Los "malos" instalaron un keylogger en el equipo del director de marketing y usaron este para robar credenciales de OWA y VPN, así como documentos confidenciales de Sharepoint. Aunque se realizó un análisis forense completo, no pudieron demostrarse las identidades de los atacantes debido a las técnicas avanzadas utilizadas para ocultar sus huellas. La lección aprendida es la necesidad de sistemas de detección de anomalías y correlación avanzados.

1. Zen y el arte de pescar APTs

2. Antonio Sanz
Information Security Consultant
@antoniosanzalc
http://www.securityartwork.es
http://www.s2grupo.es

3. #neocom2015
http://bit.ly/1zvNTKh

4. 1. ¿ Qué es una APT ?

5. APTs: Advanced
Persistent Threats

6. Atacantes con capacidad, recursos y un
objetivo
Capacidades, recursos y objetivos

7. Financiadas por estados o grupos importantes

8. Ej de APT: (Buscar). Entrar hasta la cocina y
llevarse hasta los yogures
caducados
Ej APT: Lockheed Martin + F 35

9. Preparación
Detección
Contención
Preservación
Análisis
Erradicación
Lecciones aprendidas

10. Basado en
hechos (casi)
reales

11. 2. Preparación

12. Llaman a los bomberos (nosotros)

13. Equipo de dirección
La fuga sale del equipo directivo

14. Arquitectura de seguridad correcta
Han hecho bien las cosas
en seguridad

15. 3. Detección

16. Recogemos logs
 Correo
 Proxy
 Antivirus
 VPN
 Eventos Windows

17. Últimos 3
meses:
200 Gb

18. Detección de anomalíasDetección de anomalías

19. Generamos una
baseline

20. Filtrado de resultados
Examinamos lo que destaca

21. 2014-11-05 14:44:58 UTC
192.168.39.134:49260
XXX.XXX.XXX.XXX:80
www.period1co.es
POST /nacional/noticias/comentarios.php

22. POST – Director de ventas
IP: Director de marketing

23. 2014-11-01 12:34:18 UTC
192.168.39.134:34320
XXX.XXX.XXX.XXX:80
www.period1co.es
GET /imagenes/nacional/logo.jpg

24. Creamos reglas de Snort para
detectar el dominio y la imagen

25. 4. Contención

26. No hacemos nada … por ahora

27. VLAN separada + SPAN
Creamos VLAN + Habilitamos SPAN

28. 5. Preservación

29. Hay que tener en cuenta la
legalidad vigente

30. Volcado de RAM -> DumpITVolcamos la RAM con DumpIT

31. Para el disco 
Clonadora hardware

32. Portátil unibody 
LiveCD ( SIFT ) + dcfldd

33. 6. Análisis

34. ¿Cómo?
¿Dónde?
¿Qué?
¿Cuándo?
¿Quién?
¿Por qué?

35. Recuperamos logo.jpg de la
caché del navegador

36. La imagen tiene datos extra
ocultos  !Esteganografía!

38. Analizamos el volcado de
la RAM con Volatility

39. pslist, psscan, connections -> dlllist + dlldump

40. Offset(P) Local Address Remote Address Pid
--------- -------------------- ----------------------- ------
0x0ea7a1 192.168.39.134:49260 XXX.XXX.XXX.XXX:80 2136
Base Size Path
------------------ ------------ ---
0x000000ff53000 0x23000 C:Windowskernel32.dll
Pid 2136 = svchost.exe

41. Generamos un IoC  IocFinder

42. Desplegamos el IoC vía GPO

43. .dll  Reversing

44. Capturamos POST del pc infectado
Lorem ,ZGwg ipsum ,dGV4f ad,
G8ZX his ,MgbG scripta ,EgY2 blandit

45. Lorem ,ZGwg ipsum ,dGV4f ad
,G8ZX his ,MgbG scripta ,EgY2 blandit

46. ZWwgdGV4dG8gZXMg
bGEgY29udHJhc2XDsWE
NCg ==
Lorem ,ZGwg ipsum ,dGV4f ad
,G8ZX his ,MgbG scripta ,EgY2 blandit

48. Resultados del reversing
- Uso de Schannel.dll
- Cadena AKCMDDC4-B2132
- ComputerName

49. Desciframos POST: CREDENCIALES (OWA, VPN)  Keylogger
Credenciales
OWA y VPN

50. Revocamos accesos del
director de marketing

51. Desciframos logo.jpg  SendPass
Logo.jpg  SendPass

52. Objetivo: Pasar
desapercibidos

53. Los “malos” han instalado un Keylogger en el equipo del
director de marketing
Keylogger en el equipo del director de marketing

54. ¿Cómo?
¿Dónde?
¿Qué?
¿Cuándo?
¿Quién?
¿Por qué?

55. Repasamos logs OWA y VPN  Portátil con 3G
Rastreamos accesos  Equipo con 3G

56. Inicios de sesión en Windows  Anomalías
Accesos anómalos  Bilocación

57. VPN rusa ( VPN over VPN )

58. Acceso a OWA / VPN en horario laboral

59. ¿Cómo?
¿Dónde?
¿Qué?
¿Cuándo?
¿Quién?
¿Por qué?

60. El buzón de correo está limpio

61. Las pasarelas de correo dicen otra cosa

62. Exfiltración de correos con documentos (y un affair)
Exfiltración usando correos similares

63. CMS = Sharepoint ( logging ON )

64. Extraemos de la imagen forense el
NTuser.dat
MRU = Most Recent Used items

65. Se han llevado TODO

66. ¿Cómo?
¿Dónde?
¿Qué?
¿Cuándo?
¿Quién?
¿Por qué?

67. Timeline de eventos
 Primera descarga de logo.jpg
 Primera comunicación POST contra www.period1co.es
 Accesos desde la VPN al OWA
 Accesos desde la VPN al Sharepoint

68. Dos meses
trufados

69. ¿Cómo?
¿Dónde?
¿Qué?
¿Cuándo?
¿Quién?
¿Por qué?

70. Revisamos el portátil de cabo a rabo

71. 0-day ?
¿ Han usado un 0-day ?

72. Obtenemos el SYSTEM del
registro  USBDeview

74. Buscando en el despacho del
director …

75. Buscando en el despacho del
director …

76. ¿Cómo?
¿Dónde?
¿Qué?
¿Cuándo?
¿Quién?
¿Por qué?

77. Elección del blanco
más sencillo

78. Envío del paquete
como merchandising

79. Dominio comprado con tarjetas falsas

80. Datos de VPN imposibles de obtener
La VPN no se puede rastrear

81. Se elige no denunciar
Se elige no denunciar

82. No podemos
demostrar
quién ha sido

83. No podemos
demostrar
quién ha sido

84. No podemos
demostrar
quién ha sido

85. No podemos
demostrar
quién ha sido

86. No podemos
demostrar
quién ha sido

87. No podemos
demostrar
quién ha sido

88. No podemos
demostrar
quién ha sido

89. No podemos
demostrar
quién ha sido

90. No podemos
demostrar
quién ha sido

91. No podemos
demostrar
quién ha sido

92. No podemos
demostrar
quién ha sido
( por mucho
que nos j… )

93. 7. Erradicación

94. Se da otro PC al director de marketing
Destruímos el equipo

95. Controlamos todos
los USB conectados

96. Cambiamos las contraseñas

97. 8. Lecciones aprendidas

98. Amenazas cada vez más complejas

99. Hay que controlar todos
los caminos

100. Detección avanzada:
Sistemas de correlación

101. Detección de anomalias
Hay que detectar las anomalías

102. Ten un responsable
de seguridad

103. @antoniosanzalc - http://bit.ly/1zvNTKh
Trust no one