Сбор цифровых отпечатков. Memory forensics.

Memory Forensics Cheat Sheet v1.2

[Cerber Ransomware] Схема работы / Партнерка

Как монетизируют загрузки:

Схема шифрования:
--------------------------------------------------
После запуска на компьютере пользователя генерируются локальные ключи RSA 576 бит (приватный и публичный).
В дальнейшем эти ключи будут использоваться для шифрования и расшифровки файлов.

Предварительно в релиз зашит глобальный публичный ключ RSA 2048 бит.
Данный ключ используется для шифрования локального приватного ключа RSA 576 бит.

Глобальный приватный ключ RSA 2048 бит находится на .Onion сервере в анонимной сети Tor.

После шифрования локального приватного ключа RSA 576 бит генерируется список файлов для шифрования.
Данный список содержит файлы определенных расширений, список сортируется по времени модификации и важности файлов.

Начинается шифрование файлов.

Каждый файл шифруется с помощью алгоритма RC4 с длиной ключа 128 бит.
Для каждого файла генерируется случайный ключ, который шифруется с помощью локального публичного ключа RSA 576 бит.
Также с помощью локального публичного ключа RSA 576 бит шифруется заголовок исходного файла, что значительно затрудняет расшифровку файлов без дешифратора (месяцы на расшифровку 1-ого файла).

Шифруется не только содержимое файлов, но и их имена.
Меняется время создания и время модификации файлов.

После шифрования всех файлов пользователю показывается инструкция по расшифровке.

Для расшифровки файлов пользователю необходимо скачать "Tor Browser", зайти на специальный .Onion сайт (лэндинг) и следовать инструкциям на этом сайте.

Лэндинг
--------------------------------------------------

DDoS Mitigation Arbor Peakflow SP and Juniper MX [ flowspec / blackhole ]

Добрый день !

Защита од DDoS атак, методом FlowSpec. Настройка связки Arbor Peakflow SP CP (Collector Platform) и маршрутизатора Juniper MX 480, без использования TMS.
Хотел бы немного поделится информацией по поводу тестов и проведенных исследований и общения с крутыми спецами из Arbor Networks, в рамках данной связки.

Немного олдовой картинки :)

Немного подумав, можно преподнести эту связку следующим образом:

Если заглянуть последний WISR (Worldwide Infrastructure Security Report), то можно обнаружить интересную статистику.

А именно:

• 65% всех атак - атаки на переполнение емкости каналов связи. Это различные Amplification - DNS, NTP, SNMP, и т.п.
• остальные 35% приблизительно поровну State-exhaustion (TCP Flood_ы) и Application-layer (HTTP flood_ы, LOIC, HOIC, Slowloris, и т.п.) атаки
• при этом 56% опрошенных нами клиентов видят многовекторные атаки, т.е. практически одномоментный в профиле трафика могут присутствовать все три или любые из двух типов атак. Эта статистика из года в год приблизительно одинакова.

Дело в том, что:

Exploit Pack Table List

https://docs.google.com/spreadsheets/d/1cK7vFVn73NTsoLU487nh-XVSFu7M064RgHeDZB0a2s8/edit?pref=2&pli=1#gid=0

Docker + shipyard [Web iface + Clustering] on Ubuntu 15.10

Установка Docker на Ubuntu 15.10 с надстройкой Shipyard (управление и деплой контейнеров через удобный web интерфейс + подключение других нод (кластеризация) ), построенной на Docker Swarm.

Установка докера:

# apt-get update && apt-get dist-upgrade -y
# apt-get install apt-transport-https ca-certificates

# apt-key adv --keyserver hkp://p80.pool.sks-keyservers.net:80 --recv-keys 58118E89F3A912897C070ADBF76221572C52609D

# nano /etc/apt/sources.list.d/docker.list
deb https://apt.dockerproject.org/repo ubuntu-wily main

# apt-get update

# apt-get purge lxc-docker

# apt-cache policy docker-engine

# apt-get install linux-image-extra-$(uname -r)

# apt-get install docker-engine

# service docker start

# docker run hello-world

Установка Shipyard :

