St?? ??s?a e?a?t?µaste ap? ta ???a t?? fa?tas?a? t?? e??st?te d?a?e???st?-e????µat?a t?? Command & Control Server. ?? s????e?? d?ast????t?te? t??? pe???aµß????? ???p? t?ape????? ???a??asµ??, cookies, ??d???? mail, ftp, social networks etc. St?? te?e?ta?e? e?d?se?? ????µe de? ep?s?? t?? p??s???? t?? p??? ???st?? VNC ??a “???ta??” s??des? µe t? ??µa!

?? p????µe t? e?de??µe?? ?µ?? p?? ?????µe ?a p????µe t?? e????µat??? ?e?t?????a t?? d??t??? p?? pe?????feta? st?? pa?ap??? e????a. ?a p???µata e??a? ap??, ?e????µe p?????ta? t??? “?a????” st?? a??ste?? µe??? ?a? s??e?????µe te?µat????ta? t? ?e?t?????a t?? Control Server p?? ß??s?eta? st?? ????f?. ??t? µp??e? ?a s?µße? e?te te?µat????ta? t? C&C e?te, ?p?? ???eta? p????? f???? ?ata????ta? ta DNS Records p?? ?d????? se a?t??. ?ts? af????µe ??? t? d??t?? a??fa??, ?a µ?? pe?te de ??at?e???µe t??? as?e?e?? d??ad? ta ??µata a??? ? ??sµ?? e??a? s?????? ?a? de? µp????µe ?a t??? s?s??µe ?????, t??????st?? de? ???d??e???? ap? ep?p???? ??µ??.

?a?? µ???? ed? a??? t? s??s? ????? ?sa pe?????f??ta? µe t?? 8? ?a?t???; S??d???ta? ??at? st? 8/3/2012 ?a ??e?se? µ?a se??? ap? servers p?? ap?te???? ??µµ?t? e??? ???? e?a??a?t???? e?d??? Botnet.

?? pe??s??µe st? p?a?t??? ??µµ?t? ?a d??µe t? a???ß?? ???e? ??a ap? ta malware variants µ???? e?te?es?e? se ??p??? ?p?????st?-??µa.

??te???ta? ???p?? t? e? ???? malware pa?a????????µe µe t?? ???st? “Process Monitor” ?a? st? “Process Tree” ß??p??µe t? process 04e53b… (md5 hash) t? ?p??? µe t? se??? t?? e?te?e? ta ???st? iexplore.exe & ipconfig.exe.

St? s????e?a ß??p??µe t? iexplore.exe ?a e?te?e? t? Operation RegSetValue st? Registry key “HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{2563F443-38A2-4EDE-B59E-E9D925208AC9}\NameServer”

?? a? p?µe sta e?d?te?a a?t?? t?? d?ad??as?a? t?te ?a d??µe p?? ???fe? st? registry ta pa?a??t?.

St?? ??s?a p???e?ta? ??a ?ept? ?e????????? ep?µßas? st? ??µa a??????ta? ap?? t??? DNS Servers p?? ???s?µ?p?????ta? ap? t? s?st?µa. Fa?tast??? ?a µp????se ?a pe? ?a?e??! ??t??, p???e?ta? ??a t??µe?? e???µat??? t??p? pa?ap????s?? t?? ??µ?t??. St?? ??s?a ??a ?p??? dns query e?te?este? µet? t?? “µ????” a?t? a??a?? ?? e????µat?e? ????? t?? p???? ??e??? t?? ap??t?s??. ?? ??µa e??a? p?? ??a ta pe??ss?te?a sites ?a µa? d?s??? t?? s?st?? IPs e?t?? ap? a?t? p?? t??? e?d?af????? ?p?te e?e? µa? ?ate??????? se d????? t??? servers s?st? d?aµ??f?µ????? ?ste ?a µa? ap?sp?s??? ?p??a p????f???a ????? ?? ap?te?? s??p?. ??t??aµß??este ???p?? t? d??aµ? p?? ap??t??? µ??? ?a? µ??? µe t?? ??e??? t?? DNS e??t?µ?t?? t?? ??µat??. ?e ß?s? ta pa?ap??? ???eta? ?ata???t? p?? ep????t??e ?? ???µa t?? malware t? DnsChanger!

G?a ?a epa??????µe st?? a????? t?t??, p?? s??d???ta? ta pa?ap??? µe t?? 8? ?a?t???; ?? FBI p?? ??e? eµp?a?e? st?? ?p??es? µet? t?? s?????e?? t?? ?pe?????? t? ???µß??? t?? 2011 (6 ?t?µa st?? ?s????a) ?a p??e? t??? pa????µ??? DNS Servers st?? pa?ap??? ?µe??µ???a ?p?te ?sa ??µata e??a? a??µa ???µ?sµ??a µe a?t??? p??a??tata ?a ß?e???? e?t?? internet.

?? s?efte?te p?? t? malware e??a? s?et??? pa??? ?a? p??a??tata de? ???d??e???µe p??pe? ?a ???ete p?? ????? ?????f???se? e?d?se?? t?? p?? ?????? a??et? “?a??” d???e?? ??a?t? t?? AV ?? ep?s?? ta pe??ss?te?a malware µet? t?? ep?t??? t??? e??at?stas? ape?e???p????? t?? a?t?µat? e??µ???s? t?? e??atest?µ???? AV.

????? t? DnsChanger ??e? ?e?t?????e? ??a static & dynamic IPs ?a? t? ep?s?? ????fa?? e??a? p?? e??a? ?????f???se? e?d?se?? ?p?? e??a? t? d??at?t?ta ?a a??????? t? network configuration se p?????? ADSL Routers! ??? ????ta? a?t?; µe µ?a ??sta ap? ta default username/passwords ??a a??et??? routers t?? a????? ?p?te ??a?e t?? apa?a?t?te? a??a??? st? pa?as????? st? ???µ?sµ??? ?? default gateway IP.

http://www.fbi.gov/newyork/press-releases/2011/manhattan-u.s.-attorney-charges-seven-individuals-for-engineering-sophisticated-internet-fraud-scheme-that-infected-millions-of-computers-worldwide-and-manipulated-internet-advertising-business  (???s??te ta stat?st??? st???e?a)

http://www.fbi.gov/news/stories/2011/november/malware_110911/DNS-changer-malware.pdf

http://www.dcwg.org/index.html

????µe ?a? ??µe ???p??, t? de??µa µa? ?p?? ?a de?te ??e? ?aµ??? de??t? “p??stas?a?” . ??ßa?a a?t? s?µßa??e? ??at? s??e??? t?? te?e?ta?e? ?µ??e? a??????? t?? ??d??a ?ste ?a p??spe????? a?e?????ta ap? ta AVs ?st? ?a? p??s?????.

