MageCart Group Formjacking Attacks Analysis

Siber güvenlik olay müdahalesiyle yakından ilgileniyorsanız ve güvenlik olayları analizi işinizin bir parçası ise sıklıkla kurum ağınıza dahil olan her kullanıcının, cihazın, iot ve byod hepsinden tetiklenen alarmları derinlemesine analiz etmeniz gerekiyor. Zira sistemlerinizin üretmiş olduğu alarm ve iz kayıtlarını yeteri kadar iyi analiz etmezseniz, maruz kalabileceğiniz bir veri ihlali, siber güvenlik olayı, herhangi bir APT grubunun hedefi olmaya kadar gidebiliyor. İşte bu noktada formjacking url'i ziyaret edildiğine dair alarm alan bir güvenlik uzmanı için serüven başlıyor. : )

Açıkçası bu yazıyı yazmama ilham olan ve bu konuda farkındalığımın artmasına daha fazla güvenlik araştırması yapmama neden olan bu yazı için Furkan bey ve çalışma arkadaşlarına ayrıca teşekkürler. : )

Formjacking saldırıları saldırganların belirli bir zafiyet içeren web sitesindeki zafiyeti istismar ederek, hedef aldıkları sitelerin ödeme formlarına enjeckte etmiş oldukları kendi zararlı javascript kodlarıyla, ödeme ve diğer hassas bilgileri kaçırdıkları saldırılar olarak bilinmektedir. Detaylı bilgiler için yazıdaki referanslar kısımlarını ziyaret edebilirsiniz.

İstihbarat odaklı güvenliğin önemli olduğunu düşünen birisi olarak sıklıkla twitterda güvenlik ile ilgili paylaşım yapan bir çok hesabı takip ediyorum. Malwarebytes'ın tehdit istihbaratı tarafından paylaşılan aşağıdaki bilgiden sonra hem kendi analiz yeteneklerimi geliştirmek hemde farklı bir şeyler keşfedebilmek adına araştırma yapmaya başladım. 

Trendmicro

İçerisinde ATMZOW kelimesi geçen ve analiz amacıyla kaynak kod arama moturu olan nerdydata aracından faydanlanmak üzere yola koyuldum. Karşıma ATMZOW kelimesi geçen 45 farklı domain çıktı. 

Hemen ilk çıkan domaini analiz etmek üzere yola koyuldum. Süphelenmiş olduğum domainleri analiz ederken kullandığım urlscan.io ve browserling'de domaini tarattım. Sitenin altyapısında magento kullanılıyor olması ve e-ticaret sitesi olması beni daha da heyecanlandırdı. 

Sitenin mevcut kullanmış olduğu magento uygulamasında zafiyet olup olmadığını araştırmak için online public free magento scanner toollarından faydalandım. Bu ve benzeri toolların faydası kurumsal bir SOME'de gerçekleşen güvenlik olaylarını analiz ediyorsanız herhangi bir T anında son kullanıcıdan gelen süpheli bir url ziyaret edildiğinde sitenin sadece magento değil farklı zafiyetler içeriyor olduğunu bilmek compromise olduğuyla ilgili size,analiste daha fazla süphe uyandırabilir. Zira exploit kit landing pageler, malware C&C domainler, ya da legitimate adresler bu istismarlar sonucu saldırganlar tarafından sıklıkla hedef alınmaktadır. Bu açıdan analist bakış açısı kazanmaya faydalı olabileceğini düşünüyorum.

Tarama sonuçlarından yola çıkarak bu sitede bulunan magentonun patchlenmemiş sürümü kullanıldığını public araçlar sayesinde de test edip görebilmiş oldum.

Bu aşamadan sonra sitede sahte bir alışveriş yapıp checkout sayfasına geçtim. Hemen sahte bir kredi kartı  ve bilgileri generate edip aşağıdaki form alanlarını doldurdum. : )

Beğendiği botu alan ve alışveriş yapmanın keyfini yaşayan Alissa için her şey normalmiş gibi görünse de place order now  demesiyle saldırganların enjeckte etmiş oldukları zararlı javascipt kodu ile kredi bilgileri saldırganların sunucularına yönleniyordu.  :)

Neyseki Alissanın çalıştığı şirkette antivirus programı formjacking saldırısını olduğunu anlamıştı ve şirketteki çalışan SIEM'den gelen alarmları analiz eden siber güvenlik uzmanı durumdan haberdardı. :)

Bu aşamadan sonra sayfanın kaynak kodlarını incelemeye karar verdim. Sitenin kaynak kodlarını yukarıdan aşağıya incelemeye başladığımda her şey normal görünüyordu. Ancak sayfanın sonuna geldiğim bir yer hariç. 

Hemen ekran görüntüsündeki karmaşıklaştırılmış javascript kodunu güzelleştirmek üzere yola koyuldum. Online kullanılabilecek javascipt beautifier ve ddecode araçlarından faydalanarak kodu güzelleştirdim. Güzelleştirilmiş kodların içerisinde saldırganların topladıkları verileri gondermiş oldukları ip adresini kefşedebilmiş oldum.

Daha sonra bu ip adresini threatminer sitesinde aratmaya karar verdim. Çıkan sonuçlarda aslında bu ip adresinin bir kampanya adresi olduğu daha önce yapılmış analiz sonuçları ve tweetlere ulaştım.

