Zaradite velike zarade distribuirajući zlonamjerni softver (ali nemojte)

Vern Paxson, profesor elektrotehnike i računalnih znanosti na Kalifornijskom sveučilištu Berkeley, u sigurnosnoj je zajednici zasnovan na članku iz 2002. pod nazivom Kako posjedovati Internet u svoje slobodno vrijeme (među mnogim drugim podvizima). Temeljem detaljne analize crve Code and Nimda, rad je promovirao potrebu za cyber "Centrom za kontrolu bolesti". Ovih dana Paxson promatra drugačiji način rješavanja sigurnosnih problema velikih razmjera - infiltracije. Njegov glavni govor na 10. međunarodnoj konferenciji o zlonamjernom i neželjenom softveru (ukratko MalCon 2015) impresionirao je mene i polaznike izravnošću ovog pristupa.

Zaradite velike svote u svoje slobodno vrijeme

Želite li zaraditi velike zarade u industriji zlonamjernog softvera? Ne moraš biti koder. Čak i ako imate te vještine, ne morate naučiti sve aspekte stvaranja i distribucije zlonamjernog softvera. U ekosustavu zlonamjernog softvera postoje različiti poslovi.

Ključna figura u ovom ekosustavu je posrednik, tip koji zna posao, ali ne kodira. Ima dvije vrste kupaca. Zlonamjerni koderi imaju jeziv softver koji bi željeli instalirati na mnoga potrošačka računala. To bi mogao biti lažni antivirus, ransomware, botnet komponente, o bilo čemu. Zatim su tu i pridruženi partneri, koderi koji imaju resurse za instaliranje proizvoljnog softvera instaliranog na nezaštićenim sustavima. Koriste tehnike poput preuzimanja zbog pokretanja, neželjene pošte i krađe identiteta da bi preuzimali preuzimanje na žrtve sustavima.

Sada se kotači počinju okretati. Uređaji zlonamjernog softvera ugovaraju plaćanje brokeru za instaliranje koda na što je moguće više sustava. Podružnicama se postavljaju preuzimači na što je moguće više sustava. Učitavatelj kontaktira s brokerom koji opskrbljuje zlonamjerni softver iz kodira, vjerojatno u više slučajeva. Podružnice se plaćaju na temelju broja instalacija. Svi zarađuju u ovom sustavu Pay Per Install (PPI), a ove mreže su ogromne.

"Ovdje ima nekoliko sjaja", rekao je Paxson. "Broker ne radi ništa, ne probija se, ne pronalazi eksploatacije. Broker je samo posrednik, uzima zaradu. Pridružena društva ne moraju pregovarati s negativcima ili znati što učiniti nakon provale. Svi članovi moraju samo dati svoj dio."

Loši dečki imaju lošu sigurnost

"Povijesno je otkrivanje mrežnih napada bila igra bijesa-krtica", primijetio je Paxson. Smanjite jedan napad, iskoči drugi. To nije igra koju možete pobijediti.

Njegov je tim pokušao drugačiji pristup ovom PPI sustavu. Uhvatili su uzorke raznih preuzimača i obrnuli ih kako bi utvrdili na koji način komuniciraju sa svojim brokerima. Naoružani tim informacijama osmislili su sustav kako bi posrednika zamolio sa zahtjevima za preuzimanje zlonamjernog softvera. Paxson ovu tehniku ​​naziva "mužnjom" posrednika zlonamjernog softvera.

"Mislili biste da ovo neće uspjeti", rekao je Paxson. "Sigurno broker ima nekakav sustav provjere autentičnosti ili ograničenje brzine?" No, kako se ispostavilo, nemaju. "Elementi cyber kriminala koji nisu suočeni sa zlonamjernim softverom zaostaju deset godina u vlastitoj sigurnosti, možda petnaest", nastavio je. "Oni su okrenuti kupcima, a ne zlonamjernom softveru." Postoji druga interakcija kojom podružnica potražuje kredit za preuzimanje; Paxsonov tim prirodno je preskočio taj korak.

U pet mjeseci, eksperiment je iz četiri pridružena programa prikupio milijun binarnih datoteka, što predstavlja 9.000 različitih obitelji zlonamjernog softvera. Povezujući to s popisom 20 najčešćih porodica zlonamjernog softvera, tim je utvrdio da bi takva vrsta distribucije mogla biti vektor broj jedan za distribuciju zlonamjernog softvera. "Otkrili smo da su naši uzorci otprilike tjedan dana ispred VirusTotal", rekao je Paxson. "Dobivamo ga svježim. Čim ga brokeri žele izbaciti, dobivamo ga. Jednom kada bude uključen u VirusTotal, nemojte ga gurnuti."

U što se drugo možemo infiltrirati?

Paxsonov tim također je preuzeo web stranice koje prodaju radne račune za različite usluge. Napomenuo je da su računi potpuno valjani, a ne baš protuzakoniti, jer je "njihov jedini prekršaj kršenje Uvjeta pružanja usluge". Facebook i Google koštaju najviše po tisuću, jer zahtijevaju telefonsku provjeru. Twitter računi nisu toliko skupi.

Uz odobrenje Twittera, istraživačka skupina kupila je veliku zbirku lažnih računa. Analizom računa, uključujući metapodatke dostavljene od strane Twittera, razvili su algoritam za otkrivanje računa kreiranih istom tehnikom automatizirane registracije, s točnošću od 99.462%. Pomoću ovog algoritma Twitter je srušio te račune; sljedećeg dana web stranice za prodaju računa morale su objaviti da nemaju na skladištu. "Bilo bi bolje ukinuti račune prilikom prve upotrebe", primijetio je Paxson. "To bi stvorilo zbrku i zapravo potkopalo ekosustav."

Sigurno ste dobili neželjenu poštu koja vam nudi muške dodatke za performanse, „prave“ Rolexe i slične. Zajedničko im je što oni zapravo moraju prihvatiti plaćanje i poslati vam proizvod. Postoje mnoštvo veza koje uključuju ulaganje neželjene pošte u pristiglu poštu, rukovanje kupnjom i donošenje proizvoda vama. Kupovinom nekih pravnih predmeta ustanovili su da je slaba veza ovog sustava uklanjanje transakcija s kreditnom karticom. "Umjesto da pokušavamo poremetiti botnet koji izbija neželjenu poštu", rekao je Paxson, "učinili smo ga ne korisnim." Kako? Uvjerili su davatelja kreditnih kartica na crnu listu tri banke, u Azerbejdžanu, Latviji, St. Kittsu i Nevisu.

Pa što je onda uzimanje? "S stvarno velikim internetskim napadom, " rekao je Paxson, "ne postoji jednostavan način za sprečavanje infiltracije. Infiltracija je značajno učinkovitija od pokušaja zaštite svake krajnje točke."

MalCon je vrlo mala konferencija o sigurnosti, koja broji oko 50 sudionika, koja okuplja znanstvenike, industriju, tisak i vladu. Podržali su ga, između ostalih, Sveučilište Brandeis i Institut inženjera elektrotehnike i elektronike (IEEE). Ovogodišnji sponzori uključuju Microsoft i Secudit. Vidio sam kako se nekoliko radova kasnije s MalCon-a pojavljuju na zrelijim istraživanjima na konferenciji Black Hat pa pomno pazim na ono što je ovdje predstavljeno.