Upload File

botnet e nuove forme di malware

43
Botnet e nuove forme di malware Analisi tecnica ed evoluzione del fenomeno $author = Gianni 'guelfoweb' Amato $site = www.securityside.it $blog = www.gianniamato.it $email = [email protected] $twitter = guelfoweb #DIGICONF 2011 www.digiconf.net sponsored by www.govforensics.it

Upload: gianni-amato

Post on 18-Nov-2014

3.538 views

Category:

Documents


2 download

Report

DESCRIPTION

Botnet e nuove forme di malware - Analisi tecnica ed evoluzione del fenomeno

TRANSCRIPT

Page 1: Botnet e nuove forme di malware

Botnet e nuove forme di malwareAnalisi tecnica ed evoluzione del fenomeno

$author  =  Gianni 'guelfoweb' Amato$site  =  www.securityside.it$blog  = www.gianniamato.it$email  = [email protected]$twitter  =  guelfoweb

#DIGICONF 2011

www.digiconf.net sponsored by www.govforensics.it

http://www.securityside.it/
http://www.gianniamato.it/
mailto:[email protected]
http://www.digiconf.net/
http://www.govforensics.it/
Page 2: Botnet e nuove forme di malware

SULLA SCENA DEL CRIMINE

Page 3: Botnet e nuove forme di malware

MA NON SIAMO IN TV

Page 4: Botnet e nuove forme di malware

SCENARI INSOLITI

Non solo

Banche

&

Infrastrutture critiche

Page 5: Botnet e nuove forme di malware

MALWARE EVOLUTION

Page 6: Botnet e nuove forme di malware

TARGET

Furto di dati sensibili

Numeri di carte di credito;

Numeri di conto corrente;

Account email;

Identità digitale.

Page 7: Botnet e nuove forme di malware

BLACK MARKET 2010

Un crescita del 71%

Il 78% del malware con funzione di esportazione dati

Symantec Intelligence

Quarterly Report

2009: Il valore delle informazioni rubate ammonta a 1 trilione di dollari;

Giugno 2010: un volume di affari di 210 milioni di euro;

Il costo medio sostenuto da un'organizzazione compromessa è all'incirca di 5 milioni di Euro;

23 milioni di Euro è il costo massimo sostenuto da una azienda colpita da unattacco informatico.

Page 8: Botnet e nuove forme di malware

QUANTO COSTA?

1 Visa / MasterCard ~ 5$ / 25$

1000 Carte di Credito ~ 1500$

1 Identità digitale ~ 3$ - 20$

...e non è difficile ottenerli

Page 9: Botnet e nuove forme di malware

PREVISIONI 2011

Spesa del 2011 per le aziende statunitensi: 130 miliardi di dollari (perdita in denaro)

Page 10: Botnet e nuove forme di malware

UN GROSSO AFFARE

388 miliardi di dollari, una cifra superiore al mercato nero di marijuana, cocaina ed eroina

Page 11: Botnet e nuove forme di malware

CRIMEWARE KIT

E' sempre più semplice sferrare attacchi informatici;

Sottrarre informazioni personali;

I costi sono accessibili:

500$-1000$ ZeuS o SpyEye;

Il costo delle ultime versioni si aggira intorno ai 1000$;

Il costo dei plugins varia dai 50$ ai 100$.

Page 12: Botnet e nuove forme di malware

NUOVI TARGET

Page 13: Botnet e nuove forme di malware

IL CASO STUXNET

Attacco alle Centrali Nucleari. Nello specifico l'Iran e gli esperimenti con l'energia nucleare;

I sistemi SCADA nel mirino dell'organizzazione;

Soluzioni Siemens per la gestione dei sistemi industriali;

Windows + WinCC + PCS 7.

Page 14: Botnet e nuove forme di malware

ELEMENTI IMPORTANTI

La password dei sistemi SCADA (DB WinCC) era conosciuta da oltre 2 anni. Fu pubblicata in un forum e poi rimossa dal moderatore;

Gli autori erano in possesso di certificati digitali: Realtek e JMicron

Page 15: Botnet e nuove forme di malware

LA STORIA CONTINUA...

Verisign revoca i certificati il 16 luglio;

Il 17 luglio viene rilevata una nuova versione di Stuxnet con i certificati rubati a Jmicron;

Dalle prime indagini si scopre che Stuxnet sfrutta la vulnerabilità LNK;

Indagini successive provano che Stuxnet sfrutta ben 5 vulnerabilità dei sistemi Windows.

Page 16: Botnet e nuove forme di malware

NUMERI MISTERIOSI

Il valore numerico '1979050' trovato nel registro di sistema delle macchine compromesse da Stuxnet è stato interpretato come la possibile data di nascita di uno dei suoi autori: 09/05/1979

E' stato appurato che la data rilevata all'interno del codice di Stuxnet '24/6/12' coincide esattamente con la data del suo decesso.

Page 17: Botnet e nuove forme di malware

...E SUI SISTEMI NON SCADA?

Page 18: Botnet e nuove forme di malware

CYBERWAR

Page 19: Botnet e nuove forme di malware

NUOVE ARMI

Niente missili, né carri armati o aerei da combattimento.

Il codice è l'arma più pericolosa e può essere sfruttato nei più svariati modi.

Page 20: Botnet e nuove forme di malware

LE BOTNET

Noleggio Vendita Utilizzo

DDOS Malware Spam

Furto di Informazioni

Vendita Utilizzo

Page 21: Botnet e nuove forme di malware

17.000$ AL GIORNO

Page 22: Botnet e nuove forme di malware

RECLUTARE ZOMBIE

Violazione e compromissione di siti legittimi;

SQL Injection

Remote File Inclusion (RFI)

Cross Site Scripting (XSS)

Inclusione di codice nei siti compromessi;

Largo uso di exploit per vulnerabilità già note (o 0day).

Esecuzione del malware sulla macchina;

Furto di credenziali (silent mode);

Comunicazione con C&C per il download di nuovi malware o nuovo codice da eseguire.

Page 23: Botnet e nuove forme di malware

RISORSE ONLINE

Page 24: Botnet e nuove forme di malware

Bank of Nikolai

Page 25: Botnet e nuove forme di malware

SPYEYE STORY

La prima versione appare nel 2009

Progettato dai Russi

Un costo di 500$ al mercato nero

Nato per accaparrarsi una fetta del mercato di ZeuS

Prova ne è l'opzione 'Kill Zeus' in fondo al builder

Page 26: Botnet e nuove forme di malware

SPYEYE FEATURES

Formgrabber (Keylogger)

Autofill credit card modules

Daily email backup

Encrypted config file

Ftp protocol grabber

Pop3 grabber

Http basic access authorization grabber

Zeus killer

A differenza di ZeuS, le prime versioni di Spyeye sono troppo rumorose

Il form grabber altro non è che un keylogger

Cattura e comunica al C&C il contenuto di tutti i campi. Non ha un target ben definito.

Non usa una whitelist

Non è stata prevista la funzione di webinject

Page 27: Botnet e nuove forme di malware

L'UNIONE FA LA FORZA

ZeuS + SpyEye Brute force password guessing

Jabber notification

VNC module

Auto-spreading

Auto-update

Unique stub generator for FUD and evasion

New screenshot system

Page 28: Botnet e nuove forme di malware

MALWARE AS A SERVICE

300$ senza modulo VNC

800$ versione completa

Il vero business risiede nel commercio dei moduli

Personalizzabili

Scritti ad hoc

Page 29: Botnet e nuove forme di malware

BILLINGHAMMER MODULE

Il botmaster si procura software freeware, lo rinomina e lo mette in vendita su apposite piattaforme di distribuzione:

ClickBank

FastSpring

Esellerate

SetSystems

Shareit

Dal pannello di controllo SpyEye è possibile gestire dei task automatici

Il botmaster può generare un task che utilizza i numeri di carte di credito rubate in modo che venga eseguita una azione attraverso Internet Explorer e - a intervalli definiti dall'utente - si avvii automaticamente la compilazione dei campi sul sito del negozio online per fare acquisti.

Page 30: Botnet e nuove forme di malware

SPYEYE MONITORING

L'attività di monitoring, durata 3 settimane, è stata effettuata sfruttando il Feed RSS del sito MalwareDomainList.com

Filtrando le entry raccolte da Google Reader il risultato ottenuto è di 476 siti web che in 3 settimane hanno distribuito il malware SpyEye. Una media di 22,6 siti al giorno.

Tra questi, 196 siti oltre a distribuire il malware avevano funzione di C&C

Page 31: Botnet e nuove forme di malware

SPYEYE: C&C IN 10 MINUTI

Gli ingredienti

Piattaforma LAMP (Linux, Apache, MySQL, Php)

Il sorgente Php di SpyeEye C&C

4 STEP

Page 32: Botnet e nuove forme di malware

STEP 1 - DB

All'utente del DB devono essere assegnati tutti i privilegi

Page 33: Botnet e nuove forme di malware

STEP 2 – MAIN / CONFIG.PHP

Page 34: Botnet e nuove forme di malware

STEP 3 – GRAB / CONFIG.PHP

Page 35: Botnet e nuove forme di malware

STEP 4 – IMPORT .SQL FILE

Page 36: Botnet e nuove forme di malware

READY!

Form Grabber Login

Main Login

Page 37: Botnet e nuove forme di malware

MAIN PAGE

Page 38: Botnet e nuove forme di malware

FORM GRABBER

Page 39: Botnet e nuove forme di malware

GET BUILD

Page 40: Botnet e nuove forme di malware

TCP STREAM

All'avvio il malware contatta il C&C

Page 41: Botnet e nuove forme di malware

FORM (LOGIN) GRAB

Page 42: Botnet e nuove forme di malware

DALLA TEORIA ALLA PRATICA

Simulazione di una botnet e compromissione di una macchina Windows XP in ambiente virtuale

Command & Control su Ubuntu server LAMP

Ambiente di cavia: Windows XP SP3 su Virtualbox

Malware Analysis

A Case Study

http://www.securityside.it/docs/malware-analysis.pdf

http://www.securityside.it/docs/malware-analysis.pdf
Page 43: Botnet e nuove forme di malware

DOMANDE?


Advanced Malware Analysis Training Session 3 - Botnet Analysis Part 2

Malware. 2 Inhoud Historisch overzicht Malware Soorten Malware (+ werking) Virus, Worm, Trojan, botnet Andere Terminologie Exploit, Payload, Zero-day

Botnet detection using correlated anomalies · botnet detection we need to get a clear understanding of the behavior of botnet malware on an infected host. Several techniques exists,

Situational Awareness, Botnet and Malware Detection in the Modern Era - Davide Papini - Codemotion Milan 2016

The Malware Ecosystem - STALLION - 23 aastat Küberturbe ... · Malware that scares users into purchasing fake anti- ... largest spamming botnet of 2008, ... hrdogan-ironport.ppt

Cloud-based Android Botnet Malware Detection Systemicact.org/upload/2015/0286/20150286_finalpaper.pdf · based Android botnet malware detection system. ... Flow controlling, ... from

Kuluoz: Malware and botnet analysis · 2. Introduction This report describes a family of malware, spread by spear-Phishing, which is identified by most antivirus vendors as Kuluoz

CS526: Information security · 2020. 9. 13. · Computer Virus ! Botnet ! Rootkit ! Morris Worm 2 Malware . Malware Types ! Concealment: ! Trojan horses, backdoors (trapdoors), logic

A Look at DNS-Changing Malware - Trend Micro...2 Threat Spotlight Malicious Redirection: A Look at DNS-Changing Malware Esthost’s botnet victims were unknowingly redirected to possibly

Malware, botnet y y cibercrimen

Spamhaus Botnet Threat Update€¦ · a dedicated server, for the sole purpose of using it for hosting a botnet C&C. In the second quarter of 2020, Spamhaus Malware Labs identified

Botnet Dection system. Introduction Botnet problem Challenges for botnet detection

BOTNET MALWARE - e.cyberint.com

Introduction to Malware & Botnet...PC-Write Trojan: Malware authors disguised one of the earliest Trojans as a popular shareware program called “PC-Writer.” Once on a system, it

Mobility & Consumerization Le nuove sfide IT...60,000+ per day New unique malware pieces 6,000,000 per month New botnet infections Key Specs: * All functionality, features, specifications

Spamhaus Botnet Threat Report 201 - spamhaustech.com€¦ · Welcome to the Spamhaus Botnet Threat Report 201 . Last year the researchers at Spamhaus Malware Labs detected the highest

Spamhaus Botnet Threat Report 2019 - Amazon Web Services...Malware associated with botnet C&Cs in 2018 5 ... SPAMHAUS BOTNET THREAT REPORT 2019. Welcome to the Spamhaus Botnet Threat

Advanced Malware Analysis Training Session 2 - Botnet Analysis Part 1

FritzFrog – New Fileless P2P Botnet Malware

INCREASING CHANCES OF SURVIVAL FOR MALWARE USING …research.sabanciuniv.edu/24550/1/CanYildizli_410877.pdf · Keywords: Malware, botnet, selfish gene, natural selection Abstract

Project Status Report - NAS Home · 2014-12-18 · malware infections. Enhancements include: - Suspicious IP address that may serve malware or may be part of a botnet are automatically

GNISREVER A POLYMORPHIC FILE-INFECTING RANSOMWARE … 1... · Malware Honeycomb virus POS bot botnet worm ransom ware . 5 trojan script/ macro Virlock virus POS bot botnet worm ransom

20 Malware Botnets - Alan Mislove · 䡦Single UDP packet exploits flaw in the passive analysis of Internet Security Systems products ... “Your Botnet is My Botnet” 45 䡦Takeover

ANALISA NETWORK FORENSICS PADA SERANGAN BOTNET€¦ · Botnet’s attack and payload identification according to Network Forensics Analysis. Keywords: Malware, Botnet, Network Forensics

Botnet and Malware behavior analysis - HITCON and Malware behavior analysis.pdf · Honeynet Project Taiwan Chapter Non-profit (501c3) organization with Board of Directors. Funded

Botnet and Malware behavior analysis - HITCON and Malware behavior analysis.pdfHoneynet Project Taiwan Chapter Non-profit (501c3) organization with Board of Directors. Funded by sponsors

Kuluoz: Malware and botnet analysis - IDCportal.idc.ac.il/en/schools/cs/research/documents/shaked-bar.pdf · Kuluoz – malware and botnet analysis Shaked Bar, IDC, Hertzelia,

Help protect...into a botnet (Trojans, Spyware, Botnet) or any number of other harmful activities. Ransomware: The most dramatic and high-profile strain of malware. The email attachment

BillGates Botnet Malware Used in Large DDoS Attacks | Threat … · 2019-03-04 · decrypted configuration. Upon successful connection, the malware registers itself with the C2 by

Tendencias 2011: las botnet y el malware dinámico (ESET)

The Koobface Botnet and the Rise of Social Malware Kurt Thomas [email protected] David M. Nicol [email protected]

Maritime Systems Security... · • On zombie (compromised) computers • Sophisticated, advanced, persistent malware • Run software autonomously and automatically • Botnet controller

Profiling IoT-based Botnet Traffic using DNS › id › eprint › 135834 › 1 › ... · of the Mirai malware that was firstly observed through the Mirai botnet in October 2016

Modelling the Spread of Botnet Malware in IoT-Based ...downloads.hindawi.com/journals/scn/2019/3745619.pdf · Modelling the Spread of Botnet Malware in IoT-Based Wireless Sensor Networks

BillGates Botnet Malware Used in Large DDoS Attacks | Threat