botnetów, phishingu i włamywaniu się w celu uzyskania korzyści finansowych • Trochę o pieniądzach • O szeregu “case study” • O tym, jak walczymy ze zjawiskiem • O statystykach
1. Pan Marcin stracił 140 000 złotych, 2. Pani Katarzyna – 74 000 złotych, 3. Pani Anna – 46 000 złotych, 4. Pan Robert – 70 000 złotych, 5. Pan Waldemar – 25 000 złotych, 6. Pan Piotr – 27 000 złotych, 7. Anonimowy czytelnik – 16 000 złotych, 8. Anonimowy przedsiebiorca – 86 000 złotych.
Aktywność strony: 24/07/2014 – Czas aktywności: od 11:12 do 18:57 – Liczba unikalnych adresów IP: 214 – Potwierdzonych kont: 214 • Bank Y: – Aktywność strony: 29/05/2014 – Czas aktywności: ok. 20h – Liczba unikalnych adresów IP: 104 – Liczba zebranych rekordów: 14789 • Bank Y: – Aktywność strony: 29/05/2014 – Czas aktywności: ok. 20h – Liczba unikalnych adresów IP: 103 – Liczba zebranych rekordów: 4501 • Bank Z: – Akywność strony: 19/09/2014 – Czas aktywności: ok. 3h – Liczba unikalmych adresów: 58 – Liczba zebranych danych: 154
Czy dysponujesz dwoma wolnymi godzinami w tygodniu? Oto jak zarobic 185 EUR w tym czasie !!! Stanowisko: Asystent Regionalnego Menedzera ds. gotówki Wymagania: • dostep do Internetu, • konto bankowe, • niekaralnosć.
• Łączy 3 cechy: webinjecty (Zeus), API dla pluginów (SpyEye), wstrzykiwanie kodu z Power Loader (Alureon) • Architektura oparta o moduły, które mogą być zaciągane po instalacji w systemie • Zawiera moduł zeus-‐dll (zaszyfrowany na dysku) • Ta instancja usiłowała zainstalować aplikację poland.apk, polska.apk, e-‐security.apk na Androida – używała do tego polskich domen (shackowane serwery) • Ta instancja używała domen .ru na potrzeby C&C
Podstawowy mechanizm propagacji: zarażanie plików wykonywalnych • Model biznesowy: wynajem botnetu innym grupom przestępczym, „pay-‐per-‐install” • Działał od 2006 roku
– ataki DDoS np. na serwis ogłoszeń nieruchomości domiporta.pl czy internetowy bank e-‐gold.com, – rozsyłanie spamu, – czerpanie korzyści majątkowej, z wykorzystaniem maszyn ofiar, np. w wyniku otwierania płatnych reklam, – komputery ofiar są łączone w mniejsze podgrupy i odsprzedawane czasowo innym grupom przestępczym.
współpracy z wieloma partnerami przejął kontrolę na wszystkimi znanymi domenami Viruta • Przejęto 82 domeny – 43 .pl, 30 .ru, 8 .at i 1 .org • Ustanowiono sinkhole: sinkhole.cert.pl
od czerwca 2012 • Q4 2012: wzrost liczby rejestrowanych domen za pośrednictwem tego Rejestratora, głównie w celach C&C • Słaba reakcja na zgłoszenia – Powolne zawieszenie domen, tak aby dać czas botnetowi na przeskoczenie na inną domenę C&C • Pomimo wielu próśb, złośliwe rejestracje trwały nadal
złośliwych domen, służących do C&C • Formalna prośba o zaprzestanie dalszych złośliwych rejestracji • Domain Silver twierdził, że się dostosuje, ale złośliwe rejestracje trwały nadal • 30 lipca 2013: NASK wypowiada umowę Domain Silver, Inc.
w dniu 9 lipca 2013, wszystkie aktywne poza jedną (domainsilver.pl) były złośliwe • Zidentyfikowano ponad 20 różnych botnetów, które unicestwiono bądź zdestabilizowano – także przypadki tzw. ransomware’u
piotrkijewski
whisaiyo
yuyatakeyama
junki
iwamot
nrug_member
happysamurai294
moepy_stats
yamaguchitk333
ebiken
miyatakoji
cyberagentdevelopers
thousanda
thekraken
tmiket
kneath
portentint
retrage
jnunemaker
bkeepers
orderedlist
inesmontani
honnibal
rkendrick25
jlugia
![Zgłoszenia do n6: [email protected] Kontakt: [email protected], [email protected]](https://files.speakerdeck.com/presentations/cf27495050c60132e0716ed97dbd7c38/slide_71.jpg){kind=link}