Aufgabe 3 Storm-Worm

Transkript

1 Aufgabe 3 Storm-Worm Bot: kompromittierte Maschine Kommunikationskanal, der dem Angreifer die Kontrolle über den Bot und somit das System gestattet Botnetz: Zusammenschluss mehrerer Bots koordinierte Distributed-Denial-Of-Service-Angriffe (DDoS) zentralisierte Kontrollstruktur: Command&Control-Server (klassisch) P2P-Botnetz: Bots sind sowohl Server als auch Client 1

2 Aufgabe 3 Storm-Worm Kommunikation: eigener IRC-Server und Befehle über Channel Bots verbinden sich autonom zu diesem Channel, um auf Befehle zu lauschen. HTTP-Server Verschlüsselung der Botkommunikation möglich P2P: Verteilte Hash-Tabellen (z. B. Protokoll Kademlia) Remote Procedure Calls um Informationen auszutauschen (Overlay network) 2

3 Aufgabe 3 Storm-Worm Storm-Worm hybrides Botnetz aus P2P-Komponenten und wenigen zentralen Kontrollkomponenten Auch als Peacomm, Zhelatin, Nuwar und Peed bekannt Einsatz einer Vielzahl erstmalig kombinierter Techniken Architektur ändert sich relativ schnell 3

4 Verbreitungsmechanismen: Aufgabe 3a) Storm-Worm 4

5 Verbreitungsmechanismen: Anhang von s Spammails Aufgabe 3a) Storm-Worm Social Engineering: (Harmlose) Datei herunterzuladen, bei der es sich um eine Storm-Binärdatei handelt Browser-Exploits ausnutzen (meist ältere), die jeweils die unbemerkte Installation des Bots auf einem Windows32-System ermöglichen (Drive-by-Download) bei Datei-Ausführung wird PC infiziert: Zombie des Botnetzes (Merkmal: Trojaner) Verbreitung in Blogs 5

6 Aufgabe 3b) Storm-Worm Aufgaben: 6

7 Aufgabe 3b) Storm-Worm Aufgaben: Versenden von Spam Teilnahme an DDoS-Angriffen 7

8 Systemverhalten Infektion: Aufgabe 3b) Storm-Worm 8

9 Systemverhalten Infektion: Aufgabe 3b) Storm-Worm Storm-Datei: Zunächst wird ein Teil der enthaltenen Daten per XOR-Operation entschlüsselt entschlüsselte Datenbereich (Code) ist verantwortlich für die Infektion von Systemtreibern, Erstellen von benötigten Dateien und das Entschlüsseln des eigentlichen Bot-Codes Umgehen des Windows-Dateischutz durch eine undokumentierte API- Funktion, um Systemtreiber mit dem Einsprungspunkt des Rootkits zu infizieren. Eintragung in der Registry, die die Windows-Firewall für den Bot deaktiviert 9

10 Aufgabe 3b) Storm-Worm Funktionen: 10

11 Aufgabe 3b) Storm-Worm Funktionen: Websites mit Links auf Schadcode modifizieren Generell: Sammlung von Daten, speziell adressen DoS-Attacken gegen Anti-Spam- und Anti-Malware-Unternehmen Selbstverteidigung des Netzes: DoS-Attacken bei auffälligem Verhalten (viele Downloads Storm-Binärdatei) 11

12 Aufgabe 3b) Storm-Worm Tarn-Techniken, Rootkit-Techniken: 12

13 Aufgabe 3b) Storm-Worm Tarn-Techniken, Rootkit-Techniken: Einsatz von server-based Polymorphismus: Code des Programms neu verschlüsselt und mit einem Laufzeitpacker komprimieren Unterschied in Größe und somit auch in MD5-Checksumme Exploit-Generierung dynamisch durch Javascript Erkennung, ob System in einer virtuellen Maschine Bot stellt seine Funktion ein oder bringt die virtuelle Maschine zum Absturz Storm-Binary wird aus der Liste der ausgeführten Prozesse ausgeblendet und alle von Storm angelegten und benötigten Dateien werden versteckt. 13

14 Aufgabe 3b) Storm-Worm Tarn-Techniken, Rootkit-Techniken: sicherheitsrelevante Systemdienste, sowie Sicherheitssoftware von Drittherstellern, wie Firewalls und Antivirenprogramme werden deaktiviert Eintragungen in der Windows-Registry Fast-Flux Netzwerk neuere Storm-Varianten: Verschlüsselung der P2P-Kommunikation (Overnet) Vorbereitung zum Verkauf von Teilen des Botnetzes 14

15 Aufgabe 3c) Storm-Worm Betriebsmodi: 15

16 Aufgabe 3c) Storm-Worm Betriebsmodi: Spam-Bot, falls PC hinter NA(P)T-fähigem Gerät (z. B. Router), auch Teilnahme an DDoS-Angriffen möglich Gateway, falls alle Ports frei zugänglich (sog. Superknoten) Wahl Betriebsmodi anhand P2P-Kommunikation feststellbar 16

17 Aufgabe 3c) Storm-Worm Spam-Bot: 17

18 Aufgabe 3c) Storm-Worm Spam-Bot: durchsucht die Festplatten des Computers nach Adressen (Spyware) Ziel: massenhaftes Versenden von Spam s Mailtypen: Verbreitungsmails & kommerzielle Mails 18

19 Aufgabe 3c) Storm-Worm Gateway: 19

20 Aufgabe 3c) Storm-Worm Gateway: Vermittlungsstelle zwischen Spam-Bots und Kontrollknoten Kommunikation mit den Kontrollknoten per HTTP 20