بعض الديدان تستخدم قوتها من أجل الخير

[HalhulTech]

يعرف البستانيون أن الديدان جيدة. يعرف متخصصو الأمن السيبراني أن الديدان ضارة . سيئة جدا. في الواقع ، الديدان حرفياً هي القوة الأكثر تدميراً للشر التي يعرفها عالم الحوسبة. تحمل دودة MyDoom موقعًا مشكوكًا فيه لأكثر البرامج الضارة تكلفة على الإطلاق - مسؤولة عن حوالي 52 مليار دولار من الأضرار. في المرتبة الثانية ... سوبيج ، دودة أخرى.

ومع ذلك ، اتضح أن هناك استثناءات لكل قاعدة. بعض الديدان البيولوجية غير مرحب بها في معظم الحدائق. ويبدو أن بعض الديدان الإلكترونية يمكنها استخدام قواها من أجل الخير ...​

قابل هوبر ، الدودة الطيبة​

أدوات الكشف ليست جيدة في التقاط التكاثر غير القائم على الاستغلال ، وهو أفضل ما تفعله الديدان. معظم حلول الأمن السيبراني أقل مرونة في مواجهة أساليب الهجوم الدودي مثل انتحال الهوية الرمزية وغيرها من الحلول التي تستفيد من التكوينات الداخلية المعيبة - PAM ، والتجزئة ، وتخزين بيانات الاعتماد غير الآمن ، والمزيد.

لذا ، ما هي أفضل طريقة للتغلب على دودة خفية من دودة أخرى خفية؟

وهكذا ولدت هوبر! يعد Hopper دودة حقيقية ، مع القيادة والتحكم ، وتصعيد الامتيازات المضمنة ، والعديد من إمكانيات Wormkind الأكثر انحرافًا. ولكن على عكس معظم الديدان ، تم بناء هوبر لفعل الخير . بدلاً من التسبب في ضرر ، يخبر هوبر مشغلي القبعة البيضاء أين وكيف نجحوا في التسلل إلى الشبكة. إنها توضح إلى أي مدى وصلت ، وما وجدته على طول الطريق ، وكيفية تحسين الدفاعات.

عن قرب وشخصي مع هوبر​

اعتمد فريق التطوير في Cymulate هوبر على برنامج ضار مشترك - وهو ملف تنفيذي صغير يعمل كحمولة أولية ، والهدف الأساسي منه هو إعداد حمولة أكبر. يعمل stager الخاص بنا أيضًا كحزم PE ، وهو برنامج يقوم بتحميل البرامج وتنفيذها بشكل غير مباشر ، عادةً من حزمة.

تمت كتابة جهاز تخزين هوبر بطريقة لا يلزم تغيير الحمولة الأولية إذا أجرينا تحديثًا على هوبر. هذا يعني أن استبعاد التجزئة في كل تحديث قد تحول إلى محفوظات ، ويحتاج مستخدمو Hopper فقط إلى استبعاد تجزئة Stager مرة واحدة. كما أن كتابة المُجرِّب بهذه الطريقة يفتح الطريق أمام تنفيذ الأدوات الأخرى التي يحتاجها هوبر.

لتعظيم مرونة هوبر ، أضاف فريقنا طرق تنفيذ أولية مختلفة ، وطرق اتصال إضافية ، وطرق مختلفة لجلب حمولة المرحلة الأولى ، وطرق الحقن المختلفة ، والمزيد. ولإنشاء دودة خفية للغاية ، نحتاج إلى السماح بأقصى قدر من التخصيص للميزات الخفية ، لذلك قمنا بإجراء تكوينات يتحكم فيها المشغل بالكامل تقريبًا:

• تكوين الحمولة الأولية - طرق تنفيذ قابلة للتكوين بالكامل بما في ذلك البرامج التنفيذية والمكتبات ونصوص بايثون وأكواد القشرة ونصوص PowerShell والمزيد
• تكوين الحمولة الصافية للمرحلة الأولى - طرق جلب الحزمة القابلة للتخصيص وطرق حقن الحزمة (على سبيل المثال ، الحقن العاكس)
• تكوين منارة المرحلة الثانية - قنوات اتصال مخصصة ، والحفاظ على التوقيت الحي والمهلة ، وعدم الاستقرار
• API - إضافة قدرات جديدة عبر الهواء للسماح بتوسيع مستقبلي أسهل للقدرات ، بما في ذلك طرق الاتصال وطرق الانتشار والمآثر

