evolucija cyber pretnji i razvoj cyber

Evolucija cyber pretnji i razvoj cyber “oružja”

dr Igor FrancHead of hi-tech crime unit

ICT Security conferenceKLADOVO 14-16 May 2015

Sadržaj

• Evolucija kompjuterskih virusa• Evolucija kompjuterskih crva i trojanaca• Evolucija cyber pretnji• Evolucija cyber napada• Cyber „oružje“ - STUXNET• Budućnost cyber napada• Zaključak• Pitanja

www.secitsecurity.com

Evolucija kompjuterskih virusa

• DOS virusi u 80-tim – Elk Cloner 1981

• Napravljen od strane 15-godišnjaka za Apple II i predstavlja boot sektor virus za floppy disk

– Brain 1986• Prvi PC virus koji napada 360kb 5,25” floppy diskove i prvi je full-

stealth virus

– Form 1990• Prvi hard disk virus koji napada boot sektor ili bad sektore na floppy

disku

– Michelangelo 1992• Infektor izvršnih fajlova koij se na dan kada je rođen Michelangelo 6

mart pokretao i brisao podatke sa zaraženih diskovawww.secitsecurity.com

http://www.theregister.co.uk/2012/12/14/first_virus_elk_cloner_creator_interviewed/

http://www.theregister.co.uk/2012/12/14/first_virus_elk_cloner_creator_interviewed/

http://virus.wikia.com/wiki/Brain

http://www.f-prot.com/virusinfo/descriptions/form_a.html

https://vmyths.com/column/1/1992/6/1/


• Email virusi – Happy99 1999• Širio sa putem maila (spaming) ili na news grupama

preko fajla HAPPY99.EXE koji se automatski slao sa mail klijenta zaraženog računara, nije nanosio štetu

– Melissa 1999• Ovo je prvi makro virus koji je napadao MS word,

širio se putem maila (slao je sebe na prvih 50 mailova u outlook address booku), postoji i izmenjena verzija koja napada MS excel pod nazivom Papa virus


http://thestarman.narod.ru/avt/happy99.html

http://thestarman.narod.ru/avt/happy99.html

http://news.bbc.co.uk/2/hi/science/nature/307162.stm


• Email virusi – ILOVEYOU 2000• Širio se preko jpg i mp3 fajlova i mogao je da ukrade

network password i da ga pošalje na udaljenu lokaciju, širio se putem MS outlook i Exchange tako što je slao sebe ne sve adrese u address booku

– Klez 2001• Imao je naprednu metodu širenja tako što je

koristio promenljive naslove i sadržaje mailova tako da ga je bilo teško detektovati, brisao je fajove sa zaraženog hard diska


http://money.cnn.com/2000/05/05/technology/loveyou/

http://www.geek.com/news/72-of-computers-infected-by-klez-547558/

Evolucija kompjuterskih crva i trojanaca

• Worms – Code Red 2001

• Poreklom iz Kine, napadao je MS IIS servere, zarazio je 12.000 servera i omogućio preuzimanje kontrole zaraženog servera kao i deface sajtova

– Nimda 2001• Napadao je i personalne računare i mrežne servere,

širio su putem maila ali i putem zaraženih web sajtova, takođe je mogao da skenira i sajtove i da sa njih pronalazi email adrese na koje bi se slao automatski i to uz random sadržaj i atachment sa hdd-a (250.000 mašina za samo par sati)www.secitsecurity.com

http://news.cnet.com/Code-Red-worm-claims-12,000-servers/2100-1001_3-270170.html

http://news.bbc.co.uk/2/hi/sci/tech/1551331.stm


• Worms – Slammer 2003

• Širio se hiljadu puta brže od nimde i code red-a, napadao je SQL servere tako što je koristio buffer overflow i uspeo je da za 15 minuta zaustavi čitav internet, stvorio je štetu od više milijardi dolara, širio se brzinom 75.000 računara u svakih 10 minuta

– MyDoom 2004• Poznat je i pod nazivom Novarg je crv koji se širio putem

email i svaki 12-ti mail u proseku je bio zaražen, virus se takođe širio i putem file-sharing mreža, instalirao se kao "back door“ i čekao komandu sa udaljene lokacije


http://archive.wired.com/wired/archive/11.07/slammer.html

http://news.bbc.co.uk/2/hi/technology/3432639.stm


• Worms– Sasser 2004

• Nije se širio putem maila kao što se u početku mislilo već putem pronalaženja propusta na MS Windows 2000 i novijim sistemima, radio je automatski shut down zaraženog računara

– Netsky 2004• U početku je napao Japan i Nemačku međuti brzo se

proširio i ušao na listu top 10 virusa na svim kontinentima isključujući Austaliju, širio se putem maila (koristio je SMTP engine) i peer to peer mreža, posle inficiranja pokretao se zajedno sa operativnim sistemom


http://news.bbc.co.uk/2/hi/technology/3682537.stm

http://www.pcmag.com/article2/0,2817,1531548,00.asp


• Trojanci– Netbus trojan 2002• Jedan od najpopularnijih trojanaca ikada. Omogućavao

je bilo kome da kontroliše zaraženi računar sa istim nivoom privilegija koje ima logovani korisnik


http://www.windowsecurity.com/articles-tutorials/windows_os_security/The_Netbus_trojan.html




Napredne vrste pretnji

• Storm 2007– Ovo je supercrv koji se širio u skrivenom email atachmentu

i ko god je otvorio atachment bio je dodat u rastuću botnet mrežu.