?? pe??s??µe st?? e?t??es? t?? ?a d??µe p?? s?µpe??f??eta? t? d?aß????? µa?!

1. Dns query ??a t? xxxxx.ka3k.com ?p?? ß??s?eta? ? IRC Server µa?

2. S??des? µe user/pass ?a? ?ate??e?a? e?t????

?p?? ß??pete µa? ?ate????e? ?a ?ateß?s??µe t? “ngui.exe” ?a? ?a t? ap????e?s??µe ?? “ngdhd.exe” ? ??? d?ad??as?a ???eta? a?t?µat?p???µ??a ?a? ????? t?? ?p??a d???e?? µa? ß?ßa?a.

????? ?at?ße? t? a??e?? µa? e?te?e?ta? ?µesa ?a? ß?ßa?a ?p?? ???e malware p?? s?ßeta? t?? ea?t? t?? f???t??e? t?? e?t??es? t?? se ???e system startup. ??t? ep?t?????eta? µe t?? pa?a??t? t??p?

??µ?????e? ??t? ap? t? C:\Recycler (Recycle Bin Windows XP), ??a subfolder µe ??t? p?? µ????e? µe SID a??? de? e??a?, p??s??te t? R-1-5-21! ????? ??at? ta Security Identifiers (http://support.microsoft.com/kb/243330) ?e?????? µe “S” ?? ??? µe “R”, pa?ap?a??t??? te?????. ?p?s?? t?p??ete? st?? ?d?? f??e?? t? ecleaner.exe ?a? t???? ???e? t?? apa?a?t?t? e???af? st? registry st? pa?a??t? ??e?d? (http://technet.microsoft.com/en-us/library/cc957402.aspx)

St? s????e?a ???p?? t? a??e?? p?? ?at?ß??e t? “ngdhd.exe” ???e? unpack t?? ??d??a t?? st? Twswsp.exe

?a? ß?ßa?a µe t? se??? t?? ???e? t?? a?????e? registry ???µ?se?? ??a ?a e?asfa??se? t?? a?t?µat? e?t??es? se ???e epa?e?????s?.

?s?? af??? t? a??e?? ngui.exe st? virustotal.com ????µe ta pa?a??t? ap?te??sµata

????? ed? ???p?? ????µe 2 ??a a??e?a t? ecleaner.exe (µ??? clean de? ???e?!) & t? twswsp.exe ta ?p??a e?te????ta? se ???e e?????s?. ?? 2? a??e?? fa??eta? p?? e??a? t? p????aµµa ep????????a? µe t? C&C Server ??a pe?a?t??? e?t????.

St? s????e?a a????e? t? ??f? af?? ?ateßa????? a??µa µe???? e?te??s?µa ta ?p??a te???? p?????? aµ?s?? d???e?? ?a? ep?????????? µe ???? web server ?p?? ?ateß????? ta pa?a??t?:

?? ???µa t?? Web Directory /spm/ µ????? p??d?de? t? s??p? ?pa???? t?? (spam). ?d? st?? ??s?a a?t?e? se ???pt???af?µ??? µ??f? email accounts ??a t?? ap?st??? t?? mails.

?p?te af?? ???p?? ????? ?at?ße? ??a ta apa?a?t?ta e??a?e?a ?a? ???µ?se?? ?e????e? ? µa???? ap?st??? µa?.

?a s?µp????s? p?? ??a ap? ta executables p?? ?ateßa??e? ??e? anti-debugging µ??a??sµ?, d??ad? µ???? ß?e? a????t? processes ap? ???st? tools ?p?? procmon, ollydbg, wireshartk etc ta ??e??e? aµ?s??.

????? ??a ?a p????µe µ?a ?a?? ?d?a ??a t?? d??stas? ?a? t? d?asp??? a?t?? t?? e?e??e??? pa?a??t? t?? pa?a??t? e????a:

?d? ape????????ta? ?? 4 ßas???? servers ?a? ? ????? t???. 2 Web Servers ap? t??? ?p????? ?ateßa????? ta malware ?a? 2 IRC C&C Servers.

?a?? s????e?a se ?????, p?? ?a d?a????? a??µa µe???? mails ap? t? Junk Folder µ??!

? ?p??es?a ???p?? ?e?t????e? ?? e???, ? mail server ?ta? d??eta? e?se???µe?? a???????af?a e????e? t?? IP (p.?. 192.168.0.1) t?? ap?st???a ?????ta? t? query 1.0.168.192.zen.spamhous.org. ?ts? se ?p???? dns ?a? ?a ???e? t? e??t?µa te???? ?a p??pe? ?a p??e? t? s?st? ap??t?s? µ?a? ?a? t? domain e??a? t? zen.spamhous.org. ???a a?a????? t?? ap??t?s? ? mail server ?ata?aßa??e? a? p???e?ta? ??a spam sender ? ???.

?p?te 1? ß?µa ?ta? ?a d??µe a? ? Exchange ??t?? ???e? a?t? p?? p??pe? d??ad? ?a st???e? ta e??t?µata, ??a network trace µa? d??e? t?? ap??t?s?

?a?ap??? fa??eta? ? e??t?s? ??a t?? IP 116.71.33.70 (??µ??e? ptr record a??? de? e??a?)

?? ed? fa??eta? ? ap??t?s? ??a t?? e??t?s?, “No such name” µe ß?s? t?? ?d???e? ap? t? spamhaus ? IP e??a? e?t??e? ?a? µp??e? ?a p??????se? ? smtp ep????????a.

