Hasilkan banyak uang dengan menyebarkan malware (tapi jangan)

Vern Paxson, Profesor Teknik Elektro dan Ilmu Komputer di University of California, Berkeley, terkenal di komunitas keamanan untuk sebuah makalah tahun 2002 berjudul Bagaimana Memiliki Internet di Waktu Luang Anda (di antara banyak prestasi lainnya). Berdasarkan analisis rinci Kode Merah dan cacing Nimda, makalah ini mempromosikan perlunya "Pusat Pengendalian Penyakit" dunia maya. Belakangan ini, Paxson mencari cara lain untuk menangani masalah keamanan berskala besar - ​​infiltrasi. Keynote-nya di Konferensi Internasional ke-10 tentang Perangkat Lunak Berbahaya dan Tidak Diinginkan (singkatnya MalCon 2015) membuat saya dan para peserta terkesan dengan keterusterangan pendekatan ini.

Hasilkan Uang Besar di Waktu Luang Anda

Ingin menghasilkan banyak uang di industri malware? Anda tidak harus menjadi pembuat kode. Bahkan jika Anda memiliki keterampilan itu, Anda tidak harus mempelajari semua aspek membuat dan mendistribusikan malware. Ada berbagai pekerjaan berbeda di ekosistem malware.

Tokoh kunci dalam ekosistem ini adalah broker, orang yang tahu bisnis tetapi tidak coding. Dia memiliki dua jenis pelanggan. Coders malware memiliki perangkat lunak jahat yang ingin mereka instal pada banyak PC konsumen. Bisa jadi antivirus palsu, ransomware, komponen botnet, apa saja. Lalu ada afiliasi, coders yang memiliki sumber daya untuk menginstal perangkat lunak sewenang-wenang pada sistem yang tidak terlindungi. Mereka menggunakan teknik seperti unduhan drive-by, spam, dan phishing untuk membuat pengunduh pada sistem korban.

Sekarang roda mulai berputar. Coders malware mengkontrak untuk membayar broker karena menginstal kode mereka pada sistem sebanyak mungkin. Afiliasi membuat pengunduh diinstal pada sistem sebanyak mungkin. Pengunduh menghubungi broker, yang memasok malware dari coders, mungkin beberapa kali. Dan afiliasinya dibayar berdasarkan jumlah instalasi. Semua orang menghasilkan uang dalam sistem Pay Per Install (PPI) ini, dan jaringan ini sangat besar.

"Ada beberapa kecemerlangan di sini, " kata Paxson. "Pialang tidak melakukan apa-apa, tidak menerobos, tidak mencari tahu eksploitasi. Pialang hanya perantara, mengambil keuntungan. Afiliasi tidak harus bernegosiasi dengan penjahat atau tahu apa yang harus dilakukan setelah menerobos masuk. Semua anggota hanya harus melakukan bagian mereka."

Cowok Buruk Punya Keamanan Buruk

"Secara historis, deteksi serangan jaringan telah menjadi permainan mendera, " kata Paxson. Hancurkan satu serangan, yang lainnya muncul. Ini bukan game yang bisa Anda menangkan.

Timnya mencoba pendekatan berbeda terhadap sistem PPI ini. Mereka menangkap sampel berbagai pengunduh dan merekayasa baliknya untuk menentukan bagaimana mereka berkomunikasi dengan broker masing-masing. Berbekal informasi ini, mereka merancang sistem untuk meledakkan broker dengan permintaan malware yang dapat diunduh. Paxson menyebut teknik ini "memerah" broker malware.

"Anda akan berpikir ini akan gagal, " kata Paxson. "Tentunya broker memiliki semacam sistem otentikasi, atau pembatasan tingkat?" Tetapi ternyata, mereka tidak melakukannya. "Unsur-unsur kejahatan dunia maya yang tidak menghadapi malware sepuluh tahun di belakang dalam keamanan mereka sendiri, mungkin lima belas, " lanjutnya. "Mereka menghadap pelanggan, bukan menghadap malware." Ada interaksi kedua di mana afiliasi mengklaim kredit untuk unduhan; Tim Paxson secara alami melewatkan langkah itu.

Dalam lima bulan, percobaan menghasilkan jutaan binari, mewakili 9.000 keluarga malware yang berbeda, dari empat program afiliasi. Terkait dengan daftar 20 keluarga malware paling umum, tim menentukan bahwa jenis distribusi ini bisa menjadi vektor nomor satu untuk distribusi malware. "Kami menemukan sampel kami sekitar satu minggu di depan VirusTotal, " kata Paxson. "Kami membuatnya segar. Segera setelah broker ingin mendorongnya keluar, kami mendapatkannya. Setelah itu di VirusTotal Anda tidak mendorongnya."

Apa Lagi Yang Dapat Kita Menyusup?

Tim Paxson juga mengambil situs web yang menjual akun yang berfungsi untuk berbagai layanan. Dia mencatat bahwa akun tersebut benar-benar valid, dan tidak sepenuhnya ilegal, karena "satu-satunya pelanggaran mereka adalah melanggar Ketentuan Layanan." Facebook dan Google paling mahal biayanya per seribu, karena mereka memerlukan verifikasi telepon. Akun Twitter tidak semahal ini.

Dengan izin Twitter, grup riset membeli banyak koleksi akun palsu. Dengan menganalisis akun, termasuk metadata yang disediakan oleh Twitter, mereka mengembangkan algoritme untuk mendeteksi akun yang dibuat menggunakan teknik registrasi otomatis yang sama, dengan akurasi 99, 462%. Dengan menggunakan algoritma ini, Twitter mencatat akun tersebut; hari berikutnya, situs web yang menjual akun harus mengumumkan bahwa mereka kehabisan stok. "Akan lebih baik untuk menghentikan akun pada penggunaan pertama, " kata Paxson. "Itu akan menciptakan kebingungan dan benar-benar merusak ekosistem."

Anda pasti mendapatkan penawaran spam untuk menjual suplemen kinerja pria, Rolex "nyata", dan semacamnya. Kesamaan yang mereka miliki adalah bahwa mereka sebenarnya harus menerima pembayaran dan mengirimkan produk kepada Anda. Ada banyak tautan yang terlibat dalam memasukkan spam ke Kotak Masuk Anda, menangani pembelian Anda, dan mengirimkan produk kepada Anda. Dengan benar-benar membeli beberapa barang legal, mereka menemukan bahwa tautan yang lemah dalam sistem ini membuat transaksi kartu kredit dibersihkan. "Daripada mencoba mengganggu botnet yang memuntahkan spam, " kata Paxson, "kami menganggapnya tidak berguna." Bagaimana? Mereka meyakinkan penyedia kartu kredit untuk memasukkan daftar hitam tiga bank, di Azerbaijan, Latvia, dan St. Kitts dan Nevis.

Jadi, apa yang dibawa? "Dengan serangan Internet skala besar, " kata Paxson, "tidak ada cara mudah untuk mencegah infiltrasi. Infiltrasi secara signifikan lebih efektif daripada mencoba melindungi setiap titik akhir."

MalCon adalah konferensi keamanan yang sangat kecil, sekitar 50 peserta, yang menyatukan akademisi, industri, pers, dan pemerintah. Ini didukung oleh Universitas Brandeis dan Institut Insinyur Listrik dan Elektronik (IEEE), antara lain. Sponsor tahun ini termasuk Microsoft dan Secudit. Saya telah melihat sejumlah makalah dari MalCon muncul beberapa tahun kemudian, dengan penelitian yang lebih matang, di konferensi Black Hat, jadi saya mencermati apa yang disajikan di sini.