Praktikum 11 - Kahjurvara

Kahjurvara (ka pahavara või kurivara) nimetatakse sellist tarkvara, mida kasutatakse ilma omaniku teadmata tema arvutisse tungimiseks ja/või selle kahjustamiseks. Kahjurvara on mitut liiki: lunavara, viirused, troojalased, ussid, nuhkijad, helistajad, reklaamijad ja palju muud. Kahjurvara luuakse inimeste poolt, keda ajendab kas uudishimu, soov huligaanitseda või teie kulul rikastuda.

See võib arvutisse sattuda USB-pulgal, CD-plaadil või muul andmekandjal, aga võib olla kaasa pandud e-kirjale, peidetud mõnda programmi või dokumenti, saada alla laetud veebibrauseri poolt või tulla ründe kaudu, mis kasutab ära teenuses olevat turvaprobleemi ning auklikku või puuduvat tulemüüri. Nakatunud arvutis võib teoorias kahjustada saada ka riistvara, kuigi enamasti on sihtmärgiks andmed.

Uusim pahavara üritab siiski toimetada teie arvutis võimalikult vaikselt ja tagasihoidlikult, et te midagi kahtlustama ei hakkaks ning oma igapäevaseid toimetusi julgelt edasi toimetaksite – kasutaksite internetipanka, vahetaksite konfidentsiaalseid sõnumeid, sisestaksite oma kasutajatunnuseid ja paroole. On olnud juhuseid, mil pahavara kontrolliv küberkurjategija on koguni hoolitsenud arvuti operatsioonisüsteemi turvaparanduste paigaldamise eest ja jälginud, et viirustõrje toimiks korralikult ja eemaldaks konkureeriva pahavara. Omakasupüüdmatusega pole sellel siiski pistmist – teie arvutiressurss, pangaandmed ja muu isiklik info on liiga väärtuslik saak, et seda kellegagi jagada. Allikas:http://www.arvutikaitse.ee

Enne praktikumi juurde asumist soovitame vaadata Mikko Hypponen 2011 aasta lustakat, kuid siiski väga harivat, TED video arvutiviirustest https://www.ted.com/talks/mikko_hypponen_fighting_viruses_defending_the_net .

Töökeskkonna seadistamine - Windows XP

Tänane praktikum toimub Windows XP virtuaalmasinas
Kasutame ajaloolist Windows XP virtuaalmasinat teadlikult, sest vanemaid viiruseid on lihtsam uurida ning ühtlasi ei teki nakatumise ohtu meie kaasaegsetele operatsioonisüsteemidele. Windows XP täiendavaks eeliseks on tema vähene ressursinõudlikus võrreldes kaasaegsemate operatsioonisüsteemidega. Selleks laadige enda arvutisse Andmeturve_XP_SP3.ova https://owncloud.ut.ee/owncloud/index.php/s/CrtBMvRouATSgz8 lehelt , kus allalaadimise parooliks sisestage aine kood LTAT.06.002.

Järgnevalt käivitage VirtualBox ja importige virtuaalmasin failist Andmeturve_XP_SP3.ova (File -> Import Applicance -> File: Andmeturve_XP_SP3.ova -> Next -> MAC Address Policy: Generate new MAC addresses for all network adapters) ja ärge muutke virtuaalmasina riistvara seadeid, sest muidu võib küsida Windows XP teie käest aktiviseerimist.

NB! Enne käivitamist veenduge, et virtuaalmasin ei pääseks võrgule ligi. Deaktiveerige võrguliides VirtualBox virtuaalmasina seadetest. Settings -> Network -> Adapter 1 -> Advanced -> Eemaldage "Cable Connected" linnuke.

Käivitage lisatud virtuaalmasin ja logige sisse kasutaja nimelise kasutajana juhul kui see peaks vajalik olema.

Nüüd uuendame Windows XP virtuaalmasina draivereid valides Virtualboxi XP akna menüüst Devices -> Insert Guest Additions CD image -> Next -> Next -> Install -> Continue Anyway (mitu korda) -> Reboot now -> Finish

Pahalaste leidmine ning eemaldamine

Pakkige lahti pahalased.zip ja utils.zip. Need asuvad virtuaalmasina töölaual. Kõik praktikumi juhendis viidatud utiliidid on utils.zip failis, teil ei ole vaja neid internetist alla laadida. Lingid on lihtsalt selleks, et saaksite need programmid ise pärast kerge vaevaga üles leida. pahalased.zip fail sisaldab kolme pahalase faili, mida me järgmistes ülesannetes kasutame hakkame. Pahavara võib käituda mitmel moel ja teha mitmeid erinevaid asju. Pahalastega samas kaustas on leitavad ka XML failid (Analysis Dump), mis kirjeldavad kuidas täpselt ja milliseid faile ning registri kirjeid tarkvara loob või modifitseerib.