Bu twitterlerden birisinde magento için yazılmış bir php backdoorun aynı zamanda js skimmer olarak kullanıldığı ile ilgili bir twitte rastladım.

Analize devam ederken nerdydata üzerinde arama sonucu çıkan domainlere baktığımda da onlarında compromise olduğu ve zararlı javascript kodu enjecte edildiğini gözlemlemiş oldum.

Proaktif alınabilecek önlemler

• Geçmişe yonelik 103.139.113.34 ip adresine kurum içi ağdan erişim isteği olmuşsa kontrol edilsin.
• Firewall, web content gw, dns firewall gibi cihazlarda block list oluşturularak 103.139.113.34 adresi bu listeye eklensin.
• SIEM' üzerinde dynamic intelligence listesine 103.139.113.34 si eklensin ve bu adrese erişim olduğunda alarm çalsın. Analist analiz etmeye başlasın.
• Formjacking kategorisinde bulunan domainlerle ilgili alarm gelen sistemlerden(AV gibi) historical rapor oluşturulsun. Aylık kaç kişi bu ve benzeri domainlere erişmeye calismis, bunlardan kaçı tehdit barındırıyor gibi.
• Sinkhole yeteneği olan cihazların kurum trafiğinin özellikle WAN giden isteklerde doğru konfigürasyonlarının aktif edilmesi ve sinkhole adresine gerçekleştirilen isteklerin analistler tarafından dashboardlar arayıcılığı ile izlenmesi. 
• Tehdit avcılığı ile ilgili ip, domain, hash gibi bilgilerin kontrol edilip tehdit avcılığı yapılması.

ioc: 103.139.113.34

Sonuç:

Güvenlik olayları analizi yaparken open intelligence ve OSINT araçlarından sıklıkla faydalanıyoruz. İstihbarat odaklı güvenlik için istihbaratı yalnızca bir yerden almak yeterli olmayacaktır. Güvenlik ürünlerinden tetiklenen alarmları tehdit modellemesi yaparak ve neye ne kuralı yazacağımızı bilerek hareket edersek maksimum fayda sağlayacaktır. Yazımı okuyan kişilere faydalı olması dileğiyle, güvenli günler dilerim.

Referance:
https://www.bleepingcomputer.com/news/security/australia-bushfire-donors-affected-by-credit-card-skimming-attack/
https://us.norton.com/internetsecurity-emerging-threats-what-is-formjacking.html
https://furkancaliskan.com/hunting-magecart-using-osint/
https://twitter.com/MBThreatIntel/status/1215693928764063744
https://nerdydata.com/reports/atmzow/f9e3bf6e-a6e5-47d5-bbf0-876d9bb62ca5
https://publicwww.com/websites/ATMZOW/
https://www.symantec.com/blogs/threat-intelligence/formjacking-attacks-retailers
https://urlscan.io/result/3716c66d-2edc-49ce-aa5e-978fa9965586/
https://sitecheck.sucuri.net/results/www.cicihot.com
https://geekflare.com/magento-security-scanner/
https://www.magereport.com/scan/?s=https://www.cicihot.com/
https://magentary.com/magento-security-patch-tester/
https://webscan.foregenix.com/webscan_results.html?scanid=38538c39_597b_4a24_a2b1_32c6d6f9a43d&emailaddress=test1111@yopmail.com
https://github.com/steverobbins/magescan
http://getcreditcardinfo.com/generatevisacreditcard.php
https://www.virustotal.com/gui/domain/www.cicihot.com/details
https://www.mertsarica.com/magecart-analizi/
https://paste.ubuntu.com/p/mKrXwz6nPv/
https://codebeautify.org/jsviewer
http://ddecode.com/hexdecoder/?results=b839d8dd56b99e40528d7af24e2568fb
https://twitter.com/search?q=103.139.113.34&src=typed_query
https://blog.malwarebytes.com/threat-analysis/2019/12/hundreds-of-counterfeit-online-shoe-stores-injected-with-credit-card-skimmer/
https://www.threatminer.org/host.php?q=103.139.113.34
https://twitter.com/jknsCo/status/1201837540191457281
https://blog.trendmicro.com/trendlabs-security-intelligence/fin6-compromised-e-commerce-platform-via-magecart-to-inject-credit-card-skimmers-into-thousands-of-online-shops/
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/anyone-can-check-for-magecart-with-just-the-browser/

H-worm by Houdini VBS RAT Threat Analysis

Güvenlik olayları analizi, müdahalesi ve proaktif güvenliğin önem kazandığı bugünlerde özellikle gelişmiş hedef odaklı saldırılara, farklı güvenlik üreticileri tarafından yayımlanan okuduğumuz; çeşitli tehdit raporlarında ve blog yazılarında yer verilmektedir. Finansal kuruluşların, saldırganların hedef ve motivasyonlarının para olmasından dolayı; siber güvenlik farklındalığının yüksek olması ve gereken önlemleri alması gerekmektedir. Zira bu noktada son zamanlarda siber güvenlik olay müdahalesi ve ekiplerinin yaptıkları işler önem kazanmaktadır. Parasal kayıp yaşayan finansal kuruluşlara yapılan atakların genelinde spear phishing kampanyaları ile silahlandırılmış(weaponized) dosya ekleri ile birlikte gelen zararlı dosyaların; gereken önlemlerin alınmadığı, alınsa bile yeni attack methodları ile yetersiz kaldığı, güvenlik olay ve analizlerinin süreçlerinin yeteri kadar oturmadığı, e-mail ve endpoint  tarafında gerçekleşen her güvenlik olayı için uçtan uça görünürlüğün sağlanamaması gibi nedenlerle hacklenen ve finansal kayba uğrayan kurumların haber, raporlarını sıklıkla okumaktayız.

