История взлома [Hacking Team]

"Хакер, называющий себя Финиас Фишер (Phineas Fisher), обнародовал на PasteBin длинный и подробный рассказ о том, как летом 2015 года ему в одиночку удалось взломать известного поставщика шпионского ПО — компанию Hacking Team."

Разбор взлома: https://xakep.ru/2016/04/18/hacking-team-hack/

Реакция HT: https://xakep.ru/2016/04/20/hacking-team-letter/

                _   _            _      ____             _    _ 
               | | | | __ _  ___| | __ | __ )  __ _  ___| | _| |
               | |_| |/ _` |/ __| |/ / |  _ \ / _` |/ __| |/ / |
               |  _  | (_| | (__|   <  | |_) | (_| | (__|   <|_|
               |_| |_|\__,_|\___|_|\_\ |____/ \__,_|\___|_|\_(_)
                                                 
                                  A DIY Guide

Ransomware [Database]

"База данных" известных криптолокеров, а так же помощь в расшифровке файлов.

docs.google.com

названия --- расширения --- паттерны --- декрипторы

"Инструменты" виртуализации. Полезные инструменты. [заметка]

Управление виртуализацией

• Migrate: инструмент для миграции в виртуальную среду
• OpenFiler: создание сетевого файлового хранилища с управлением через веб-интерфейс
• StarWind Virtual SAN: виртуализированное хранилище, ориентированное на работу с гипервизорами
• vCenter Converter: позволяет конвертировать физическую машину под Windows и Linux в виртуальную
• RV Tools: приложение, использующее ВИ SDK для отображения информации о виртуальных машинах и ESX-хостах
• Citrix Essentials: управление хост-серверами XenServer и Hyper-V для обеспечения виртуализации корпоративного уровня
• Veeam Backup and Replication: восстановление виртуализированных приложений и данных платформ vSphere и Hyper-V
• vSphere Mobile Watchlist: позволяет мониторить виртуальную инфраструктуру удаленно с помощью смартфона
• ESX Deployment Appliance: упрощает развертку ESX-серверов
• Ganeti: система управления кластером виртуализации от компании Google
• oVirt: платформа виртуализации с простым веб-интерфейсом
• Packer: инструмент для сборки образов
• Xen: монитор виртуальных машин или гипервизор с поддержкой паравиртуализации для процессоров архитектуры x86
• CloudStack: позволяет автоматизировать развертывание, настройку и поддержание виртуальной инфраструктуры
• Vagrant: консольная утилита для создания и конфигурирования виртуальной среды разработки
• VirtualBox: легкий и надежный инструмент виртуализации
• FusionSphere: платформа виртуализации от Huawei

Бот Gozi ISFB (a.k.a Ursnif)

ISFB - программа-бот предназначенная для анализа и модификации HTTP траффика на компьютере клиента. 

• Поддерживает все 32х и 64х битные Windows, начиная с Windows XP. 
• Поддерживает все 32х и 64х битные версии Internet Explorer, начиная с 6.0. 
• Поддерживает все 32х и 64х битные версии Mozilla Firefox. 
• Поддерживает все 32х битные версии Google Chrome. 

Программа способна устанавливаться и работать без привелегий администратора.
Обрабатывает весь HTTP траффик браузера в том числе и шифрованый HTTPS.
Бот управляется с удаленного сервера, с помощью файлов конфигурации и команд.
Файлы конфигурации и команд подписываются посредством RSA. При получении файлов, бот проверяет цифровую подпись, и, в случае несоответвия подписи, файл игнорируется.

https://habrahabr.ru/company/eset/blog/281787/

https://habrahabr.ru/company/group-ib/blog/250627/

https://github.com/gbrindisi/malware/tree/master/windows/gozi-isfb

https://github.com/defure/ISFB

https://mega.nz/#!oIEjmDYI!7UF6Zc8km3yNZtWBtu-Jr1R7PWVNdLYB_YdFP8vTKm8

Графический интерфейс для volatility [GUI for Volatility Framework]

Недавно обновился VolUtility -  web-бейс интерфейс для известного инструмента форенсики.

https://techanarchy.net/2016/04/volutility-a-web-front-end-for-the-volatility-framework/

 

После установки Centos7 на варю, использовал скрипт с гита разработчика, который позволяет автоматизировать установку. (VolUtility + Volatility Framework)
https://raw.githubusercontent.com/kevthehermit/VolUtility/master/centos_7_bootstrap.sh

Стартуем:
cd /opt/tools/VolUtility/
./manage.py runserver 0.0.0.0:8000

Очень приятный ифейс, для выполнение рутинных задач. Полный гайд по нему, есть по ссылке выше(видео)

После загрузки слепка памяти(в моем случае это седьмая форточка) для анализа:

Генерация дерева процессов:

Выгрузка артефактов и т.п.

Скрипт установки Splunk

Для автоматического развертывания мониторинга логов в реальном времени. Отладка.

Скрипт взят из репозитория:

https://raw.githubusercontent.com/StackGeek/openstackgeek/master/icehouse/openstack_splunk.sh

Развертывание Openstack скрипты:

https://github.com/StackGeek/openstackgeek

Обзор, настройка и тестирование Fireeye HX [Configure Fireeye HX +CM+NX] Часть1

Решение Fireeye HX позволяет отслеживать вредоносную активность на рабочей станции, для более оперативного реагирование на инциденты информационной безопасности, расследование инцидентов (forensic, слепки памяти и т.п.) и изоляцией зараженной станции, для предотвращения распространения инфекции далее по сети.

Недавно HX попал в нашу лабораторию и я сделал базовые настройки и протестировал отработку связки - CM + NX + HX. 

CM - платформа "центрального менеджмента" для остальных устройств, служит так же для обмена индикаторами компрометации (IOC) между всеми устройствами.

NX - предназначен для анализа проходящего через него трафика, на наличие вредоносного кода или аномальной активности.

HX - было упомянуто в самом начале :) 

Топологию можно найти в других постах, просто к ней добавилось устройство HX, которое было подключено к CM :
Базовая настройка Fireeye NX EX FX CM basic config

http://devnulls.blogspot.com/2015/04/fireeye-nx-ex-fx-cm-basic-config.html
Тестирование Fireeye EX в режиме MTA + URL Dynamic Analysis / Test Fireeye EX MTA + URLDA

http://devnulls.blogspot.com/2015/05/fireeye-ex-mta-url-dynamic-analysis.html
BCC. Postfix / MS Exchange + Fireeye EX

http://devnulls.blogspot.com/2015/07/bcc-postfix.html
Настройка и тестирование Fireeye EX в режиме MTA / Fireeye EX MTA config

http://devnulls.blogspot.com/2015/05/fireeye-ex-mta-fireeye-ex-mta-config.html

Красивый мониторинг сервака [netdata] (Real Time Performance Monitoring)

Дебиан-лайк:

apt-get install zlib1g-dev gcc make git autoconf autogen automake pkg-config

Для цента тоже самое, проблемы только с zlib1g-dev.

yum install zlib-devel ghc-zlib-devel zlib-static gcc make git autoconf autogen automake pkg-config

git clone https://github.com/firehol/netdata.git --depth=1

cd netdata

./netdata-installer.sh

https://github.com/firehol/netdata

Сбор цифровых отпечатков. Memory forensics.

Memory Forensics Cheat Sheet v1.2

[Cerber Ransomware] Схема работы / Партнерка

Как монетизируют загрузки:

Схема шифрования:
--------------------------------------------------
После запуска на компьютере пользователя генерируются локальные ключи RSA 576 бит (приватный и публичный).
В дальнейшем эти ключи будут использоваться для шифрования и расшифровки файлов.

Предварительно в релиз зашит глобальный публичный ключ RSA 2048 бит.
Данный ключ используется для шифрования локального приватного ключа RSA 576 бит.

Глобальный приватный ключ RSA 2048 бит находится на .Onion сервере в анонимной сети Tor.

После шифрования локального приватного ключа RSA 576 бит генерируется список файлов для шифрования.
Данный список содержит файлы определенных расширений, список сортируется по времени модификации и важности файлов.

Начинается шифрование файлов.

Каждый файл шифруется с помощью алгоритма RC4 с длиной ключа 128 бит.
Для каждого файла генерируется случайный ключ, который шифруется с помощью локального публичного ключа RSA 576 бит.
Также с помощью локального публичного ключа RSA 576 бит шифруется заголовок исходного файла, что значительно затрудняет расшифровку файлов без дешифратора (месяцы на расшифровку 1-ого файла).

Шифруется не только содержимое файлов, но и их имена.
Меняется время создания и время модификации файлов.

После шифрования всех файлов пользователю показывается инструкция по расшифровке.

Для расшифровки файлов пользователю необходимо скачать "Tor Browser", зайти на специальный .Onion сайт (лэндинг) и следовать инструкциям на этом сайте.

Лэндинг
--------------------------------------------------