबसे करीब है तो मुझे उस साइट का आईपी पता नहीं पता है जो मुझे रुचता है, यह मुझे रूट सर्वर पर ले जाता है, जो फिर मुझे उस ज़ोन के डीएनएस सर्वर को निर्देशित करता है जिसमें मेरे लिए ब्याज की साइट स्थित है (उदाहरण के लिए, "यू"), और आगे श्रृंखला के साथ जब तक मैं एक DNS सर्वर तक नहीं पहुंचता हूं जो मुझे पता है कि मुझे आईपी पता की आवश्यकता है।



यह पता चला है कि हम उन DNS सर्वरों पर भरोसा करते हैं जो हमें उन साइटों के आईपी पते भेजते हैं जिन्हें हम देखना चाहते हैं। और अगर कोई DNS सर्वर में टूट जाता है और एक प्रतीकात्मक नाम और आईपी पते के मिलान के लिए रिकॉर्ड को खराब कर देता है? क्या होगा अगर हम एक नकली साइट पर निर्देशित होते हैं जो एक वास्तविक की तरह दिखता है और जो हमारे लॉगिन और पासवर्ड, साथ ही हमारे बारे में अन्य गोपनीय जानकारी चुरा सकता है? इस स्पूफिंग को DNS पुनर्निर्देशन कहा जाता है और इसका उपयोग साइबर अपराधियों द्वारा विशेष रूप से खतरनाक हमलों में किया जाता है।



2009 में, "ईरानी साइबर आर्मी" ने twitter.com को बदल दिया। 2011 में, 186 डोमेन को एचएसबीसी, वोडाफोन, एसर और अन्य सहित तुर्की हैकरों द्वारा प्रतिस्थापित किया गया था। 2013-2014 में, सीरियाई इलेक्ट्रॉनिक सेना ने NYT, ट्विटर, हफिंगटिन पोस्ट (फेसबुक द्वारा प्रयास विफल) की जगह ले ली। उसी वर्ष, व्हाट्सएप, एवीजी, एवीरा के खिलाफ इसी तरह की कार्रवाई की गई। एक साल बाद, वियतनामी और मलेशियाई Google साइटों को बदल दिया गया, साथ ही फेडरल रिजर्व बैंक ऑफ सेंट लुइस के डोमेन को भी। 2016 में, क्रिप्टोक्यूरेंसी की एक निश्चित राशि इस तरह से blockchain.info से चोरी हो गई थी।

वास्तव में, अधिक DNS अटैक वैक्टर हैं, लेकिन आज हम केवल DNSpionage और Sea Turtle अभियानों से संबंधित हैं ।



अब जब हमें डीएनएस काम करता है और आप इसे कैसे उपयोग कर सकते हैं, इस पर एक त्वरित नज़र डाली गई है, तो हम पहले वाले से शुरू होने वाले DNSpionage और Sea Turtle अभियानों के लिए सीधे मुड़ सकते हैं। 2018 में, सिस्को तलोस डिवीजन ने मध्य पूर्व में कई देशों में इसका सामना किया। इसमें दो भाग शामिल थे - उपयोगकर्ताओं और DNS पुनर्निर्देशन का संक्रमण, जो हमेशा संबंधित नहीं थे, लेकिन कई संकेतों के लिए, हमने निष्कर्ष निकाला कि एक ही समूह दोनों भागों के पीछे सबसे अधिक संभावना है।



पहले मामले में, पीड़ित उपयोगकर्ताओं को लिंक्डइन और अन्य नौकरी खोज साइटों के माध्यम से नौकरी की पेशकश मिली। सभी रिक्त पदों पर फर्जी साइटें थीं, जिन पर लुभावने रिक्त पद तैनात थे। दो साइटों को दर्ज किया गया - hr-wipro [।] कॉम और hr-suncor [।] कॉम, जिसने उपयोगकर्ताओं को कानूनी wipro.com और suncor.com पर पुनर्निर्देशित किया। लिंक ने एमएस वर्ड प्रारूप में एम्बेडेड मैक्रोज़ के साथ फाइलें रखीं, जिनमें से प्रत्येक ने क्रमशः दस्तावेज़ खोला और बंद होने पर काम किया।



