Kort om falske sikkerhetsprodukter

De siste ukene har aktiviteten rundt falske sikkerhetsprodukter (scareware) igjen tatt seg kraftig opp. Vi har laget en presentasjon som omhandler denne typen malware. Presentasjonen viser kort følgende:

• Hvordan en bruker kan bli lurt til en web-side som prøver å lure vedkommende til å installere falsk anti-virus.
• Hva falsk AV gjør med PCen til offeret.
• Hva en bør gjøre hvis en blir forsøkt lurt til å installere et falsk AV-produkt eller kommer i skade for faktisk å installere det.

Trykk på hvert enkelt bilde under for å få det i større format, eller hent ned hele presentasjonen i PDF-format her.

Telenor Online har også postet om falsk antivirus.

Vi håper at en gjennomgang av dette på norsk kan brukes til å få større oppmerksomhet rundt denne typen malware. Bedrifter o.l. står fritt til å bruke presentasjonen til intern opplæring.

Hvorfor UTM ikke fungerer slik brosjyrene lover

Det blir mer og mer vanlig at bedrifter bruker en multi-funksjons-brannmur (UTM) for å beskytte bedriftens interne nett mot malware fra Internett.

På TSOC analyserer vi mye nettverkstrafikk og ser derfor mange angrep av forskjellige slag hver dag. En del av analysen av et angrep er å finne ut hvor det stammer fra og hva det gjør. Vi analyserer også exe-filer med 11 forskjellige anti-virus-løsninger og i en sandkasse (CWSandbox). Til slutt ser vi at angrepet ofte ender med at den uheldige brukerens maskin henter ned en malware-fil fra en adresse på Internett.

Vi på TSOC har i sommer kjørt en del tester der vi har prøvd å besøke malware-sidene eller å hente malwaren fra reelle hendelser. Alle sakene dreier seg om klient-maskiner som har blitt angrepet, enten gjennom "drive-by-exploits" eller at brukeren blir lurt til å hente ned filer som gir seg ut for å være noe annet (trojanere).

Testene har blitt utført på en lab-maskin som er satt opp for å gjøre det enkelt å rulle tilbake operativsystemet til en kjent, ren status. Maskinen har vært beskyttet bak en UTM-enhet fra en av markedslederne. Denne er satt opp til å beskytte maskinen ved hjelp av et web-filter og en anti-virus-løsning. Vi vil presisere at testingen ikke er vitenskapelig gjennomført og at vi ikke har testet nok typer malware til å gi noe entydig resultat. Resultatene vi har fått stemmer imidlertid godt overens med det vi daglig ser i vårt operasjonssenter.



Noen av angrepene som innebærer exploits, kunne i teorien ha blitt stoppet av en UTMs IPS-del (Intrusion Protection System), men for å gjøre testingen enklere har vi utelatt dette i denne testen. For å teste også denne delen av en UTM, måtte vi ha besøkt siden brukeren blir sendt til før selve exe-filen blir servert. Vi måtte altså ha besøkt siden som serverer exploits til brukeren. Tidligere tester vi har utført viser imidlertid at IPS er dårlig egnet til å stoppe exploits mot klient-maskiner da exploitene nesten alltid er obfuskert med forskjellige teknikker. IPS-teknologi fungerer bedre for å beskytte tjenere (servere).

Hva er så grunnen til at en UTM kun klarer å stoppe under halvparten av reelle angrep?

Personene som i dag står bak spredningen av malware bruker forskjellige teknikker for å lure UTM-bokser og annet nettverksutstyr som skal sikre nettene. Noen teknikker er:

• Stadig endringer av adressen til "landings-sider" hvor brukeren blir lurt til for å få servert exploits eller bli lurt til å trykke på en link for å hente ned malware. Eksempler på slike sider fra den siste tiden er: gumblar .cn, goooogleadsence .biz osv. Dette gjør det vanskelig å filtrere ut adresser som serverer skadelig kode, siden de gjerne skifter adresse etter noen dager eller timer.
  
• Trojaneren/dropperen (exe-fil) blir hentet ned fra én av mange tusen mulige IP-adresser. Disse maskinene har blitt kompromittert tidligere av angriperne og er med i et bot-nett som de kontrollerer. Det høye antallet adresser gjør filtrering vanskelig.
  
• Selve Trojaneren/dropperen endrer karakter og sjekksum ofte, eller til og med for hver gang en ny bruker henter den ned. Dette gjør at anti-virus-selskapene nesten har gitt opp signatur-deteksjon av skadelig programvare ved hjelp av sjekksummer og signaturer. I dag er det "oppførselsanalyse" og "kjennetegn/heuristics" som brukes mest, men også disse metodene har sine begrensninger. De kriminelle har også tilgang til anti-virus-programmene og skriver sin malware på en slik måte at de ikke blir detektert, selv av de mer generelle signaturene.
  
