SVEUČILIŠTE U ZAGREBU

FAKULTET ELEKTROTEHNIKE I RAČUNARSTVA

RAČUNALNA FORENZIKA – SEMINAR

Analiza sigurnosnih prijetnji preko OSINT-a

Mladen Petr

Zagreb, siječanj 2019.

Sadržaj

Uvod ...................................................................................................................................... 1

Povijest Threat Intelligencea i OSINT-a ............................................................................... 2

Threat Intelligence ................................................................................................................. 3

HUMINT ........................................................................................................................... 3

SIGINT .............................................................................................................................. 3

IMGINT ............................................................................................................................. 3

OSINT ............................................................................................................................... 4

Analitičar sigurnosnih prijetnji .............................................................................................. 5

Uvod u Koobface ............................................................................................................... 5

Postupci analize prijetnji ................................................................................................... 5

Polazišna točka .............................................................................................................. 6

Izdvajanje korisnih informacija iz niza podataka .......................................................... 6

Korisni alati u istraživanju ............................................................................................... 10

Motivacija ........................................................................................................................ 11

Pojačanje obrane .............................................................................................................. 11

Zaključak ............................................................................................................................. 12

Literatura ............................................................................................................................. 13

1

Uvod

Prijetnje na internetu su danas izraženije i opasnije nego ikada, zato i njihovo istraživanje

mora biti vrlo detaljno u svrhu donošenja ispravnih odluka. Količina dostupnih podataka

eksponencijalno raste iz dana u dan, a njihova obrada zahtjeva resurse koji se ne mogu

realizirati. Zbog toga je fokus na usmjerenom pretraživanju podataka i njihovoj obradi u

informaciju te daljnjoj analizi u upotrebljivu inteligenciju.

Skupljanje i obrada inteligencije u području zaštite računala i entiteta od cyber prijetnji se

naziva Threat Intelligence odnosno Cyber Threat Intelligence.

Ovaj rad će se usredotočiti na konkretnu disciplinu skupljanja inteligencije od javno

dostupnih podataka (eng. Open Source Intelligence – OSINT) te će definirati postupke

OSINT analitičara kod analize nađenih podataka i potkrijepiti to sa primjerom iz stvarnog

života.

2

Povijest Threat Intelligencea i OSINT-a

Tehnika korištenja OSINT-a za prikupljanje važnih informacija je započela već u drugom

svjetskom ratu, točnije 26. veljače kada tadašnji predsjednik SAD-a Franklin Roosevelt

alocira 150 tisuća dolara te tako polaže temelje za osnutak Foreign Broadcast Monitoring

Service (FBMS). Cilj te organizacije je bilo nagledavanje raznih radio prijenosa i

propagandi njihovih neprijatelja u ratu. Prikupljene dešifrirane informacije su bile od

potencijalno vrlo velikih koristi za SAD da vidi kakvo je pravo stanje rata. Možda jedan od

najpoznatijih primjera je to da su prateći cijenu prodajne cijene naranči u Parizu analitičari

mogli potvrditi da li je bombardiranje željezničkog mosta prošlo uspješno.

Tada je količina javno dostupnih informacija bila dosta opskurna. Međutim sa

modernizacijom tehnologija ta količina je vrlo brzo prošla granice u kojima se mogla brzo i

efikasno pretraživati. Nakon napada na New York 9.11.2001, s ciljem da se otkriju

okolnosti napada te spriječe potencijalni budući napadi, stvara se National Commission on

Terrorist Attacks Upon the United States. Nakon dvije godine skupljanja podataka,

intervjuiranja oko 1200 ljudi, 2004 godine tim donosi zaključni izvještaj koji se arhivira te

zatvara svoja vrata. Zanimljiva činjenica je da predsjednik George W. Bush, koji je bio

jedan od pokretača tog tima, nije htio dati intervju pod prisegom.

Iako su OSINT organizacije i timovi bili prije stvarani na državnoj razini, tehnološkim

napretkom se ujedno i njihova zrnatost znatno smanjila. Zbog toga danas se mogu naći

analitički timovi u raznim tvrtkama odnosno mogu se unajmiti tvrtke specijalizirane za

analizu potencijalnih opasnosti. Ti specijalizirani timovi doduše koriste OSINT kao samo

jedan od načina dohvata informacija. Postoje razni drugi tipovi Intelligencea o kojima

ćemo reći ponešto u sljedećem poglavlju.

