LIMB
Не удалось прогрузить медиа
- Мы разработали три метода для выявления скрытых веб-сайтов операторов программ-вымогателей, размещенных на публичных IP-адресах, что позволяет нам раскрывать ранее неизвестную инфраструктуру группировок программ-вымогателей DarkAngels, Snatch, Quantum и Nokoyawa.
- Методы, которые мы использовали для идентификации общедоступных IP-адресов в Интернете, включали сопоставление серийных номеров сертификатов TLS и элементов страниц злоумышленников с индексированными в общедоступном Интернете, а также использование недостатков безопасности операторов программ-вымогателей.
- Деанонимизируя инфраструктуру даркнета, используемую злоумышленниками-вымогателями, мы можем позволить провайдерам хостинга сократить незаконную активность в своих сетях, улучшить отслеживание злоумышленников, помочь в возможных расследованиях правоохранительных органов и/или замедлить работу программ-вымогателей по мере внесения ими изменений в свою деятельность.
Ландшафт инфраструктуры программ-вымогателей
Операторы программ-вымогателей обычно ограничивают свою деятельность темной паутиной, чтобы скрыть свою незаконную деятельность. Их общедоступные сайты утечек и порталы для общения с жертвами доступны только в сети The Onion Router (TOR) по определенному URL-адресу, который доступен только через прямое раскрытие. Это ограничивает доступ для других операторов, жертв и исследователей безопасности, которые отслеживают и обнаруживают такие сайты. Сеть TOR обеспечивает разумное прикрытие анонимности при правильном использовании, но когда субъект угрозы допускает ошибки в конфигурации, его деятельность становится публичной и может привлечь внимание исследователей безопасности или правоохранительных органов. Операторы программ-вымогателей стремятся избежать такого рода внимания любой ценой и приложат все усилия, чтобы гарантировать, что их операции остаются анонимными.В нескольких случаях мы выявили публичные IP-адреса, на которых размещена та же инфраструктура субъектов угроз, что и в даркнете, что делает их сайты утечек и другие компоненты инфраструктуры доступными для любого пользователя в публичном Интернете. Удалив анонимную сеть, которую предоставляет TOR, хостинг-провайдеры могут принять меры против этой потенциально незаконной деятельности, происходящей в их сетях, и мы можем наблюдать изменения в поведении субъектов угроз после их обнаружения.
Поскольку эти скрытые сервисы TOR напрямую не индексируются поисковыми системами, мы использовали несколько методов для раскрытия инфраструктур прозрачной сети злоумышленников. Один из подходов заключается в идентификации самоподписанных сертификатов TLS и определенных значков — известных как фавиконы — связанных с их темными веб-сайтами, и индексации прозрачной сети, чтобы увидеть, используются ли они в общедоступном Интернете. Мы также обнаружили случаи, когда злоумышленники непреднамеренно раскрывали конфиденциальные идентификационные данные сервера, что позволило нам получить список конкретных мест входа, которые злоумышленники использовали для администрирования своих серверов-вымогателей.
Используя эти методы, нам удалось раскрыть четкую веб-инфраструктуру, используемую группами вирусов-вымогателей DarkAngels, Snatch, Quantum и Nokoyawa.
Метод 1: Сопоставление сертификата TLS
Часто мы можем деанонимизировать группы программ-вымогателей с помощью сопоставления сертификатов TLS. При таком подходе мы идентифицируем самоподписанные сертификаты TLS участников, связанные с их темными веб-сайтами, и индексируем чистый веб, чтобы увидеть, используются ли они в общедоступном Интернете.Обычно сайты с программами-вымогателями не используют SSL/TLS, поскольку они должны включать сертификат от выдавшего их центра сертификации, а сертификаты могут использоваться в качестве идентификационных маркеров. Сертификат SSL/TLS содержит идентификационную информацию, такую как уникальный серийный номер и информацию о криптографическом ключе, которую затем можно отследить при повторном использовании на других веб-ресурсах. Важным принципом работы в даркнете является сохранение анонимности, поэтому сертификаты, подтверждающие личность, могут фактически помочь определить оператора, стоящего за веб-сайтом. Возможно, группа программ-вымогателей использует сайт SSL/TLS в даркнете, чтобы создать у своих жертв впечатление, что они работают в безопасной среде, и создать ощущение легитимности своей деятельности.