???s??te st? set e??t?s??-ap??t?s?? p?? ?p???e? t? Transaction ID, ??t? p??? ???s?µ? ??at? de s?µa??e? p??ta p?? ? ap??t?s? ??a t? dns query e??a? p??ta t? aµ?s?? ep?µe?? pa??t?, ?p?te µp????µe ?a ?????µe µe t? Transaction ID p?? e??a? ?????.

??e????ta? t?? pa?ap??? pa????es? fa??eta? ???p?? p?? ? Exchange ??t?? ???e? t?? e??t?se?? p?? p??pe? ?a? pa???e? apa?t?se?? ????? p??ß??µa ap? ??p??a e?d??µes? s?s?e?? ? ??t? ???? pe??e???. ?? ep?µe?? ß?µa ?ta? ?a ß?? ??p??a spammer IP ?a? ?a d???µ?s??µe ?ate??e?a?, ???s?µ?p????ta? ???p?? t? http://spam-ip.com/list-1.html d?a???? t?? “hausernamef6 70.77.56.209 toddbutler1128@aol.com.

?p?te ???? t? dns query st?? DNS p?? ???s?µ?p??e? ? pe??t?? (8.8.8.8)

C:\>nslookup 209.56.77.70.zen.spamhaus.org 8.8.8.8
Server:  google-public-dns-a.google.com
Address:  8.8.8.8

*** google-public-dns-a.google.com can't find 209.56.77.70.zen.spamhaus.org: Non-existent domain

??t?? ? s???e???µ???? DNS ep?st??fe? t? ???st? ap??t?s? p?? d????e? p?? ? e???af? e??a? ?a?a??.

?p???asµ???? ???? t? ?d?? e??t?µa se ??p???? ????? DNS

C:\>nslookup 209.56.77.70.zen.spamhaus.org 194.30.220.110
Server:  ns0.hol.gr
Address:  194.30.220.110

Non-authoritative answer:
Name:    209.56.77.70.zen.spamhaus.org
Address:  127.0.0.11

?p?? ß??pete ???p?? ? ap??t?s? p?? ep?st??fe? d????e? p?? ? IP a???e? se ??p???? spammer (pe??ss?te?a ed? http://www.spamhaus.org/faq/answers.lasso?section=DNSBL Usage#252)

?? s???ß? ???p??; ? Google t??? Public DNS ?a? p??fa??? de d??e? apa?t?se?? ??a ta s???e???µ??a domain. ?p??????µa? p?? ????e ??at? ?? public DNS p????????ta? ??a ap?? web browsing ?a? ??? ???s? t?t???? ?p??es??? p?? ß?µßa?d????? ??????e?t??? t??? DNS s??e??? µe dns queries.

Κ?τι ακ?μα που συναντ?ω συχν? ε?ναι πως ?ταν υπ?ρχει απα?τηση να δοθε? στην εφαρμογ? username/password για τα ldap queries δ?νεται ε?κολα Domain Admin account, φανταστε?τε λοιπ?ν πως ?ταν το Admin account κ?νει authentication, simple bind ?πως λ?γεται στο ldap protocol, τα username/password θα ταξιδ?ψουν απ? την μ?α μερι? στην ?λλη σε μορφ? clear text.

Για να φτ?σω στο προκε?μενο, βρ?σκομαι μια μ?ρα σε πελ?τη ?που υπ?ρχει εγκατεστημ?νο web service (?χι Microsoft) το οπο?ο χρησιμοποιε? secure ldap για να πιστοποι?σει τους χρ?στες που κ?νουν login. Για την υλοπο?ηση του secure ldap χρησιμοποιε?ται certificate ?πως και στην περ?πτωση του https. Τα πιστοποιητικ? ?μως ξ?ρετε ?χουν την κακ? συν?θεια να λ?γουν και να μας κ?νουν τη ζω? δ?σκολη. Εμε?ς β?βαια ως αν?τερα ?ντα δεν ασχολο?μαστε με αυτ? παρ? μ?νο αφο? λ?ξουν! ?τσι λοιπ?ν στο συγκεκριμ?νο πελ?τη ?ληξε το πιστοποιητικ? και πα?ει να λειτουργε? ο μηχανισμ?ς authentication με αποτ?λεσμα το portal για τους εξωτερικο?ς συνεργ?τες να μην λειτουργε? πλ?ον.

Χαμ?ς! Επιπλ?ον οι διαχειριστ?ς, ?χοντας “πλ?ρη” γν?ση της υποδομ?ς αποφασ?ζουν μ?σα σε ?λα να αλλ?ξουν και τον κωδικ? του χρ?στη που χρησιμοποιε?ται για τα ldap queries. O κωδικ?ς ?λλαξε για το χρ?στη στο AD και ενημερ?θηκε αντ?στοιχα στο web service του portal μ?σω κ?ποιας web φ?ρμας.

Ο πελ?της με τη βο?θεια μας καταλαβα?νει πως το πρ?βλημα προ?ρχεται απ? το ληγμ?νο πιστοποιητικ? οπ?τε και ξεκιν?ει η διαδικασ?α και εκδ?δεται ν?ο σ?μφωνα με το ?ρθρο

How to enable LDAP over SSL with a third-party certification authority

Εγκαθ?σταται λοιπ?ν στον DC και οι διαχειριστ?ς περιμ?νουν να επιστρ?ψουν στις δουλει?ς τους για ακ?μα 1 χρ?νο μ?χρι να λ?ξει κι αυτ?, ?μως αναπ?ντεχα κ?τι συνεχ?ζει να μην πηγα?νει καλ? και το authentication των χρηστ?ν συνεχ?ζει να αποτυγχ?νει!

Μιλ?ντας με ανθρ?πους που γνωρ?ζουν το web service το πρ?βλημα δε?χνει να προ?ρχεται απ? την εφαρμογ? που περι?ργως ?χει κρατ?σει τον παλι? κωδικ? παρ?λο που ?χουν ενημερωθε? ?λα τα απαρα?τητα config files με τον ν?ο κωδικ?.  Δυστυχ?ς τον παλι? κωδικ? δεν τον θυμ?ται κανε?ς οπ?τε κι εδ? φτ?νουμε σε αδι?ξοδο!

Εδ? λοιπ?ν αναλαμβ?νω δρ?ση και γνωρ?ζοντας πως το πιστοποιητικ? ε?ναι exportable το εξ?γω μαζ? με το Private Key και κ?νω decrypt ?πως φα?νεται παρακ?τω.

