🚴🏼 👩‍👦‍👦 👐🏼 भेड़ के कपड़ों में एक भेड़िया: एक हैकर को कैसे पकड़ना है जो सावधानी से खुद को एक साधारण उपयोगकर्ता के रूप में प्रच्छन्न करता है 👋🏿 👛 🛀🏻

चित्र:

हैकर गतिविधि की वृद्धि के साथ, उत्पाद और विधियां दिखाई दे रही हैं जो आपको प्रासंगिक हैकिंग, फिक्सिंग और वितरण विधियों की पहचान करने की अनुमति देती हैं। इसलिए, हैकर्स एक कदम आगे रहने की कोशिश करते हैं और यथासंभव असंगत रहते हैं।

आज हम अपने कार्यों के निशान छिपाने के लिए रणनीति के बारे में बात करेंगे जो साइबर अपराधियों का उपयोग करते हैं, और यह पता लगाने के बारे में बात करते हैं कि कैसे पता लगाया जाए।

एपीटी समूहों की गतिविधियों की जांच करते हुए , इस वर्ष हमने विभिन्न उद्योगों में एपीटी हमलों की संख्या में वृद्धि का खुलासा किया। अगर पिछले साल 12 एपीटी समूह हमारे विचार में आए, तो इस साल 27 समूह शोध का विषय बन गए। यह प्रवृत्ति क्वार्टर से क्वार्टर तक अद्वितीय साइबर घटनाओं की संख्या में लगातार वृद्धि के साथ भी संबंधित है (हमारे आंकड़ों के अनुसार, 2019 की तीसरी तिमाही में, दूसरी की तुलना में 6% अधिक अद्वितीय घटनाएं दर्ज की गईं)। सामान्य अभियोजक के कार्यालय के आंकड़ों से इन निष्कर्षों की पुष्टि होती है: पिछले साल 2018 की तुलना में आईटी अपराधों की संख्या लगभग दोगुनी हो गई और साल के अंत तक केवल 270,000 पंजीकृत मामले तक पहुंच गए, यानी रूस में सभी पंजीकृत अपराधों की कुल संख्या का 14%। जैसा कि अपेक्षित था, लक्षित हमले काफी प्रबल हुएबड़े पैमाने पर। 2019 के दौरान, हमने लक्षित हमलों में वृद्धि देखी: तीसरी तिमाही में, उनकी हिस्सेदारी 65% थी (दूसरी तिमाही में 59% और पहली बार में 47%)।

हैकर के हमले के पीछे लगभग हमेशा वित्तीय प्रेरणा होती है। ज्यादातर, हमलावर कंपनी के खातों से सीधे पैसे चुराते हैं। अन्य मामलों में, वे कंपनियों के बुनियादी ढांचे में जबरन वसूली या तोड़-फोड़ के लिए गोपनीय डेटा और दस्तावेजों की चोरी करते हैं और काले बाजार में उन तक पहुंच बेचते हैं। इसके अलावा, आप साधारण जासूसी नहीं लिख सकते हैं, जिसमें हमलावर पैसे में रुचि नहीं रखते हैं, लेकिन जानकारी में। सबसे अधिक बार, इस प्रकार के हमले की प्रेरणा प्रतियोगिता है: हैकर्स ऑर्डर द्वारा व्यापार रहस्य चुरा सकते हैं, किसी अन्य कंपनी के काम को बाधित कर सकते हैं, और इसे एक घोटाले में शामिल कर सकते हैं। हमारे अध्ययन के हिस्से के रूप मेंहमने 10 एपीटी समूहों की पहचान की जिन्होंने पिछले दो वर्षों में रूस में राज्य के स्वामित्व वाली कंपनियों पर हमला किया, और नोट किया कि उनका मुख्य उद्देश्य जासूसी था। इसके अलावा, हमने आईटी के क्षेत्र में विशेषज्ञों का एक सर्वेक्षण किया और एपीटी हमलों का विरोध करने के लिए उनकी कंपनियों की तत्परता के बारे में सुरक्षा की जानकारी दी। सार्वजनिक क्षेत्र के प्रत्येक दूसरे उत्तरदाता (45%) ने उत्तर दिया कि उनकी कंपनी APT के लिए तैयार नहीं है, और 68% ने कहा कि उनके सूचना सुरक्षा विशेषज्ञ ऐसे जटिल खतरों का मुकाबला करने के लिए पर्याप्त योग्य नहीं हैं।