• Den skadelige koden som utnytter svakhetene i klient-maskinen er nesten alltid obfuskert, gjerne ved hjelp av Javascript. Dette gjør at en signatur-basert IPS-motor ikke har noen kjente ting å se etter i det exploit-koden blir sendt til klient-maskinen. Exploitene som blir servert mot klient-maskiner er for tiden gjerne mot selve web-browseren, Adobe Acrobat Reader, Adobe Flash, Apple QuickTime eller Java.

Vår konklusjon er at det er viktig å benytte seg av UTMer og andre typer sikkerhetsutstyr i nettet for å prøve å stoppe så mange svakheter som mulig automatisk, men at dette er langt fra nok.

Eksempler på tiltak en bør gjør i tillegg til dette for å beskytte sine klient-maskiner er:

• Opplæring av brukere til å tenke seg om før de laster ned, installerer eller svarer ja på spørsmål som dukker opp på skjermen.
• Et godt patche-regime som sørger for at operativsystem og klientprogramvare til en hver tid er oppdatert, uten at sluttbrukeren trenger å foreta seg noe.
  
• Oppdatert anti-virus og anti-spyware på klienter.
• Brukere bør ikke ha administrator-tilgang på maskiner. Mange exploits og trojanere fungerer bare dersom brukeren er administrator.
• Ha så få programmer som mulig installert på klient-maskiner. Prøv også å unngå de som oftest har feil og blir utnyttet mest, som nevnt tidligere i dette innlegget.
  
• Bruke en analyserende IDS-tjeneste for å oppdage maskiner som til tross for andre sikkerhetstiltak blir infisert eller har blitt infisert før de ble tatt med inn i nettet. Et eksempel på en slik tjeneste er TSOCs IDS-tjeneste.
  
• Dersom en trenger høy sikkerhet bør en vurdere å gå over til en terminal-basert løsning der brukerne må logge inn på en egen, beskyttet maskin for å bruke Internett-tjenester.
• Bruk om mulig et annet operativsystem enn Windows på klientene. Windows er det operativsystemet som det uten tvil skrives mest malware til.
  

Vår erfaring er at det er få norske bedrifter og offentlige institusjoner som i dag klarer å holde nettet sitt fritt for malware til enhver tid. Nesten alle har av og til hendelser der datamaskiner i kortere eller lengre tidsrom er under full kontroll av utenforstående. Det er en skremmende utvikling og sikkerhetsbransjen ligger for øyeblikket et godt stykke bak de kriminelle.

Koobface flytter rundt - oppdatering

Her en kort oppdatering på hvilke domener og ip-adresser vi ser er relatert til Koobface.

De fleste domenene nevnt i forrige bloggpost om Koobface er fremdeles aktive og de har nå flyttet til nok en ny hosting-leverandør:

upr200908013.com    | 91.212.127.140
xtsd20090815.com    | 91.212.127.140
suz11082009.com     | 91.212.127.140
boomer-110809.com   | 91.212.127.140

I tillegg benyttes det et ferskere domene:

kiano-180809.com    | 91.212.127.140

91.212.127.140 tilhører Telos Solutions LTD (AS49087) som eier et /24-nett. Vi har tidligere sett en del nedlastinger av falske antivirus-produkter fra AS49087, og en rapport fra Malware Domain List viser at dette nettet er noe man bør vurdere å blokkere i brannmurer.

Koobface flytter rundt

Denne uken har vi sett en stor økning av Koobface-infiserte klienter i Norge. Koobface sprer seg typisk ved å sende Facebook-meldinger til venner av noen som benytter en allerede infisert PC. Disse meldingene forsøker å lure mottakeren til å laste ned en falsk oppdatering av Flash Player via en forfalsket Facebook-side.



Hvis mottakeren laster ned og eksekverer denne falske oppdateringer vil de bli infisert av Koobface. Se også Finjans blogg for nærmere beskrivelse rundt hva som skjer når man blir infisert.

Hvordan begrense spredningen av Koobface
Gjengen bak Koobface benytter en rekke domener og ip-adresser som kontinuerlig tas ned når de blir oppdaget. Se Dancho Danchevs blogg for en oversikt over domener og ip-adresser som har blitt benyttet tidligere.