DarkAngels
Мы успешно применили этот метод к Dark Angels, группе вымогателей, которая, как сообщается, является ребрендингом группы вымогателей Babuk. Они действуют примерно так же, как и другие группы, в том смысле, что создали блог-сайт в качестве скрытого сервиса TOR с таймером обратного отсчета до публикации данных жертвы, а также ссылки, по которым жертвы могут войти в чат с филиалами DarkAngels для обсуждения переговоров о выплате выкупа.Не удалось прогрузить медиа
Не удалось прогрузить медиа
Веб-сканеры
Веб-сканеры, такие как Shodan, предоставляют мощный метод индексации публичного интернета. Они предоставляют множество информации о хост-компьютерах, на которых запущены интернет-сервисы. Одна из услуг, предоставляемых Shodan, — каталогизация информации о сертификатах TLS. Используя индекс Shodan, мы обнаруживаем, что тот же сертификат, который создали для себя актеры DarkAngels, также используется хостом в Сингапуре с IP-адресом 89.38.225[.]166. Согласно whois.ripe.net, этот хост принадлежит M247 LTD Singapore (AS9009).Не удалось прогрузить медиа
Shodan каталогизирует дополнительную информацию об этом хосте:
Не удалось прогрузить медиа
Деанонимизация
Когда мы заходим на этот хост в публичном Интернете, мы обнаруживаем, что там размещена та же информация, доступная для всеобщего обозрения.Не удалось прогрузить медиа
И мы можем проверить, что серийный номер сертификата TLS совпадает с номером, используемым для сайта, размещенного на скрытых сервисах TOR.
Не удалось прогрузить медиа
Группа DarkAngels использует страницу TLS для размещения своей страницы взаимодействия с жертвами на скрытых сервисах TOR и в открытом Интернете, что мы можем отнести к конкретному хостинг-провайдеру.
Следующие домены были указаны в качестве записей A в записях системы доменных имен (DNS) с 89.38.225[.]166 с 2021 года:
- login.myob[.]link
- myob[.]live
- www.myob[.]live
- Login.myob[.]live
Эти домены были зарегистрированы с использованием прокси-сервиса регистрации конфиденциальных доменов злоумышленником-вымогателем, предположительно для сохранения анонимности операций. По состоянию на 11 мая 2022 года login.myob[.]link по-прежнему разрешается в IP-адрес, который DarkAngels использует для размещения своей инфраструктуры.