Danas lažne i beskorisne informacije znatno brojčano nadmašuju korisne i bitne. Samim

time je proces skupljanja tih informacija otežan i nerijetko naporan posao. Stoga posao

analitičara zahtjeva kombinaciju nemalih količina iskustva, logičnog razmišljanja i

strpljenja. Uz osobne vještine puno pomažu i razni alati analize podataka o kojima ćemo

nešto više reći u sljedećem poglavlju.

3

Threat Intelligence

Threat Intelligence, u mnogim mjestima i literaturama uz prefiks Cyber (CTI), definira

područje koje se bavi sustavnim skupljanjem podataka o mogućim potencijalnim

prijetnjama s ciljem njihovog predviđanja te konačno i sprječavanja. Sam pojam Cyber

Threat Intelligencea obuhvaća više različitih tipova Intelligencea koji se razlikuju u tome

gdje i kako se mogu naći podaci. Jedan od najvećih dijelova, Open Source Intelligence je

upravo obrađen u ovom seminaru. Osim OSINT-a, nabrojati ćemo još nekoliko većih i

popularnijih disciplina.

HUMINT

HUMINT ili Human Intelligence predstavlja sve podatke dobivene od samih ljudi. Podaci

se dobivaju kroz razgovore, intervjue ili ispitivanja ljudi za koje se vjeruje da posjeduju

kritične informacije o trenutnom istraživanju. Vjerodostojnost informacija ovakvog tipa

može biti jako upitna, pa je zato potrebno verificirati dobivene podatke nekim drugim

metodama.

SIGINT

Signals Intelligence se orijentira na prikupljanje podataka preko presretanja signala.

Signali mogu predstavljati bilo kakav oblik komunikacije između entiteta pa tako to može

predstavljati i prisluškivanje razgovora između dvoje ljudi. Ova disciplina se počela

primjenjivati već u Prvom svjetskom ratu kada su saveznici iz Antante prisluškivanjem

njemačkih telegrama dobili potrebnu prednost te u konačnici izašli kao pobjednici.

Presretanje i dekriptiranje poruka im je dalo uvid u trenutno stanje neprijateljske vojske i

njihov smjer kretanja. Upravo to je bio jedan od glavnih razloga britanske pobjede nad

njemačkim podmornicama u Sjevernom moru 1915. godine.

SIGINT se nastavlja koristiti i biti od važne uloge kako u Drugom svjetskom ratu tako i u

modernom dobu u borbi protiv terorizma.

IMGINT

Jako popularna disciplina skupljanja podataka danas svakako je Imagery Intelligence.

Postupci sakupljanja podataka se svode na interpretaciju zračnih i satelitskih fotografija.

Svoj začetak je imala u Drugom svjetskom ratu, a danas se većinom koristi za skupljanje

važnih informacija o nedostupnim, udaljenim ili skrivenim lokacijama.

4

OSINT

Izvori javno dostupnih podataka su obično razni mediji (novine, radio, televizija), javno

dostupni podaci od Vlade, tehnička literatura, Internet kao najveći izvor itd.

Upravo zbog velike količine izvora preko javno dostupnih podataka se može izvući mnogo

više korisnih informacija koje će se poslije analizirati i pretvoriti u upotrebljivu

inteligenciju. Prednost svega ovoga je ujedno i problem zbog toga što eksplozijom

informacija je ujedno porastao i broj neistinitih podataka.

Unatoč tom problemu, prikupljanje javno dostupnih podataka je jedna od najviše korištenih

disciplina kod analize potencijalnih sigurnosnih prijetnji te upravo zato se fokusiramo na

nju u ovome radu.

Vrlo je važno napomenuti da kod neke istrage često nema dovoljno ljudskih resursa da se

mogu angažirati analitičari u svim tipovima inteligencije. U tom slučaju se radi evaluacija

problema te definiranje polaznih točaka i eliminacija disciplina koje će biti od manjih

koristi u istrazi.

U sljedećem poglavlju fokus će biti na postupcima kod istraživanja postojeće prijetnje

preko OSINT-a te će biti potkrijepljeni sa stvarnim istraživanjem crva Koobface te grupe

koja stoji iza njega.

5

Analitičar sigurnosnih prijetnji

Pozicija CTI analitičara se ponekad može staviti u kontekst sa umjetnošću radi baratanja sa

vrlo divergentnim podacima te rješavanja kompliciranih i raznovrsnih problema. Samim

time svaki CTI analitičar treba imati kreativnost i inicijativu kojom efektivno definira

trenutne (i buduće) probleme i rješava ih relativno brzo. Suprotno mišljenju većine

početnika , veliki udio u ovom području igra i količina tehnološkog znanja zbog toga što se

pri samoj analizi radi sa raznim alatima i raznim programskim jezicima koji se teško

razumiju bez nekakve pozadine. Kombinacijom ovih vještina osoba, zajedno sa dobrim

analitičkim sposobnostima, postaje potencijalni kandidat za dobrog CTI analitičara.

Danas uzimamo podskup CTI-a OSINT, koji se intenzivno koristio u analizi crva

Koobface te ultimativno doveo do razotkrivanja grupe koja stoji iza njega.

Uvod u Koobface

Koobface je crv koji napada operacijske sustave Windows, Linux i MacOS. Meta napada

su bile društvene mreže poput Facebooka i Skypea te mail servisi poput GMaila,

YahooMaila i slično. Napadi su bili aktualni u 2009 i 2010 godini, a odvijali su se na način

da je osoba dobila od prijatelja na društvenoj mreži poruku sa poveznicom na video. Ta

poveznica je vodila na lažnu Youtube stranicu na kojoj se tražilo ažuriranje Flash

programa. Pokretanjem ažuriranja se zapravo pokrenula instalacija samog crva.

Crv je na zaraženom računalu u vremenskim intervalima uspostavljao konekciju sa

glavnim serverom te tako slao osjetljive podatke ili primao naredbe što napraviti sljedeće.

Predviđa se da je grupa iza tog crva zaradila preko 2 milijuna eura kroz infekciju računala i

krađu privatnih podataka.

U Siječnju 2012. godine istraživač Jan Droemer zajedno sa sveučilištem u Alabami

objavljuje rezultate istraživanja tog crva te razotkriva pojedince iza svega toga.

Postupci analize prijetnji

Analiza prijetnji se ne odnosi samo na postojeće prijetnje već i na nadolazeće, trenutno

nepostojeće. Predviđanje potencijalnih opasnosti može biti dosta komplicirano zbog

konstantnog razvijanja napadačkih metoda. U ovom radu fokus će biti na postupcima kod

istraživanja postojeće prijetnje.

6

Polazišna točka

Svaki neovlašteni pristup podacima ostavi jedan ili više tragova od kojeg započinje

istraživanje. U najčešćem slučaju će to biti niz IP adresa koje su sudjelovale u

komunikaciji sa napadnutim računalom. Preko poznatih alata na internetu se može

provjeriti malicioznost svake od adresa. Rezultat provjere će dati pozitivan rezultat ako je

adresa označena kao štetna odnosno već je sudjelovala u napadima. U negativnom slučaju

potrebno je dodatno istražiti svaku od adresa te izdvojiti one sumnjive.

Izdvajanje sumnjivih IP adresa

Detekcija sumnjivih IP adresa se ne vrši jednoznačno. Postoje mnogi faktori i mnoge

informacije koje nekako mogu izdvojiti ono što nam je zanimljivo. Obično se odmah

provjeri lokacija svake IP adrese tražeći državu koja je neobična za uspostavljanje

komunikacije sa napadnutim računalom, količina zahtjeva za pristupom u nekom periodu

itd.

Pristup malicioznom računalu

Sljedeći korak, u slučaju potvrdne identifikacije napadačke IP adrese, je stvaranje pristupa

na tom računalu. Vrlo često se na takvim serverima nalaze važne datoteke koje će

pripomoć u istraživanju.

U proučavanom blogu je dobiven pristup jednom od command and control (C&C) servera.

Preko webalizer alata (koji je bio javno dostupan na njihovom serveru) je kasnije otkriveno

da za datoteku „last.tar.bz2“ ima neobično puno zahtjeva za pristupom. Daljnjim

istraživanjem je utvrđeno da ta datoteka sadrži dnevni backup C&C softwarea. Te

sigurnosne kopije su se mogle preuzeti i sa drugih servera od te grupe.

Izdvajanje korisnih informacija iz niza podataka

Pronaći korisne informacije za istraživanje u mnoštvu podataka je dosta komplicirano.

Potrebno je gledati moguće osobne podatke, aliase, IP adrese povezanih računala, log

datoteke itd. Svaki od tih podataka može uvelike pomoći u istraživanju. U našem primjeru

iz dnevne kopije glavnog servera su izvučene razne informacije a između ostalog i dva

zanimljiva aliasa (Krotreal i PoMuC) te datoteka sa zapisanim brojevima telefona.

7

Interpretacija dobivenih rezultata

Prije svega je potrebno je utvrditi relevantnost dobivenih podataka. U našem primjeru,

proučavana je bila datoteka sa zapisanim telefonskim brojevima.

Na njima se može iščitati pozivni broj (iz Rusije) te primijetiti da je jedan broj

zakomentiran (skripta ne izvršava tu liniju koda). Zakomentirani broj vjerojatno nije više u

grupi ili zbog nekog drugog razloga ne prima sms o statistici. Intuitivno se može zaključiti

da ti brojevi mogu dovesti do mogućih počinitelja.

8

Dalje se može preko brojeva doći do njihovih vlasnika te ih probati povezati sa dobivenim

alias imenima.

Nalaženje poveznica u podacima

Postoji mnogo alata i servisa koji nam preko broja telefona mogu dati vlasnika, provjeriti

na kojim web stranicama je registriran korisnik sa određenim aliasom itd. Uz to se na

mreži mogu tražiti mjesta gdje se upotrebljavao određeni podatak (alias, telefonski broj i

slično).

Od brojeva nađenih u prošlom paragrafu, pretragom po raznim forumima je nađeno da se

jedan broj koristio kod prodaje automobila i malih mačića. Uz taj broj je bila navedena

email adresa „Krotreal@...“, identičnog imena kao i sam alias nađen u backup datoteci.

U većini slučajeva korisnik koristi isti nadimak u svim servisima koje posjećuje. Sa tom

pretpostavkom se može provjeriti na kojim web stranicama je određeni alias korišten.

Jedan od alata koji to omogućuje se nalazi na adresi namechk.com.

Alias krotreal je bio zauzet na većini servisa a značajno je napomenuti da to uključuje i

društvene mreže, čiji podaci korisnika u većini slučajeva budu javno dostupni. Treba uzeti

u obzir mogućnost da nadimci ne pripadaju nužno istom korisniku u svim mrežama.

Potraga se ovdje nastavila prema društvenim mrežama radi identifikacije sumnjivca uz

pomoć danog aliasa. Nekoliko servisa je bilo zaključano za javnost, no postanjem

poveznica sa jedne mreže na drugu može implicitno napraviti te podatke javnima. U našem

primjeru je krotreal na facebooku stavio poveznicu na njegove twitter fotografije koje su

postale time javno dostupne istražiteljima. To je dalo uvid u njegove aktivnosti kao i

9

lokacije gdje se nalazi. Treba napomenuti da, u slučaju zaključanog profila, se ponovo

provjerava dostupnost jer se status istog može promijeniti kroz vrijeme kao što je to bilo i u

primjeru.

Uz flickr, facebook i twitter, istražiteljima je zanimljiva bila i jedna stranica za odrasle,

kojom su preko whois alata saznali da je vlasnik te stranice Anton K. sa gore navedenim

brojem telefona. Zapisani email „krotreal@mobsoft.com“ je ukazivao na povezanost

Antona i tvrtke mobsoft.

Zatvoreni profili za javnost mogu dati značajnije informacije od javnih profila zato što svi

komentari na postovima od korisnika su od njegovih prijatelja, što može utvrditi socijalne

poveznice te moguće supočinitelje.

Podaci o registriranim kompanijama su javni, pa tako je moguće dobiti podatke vlasnika

tvrtke, adresu te njegov email odnosno broj. To ne znači da je sama tvrtka upetljana u

cyber napade, potrebno je izvaditi podatke koji će konačno i jednoznačno identificirati

sumnjivu osobu.

U primjeru je mobsoft.com adresa bila izvan funkcije, no ipak su se mogli izvaditi

cacheirani artefakti u obliku loga kompanije i opisa proizvoda. Taj logo se pojavio na

backup datoteci nađenoj prije koja je povezana sa domenom mobsoft.eu, registriranoj

tvrtki u Češkoj. Utvrđeno je da je vlasnik te tvrtke upravo Anton K.

Pošto je prevađanje prirodnog jezika i dan danas vrlo težak zadatak, sama istraživanja

ponekad treba prilagoditi tome. U primjeru je promjenom na ćirilicu pretraga odmah dala

tražene rezultate vezane za tvrtku mobsoft u Rusiji za koju se nisu mogli dobiti korisni

podaci ako se pretraga vršila na latinici. Vlasnik tvrtke u Rusiji je bio Roman K. Daljnjim

istraživanjem se našao oglas za posao u toj tvrtki gdje je kao kontakt naveden broj iz

skripte u backup datoteci.