Bu yazımda 2013 yılında fireeye ve çeşitli güvenlik üreticilerinin tehdit araştırmalarına, blog postlarına konu olan, Visual Basic Script diliyle yazılmış H-Worm Rat' analizi üzerine yapmış olduğum analiz çalışmasına ve kurumsal ağlarda alınması gereken güvenlik önlemlerine değineceğim.

Saldırganlar göndermiş oldukları maillerde inandırıcılığı yüksek kılmak ve özellikle ekli dosya eklerine kurbanlarına tıklatıp açtırmak amacıyla; Dünya çapında bilinen swift, western union gibi kuruluşları da oltalama amaçlı hazırladıkları maillerine dahil etmektedir.

Güvenlik analisti rolüyle çalışan kurumsal SOME çalışanımız; aşağıdaki gibi bir mail güvenlik sistemleri tarafından blocklanmış olsa bile bu mailin ekinde bulunan dosyanın gönderilme amacını merak ettiği için kolları sıvar ve işe koyulur. : )

Ben de bu noktada aşağıdaki gibi gelen bir spear phishing mailini analiz etmeye başladım. Mailin Western Union'da çalışan birisinden geliyormuş gibi görünmesi, from adresi ile western union'un bağdaşmaması, kimliği açıklanmayan kullanıcıların to' da olması, dosya uzantı eklerini hidden ettiğinizde ekteki dosyanın isminin pdf olarak verilmesi, western uniondan alacağı komisyondan bahsediyor olması aslında tam da yeteri kadar farkındalılığa sahip olmayan ya ben bir kere tıklamış bulundum diyen son kullanıcı; saldırganların iştahını kabartıyordu. : ) E-mail header bilgilerini kontrol ettiğimde de sender domain ile return path'i farklılık gösteriyordu.

Daha sonra dosyayı masaüstüne alıp kaydedip özelliklerini kontrol ettiğim zaman dosya ismi pdf verilmesine rağmen aşağıdaki ekran görüntüsündeki gibi aslında bunun bir pdf dosyası olmadığını zip dosyası olduğunu görmüş oldum.

Yine farklı türde zararlı analizleri yaparken dosyanın türünden emin olmak için bir hex editor ile açtım. Magic numberlardan da görüleceği üzere dosyanın zip türünde olduğundan emin olmuş oldum. Aynı zamanda hex editorde görünen veriler incelendiğinde zip dosyasının içerisinde bir vbs dosyası olduğu, bazı verilerin karmaşıklaştırılmış olduğu belli oluyordu.

7-zip ile dosyayı bir klasöre çıkardığım zaman saldırganın farkındalığı olmayan son kullanıcının komisyonu almak üzere tıklamaya çalıştığı ve saldırganların ağızlarının sularının aktığı, ellerini ovuşturduğunu masumca bekleyen vbs dosyasını görmüş oldum. : )

Yazıyı yazarken farklı güvenlik üreticilerinin virus total üzerinde dosyayı tarama sonuçlarıda dosyanın zararlı olduğuna dair ipuçları veriyordu.

       Wu Commission.pdf.vbs dosyasını notepad++ ile açıp kaynak kodlarını incelemeye karar verdim. Genel olarak saldırganlar geliştirmiş oldukları zararlıların analizini zorlaştırmak için kodları karmaşıklaştırmaktadır. Ekran görüntüsünde görüldüğü üzere, kullanmış oldukları fonksiyonların kaynak kodlarını karmaşıklatırmışlar. Fakat fonksiyonlardada kullanılan create object, create element, open, write, bin.base64, tmp ve fonksiyonlara bu değerlerin gönderilmesi az da olsa dosya create etme, http requestleri yapmak, base64 ile encode edilen veriler olduğu üzerine zararlı davranışları ile ilgili az çok fikir sahibi olmamızı sağlıyordu.

Karmaşıklaştırılmış kodları deobfuscate etmek amacıyla hemen tekrardan işe koyulup esas çalışan koda ulaşmak amacıyla nasıl hareket edebileceğim üzerine yola koyuldum. Vbs deobfuscation araçlarına ve genel olarak vbs dosya türünde çalışan zararlılar ile ilgili bilgi toplamaya başladım. Bir kaç farklı online deobfuscation aracına bakıp kodları güzelleştirmek amacıyla baktıysamda çok iyi bir sonuca ulaşamadım. Farklı türde analiz edilen vbs script zararlı analizlerinde vbs script editorleri ve debugging edilerek zararlı analizi yapıldığı ile ilgili araçları gözlemlemiş oldum. Hemen kısa bir araştırmadan sonra VbsEdit aracını denemeye karar verdim. 

Zararlı olarak gelen dosyayı VbsEdit aracına yükleyip çalıştırdıktan sonra kodun başarılı bir şekilde çalıştığını, VbsEdit aracı ile zararlının esas kaynak kodlarına ulaşabilmiş oldum. Sanırım burda şanslıydım çünkü saldırganların kodları düzgün çalışıyordu ve aynı zamanda VbsEdit aracı sayesinde esas kaynak kodların deobfuscate edilmiş haline kolayca ulaşabilmiş oldum. Daha sonra VbsEdit aracının çıktısını değerlendirmek üzere notepad++ a kopyaladım. Artık elimde 456 satırlık VBS kodu vardı. 

