Blast-o-Mat v4. Ein Ansatz zur automatischen Erkennung und Sperrung Malware infizierter Rechner. Rechen- und Kommunikationszentrum RWTH-Aachen

Transkript

1 Blast-o-Mat v4 Ein Ansatz zur automatischen Erkennung und Sperrung Malware infizierter Rechner Jan Göbel & Jens Hektor [goebel Rechen- und Kommunikationszentrum RWTH-Aachen 12. Juni 2007 J. Göbel & J. Hektor Blast-o-Mat v4 1/ 20

2 1 Blast-o-Mat v4 Überblick 2 Sensorik Nepenthes Sniffer Portscan Sensor SPAM Sensor 3 Blast-o-Mat Server XML Nachrichten Server Quarantäne Webseite Status Webseite Statistik 4 Zusammenfassung Inhalt J. Göbel & J. Hektor Blast-o-Mat v4 2/ 20

3 Überblick Blast-o-Mat v4 Überblick J. Göbel & J. Hektor Blast-o-Mat v4 3/ 20

4 Was ist Nepenthes? Nepenthes Low-Interaction Honeypot Emuliert nur Schwachstellen Keine False-Positives Sammelt Malware Analysiert Payload Extrahiert URL Download der Schadsoftware Modularer Aufbau Vulnerability Module Submission Module Logging Module J. Göbel & J. Hektor Blast-o-Mat v4 4/ 20

5 Nepenthes Übersicht J. Göbel & J. Hektor Blast-o-Mat v4 5/ 20

6 Beispiel Schwachstelle J. Göbel & J. Hektor Blast-o-Mat v4 6/ 20

7 Beispiel Shellcode Drei oft verwendete Arten von Shellcode: URL Shellcode BindPort Shellcode ConnectBack Shellcode Drei Methoden der codierung: Keine Codierung (Plaintext) Einfache XOR Codierung MultiByte XOR Codierng J. Göbel & J. Hektor Blast-o-Mat v4 7/ 20

8 Beispiel URL Shellcode URL Shellcode Keine Codierung Linux Tool: HexDump -C shellcode.bin J. Göbel & J. Hektor Blast-o-Mat v4 8/ 20

9 Beispiel XOR Shellcode XOR Codierung Linux Tool: ndisasm -b32 shellcode.bin XOR Key: 0xde Port 5300 J. Göbel & J. Hektor Blast-o-Mat v4 9/ 20

10 Beispiel MultiByte XOR Shellcode MultiByte XOR Codierung MultiByte XOR Key: 0xc21c66e0 Port 4444 J. Göbel & J. Hektor Blast-o-Mat v4 10/ 20

11 Logging Modul Blast-o-Mat Registrieren beim Event-System von Nepenthes Auslösen sobald ein Exploit erfolgreich ist J. Göbel & J. Hektor Blast-o-Mat v4 11/ 20

12 Blast-o-Mat Sniffer Sniffen von TCP SYN Packeten TcpDump: tcpdump -i eth0 tcp[tcpflags] & (tcp-syn tcp-ack) == tcp-syn Folgende Daten werden extrahiert: Zeitpunkt (Timestamp) Source IP Adresse und Port Target IP Adresse und Port Schreibe Daten in MySQL Datenbank J. Göbel & J. Hektor Blast-o-Mat v4 12/ 20

13 Blast-o-Mat Portscan Sensor Zählen von TCP SYN Packeten Schwellwert = 50 verschiedene Rechner J. Göbel & J. Hektor Blast-o-Mat v4 13/ 20

14 Blast-o-Mat SPAM Sensor Zählen von TCP SYN Packeten Sammeln von Absenderadressen mit Hilfe von TCPDump J. Göbel & J. Hektor Blast-o-Mat v4 14/ 20

15 XML Nachrichten Server Quarantäne Webseite Status Webseite Statistik Blast-o-Mat v4: Server Blast-o-Mat XML Nachrichten J. Göbel & J. Hektor Blast-o-Mat v4 15/ 20

16 XML Nachrichten Server Quarantäne Webseite Status Webseite Statistik Blast-o-Mat v4: Server Blast-o-Mat Server J. Göbel & J. Hektor Blast-o-Mat v4 16/ 20

17 XML Nachrichten Server Quarantäne Webseite Status Webseite Statistik Blast-o-Mat v4: Server Blast-o-Mat Quarantäne Webseite J. Göbel & J. Hektor Blast-o-Mat v4 17/ 20

18 XML Nachrichten Server Quarantäne Webseite Status Webseite Statistik Blast-o-Mat v4: Server Blast-o-Mat Status Webseite J. Göbel & J. Hektor Blast-o-Mat v4 18/ 20

19 XML Nachrichten Server Quarantäne Webseite Status Webseite Statistik Blast-o-Mat v4: Statistik Blast-o-Mat Vorfälle J. Göbel & J. Hektor Blast-o-Mat v4 19/ 20

20 Blast-o-Mat v4: Zusammenfassung Zusammenfassung Fragen? Verschiedene Sensoren: Nepenthes Sensor Portscan Sensor SPAM Sensor Durch XML Nachrichten leicht erweiterbar um neue Sensoren Zusätzlich Informationen durch Analyse von Malware J. Göbel & J. Hektor Blast-o-Mat v4 20/ 20