Positive Hack Days. Гостев. Киберпреступность: вчера, сегодня, завтра…
•
0 likes•1,062 views
Тенденции вирусной индустрии. Корпоративный кибершпионаж - фантастика или бизнес? Сколько стоит взломать вашу компанию? Хакерство: забава или выгода?
Positive Hack Days. Гостев. Киберпреступность: вчера, сегодня, завтра…
- 1. Киберпреступность вчера, сегодня, завтра … Александр Гостев, Chief Security Expert, GReAT, Kaspersky Lab Виталий Камлюк, Malware Expert, GReAT, Kaspersky Lab 19.05.2011 / Positive Hack Days
- 2. Global Research & Analysis Team PAGE 2 |
- 3. Киберпреступность Тенденции последнего года, методы, цели, причины, организаторы …и много прочих разных пунктов, которые заставляют нас порой работать по ночам и без выходных
- 4. Киберпреступность Расстановка точек над “I” Преступления, совершаемые при помощи компьютерных технологий PAGE 4 |
- 5. Kaspersky Security Bulletin 2010 PAGE 5 |
- 6. Новые организаторы, новые цели PAGE 6 |
- 7. Новые организаторы, новые цели PAGE 7 |
- 8. Новые организаторы, новые цели PAGE 8 |
- 9. Новые организаторы, новые цели PAGE 9 |
- 10. Новые организаторы, новые цели PAGE 10 |
- 11. Новые организаторы, новые цели PAGE 11 |
- 12. Новые организаторы, новые цели PAGE 12 |
- 13. Новые организаторы, новые цели PAGE 13 |
- 14. Инциденты за один год Насколько сложно взломать крупнейшие компании мира или устроить ядерный переполох …и не быть при этом арестованным
- 15. Операция Aurora PAGE 15 |
- 16. Operation Aurora PAGE 16 |
- 17. Operation Aurora PAGE 17 |
- 18. Operation Aurora PAGE 18 |
- 19. Operation Aurora PAGE 19 |
- 20. Operation Aurora «We have decided we are no longer willing to continue censoring our results on Google.cn, and so over the next few weeks we will be discussing with the Chinese government the basis on which we could operate an unfiltered search engine within the law, if at all. We recognize that this may well mean having to shut down Google.cn, and potentially our offices in China. The decision to review our business operations in China has been incredibly hard, and we know that it will have potentially far-reaching consequences» PAGE 20 |
- 21. Operation Aurora Advanced Persistent Threat или “Asian-Pacific Threat” ? PAGE 21 |
- 22. Operation Aurora MS10-002 CVE-2010-0249 PAGE 22 |
- 23. Operation Aurora Первая стадия Вторая стадия Третья стадия Сбор адресов Установка электронной Установка Электронная почта загрузчика в почты/IM/SM/ кейлоггера систему жертв Контроль IM и социальных сетей Загрузка Виртуализация браузера Подготовка веб- основного Установка ресурсов для модуля с Контроль сетевых соединений заражения подготовленного бэкдора сайта Контроль пользовательских привилегий Рассылка Сбор Взаимодействие писем/ссылок информации о с центром Контроль активности приложений на эксплоит системе управления Контроль поведения машины в Дальнейший локальной сети Заражение доступ в через браузер локальную сеть 9 действий, которые могли бы быть пресечены или Загрузка обнаружены дополнительны х модулей PAGE 23 |
- 24. Operation Aurora Source code repositories Интеллектуальная собственность PAGE 24 |
- 25. Operation Aurora PAGE 25 |
- 26. Большой переполох в маленьком Иране STUXNET PAGE 26 |
- 28. Stuxnet ЧТО ? PAGE 28 |
- 30. Stuxnet Основной функционал Siemens S7-300 system PLC с variable-frequency drives Vacon (Финляндия), Fararo Paya (Иран) 807 – 1210hz Насосы или газовые центрифуги Изменяет скорость вращения моторов от 2 до 1410hz PAGE 30 |