– Bio je više stvari u jednom – crv, trojanac i bot i uspeo je da zarazi oko 50 miliona računara. Za razliku od ostalih kojima je cilj bio slava ovaj je stvoren iz razloga profita i zato je drugačiji.

– Bio je vrlo težak za detekciju, veoma strpljiv, C2: command-and-control servers, nije stvarao nikakvu štetu, koristio je peer-to-peer mreže za C2 što je otežavalo zaustavljanje


http://archive.wired.com/politics/security/commentary/securitymatters/2007/10/securitymatters_1004

Napredne vrste pretnji

• Flame 2012– Ovu pretnju stručnjaci opisuju kao najkompleksniju ikada i

pominju pojmove cyber-war i cyber-espionage– Ono što on može raditi jeste:• Prisluškivanje mrežnog saobraćaja• Preuzimanje sadržaja ekrana (screenshots)• Pratiti pokretanje određenih aplikacija od interesa• Snimati audio konverzaciju• Presretati tastaturu

– Njegovi ciljevi su bili: SCADA i ostali sistemi kritične infrastrukture uglavnom na teritoriji Middle East, često se povezuje sa Stuxnet


http://www.globalresearch.ca/with-new-malware-virus-israel-fans-a-virtual-flame-against-iran/31169

Android malware

• DroidKungFu 2011– Može da rutuje android uređaj i da na taj način izbegne antivirus

detekciju metodom kriptovanja– Uglavnom dolazi sa igricama sa kineskog područja kao i pratećih

foruma– Sa zaraženog telefona može preuzeti sledeće:

• International Mobile Equipment Identity (IMEI)• Mobile device model• Network operator• Network type• Operating system (OS) APIs• OS type• Information stored in the Phone memory• Information stored in the SD card memory


https://www.f-secure.com/v-descs/trojan_android_droidkungfu_c.shtml

https://www.f-secure.com/v-descs/trojan_android_droidkungfu_c.shtml

Android malware

• AnserverBot 2011– Stručnjaci veruju da je ovo jedan od najsofisticiranijih

malvera koji napadaju android uređaje– Koristi legitimne programe da bi komunicirali sa C&C

serverima radi dobijanja komandi– Veruje se da je poreklom iz Kine i da dolazi sa dosta

softvera koji se može naći na alternativnim android marketima uglavnom u Kini

– Koristi nekoliko naprednih tehnika:• deep code obfuscating• dynamical code loading


http://www.csc.ncsu.edu/faculty/jiang/AnserverBot/

http://www.csc.ncsu.edu/faculty/jiang/AnserverBot/

Socijalni inženjering „wet-ware”

• War dialing• War driving• Phishing• Dumpster diving• Shoulder surfing• Eavesdropping• Tailgating• Impersonation• Road apple


War dialing


• Tehnika pronalaženja uređaja ovezanih na internet• Zastarela od kada se ne koriste modemi

War driving


• Tehnika koja je vrlo popularna• Vožnja autom sa posebnom opremom radi beleženja wi-fi mreža

Phishing


• Phishing ili u prevodu pecanje jeste upravo to• Prevara korisnika da bi se došlo do šifri, PIN brojeva i slično

Dumpster diving


• Preturanje po kontejnerima kako bi se našlo nešto od koristi• Uglavnom se radi o traženju papira, diskova, fascikli, uputstava i slično

Shoulder surfing


• Gledanje preko ramena kako bi se videlo nešto korisno• Uglavnom korisničko ime, šifra, nešto na monitoru...

Eavesdropping


• Prisluškivanje ali se ne misli samo na obično već i na prisluškivanje prenosa podataka – Wireshark...

Tailgating


• Tehnika koja ima za cilj neovlašćen ulazak• Bazira se na: pridrži mi vrata molim te...

Impersonation


• Prerušavanje u nekog drugog (rukovodioca, novog radnika)• Ovde se uglavnom radi o navođenju čoveka na neku akciju

Road apple


• Tehnika koja se bazira na neupućenosti ili nepažnji• Na parkingu firme ostavljen USB koji zaposleni uzima...