पहले मैक्रो ने PE फ़ाइल को डीकोड किया और इसे "% UserProfile% \" OracleServices \ svshost_serv.doc "पते पर सहेजा। दूसरे मैक्रो ने "svshost_serv.doc" का नाम बदलकर "svshost_serv.exe" कर दिया। तब मैक्रो ने "क्रोमियम अपडेटर v 37.5.0" कार्य बनाया, जिसने निष्पादन योग्य फ़ाइल को चलाया और इसे हर मिनट दोहराया। इस मैलवेयर ने RAT (रिमोट एडमिनिस्ट्रेशन टूल) के कार्यों को निष्पादित किया, जिसे DNSpionage कहा जाता था। यह एक विशेष रूप से बनाए गए डोमेन के साथ बातचीत करता है, जो इसे निष्पादित करने वाले आदेशों का अनुरोध / प्राप्त करता है। इन आदेशों में निर्देशिका सामग्री का अनुरोध करना, नेटवर्क को स्कैन करना, फ़ाइलों की प्रतिलिपि बनाना, दूरस्थ उपयोगिताओं का उपयोग करना (WinSSHD, पुट्टी, mimikatz), आदि शामिल हैं। कमांड सर्वर से कमांड, साथ ही साथ काम के परिणाम, दो में से एक मोड में भेजे गए - HTTP या DNS। दूसरा विकल्प आमतौर पर सरल है, क्योंकि उच्च संभावना हैआपके पास DNS ट्रैफ़िक का पूर्ण निरीक्षण नहीं है और आप केवल कमांड सर्वर के साथ संचार करने वाले DNSpionage दुर्भावनापूर्ण कोड को नोटिस नहीं करते हैं।

सबसे दिलचस्प बात यह है कि इस समय मालवेयर के क्लाइंट और सर्वर के हिस्से शुरू होते हैं। क्लाइंट निम्न ओफ़्सेटेड DNS क्वेरी को 0ffice36o [।] कॉम पर भेजता है (पहला वर्ण शून्य है और अंतिम अक्षर "ओ" है): RoyNGBDVIAA0 [।] 0ffice36o [] कॉम, कॉम, जहां पहले 4 बाइट्स बेतरतीब ढंग से उत्पन्न होते हैं और बाकी (GBDVIAA0)। ) एक बेस 32 एनकोडेड रिक्वेस्ट है (प्रत्येक पीड़ित का अपना बेस 64 / डेज 32 अल्फाबेट चयनित था)। इसका निर्णय करना हमें "0GT \ x00" देता है, जहाँ GT पीड़ित की पहचानकर्ता है, और \ x00 अनुरोध संख्या है। कमांड सर्वर हमें एक आईपी पते के रूप में जवाब देता है, जो हमेशा सही नहीं होता है, उदाहरण के लिए, 0.1.0.3 (DNS प्रोटोकॉल यह अनुमति देता है)। दूसरी DNS क्वेरी इस तरह दिखती है: t0qIGBDVIAI0 [।] 0ffice36o []] कॉम कमांड सर्वर हमें IP पता लौटाता है: 100.105.114.0, जो नियमित ASCII एन्कोडिंग में 4 वर्ण है,जो इस मामले में निष्पादन योग्य कमांड "dir \ x00" का अर्थ है। प्रतिक्रिया में, DNSpionage का क्लाइंट पक्ष भेजता है:

