Dissecando a Dark Web
Engenharia Reversa das Ferramentas da Economia Clandestina
Descrição do livro
Agora você consegue ver.
Entrar na dark web não é simples. Você precisa do Tor e de um OPSEC impecável. E, mesmo assim, os fóruns que valem a pena não deixam qualquer um entrar. Os de alto nível exigem indicações de membros já estabelecidos, depósitos em Bitcoin e provas de que você é confiável.
Em 2021, Lindsay Kaye foi uma das primeiras pessoas a realizar engenharia reversa de uma nova variante de ransomware e a divulgá-la publicamente. Fez isso antes mesmo de o grupo por trás dela, o BlackMatter, iniciar suas operações. Como? Ela identificou a ameaça ao monitorar os fóruns da dark web onde o grupo recrutava parceiros de forma discreta.
Neste livro, você entra nesse universo e no código por trás das ferramentas que ela encontrou lá:
• Raccoon Stealer: um ladrão de credenciais responsável pelo roubo de centenas de milhões de senhas, incluindo a consulta SQL usada para extraí-las diretamente do seu navegador.
• TrickBot: o trojan bancário que infectou milhões de máquinas Windows, incluindo a forma como ele se injeta no Chrome e intercepta as funções que lidam com o tráfego bancário.
• Cerberus: um trojan bancário para Android vendido em fóruns da dark web por US$ 200 mensais, incluindo a forma como ele sobrepõe uma falsa tela de login ao seu aplicativo bancário verdadeiro.
• LockBit: uma das operações de ransomware mais prolíficas da história, incluindo a forma como interrompe serviços de backup, exclui cópias de sombra (shadow copies) e envia uma atualização de Política de Grupo para todas as máquinas do domínio antes de iniciar a criptografia.
• Mirai: a botnet que deixou metade da internet fora do ar em 2016, incluindo a forma como encontra e infecta novos dispositivos para ampliar seu alcance.
• Sodinokibi/REvil e ALPHV: duas das operações de ransomware como serviço mais destrutivas de todos os tempos, dissecadas desde as postagens de recrutamento de parceiros até o código de criptografia.
Os relatórios de ameaças descrevem o que aconteceu. Este livro mostra como aconteceu.
Ver menos ▲Sumário
- Sobre a autora
- Sobre o revisor técnico
- Agradecimentos
- Introdução
- Web, deep web e dark web
- A quem se destina este livro
- O que este livro aborda
- Exercícios
- CAPÍTULO 1: Uma visita à dark web
- Acessando a dark web
- Garantindo um bom OPSEC
- Navegando com o Tor e o Whonix
- Encontrando e acessando sites da dark web
- Pessoas
- Produtos
- Dados
- Ferramentas
- Serviços
- Pagamento
- Protegendo as transações
- Comprando versus alugando
- Etapas de um ciberataque
- Noções básicas de análise de malware
- Boas práticas para manipular malware
- Análise estática
- Análise dinâmica
- Conclusão
- CAPÍTULO 2: Vulnerabilidades, exploits e acesso
- Comprando acesso
- IABs
- Provas de conceito e exploits
- Exploit builders
- Obtendo credenciais de acesso
- Verificando credenciais de acesso roubadas com checkers
- Deduzindo credenciais de acesso com brute-forcers
- Estudo de caso: verificação de acesso corporativo do TMChecker
- Recorrendo a kits de phishing
- Estudo de caso: o kit de phishing Greatness
- Gerando o esqueleto da página web
- Obtendo a carga maliciosa
- Redirecionando logins para uma página falsa
- Reestruturando
- Conclusão
- Exercício: explorando provas de conceito para a Log4Shell
- CAPÍTULO 3: Técnicas de entrega de malware
- Loaders
- Loaders à venda
- Desafios de análise
- Estudo de caso: técnicas de evasão do SmokeLoader
- Verificação de flags relacionadas à depuração
- Ofuscação de fluxo de controle
- Estudo de caso: principal funcionalidade do BunnyLoader
- Ofuscação de strings
- Download e execução de arquivos
- Técnicas antianálise
- O que é uma botnet?
- Acesso a botnets na dark web
- Infecção e comunicação
- Família Mirai
- Definindo credenciais de acesso padrão
- Comunicando-se com endereços IP
- Fazendo login
- Estudo de caso: a botnet CosaNostra
- Conclusão
- Exercício: lendo o código-fonte da Mirai
- CAPÍTULO 4: Ladrões de informações
- Coletando informações de um dispositivo
- O processo dos infostealers
- Sumário |
- Download pela vítima
- Coleta de dados
- Exfiltração
- Estudo de caso: coleta de informações do Raccoon Stealer
- Strings
- Dados do navegador
- Preenchimento automático de senhas
- Capturas de tela
- Carteiras
- Programas instalados
- Informações do sistema
- Por que os stealers ainda funcionam?
