Интернет вещей (IoT): история зловредов

Киберпреступники создают вредоносное ПО для атаки на IoT-устройства —маршрутизаторы и прочее сетевое оборудование — с 2008 года. Статистику по подобным атакам можно найти на нашем сайте — в частности, здесь и здесь. Основная проблема с изучением и пресечением вредоносной активности на IoT и встроенных устройствах заключается в невозможности установить на них какие-либо защитные и мониторинговые решения. Как в таком случае отслеживать атаки?

Лучший способ отслеживать атаки, отлавливать зловредов и получать общее представление о деятельности киберпреступников в этой области — использовать ханипоты (специальные ловушки).

Коротко о ханипотах

Существует три распространенных типа ханипотов:

• Ханипоты с низким уровнем взаимодействия. Эти ловушки симулируют такие сервисы, как Telnet, SSH и веб-серверы. Злоумышленник или атакующая система ошибочно принимает ханипот за реальную уязвимую систему и устанавливает полезную нагрузку.
• Ханипоты среднего уровня взаимодействия тоже симулируют уязвимые системы, однако они более функциональные, чем самые простые ловушки.
• Ханипоты высокого уровня взаимодействия. Это реальные системы, требующие дополнительных шагов со стороны администратора для ограничения вредоносной активности и во избежание компрометации остальных систем. Их преимущество в том, что они могут работать под управлением POSIX-совместимой системы. Это означает, что попытки идентифицировать хосты, которые используют техники, еще не эмулированные ханипотами низкого уровня взаимодействия, против такой ловушки не сработают, и атакующие будут убеждены, что попали на реальное устройство.

В идеале лучше всего использовать только ханипоты высокого уровня. К сожалению, из-за большого количества атак такие ханипоты не масштабируются, и для каждого нового подключения требуется перенастройка среды. Поэтому чаще всего используются ханипоты среднего уровня взаимодействия; среди них наиболее популярны проекты с открытым исходным кодом Cowrie и Dionaea.

Мы работаем с ханипотами всех трех типов; кроме того, мы создали отдельный тип ханипота — сенсорный, о котором подробнее поговорим ниже.

Развертывание ханипотов

При работе с ханипотами нужно всегда помнить о безопасности: уязвимая или атакованная система может подвергнуть риску и вас, и других.

При развертывании ловушек важным шагом является планирование сети и четкое определение того, какую активность необходимо отслеживать и как будет происходить сбор и обработка данных. За прошедшие годы мы создали инфраструктуру ханипотов, которая постоянно расширяется и оптимизируется. Мы разработали свой собственный модульный подход для эффективного управления системой, установки обновлений и обработки данных. Основная идея заключается в возможности легко развернуть несколько ханипотов, сведя при этом к минимуму расходы на их обслуживание.

«Жилые» и «корпоративные» IP-адреса

Наши телеметрические данные позволяют предположить, что наиболее продвинутые операторы ботнетов проверяют AS-имя сети и выбирают в качестве целей преимущественно IP-адреса, принадлежащие интернет-провайдерам, которые обслуживают частный сектор. Причина понятна: если маршрутизатор имеет IP-адрес, принадлежащий, например, Amazon или DigitalOcean, он может оказаться виртуальным частным сервером (VPS), а не домашним роутером.

Длительное использование одного и того же IP-адреса

IP-адреса ловушек важно периодически менять. Владельцы ботнетов сами пытаются отслеживать ханипоты, поэтому спустя некоторое время публичные IP-адреса ловушек становятся известны киберпреступникам и количество атак на них сокращается. Кроме того, мы полагаем, что списки IP-адресов ханипотов продаются в даркнете.

«Отпечатки» ханипотов

Некоторые семейства вредоносного ПО, чтобы вычислить ловушки, используют определенные команды, которые не полностью эмулируются ханипотами. Атакующие непрерывно меняют свои методы анализа «отпечатков», чтобы обходить технологии защиты виртуальной машины от обнаружения. Эти технологии позволяют определять, когда атакующие проводят проверку на ханипот, и возвращать поддельные данные, чтобы вынудить их принять ловушку за реальную систему. Так, например, одно семейство вредоносного ПО считывает содержимое /proc/cpuinfo, чтобы определить тип и семейство процессора: большинство решений Cowrie используют одну и ту же процессорную архитектуру.

Работа под высокими нагрузками

Открытие доступа к популярному порту (например, 21. 22. 23. 80) из интернета практически тут же приведет к попыткам подключения со стороны различных хостов, и чем дольше порт будет оставаться открытым, тем больше ботов попытается заразить сервис. Для статического IP-адреса, на котором один и тот же сервис был запущен на протяжении более двенадцати месяцев, уровень заражения (количество сессий, пытавшихся установить на хост ханипота вредоносное ПО) составил около 4000 за 15 минут. Атакующие IP-адреса не являются уникальными, и, по нашим наблюдениям, один атакующий пытается заразить машину много раз.

Большое количество подключений создает значительную нагрузку как на сеть, так и на стеки эмуляции ловушек. По нашему опыту, Cowrie может обрабатывать 10 000 сессий одновременно на одном ханипоте. Для сильно загруженных систем решением может стать распределение нагрузки по нескольким контейнерам Docker на уровне ядра, что легко реализуется с помощью встроенного в ядро модуля netfilter.

Результаты

На данный момент мы располагаем результатами, собранными в нашей рабочей среде более чем за год. Мы разместили более 50 ханипотов по всему миру, в среднем обрабатывающих 20 000 зараженных сессий каждые 15 минут. Ниже приведены результаты, основанные на полученных данных.

Статистика: Telnet

Всего за первую половину 2019 года на наших Telnet-ханипотах было зафиксировано более 105 миллионов атак с 276 тысяч уникальных IP-адресов. Для сравнения, в 2018 году за этот же период было зафиксировано 12 миллионов атак с 69 тысяч IP-адресов. Мы видим устойчивую тенденцию к увеличению количества повторных атак, производимых с IP-адресов злоумышленников, что говорит о более настойчивых попытках заразить уже известные им уязвимые устройства.

Основными источниками заражений (лидерами по количеству уникальных IP-адресов, с которых исходили атаки через перебор пароля Telnet) в первом полугодии 2019 года остались Бразилия и Китай, но в отличие от 2018-го Китай занял лидирующую позицию (около трети атак исходят из КНР), а Бразилия оказалась на втором месте с 19%. За ними следуют Египет (12%), Российская Федерация (11%) и США (8%).

Страны-источники Telnet-атак на ханипоты «Лаборатории Касперского»

ТОР 10 вердиктов угроз для IoT

Не стоит удивляться тому, что большинство позиций рейтинга занимают различные модификации Mirai — это связано с тем, что они используют эксплойты, и под ударом оказываются устройства с отключенным Тelnet. Кроме этого, стоит принимать во внимание, что зловред уже давно находится в публичном доступе, а его код достаточно универсален для сборки ботов любой сложности под любую архитектуру «железа».

TOP 10 вердиктов угроз для IoT, первая половина 2018 года

TOP 10 вердиктов угроз для IoT, первая половина 2019 года

Для сбора статистики была выделена отдельная группа ханипотов, которую не затрагивают инфраструктурные изменения: в нее не добавляются новые устройства, и собираемая статистика зависит исключительно от активности зараженных устройств. Под сессией понимается одна успешная попытка перебора пароля.

На основе анализа логов изолированной группы ханипотов мы видим устойчивую тенденцию по снижению количества IP-адресов атакующих по сравнению с прошлым годом, но при этом число атак увеличивается. В то же время общее количество активных зараженных устройств все еще остается довольно большим: ежемесячно десятки тысяч устройств пытаются распространять вредоносное программное обеспечение, используя как перебор паролей, так и различные уязвимости.

Количество уникальных IP-адресов, с которых были зафиксированы атаки на изолированную группу ханипотов. Январь 2018 — июнь 2018 гг.

Статистика: учетные данные

В сфере IoT Telnet, SSH и веб-серверы являются самыми распространенными сервисами и, соответственно, наиболее атакуемыми. В случае Telnet и SSH мы храним не только вредоносную полезную нагрузку, но и исходные учетные данные для входа. Эти данные позволяют нам идентифицировать целевые устройства по сочетаниям имени пользователя и пароля по умолчанию, которые часто применяют атакующие.

Мы собрали наиболее широко используемые сочетания для третьего и четвертого кварталов 2018 года, а также для первых трех кварталов 2019 года. Полный список можно найти в Приложении в конце статьи. Самым распространенным сочетанием стало support/support, далее следуют admin/admin, default/default и root/vizxv. С первыми тремя все ясно, а вот четвертое представляет определенный интерес: это заданный по умолчанию пароль для IP-камеры. Подробнее см. в блоге KrebsOnSecurity.com.

По мере того как разрабатываются новые эксплойты, каждый квартал атакам подвергаются новые устройства. Например, в первом квартале 2019 года мы обнаружили ботов, пытавшихся заражать определенные GPON-маршрутизаторы, использовавшие жестко запрограммированный пароль. Наши коллеги из TrendMicro писали об этом в конце 2018 года.

Идентификация собранных учетных данных: Q3 2018 (слева), Q4 2018 (в центре) и Q1 2019 (справа)

Статистика: вредоносное ПО

В то время как в обычных компьютерах в основном используются процессоры Intel или AMD (архитектура little-endian x86 или x86_64), встроенные системы и IoT-устройства задействуют процессоры более широкого спектра архитектур.

В процессе классификации наших образцов мы обнаружили, что имевшиеся у нас файлы использовали оба варианта порядка следования байтов и предназначались для исполнения на процессорах ARM, Intel x86 и MIPS.

В приведенной ниже таблице собраны все обнаруженные нами образцы.

Известный метод, который атакующие используют после получения доступа к устройству, предполагает попытку внедрения вредоносного ПО для всех архитектур без каких-либо проверок. Этот подход работает, поскольку только один двоичный код будет исполнен корректно. Нам это позволяет перехватить все ссылки и загрузить все образцы.

Ниже приведен образец такого скрипта.

Помимо сочетаний имени пользователя и пароля, тип целевой архитектуры — дополнительная характеристика, которая помогает нам идентифицировать другие потенциальные цели для атак.

Атакующие государства и сети

Среди государств, с территории которых исходили атаки на наши ханипоты, на первом месте оказался Китай, на втором — Бразилия; далее с разрывом в 0,1% шли Египет и Россия. Наблюдаемые нами тенденции в целом сохранялись на протяжении 2018 и 2019 годов с небольшими изменениями в рейтинге стран по количеству атак.

Ниже приведен список 20 самых активных атакующих и их ASN (на базе анализа IP-адресов атакующих).

Зараженные сессии

Начиная с 2018 года, мы включаем в наши данные два показателя: «все сессии» и «зараженные сессии». Зараженной мы называем сессию, в которой хотя бы один вредоносный файл был запрошен или получен из интернета. Незараженной мы считаем сессию, которая могла быть инициирована по ошибке добропорядочным пользователем, неправильно набравшим IP-адрес, или же сканирующим интернет роботом. Мы наблюдали стабильное увеличение количества всех сессий (Telnet, SSH, веб и т. п.), открытых на наших ханипотах, и чем больше ханипотов мы добавляем к нашей сети, тем больше через нее проходит трафика: атакующие постоянно сканируют сеть с целью заражения новых устройств. В большинстве случаев сканирование осуществляется уже зараженными устройствами.

Семейства вредоносного ПО: сравнение 2018 и 2019 гг.

Если говорить об обнаруженных хешах, то в списке самых популярных вредоносных образцов, атаковавших наши ханипоты, наблюдались небольшие изменения. В целом и в 2018, и в 2019 году самым популярным семейством вредоносного ПО оставалось семейство Mirai: более 30 000 образцов было обнаружено в 2018 году и почти 25 000 — в первой половине 2019 года. Зловреды семейства Hajime, тщательно исследованные «Лабораторией Касперского» и Symantec еще в 2017 году, были достаточно активны в период своего процветания, но 2019 году они практически исчезли с наших радаров.

При этом мы зафиксировали увеличение активности вредоносного ПО хорошо известных семейств NyaDrop и Gafgyt — они пытаются заражать более новые устройства.

В таблице ниже указаны 10 самых распространенных вредоносных образцов, обнаруженных нами в первом квартале 2018 года и в первом квартале 2019 года.

Uberpot

Помимо обычных ханипотов, прослушивающих конкретные порты, мы также создали многопортовый ханипот, который получил название uberpot. Идея проста: ханипот прослушивает все порты TCP и UDP, принимает подключения и протоколирует полученные данные и метаинформацию. Основная цель такого подхода — идентифицировать новые векторы атаки и атаки на нетипичные службы и порты, в частности, на новых устройствах или при конфигурации портов, определяемой поставщиком.

TCP по количеству атак лидирует с большим отрывом, хотя мы наблюдали на наших ловушках типа uberpot незначительный трафик UDP/ICMP.

Что касается зараженных сессий, в среднем мы наблюдаем около 6000 атак в день, хотя в январе 2019 года произошел всплеск активности — более 7500 сессий в день, атаковавших случайные TCP-порты.

Что касается других протоколов, то трафик UDP и ICMP незначителен по сравнению с TCP. «Экзотические» протоколы, такие как DCCP, SST или ATP, мы не мониторим.

Атакованные протоколы в Uberpot

На текущий момент атакам подвергаются преимущественно службы TCP. Популярными целями были службы удаленного администрирования, такие как SSH, Telnet, VNC и RDP, а также базы данных и веб-серверы.

Атакованные службы, данные получены из Uberpot

Ханипоты как услуга

Одна из вечных проблем для исследователей безопасности — новые источники вредоносного ПО, данных и заражений. Компаниям и группам обеспечения безопасности очень важно иметь полную картину того, какие хосты осуществляют атаки и на какие службы они нацелены. Помимо традиционных механизмов защиты, мониторинга журналов и проведения тренингов, размещение ханипотов в ключевых точках вашей публичной или частной инфраструктуры также может помочь выявить атаки на вашу сеть.

В случае обширной сети ханипотов основные проблемы связаны с техническим обслуживанием, сбором и обработкой логов, а также исправлением ошибок. Мы решаем эти проблемы благодаря перемещению всех ханипотов в контейнеризованную инфраструктуру. Это означает, что передовые хосты требуют очень незначительных ресурсов: узел может работать на Raspberry PI.

Наше решение просто: мы предлагаем образ Docker или устанавливаем скрипты, которые перенаправляют вредоносный трафик, нацеленный на «уязвимые» порты, в нашу инфраструктуру через UDP-тоннель Wireguard. Мы называем такие машины «узлами», и, как уже говорилось, узел может функционировать даже на Raspberry PI. Как только вы установите такую машину, вам останется только перенаправить на нее порты, за которыми вы хотите наблюдать. Вы можете непосредственно назначать публичные IP-адреса, как делают некоторые из наших партнеров, или организовать DNAT (перенаправление портов) только для тех портов, которые вас интересуют.

Как только трафик попадает на ваш узел, он отправляется на наш агрегатор, где машина на базе Docker обрабатывает его. Затем мы генерируем на агрегаторе статистику и все необходимые данные.

Более подробно о нашей инфраструктуре можно узнать из нашего видеоролика с SAS 2019.

Заключение

Поскольку интернет вещей расширяет свою сферу влияния, вредоносное ПО для IoT продолжает активно разрабатываться. Мы и дальше будем расширять наши возможности по его обнаружению и исследованию. Осведомленность об угрозах является одним из ключевых элементов в обеспечении безопасности, как и защитные технологии, основанные на анализе и мониторинге тенденций.

Один из способов эффективно противостоять атакующим — анализировать потоки данных, специально посвященных IoT-угрозам. Мы, в частности, предоставляем такие потоки данных на нашей платформе информирования об угрозах.

Если вы заинтересованы в исследовательском партнерстве с «Лабораторией Касперского» и запуске ханипотов на ваших неиспользуемых IP-адресах, пожалуйста, свяжитесь с нами по электронному адресу honeypots@kaspersky.com. Мы будем рады сотрудничать с вами в развертывании прототипа нашего сервиса «Ханипоты как услуга».

Как говорилось в разделе «Ханипоты как услуга», мы сводим, соотносим и кластеризуем входящие подключения, и все обработанные данные становятся доступны вам практически в режиме реального времени.

Приложение

Список паролей за прошедшие кварталы: