Sitelerin Analizi

Sitelerin Analizi

Black Hat 2017'den canlı yayın

Virsec'in Bugün Siber Tehditlere Karşı Farklı ve Etkili Yaklaşımı

SecurityGuyTV, 26 Temmuz 2017

Bu günlerde meydana gelen siber saldırılar her zamankinden daha da farklı bir düzlemdedir. Fakat büyük oranda, savunma araçlarımızın cephaneliği, bugüne kadarki günlerde hala çalışıyor.

Bugünün siber tehditlerinin doğasında neler değişiyor?

Hackerlar, kurbanının sistemine bir virüs veya kötü amaçlı yazılım dosyası yerleştirmediği için isimsiz olarak adlandırılan şeyleri kullanarak blog artıyor. Bunun yerine saldırılarını bilgisayarın RAM belleğinden başlatıyorlar. Bu, anti-virüs imza tabanlı çözümlerin bu saldırıları durdurması için neredeyse imkânsız (neredeyse imkansız) hale geliyor; çünkü aramak için bile bilinen bir imza mevcut değil. Genellikle bu saldırılar sıfır günlük bir saldırıdır ve maviden çıkar.

Willy Leichter'ın SecurityGuy TV ile yaptığı röportajı BlackHat 2017'den canlı olarak dinleyin. Vireless'in belirsiz yaklaşımını tanımlıyor; bu, dosyasız, bellek tabanlı saldırılara karşı oldukça etkilidir ve neredeyse sıfır yanlış pozitif oranı vardır. Çözümün Google haritası benzetmesi kullanarak nasıl çalıştığını açıklıyor. Virsec'in verimli süreci bir saldırıyı bilinmeden veya hatta kimliği veya adı olduğu halde yakalamak için ve sisteminize zarar vermeden önce yakalamak için tasarlanmıştır.

Willy geceyi neyin önünde tuttuğu sorulduğunda, SecurityGuy TV'ye şunları söyledi: "Bilgisayar korsanlarının arkasındaki para, nitelik ve organize suç miktarı kesinlikle korkutucu. Bu, bir bodrum katında bir bilgisayar korsanına karşı savaşmayacak kadar yetenekli bir savaş. Güvenlik tarafındaki herkes oyunu bitirmek zorunda. Hepimiz ön safta bulunuyoruz. Bu bizi meşgul ediyor. "

Virsec Hack Analizi: Industroyer'e Derin Dalış (Crash Override)

Haziran başında, ESET ve Dragos'daki güvenlik araştırmacıları şimdi Industroyer veya Crash Override olarak bilinen zararlı yazılımın detaylı bir analizini yayınladılar. Analizleri, zararlı yazılımın, normal çalışırken elektrik ızgarası bileşenlerindeki yükü ölçtüğü ve şarjın tehlike arz eden yüksek seviyelere ulaşması durumunda devre kesicileri açan Siemens Spirotec Dijital Rölesini hedef aldığını ortaya koydu. Siemens Haziran 2015'te bu röle için bir bellenim güncellemesi yayınlamış olmasına rağmen birçok endüstriyel kontrol sistemi belki iş kesintilerini önlemek için sistemlerini savunmasız bırakarak yamayı uygulamıyordu.

Industroyer bu savunmasız Siemens rölelerini birkaç kötü amaçlı yük ile hedef alıyor. Bir senaryoda, röle, elektrik kesintisine neden olacak bir çevrimdışı moda sokulabilir. Başka bir senaryoda, röle sürekli olarak açık tutulabilir ve güç üretimi ve dağıtım ekipmanlarının aşırı ısınmasına ve kalıcı hasarlara neden olabilir. Saldırı tamamlandıktan sonra, Industroyer'deki diğer işlemler, a) virüs bulaşmış makinenin diskindeki çok sayıda kritik dosyanın içeriğini kötü amaçlı olarak üzerine yazması ve (b) kayıt defterindeki "ImagePath" ayarlarını değiştirerek, ayak izlerini siler. her Windows Hizmeti sistemin tamamen açılmasını önler.

Bu zararlı yazılımın erken bir sürümü Ukrenergo, Ukrayna'daki elektrik hattını kapatmak için Aralık 2016'da test edildi. Kötü amaçlı yazılımın görünürde hava boşluğu bulunan bir güç şebekesine nasıl dönüştürüldüğü kesin olarak bilinmemekle birlikte, ilk saldırı vektörünün kötü niyetli bir içeriden ya da bir kimlik avı saldırısı ya da bir by-download ile hedeflenen bir çalışan olabileceğinden şüphelenilmektedir.

Bu zararlı yazılımın en çok endişe verici yönleri, yazarların endüstriyel kontrol sistemlerinin tasarımında uzmanlaşmış olması ve talep üzerine takas edilebilir bileşenler içeren bir siber saldırı çerçevesi oluşturması ve saldırıyı farklı ülkeler ve kurulumlar için özelleştirmelerine olanak sağlamasıdır. Bu, dünya genelindeki endüstriyel kontrollerin siber güvenliği için gerçek anlamda bir boş zaman.

Sanayi, Industroyer Malware Saldırılarına Karşı Önerilen Savunma

Endüstriyel Kontrol Sistemi Operatörleri, kendilerini aşağıdaki yöntemleri kullanarak koruyabilir:

Yedeklemeler: Proje mantığı, yapılandırma dosyaları ve uygulama yükleyicileri de dahil olmak üzere önemli verilerin günlük yedeklerini gerçekleştirir

Düzeltme: Düzeltme eklerini zamanında dağıtma

En İyi Uygulamalar: Ayrıntılı olay yanıt planlarını geliştirin

Ancak araştırmacılar, konvansiyonel, pasif savunma mekanizmalarının bu yeni nesil saldırılarla yüzleşmek için yeterli olmadığını kaydetti.

Industroyer Malware Analizinin Öne Çıkanlar:

ESET ve Dragos tarafından yapılan zararlı yazılım analizi aşağıdaki blok diyagramında gösterilmektedir:

Ana Arka Kapı: HTTPS protokolünü kullanarak kötü aktör tarafından kontrol edilen Komuta Kontrol Merkezi'ne (C & C) bağlanır. Ana Backdoor, süreçleri ve kabuk komutlarını yürütebilir, C & C Sunucusuna bağlanabilir, Windows Hizmetini başlatabilir veya durdurabilir, kayıt defteri anahtarlarını değiştirebilir vs. Saldırgan yönetici kimlik bilgilerini aldığında, bu arka kapı Windows Hizmetine dönüştürülebilir.