GLtAGJDVIAJAKZXWY000 0ffice36o कॉम [।] [।] -> GJDVIAJAKZXWY000 -> "2gt \ X01 वॉल्यूम»
TwGHGJDVIATVNVSSA000 0ffice36o कॉम [।] [।] -> GJDVIATVNVSSA000 -> «2gt \ X02 ume»
1QMUGJDVIA3JNYQGI000 0ffice36o कॉम [।] [।] - > GJDVIA3JNYQGI000 -> "2GT \ x03 in d"
iucCGJDVIBDSNF3GK000 [।] 0ffice36o [।] Com -> GJDVGGDSGNGNGQGI000
। ज "

DNSpionage अभियान के दूसरे भाग के भाग के रूप में, DNS सर्वर व्यवस्थापक का व्यवस्थापक चुरा लिया गया था, इसी DNS रिकॉर्ड्स को बदल दिया गया था, और LetsEncrypt का उपयोग करके प्रमाण पत्र बनाए गए थे, जो बाद में "मध्य में साइट" हमले में उपयोग किया जाएगा। यह ऐसी साइट पर है कि पहले वर्णित डीएनएस पुनर्निर्देशन हमले चयनित पीड़ितों को भेज देगा (इस अभियान के सिर्फ 2 वर्षों में, हम 25 रीडायरेक्ट की पहचान करने में सक्षम थे, जो बड़े पैमाने पर नहीं, बल्कि एक लक्षित हमले का संकेत देता है)। कृपया ध्यान दें कि आपके स्वयं के DNS सर्वर (यदि आपके पास एक है) और तीसरे पक्ष के DNS सर्वर हैं जिन्हें आप पहले से ही नियंत्रित नहीं करते हैं, तो उन पर हमला किया जा सकता है।

उनकी गतिविधियों के हिस्से के रूप में, हमलावर लेबनान और संयुक्त अरब अमीरात (वित्त मंत्रालय, पुलिस, संचार और दूरसंचार मंत्रालय, एयरलाइन, आदि) के सरकारी निकायों के ईमेल और वीपीएन सहित सभी ट्रैफ़िक को बाधित करने में सक्षम थे, जो ईमेल और वीपीएन शामिल हो सकते थे। उन्हें अपने पीड़ितों के बारे में अतिरिक्त जानकारी इकट्ठा करने की अनुमति दें।

Cisco Talos Sea Turtle अभियान DNSpionage से भी अधिक जटिल था, क्योंकि हमलावरों ने न केवल DNS सर्वरों पर हमला किया, बल्कि TLD सर्वरों (ccTLDs और gTLDs सहित) पर भी हमला किया,



जिससे अज्ञात हैकर्स मध्य पूर्व और उत्तर में राज्य और सैन्य संगठनों पर हमला कर सकते थे। अफ्रीका, साथ ही विशेष सेवाओं और तेल और गैस कंपनियों।



अब मूल कार्य पर वापस जाएँ और देखें कि नेटवर्क ट्रैफ़िक विश्लेषण प्रणाली उल्लिखित अभियानों को पहचानने में कैसे मदद कर सकती है। यह तुरंत ध्यान दिया जाना चाहिए कि उनकी जटिलता और इस तथ्य को देखते हुए कि उन्हें बाहरी डीएनएस सर्वरों के खिलाफ निर्देशित किया जा सकता है, एनटीए क्लास सिस्टम हमारी मदद नहीं करेंगे। लेकिन उन मामलों में जब DNSpionage के DNS-मोड या DNSpionage या Sea Turtle के ढांचे के भीतर स्थानीय DNS सर्वरों पर हमले की बात आती है, तो हम Netflow का उपयोग कर सकते हैं कि हमें एक हमले के सभी संकेतों को देखने की जरूरत है और उन्हें समय पर ढंग से ब्लॉक करें।