पूर्वव्यापी विश्लेषण और घटनाओं की जांच के लिए हमारी परियोजनाओं से संकेत मिलता है कि कई कंपनियों ने साइबर घटनाओं का पता लगाने के अभ्यास पर स्विच किया है जो कई महीनों पहले या कई साल पहले हुई हैक के निशान पाते हैं ( टास्कमास्टर्स की पहचान पिछले साल हुई थी, जो कम से कम आठ साल तक पीड़ितों में से एक के बुनियादी ढांचे में था)। इसका मतलब यह है कि अपराधियों ने लंबे समय से कई संगठनों को नियंत्रित किया है, लेकिन संगठन स्वयं उनकी उपस्थिति पर ध्यान नहीं देते हैं, यह सोचकर कि वे वास्तव में संरक्षित हैं। इसके अलावा, यह अक्सर पता चलता है कि ऐसी कंपनियों के बुनियादी ढांचे में न केवल एक, बल्कि कई समूह "लाइव" हैं।

हमारे अनुमानों के अनुसार , बैंक से पैसे चुराने के उद्देश्य से हमला करने के लिए उपकरणों का एक सेट 55 हजार अमेरिकी डॉलर खर्च कर सकता है। एक साइबर जासूस अभियान बहुत अधिक महंगा है, इसका न्यूनतम बजट 500 हजार अमेरिकी डॉलर है।

ऐसा लगता है कि बाजार कई एंटी-हैकिंग उत्पाद प्रदान करता है। लेकिन घुसपैठियों संगठनों का एक नेटवर्क कैसे घुसना है? हम आज के लेख में इस मुद्दे पर विचार करेंगे।

सोशल इंजीनियरिंग

सोशल इंजीनियरिंग बुनियादी ढांचे को भेदने के सबसे आम तरीकों में से एक है। बड़ी कंपनियां बहुत से लोगों को रोजगार देती हैं, सूचना सुरक्षा नियमों के बारे में उनकी जागरूकता अलग हो सकती है - इस वजह से, कुछ कर्मचारियों को दूसरों की तुलना में सोशल इंजीनियरिंग और फ़िशिंग विधियों का उपयोग करके हमला करने की अधिक संभावना है। और फ़िशिंग मेलिंग के लिए एक सूची संकलित करने के लिए, खुले स्रोतों (OSINT) पर एक खोज का संचालन करने के लिए पर्याप्त है।

हममें से कई लोगों के सोशल नेटवर्क में खाते हैं, उनमें से कुछ हमारे काम के स्थान के बारे में जानकारी पोस्ट करते हैं। अक्सर, एक कर्मचारी का ईमेल "अंग्रेजी में पहले नाम + अंतिम नाम के पहले अक्षर" का एक संयोजन होता है जिसमें थोड़े बदलाव होते हैं। इसलिए, हैकर के लिए कंपनी के इलेक्ट्रॉनिक पते के प्रारूप और कर्मचारी का पूरा नाम जानना आवश्यक है ताकि उसका ईमेल पता 90% संभावना के साथ मिल सके। आप छाया मंचों पर या लोकप्रिय त्वरित दूतों के संबंधित चैनलों में भी डेटा खरीद सकते हैं, साथ ही डेटाबेस के अगले "ड्रेन" में भी ढूंढ सकते हैं।

इंटरनेट एक्सेस इन्फ्रास्ट्रक्चर में कमजोरियां

ब्लडी एंटरप्राइज न केवल बड़ी संख्या में लोग हैं, बल्कि बड़ी संख्या में सेवाएं भी हैं: रिमोट एक्सेस सेवाएं, डेटाबेस, प्रशासन पैनल, वेबसाइट। और उनमें से जितना अधिक, उन्हें नियंत्रित करना उतना ही मुश्किल है। इसलिए, ऐसी स्थितियां हैं, जब कॉन्फ़िगरेशन त्रुटियों के कारण, सेवा बाहर से सुलभ हो जाती है। यदि कोई हैकर लगातार संगठन की परिधि पर नज़र रखता है, तो वह तुरंत बुनियादी ढांचे में इस तरह के "छेद" को नोटिस करेगा, समयरेखा केवल इस बात पर निर्भर करती है कि वह परिधि को एक मिनट से लेकर एक दिन तक कितनी बार स्कैन करता है।

