Conficker A Review. Georg Kremsner, MSc FH St. Pölten IT-SeCX

Transkript

1 Conficker A Review Georg Kremsner, MSc FH St. Pölten IT-SeCX

2 Agenda Geschichte Funktion Infektion Arbeitsweise Varianten Features Desinfektion Schutz Weitere MS Malware ITSecX 2

3 Geschichte November 2008 Dezember 2008 Jänner 2009 Februar 2009 März 2009 April 2009 Conficker.A Conficker.B Conficker.C Conficker.D Conficker.E ITSecX 3

4 Namensfindung Conficker.A verbindet sich auf trafficconverter.biz Anagramm aus (fic)(con)(er) (con)(fic)(+k)(er) ITSecX 4

5 Funktion Wurm Ausnutzen einer Schwachstelle Einnistung Replikation Weiterverbreitung Weitere Aktionen abhängig von der Variante ITSecX 5

6 Hauptfeatures von Conficker automatische Verteilung in Netzwerken automatisches Update durch einen aus vielen Command & Control Servern Client- und Serverdienste in einer Instanz Eigenschutz ITSecX 6

7 Infektion RPC Schwachstelle MS USB Stick Autostart autorun.inf und obfuscated DLL im Recycler Windows Admin Shares ADMIN$ Security Tokens Passwortliste ITSecX 7

8 Infektion RPC RPC-Schwachstelle Malformed Packet Exploit Download von HTTP Server des Angreifer-Wurms Ausführen von Conficker ITSecX 8

9 Exkurs: MS MS Windows Server Service RPC Handling Advisory vom 23. Okt 2008 in Funktion NetprPathCanonicalize Pfad-Veränderung durch \.. wird nicht korrekt überprüft Zu viele Rückschritte im Pfad triggern Exploit ITSecX 9

10 Infektion Autorun USB-Wechselmedium Infizierte Maschine legt an autorun.inf RECYCLER\...\<generierter>.<name> Saubere Maschine Anschließen des infizierten Mediums Ausführung über autorun.inf ITSecX 10

11 Infektion Admin-Share Infizierte Maschine Security Tokens Suche nach weiteren Maschinen im Netzwerk NetUserEnum + Passwortliste ADMIN$ Share system32/<generierter>.<name> tasks/<name>.job Ausführung des Jobs ITSecX 11

12 Arbeitsweise I Infektion Nach Start Umbenennung von <generierter>.<name> in.dll Datum setzen und Verstecken der Datei Anlegen eines Mutex Autostart durch Registry-Eintrag in netsvcs-service Zufälliger, plausibel aussehender Name ITSecX 12

13 Arbeitsweise II externe IP eruieren lokalisierte Version evtl. nachgeladener Malware HTTP Server zufälliges Port weitere Kommunikation + Updates ITSecX 13

14 Conficker.A Update 250 Update-Domains / Tag 8 hard-coded Schlüssel für Updates Dropping-Funktion Antivirus XP (FakeAV) ITSecX 14

15 Conficker.B I Update 250 Update-Domains / Tag Neue Domain Generation Konstanten Mehr hard-coded Schlüssel Neue Krypto-Algorithmen Dropping-Funktion KEIN Fake-AV Anderer String für den globalen Mutex ITSecX 15

16 Conficker.B II Selbstschutz DNS Blocking Windows AutoUpdate beenden Erweiterte Anti-Debugging Techniken Andere Webseiten zum Eruieren der IP Adresse Portfreigabe in der Firewall ITSecX 16

17 Conficker.C I Update 500 Update-Domains / Tag NetBIOS UPdates über Named-Pipes EXE Dateien direkt übertragbar ITSecX 17

18 Conficker.C II Selbstschutz DNS Blocking Windows AutoUpdate beenden MS RPC-Patch rückgängig machen Autostart über netsvcs UND explorer ITSecX 18

19 Conficker.D I Update Update-Domains / Tag P2P-Updates push/pull Neue krypto-algorithmen für Updates auch als EXE verfügbar ITSecX 19

20 Conficker.D II Selbstschutz Anti-Malware Software deaktivieren DNS Blocking mehrere Speicherplätze zur Replikation neue Anti-Debugging-Tricks VMWare Detektion ITSecX 20

21 Conficker.E I Keine Neuinfektionen mehr Updaten von älteren Varianten anderer Infektionen Addon Update MS für Updates P2P-Updates push/pull ITSecX 21

22 Conficker.E II Selbstschutz DNS-Blocking Selbstlöschung an bestimmten Datum Dropper-Funktion Waledac (Spambot) SpyProtect 2009 (Scareware) ITSecX 22

23 Feature Verstecken Dateiattribute H Hidden S System Ausblenden versteckter Dateien Zugriffsverweigerung CreateFile Kein gemeinsamer Zugriff Systemrechte durch netsvcs Spätere Versionen: mehrere Kopien ITSecX 23

24 Feature Auto-Updates Datum Variable für Domain Generation tägliches Update Download vom Update Server digital signiert RC4-verschlüsselt Download weiterer Software möglich ITSecX 24

25 Feature P2P-Updates eigene Protokoll-Implementierung Suche nach Partnern über UDP Dateiübertragung über TCP Verbreitung weiterer Software möglich ITSecX 25

26 Feature DNS Blocking über API Hooking Blockliste hard-coded blockt DNS Anfragen AV-Hersteller Microsoft Update-Seiten ITSecX 26

27 Auffinden infizierter Rechner Virenschutz Wireshark im Netzwerk RPC Exploit-Versuche ITSecX 27

28 Infektion bereinigen Maschine vom Netzwerk trennen Malicious Software Removal Tool Neustart AV Installation vollständiger Scan nonficker-tool Neustart Netzwerkverbindung wieder herstellen ITSecX 28

29 nonficker-tool Entwickelt an Uni Bonn Legt Mutexe für bekannte Conficker- Versionen an Startet auch mit netsvcs (als erstes) Conficker beendet sich sofort, wenn Mutex erkannt wird Schutz vor doppelter Ausführung/Fehlverhalten ITSecX 29

30 Schutz vor Conficker ALLE Programme + OS aktuell halten Autorun deaktivieren in Windows-Domäne: ADMIN$ deaktivieren (Registry) strenge Domänenuser-Policy nonficker-tool unterschiedliche Passwörter Unnötige Shares vermeiden ITSecX 30

31 Weitere MS Malware Arpoc und Gimmiv Verteilung: Arpoc Trojaner: Gimmiv (stiehlt Passwörter) Clort Dropper für Trojan-Dropper für mehrstufige Infektionen ITSecX 31