Zararlının H-worm olduğunu kodlarda geçen bazı terimleri google'da aratıp bununla ilgili çıkan yazıları okuyarak anlamış oldum; buna yazının ileriki kısımlarında tekrar değineceğim. H-Worm'un vbs script ile yazılmış olan popüler Rat olması ve tehdit aktörleri tarafından Ortadoğuda sıklıkla kullanılması üzerine farklı blog yazıları bulunmakta. Yukarıdaki kodda görüldüğü üzere dynamic dns  host kategorisinde domainlere farklı post request istekleri gönderiyor olması yine kaynak kodlardan anlaşılmaktadır.

Burada kullanılan parametreler dynamic dns host C&C adresine post request ve parametre olarak gönderilmektedir. H-worm yerleştikten sonra case döngüsündeki komutlar çalıştırılarak; ajanı kaldırma, sleeping, process enumeration, kill, dosya upload, sistem sürücüsü ile ilgili bilgi gönderme, cmd-shell açma...farklı komutlara sahiptir. Post ettiği bilgileri user-agent field'ına basarken vbs kodu içerisinde aşağıdaki gibi komutların çalıştırarak sistemden almaktadır. O zaman size bir soru? EDR çözümleri aşağıdaki komut başarılı bir şekilde yakalayabilir mi? Yakalarsa false positive durumları ayırıp response edebilir mi? Bu tarz event analizlerinde güvenlik analisti ne yapmalı? Bunlar ayrı bir araştırma konusu ve blog yazısı konusu. : )

Bu aşamadan sonra zararlının trafik analizini yapmak için izole bir sanal makinada çalıştırıp wireshark çıktılarında kod tarafında C&C domaine yapılan istekleri gözlemlemek üzere yola koyuldum. İlk olarak wireshark'a  dns isteklerini filtrelemek için dns yazdığımda zararlının dns isteği olarak deobfuscate edilmiş; kodun ilk başında bulunan adrese dns isteklerini gözlemledim. 

Daha sonra zararlı yazılım analizlerinde sıklıkla kullanılan get ve post parametreleri ile ilgili herhangi bir istek olup olmadığını gözlemlemek üzere filtreledim. Get isteği ile ilgili herhangi bir isteğe rastlamadım. Ancak post istekleri ile ilgili istekler ardı ardına gidiyordu.

Tcp Streami Follow ettikten sonra kaynak kodda olduğu gibi C&C sunucusu ile haberleşirken user agent string alanına unique bot identifier bilgisi, bilgisayar ismi, kullanıcı ismi, işletim sistemi bilgisi, antivirus bilgisi, usb spreading true/false olduğu bilgilerini basıyordu. 

User-Agent bilgisine başmış olduğu bilgileri yine zararlının kaynak kodları incelendiği zaman anlaşılabiliyordu. Genel olarak yazılan zararlı yazılımlarda aslında bir yazılım olduğu için kullanmış olduğu özellikleri incelediğimiz zaman bu ve benzer kodları kullanmış olduklarını gözlemleyebiliriz. Yazının sonunda github hesabımdan zararlının full kaynak kodlarını paylaşacağım.

Bu aşamaya geldikten sonra kurumsal bir yapıda bazı güvenlik olaylarının daha gerçekleşmeden engellenmesi ve first response için aksiyon alınması gerektiğinin önemli olduğunu düşünüyorum. Eğer hızlı aksiyon alınması sağlanacaksa Sandbox sistemlerinden sıklıkla faydanılanılmaktadır. Çeşitli zaman aralıklarında farklı türde Sandbox çözümlerini ve public ortamları kullanıyoruz. Bu yazıda yer vermek istediğim çözümlerden birisi any.run; istediğiniz dosyayı submit edip cloud üzerinde interactive 5 dk'lık süreye kadar zararlıyı analiz edebiliyor olmanız ancak güzel özelliklerinden biriside generate edilen trafiği signature based tespit edip bunuda sunmuş olduğu raporda sizi bilgilendiriyor olması. İmza isimlerine bakarak zararlıların türünü anlamak için belki karar kılma üzerine size fayda sağlayabilir. 

Fakat elinizin altında snort, suricata kurulmuş imza seti hazır olan promiscuous modda çalışan bir makina ya da security onion gibi customize edilmiş bir dağıtım varsa tcpreplay aracı ile almış olduğunuz pcap trafiğini ilgili interface'de oynatarak tetiklenen alarmların sonucunu değerlendirerek eğer imzalara match eden bir zararlı türü var ise imza tabanlı sistemlerden faydalanıyor olup çıkarımlarda bulunabilirsiniz.

Proaktif Önlemler

• Dns Firewall üzerinde Dynamic Dns Host Kategorisinin Engellenmesi,

• Web Content Gateway, Proxy Cihazları üzerinde Dynamic Dns Host Kategorisinin Engellenmesi,

• Eğer farklı güvenlik sistemlerine yeteri kadar yatırım sağlayamayan kurumlar ise ve NGFW özelliklerini kullanarak url-filtering çözümlerini kullanıyorsa sinkhole ve kategori bazlı engelleme yapılıp yine dynamic dns host kategorisinin engellenmesi, 

• Zip,Vbs türünde dosya eki olan dosyaların özellikle mail tarafındaki Sandbox'ing yapan sistemlere  mutkala sandboxing  yapması için custom politikalar tanımlanması ve diğer analiz profillerinin uygulanarak dosyaların analizi sağlanması,

• Zararlı yazılımlar tarafından sıklıkla kullanılan jar, ace, arj, vbs, ps, exe, iso, r00 vb. gibi zararlı dosya uzantılarının mail gw sistemleri üzerinde doğrudan engellenmesi, 

• Tehdit İstihbaratından gelen verilerin geniş api desteğine sahip güvenlik cihazlar ile ilgili gereken entegrasyonların yapılarak blocklama yapacak şekilde proaktif aksiyonların alınması,

• Bilinen Zararlılar, apt ve spear phishing kampanyaları ile ilgili güncel open repository'lerden, CTI üzerinden gelen yara kuralları ile ilgili kuralların güncel tutulması ve güvenlik cihazlarına eklenmesi,

• Tehdit istihbaratı rolüne sahip güvenlik personelleri varsa bu roldeki kişilerin güvenlik üreticileri tarafından yayımlanan blog postları, underground forumları, real time free open intelligence kaynaklarını ,tweetleri, twitterdaki aktif kişileri takip ederek güncel tehditlerden haberdar olarak; kendi altyapılarında bu güvenlik olaylarının gerçekleşip gerçekleşmediğini analiz ederek, gereken önlemlerin alınması,

• Zararlıların sizin kurumunuzu hedef almasa da ilgili zararlıların altyapınızda kullanmış olduğunuz güvenlik ürünlerinde test ederek sonuçlarını değerlendirip çıkarımlarda bulunup iyileştirmelerin yapılması ya da (attack and breach simulation araçlarının(picus security) aktif olarak kullanılarak çıkarımlarda bulunması),

• Bilinen zararlılar ile ilgili ips, ids imzalarının güncel tutularak bu sistemlerden gelen logların analiz edilmesi(Bu zararlının https://rules.emergingthreats.net/ içerisinde public kuralları bulunmaktadır.) 

• Ssl inspection cihazlarında WAN'e giden ve gelen trafiğin açılarak content'in analiz edilmesi, ssl açılan trafik eğer NGFW ise file blocking, antivirus, anti-spyware, url-filtering, ids, vulnerability protection... vb. gibi özelliklerin prevention moda alınıp logların SIEM sistemlerine gönderilerek analiz edilmesi,

• EDR, AV, NGAV gibi çözümlerde eğer ürünlerin yetenekleri varsa normal altyapı içerisinde genel olarak anlamdırılan process eventlarından sonra, wscript.exe -> WU Commission.pdf.vbs, .*(.vbs) processing eventların analiz edilmesi, uygun querylerin yazılması, EDR sistemlerinde ürünlerin yeteneği varsa bu tür eventlarda loglama yapılması custom kural tanımlanması ve tanımlanan kuralların incident sonucu SIEM'e gonderilmesi ve daha fazla incelenmesi için güvenlik analistlerine alarmların düşürülmesi.

• Saldırganlar tarafından sıklıkla kullanılan no-ip, dynamic dns servislerinin ekstra engellenmesi(.hopto.org, .zapto.org, .sytes.net, .ddns.net, no-ip.org, dyndns.org, changeip.com, duiadns.net, dynamicdns.org..)

SIEM Rules

Not:(Altyapınızda kullanmış olduğunuz güvenlik çözümleri ile ilgili bu zararlının tespiti için alarm kuralları yazılabilir; fakat kullanmış olduğunuz çözümlerin bu logları çıkması gerekir. Ben aklıma gelen SIEM senaryolarının tümünü yazmak istedim.)

• Web Content Gw, Proxy trafiği içerisinde dynamic dns host kategorisine erişim isteği olursa alarm,

• Dns Firewall loglarından dynamic dns host kategorisine erişim isteği olduysa alarm,

• EDR'dan -> SIEM'e gönderilen loglar içerisinde incident olarak gelen bir event varsa ve wcscript.exe -> .*(.vbs) çalıştırılmaya çalışılmışsa alarm(false/positive durumları exclude edildikten sonra yapılabilir.)

• Anvirus sistemlerinden gelen loglar içerisinde vbs.downlander.trojan vb. olarak kategorize edilmiş bir log SIEM'e geldiyse alarm,

• Mail protection sistemlerinden gelen loglar içerisinde .*(.vbs) uzantılı bir dosya gelmişse alarm, 

• Sandboxing sistemlerinden gelen loglar içerisinde .*(.vbs) uzantılı bir dosya analizi yapılmışsa alarm çalsın,

• Sonu popüler zararlı dağıtan ve destination Url adresi gibi biten adreslere erişim isteği olursa alarm.(.hopto.org, .zapto.org, .sytes.net, .ddns.net, no-ip.org, dyndns.org, changeip.com, duiadns.net, dynamicdns.org...)

• 5 dk içersinde AV sisteminden gelen loglarda vbs.downlander.trojan kategorisinde ve uzantısı .*(.vbs) olan bir log geldiyse ve aynı client PC'si üzerinden destination adresi dynamic dns host adresine erişim isteği olmuşsa ve blocklanmışsa alarm çalsın.
• Firewall, proxy ve diğer network güvenlik cihazlarında destination adresi 194.5.99.53 olan ip adresine erişim trafiği-isteği olursa alarm.
• Snort, Suricata ya da commercial IDS, IPS logları alınan bir ortamda ya da NGFW uygulanan IDS/IPS loglarında Houdini Rat imzasına match eden bir log gelirse alarm calsın. 

• Proxy loglarından gelen loglar içerisinde userAgentField bilgisinde ‘<|>’ içeriyorsa alarm çalsın.
• 5 dk içerisinde AV Endpoint ajanından gelen loglarda .*(.vbs) uzantılı bir dosya deviceAction bilgisinde "left alone" gibi bir ifade geçiyorsa ve tarama sonucu silinmediyse, aynı PC yine bu 5 dk içerisinde dynamic_dns_host kategorisinde bir domain adresine başarılı bir şekilde erişmişse alarm çalsın.

Ilgili Snort Rules

* ET TROJAN Worm.VBS Dunihi/Houdini/H-Worm Checkin 1 

• https://doc.emergingthreats.net/bin/view/Main/2017994

* ET TROJAN Worm.VBS Dunihi/Houdini/H-Worm Checkin UA

• https://doc.emergingthreats.net/bin/view/Main/2017516

Yara Rules

rule vbs_agent_hworm_houdini
{
 
    meta:

description = "VBS Agent from H-worm by Houdini - file WU Commission.pdf.vbs"
        author = "Ahmet Han"
reference="https://any.run/report/b52559280bd043bae24414ac1348694752026714dbdc8e42d2e9c5e81b30be53/6248de5f-7620-4daf-981c-02eaf5258189"
        date = "2019-01-21"
        hash = "b52559280bd043bae24414ac1348694752026714dbdc8e42d2e9c5e81b30be53"
 
    strings:
 
$s1 = "DIM"
  $s2 = "End sub"
$s3 = "Function"
$s4 = "CreateObject" fullword ascii
$s5 = "Microsoft.XMLDOM" fullword ascii
$s6 = "ADODB.Stream"  fullword ascii
$s7 = "iiIIIiii.createElement" fullword ascii

    condition:
        filesize < 24KB and 4 of them
}

*Yara kurallarını yazıp test ederken Adlice yara rule editorunden ve hybrid-analysis yara hunting search özelliğinden faydalandım.

hybrid-analysis

Indicators of Compromise

File System Changes and Modification Events

          Network

Domains

• freshguys.ddnsking.com

URI Patterns

• /is-ready - > observed with analysis time!
• /is-sending
• /is-recving

C&C IP adress and port

• 194.5.99.53:5674

Hash 

SHA256 -b52559280bd043bae24414ac1348694752026714dbdc8e42d2e9c5e81b30be53

Mitre ATT&CK

• T1193 : Spearphishing Attachment
• T1064 : Scripting
• T1082 : System Information Discovery
• T1333 : Dynamic Dns
• T1132 : Data Encoding
• T1057 : Process Discovery
• T1001 : Data Obfuscation

Public Submissions and Analysis

Anyrun

Hybrid Analysis
Virus Total

Dynamic dns domains

Sonuç:

Perimeter security tarafında alınması gereken tüm önlemlerin alınmasını sağlamak artık tüm kurumların boynunun borcu. Bir NGFW deploy edilip mutlaka ng özellikleri açılmalı, web tarafı için waf ve ips profilleri uygulanmalı, bir endpoint protection, mail gw, sandbox...diğer çözümleri olmalı! Fakat güvenlik olay yönetimi ve müdahalesi süreçleri için mail tarafında alınacak ek önlemler, endpoint'te dönen olaylardan uçtan uca haberdar olmak spear phishing ve APT saldırıları için daha önemli. Farklı açılardan değerlendirecek olursak güvenliğin devam eden gelen, sürekli iyileştirilen ve gelişen süreçler bütünü olduğu. : ) Güvenli günler dilerim.

"If you know your network and your systems, you need not fear the result of a hundred cyber battles."

Sun Tzu, The Art of Cyber War

References:

https://www.fireeye.com/blog/threat-research/2013/09/now-you-see-me-h-worm-by-houdini.html

https://www.fidelissecurity.com/threatgeek/threat-intelligence/down-h-w0rm-hole-houdinis-rat

https://www.menlosecurity.com/hubfs/pdfs/Menlo_Houdini_Report%20WEB_R.pdf

https://www.zscaler.com/blogs/research/njrat-h-worm-variant-infections-continue-rise

https://researchcenter.paloaltonetworks.com/2016/10/unit42-houdinis-magic-reappearance/

https://cofense.com/h-worm-jrat-malware-two-rats-better-one/

https://blog.trendmicro.com/trendlabs-security-intelligence/xtrat-and-dunihi-backdoors-bundled-with-adwind-in-spam-mails/

https://community.rsa.com/community/products/netwitness/blog/2017/10/09/malspam-delivers-hworm-rat-october2017

http://malwarenailed.blogspot.com/2017/05/revisiting-hworm-and-njrat.html
https://www.vbsedit.com/
https://github.com/AhmetHan/h-worm_houdini
https://www.cyber.nj.gov/threat-profiles/trojan-variants/h-w0rm
http://networkraptor.blogspot.com/2015/01/indicators-houdini-rat.html
https://blog.trendmicro.com/trendlabs-security-intelligence/xtrat-and-dunihi-backdoors-bundled-with-adwind-in-spam-mails/
https://www.fortinet.com/blog/threat-research/fortiguard-labs-global-healthcare-threat-telemetry-for-q4-2016.html
https://www.alienvault.com/blogs/security-essentials/dynamic-dns-and-you-part-2-identifying-the-threat
https://www.cyren.com/blog/articles/finding-dunihi-by-houdini

