دومین کنفرانس ملی دفاع سایبری ایران اردیبهشت ماه 1393

1. دومین کنفرانس ملی دفاع سایبری ایراناردیبهشت ماه 1393 عنوان کارگاه: معرفی حملات پیشرفته سایبری بر علیه ایران ارایه دهنده: محمد مهدی واعظی نژاد Mvaezi.ir

2. دومین کنفرانس ملی دفاع سایبری ایران به نام خداوندی که به انسان برخاسته از خاک، خرد بخشید، از روح خود در او دمید و او را خلیفه خویش در زمین قرار داد و پیامبرانش را با دلایل آشکار فرو فرستاد تا انسان ها را به سعادت و هدایت، بر پایه تفکر و تعقل، رهنمون گردانند.

3. فهرست دومین کنفرانس ملی دفاع سایبری ایران معرفی و بررسی حملات پیشرفته سایبری استاکس نت (Stuxnet) وایپر (Viper) اکتبر سرخ (Red October) روش‌های جلوگیری از حملات سایبری روش‌های پیشگیری از حملات سایبری

4. دومین کنفرانس ملی دفاع سایبری ایران استاکس نت (Stuxnet)

5. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران مقدمه معرفی استاکس نت نخستین کرم صنعتی جهان، به منظور ایجاد مداخله در سیستم های کنترل صنعتی وضعیت ایران در هنگام شناسایی استاکس نت شناسایی 30 هزار IPآلوده به این کرم در ایران نقش پیمانکاران خارجی در انتقال استاکس نت به ایران

6. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه مقدمه اهداف طراحی و انتشار استاکس نت: حمله سایبری به زیرساخت های حیاتی صنعت ایران آسیب به تأسیسات هسته ای نطنز تأخیر در راه اندازی نیروگاه اتمی بوشهر

7. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران بررسی توانایی‌های استاکس نت ایجاد اخلال در تجهیزات حساس، مانند تخریب سرعت چرخش روند بالا از آرایه‌های سانتریفیوژ کاهش تعداد سانتریفیوژهای غنی عملیاتی كنترل فعاليت‌هاي صنعتي محدودیت دور توربین روغن‌کاری سیستم‌ها بستن سیستم‌های خنک کننده تخریب لوله‌های گاز انفجار دیگ‌های بخار کارخانجات

8. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران نام‌گذاری استاکس نت در شرکت‌های امنیتی Troj/Stuxnet-A [Sophos], W32/Stuxnet-B [Sophos], W32.Temphid [Symantec], WORM_STUXNET.A [Trend], Win32/Stuxnet.B [ComputerAssociates], Trojan-Dropper:W32/Stuxnet [F-Secure], Stuxnet [McAfee], W32/Stuxnet.A [Norman], Rootkit.Win32.Stuxnet.b [Kaspersky], Rootkit.Win32.Stuxnet.a [Kaspersky]

9. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران سیستم‌های آسیب پذیر در برابر استاکس نت Microsoft Windows 2000 Windows 95 Windows 98 Windows Me Windows NT Windows Server 2003 Windows Vista Windows XP on 32-bit Platforms

10. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران پراکنش جغرافيايي استاکس نت در سطح جهان انتشار استاکس نت در نقاط جغرافیایی خاص کشورهای مورد هجوم قرار گرفته: ایران اندونزی هند چین

11. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران تاریخچه کشف استاکس نت تاریخ کشف: بیست و دوم تیرماه 1389 تأیید استاکس نت توسط شرکت زیمنس در بیست و چهارم تیرماه و مایکروسافت، یک ماه بعد بررسی روند شناسایی و کشف استاکس نت کشف شده توسط شرکت امنیتی VirusBlockAdaبلاروس

12. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تاریخچه کشف استاکس نت زمان آغاز به کار استاکس نت عدم اتفاق نظر متخصصان امنیتی در مورد زمان آغاز به کار استاکس نت شروع فعالیت از دی ماه 1388، بر اساس بررسی تاریخ نشانه های دیجیتالی این کرم

13. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران نحوه نام‌گذاری استاکس نت MYRTUS، نامفایل ایجاد شده برای نفوذ در سیستم‌ها استر و ارتباط آن با استاکس نت اشاره به RTU ارتباط بین عدد 19790509 و روز "Habib Elghanian"

14. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران طراحي و سازماندهي استاکس نت نیم مگابایت، حجم استاکس نت نوشته شده به زبان برنامه نویسی C تیم ایجاد کننده استاکس نت مهارت بسیار در استفاده از آسیب پذیری های ناشناخته ویندوز بررسی تخصص‌های لازم برای طراحی استاکس نت مدت زمان کار بر روی پروژه استاکس نت

15. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران نقش یک دولت ملی در طراحی و ایجاد استاکس نت آشنایی با ساختار سیستم عامل ویندوز و نحوه عملکرد آن پیچیدگی کدنویسی خطرناک بودن حمله منابع مورد نیاز پروژه هزینه‌های لازم ریسک بالای پروژه نیازمندی به سخت افزار فیزیکی واقعی برای تست میزان وابستگی استاکس نت به گروه هک وابسته به سرویس جاسوسی یک کشور

16. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران عملکرد استاکس نت آسیب پذیری‌های مورد استفاده استاکس نت Microsoft Windows Shortcut ‘LNK/PIF’ Files Automatic File Execution Vulnerability (BID 41732) Microsoft Windows Print Spooler Service Remote Code Execution Vulnerability (BID 43073) Microsoft Windows Server Service RPC Handling Remote Code Execution Vulnerability (BID 31874) EoP 2 W32.Downadup (a.k.aConfiker)

17. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه عملکرد استاکس نت بررسی نحوه عملکرد استاکس نت ونفوذ به شبکه: قابلیت انتقال به شبکه از طریق USBآلوده ایجاد حق دسترسی Adminبه سایر رایانه ها از طریق آسیب پذیری های EoP تلاش برای یافتن سیستم های اجرا کننده برنامه های مدیریت Siemens SIMATIC WinCCوpcs 7 scada در دست گرفتن کنترل این برنامه ها از طریق یکی از آسیب پذیری های PrintSpoolerیا MS08-067 آزمایش رمز عبور پیش فرض زیمنس برای در اختیار گرفتن نرم افزار SCADA Server = .\wincc -- vid = winccconect-- pwd = 2wsxcder

18. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه عملکرد استاکس نت ادامه بررسی نحوه عملکرد استاکس نت و نفوذ به شبکه: بارگذاری کد استاکس نت در PLC پنهان کردن کد بارگذاری شده در PLC، همانند یک Rootkit برنامه ریزی دوباره PLC صدور دستورات جدید به حسگرها بر اساس اهداف استاکس نت

19. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه عملکرد استاکس نت گواهی‌های معتبر دیجیتالی سرقت شده توسط استاکس نت سرقت و جعل دو گواهینامه دیجیتالی امضا شده RealtekوJMicron هدف از جعل گواهینامه های دیجیتالی: اعتباردهی به درایوهای کرم برای نصب در رایانه قانونی نشان دادن کدهای حمله خود و جلوگیری از شناسایی آن توسط سیستم های امنیتی

20. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران نصب استاکس نت مراحل نصب استاکس نت در رایانه غیرآلوده: اتصال USBآلوده به رایانه و یا انتقال از طریق شبکه کپی از استاکس نت به عنوان فایل های زیر: %System%\drivers\mrxcls.sys %System%\drivers\mrxnet.sys ثبت فایل mrxcls.sysبه عنوان یک سرویس، با مشخصات زیر: Display Name:MRXCLS Startup Type:Automatic Image Path: %System%\drivers\mrxcls.sys

21. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه نصب استاکس نت ادامه مراحل نصب استاکس نت در رایانه غیرآلوده: ایجاد مسیر زیر در registryبرای این سرویس: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls\"ImagePath" = "%System%\drivers\mrxcls.sys" ثبت فایل mrxnet.sysبه عنوان یک سرویس با مشخصات زیر: Display Name:MRXNET Startup Type:Automatic Image Path: %System%\drivers\mrxnet.sys

22. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه نصب استاکس نت ادامه مراحل نصب استاکس نت در رایانه غیرآلوده: ایجاد مسیر زیر در registryبرای این سرویس: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet\"ImagePath" = "%System%\drivers\mrxnet.sys" ایجاد نسخه های رمزشده از استاکس نت به نام های زیر: %Windir%\inf\oem6C.PNF %Windir%\inf\oem7A.PNF %Windir%\inf\mdmcpq3.PNF %Windir%\inf\mdmeric3.PNF

23. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه نصب استاکس نت ادامه مراحل نصب استاکس نت در رایانه غیرآلوده: امکان رمزگشایی فایل های ایجاد شده، در صورت پاک شدن از روی رایانه؛ توسط فایل %System%\drivers\mrxcls.sys تأثیرگذاری دوباره در رایانه آلوده، هدف از رمزگشایی مجدد فایل ها

24. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران تغييرات در سيستم، پس از نصب استاکس نت بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: امکان مشاهده فایل های زیر در سیستم آلوده: %System%\drivers\mrxcls.sys %System%\drivers\mrxnet.sys %DriveLetter%\~WTR4132.tmp %DriveLetter%\~WTR4141.tmp %DriveLetter%\Copy of Shortcut to.lnk %DriveLetter%\Copy of Copy of Shortcut to.lnk %DriveLetter%\Copy of Copy of Copy of Shortcut to.lnk %DriveLetter%\Copy of Copy of Copy of Copy of Shortcut to.lnk %Windir%\inf\oem6C.PNF %Windir%\inf\oem7A.PNF %Windir%\inf\mdmcpq3.PNF %Windir%\inf\mdmeric3.PNF

25. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: عدم پاک یا اصلاح هیچ یک از فایل های سیستمی عدم حذف یا تغییر در هیچ یک از SubkeyهایRegistry ایجاد دو پردازش زیر در سیستم آلوده: iexplorer.exe lsass.exe دریافت و اجرای یک بسته قابل اجرا، از سرور c&cکرم

26. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: ارسال اطلاعاتی از طریق HTTPبه آدرس زیر: http://[C&C SERVER ADDRESS]/index.php?data=[DATA] اطلاعات موجود در DATA: نسخه سيستم عامل ويندوز نام كامپيوتر نام گروه شبكه نشانه براي آگاهي از نصب بودن نرم افزار SCADA آدرس IPهمه كارت هاي شبكه موجود

27. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: رمزگذاری اطلاعات ارسالی به سرور C&Cبا استفاده از یک کلید 31 بایتی XOR دریافت اطلاعات رمزنگاری شده از سرور C&Cبا استفاده از یک کلید 31 بایتی XORمتفاوت قرار داشتن هر دو این کلیدهای رمزنگاری در فایل های .dllموجود در سیستم آلوده ارتباط استاکس نت با اینترنت و سرور C&C، از طریق پورت 80؛ پس از اتصال سیستم به اینترنت دو سرور C&Cاستاکس نت: www.mypremierfutbol.com www.todaysfutbol.com

28. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: پاسخ سرور C&Cپس از دریافت اطلاعات، به دو روش زیر: دستورالعمل به کرم برای اجرای یکی از شیوه های موجود در کد تهدیدات آن استفاده از این روش به عنوان پوششی برای پاسخ به RPCها که به سیستم آلوده ارسال می شوند. ارایه یک فایل .dll به سیستم آلوده و دستور به بارگذاری آن

29. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: اقدامات انجام شده در سیستم آلوده، پس از فراخوانی RPCها: خواندن فايل نوشتن در فايل حذف فايل ايجاد پردازش تزريق يك فايل .dllبه lsass.exe بارگذاري و اجراي يك فايل .dllاضافه استخراج منبع 210 از فايل .dllاصلي (از اين منبع براي تزريق به پردازش هاي ديگر استفاده مي شود.) به روز رساني پيكربندي اطلاعات كرم

30. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: هدف قرار دادن فقط رایانه های دارای نرم افزار SCADA، پس از نفوذ به شبکه گرفتن تعداد زیادی querieاز پایگاه داده نرم افزارSiemens Step 7 ، جهت دریافت اطلاعات برقراری تعامل با فایل های .dllموجود در نرم افزار Siemens Step 7 تلاش برای دسترسی به فایل های ایجاد شده زیر، توسط نرم افزار Siemens Step 7: GracS\cc_tag.sav GracS\cc_alg.sav

31. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: GracS\cc_alg.sav GracS\db_log.sav GracS\cc_tlg7.sav *.S7P *.MCP *.LDF سرقت کد این فایل ها برای انجام اهداف استاکس نت

32. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: تزریق کد استاکس نت به PLCو پنهان کردن این کدها کنترل سیستم و به تعویق انداختن فعالیت های آن، پس از در اختیار گرفتن PLC جلوگیری از تشخیص فایل %DriveLetter%\~WTR4132.tmp، با مرتبط ساختن این فایل با رابط های برنامه های کاربردی (API) زیر: از Kernel32.dll: FindFirstFileW FindNextFileW FindFirstFileExW

33. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: از Ntdll.dll: NtQueryDirectoryFile ZwQueryDirectoryFile جایگزین کردن کد اصلی توابع فوق، با کدی که برای چک کردن فایل ها با مشخصات زیر است: نام فايل با پسوند ".lnk“ آغاز نام فايل با "~WTR"و با پسوند ".tmp"

34. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: بارگذاری فایل %DriveLetter%\~WTR4132.tmpبا فایل .dllدیگری به نام %DriveLetter%\~WTR4141.tmp رمزگشایی و ذخیره این فایل، در حافظه اصلی سیستم مرتبط کردن توابعی به Ntdll.dllو فراخوانی LoadLibraryرابط های برنامه های کاربردی، با نام فایل خاص ایجاد شده بارگذاری فایل .dllدر حافظه اصلی سیستم

35. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: توابع ایجاد شده در Ntdll.dllبرای تحقق اهداف فوق: ZwMapViewOfSection ZwCreateSection ZwOpenFile ZwCloseFile ZwQueryAttributesFile ZwQuerySection

36. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: فراخوانی فایل .dllبارگذاری شده در حافظه سیستم به دست گرفتن کنترل سیستم تزریق کد استاکس نت به iexplorer.exeبه منظور دور زدن فایروال ها و فرآیندهای امنیتی در سیستم آلوده

37. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه تغييرات در سيستم، پس از نصب استاکس نت ادامه بررسی تغییرات ایجاد شده در سیستم، پس از نصب استاکس نت: پایان دادن به فرآیندهای امنیتی زیر: vp.exe Mcshield.exe avguard.exe bdagent.exe UmxCfg.exe fsdfwd.exe rtvscan.exe ccSvcHst.exe ekrn.exe tmpproxy.exe

38. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران انتشار استاکس نت نحوه انتشار استاکس نت: درایوهای USB ایمیل های آلوده فایل های به اشتراک گذاشته شده در شبکه انتشار استاکس نت، قبل از آسیب پذیری فایل .lnk

39. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه انتشار استاکس نت ادامه امکان انتشار از طریق شبکه های رایانه ای دارای نقاط آسیب پذیر فایل‌های ایجاد شده برای انتشار: %DriveLetter%\~WTR4132.tmp %DriveLetter%\~WTR4141.tmp .dllبودن هر دو این فایل ها

40. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه انتشار استاکس نت ادامه امکان انتشار از طریق شبکه های رایانه ای دارای نقاط آسیب پذیر کپی کردن فایل های زیر به درایوهای قابل جابجایی: %DriveLetter%\Copy of Shortcut to.lnk %DriveLetter%\Copy of Copy of Shortcut to.lnk %DriveLetter%\Copy of Copy of Copy of Shortcut to.lnk %DriveLetter%\Copy of Copy of Copy of Copy of Shortcut to.lnk

41. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه انتشار استاکس نت ادامه امکان انتشار از طریق شبکه های رایانه ای دارای نقاط آسیب پذیر اجرای کدی که قابلیت اجرای فایل %DriveLetter%\~WTR4132.tmpرا دارد، پس از مورد دسترسی قرار گرفتن درایوهای فوق، با برنامه ای که توانایی نمایش آیکون ها را دارد (مانند Windows Explorer)؛ به جای نمایش آیکون برای فایل های .lnk اجرای فایل DriveLetter%\~WTR4141.tmpموجود در درایوهای قابل جابجایی (هدف از اجرای فایل فوق) جعل دو گواهینامه دیجیتالی امضا شده Realtekو JMicron، توسط این فایل

42. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه انتشار استاکس نت ادامه امکان انتشار از طریق شبکه های رایانه ای دارای نقاط آسیب پذیر همچنین، استفاده از کد مخرب RPCزیر، برای انتشار: Microsoft Windows Server Service RPC Handling Remote Code Execution Vulnerability (BID 31874) کپی استاکس نت به سایر رایانه های موجود در شبکه آلوده، از طریق کد مخرب زیر: Microsoft Windows Print Spooler Service Remote Code Execution Vulnerability (BID 43073)

43. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه انتشار استاکس نت ادامه امکان انتشار از طریق شبکه های رایانه ای دارای نقاط آسیب پذیر کپی استاکس نت از طریق منابع اشتراک گذاشته در شبکه، به عنوان فایل زیر: %DriveLetter%\ “DEFRAG[RANDOM NUMBER].tmp .dll بودن فایل فوق

44. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه انتشار استاکس نت ادامه امکان انتشار از طریق شبکه های رایانه ای دارای نقاط آسیب پذیر کاهش ریسک شناسایی استاکس نت و جلوگیری از گسترش بیش از اندازه آن: قراردادن یک شمارنده در درایو USBآلوده و عدم اجازه انتشار استاکس نت به بیش از 3 رایانه، از طریق همان USBخاص پاکسازی استاکس نت از روی درایو USBآلوده، پس از 21 روز زمان پایان فعالیت استاکس نت: 24 ژوئن سال 2012

45. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران جلوگیری از آلودگی توسط استاکس نت اقدامات مایکروسافت برای مقابله با استاکس نت و جلوگیری از انتشار آن وصله‌های امنیتی مایکروسافت برای برطرف سازی آسیب پذیری‌های مورد استفاده استاکس نت: Microsoft Security Bulletin MS10-046 Microsoft Security Bulletin MS10-061 Microsoft Security Bulletin MS08-067

46. استاکس نت دومین کنفرانس ملی دفاع سایبری ایران ادامه جلوگیری از آلودگی توسط استاکس نت نقش شرکت‌های امنیتی در گزارش آسیب پذیری‌ها و برطرف‌سازی آنها شرکت Symantec شرکتKaspersky عملکرد فعلی ضد ویروس‌ها در مواجهه با استاکس نت

47. دومین کنفرانس ملی دفاع سایبری ایران وایپر (Viper)

48. وایپر دومین کنفرانس ملی دفاع سایبری ایران مقدمه معرفی وایپر دومین حمله سایبری سازمان یافته به زیرساخت های حیاتی ایران وایپر، به معنای آدم خائن و بدنهاد اهداف طراحی و انتشار وایپر: کاهش تولیدات نفتی ایران

49. وایپر دومین کنفرانس ملی دفاع سایبری ایران ادامه مقدمه بررسی توانایی‌های وایپر: پاکسازی برگشت ناپذیر اطلاعات تمام رایانه های موجود در شبکه عبور از سیستم های امنیتی در شبکه، همچون ISA

50. وایپر دومین کنفرانس ملی دفاع سایبری ایران ادامه مقدمه اقدامات انجام شده برای مقابله ابتدایی با وایپر در ایران: ایجاد مرکز بحران در وزارتخانه نفت قطع دسترسی به اینترنت برای کارکنان وزارت نفت، شرکت ملی نفت، شرکت های پتروشیمی، پالایشگاه و توزیع مسدود کردن خدمات اینترنت در خارگ، بهرگان، سیری، لاوان، قشم و کیش قطع کامل تمامی ارتباطات و خدمات رسانی در سطح وزارتخانه نفت و شرکت های تابعه