TrumanBox - Transparente Emulation von Internetdiensten

Transkript

1 TrumanBox - Transparente Emulation von Internetdiensten 15. DFN Workshop Christian Gorecki Pi1 - Laboratory for Dependable Distributed Systems

2 TrumanBox Hintergrund - Es gibt Honeypots / Honeynets und Honeywall - Wünschenswert: Voller Zugriff auf das Internet, ohne das Risiko eine dritte Partei zu infizieren Emulation als Ausweg

3 Simulation InMAS - Status Report CW Emulation Es muss kein vollständiger Zugriff erlaubt werden Der Client muss nur denken, dass Zugriff möglich ist Emulation not have to grant Internet access. t need to make the intruder believe having access to it. ulation

4 Transparenz Bridging anstatt Routing - Transparenter Proxy Manipulation der Kommunikation - Platzierung der TrumanBox flexibel Unabhängig von Malware-Analyse-Plattform - CWSandbox und andere Plattformen möglich

5 Generisches Verhalten Generische Dienste - Es wird zur Verfügung gestellt, was angefragt wird Dynamisches Dateisystem Zugriff mit beliebigem Passwort Original-Banner einspielen - Jedes unterstützte Protokoll wird auf allen Netzwerkports angeboten HTTP auf TCP Port 5711 und FTP auf 80

6 Status: Modi Emulation: Dispatching zu lokalem Dienst Half-Proxy: Dispatching zu lokalem Dienst und Zusatzinformation von Original-Server Full-Proxy: Dispatching zu Original-Server und Inhalts-Filterung Transparent: Kein Dispatching, nur zum Logging und Beobachten One-Box-Emulation: Dienste werden auf einem Rechner auf einem Interface bereitgestellt

7 One-Box-Emulation

8 Status: Protokolle TCP - HTTP - FTP (passive) - SMTP - IRC ICMP UDP

9 ICMP & UDP ICMP Pakete werden tranzparent auf TrumanBox umgelenkt UDP - Per Default keine Antwort Echo-Responder

10 Analyseergebnisse Mit TrumanBox oft gleiche oder bessere Ergebnisse als ohne Manchmal schlechtere Ergebnisse: - Kein aktives FTP - Fehlende Authentifizierung im SMTP - Zufall (Fast) kein Unterschied zwischen Halb-Proxy und Emulations Modus

11 Bessere Ergebnisse? Oft sind Server nicht mehr online Ohne TrumanBox: - Entsprechende Funktionen werden nicht geschaltet Mit TrumanBox: - Interaktion ist dennoch geboten

12 recorded by the TrumanBox in Ausgewählte the same way as logging was demonstrated Bsp. in Chapter 4.1. In particularly noteworthy is that our TrumanBox recognizes the IRC protocol I on port Accordingly our protocol determination works as expected. Listing 2: Process 4 (TrumanBox emulation) 1 <winsock section> 2 <connections unknown> 3 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= 0 > 4 <gethostbyname r e q u e s t e d h o s t= new. najd. us 5 r e s u l t i n g a d d r= /> 6 </ c o n n e c t i o n> 7 </ connections unknown> 8 <c o n n e c t i o n s o u t g o i n g> 9 <c o n n e c t i o n p r o t o c o l= IRC c o n n e c t i o n e s t a b l i s h e d= 1 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= > 11 <i r c d a t a n i c k= gm n o n rfc c o n f o r m= 0 servername= 0 12 username= mbhvhefgz realname= gm hostname= 0 > 13 <channel password= dcpass name= #dc /> 14 <n o t i c e d e l e t e d value= : i r c. l o c a l h o s t NOTICE gm : S e r v e r is 15 c u r r e n t l y in s p l i t mode. /> 16 </ i r c d a t a> 17 </ c o n n e c t i o n> 18 </ c o n n e c t i o n s o u t g o i n g> 19 </ w i n s o c k section> remoteport= nick= gm username= mbhvhefgz channel password= dcpass As there is no spoofing implemented for the IRC protocol yet, reports obtained by channel name= #dc running the TrumanBox in half proxy mode are exactly the same as the given report for emulation mode. In the following we will consider reports created in half proxy mode only if there is any difference in the information reported.