Εδ? φα?νονται τα SSL commands που χρησιμοποιο?νται για την επ?τευξη της κρυπτογρ?φησης Client Hello, Server Hello, Certificate κ.ο.κ. Επ?σης ?πειτα βλ?πουμε το κομμ?τι Application Data ?που εκε? στην ουσ?α ε?ναι τα κρυπτογραφημ?να δεδομ?να.

Ο Server αποστ?λλει το certificate

Εν? εδ? φα?νεται το “follow tcp stream” της επικοινων?ας ?που στην ουσ?α ?λα ε?ναι encrypted, εκτ?ς των SSL commands που φα?νονται στην κορυφ?.

Για να λ?σω το πρ?βλημα κ?νω τα εξ?ς, μετατρ?πω το certificate απ? μορφ? .pfx σε αρχε?ο τ?που .pem. Αυτ? επιτυγχ?νεται με το Openssl for Windows ?που εκτελο?με την εντολ?

openssl pkcs12 -in c:\temp\ldaps.pfx -out c:\temp\ldaps.pem -nodes –nocerts ?που in ε?ναι το πιστοποιητικ? που ?χουμε και αντ?στοιχα out ε?ναι αυτ? που θα παραχθε?.

Η ?λη διαδικασ?α γ?νεται επειδ? στο pfx υπ?ρχει το Private Key αλλ? ε?ναι κλειδωμ?νο το αρχε?ο με κωδικ? εν? το pem ?χει το Private Key χωρ?ς να ?χει κ?ποιο κωδικ? το αρχε?ο. To Wireshark δεν μπορε? να διαβ?σει pfx αλλ? pem αρχε?α. Οπ?τε λοιπ?ν αφο? π?ρουμε το pem file π?με στο Wireshark –> Edit –> Preferences –> Protocols –> SSL και προσθ?τουμε τα παρακ?τω

Εδ? λ?με πως θα προσπαθ?σει να κ?νει decrypt για ?λες τις IPs (ε?ναι το πιο ασφαλ?ς), στην tcp port 636, αυτ? που θα κ?νει decrypt ε?ναι ldap και τ?λος που βρ?σκεται το certificate. * Προσοχ? στο τα διαχωριστικ? ε?ναι κ?μματα (,)

Εκε? λοιπ?ν που πριν δεν μπορο?σαμε να διαβ?σουμε τ?ποτα τ?ρα ε?ναι

Προσ?ξτε ?τι εκτ?ς απ? το SSL Handshake ?χουμε το ldap command bind (ldap authentication), οπ?τε αν π?με στα περιεχ?μενα του bindrequest

?που το password φα?νεται πως ε?ναι το “P@ssw0rd”.

Για να επιστρ?ψω π?σω στο αρχικ? πρ?βλημα ?ντως η εφαρμογ? ε?χε “κολλ?σει” με τον παλι? κωδικ? που τον βρ?καμε ?τσι και κ?ναμε εκ ν?ου password reset στο χρ?στη στο AD και ?τσι λ?θηκε το πρ?βλημα. Δεν απαντ?θηκε β?βαια για ποιο λ?γο ε?χε κολλ?σει η εφαρμογ? αλλ? τουλ?χιστον το σ?στημα ?ταν π?λι παραγωγικ? και υπ?ρχε ?νετος χρ?νος για διερε?νηση. Β?βαια ο ενθουσιασμ?ς των διαχειριστ?ν ?ταν τερ?στιος και σε αυτ? συν?βαλλε η ε?ρεση του κρυπτογραφημ?νου κωδικο?, κ?τι που γενικ? συναρπ?ζει τον κ?σμο.

Κλε?νοντας να αναφ?ρω πως και τον Netmon μπορε? να κ?νει SSL Decrypt με τη χρ?ση του NMDecrypt (http://nmdecrypt.codeplex.com/releases/view/61943) και μ?λιστα κ?νοντας απ’ ευθε?ας χρ?ση του pfx file γνωρ?ζοντας β?βαια τον κωδικ?. Το αρνητικ? ε?ναι πως δεν ε?ναι real-time αλλ? χρει?ζεται η κ?νηση να ε?ναι αποθηκευμ?νη σε .cap εκ των προτ?ρων.

Η εγκατ?σταση ε?χε ως εξ?ς:

Η εξωτερικ? αλληλογραφ?α κατ?ληγε στον Edge και αυτ?ς ?πειτα ?κανε relay στον Hub-Transport. Απ? την μερι? του TMG κ?ναμε publishing την smtp υπηρεσ?α (tcp port 25) του hub προς τον edge. Στην ουσ?α αυτ? που γ?νεται ε?ναι πως στην εξωτερικ? κ?ρτα του TMG ενεργοποιε?ται listener στην 25 tcp port που δρομολογε? ?τι κ?νηση εμφανιστε? στον εσωτερικ? αφο? β?βαια την ελ?γξει.

Π?σω στο πρ?βλημα, μ?λις τοποθετ?θηκε ο TMG τ?τε στον Edge εμφανιζ?ταν μ?νυμα λ?θους πως δεν μπορο?σε να δρομολογ?σει τα μην?ματα και αυτ? παρ?μεναν στη λεγ?μενη “ουρ?”. Σαν πρ?το β?μα π?ραμε network trace απ? τον Hub.

H επικοινων?α φιλτραρισμ?νη με την εντολ? smtp, ?πως βλ?πετε ε?ναι πολ? σ?ντομη! Οι 2 servers 10.101.0.26 (hub-transport) & 192.168.167.5 (edge) συνδ?ονται και σχεδ?ν αμ?σως ο edge κλε?νει το καν?λι.

Δεν πρ?πει β?βαια να ξεχν?με πως αυτ? που βλ?πουμε ε?ναι η επικοινων?α μεταξ? εσωτερικο? interface TMG & Hub. Αυτ? γιατ? το firewall engine δεν μεταβιβ?ζει τις εντολ?ς που δ?χεται στο εξωτερικ? interface αλλ? τις ελ?γχει-φιλτρ?ρει και ?πειτα ανο?γει 2ο καν?λι επικοινων?ας στο εσωτερικ? interface και περν?ει ?ποιες θεωρε? ασφαλε?ς.