Не удалось прогрузить медиа
Раскрыты приватные ключи и порталы входа
Также, похоже, есть общедоступный файл .env, в котором подробно описывается информация о строке подключения для баз данных, вероятно, тот, который содержит все журналы чатов, и он раскрывает ключ APP_SECRET. В этом случае, похоже, что участники используют Symfony, фреймворк для создания веб-приложений.Не удалось прогрузить медиа
Похоже, что также имеется портал входа в службу, работающую на сайте:
Не удалось прогрузить медиа
Snatch-вымогатель
Группа вымогателей Snatch также использует скрытый сервис TOR в сочетании с сертификатом SSL/TLS, который размещает их статьи и утечки данных. Однако в этом случае они размещают на своей главной странице четкую веб-ссылку, которая указывает на snatch[.]press.Не удалось прогрузить медиа
Мы хотели бы точно определить, какой хостинг-провайдер Snatch использует для своей инфраструктуры для борьбы с вирусами-вымогателями, но, согласно телеметрическим данным, полученным от Cisco Umbrella, URI snatch[.]press часто меняется, почти ежедневно:
Не удалось прогрузить медиа
Не удалось прогрузить медиа
И если указать в нашем веб-браузере веб-страницу, размещенную по этому IP-адресу, мы увидим ответ об ошибке соединения:
Не удалось прогрузить медиа
Используя тот же метод сопоставления сертификатов, мы видим, что серийный номер сертификата, размещенный по адресу hxxps://snatch[.]press, связан с двумя другими IP-адресами, один из которых является адресом, на котором фактически размещена страница:
Не удалось прогрузить медиа
Два IP-адреса, на которых размещен этот сертификат TLS, принадлежат шведскому хостинг-провайдеру. Посещение IP-адреса, на котором размещена страница, подтверждает местоположение:
Не удалось прогрузить медиа
Метод 2: Сопоставление фавиконов
Другой метод, который мы использовали для обнаружения темных веб-сайтов в чистом Интернете, — это процесс, который мы называем «сопоставлением фавиконок». Фавиконка — это значок, связанный с URL-адресом, который отображается в адресной строке браузера или рядом с именем сайта в списке закладок. Они служат визуальным значком брендинга для веб-свойств. Подобно сопоставлению сертификатов TLS, мы можем индексировать публичный Интернет, чтобы увидеть, появляются ли определенные фавиконы в темной сети также и в чистой сети. Эти файлы обычно хранятся в публичных каталогах с использованием общей номенклатуры, что делает их обнаружение тривиальным. Опять же, веб-сканер Shodan индексирует эти файлы favicon.ico, когда он сканирует публичную сеть.Банда квантовых вымогателей
Банда вымогателей Quantum — это пример того, как мы можем использовать технику сопоставления фавиконок, чтобы обнаружить их инфраструктуру даркнета, размещенную в публичном интернете. Quantum в последнее время попали в новости из-за своих высокоскоростных кампаний по вымогательству, но они не застрахованы от сбоев базовой операционной безопасности (OPSEC). Как и каждая группа вымогателей, Quantum ведет скрытый сервисный блог в TOR, в котором они публикуют украденные данные жертв.Не удалось прогрузить медиа
Деанонимизация
Скрытый сервис блога Quantum в сети TOR содержит файл favicon, хранящийся в корневом каталоге веб-сайта как favicon.ico, и мы можем получить этот файл и вычислить для него хэш-значение. К счастью для нас, Shodan хранит индекс этих хэшей файлов favicon, по которым мы можем осуществлять поиск.Не удалось прогрузить медиа
В этом случае мы можем видеть только один другой сайт, использующий этот конкретный файл favicon. После того, как мы получили чистый веб-IP-адрес 185.38.185[.]32 (часть AS60781 в Нидерландах), мы можем посетить сайт, чтобы убедиться, что он размещает тот же контент:
Не удалось прогрузить медиа
Ассоциированные домены:
Обратный DNS-поиск этого IP-адреса показывает некоторые недавние известные домены, указывающие на этот IP-адрес, а также множество динамических DNS-поддоменов:- quantumleap[.]quest
- iwasruninhome[.]site
- qxv.staceyvicari[.]com
- mtr.ddns[.]mobi
- Ugroza.123ddns[.]com
Метод 3: Катастрофические сбои OPSEC
Операторы программ-вымогателей иногда допускают катастрофические ошибки безопасности, которые приводят к полному удалению их анонимности. Следующий пример показывает, как оператор программ-вымогателей не устанавливает надлежащие разрешения для файлов и создает вопиющую уязвимость обхода каталогов, что позволяет нам точно определить местоположение администратора программ-вымогателей.Нокоява
Nokoyawa — это новая группа программ-вымогателей, которая имеет много общего с программой-вымогателем Karma. Как и большинство групп программ-вымогателей, после взлома сети и шифрования ее содержимого они оставляют системным администраторам записку с требованием выкупа, содержащую веб-адрес скрытого сервиса TOR, а затем жертва может обратиться в чат к партнерам программы-вымогателя, чтобы попытаться договориться о ключе дешифрования. Веб-адрес скрытого сервиса также содержит идентификатор, который, предположительно, уникален для каждой компании, которую они атакуют:hxxp://lirncvjfmdhv6samxvvlohfqx7jklfxoxj7xn3fh7qeabs3taemdsdqd[.]onion/pay?id=qruytnwpfyfjozignatcmtblnhtcqgaaНе удалось прогрузить медиа
Окно чата содержит метод, с помощью которого жертва может загрузить свои зашифрованные файлы, а оператор программы-вымогателя расшифрует один или два файла в качестве доказательства концепции, чтобы показать им, что их метод расшифровки работает. Однако в этом случае партнер(ы) программы-вымогателя, создавшие веб-портал, допустили катастрофические ошибки безопасности, которые раскрыли их прикрытие.