- 32. Stuxnet Завод по обогащению урана в Natanz PAGE 32 |
- 33. Stuxnet Завод по обогащению урана в Natanz PAGE 33 |
- 34. Stuxnet Завод по обогащению урана в Natanz PAGE 34 |
- 38. Stuxnet Scott Borg, director of the US Cyber Consequences Unit Июнь 2009 Asked to speculate about how Israel might target Iran, Borg said malware -- a commonly used abbreviation for "malicious software" -- could be inserted to corrupt, commandeer or crash the controls of sensitive sites like uranium enrichment plants. Israeli agents would have to conceal the malware in software used by the Iranians or discreetly plant it on portable hardware brought in, unknowingly, by technicians. "A contaminated USB stick would be enough," Borg said. PAGE 38 |
- 39. Stuxnet Модуль распространения и инсталляции червя Блок SCADA/PLC PAGE 39 |
- 40. Операция Myrtus b:myrtussrcobjfre_w2k_x86i386guava.pdb Проект менеджер Группа C&C Группа распространения 2 человека 7-10 человек Код червя Код PLC Код эксплоитов Тестеры 3-4 человека 2-3 человека 1-2 человека 6-8 человек (проект Guava) PAGE 40 |
- 41. Stuxnet Уязвимости Распространение через флешки via LNK (MS10-046) – 0-Day Распространение по локальной сети via Server Service (MS08-067) Распространение по локальной сети via Print Spooler (MS10-061) – 0-Day Повышение привилегий via Keyboard layout file (MS10-073) – 0-Day Повышение привилегий via Task Scheduler (MS10-092) – 0-Day «Уязвимость» в авторизации Sematic WinCC PAGE 41 |
- 43. Stuxnet Контроль USB-устройств Контроль внешних сетевых соединений Контроль пользовательских привилегий Контроль активности приложений Контроль поведения машины в локальной сети PAGE 43 |
- 44. Stuxnet Первая стадия (ноябрь 2008-июнь Вторая стадия (Июнь 2009 – Третья стадия (Январь 2010-Июль 2009) Декабрь 2009) 2010) Распространение на USB Добавление цифровых flash подписей Добавление новых Создание C&C Распространение по сети уязвимостей Внедрение червя – Вариант Разработка кода Взаимодействие с C&C B Внедрение червя – Вариант Тестирование кода P2P-ботнет C Внедрение червя - Вариант Закрытие C&C A PAGE 44 |
- 48. Что дальше ? Gen. Keith Alexander, head of U.S. Cyber Command, recently told Congress “… We believe that state actors have developed cyber weapons to cripple infrastructure targets in ways tantamount to kinetic assaults. Some of these weapons could potentially destroy hardware as well as data and software.” PAGE 48 |
- 49. Что дальше ? PAGE 49 |
- 50. Night Dragon PAGE 50 |
- 51. Night Dragon Когда: с начала ноября 2009 года Цель: нефтяные, энергетические, химические компании (Казахстан, Тайвань, Греция, США) Методы: социальная инженерия, фишинг, использование уязвимостей SQL и Windows Способ: взлом LDAP и установка бэкдора Жертвы: руководство компаний PAGE 51 |
- 52. Night Dragon • SQL injection на веб-сайт 1 • Получение возможности выполнения команд • Загрузка средств взлома на сервера 2 • Подбор паролей и проникновение в интранет • Получение доступа к LDAP 3 • Получение доступа к машинам • Установка бэкдора 4 • Сбор информации • Отправка информации на C&C 5 • Загрузка новых модулей PAGE 52 |
- 53. Night Dragon PAGE 53 |