Τo tcp stream της προηγο?μενης επικοινων?ας ?χει ως εξ?ς:

Μπλε: Hub-transport

Κ?κκινο: Edge, TMG

Μ?χρι εδ? ε?ναι προφαν?ς πως για κ?ποιο λ?γο (ακ?μα δεν ξ?ρουμε) ο TMG αποφ?σισε να διακ?ψει την επικοινων?α στ?λνοντας την εντολ? QUIT.

Επ?μενο β?μα, αν?λογο trace στον Edge.

Εδ? τα πρ?γματα αρχ?ζουν να ξεκαθαρ?ζουν, παρατηρ?στε τα frames 127-128 ?που πλ?ον ο Edge στ?λνει κ?ποια εντολ? (X-AnonymousTLS) και ο TMG απαντ? Invalid command. Αναλυτικ?τερα:

Μπλε: Hub-transport, TMG

Κ?κκινο: Edge

Φα?νεται λοιπ?ν πως ο Edge κ?νει χρ?ση της εντολ?ς “X-AnonymousTLS” και ο TMG απαντ?ει “421 5.5.1 Invalid command”. Βλ?πετε λοιπ?ν πως ο TMG ?ντως ελ?γχει τις εντολ?ς που περν?νε στο application layer και επεμβα?νει ?που χρειαστε?.

Τ?ρα για την επ?λυση του συγκεκριμ?νου προβλ?ματος χρει?στηκε να επ?μβουμε στο SMTP Filter που βρ?σκεται με τα υπ?λοιπα application filters

Οπ?τε οι ιδι?τητες του φ?λτρου ε?ναι ?πως αναμ?νεται

και δεν υπ?ρχει η εν λ?γω εντολ?, μετ? την προσθ?κη της το πρ?βλημα λ?θηκε ευθ?ς αμ?σως.

Μπορε? να φα?νεται δ?σκολο σε κ?ποια σημε?α το troubleshooting αλλ? για να επιτευχθε? πρ?πει να ?χουμε κατανο?σει πως ακριβ?ς λειτουργο?ν τα application layer firewalls (το λ?ει και ο τ?τλος τους αλ?θεια) σε αντ?θεση με τα Stateful Firewalls που στην ουσ?α επιτρ?πουν ? ?χι συγκεκριμ?νες π?ρτες αγνο?ντας και χωρ?ς να επεμβα?νουν στα δεδομ?να της επικοινων?ας. Τα statefull firewalls δεν ελ?γχουν καν αν τα δεδομ?να που διακινο?νται ?χουν σχ?ση με το πρωτ?κολλο π.χ. tcp port 80 –> http.

Πριν ξεκιν?σω ας δο?με τι λ?ει το www.virustotal.com σχετικ? με τα executables που κατ?βηκαν.

Τι να πω; τα νο?μερα μιλ?νε απ? μ?να τους! Βλ?πετε π?σο χαμηλ? ε?ναι το ποσοστ? εντοπισμο? απ? τα Antivirus.

Οπ?τε ας π?ρουμε μια καλ? ιδ?α απ? τα πλο?σια ταλ?ντα του συγκεκριμ?νου malware. Καταρχ?ς περι?χει ρουτ?να ?στε ?ταν εκτελε?ται να τερματ?ζει οποιοδ?ποτε monitor tool τ?που process monitor, wireshark, process explorer etc. Πρ?κειται για πολ? δημοφιλ? τεχνικ? που χρησιμοποιε?ται αρκετ? ?στε να δυσκολ?ψει την αν?λυση.

Εκτελ?ντας λοιπ?ν το malware συμβα?νουν τα εξ?ς:

1. DNS query για το ?νομα ms.mobilerequests.com, ακο?γεται πραγματικ?/ν?μιμο αλλ? δεν ε?ναι!
2. To συγκεκριμ?νο bot αν?κει στην κατηγορ?α mariposa ? butterfly ? rimecud και χρησιμοποιε? σε αντ?θεση με ?λλα udp πρωτ?κολλο για την επικοινων?α με τον C&C Server
3. Εδ? βλ?πουμε πως γ?νεται reverse lookup για την IP του bot ?στε να μ?θει το fully qualified domain name και κατ’ επ?κταση τον ISP. Θα καταλ?βετε παρακ?τω το λ?γο.
4. Ακολουθε? π?λι επικοινων?α με τα “κεντρικ?” για επιπλ?ον εντολ?ς!
5. Στα επ?μενα β?ματα πραγματοποιε?ται download διαφ?ρων αρχε?ων τα οπο?α μην σας ξεγελ?ει η κατ?ληξη πρ?κειται για executables.
6. Ενδεικτικ? δε?τε το 2ο file dateonewo.ol μ?σα απ? hex editor ?που προδ?δεται και η ταυτ?τητ? του
7. Εδ? πλ?ον κατεβα?νει το serv.exe ?που ε?ναι και η κ?ρια εφαρμογ? που εκτελε?ται στο εξ?ς και γι’ αυτ? μ?λλον ?χει και το ευφ?νταστο ?νομα serv –> server.

Συνεχ?ζοντας …

1. Συνδ?εται στους smtp του hotmail  και για κ?ποιο λ?γο δεν προσπαθε? να στε?λει κ?ποιο “ωφ?λιμο” mail.
2. Σε αυτ? το σημε?ο συνδ?εται σε web service και ζητ?ει το /spm/s_get_host.php?ver=522 και η επικοινων?α ε?ναι

GET /spm/s_get_host.php?ver=522 HTTP/1.0
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; VS2)
Host: 91.200.242.230
Accept: */*
Connection: Close

HTTP/1.0 200 OK
Content-Type: text/html; charset=ISO-8859-1
Connection: close

athedsl-132631.home.otenet.gr

Αυτ? στην ουσ?α που ζητ?σαμε ε?ναι να μ?θουμε το hostname μας ?πως ?χει καταγραφε? στους C&C.

