Departement Wirtschaft. IT Forensics in action against malicious Software of the newest generation

Transkript

1 Departement Wirtschaft IT Forensics in action against malicious Software of the newest generation Dipl. Ing. Uwe Irmer

2 IT Security- Schnappschüsse 2

3 Malware der neuesten Generation Professionalität- wer steckt dahinter? Extrem hochentwickelte Malware APT: Advanced Persistent Threat 3

4 Jüngste Beispiele neuer Malware 2010 Stuxnet 2011 Duqu 2012Flame Operation High Roller 2013: Operation Blitzkrieg 2014: Wewill see3 4

5 Injection durch neue Malware PenetrateNetwork: Exploita zerodayvurlnerabilitytocompromisea web appserver Start withonlysomeservers orpc Ausspähen Netzwerk und Ressourcen Netzwerk erforschen und sich verbreiten Lange Zeit stillhalten 5

6 Injection durch neue Malware Beweise verschleiern: Logfiles löschen, Anti Malware deaktivieren Counter Forensics Systeme kompromittieren, Datendiebstahl: Backdoors, Bot Software Module nachladen Angriffe in Multi Stage Attacke und Langzeit: Mehrere Monate bis Jahre 6

7 Malware in Aktion Start der Aktion Sabotage Datentransfer Geldtransfer Oder was sonst3 Aktivieren entsprechender Module Einschalten Botnetze Verwirrung stiften Drittattacken wie DDos 7

8 Angriffsvektoren oder Website mit Ziel, Schadcode unbemerkt zu laden und zu installieren. Mobile Devices: USB Stick, Wechseldaten, Smartphones (ein Grossteil von Smartphones Android und ios sind bereits infiziert) Shares in Cloud IT (Internet Shares) 8

9 Typische Phasen eines Angriffs Eintritt: Drive bydownload aus infizierter Website oder aus mit Schadlink, Kontrolle über Browser des Benutzers Umleitung: Malware leitet den Browser auf Schad Website um Exploit: Installation Exploit Kit auf user PC Infektion: Installation weiterer Payload Ausführung 9

10 Teilnehmer Frage Welche Websites sind betroffen? 10

11 Beispiel für infizierte Websites 11

12 Weitere Tools und Features Download ExploitKits über Traffic distributionsystemstds. Verschleiern der Nachverfolgung. TDS Saturamit Geolocationund OS Erkennung. Malware wird an Zielsystem angepasst. Exploit Kits auf dem Schwarzmarkt für 500$, Blackhole Java Rhino: Skriptmodul um Schadcode ausserhalb Sandbox auszuführen. Java 7 oder ältervoraussetzung. 80% der Unternehmen haben noch kein Java Update. 12

13 Teilnehmer Session- Gegenmassnahmen Gegenmassnahmen 13

14 Analyse StuxNet, Flame & Co Analyse StuxNet Analyse Flame 14

15 Teilnehmer Session-Problematik herkömmlicher Massnahmen Problematik herkömmlicher Massnahmen 15

16 Wie kann IT Forensic unterstützen? Forensic kommt erst nach Incident zum Einsatz? Analyse: Ist Malware in den Systemen? Traditionelle Forensic, Analyse einzelner Systemkomponenten (Netzwerk, Hardware, Software) Live Analyse: Verdächtiger Netztraffic? Welche weiteren Aspekte um Malware zu identifizieren? 16

17 Traditionelle Forensic versus Live Forensic Klass. Forensic setzt einen konkreten Incident voraus. Darauf zielen alle Methoden und Vorgehen ab. Live Forensic: Untersuchung am «lebenden» System 17

18 Klassische Forensic 18

19 Klassische Forensic Fragen: Wurden Daten kompromittiert? Wie erfolgten Angriff und Eindringen? Was war geschehen? Wo ist es passiert? Wann ist es passiert? Wie wurde vorgegangen? 19

20 Klassische Forensic Methoden Disk Forensic Data Forensic 20

21 Ansätze für Live Forensic Wo hinterlassen APT Spuren? Netzwerk Traffic Authentication events Ausführen von Code (Module) 21

22 Methoden der Live Forensic Netzwerk Analyse Netzwerk Komponenten Firewall Web application Firewall WAF Ansatz: Visualisierung Netzwerkdaten Scanning Authentication events Scanning process creation: Dynamische Malware Analyse Statische Malware Analyse Memory Analyse 22

23 Ansatz: Forensic in der Software Entwicklung Software Development Lifecycle Quality gates Forensic Ansätze Keine Details in System Logs Login logging Validation ofsinglesignon 23

24 Teilnehmer Session- Schutz mittels IT Forensic anhand einer case study Schutz mittels IT Forensic anhand einer case study 25