सबसे खराब स्थिति में, "नंगे" सेवा में एक ज्ञात भेद्यता होगी, जो एक हमलावर को तुरंत शोषण का उपयोग करने और नेटवर्क में आने की अनुमति देगा। और यदि सेवा को कॉन्फ़िगर करते समय मानक पासवर्ड नहीं बदला गया था, तो हैकर मानक लॉगिन और पासवर्ड संयोजनों का चयन करके कई बार तेजी से डेटा तक पहुंच पाएगा।

हमले क्यों मुश्किल हो रहे हैं

हैकर हमलों को जटिल बनाने की प्रक्रिया में मोड़ 2010 में स्टक्सनेट कीड़ा की उपस्थिति थी, जिसे कई लोग पहले साइबर हथियार कहते हैं। लंबे समय तक वह ईरानी परमाणु कार्यक्रम के नेटवर्क में किसी का ध्यान नहीं गया, यूरेनियम संवर्धन और अक्षम उपकरणों के लिए सेंट्रीफ्यूज की गति को नियंत्रित किया। इन वर्षों में, वह पहले से ही अन्य कंप्यूटर नेटवर्क में पाया गया था। शून्य-दिन की कमजोरियों, डिजिटल हस्ताक्षरों, USB उपकरणों और साझा प्रिंटर के माध्यम से वितरण का उपयोग करके कृमि को लंबे समय तक अनिश्चित रूप से जाने दिया जाता है।

हैकर्स समूहों में एकजुट होने लगे। यदि शून्य में हमने अधिक एकल हैकर्स का अवलोकन किया, तो 2010 में संगठित साइबर अपराध में सक्रिय वृद्धि शुरू हुई। हालाँकि, अपराधों की संख्या तेजी से बढ़ने लगी। उसी समय, दशक की शुरुआत में, व्यवसाय के मालिकों ने अपने संगठन की सूचना सुरक्षा के बारे में ज्यादा नहीं सोचा था, जिसने हैकर्स को लाखों डॉलर चोरी करने की अनुमति दी थी। दशक के पहले भाग में, वित्तीय संस्थान जटिल मैलवेयर, जैसे कि कार्बप और कारबनक , के उद्भव के लिए तैयार नहीं थे । उनके उपयोग के हमलों के परिणामस्वरूप, लगभग $ 1 बिलियन का नुकसान हुआ।

आज हैक का पता लगाने और बुनियादी ढांचे में हमलावरों की गतिविधि का पता लगाने के लिए समाधान हैं। जवाब में, हैकर्स लंबे समय तक अनडेटेड जाने के लिए वर्कअराउंड विकसित करते हैं। उदाहरण के लिए, वे तकनीकों का उपयोग करते हैं जैसे कि जीवित-ऑफ-द-भूमि । ऐसे हमलों में, नोड्स पर कमांड के दूरस्थ निष्पादन के लिए, ओएस और विश्वसनीय कार्यक्रमों में निर्मित तंत्र का उपयोग किया जाता है। विंडोज के बुनियादी ढांचे में, ये पावरशेल, WMI, Sysinternals सुइट से उपयोगिताओं हो सकते हैं। उदाहरण के लिए, PsExec उपयोगिता ने स्वयं को IT व्यवस्थापकों और साइबर अपराधियों के बीच सिद्ध किया है।

हमलावर वाटरिंग होल तकनीक का भी उपयोग करते हैं - वे एक उद्योग साइट या एप्लिकेशन में हैक करते हैं जो कंपनी के कर्मचारी अक्सर आते हैं और उनमें दुर्भावनापूर्ण कोड का उपयोग करते हैं और रखते हैं। उपयोगकर्ता द्वारा एप्लिकेशन लॉन्च करने या साइट में लॉग इन करने के बाद, मैलवेयर को उसके डिवाइस पर डाउनलोड किया जाता है, जिसके माध्यम से हमलावर बुनियादी ढांचे में प्रवेश करता है। इस विधि के रूप में इस तरह के अपार्ट समूहों द्वारा अपनाया गया है Turla , Winnti ।