Στο 3ο β?μα βλ?πουμε πως εκτελε? dns query αλλ? για mx record, δηλαδ? προσπαθε? να βρει τον mail exchanger του ISP μου. Αυτ? συνδ?εται με το β?μα 3 στην προηγο?μενη παρ?γραφο ?που εκτ?λεσε reverse lookup για να μ?θει τον fqdn μου ?ρα και τον π?ροχο που αν?κω. Οπ?τε βλ?πουμε να προσπαθε? απεγνωσμ?να να εντοπ?σει τον smtp server του ISP ρωτ?ντας δι?φορους DNS serves.

Γιατ? θ?λει τον mx server? Η απ?ντηση προφαν?ς, spam και ακολουθε?:

Η smtp επικοινων?α (μπλε smtp server, κ?κκινο bot)

SMTP spam

220 speedy.otenet.gr ESMTP Sun, 5 Dec 2010 12:20:26 +0200

HELO athedsl-132631.home.otenet.gr

250 speedy.otenet.gr Hello athedsl-132631.home.otenet.gr [85.75.93.182], pleased to meet you

MAIL FROM:<ann_hvoz@msn.com>

550 5.7.1 Rejected: 85.75.93.182 listed as spam source at http://www.spamhaus.org/

Β?βαια τα πολυτ?λαντο bot δεν σταματ? εδ? κι ?τσι ταυτ?χρονα προσπαθε? να στρατολογ?σει και ?λλα bots

Αυτ? που φα?νεται παραπ?νω ε?ναι προσπ?θειες σ?νδεσης στην 445/tcp (smb) διαφ?ρων IPs οπ?τε ?ποια βρεθε? και δεν ?χει τα απαρα?τητα updates να ?λθει αμ?σως στις υπηρεσ?ες μας!

Συνοψ?ζοντας

Πρ?κειται για botnet με ποικ?λα χαρακτηριστικ?, να σημει?σω εδ? πως τα περισσ?τερα απ? τα εκτελ?σιμα που κατ?βηκαν ε?ναι επιπλ?ον trojan ? εφαρμογ?ς τ?που fake AV, fake antispam etc.

Επ?σης για να μη νομ?ζετε πως οι web servers που κρατο?ν τα συγκεκριμ?να αρχε?α ε?ναι μ?ρος του κυκλ?ματος δε?τε το παρακ?τω:

?λλος ?νας απ? τους πολλο?ς web servers ?που εν αγνο?α των υπευθ?νων μοιρ?ζει malware.

Τ?λος σε ?λη την επικοινων?α εμφανιζ?ταν παντο? η πληροφορ?α PASS laorosr ?πως φα?νεται και παρακ?τω.

Μ?νο τη συγκεκριμ?νη ?κφραση αν ψ?ξετε στο internet θα δε?τε πως τα περισσ?τερα αποτελ?σματα συνδ?ονται με κακ?βουλη χρ?ση.

E????? t? s?µp??asµa p?? p??? eµe?? st?? Microsoft ??t? ????µe a????e? st? Office 2007 ?a? d?µ?????e? a?t? ta p??ß??µata. St?? p??????µe?? p??tas? de? e?µa? a???t????, s?µßa????? ?? a?t? ap?? µ??e? ?a ap?de???e? ????a?.

Se pa??µ??e? pe??pt?se?? ta p???µata e??a? s?et??? e????a ??at? a?t? p?? ??e?a??µaste e??a? 2 traces, ??a ap? t?? s?st? ?a? de?te?? ap? t?? p??ß??µat??? ?e?t?????a, ?ste ?a ?????µe s?????s? µeta?? t??? ?a? ?a ß?e?e? t? e??a? a?t? p?? s?µßa??e? ? de s?µßa??e? st?? p??ß??µat??? pe??pt?s?.

??s??????

? t?t??? ??e? ?a ???e? ?a?a?? µe t? ?e?t?????a t?? p??t??????? SMB t? ?p??? e??a? s?et??? pe??p???? ?ste ?a ?ataf??e? ?a ???e? ?t? ???e? ??a eµ??. ??? st?????? ???p?? ta 2 network traces, ??a ??a ???e pe??pt?s? (p??ß??µat??? & ??) ?p?te ??a ?a d?e?e???s? t? p??ß??µa ??a?a ta e??? ß?µata:

1. ?p?µ????? t? tcp connection p?? ???s?µ?p??????e ??a t?? µetaf??? t?? .xls & .xlsx a??e??? se ???e ??a ap? ta traces ?a? ap????e?? se ??? a??e??. ??t? ???eta? a?a??t??ta? st? st??? Info t? a??e?? p?? µetaf?????e (test_MS.xls & test_MS.xlsx) ?a? ep??????ta? right click –> follow tcp stream. ?et? ap????e?? µ??? ta displayed packets.

2. ???????µe ta 2 ??a p???? traces µe t? wireshark ?a? ???s?µ?p????µe display filter “smb2” . ??t? t? ?????µe ??at? ?????µe ?a ep??e?t?????µe sta smb commands p?? ???s?µ?p??????a?. SMB2 e??a? ? ??a ??d?s? t?? smb ?a? ???s?µ?p??e?ta? µeta?? ?e?t???? ?e?t????????.

3. ?pe?ta ep??????µe

File –> Print (?a? print!) ?a? ep??????µe ?p?? fa??eta? st?? e????a, output to txt file ?a? µ??? “Packet Summary Line”

?ts? ?ata?????µe se txt file ?p?? e?e? ???t?sa t?? st??e? Source, Destination & Info. ?p?te p???? a??????µe ta 2 txt files ?a? s????????µe µe ??p??? notepad compare tool.

??t? p?? fa??eta? st?? pa?a??t? e????a e??a? ? s?????s? µeta?? t?? 2 trace files. ???a? d?s???? ?a µ?? p??s????µe ?t? ??t? s?µßa??e? st? de??? µe??? ?p?? p??ß???eta? ? p??ß??µat??? ?e?t?????a.

?p???e? µe????? a???µ?? ap? Lock Request File: & Lock Response. ??at?????ta? st? documentation ß??s?? p?? a?t? p?? ß??p? e??a? OPLOCK_Break Notification ?p?? ?ts? ? server e??µe???e? t?? client ?t? de? µp??e? ?a “??e?d?se?” t? a??e??.