13 Ausgewählte Bsp. II Listing 5: Process 6 (TrumanBox emulation) 1 2 <icmp s e c t i o n> 3 <ping r e q u e s t s i z e= 33 host= /> 4 <ping r e q u e s t s i z e= 33 host= /> 5 <ping r e q u e s t s i z e= 33 host= /> 6 <ping r e q u e s t s i z e= 33 host= /> 7 <ping r e q u e s t s i z e= 33 host= /> 8 <ping r e q u e s t s i z e= 33 host= /> [ s n i p 882 ICMP echo r e q u e s t s ] 12 <ping r e q u e s t s i z e= 33 host= /> 13 <ping r e q u e s t s i z e= 33 host= /> 14 <ping r e q u e s t s i z e= 33 host= /> 15 </ i c m p s e c t i o n> <w i n s o c k section> 18 <connections unknown> 19 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= 0 /> 20 </ connections unknown> 21 <c o n n e c t i o n s o u t g o i n g b l o c k e d> 22 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 139 /> 24 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 445 /> 26 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 139 /> 28 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 445 /> 30 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 139 /> 32 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 445 /> 34 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 139 /> 36 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 445 /> 38 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 139 /> 40 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 445 /> 42 </ c o n n e c t i o n s o u t g o i n g b l o c k e d> 43 </ w i n s o c k section> ping request_size= 33 host= transportprotocol= TCP remoteaddr= remoteport= 139

14 16 </ gethostbyname> 17 <gethostbyname r e q u e s t Ausgewählte e d h o s t= e x i t z. e r r 0 r. i n f o Bsp. III 18 r e s u l t i n g a d d r= /> 19 <gethostbyaddr r e q u e s t e d a d d r= r e s u l t i n g h o s t= admin 8dcf9cd48 20 q u a n t i t y= 3 /> 21 </ c o n n e c t i o n> 22 </ connections unknown> 23 <c o n n e c t i o n s o u t g o i n g> 24 <c o n n e c t i o n p r o t o c o l= HTTP c o n n e c t i o n e s t a b l i s h e d= 1 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 80 > 26 <h t t p d a t a> 27 <http cmd method= GET u r l= / h t t p v e r s i o n= HTTP/ 1. 0 > 28 <h eader data> 29 <header>host: windowsupdate. m i c r o s o f t. com</ header> 30 <header>pragma: no cache</ header> 31 </ header data> 32 </ http cmd> 33 </ h t t p d a t a> 34 </ c o n n e c t i o n> 35 <c o n n e c t i o n p r o t o c o l= IRC c o n n e c t i o n e s t a b l i s h e d= 1 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 6511 > 37 <i r c d a t a password= goahead n i c k= [ P00 DEU ] n o n rfc c o n f o r m= 0 38 servername= 0 username= XP 3563 realname= ADMIN 8DCF9CD48 password= goahead hostname= > 39 <channel password= norockeds name= #matrix /> 40 <n o t i c e d e l e t e d value= : i r c. l o c a l h o s t NOTICE nick= [P00 DEU 21482] [ : S e r v e r 41 is c u r r e n t l y in s p l i t mode. /> username= XP </ i r c d a t a> 43 </ c o n n e c t i o n> 44 <c o n n e c t i o n p r o t o c o l= HTTP c o n n e c t i o n e s t a b l i s h e d= 1 s o c k e t= t r a n s p o r t p r o t o c o l= TCP remoteaddr= remoteport= 80 channel name= #matrix > 46 <h t t p d a t a> 47 <http cmd method= GET u r l= /mute/ c / prxjdg. c g i 48 http v e r s i o n= HTTP/ 1. 0 > 49 <h eader data> 50 <header>host: hpcgi1. n i f t y. com</ header> 51 <header>pragma: no cache</ header> 52 </ header data> 53 </ http cmd> channel password= norockeds

15 TrumanBox & VMware TrumanBox unter VMware nicht stabil - Weder auf Windows, noch auf Linux Host - Grund: Bridging innerhalb eines virtuellen Netzwerkes TrumanBox auf nativem System

16 Christian Gorecki Fragen? Danke für Ihre Aufmerksamkeit! Pi1 - Laboratory for Dependable Distributed Systems

17 Bridging InMAS - Status Report C Packet-Flow Inside A Bridge Paketfluß innerhalb einer Bridge

18 How We Drive The Data Redirecting (cont d)

19 System Struktur Filesystem Log Files Server-Resp FTP HTTP IRC SMTP Content Manipulation According the Protocol Filesystem Structure Manipulation Content Matching Protocol Identification Logging Protocol Interception/Dispatching Internet Header Payload