Sada bi pretraga po društvenim mrežama mogla identificirati sumnjive osobe

povezivanjem osobnih podataka nađenih tamo i podataka o vlasnicima firmi registriranima

na području Češke i Rusije.

Indirektne poveznice u istraživanju

U većini slučajeva, kao i u primjeru, su profili sumnjivaca društvenih mreža zaključani za

javnost. To dolazi zbog njihove opreznosti, no danas je jako teško biti anoniman na

internetu zbog raznih načina da ti podaci slučajno postanu javni. Drugi koristan trag bi bio

da se umjesto fokusiranja na samog sumnjivca krene tražiti okolo odnosno njegove poznate

10

prijatelje i obitelj. U slučaju potvrdne identifikacije prijatelja ili člana obitelji, šanse su da

se mogu dohvatiti podaci o samom sumnjivcu. U dosta slučajeva ostatak društva oko

napadača ne zna za njegove aktivnosti pa samim time nema pretjeranu potrebu imati

zaključan profil.

Korisni alati u istraživanju

Istraživanje će uvijek sa sobom nositi vrlo puno podataka koje nekako treba spremiti i

rasporediti tako da se lakše odrede međusobne poveznice. Jedan od najboljih, ako ne i

najbolji, način je vizualizacija tih podataka. Jedan od najpopularnijih programa za

vizualizaciju u ovom području je Maltego. Primjer vizualizacije podataka iz proučavanog

bloga je dan u nastavku.

Postoji jako puno korisnih alata koji pomažu u stvaranju dodatnih informacija i tragova.

Neki od njih su nabrojani u ovom radu: WhoIS, namechk, registri vlade o prijavljenim

tvrtkama itd. Istražitelj mora u kontekstu sam odrediti koji alat može iskoristit u kojoj

situaciji da bi imao potencijal za napredovanje u istraživanju.

11

Motivacija

U ovom koraku se definira motivacija napadača. Traži se odgovor na pitanje zašto je napad

počinjen, koji su ciljevi napada te ultimativno kako se obraniti od toga ubuduće.

Da se dobije bolji uvid u situaciju u kompaniji, potrebno je znati kakav je potencijal same

firme, s kakvim resursima se raspolaže te tko bi htio te resurse uzeti sebi odnosno tko bi

htio da te resurse firma izgubi. CTI analitičar zato treba od šefa tvrtke dobiti detaljne

informacije o stanju i potencijalu iste.

Ovaj korak vrlo često bude i prvi koji će se izvršiti kod istrage.

Pojačanje obrane

Ranjive točke u sustavu je jako bitno definirati što prije kako bi se napad spriječio. Ako se

odredi vektor napada tada se može fokusirati na određeni dio obrane koji treba pojačati. U

suprotnom potrebno je obaviti detaljnu analizu obrambenog sustava te tako odrediti

jednoznačno koji dio je najslabiji.

Izvještaj i zaključci istraživanja su fizički materijali koji ostanu unajmitelju za daljnju

zaštitu osjetljivih podataka. Temeljiti i u skladu sa standardom, izvještaju služe za

konzultaciju u slučaju budućih prijetnji i bržu detekciju i obranu od njih.

12

Zaključak

OSINT disciplina je jako raširena te se u mnogim primjerima iz stvarnog života može

vidjeti njezina važnost i moć, ukoliko se prakticira na ispravan način.

U ovom radu smo ukratko objasnili postupke kod skupljanja i analize javno dostupnih

podataka u zaštiti od sigurnosnih prijetnji. Svi postupci su bili potkrijepljeni ekvivalentnim

korakom i rezultatom našim primjerom.

Može se zaključiti da sigurnost u današnje doba nije luksuz nego nužnost. Digitalizacija

većine podataka sa sobom nosi i mnoštvo potencijalnih problema koji se mogu i moraju

efikasno spriječiti. Zato skupljanje podataka i analiza dobivenih informacija igra ključnu

ulogu u definiranju problema te početku implementacije njegovog rješenja.

13

Literatura

https://nakedsecurity.sophos.com/koobface/

https://en.wikipedia.org/wiki/Cyber_threat_intelligence

https://whatis.techtarget.com/definition/threat-intelligence-cyber-threat-intelligence

https://inteltechniques.com/menu.html

https://www.nsa.gov/what-we-do/signals-intelligence/