Kritik Altyapılara Yönelik DDOS Saldırıları Hakkında Bilinmesi Gerekenler

Geçtiğimiz günlerde gerçekleştirilen nic.tr dns amplification attack ve akbank, iş bankası, garanti, ziraat bankasına yönelik saldırılar kamuoyunu bir hayli meşgul etmişti. Ddos saldırılarını kökten, "tamamen" engellemek için bir çözüm olmamasına rağmen belirli başlı şekilde olanlarını("saldırının tipine göre") engellemek bir açıdan mümkün. Örneğin saldırının geldiği ip bloğundan gelen trafiğin bloklanması, ddos'a karşı rate limiting özeliklerinin kullanılması, firewall, ips cihazlarının etkin kullanımı, ddos incident response methodlarının öğrenilmesi, access control listler ile yapılabilecek kısıtlamalar, load balance yöntemlerinin kurum network altyapısına uygun bir şekilde düzenlenmesi, trafic diversion yöntemleri kullanarak BGP ile uygulanabilecek cloud çözümler, ISP tarafında alınılabilecek önlemler,. Bu konuda bilgi güvenliği akademisi şöyle güzel bir çalışma yapmış bundan faydalanabilirsiniz. Ama belirtmekte fayda var, kesin bir çözüm olmamakla birlikte "mitigation" yapabilmek mümkün.

Geçtiğimiz günlerde Hazar Strateji enstitüsü "Kritik Altyapılarda Siber Güvenlik ve Ddos saldırıları ile ilgili aşağıdaki gibi bir infografik paylaşmış. Orjinal kaynağa buradan ulaşabilirsiniz.
Blogumu ziyaret edenlerin bilgilenmesi açısından sizlerle bu infografiği paylaşıyorum.

Ayrıca bu ve benzeri konular ile ilgili olay müdahalesi ve mitigation teknikleri ile ilgili şöyle güzel iki kitap var. Bu kitapların SOME tarafında yapılacak iyileştirmelere katkı sağlayacağını belirtmekte fayda var. Kitap 1 ve Kitap 2 Gorusmek dileğiyle,

İncident Response (Olay Müdahalesi) ile İlgili Bilinmesi Gerekenler

İncident Response: Bir bilgi güvenliği ihlali sırasında ve sonrasında alınması gereken önlemlerin tümüdür. Olay müdahalesinde amaç olası zararı en aza indirmek ve normal duruma dönmek için gerekli zaman ve maliyeti azaltmaktır.  Gerçekleşen ihlallere karşı nasıl önlem alınması gerektiği olay müdahale planında yer alır.

Olay Müdahalesi Gerektiren Durumlardan Bazıları:

·         Web Defacement

·         Theft of Proprietary Information

·         Stolen Laptop

·         Viruses

·         Accidents

·         Denial of Service Attacks

·         Social Enginnering

·         Hacker Intrusion

·         Fire!

·         Malicious Active Content

·         Back Door Attakcs

·         System Failure

·         Lost Backup Tape

·         Advanced Persistent Threat

·         Hacktivism

·         Cybercrime

·         Command and Control Serverlar

Herhangi bir Incident gerçekleştirildiğinde nasıl haberdar oluruz?

·         Web sayfası deface edilmiş bir mesaj bırakılmış yada sisteme Shell atılmış olabilir.

·         Kurum içi çalışan bilgileri veya laptop’u bir şekilde çalınmış yada ele geçirilmiş olabilir.

·         Kullanıcılar hesaplarına erişimlerde sıkıntılar yaşıyor olabilir.

·         IDS, Firewall alert logları üretmiş olabilir.

·         Ddos gerçekleşmesi durumunda sunucular servis veremiyor olabilir.

·         Değiştirilen paralolar ile kullanıcılar ya da çalışanlar hizmet verdiği servise erişim sağlamayamıyor olabilir.

·         Rutin kontrollerde veritabanında database activity monitoring araçalarında ya da diğer sistemlerde alışıla gelmedik izlere rastlanabilir.

·         Siem ya da korelasyon edilen loglarına bakılması gerekebilir.

·         Uç noktalarda bulunan Atm, pos gibi cihazlarda hizmet kesintileri yaşanıyor olabilir.

İncident Response Kill Chain

Geçtiğimiz yıllarda gerçekleştirilen Black hat konferansında  “Kill Chain” cyber threat intellege ve intrusion analizi ve olay müdahalesi için aşağıdaki gibi tanımlanmış, yeni bir yaklaşım modeli öne sürülmüştür.

The phrase “kill chain” describes the structure of the intrusion, and the corresponding model guides analysis to inform actionable security intelligence.

Reconnaissance: (Keşif)

Araştırma, hedef seçme ve tanıma; sosyal mühendislik yolları ile web sitelerinden bilgi toplama, spesifik teknolojiler hakkında bilgi edinme, iç network hakkında bilgi toplama.

