جعل باكز كبيرة توزيع البرمجيات الخبيثة (ولكن لا)

اشتهر فيرن باكسون ، أستاذ الهندسة الكهربائية وعلوم الكمبيوتر بجامعة كاليفورنيا ، بيركلي ، في مجتمع الأمن عن ورقة عام 2002 بعنوان "كيفية امتلاك الإنترنت في وقت فراغك" (من بين العديد من الأعمال المكررة الأخرى). بناءً على تحليل مفصل لديدان Code Red و Nimda ، شجعت الورقة الحاجة إلى "مركز لمكافحة الأمراض" عبر الإنترنت. في هذه الأيام ، يبحث Paxson في وضع مختلف للتعامل مع المشكلات الأمنية واسعة النطاق - التسلل. لقد أثار إعجابه والحضور بساطته الرئيسية في المؤتمر الدولي العاشر للبرامج الضارة وغير المرغوب فيها (MalCon 2015).

جعل باكز كبيرة في وقت فراغك

تريد أن تجعل باكز كبيرة في صناعة البرمجيات الخبيثة؟ ليس عليك أن تكون المبرمج. حتى إذا كانت لديك هذه المهارات ، فلا يتعين عليك تعلم جميع جوانب إنشاء البرامج الضارة وتوزيعها. هناك العديد من الوظائف المختلفة في النظام البيئي للبرامج الضارة.

الرقم الرئيسي في هذا النظام البيئي هو الوسيط ، الرجل الذي يعرف العمل ولكن ليس الترميز. لديه نوعان من العملاء. تحتوي برامج تشفير البرامج الضارة على برامج سيئة ترغب في تثبيتها على العديد من أجهزة الكمبيوتر الشخصية الاستهلاكية. يمكن أن يكون برنامج مكافحة فيروسات مزيفة ، رانسومواري ، مكونات الروبوتات ، أي شيء تقريبًا. ثم هناك الشركات التابعة والمبرمجون الذين لديهم الموارد اللازمة لتثبيت البرامج التعسفية على أنظمة غير محمية. يستخدمون تقنيات مثل التنزيل من محرك أقراص مباشر ، والبريد العشوائي ، والتصيد الاحتيالي لإلحاق أداة تنزيل على أنظمة الضحايا.

الآن تبدأ العجلات في الدوران. تتعاقد برامج تشفير البرامج الضارة على دفع السمسار للحصول على التعليمات البرمجية المثبتة على أكبر عدد ممكن من الأنظمة. تحصل الشركات التابعة على برامج التنزيل على أكبر عدد ممكن من الأنظمة. يقوم برنامج التنزيل بالاتصال بالوسيط ، الذي يقوم بتوفير البرامج الضارة من أجهزة الترميز ، على الأرجح حالات متعددة. والشركات التي تحصل على رواتبها على أساس عدد من المنشآت. الجميع يصنع ربحًا في نظام الدفع لكل تثبيت (PPI) ، وهذه الشبكات ضخمة.

وقال باكسون: "هناك بعض اللمعان هنا". "الوسيط لا يفعل أي شيء ، ولا يقتحم ، ولا يكتشف الاستغلال. الوسيط هو مجرد وسيط ، يحصل على الأرباح. لا يتعين على الشركات التابعة التفاوض مع الأشرار أو معرفة ما يجب فعله بعد الاقتحام. كل الاعضاء عليهم فقط القيام بدورهم ".

الأشرار لديهم سوء الأمن

"من الناحية التاريخية ، كان اكتشاف هجمات الشبكة بمثابة لعبة تضرب الخلد" ، كما أشار باكسون. صفعة واحدة هجوم ، آخر للملوثات العضوية الثابتة. إنها ليست لعبة يمكنك الفوز بها.

حاول فريقه اتباع نهج مختلف ضد نظام PPI هذا. قاموا بالتقاط عينات من مختلف برامج التنزيل وقاموا بتصميمها العكسي لتحديد كيفية تواصلهم مع الوسطاء المعنيين. مسلحين بهذه المعلومات ، ابتكروا نظامًا لتفجير الوسيط بطلبات البرامج الضارة القابلة للتنزيل. يستدعي باكسون هذه التقنية "الحلب" وسيط البرامج الضارة.