Обход каталогов: Веселитесь, как в 1999 году!
Если мы проверим URL-адрес общих файлов, то увидим, что ссылка содержит несколько параметров HTTP:Если мы изменим параметр file=, мы сможем проверить обход каталога:download?id=qruytnwpfyfjozignatcmtblnhtcqgaa&file=gbrberodgkmsqplz.NOKOYAWA&type=download_upload
download?id=qruytnwpfyfjozignatcmtblnhtcqgaa&file=../../../../etc/passwd&type=download_upload
Деанонимизация
Эта команда сообщает веб-серверу, что нужно пройти мимо корневого веб-каталога и извлечь системный файл /etc/passwd. Обычно этот конфиденциальный файл защищен настройками разрешений пользователя и списками контроля доступа, но поскольку оператор программы-вымогателя допустил любительскую ошибку в безопасности данных при настройке веб-сервера, это на самом деле срабатывает. Хуже того, файлы, которые обычно доступны только пользователю root системы, также доступны через этот метод обхода каталога, что означает, что веб-сервер, возможно, работает как пользователь root, а не как выделенная учетная запись пользователя веб-сервера. Деанонимизация в таком случае так же проста, как извлечение /var/log/auth.log* и поиск успешных подключений удаленного входа:Не удалось прогрузить медиа
Успешная попытка входа через Secure Shell (SSH) означает, что у пользователя этого хоста есть действительные учетные данные для администрирования веб-сервера ransomware. Мы видим успешные входы пользователя root с двух IP-адресов:
- 5.230.29[.]12
- 176.119.0[.]195
Портал входа администратора
Мы также видим, что для этого веб-сервера имеется панель входа администратора, поэтому внешний злоумышленник может посредством раскрытия учетных данных получить контроль над инфраструктурой программы-вымогателя после успешного входа в систему.Не удалось прогрузить медиа
Заключение
Используя различные продемонстрированные нами методы, мы видим, что операторы программ-вымогателей принимают множество мер предосторожности, чтобы скрыть свою истинную личность в сети, а также местоположение хостинга инфраструктуры их веб-серверов. Они используют сеть TOR для обеспечения уровня анонимности для своих веб-серверов. Они используют службы регистрации прокси-серверов DNS, чтобы не допустить попадания своих имен в доменные имена, которые они регистрируют. По нашему опыту мы обнаружили, что большинство операторов программ-вымогателей используют хостинг-провайдеров за пределами своей страны происхождения (например, Швеции, Германии и Сингапура) для размещения своих сайтов операций с программами-вымогателями. Они используют точки перехода VPS в качестве прокси-сервера, чтобы скрыть свое истинное местоположение при подключении к своей веб-инфраструктуре программ-вымогателей для задач удаленного администрирования. Раскрывая некоторые из этих методов, мы можем получить знания об инструментах и процедурах, которые эти группы используют для сокрытия своей истинной личности, а также лучше понять, как эти группы действуют.
👍60
😁17
👏12
🤔8