Weaponization: (Silahlandırma)

Remote Access trojanlar kullanılarak bir payload’ın exploit edilmesi, otamatize toolar ile atakların gerçeklenmesi, Adobe Portable Document Format (PDF) or Microsoft Office programları yardımı ile açıklıklardan yararlanma ya da farklı sızma şekilleri

Delivery(Taşıma):

Mail, web, usb, Cd gibi farklı araçlarla istirmar kitleri, casus yazılımlar, zararlı yazılımlar taşınması ve bu şekilde kurum içine sızılması

Exploitation: (İstismar)

Çeşitli yollarla ele geçirilen sistemlerin exploit edilmesi ve atakların geçerlenmesi

Installation: (Yükleme)

Örnek için zararlı yazılımın hedef ele geçirilen sisteme yüklenmesi.

Command & Control:( Komuta Kontrol Yazılımlarının Yüklenmesi)

Sistemi ele geçiren kişinin gerçekleştirmek istediği bilgisayarın kurban olarak kullanılması ve bu istekleri doğrultusunda dış network ile iletişime geçmesi

Actions on Intent: (Planlarını geçerlemesi)

Yatay ya da dikey hak yükseltme sistemde yetkili kullanıcı olma, sisteme zarar verme, çalışamaz hale getirme, hedefleri gerçekleştirme, data kaybı..

Kill chain methodunda proaktif bir yaklaşımdan reaktif yaklaşıma Incident response öncesi olası senaryolar üzerinden geçilir.

İncident Response Planı Oluşturma:

Hazırlık:

Olay müdahale öncesi yapılması gereken hazırlıklar ve cevaplanması gereken sorular.

·         Her bir olay türüne göre nasıl davranılacağı veya nasıl önlem alınacağı planı

Örnek: ( Web sayfası üzerinde zararlı kodlar çalıştırmaya çalışan kişiler için nasıl önlem alınacağı, ya da buralarda yapılan dış saldırıların girdi alanları ile ilgili herhangi bir zafiyet olacağının düşünülüp buralardaki bugların kapatılması gibi.)

·         Olay müdahalesi için teknik ekipman olarak nelere ihtiyaç duyulacağı

·         USOM ‘a olayın bildirilmesi gerekliliğinin olup olmadığı ve bununla ilgili plan çıkartılması

·         Polisin ve adli makamların bilgilendirilmesi, Adli Bilişim Suçlarını ilgilendiren bir durum olup olmadığı bu konular ile ilgili kurumdan kimin ilgileneceği

·          

Tanımlama:

Bu aşamada temel amaç olayı tanımlamak, kategorize etmek ve önceliklendirme yapmaktır. Cevaplanması gereken bazı sorular aşağıdaki gibidir.

·         Ne tür bir olay ile karşı karşıyayız?

·         Kimi aramalıyız?

·         Olayın ciddiyeti ne boyutta?

·         Olayın ile ilgili forensic çalışmalarına başlamak gerekiyor mu?

Kapsam belirleme:

Olayın sınırlarının belirlenmesi.

·         Bu aşamada kurumdaki teknik ekipler devreye sokulur. Avukat, Some Ekibi üyeleri, Network ekip lideri..

·         Problem izole edilir. Network’e bulaşmış bir virüs firewall, ips kuralları ile network ile iletişimi kesilir.

·         Deliller belirlenir ve daha sonra incelemek üzere el konulur. (örnek .pcap trafiği)

·          

Bildir:

Eğer veri kaybı oluştuysa paydaşların bilgilendirilmesi( Hsbc bank veri sızıntısı)

Fatmal, Tinba, Hesperbot vakaları twitter üzerinden güvenlik uzmanlarınca bilgi paylaşımı.

Usom’ un zararlıyı dağıtan alan adları ile haberdar edilmesi gibi.

Analiz:

Saldırının analiz edilmesi işlemleri.

·         Saldırının amacı ne?

·         Neden saldırı hedefi olundu?

·         Etkisi ne kadar, herhangi bir zarar var mı?

Problem Çözümü:

Problemin çözüme ulaştırılması aşamaları gerçekleştirilir ve kesin çözüme ulaşılır.

·         Sistemin sıfırdan tekrardan kurulması

·         Yetkili kullanıcı hesapları ele geçirilmişse yeni parola ataması yap.

·         Güncelleştirmeleri denetle ve al.

·         Zafiyet taraması yapılması

·         Koruma kontrollerine göre katmanlı yapıların hazırlanması

Bakım && Onarım:

Problemin neden olduğu hataların giderilmesi ve sistemlerin eski haline geri döndürülmesi

Onarımın sorunsuz gerçekleştirildiğinin test edilmesi.

Müşteriler eskisi gibi hizmet almaya devam edebiliyor mu?

Açıkların Kapatılması && Çıkartım:

Yaşanan olaydan ders çıkartılması, süreçlerin iyileştirilmesi

Olay müdahalesi ile ilgili rapor oluşturulması,

·         Nelerin doğru nelerin yanlış gittiği,

·         Süreçleri iyileştirmek için yapılması gerekenler

·         Olayın kuruma maliyeti

·         Olay ile ilgili çıkartımlar

·         Olay müdahalesi sonucu kazanılan tecrübeler artı ve eksileri

·         Olay müdahalesinin başarısı

·         Olay müdahale planının güncellenmesi

Son aşamadan sonra döngü gibi tekrar olay müdahale planına dönülür.