Najtraženiji sajber kriminalci

• Ruski haker je trenutno prvi na listi http://www.fbi.gov/wanted/cyber• Za informacije koje bi mogle dovesti do njegovog hapšenja nudi se čitavih

3.000.000$


http://www.fbi.gov/wanted/cyber

Evolucija cyber napada• CIH virus (Chernobyl) 1998• Prvi DDOS napad (Trinoo tool) 1998• Slammer 2003• Scamware ili Fakeware (Driver Updater i One-click Fix-it ) 2005• Zeus trojan 2007• Conficker 2008• Stuxnet 2010• DigiNotar hack (Google SSL) 2011• Flame 2012• TURKTRUST (ProxySG) 2013• Bit9 hack (operational oversight) 2013• APT1 (espionage campaign) 2013• Edward Snowden 2013


https://nakedsecurity.sophos.com/2011/04/26/memories-of-the-chernobyl-virus/

http://www.informit.com/articles/article.aspx?p=1016106&seqNum=4

http://archive.wired.com/wired/archive/11.07/slammer.html

http://thundercloud.net/infoave/new/you-know-about-malware-but-what-about-scamware/






https://steveshank.com/cgi-bin/article.pl?aid=433

http://www.telegraph.co.uk/technology/microsoft/5059642/Hackers-could-attack-millions-of-computers-infected-by-the-Conficker-virus.html

http://www.businessinsider.com/stuxnet-was-far-more-dangerous-than-previous-thought-2013-11

http://www.theregister.co.uk/2011/09/06/diginotar_audit_damning_fail/

http://www.theregister.co.uk/2011/09/06/diginotar_audit_damning_fail/

http://www.globalresearch.ca/with-new-malware-virus-israel-fans-a-virtual-flame-against-iran/31169

https://bto.bluecoat.com/security-advisory/sa73

http://www.theregister.co.uk/2013/02/11/bit9_hack/

http://www.theregister.co.uk/2013/02/11/bit9_hack/

https://www.mandiant.com/blog/mandiant-exposes-apt1-chinas-cyber-espionage-units-releases-3000-indicators/

https://www.mandiant.com/blog/mandiant-exposes-apt1-chinas-cyber-espionage-units-releases-3000-indicators/

http://www.bbc.com/news/world-us-canada-23123964

Evolucija cyber napada


Evolucija cyber napada

• Eksperimenti:– Project Aurora 2007– Hacking Medical Implants 2008– CarShark 2010

• Realni slučajevi:– Maroochy Water Services 2000– Los Angeles Traffic Management Center 2006– Tramways hack 2008– Turkey pipeline 2008– Stuxnet 2010– German Steel Factory 2014


https://www.youtube.com/watch?v=fJyWngDco3g

https://www.youtube.com/watch?v=fJyWngDco3g

http://arstechnica.com/science/2008/03/12/hacking-implanted-defibrillators-shockingly-easy/

http://www.popsci.com/cars/article/2010-05/researchers-hack-car-computers-shutting-down-brakes-engine-and-more

http://www.computerworld.com/article/2561484/security0/utility-hack-led-to-security-overhaul.html



http://www.geek.com/news/la-traffic-engineers-plead-guilty-to-hacking-traffic-signals-621672/



http://www.telegraph.co.uk/news/worldnews/1575293/Schoolboy-hacks-into-citys-tram-system.html

http://www.bloomberg.com/news/articles/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar

http://www.businessinsider.com/stuxnet-was-far-more-dangerous-than-previous-thought-2013-11

https://securityledger.com/2014/12/cyberattack-inflicts-massive-damage-on-german-steel-factory/

Sajber “oružje” Stuxnet

• Zvanično prvi virus koji je vršio fizičko uništavanje• Proširio se preko USB uređaja, veličina je 500kb• Tiho sabotiranje rada centrifuga u Natanz• Prva verzija Stuxnet 0.5• Druga verzija Stuxnet 1.001



• Vrlo precizno su targetirani ciljevi• Ukoliko se pojavi nova verzija čim se prvi Stuxnet nadogradi

automatski šalje update svim zaraženim računarima u mreži• Izuzetno ozbiljan kod stoji iza ovog virusa i 5 različitih Zero-Day

exploita• Sve navedeno govori u prilog tome da je Stuxnet delo

profesionalaca


Budućnost cyber napada

• SCADA sistemi– industrial processes– oil and gas pipelines– communication systems– automobile control systems– implantable medical devices– smart power grids– HVAC (airports, ships and space stations)


Zaključak

• Cyber napadi su rastuća pretnja.• Eksperimenti su pokazali da je moguće da dođe do

povređivanja ljudi.• Stuxnet je pokazao da je moguće napraviti cyber

„oružje“• Potrebno je uskladiti pravnu regulativu i međudržavnu

saradnju da bi se zaštitili od ovakvih vrsta pretnji.• Neophodno je formirati Cyber security centar na

nivou zemalja ili regiona koji bi se bavili prevencijom, istrazivanjima, razmenom informacija i edukacijom.


HVALA NA PAŽNJI!!!


Kontakt podaci:Mail: [email protected]: http://secitsecurity.comTwitter: https://twitter.com/francigorbgLinkedIn: https://rs.linkedin.com/in/ifranc

mailto:[email protected]

mailto:[email protected]

http://secitsecurity.com/

https://twitter.com/francigorbg

https://rs.linkedin.com/in/ifranc

evolucija cyber pretnji i razvoj cyber

Technology