- Conclusão
- Exercício: analisando o SapphireStealer
- CAPÍTULO 5: Trojans bancários
- Roubo de credenciais bancárias
- Como os bankers para Android exploram a API de acessibilidade
- Declarando permissões no manifesto do Android
- Usando WebViews para criar sobreposições maliciosas
- Estudo de caso: as sobreposições de aplicativo do Cerberus
- Solicitando permissões para a API de Acessibilidade
- Definindo callbacks
- Gerando a sobreposição da WebView
- Estudo de caso: técnicas de trojan para Windows pelo TrickBot
- Injeção de processo
- Hooking de funções
- RATs versus trojans bancários
- Conclusão
- Exercícios
- Desenvolvendo um aplicativo bancário seguro
- Descobrindo outras funcionalidades do Cerberus
- CAPÍTULO 6: Packers e crypters
- Crypters no submundo criminoso
- Engenharia reversa de malware criptografado ou empacotado
- Strings sem sentido ou inofensivas
- Código sem sentido
- Entropia
- Estrutura binária
- Estudo de caso: uma amostra de malware empacotada
- Estágio 1: alocação de memória
- Estágio 2: a memória recém-alocada
- Estágio 3: obtenção da carga maliciosa final
- Conclusão
- Exercício: empacotando e analisando software
- CAPÍTULO 7: Frameworks de comando e controle
- Componentes dos frameworks de comando e controle
- Ecossistema de frameworks
- Como as ferramentas conhecidas driblam a detecção
- Tutoriais compartilhados na dark web
- Software crackeado e licenças revendidas
- Estudo de caso: comparação entre o Vermilion Strike e o Cobalt Strike
- Uma breve introdução ao Cobalt Strike
- Descriptografia dos dados de configuração
- Desofuscação de strings
- Coleta de metadados da vítima
- Criptografia e exfiltração de dados
- Atribuição de tarefas ao implante
- Conclusão
- Exercício: investigando o framework Sliver
- CAPÍTULO 8: Kits de pós-exploração
- Active Directory como alvo
- Pós-exploração na dark web
- Tutoriais, resultados e dicas
- Ferramentas open source reempacotadas
- Estudo de caso: utilitários do Impacket
- Uso por agentes de ameaça
- Obtenção de hash NTLM com o secretsdump
- Execução de comandos com o wmiexec
- Execução remota de código com o psexec
- Conclusão
- Exercício: explorando os módulos de pós-exploração e evasão do Metasploit
- CAPÍTULO 9: Living-off-the-land
- Usando ferramentas legítimas para driblar a detecção
- Binários comuns de living-off-the-land
- Uso malicioso do PowerShell
- Como o ransomware usa técnicas de living-off-the-land
- Identificação de recursos de rede
- Enumeração do Active Directory
- Técnica de movimentação lateral
- Escalonamento de privilégios
- Exfiltração de dados
- Implantação
- Estudo de caso: comparando o StealBit e os LOLBins
- Sumário |
- Configuração
- Técnicas de antianálise
- Importações de funções
- Criptografia de strings
- Autoexclusão e ocultação
- Varredura de arquivos e diretórios
- Funcionalidades de rede e exfiltração
- Comparação com as técnicas de living-off-the-land
- Mitigações
- Conclusão
- Exercício: executando binários da técnica living-off-the-land
- CAPÍTULO 10: Ransomware para Windows
- Breve história do ransomware
- Ascensão do modelo de ransomware como serviço
- Como os lockers funcionam
- Gerando chaves
- Aumentando a velocidade da criptografia
- Escalonamento de privilégios
- Excluindo locais sensíveis
- Whitelist de arquivos e diretórios
- Dificultando a recuperação
- Dificultando a análise
- Estudo de caso: comparando versões do locker do REvil
- Versão inicial
- A nova versão, aprimorada
- Como equipes de segurança criam descriptografadores de ransomware
- Conclusão
- Exercício: explorando o código-fonte vazado do Babuk
- CAPÍTULO 11: Ransomware para Linux e ESXi
- Evolução das ameaças a Linux e ESXi
- Hipervisor ESXi
- Vantagens de ter Linux e ESXi como alvo
- Migração para Go e Rust
- Estudo de caso: o locker da REvil para Linux e ESXi
- Uma abordagem mais simples para o ransomware
- Desligando máquina virtual
- Criptografia de arquivos
- Coleta de informações
- Estudo de caso: o locker do ALPHV baseado em Rust
- Configuração e strings
- Diretórios da whitelist
- Encerrando processos e serviços
- Pós-criptografia
- Lockers para Windows vs. Linux e ESXi
- Outros tipos de malware para Linux
- Conclusão
- Exercício: descobrindo erros no ESXiArgs
- CAPÍTULO 12: Lições da economia clandestina
- Hábitos dos agentes de ameaça
- Desenvolvimento reativo
- Reformulação de grupos
- Furtividade versus facilidade de uso
- Uso de ferramentas de red team
- Reaproveitamento de código existente
- Barreiras de entrada reduzidas
- Futuros desdobramentos na cibersegurança
- Reações às desarticulações
- Inteligência artificial
- Maior automação
- Evolução do ransomware
- Conclusão
- Soluções dos exercícios
- Índice remissivo
Sobre o autor
Lindsay Kaye, especialista em análise de malware e engenharia reversa, é vice-presidente de Inteligência de Ameaças na HUMAN Security. Kaye também é palestrante, instrutora e autora internacionalmente reconhecida na área de cibersegurança.… Ver perfil completo ▶