التنفيذ وإدارة الاعتماد والنشر​

التنفيذ الأولي لـ هوبر في الذاكرة وعلى مراحل. المرحلة الأولى هي كعب صغير ذو قدرة محدودة. يعرف هذا كعب الروتين كيفية تشغيل جزء أكثر أهمية من التعليمات البرمجية بدلاً من احتواء الكود داخل نفسه - مما يجعل من الصعب تمييز هذا كملف ضار. لتصعيد الامتياز ، اخترنا طرقًا مختلفة لتجاوز UAC ، واستغلال الخدمات الضعيفة مثل Spooler واستخدام الخدمات أو التشغيل التلقائي للحصول على امتياز أو ثبات. الفكرة هنا هي أن يستخدم هوبر الحد الأدنى من الامتيازات اللازمة لتحقيق أهدافه. على سبيل المثال ، إذا كان الجهاز يوفر وصول المستخدم إلى الجهاز المستهدف ، فقد لا يحتاج Hopper إلى رفع الامتيازات للانتشار إلى ذلك الجهاز المستهدف.

يتميز Hopper بإدارة بيانات الاعتماد المركزية ، والتي تمكنه من توزيع بيانات الاعتماد بين مثيلات Hopper بحكم الضرورة - مما يعني أن جميع Hoppers لديهم إمكانية الوصول إلى بيانات الاعتماد المجمعة ، مما يلغي الحاجة إلى تكرار قاعدة بيانات الاعتماد الحساسة عبر الأجهزة الأخرى.

للنشر ، يفضل هوبر التكوينات الخاطئة على الثغرات. السبب؟ يمكن أن تتسبب برمجيات إكسبلويت في تعطل الأنظمة ، فهي تبرز أكثر ويمكن التعرف عليها بسهولة من خلال منتجات مراقبة الشبكة / IPS ومنتجات EDR. من ناحية أخرى ، لا يتم اكتشاف التكوينات الخاطئة بسهولة كنشاط ضار. على سبيل المثال ، قد تؤدي التكوينات الخاطئة لـ Active Directory إلى وصول المستخدم إلى مورد لا يجب أن يكون لديه حق الوصول إليه ، وبالتالي يؤدي إلى الانتشار. وبالمثل ، قد تسمح التكوينات الخاطئة للبرامج للمستخدم بتنفيذ التعليمات البرمجية عن بُعد وبالتالي تؤدي إلى الانتشار.

التخفي و C & C الاتصالات​

اختار فريق Cymulate التنفيذ داخل الذاكرة لـ Hopper ، نظرًا لأن تشفير البرامج الضارة في الذاكرة لم يعد قيد الاستخدام يمكن أن يعطل قدرة منتجات EDR على بصمات محتوى الذاكرة. علاوة على ذلك ، يستخدم التنفيذ في الذاكرة مكالمات نظام مباشرة بدلاً من استدعاءات API ، والتي يمكن مراقبتها بواسطة منتجات EDR. إذا احتاج هوبر إلى استخدام وظائف API ، فإنه يكتشف ويفرغ تحميل خطافات EDR قبل القيام بذلك.

للحفاظ على التخفي ، يتواصل هوبر مع القيادة والتحكم أثناء ساعات العمل عن طريق إخفاء النشاط بالنشاط العادي لساعة العمل في أنماط توقيت عشوائية. كما أنه يتواصل فقط مع الخوادم أو الخوادم المدرجة في القائمة المسموح بها والتي لا تعتبر ضارة ، مثل قنوات Slack أو جداول بيانات Google أو الخدمات العامة الأخرى.

الخط السفلي​

لتفادي هجمات الدودة ، يعتبر قادوس القبعة البيضاء الشبيه بالديدان حلاً مثاليًا. من خلال رؤية الشبكة من منظور الدودة ، إذا جاز التعبير ، يحول Hopper أفضل ميزة للدودة إلى أكبر ميزة للمدافع .

ملاحظة: تمت كتابة هذه المقالة والمساهمة بها من قبل يوني أورين ، قائدة الفريق وباحث أمني أول ومطور في Cymulate .