وقال باكسون "كنت تعتقد أن هذا سيفشل". "بالتأكيد لدى الوسيط نوع من نظام المصادقة ، أو الحد من الأسعار؟" لكن كما اتضح ، لم يفعلوا. "عناصر الجريمة السيبرانية التي لا تواجه البرامج الضارة متخلفة عن عشر سنوات في أمنها ، وربما خمسة عشر" ، وتابع. "إنهم يواجهون العملاء ، ولا يواجهون برامج ضارة." هناك تفاعل ثانٍ يقوم بموجبه التابع بمطالبة الائتمان بالتحميل ؛ تخطى فريق باكسون هذه الخطوة بشكل طبيعي.

في غضون خمسة أشهر ، حصدت التجربة مليون ثنائيات ، تمثل 9000 عائلة برمجيات خبيثة متميزة ، من أربعة برامج تابعة. عند ربط ذلك بقائمة تضم أكثر من 20 عائلة برمجيات خبيثة شائعة ، قرر الفريق أن هذا النوع من التوزيع يمكن أن يكون المتجه الأول لتوزيع البرامج الضارة. وقال باكسون: "وجدنا أن عيناتنا كانت قبل أسبوع من VirusTotal". "نحن نحصل عليه جديدًا. بمجرد أن يرغب السماسرة في دفعه للخارج ، فإننا نحصل عليه. بمجرد تشغيله على VirusTotal ، لن تضغط عليه".

ماذا يمكن أن نتسلل؟

أخذ فريق Paxson أيضًا مواقع الويب التي تبيع حسابات العمل للعديد من الخدمات المختلفة. وأشار إلى أن الحسابات صالحة تمامًا وليست غير قانونية على وجه التحديد ، لأن "الجريمة الوحيدة هي انتهاك شروط الخدمة". كلف Facebook و Google أقصى تكلفة بالألف لأنهما يتطلبان التحقق من الهاتف. حسابات Twitter ليست باهظة الثمن.

بعد الحصول على إذن Twitter ، اشترت المجموعة البحثية مجموعة كبيرة من الحسابات المزيفة. من خلال تحليل الحسابات ، بما في ذلك البيانات الوصفية المقدمة من Twitter ، قاموا بتطوير خوارزمية للكشف عن الحسابات التي تم إنشاؤها باستخدام نفس تقنية التسجيل الآلي ، مع دقة 99.462 ٪. باستخدام هذه الخوارزمية ، قام Twitter بإنزال هذه الحسابات ؛ في اليوم التالي ، كان على مواقع بيع الحسابات الإعلان عن نفاد مخزونها. وأشار باكسون إلى أنه "كان من الأفضل إنهاء الحسابات عند الاستخدام لأول مرة". "هذا من شأنه أن يخلق البلبلة ويقوض النظام البيئي في الواقع."

من المؤكد أنك حصلت على عرض غير مرغوب فيه لبيع مكملات الأداء الذكور ، و Rolexes "الحقيقي" ، وكذا. الشيء المشترك بينهما هو أنه يتعين عليهم في الواقع قبول الدفع وشحن المنتج لك. هناك الكثير من الروابط التي تدخل في إرسال البريد العشوائي إلى علبة الوارد الخاصة بك ، والتعامل مع عملية الشراء ، وتقديم المنتج إليك. من خلال شراء بعض العناصر القانونية فعليًا ، وجدوا أن الرابط الضعيف في هذا النظام هو تصفية معاملة بطاقة الائتمان. وقال باكسون: "بدلاً من محاولة تعطيل الروبوتات المزعجة المزعجة ، جعلناها غير مفيدة". كيف؟ أقنعوا مزود بطاقات الائتمان بإدراج ثلاثة بنوك في القائمة السوداء في أذربيجان ولاتفيا وسانت كيتس ونيفيس.

إذن ما هو الوجبات الجاهزة؟ وقال باكسون "من خلال هجوم إنترنت واسع النطاق حقًا ، لا توجد طريقة سهلة لمنع التسلل. التسلل أكثر فاعلية من محاولة حماية كل نقطة نهاية".

MalCon هو مؤتمر أمان صغير جدًا ، يضم حوالي 50 مشاركًا ، يجمع الأكاديميين والصناعة والصحافة والحكومة معًا. تدعمها جامعة برانديز ومعهد مهندسي الكهرباء والإلكترونيات (IEEE) ، من بين آخرين. وتشمل الجهات الراعية لهذا العام مايكروسوفت و Secudit. لقد رأيت عددًا من الأوراق من MalCon تظهر بعد سنوات قليلة ، مع إجراء المزيد من الأبحاث الناضجة ، في مؤتمر Black Hat ، لذلك فإنني أعلق عن كثب ما تم تقديمه هنا.