सबसे पहले, हमें अपने आंतरिक DNS सर्वर को परिभाषित करने और उन्हें एक समूह में जोड़ने की आवश्यकता है। यह वह जगह है जहाँ लगभग किसी भी विसंगति की निगरानी प्रणाली की शुरूआत होती है। यह समझने के लिए कि क्या हमें नेटवर्क ट्रैफ़िक में विसंगतियों का सामना करना पड़ा है या नहीं, हमें पहले यह तय करने की आवश्यकता है कि सामान्य और वैध क्या है। और उसके बाद ही सिस्टम पूरी ताकत से काम करना शुरू करता है।



यह मैन्युअल रूप से किया जा सकता है, लेकिन यातायात के प्रकार से नोड्स को वर्गीकृत करने के फ़ंक्शन का उपयोग करना बेहतर है, जो आपको सभी नोड्स की पहचान करने की अनुमति देता है, यहां तक ​​कि उन लोगों के बारे में जिन्हें हम नहीं जानते हैं, लेकिन जो DNS सर्वर के रूप में कार्य करते हैं।



हमारे मामले में, हमें 5 सर्वर मिले:



हमने कानूनी DNS सर्वरों पर निर्णय लेने के बाद, हम केवल सभी DNS ट्रैफ़िक की निगरानी कर सकते हैं, जो कि विसंगत है, अर्थात जो अनुमति है उससे परे है। उदाहरण के लिए, यह है कि हम आंतरिक अवैध रूप से काम करने वाले DNS सर्वरों की पहचान करने के लिए एक नियम का वर्णन कैसे कर सकते हैं:



और यह नियम इस तरह दिखेगा, जिससे पता चलता है कि किसी कारण से हमारे नेटवर्क में 2 DNS सर्वर हैं, जिनमें से एक गोपनीय सर्वर खंड में स्थित है , और उपयोगकर्ता उपकरणों के खंड में दूसरा।



निम्नलिखित नियम हमें बाहरी संदिग्ध DNS सर्वरों की पहचान करने की अनुमति देता है जो आंतरिक होस्ट के साथ सीधे संपर्क करते हैं, जो यह संकेत दे सकता है कि DNSpionage कमांड सर्वर संक्रमित कॉर्पोरेट डिवाइसों के साथ काम करता है:



और हमें इस तरह के इंटरैक्शन के उदाहरण मिलते हैं:



इसी तरह से, हम नेटवर्क विसंगति का पता लगाने वाली प्रणाली को कॉन्फ़िगर कर सकते हैं (और यह लेख स्थानीय डीएनएस सर्वर पर आंतरिक नोड्स तक पहुंचने के अनधिकृत प्रयासों का पता लगाने के लिए सिस्को स्टेलवॉच का उपयोग करता है) DNS प्रोटोकॉल का उपयोग करके बाहरी होस्ट के साथ आंतरिक होस्ट (यह DNS मोड में DNSpionage के संचालन को रिकॉर्ड करेगा)।

इसी विसंगतियों और सुरक्षा नीति के उल्लंघनों को तय करने के बाद, हमें ऐसे नियमों का विकास करना चाहिए जो हमें भविष्य के आंतरिक नोड्स को जोड़ने के लिए स्थानीय DNS सर्वरों को छोड़कर, बाहरी DNS सर्वरों (और इसके विपरीत) में किसी भी भविष्य के प्रयासों को इंगित करने की अनुमति दें।



दूसरा नियम हमें स्थानीय DNS सर्वर को छोड़कर कॉर्पोरेट नेटवर्क के भीतर DNS ट्रैफ़िक का उपयोग करने के लिए किसी भी प्रयास को रिकॉर्ड करने की अनुमति देता है।



यह है कि नेटफ्लो की निगरानी (साथ ही अन्य प्रवाह प्रोटोकॉल) हमें काफी जटिल हमलों के व्यक्तिगत चरणों की पहचान करने की अनुमति देता है जो आधुनिक निगमों और सरकारी एजेंसियों को नुकसान पहुंचा सकते हैं।

Source: https://habr.com/ru/post/undefined/