Pahalane 1

Kopeerige pahalaste kataloogist oma desktopile fail nimega 5f85dc4d417c7aa7e49652d89cd6568a, nimetage ta ümber pahalane1.exe'ks ja käivitage see. Peale käivitamist peaks fail ise ennast ära kustutama paari sekundi pärast.

Käivitage Task Manager (käivitub Ctrl + Shift + Esc või alternatiivselt Input -> Keyboard -> Insert Ctrl-Alt-Del peale) programm ning uurige, kas märkate kahtlast programmi masinas jooksmas (Processes vaheleht). Vihje: Kasutajal on üks liigne protsess, mille nimi proovib matkida mõnda teist süsteemi protsessi.

Uurige protsesse ka Process Explorer abil (asub utils kataloogis) ning uurige täpsemalt, mille poolest kahtlane protsess eristub teistest. Veenduge, et sellel protsessil ei ole digitaalset signatuuri, kuid ülejäänutel protsessidel on verifitseeritavad signatuurid. Selleks lisage process exploreri vaatesse tulp, mis kuvab signeerimise kohta käivat infot (parem klahv tulba nimede real -> Select Columns -> Process Image -> Verified Signer) . Kui see on tehtud, siis otsige process exploreri options menüüst üles Verify Image Signatures valik. Tänapäeval peaks usaldusväärsed binaarid olema digiallkirjastatud tarkvaratootja poolt ja juhul kui signatuur on puudu, siis võib tegemist olla kahjurvaraga. Nüüd peaksite suutma Process Explorer nimekirjast üles leida pahalase, mis matkib mõnda levinud Windowsi protsessi nime. Pahalane kasutab erinevaid nimesid, kui mitu korda käima panna või kui võrdlete kaastudengitega lahendusi. Ühtlasi olge hoolikas edaspidi kui otsite pahalast failisüsteemist, sest pahalane kasutab ära asjaolu, et suurtäht i ja väike l näevad sarnased operatsioonisüsteemis välja I vs l, O vs 0 jne. Pahalane võib ära kasutada ka muid nimekuju sarnasusi näiteks jätab ära tähe levinud protsessinime juures.

Uurige Tcpview abil, kas pahalane üritab võrguga suhelda (ei tohiks).

Pahavara peab ennast arvutis kuidagi käima panema koos arvuti käivitumisega. Otsige üles algkäivituse registrivõtmed, mille abil on pahalane seadistatud automaatselt käivituma iga kord kui arvuti käivitub. Enne eemaldamist tuleks teha ekraanitõmmis, vt. kolmandat punkti. Registri puhastamiseks on mitu võimalust (NB! Ärge veel midagi kustutage - lihtsalt otsige pahalane üles):

• Start -> Run, regedit - otsige haru HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
• Start -> Run, msconfig -> Startup.
• Käivitage Autoruns (olemas utils kaustas. Uurige erinevaid viise, kust asjad automaatselt käima minna saavad. Enne tehke arvestuse jaoks vajalik ekraanitõmmis ning siis eemaldage pahavara autoruns nimekirjast (kustutage, mitte ärge eemaldage linnukest).

Arvestus 1: Tehke ekraanipilt autoruns programmist, kus on näha esimese pahalase programm ning salvestage see väljaspool virtuaalmasinat. Lisaks kirjutage oma täisnimi tekstifaili nii, et see ekraanivaatelt näha oleks. Ekraanipiltidel peab olema näha terve virtuaalmasin. Ärge lõigake neid väiksemaks kui virtuaalmasina aken.

Eemaldage pahalane masinast - selleks on soovitav kõigepealt kahtlane protsess maha tappa ning siis eemaldada tema failid ja registrivõtmed süsteemist:

1. Vaadake Process Exploreriga ja jätke meelde, mis on pahalase programmi täistee süsteemis. See peaks asuma C:\Windows\system32 kataloogis.
2. Tapke pahalase protsess (Task manager või Process Explorer).
3. Kustutage pahalase programmifail sealt, kus te just tuvastasite ta olevat. Vajadusel lülitage sisse failihalduri seadetes peidetud ja süsteemifailide näitamine. Vihje: Tools -> Folder Options -> View -> linnuke Show hidden files and folders, eemalda Hide extensions for known file types, Hide protected operating system files.
4. Nüüd kustutage ka registrikirje vabalt valitud meetodil regedit, msconfig või autoruns.exe

Pahalane 2

Enne kui te järgmise pahalase käivitate, pange käima ning jätke tööle Tcpview programm, et jälgida aktiivseid võrguühendusi.

Nüüd tehke koopia järgmisest pahalasest 1c2bfded99bab96e49f7d9c53026646c, nimetage see ümber pahalane2.exe failiks ning käivitage see. See fail peaks samuti ennast ise automaatselt kustutama.

Viivitage Windowsi tulemüüri küsimusele vastamisega, ning uurige varasemalt käivitatud TCPView programmi väljundit. Mida antud pahalase programmi võrguliiklus tähendab? Miks see toimub vaatamata tulemüürist mittelubamisele? Vastus: Windowsi tulemüür piirab vaikimisi ainult väljast sissetulevaid ühendusi, seest väljuvad ühendused ei ole enamasti filtreeritud.

Mida tähendab siis see tulemüüri dialoog - mida see reaalselt lubab-keelab? Vastus: Annab pahalasele õiguse väljast ühenduda arvutiga. Turvalisuse huvides valime Keep Blocking

Uurige teist pahalast Process Explorer programmi abil. Mis on pahalase nimi?

Uurige Process Explorer programmi abil lisaks ka seda, milliseid faile kahtlane protsess hetkel kasutab (View -> Show Lower Pane). Alumisel vaatel saab samuti tulpasid lisada ning selle abil on võimalik kuvada failide lugemise ja kirjutamise kohta käivat infot (RW-. Selleks: parem klahv tulba nimede real -> Select Columns -> Handle -> File Share Flags -> Märgige aktiivseks neropro.exe -> Sorteerige Lower Pane Share Flags parameetri põhjal. Nüüd võiksite failide nimekirjas näha faili C:\Documents and Settings\kasutaja\Cookies\index.dat mis viitab asjaolule, et pahalane üritab varastada meie operatsioonisüsteemi veebilehitsejate sessiooniküpsiseid ning seeläbi saada ligipääs meie kasutatavatele veebilehtedele.

Arvestus 2: Tehke ekraanipilt Process Explorer vaatest, kus on näha 'teise pahalase protsess ning fail(id) mida ta on modifitseerinud. Salvestage ekraanitõmmis nii, et ekraanivaatelt oleks näha ka teie nimi (näiteks tekstifailis).

Eemaldage pahalane sarnaselt eelmisele ülesandele algkäivituse seadistuste hulgast ning kustutage see.

Pahalane 3

Käivitage kolmas pahalane, mis asub failis 301f5a89892cd507badd5e27882cdf06. Kolmas pahalane on eriti kaval ja peidab ennast DLL tüüpi failide sisse, mida Windows kasutab näiteks draiverite info hoiustamiseks.

Uurige Process Exploreri abil, mis protsess paistab arvutis olevat liigne, mis on tema käsurea parameetrid Command line, ja kas käsurealt viidatud fail gzipmod.dll on C:\Windows\System32 kaustas veel nähtav (esialgu peaks veel olema nähtaval, seni kuni pole arvuti pääsenud internetti).

Lubage virtuaalmasin tagasi internetti - VirtualBox menüüst valige virtuaalmasina peal Settings -> Network -> Adapter 1 -> (Jätke võrgutüübiks NAT) -> Advanced -> Cable connected (tehke linnuke). Windowsile pole vaja midagi öelda, tema jaoks on see samaväärne kaabli külge ühendamisega.

Oodake mõnda aega, kuni kasutatav gzipmod.dll ja vbagz.sys fail nähtamatuks muutuvad. Kui ei muutu, tehke virtuaalmasinale taaskäivitamine.

Kui fail on nähtamatuks muutunud, käivitage RootkitRevealer (vanem programm, on osa sysinternals tarkvarapaketist https://docs.microsoft.com/en-us/sysinternals/downloads/rootkit-revealer) ja laske skaneerida süsteemi File->Scan. See peaks peidetud faili üles leidma Hidden from Windows API, kuid ei oska ise tagasi nähtavaks muuta.

GMER

Käivitage GMER - see on targem rootkittide vastane vahend, mis oskab osasid asju ka ise ära parandada. Vajutage nupule Scan ja oodake mõned minutid kuni GMER lõpetab pahalaste otsimise.

Kui GMER kävitamisel teatab, et draiverit ei saa laadida (quota otsas), siis tähendab see seda, et rootkit on osa gmeri funktsionaalsust ära blokeerinud. See funktsionaalsus võimaldab tuvastada runtimes teiste protsesside mälu patchimist pahalase poolt, ja selle parandamist.

GMER-il jääb peidetud failide avastamise funktsionaalsus alles, leidke selle abil peidetud fail.

Arvestus 3: Tehke ekraanipilt GMER vaatest kus on selgelt näha ja märgistatud kolmanda pahalase failid. Ekraanipilt peab sisaldama teie nime PS! Kindlasti tehke siin ekraanipilt ära, sest pärast seda kui olete järgmised sammud ära teinud siis seda kohta enam mugavalt taastada ei ole võimalik (Tuleb kogu XP virtuaalmasin uuesti laadida).

Tehke GMER abil C:\WINDOWS\system32\gzipmod.dll ja C:\WINDOWS\system32\vbagz.sys peidetud failidele 'Kill file'. Samuti keelake Disable service funksiooni abil C:\WINDOWS\system32\vbagz.sys Service. Tapke rundll32, mis pahalase koodi jooksutab ja tehke arvutile restart.

Nüüd peaksite C:\WINDOWS\system32\ kasutas nägema ja saama kustutada failid gzipmod.dll ja vbags.sys.

Kui faili kustutamine õnnestus, siis tehke virtuaalmasinale restart ja skaneerige süsteem uuesti üle (peaks olema puhas).

KeyLogger ehk arvutikasutuse pealtkuulamine

Katsetame nüüd pahavara, mis jälgib kasutaja tegevust arvutis ning registreerib klaviatuurivajutused, kasutatud programmid, külastatud veebilehed ja mitmed uuemad oskavad teha ka ekraanipilte ning saata kogu info keskserverisse (e-mailile jne..). Selleks otsige pahalased kaustast KeyLogger.exe tarkvara ja paigaldage arvutisse (NB! Ärge laadige ja paigaldage kahtlast tarkvara oma isiklikku arvutisse vaid ainult selleks teile jagatud virtuaalmasinasse.) Soovi korral võib mõnda muud KeyLoggerit kasutada (64 bit Windows 10 puhul on õppejõud kasutanud BestFreeKeylogger nimelist tarkvara). Hea ülevaade mõningatest tasuta tegevussalvestitest leiab siit lehelt https://www.elitekeyloggers.com/help/best-keylogger.html

Pärast paigaldust lugege hoolikalt avanenud veebilehitseja aknas olevat kasutusjuhendit. Nüüd uurige mida antud tarkvara pealt kuulata võimaldab ja katsetage erinevaid funktsionaalsusi:

• Klahvivajutuste salvestamine Keystrokes & clipboard
• Kasutatud programmid Used applications
• Külastatud veebilehed Visted websites
• peidetud kasutus Invisibility Settings, Hidden mode

Arvestus 4: Tehke ekraanipilt sellest, kuidas KeyLogger on pealt kuulanud Teie nime trükkimist Windows XP virtuaalmasinas.

Programmi tegevuste jälgimine

Enamasti on raske programmi failinimele peale vaadates öelda, millega programm tegeleb. Isegi kui programm teeb näiliselt (esiplaanil) kasulikke tegevusi võib ta samas taustal teha ka midagi varjatut (võtta ühendust mõne veebilehega, kust laadib alla täiendava pahavara jne). Selleks, et analüüsida mida programm teeb on mitmeid tarkvarasid ja võimalusi, kuid Microsoft soovitab Windowsi jaoks programmi Process Monitor. Tegu on osana Sysinternals tarkvarapaketist https://docs.microsoft.com/en-us/sysinternals/downloads/procmon ning vastavat programmi pole me teile eelnevalt alla laadinud, seega peaksite nüüd endale laadima programmi Process Monitor. Pärast alla laadimist käivitage Process Monitor ja seadistage filter järgmiste parameetritega: Process Name is notepad.exe Include.

Arvestus 5: Esitage ekraanivaade, kus on näha Process Monitor programmis teienimelise faili salvestamine programmiga notepad.exe.

Lisaks

• Kui teil on huvi, siis katsetage kas internetist leitavad tasuta antiviirused (Avast, Avira, ClamWin) suudavad praktikumis testitud pahalasi üles leida.
• Proovige ka online analüüsi tööriistu, näiteks lehel http://cleanbytes.net/malware-online-scanners on nimekiri levinumatest. PS! Praktikumi juhendajad soovitavad näiteks https://www.virustotal.com/ lehele pahalased.zip üles laadida ja uurida väljundit.

Videomaterjal vaatamiseks kahjurvara teemal:

Kokkuvõtvalt viiruste ja turvaküsimuste analüüsi kohta on TED keskkonnas mitu õpetlikku video mida soovitame vaadata eelnevate teemade paremaks mõistmiseks:

1. Soome turva-expert Mikko Hypponen viiruste analüüsist https://www.ted.com/talks/mikko_hypponen_fighting_viruses_defending_the_net
2. Stuxnet https://www.ted.com/talks/ralph_langner_cracking_stuxnet_a_21st_century_cyberweapon
3. Everything can be hacked https://www.ted.com/talks/avi_rubin_all_your_devices_can_be_hacked
4. Hire the hackers https://www.ted.com/talks/misha_glenny_hire_the_hackers

Viiruste analüüs

Koduses ülesandes uurime kuidas üks maailma kõige kuulsamaid ja edukamaid e-maili viirusi "ILOVEYOU" edaspidi "LoveLetter" sisuliselt muutis kõigi inimeste arusaama arvutiviirustest ja kuidas tal õnnestus hinnanguliselt 10% sellel hetkel maailmas eksisteerinud arvuteist nakatada. "LoveLetter" võib pidada e-maili viiruste eelkäijaks ning hetkel aktuaalse ja pahandust tegeva CrypoLocker pahavaraga on sarnasusi üllatavalt palju.

Loveletter

• Loe kommenteeritud koodi ja püüa aru saada, mida see teeb: https://github.com/onx/ILOVEYOU. See makroviirus on kirjutatud keeles VBScript. Abiks vastamisel on ka internett ja teadusartiklid, mis analüüsivad viiruse koodi (näiteks http://nob.cs.ucdavis.edu/classes/ecs155-2005-04/handouts/iloveyou.pdf )

Arvestus 6: Loveletter (ILOVEYOU) arvutiviiruse koodi analüüsi põhjal vastata konkreetselt ja lühidalt järgmistele küsimustele:

1. Mismoodi viirus end arvuti käivitamise järel tööle paneb?
2. Kas viirus peale enda levitamise veel midagi teeb?
3. Mis tegevusi tehakse eri laiendiga failidele? (too 2 näidet)
4. Kuidas viirus end e-mailiga levitab?
5. Milleks loob viirus "HKEY_CURRENT_USER\Software\Microsoft\WAB\" alla oma võtmed?
6. Kas aadressiraamatusse hiljem lisandunutele ka viirus saadetakse?

Lisaküsimused (ei pea vastust esitama):

1. Miks on levitatava HTML-i mall sogastatud?
2. Kuidas sogastamisest lahti saadakse töötava skripti saamiseks?

• Visual Basic
  • Visual Basicu koodi treppimine
  • Programmeerimiskeel Visual Basic
• Viirus Love Letter
  • Love Letter Wikipedia artikkel
  • F-Secure: Viiruse Love Letter kirjeldus
• Return of macro viruses
  • Macro viruses make a return in targeted attacks
  • Back to VBA
  • VBA is not dead!

Esitada Praktikum11:

Praktikumi ülesande lahendamine annab neli punkti ja esitamiseks on umbes kaks nädalat alates praktikumi toimumisajast ( kuni 5. mai tähtajani).

• Ülesanne 1: Tehke ekraanipilt autoruns programmist, kus on näha esimese pahalase programm ning salvestage see väljaspool virtuaalmasinat. Lisaks kirjutage oma täisnimi tekstifaili nii, et see ekraanivaatelt näha oleks. - 1p
• Ülesanne 2: Tehke ekraanipilt Process Explorerì vaatest, kus on näha teise pahalase programm koos modifitseeritud failidega ning salvestage see väljaspool Virtuaalmasinat. - 0.5p
• Ülesanne 3: Tehke ekraanipilt GMER vaatest kus on selgelt näha ja märgistatud kolmanda pahalase peidetud fail ning salvestage pilt väljaspool virtuaalmasinat. - 0.5p
• Ülesanne 4: Tehke ekraanipilt sellest kuidas KeyLogger on pealt kuulanud Teie nime trükkimist virtuaalmasinas. - 0.5p
• Ülesanne 5: Esitage ekraanivaade, kus on näga Process Monitor programmis teienimelise faili salvestamine programmiga notepad.exe. - 0.5p
• Ülesanne 6: Loveletter (ILOVEYOU) arvutiviiruse koodi analüüsi põhjal vastata konkreetselt ja lühidalt kontroll-küsimustele - 1p

11. Praktikum 11 - Kahjurvara