Veliko zaslužite za distribucijo zlonamerne programske opreme (vendar ne)

Vern Paxson, profesor za elektrotehniko in računalniške vede na kalifornijski univerzi v Berkeleyju, je v varnostni skupnosti zaslovel s člankom iz leta 2002 z naslovom Kako lastiti internet v prostem času (med številnimi drugimi podvigi). Na podlagi podrobne analize črvov Code Red in Nimda je prispevek spodbujal potrebo po kibernetskem "centru za nadzor bolezni". Te dni Paxson gleda na drugačen način za reševanje večjih varnostnih težav - infiltracijo. Njegov glavni govornik na 10. mednarodni konferenci o zlonamerni in nezaželeni programski opremi (na kratko MalCon 2015) je mene in udeležence navdušil nad naravnost tega pristopa.

V prostem času zaslužite velike zneske

Želite zaslužiti velik donos v industriji zlonamerne programske opreme? Ni vam treba biti koder. Tudi če imate te veščine, se vam ni treba učiti vseh vidikov ustvarjanja in distribucije zlonamerne programske opreme. V ekosistemu zlonamerne programske opreme obstajajo različna delovna mesta.

Ključna figura v tem ekosistemu je posrednik, fant, ki zna poslovati, ne pa kodirati. Ima dve vrsti strank. Kodirniki zlonamerne programske opreme imajo grdo programsko opremo, ki bi jo radi namestili na številnih potrošniških računalnikih. Lahko bi bili ponarejeni protivirusni, odkupni programi, bonetne komponente, skoraj vse. Potem so tu še podružnice, kodirniki, ki imajo sredstva za namestitev poljubne programske opreme v nezaščitene sisteme. Za nalaganje prenosnika v sisteme žrtev uporabljajo tehnike, kot so prenašanje datotek, nezaželena pošta in lažno predstavljanje.

Zdaj se kolesa začnejo vrteti. Kodirniki zlonamerne programske opreme sklenejo pogodbo o plačilu posrednika za namestitev kode v čim več sistemih. Podružnice dobijo prenosnike, nameščene v čim več sistemih. Naložnik stopi v stik s posrednikom, ki dobavlja zlonamerno programsko opremo iz kodrov, verjetno več primerov. Podružnice se plačajo glede na število namestitev. V tem sistemu Pay Per Install (PPI) plačujejo vsi dolarji in teh omrežij je ogromno.

"Tu je nekaj briljantnosti, " je dejal Paxson. "Posrednik ne naredi ničesar, se ne vdre, ne izkoristi podvigov. Posrednik je le posrednik, ki jemlje dobiček. Podružnicam se ni treba pogajati z negativci ali vedeti, kaj storiti po vdoru. Vsi člani morajo samo opraviti svoje delo."

Slabi fantje imajo slabo varnost

"Zgodovinsko gledano je bilo odkrivanje napadov v omrežju igra puhlih molov, " je opozoril Paxson. Zaniši en napad, pokaže se drugi. To ni igra, ki jo lahko zmagate.

Njegova ekipa je poskusila drugačen pristop proti temu sistemu PPI. Zajeli so vzorce različnih prenašalcev in jih vzpostavili, da bi ugotovili, kako komunicirajo s svojimi posredniki. Oboroženi s temi informacijami so zasnovali sistem, s katerim lahko posrednika odpravijo z zahtevami za nalaganje zlonamerne programske opreme. Paxson imenuje to tehniko "molzenje" posrednika zlonamerne programske opreme.

"Mislili bi, da to ne bo uspelo, " je dejal Paxson. "Zagotovo ima posrednik nekakšen sistem za preverjanje pristnosti ali omejitev stopnje?" A kot kaže, ne. "Elementi kibernetske kriminalitete, ki se ne soočajo z zlonamerno programsko opremo, zaostajajo deset let v lastni varnosti, morda petnajst, " je nadaljeval. "So soočeni s strankami in ne z zlonamerno programsko opremo." Obstaja druga interakcija, s katero podružnica zahteva prenos za prenos; Paxsonova ekipa je ta korak seveda preskočila.

V petih mesecih je poskus iz štirih partnerskih programov izknjižil milijon binarnih datotek, ki predstavljajo 9.000 različnih družin zlonamerne programske opreme. Ko je to povezalo s seznamom 20 najpogostejših družin zlonamerne programske opreme, je skupina ugotovila, da bi taka distribucija lahko bila vektor številka ena za distribucijo zlonamerne programske opreme. "Ugotovili smo, da so bili naši vzorci približno en teden pred VirusTotal, " je dejal Paxson. "Dobivamo ga sveže. Takoj, ko ga posredniki želijo potisniti ven, ga dobimo. Ko je na VirusTotal, ga ne pritiskate."

V kaj se še lahko infiltriramo?

Paxsonova ekipa je sodelovala tudi na spletnih straneh, ki prodajajo delovne račune za številne različne storitve. Opozoril je, da so računi popolnoma veljavni in ne ravno nezakoniti, saj "je njihovo edino kaznivo dejanje kršenje pogojev storitve." Facebook in Google staneta največ na tisoč, ker zahtevata preverjanje telefona. Twitter računi niso ravno tako dragi.

Z dovoljenjem Twitterja je raziskovalna skupina kupila veliko zbirko ponarejenih računov. Z analizo računov, vključno z metapodatki, ki jih je poslal Twitter, so razvili algoritem za zaznavanje računov, ustvarjenih z isto avtomatizirano tehniko registracije, z 99.462% natančnostjo. S tem algoritmom je Twitter ukinil te račune; naslednji dan so morala spletna mesta za prodajo računov objaviti, da nimajo na zalogi. "Bolje bi bilo ukiniti račune ob prvi uporabi, " je opozoril Paxson. "To bi ustvarilo zmedo in dejansko ogrozilo ekosistem."

Zagotovo ste dobili neželeno pošto, ki vam ponuja, da vam prodaja moške dodatke za uspešnost, "prave" Rolexe in podobne. Skupna stvar je, da morajo dejansko sprejeti plačilo in vam izdelek odposlati. Pri vnosu neželene pošte v mapo »Prejeto«, ravnanju z nakupom in nakupu izdelka imate na voljo številne povezave. Z nakupom nekaterih pravnih izdelkov so ugotovili, da je šibka povezava tega sistema čiščenje transakcije s kreditno kartico. "Namesto da bi poskusili motiti nezaželen bonet, " je dejal Paxson, "smo ga naredili kot nekoristnega." Kako? Ponudnika kreditnih kartic so prepričali na črno listo treh bank v Azerbajdžanu, Latviji ter St. Kittsu in Nevisu.

Kaj torej vzame? "Z resnično obsežnim internetnim napadom, " je dejal Paxson, "ni preprostega načina za preprečevanje infiltracije. Infiltracija je bistveno učinkovitejša od poskusa zaščite vsake končne točke."

MalCon je zelo majhna varnostna konferenca s približno 50 udeleženci, ki združuje znanstvenike, industrijo, tisk in vlado. Med drugim ga podpirata Univerza Brandeis in Inštitut za elektro in elektroniko (IEEE). Letošnji sponzorji so Microsoft in Secudit. Videla sem, da se je nekaj let pozneje z bolj zrelih raziskav na konferenci Black Hat pojavilo veliko prispevkov z MalCona, zato sem pozorna na to, kaj je predstavljeno tukaj.