- 54. Night Dragon "Starting in November 2009, covert cyberattacks were launched against several global oil, energy and petrochemical companies. The target of the attacks were bidding information, prospecting data and other confidential information related to business ventures. This information is highly sensitive and can make or break multibillion- dollar deals in this extremely competitive industry” Files of interest focused on operational oil and gas field production systems and financial documents related to field exploration and bidding that were later copied from the compromised hosts or via extranet servers. In some cases, the files were copied to and downloaded from company web servers by the attackers. In certain cases, the attackers collected data from SCADA systems. PAGE 54 |
- 55. Night Dragon PAGE 55 |
- 56. Night Dragon PAGE 56 |
- 57. Night Dragon PAGE 57 |
- 58. Night Dragon Контроль веб-приложений и баз данных Контроль серверов и прав доступа Контроль электронной почты Виртуализация браузера Контроль мобильных устройств Контроль внутренней сетевой активности Контроль внешних соединений Контроль приложений Контроль утечек PAGE 58 |
- 59. Night Dragon PAGE 59 |
- 60. Night Dragon PAGE 60 |
- 61. Night Dragon PAGE 61 | Kaspersky Lab PowerPoint Template | 01 June 2011
- 64. HBGary PAGE 64 |
- 65. HBGary PAGE 65 |
- 66. HBGary http://hbgaryfederal.com «самодельная» CMS SQL-injection http://www.hbgaryfederal.com/pages.php?pageNav=2&page=27 Usernames, emails, password hashes MD5, rainbow table-based атака CEO Aaron Barr и COO Ted Vera 6 букв и 2 цифры PAGE 66 |
- 67. HBGary PAGE 67 |
- 68. HBGary PAGE 68 |
- 69. HBGary PAGE 69 |
- 70. HBGary PAGE 70 |
- 71. HBGary PAGE 71 |
- 72. HBGary Custom CMS, без патчей и с дырами SQL-injection Простое шифрование Простые пароли Один и тот же пароль для разных сервисов Уязвимый сервер, без патчей Социальная инженерия PAGE 72 |
- 73. HBGary PAGE 73 |
- 74. RSA PAGE 74 |
- 75. RSA PAGE 75 |
- 76. RSA PAGE 76 |
- 77. RSA Advanced Persistent Threat или “Asian-Pacific Threat” ? PAGE 77 |
- 78. RSA CVE-2011-0609 PAGE 78 |
- 79. RSA • Фишинговая атака с 0-day (CVE-2011-0609) 1 • 2011 recruitment plan.xls • Установка бэкдора в системы 2 • Poison Ivy RAT • Повышение уровня доступа 3 • Получение доступа к другим машинам и сервисам • Сбор информации 4 • Шифрование собранного (RAR password-protected) • Отправка данных по ftp на C&C 5 • Удаление данных с машины PAGE 79 |
- 80. RSA PAGE 80 |
- 81. RSA www.usgoodluck.com obama.servehttp.com prc.dynamiclink.ddns.us People’s Republic of China ? PAGE 81 |
- 82. RSA PAGE 82 |
- 83. RSA PAGE 83 |
- 84. RSA PAGE 84 |
- 85. RSA PAGE 85 |
- 86. Киберпреступность 2011 Сходство и различие
- 87. Итоги Уязвимости Традиционная Новые игроки Известные 0day уязвимости Собственные общие эксплоиты разработки PAGE 87 |
- 88. Итоги Платформы Традиционная Новые игроки Windows *nix Windows Web-based Mobile PAGE 88 |
- 89. Итоги Путь Традиционная Новые игроки Электронная почта Атаки через Атаки через браузер браузер PAGE 89 |
- 90. Итоги Методы Традиционная Новые игроки Социальная Фишинг инженерия PAGE 90 |
- 91. Итоги Масштаб Традиционная Новые игроки Массовость Точечные атаки PAGE 91 |
- 92. Итоги Цели Традиционная Новые игроки Корп.шпионаж Национальные Деньги интересы Публичность PAGE 92 |
- 93. Итоги 2003 2011 PAGE 93 |
- 95. 2011 PAGE 95 |
- 96. Спасибо Киберпреступность Вчера, сегодня, завтра… Александр Гостев, Chief Security Expert, GReAT, Kaspersky Lab Виталий Камлюк, Malware Expert, GReAT, Kaspersky Lab 19.05.2011 / Positive Hack Days