????µe ?a ?????µe µe ??t? p?? s?µßa??e? st? server ?a? d?µ?????e? p??ß??µata st?? p??sßas? t?? .xls a??e???. ?? p??t? p???µa p?? p??e t? µ?a?? µ??, t??a??; ?ta? t? Antivirus ?a? ß?ßa?a ?ta? ? pe??t?? ??a?e exclude ta *.xls ap? t? AV ? ?a??st???s? e?afa??st??e.

??ßa?a a?t? de? e??a? ??s? a??? workaround ??at? ?ts? d?µ???????µe ???a ?e?? asfa?e?a?, ?p?? ?ata?aßa??ete.

?p?? e?pa ?a? pa?ap??? t? SMB e??a? p???p???? p??t?????? µe t?? ?????a ?t? pe????e? µe???? p????? ap? e?t???? ?a? ?e?t?????e?. Se ?se? pe??pt?se?? ??e? ??e?aste? ?a ???e? troubleshoot t? smb t?te a?at???? st? ep?s?µ? documentation http://msdn.microsoft.com/en-us/library/cc216517(PROT.10).aspx. ?p??e?te ?a ???ete download ta 2 files ap? t?? pa???t? d?e????se??:

• Windows Communication Protocols (MCPP) download package

• Windows Server Protocols (WSPP) download package

Sta pdf p?? ?a ß?e?te ?p???e? pe????af? ??a ???e ?e?t?????a t?? windows protocols. ???a? ??t? sa? Windows RFCs!

?e t?? pa?ap??? pe????af? ??e?a ?a pa???s??s? e?a??a?t??? t??p? s?????s?? 2 network traces.

?? ??? ???eta? ?a p??s??se?, µa ßeßa??? asf??e?a!

?? portable document format ???s?µ?p??e?ta? e????? ??a t?? a?ta??a?? ?e?µ???? µ?s? internet ?p?te ? µe???? t?? d?µ?t???t?ta de? p??ase apa?at???t? ap? t??? ??ße???-e????µat?e?. H Adobe µe t?? te?e?ta?a ??d?s? p??spa?e? ?a ß??e? t???? se ??e? t?? ad??aµ?e? p?? ????? eµfa??ste? t?? te?e?ta?? ?a??? ?p?? µ?s? pdf files ?p???a? ?? p???p???se?? ??a t?? e?t??es? shellcodes.

??t? ep?t?????eta? µ?s? t?? e?s?µat?µ???? ?e?t?????a? protected mode a??????? µe a?t?? p?? ????µe ?d? st?? Internet Explorer. ?e t? ???s? t?? protected mode de? ep?t??peta? ?aµ?a e????e?a e?t?? t?? reader. (e???af? st? file system, e?t??es? ??d?a?? ??p).

Προσωπικ? θεωρ? πως το επ?πεδο διοργ?νωσης κιν?θηκε σε πολ? υψηλ? επ?πεδα και αν αναλογιστε? κανε?ς το γεγον?ς πως η οργανωτικ? επιτροπ? ε?ναι ?νθρωποι (κοινο? θνητο? ) που αφιερ?νουν μεγ?λο κομμ?τι του προσωπικο? τους χρ?νου τ?τε νομ?ζω πως ?να event με ~350 συμμετ?σχοντες αντικατοπτρ?ζει το π?θος και την αφοσ?ωση που ?δειξαν! ?τσι καταλ?ξαμε να ?χουμε πολλαπλ? παρ?λληλα sessions με πολ? αξι?λογα θ?ματα και ομιλητ?ς. Για τα ελληνικ? δεδομ?να αποτελε? ορ?σημο το γεγον?ς ?τι μαζευτ?καμε ?λοι εκε? το Σαββατοκ?ριακο, αφ?νοντας π?σω ελε?θερο χρ?νο, οικογ?νειες, παιδι? κοκ, ?στε να μοιραστο?με εμπειρ?ες, γν?σεις αλλ? και πολ? γ?λιο!

Απ? την μερι? μου αισθ?νομαι ιδια?τερα χαρο?μενος που μπ?ρεσα να μοιραστ? μαζ? με την κοιν?τητα τις “I.T. Ανησυχ?ες” μου. ?ταν μοναδικ? εμπειρ?α να μοιραστ? τις αναζητ?σεις μου με σκοπ? να αποκτ?σουμε ?λοι καλ?τερη ?ποψη για το πως εκτυλ?σσεται το ?γκλημα στο διαδ?κτυο.

Τ?λος ?σον αφορ? την παρουσ?αση για το Active Directory ελπ?ζω ?σους δι?κοψα απ?τομα να κατ?λαβαν πως αυτ? ?γινε στα πλα?σια του να κερδ?σουμε ?σο το δυνατ?ν περισσ?τερο χρ?νο για γν?ση.

Υ.Σ. Μην ξεχ?σω ?πως υποσχ?θηκα εδ? θα βρε?τε και τις παρουσι?σεις μου σε μορφ? pdf!

Καλ? δι?βασμα  

IT_PRO.pdf

????? aµ?s?? e????? t? replication st??? 2 ?p?pt??? DCs µe t?? e?t???

repadmin /replsum <server name>

?p?? d?ap?st??? p?? de? ?p???e? ?a???a ap???t?? p??ß??µa replication. ?pa?t? ???p?? st? s???de?f? p?? de? ?p???e? ??p??? p??ß??µa a??? a?t?? ep?µ??e? p?? s?????a ?p???e? ??µa.

G?a ?a ß?????µe µ?a ???? ??t?? ?a µ??? t? e??a? a?t? p?? ??t?e? µ?s? t?? ldap query ?a? pa???e? d?af??et???? apa?t?se??. ? ap??t?s? p?? ????e? ??a t? group membership e??? ???st? ?a? ap? t?? dcA ß??pe? 6 groups e?? ap? t?? dcB µ??? 1.

???spa???ta? ?a d?ap?st?s? ta pa?ap??? d??? t?? e?t???

dsquery * –s dcA “cn=user,ou=somewhere,dc=root,dc=gr” –attr memberOf

dsquery * –s dcB “cn=user,ou=somewhere,dc=root,dc=gr” –attr memberOf

St?? ??s?a µe t?? pa?ap??? e?t???? e?te?? ldap query ?p?? ??t?? ap? t??? DC/ldap servers ?a µ?? ep?st?????? t?? t?µ? t?? attribute memberOf ?p?? ??ate?ta? t? group membership ??a t? ???st?. ???s??te t? ???s? t?? Distinguished Names ?p?? e??a? ? default t??p?? st?? e?t???? dsquery, dsget dsmod etc. ?a??µ??a e?t??? e??a? ?

dsget user –s dcA “cn=user,ou=somewhere,dc=root,dc=gr” –memberOf

Se ??e? t?? pe??pt?se?? ? ap??t?s? e??a? ?d?a (6 groups) ??a t??? DCs p?? t? custom utility ap?t?????e? ?a p??e? ????? ap?te??sµata. ?p?te st?? ep?µ??? t?? te?e?ta??? de ß??p? ???? ??s? ap? t? ?a ??t?s? t? tool p?? ???s?µ?p??e? ?ste ?a t? d?e?e???s? ap? p??t? ????.

??te?? ???p?? t? utility ?a? pa??????a ???? network trace ?ste ?a d? ta ldap queries p?? p?a?µat?p?????ta?. ?? p??t?????? ldap a? de? ???s?µ?p??e? ssl (ldaps –> port 636) e??a? clear text ?a? µp????µe ?a d??µe ta pe??e??µe?a ????? d?s????a ?????ta? ???s? t?? display fitler tcp.port==389.

??s? t?? custom ldap tool ??t?? t? group membership t?? e? ???? ???st? ap? t??? 2 DCs ?a? ??t?? pa???? d?af??et??? ap?te??sµata!

?? ????ta? pe?ste? ?e??? p?? ? ap??t?s? ???eta? s?st? ap? t??? DCs a??? ??a ??p??? ???? t? ldap tool de? t? eµfa???e?. ?p?te ??????a e????? t? µ??e??? t?? te????? ap??t?s?? st?? 2 e??t?se??.

?d? µe pe??µ??e? ? p??t? ??p???? ?p?? fa??eta? ?a? pa?a??t?:

?p? t?? 1? DC ? ap??t?s? ??e? µ??e??? 1004bytes, e?? ap? t?? 2?

? ap??t?s? ??e? µ??e??? 446bytes!!

???? pe??e??a p???µata ?p?te p??a??? ?a e????? ta pe??e??µe?a t?? 2 s???e???µ???? pa??t?? (packet details). ?d? µe pe??µ??e? ? de?te?? ??p????:

? 1?? DC ep?st??fe? 6 groups (memberOf) e?? a?t??eta ? 2??

µ??? 1!!
?e???? ?p?????? fa?t?sµata de? µp??e? ?a e?????e? a?????! ? developer t?? ldap tool ??e? d????.

?p???e? BUG st? Active Directory!!!

?p??a??pt???a

??ta? d?sp?st?? s??e???? t? d?e?e???s? t?? ???? ldap query p?? ????e ap? t? tool, t? ?p??? e?te?e? ta ß?µata ?? e???:

???p? ???p?? µ?s? t?? network trace p?? e?te?e? µ?a se??? ap? ß?µata – ldap queries.

?????? d??eta? t? username (samAccountName) ?? input ?a? a?a??t? µe a?t? t? cn (canonicalName) t?? ???st?. ???ad? d????µe user01 ?a? ????e? ??a t? cn p.?. Ge?????? ?. ??sta?t??a.

?e??e??? p?? ? p????aµµat?st?? ap?f?s?se ?a t? ?e???ste? ?ts? a??? a? p?µe pa?a??t? ?a d??µe t? s?µßa??e?.

O? ap??t?s? ???p??, ?aµß??e? t? ???µatep???µ? t?? ???st? (xxxxxx ?. ???sta?t??a) ?p?te t? ldap tool s??e???e? a?a??t??ta? t? group membership t?? ???st? µe a?t? t? ???µatep???µ? (CN).

?? cn ap?st???eta? st??? 2 d?af??et????? DCs ?a? pe??µ??e? ?a de? t? attribute memberOf (group membership).

A?t? p?? s?µßa??e? e??a? p?? ?p???e? s?????µ?a, ?p?????? d??ad? 2 “xxxxxx ?. ???sta?t??a” ?a? ?? 2 a?t?? ???ste? de? a?????? sta ?d?a groups

??t? fa??eta? ?e???a?a ap? t? Distinguished Name t?? 2 users p?? ?a? µe? ????? t? ?d?? ???µa CN a??? p???e?ta? ??a d?af??et????? ?p?te ?a? a?????? se ???a OUs.

CN=user01,OU=Users,OU=GrandsUsers,OU=InteractiveUsers,OU=AllUsers,DC=axyz,DC=root,DC=abc12,DC=gr

CN=user01,OU=TemporaryUsersPool,OU=GrandsUsers,OU=InteractiveUsers,OU=AllUsers,DC=axyz,DC=root,DC=abc12,DC=gr

?? pa?ap??? ep?ßeßa?????e ep?s?? ?a? µ?sa ap? t?? ???s??a “Active Directory Users & Computers”

??e????ta?..

F????e ???p?? p?? ? s?ed?asµ?? t?? efa?µ???? ?d???se se esfa?µ??a s?µpe??sµata ßas???µe??? st? ?????? ?t? ? efa?µ??? (ldap query tool) e??a? ?a?’ ??a s?st? ?a? s?????a t? p??ß??µa e?t?p??eta? st?? µe??? t?? Active Directory. ?? p??ß??µa ?a e??e ap?fe???e? a? e??a? ep??e??e? a?t? t?? CN t? Distinguished Name (cn=user01,ou=…,dc=..) ? t? samAccountName.

????? ??a ?a d?s? ??a a?t?st???? pa??de??µa se ?s??? p??a??? µp??de?a, t? pa?ap??? e??a? sa? ?a pa???aµe t???f??? st?? p????f???e? ?ata????? ?a? ?a ??t??saµe t? t???f???? t?? “?apad?p????? ??sta” ????? ?a d??aµe ?aµ?a ep?p???? p????f???a (d?e????s?, t?, ep???e?µa ??p)!

??sa d?af??et??? ap?te??sµata ?a µa?e?aµe; ?ts? a???ß?? ?e?t??????? ?? ?at?????? e?te e??a? t??ef?????? e?te ldap.