कुछ हैकर समूह, उदाहरण के लिए कोबाल्ट, साइलेंस, टास्कमास्टर्स, आपूर्ति श्रृंखला हमले विधि का उपयोग करते हैं। हमलावरों ने लक्ष्य संगठन के एक साथी के सर्वर को पहले से हैक कर लिया है और पहले से ही अपने मेलबॉक्सेज़ से फ़िशिंग मेलिंग करते हैं। हैकर्स पत्र भेजने तक ही सीमित नहीं हैं, लेकिन रुचि के संगठनों द्वारा उपयोग किए गए सॉफ़्टवेयर डेवलपर्स पर हमला करते हैं, और दुर्भावनापूर्ण कोड एम्बेड करते हैं, उदाहरण के लिए, अगले अपडेट में। इस अद्यतन को स्थापित करने वाले सभी उपयोगकर्ता अपने कंप्यूटर को संक्रमित करते हैं। तो, NotPetya रैंसमवेयर वायरस के दुर्भावनापूर्ण कोड को अकाउंटिंग सॉफ़्टवेयर के अपडेट में से एक में बनाया गया था।

हालांकि, एक हमलावर मैलवेयर के सभी फायदों के साथ , एक एंटीवायरस या सैंडबॉक्स का पता लगा सकता हैअगर यह मेल के माध्यम से भेजा गया था। इस संबंध में, हमलावर कोड के लिए तेजी से परिष्कृत तकनीकों का आविष्कार करते हैं - उदाहरण के लिए, इसे वर्चुअलाइज करते हुए - फाइल-फ्री हमलों को अंजाम देते हैं और कोड में एंटी-वीएम और एंटीसैंडबॉक्स विधियों को सम्मिलित करते हैं।

इस बात से इंकार नहीं किया जा सकता है कि एक हमलावर नेटवर्क के भीतर मैलवेयर के बिना ऐसा करने का प्रबंधन कर सकता है, खुद को सुरक्षा नीतियों के लिए अनुमत उपकरणों तक सीमित कर सकता है।

बुनियादी ढांचे में एक हैकर को कैसे पकड़ना है: सर्वोत्तम अभ्यास और बड़ी गलतियां

अपने बुनियादी ढांचे में एक बिन बुलाए मेहमान को रोकने का सबसे आसान तरीका रक्षा की सही रेखा का निर्माण करना है। तीन मुख्य घटकों को यहां प्रतिष्ठित किया जा सकता है:

विश्वसनीय परिधि;
जानकार उपयोगकर्ता;
भूमिका और पासवर्ड नीतियां।

सन त्ज़ु की पुस्तक "द आर्ट ऑफ़ वॉर" का एक उत्कृष्ट कथन है: "आगे बढ़ो, जहाँ तुम प्रतीक्षा नहीं कर रहे हो, जहाँ तुम तैयार नहीं हो वहाँ हमला करो।" साइबर सुरक्षा सुनिश्चित करना परिधि और सुरक्षा के पारंपरिक साधनों तक सीमित नहीं होना चाहिए। जैसा कि हमारे अध्ययन के परिणामों से पता चला है , 92% खतरों की पहचान तब की जाती है जब दुश्मन पहले से ही अंदर है।

साइबर्ग ग्रुप्स ने अपने हित के संगठनों की परिधि पर रक्षा को सफलतापूर्वक पार करना सीख लिया है, और यह सफल लक्षित हमलों के हिस्से में वृद्धि की ओर रुझान से प्रकट होता है । यह नेटवर्क के भीतर समझौता और प्रतिक्रिया का समय पर पता लगाने के लिए परिधि पर हमलों को रोकने से ध्यान का ध्यान केंद्रित करने का अवसर है।

यदि घटना अभी भी हुई है, तो आपको घटनाओं की पूरी श्रृंखला बनाने की जरूरत है जो हैकर ने अपने लक्ष्य के लिए रास्ते पर बनाई थी - समयरेखा। जब एक घटना का पता लगाया जाता है, तो कई लोग यह नहीं जानते हैं कि सही तरीके से प्रतिक्रिया कैसे करें, पहले चरण में पहले से ही घबराएं और गलतियां करें। घटना के परिणामों का व्यस्त उन्मूलन शुरू होता है, जिससे इसकी कलाकृतियों का क्षरण होता है। हालांकि, कुछ लोग तुरंत इसकी उपस्थिति के कारणों के बारे में सोचते हैं, और जब तक कारण खोजने की आवश्यकता स्पष्ट हो जाती है, तब तक अधिकांश निशान पहले ही नष्ट हो चुके होते हैं - आपको उस तस्वीर से पुनर्स्थापित करना होगा जो बनी हुई है।