# curl -sSL https://shipyard-project.com/deploy | bash -s

Shipyard available at http://192.168.1.9:8080

Username: admin 

Password: shipyard

Ссылки:

https://github.com/shipyard/shipyard

http://shipyard-project.com/

https://docs.docker.com/engine/installation/linux/ubuntulinux/

WIFI scanner [Vistumbler] windows

A wireless network scanner written in AutoIT for Vista, Windows 7, Windows 8, and Windows 10. VistumblerMDB is the current version of Vistumbler. http://www.vistumbler.net

https://www.youtube.com/watch?v=sHEds4L8U_s

https://github.com/RIEI/Vistumbler

Volatility Memory Forensics Framework + WEB

Volatility Framework является полностью открытым набором инструментов, реализованных на Python под лицензией GNU General Public License, для извлечения цифровых артефактов из энергозависимой памяти (RAM).

http://www.volatilityfoundation.org/#!25/c1f29

https://github.com/JamesHabben/evolve/

https://github.com/volatilityfoundation/volatility

Malware Information Sharing Platform (MISP) on Doker

Original - https://blog.rootshell.be/2016/03/03/running-misp-in-a-docker-container/

MISP (“Malware Information Sharing Platform“) is a free software which was initially created by the Belgian Defence to exchange IOC’s with partners like the NCIRC (NATO). Today it became an independent project and is mainly developed by a group of motivated people. MISP is mainly used by CERT’s (“Computer Emergency Response Team”) but also private companies to exchange thousands on IOC’s on a daily basis.

To build the Docker image:

# git clone https://github.com/xme/misp-docker
# cd misp-docker
# docker build -t misp/misp --build-arg MYSQL_ROOT_PASSWORD=<mysql_root_pw> .
# cat <<__END__ >env.txt
MYSQL_ROOT_PASSWORD=my_strong_root_pw
MYSQL_MISP_PASSWORD=my_strong_misp_pw
__END__
# docker run -d -p 443:443 --env-file=env.txt --restart=always --name misp misp/misp

Once the container booted, there are still some manual operations to perform. Feel free to fine-tune it to your needs if you already know the tool.
Change the ‘baseurl‘ parameter in /var/www/MISP/app/Config/config.php
Reconfigure Postfix to match your SMTP environment

To use MISP, point your browser to https://your-docker-server:443.

The files are available on my github.com repository.

...

...

VMware NSX for vSphere и Nutanix Xtreme Computing Platform (XCP + NSX)

На примере ниже трафик подсистемы хранения передаётся между узлами (хостами) через VLAN 101, а трафик рабочих виртуальных машин, инкапсулированный в VXLAN, передаётся через VLAN 401.

NSX используется как для рабочей нагрузки, так и для Nutanix CVM.

В альтернативном варианте, показанном ниже, к сети NSX подключены как рабочие виртуальные машины, так и Nutanix CVM. Связь между CVM на разных узлах кластера Nutanix обеспечивается по виртуальной сети 5000. Адресация виртуальных адаптеров для управления и VXLAN, в приведённом примере, иллюстрирует ситуацию, когда два узла кластера находятся в разных серверных стойках, разделённых маршрутизатором. Инкапсуляция пакетов в VXLAN позволяет преодолеть это ограничение.

Заключение
Использование VMware NSX с Nutanix даёт системным администраторам возможность построения мощных и гибких решений, свободных от ограничений традиционных физических инфраструктур. Платформа Nutanix Xtreme Computing Platform (XCP) предоставляет вычислительные ресурсы и подсистему хранения, в то время как NSX создаёт виртуальную сетевую инфраструктуру, не привязанную к физическим сетевым компонентам. В Nutanix проверили, что оба эти компонента успешно интегрируются друг с другом в результате чего достигаются все преимущества, предоставляемые программно-определяемым ЦОД, включая логическое разделение инфраструктуры хранения, изоляцию виртуальных сетей, политики безопасности, перемещаемые вместе с виртуальными машинами и автоматизацию рабочих процессов.
Nutanix with VMware NSX позволяет администраторам сфокусироваться на построении масштабируемых приложений, так как вне зависимости от того, где работает виртуальная машина, она всегда будет иметь доступ к необходимым ресурсам. Стабильная и надёжная физическая инфраструктура предоставляет основу для гибкой и удобной виртуальной сети, всегда готовой к расширению при необходимости.

• http://next.nutanix.com/t5/Nutanix-Connect-Blog/VMware-NSX-on-Nutanix-Build-a-Software-Defined-Datacenter/ba-p/7590
• https://habrahabr.ru/company/trinity/blog/278261/