Følgende domener benyttes for redirigering til Koobface-sider, og er fremdeles aktive:

upr200908013.com    | 221.5.74.46
xtsd20090815.com    | 221.5.74.46
upr0306.com         | 221.5.74.46
suz11082009.com     | 221.5.74.46
boomer-110809.com   | 221.5.74.46
piupiu-110809.com   | 221.5.74.46
findhereandnow.com  | 221.5.74.46

Disse nettstedene fungerer som "jump points" som redirigerer videre til selve siden(e) som sprer Koobface. I tillegg er det observert flere Blogger-sider som fungerer som slike "jump points", og noen av disse inneholder nå følgende kodesnutt som eksponerer hvilke servere gjengen bak Koobface benytter for øyeblikket:



Denne koden redirigerer brukerne til følgende sider:

hxxp:// 84.108.159.70 /0x3E8/
hxxp:// 24.98.91.127 /0x3E8/
hxxp:// 75.74.217.69 /0x3E8/
hxxp:// 67.177.76.184 /0x3E8/
hxxp:// 99.16.198.187 /0x3E8/
hxxp:// 98.218.80.56 /0x3E8/
hxxp:// 67.61.138.158 /0x3E8/
hxxp:// 76.99.40.212 /0x3E8/
hxxp:// 99.20.118.12 /0x3E8/
hxxp:// 76.111.247.94 /0x3E8/
hxxp:// 84.228.229.254 /0x3E8/
hxxp:// 71.201.225.30 /0x3E8/
hxxp:// 130.132.18.244 /0x3E8/
hxxp:// 98.214.114.251 /0x3E8/
hxxp:// 64.217.51.113 /0x3E8/

Vi anbefaler å blokkere disse i brannmur/proxy.

ZlKon og malware

ZlKon.lv har ofte dukket opp under analyser av drive-by-exploits og forskjellige C&C-servere (blant annet for bank-trojanere og spambots). FireEye har en bra bloggpost om aktivitet som har pågått (og som forsåvidt fortsatt pågår..) på dette nettet.

ZlKon har et forholdsvis lite nett, 94.247.2.0/23, som er hostet av "Datoru Express Serviss" (AS 12553) i Latvia. Til tross for et beskjedent nett er det en del ting som foregår her.

Spesielt de siste 5 ukene har vi sett en økning av drive-by-exploits som ender opp på 94.247.3.151, via en redirect på 94.247.3.150. Passiv DNS avslører en rekke domener som registrert på disse to adressene:

BFK Passive DNS - 94.247.3.150
BFK Passive DNS - 94.247.3.151

Kompromitterte nettsteder inneholder typisk en skjult IFRAME rett etter BODY-tag'en, som vist under:



Denne IFRAME'en redirecter så til et domene som resolver til 94.247.3.151, og som hoster selve exploit-kit'et. Det er også fra denne IP-adressen selve malwaren distribueres.

Applikasjoner som blir forsøkt utnyttet er blant annet Adobe Acrobat Reader og Adobe Flash, samt eldre svakheter i Internet Explorer.



Automatisert analyse av malware
På TSOC gjør vi fortløpende analyser av eksekverbare filer som lastes ned som følge av vellykkede exploits og eventuelle "malware-oppdateringer". En av metodene som benyttes er skanning av filer med et utvalg antivirus-produkter. Dette utvalget består idag av produkter fra 11 AV-leverandører vi mener er best representert hos norske bedrifter. I tillegg benyttes også teknikker som dynamisk sandbox-analyse, samt blacklisting på IP-nivå.

Under vises statistikk over IP-adressene vi har observert flest nedlastinger av PE-filer (.exe/.dll/.sys-filer) fra ZlKon.lv, i perioden januar 2009 og frem til idag:



Dessverre er det begrenset deteksjon basert kun på antivirus-skanninger. I denne perioden har 36% av de nedlastede filene fra ZlKon.lv unngått deteksjon av AV-produktene som benyttes i vår løsning. Bildet under viser også at av de resterende 64% av de nedlastede filene, er det forholdsvis få produkter som detekterer disse.



Dette er forøvrig en uhøytidelig statistikk, og på ingen måte utført som en seriøs test av antivirus-produkter. Men vi mener likevel denne gir en grei pekepinn på hvor godt denne typen produkter fungerer i praksis, og ikke minst understreker viktigheten av å ha flere uavhengige systemer for deteksjon av denne typen aktivitet.

Til slutt tar vi med en oversikt over hva antivirus-produktene sier om filene fra ZlKon.lv. På grunn av ulik navngivning fra forskjellige AV-leverandører, er det vanskelig å få et entydig bilde av hva slags malware det er snakk om. Her er uansett er forsøk, implementert som en "tag cloud":



Anbefalinger
Vi anbefaler å blokkere ZlKon 94.247.2.0/23 i brannmurer, og selvsagt sørge for at siste sikkerhetsoppdateringer er installert (spesielt mtp utsatte produkter fra Adobe).