ऐसा होता है कि एक घटना के दौरान हैकर अभी भी ऑनलाइन रहता है और पीड़ित सभी उपलब्ध साधनों के साथ "नॉक आउट" करने की कोशिश करता है, बिना यह समझे कि इंफ्रास्ट्रक्चर और सेवाओं के किस हिस्से पर नियंत्रण होता है। इस मामले में, हैकर छोड़ सकता है, जोर से दरवाजा पटक कर: उदाहरण के लिए, नियंत्रण में नोड्स को एन्क्रिप्ट करके।

हैकर के बुनियादी ढांचे में हैकर को ढूंढना हमेशा एक मामूली काम नहीं है। एक सक्षम दृष्टिकोण के साथ, वह लंबे समय तक बुनियादी ढांचे में रह सकता है। उदाहरण के लिए, टास्कमास्टर्स समूह जिसे खोजा गया था2018 में पीटी एक्सपर्ट सिक्योरिटी सेंटर के विशेषज्ञ, कुछ संगठनों में वर्षों से अपनी उपस्थिति छिपाए हुए थे। उसी समय, हैकरों ने हैक किए गए बुनियादी ढांचे में कई बार वापस लौटाया ताकि डेटा का एक और टुकड़ा उतार दिया जा सके, जिसके बाद उन्होंने एक डग होल को भर दिया, जिससे आंतरिक नेटवर्क के कई एक्सेस पॉइंट निकल गए। और हर बार वे किसी का ध्यान नहीं गए। ऐसे मामलों में, हैकर्स की गणना असामान्य नेटवर्क गतिविधि (जो मुख्य रूप से रात में होती है) द्वारा बाहरी नोड्स या गैर-मानक क्षैतिज आंदोलनों के अंदर बड़ी मात्रा में की जाती है।

लेकिन क्या होगा अगर हम नहीं जानते कि अगर नेटवर्क के अंदर कोई हैकर है और हैकिंग की अनुपस्थिति की जाँच करके अपनी सुरक्षा करना चाहता है? ऐसा करने के लिए, आपके पास एक बड़ा ज्ञान आधार होना चाहिए कि एक हैकर कैसे कार्य कर सकता है: कैसे घुसना, कैसे पैर जमाने के लिए, कैसे आगे बढ़ना है। सौभाग्य से, इस तरह के ज्ञान का आधार मौजूद है और वास्तविक APT हमलों के विश्लेषण के आधार पर MITER Corporation द्वारा विकसित और समर्थित ATT & CK कहलाता है।। आधार रणनीति की एक दृश्य तालिका है जो एक हैकर सफलतापूर्वक अपने लक्ष्य को प्राप्त करने के लिए सहारा ले सकता है। यह लक्षित हमलों के बारे में ज्ञान को संरचित करता है और हमलावरों के कार्यों को वर्गीकृत करता है। डेटाबेस को दुनिया भर के शोधकर्ताओं द्वारा लगातार अपडेट किया जाता है, जो सभी देशों के सूचना सुरक्षा विशेषज्ञों को एक ही भाषा बोलने की अनुमति देता है। इसके अलावा, रणनीति का ज्ञान आपको हैकिंग के संकेतों को सफलतापूर्वक पहचानने और अग्रिम रूप से तैयार करने की अनुमति देता है - कमजोरियों को मजबूत करने, उन पर बढ़े हुए नियंत्रण को स्थापित करने और जल्दी से एक हमलावर की उपस्थिति का जवाब देने के लिए।

इसके अलावा, पटाखे नेटवर्क ट्रैफिक में निशान छोड़ते हैं, जिसका मतलब है कि साइबर स्पेस विशेषज्ञ का काम इन निशानों का पता लगाना है। परिणाम हमारी पायलट परियोजनाओं से पता चला है कि NTA श्रेणी के समाधान आईएस के नियमों के उल्लंघन से लेकर जटिल लक्षित हमलों तक - जोखिम के अलग-अलग डिग्री के खतरों को प्रभावी ढंग से पहचान सकते हैं।

नेटवर्क ट्रैफ़िक (स्क्रीनशॉट के साथ एक विस्तृत मैनुअल) में हैकर को कैसे पकड़ा जाए, इस पर तकनीकी विवरण हमारे एंटी-मालवेयर लेख में पाया जा सकता है ।

भविष्य में क्या उम्मीद की जाए: साइबरसिटी ट्रेंड

हाल के वर्षों में डेटा लीक के बारे में समाचार विशेष रूप से जोर से बन गए हैं, जिसमें हमलावर पिछले वर्षों के लीक का उपयोग करने का प्रबंधन भी शामिल है। इससे उन्हें उपयोगकर्ताओं की एक बड़ी संख्या की पूर्ण डिजिटल फाइलें मिलती हैं। इस प्रवृत्ति को जारी रखने की उम्मीद है।

2019 में, हमने डेढ़ हज़ार से अधिक हैकर हमले दर्ज किए ; यह 2018 की तुलना में 19% अधिक है। 81% साइबर हमलों में, पीड़ित कानूनी संस्थाएं थीं। वर्ष के अंत में, पांच सबसे अधिक बार हमला किए गए क्षेत्रों में राज्य संस्थान, उद्योग, चिकित्सा, विज्ञान और शिक्षा का क्षेत्र और वित्तीय क्षेत्र शामिल थे। भविष्य में उद्योग का फोकस जारी रहेगा।

लक्षित हमलों का अनुपात बढ़ रहा है: प्रत्येक तिमाही में हमने पिछले एक की तुलना में अधिक लक्षित हमले देखे। 2019 की पहली तिमाही में, आधे से कम हमलों (47%) को लक्षित किया गया था, और वर्ष के अंत में उनकी हिस्सेदारी पहले से ही 67% थी। एपीटी हमलों के और बढ़ने की उम्मीद है ।

नए खतरों का जवाब देने के लिए प्रबंधन करने के लिए, संरक्षण तकनीकों को भी सक्रिय रूप से विकसित किया जाना चाहिए। हालांकि, केवल काउंटरमेशर और अटैक डिटेक्शन टूल की मदद से उच्च स्तर की सुरक्षा हासिल करना संभव नहीं होगा। हम अनुशंसा करते हैं कि कंपनियां नियमित रूप से आईएस कर्मचारियों की रेड टेस्टिंग के रूप में पैठ परीक्षण और प्रशिक्षण आयोजित करती हैं - यह महत्वपूर्ण संसाधनों के लिए संभावित हमले वैक्टर का पता लगाने और समय पर खत्म करने और साइबर हमले की स्थिति में आईएस और आईटी सेवा के इंटरैक्शन को खत्म करने की अनुमति देगा।

हमारी कंपनी ने संगठन के लिए एक एंटी-एपीटी नेटवर्क सुरक्षा प्रणाली विकसित की है , जिसे लक्षित हमलों का पता लगाने और रोकने के लिए डिज़ाइन किया गया है। यह आपको नेटवर्क पर एक हमलावर की उपस्थिति का पता लगाने और विस्तृत जांच के लिए हमले की पूरी तस्वीर को फिर से बनाने की अनुमति देता है। नेटवर्क पर असामान्य गतिविधि का पता लगाना, फाइलों का पूर्वव्यापी विश्लेषण और एक उन्नत सैंडबॉक्स एक घटना के लिए प्रतिक्रिया समय को कम कर सकता है या इसे पूरी तरह से रोक सकता है।

डेनिस कुवशिनोव, लीडिंग स्पेशलिस्ट, पॉजिटिव टेक्नोलॉजीज साइबर थ्रेट रिसर्च टीम द्वारा पोस्ट किया गया

सोशल इंजीनियरिंग

इंटरनेट एक्सेस इन्फ्रास्ट्रक्चर में कमजोरियां

हमले क्यों मुश्किल हो रहे हैं

बुनियादी ढांचे में एक हैकर को कैसे पकड़ना है: सर्वोत्तम अभ्यास और बड़ी गलतियां

भविष्य में क्या उम्मीद की जाए: साइबरसिटी ट्रेंड

More articles: