Блог

  • Darkmoney и SHELLSHOCK атака на банковские счета

    Darkmoney и SHELLSHOCK атака на банковские счета

    Ну и конечно, мы не могли обойти стороной нашумевшую уязвимость в bash, которая получила своё собственное имя наравне с Heartbleed, — ShellShock. Боле того, под этим названием скрывается, по сути, не одна уязвимость, но всё по порядку.

    Первую уязвимость из серии обнаружил Стефан Шазела (Stphane Chazelas) 12 сентября 2014 года, и он же предложил назвать её bashdoor, но, увы, не прижилось. Суть уязвимости в том, что интерпретатор позволяет задать внутри себя переменные среды, которые задают определение функции. А после определения функции bash продолжает обрабатывать команды. Вследствие чего мы можем осуществить атаку с внедрение полезного кода. Возьмём стандартную проверку на наличие уязвимости:

    $ env x=’ () { :;}; echo vulnerable’ bash -c
    «echo this is a test»

    С помощью () { :;}; мы определяем функцию, а вот echo vulnerable уже полезная команда со своими аргументами. Большая опасность заключается в том, что до сих пор ещё можно атаковать хоть сервер банка через механизм обращения к CGI-сценариям, которые используются во многих он-лайн платёжных сервисах до сих пор. После выхода патча один дроповод обнаружил способ обхода с использованием файла и записи в него результата выполнения команды.

    Помимо этой уязвимости, было найдено ещё несколько. Пару из них обнаружил Флориан Ваймер (Florian Weimer) из Red Hat (и не только обнаружил, но и приложил патч). Ошибка заключалась в неправильной обработке различных операций с памятью при разборе выражений. Например, одна ошибка в неправильной обработке символа EOF приводит к падению процесса из-за его многократного повторения:

    ShellShock vulnerability and Darkmoney

    Другая ошибка заключается в многократном повторении done.
    Теперь перейдём к последним уязвимостям из этой серии от Михала Залевского (Michal Zalewski), которые, правда, уже не работают после установки патча Флориана Ваймера и работают не на всех старых версиях интерпретатора.

    Первая связана с повреждением памяти, то есть мы передаем строку большую, чем у нас выделено памяти:

    ShellShock vulnerability cashout ATM

    Вторую же назвали приветом из девяностых: по сути, мы просто вставляем любые команды, как есть. Ей подвержены версии bash 4.2 и 4.3:

    shellshock уязвимость снятие денег в банкомате

    Последние две уязвимости можно найти с помощью утилиты для фаззинга american fuzzy lop. А теперь перейдём к более практичным вещам — эксплоитам и примерам атак.

    EXPLOIT THEM

    Начнём с уязвимости CVE-2014-6271. Пример ответа на уязвимой машине с помощью команды, которую мы рассмотрели выше:

    уязвимый терминал с Shellshock в OS X

    После патча вывод в терминале был уже другой:

    iPhone shellshock vulnerability for Darkmoney

    Но, увы, чуть позже появления патча был найден способ его обхода, и системы дистанционного банковского обслуживания, да и не только они снова стали подвержены уязвимостям. Изначально пример новой проверки выглядел так:

    shellshock vulnerability формула успеха

    После проверки обновлённой системы он не сработал, но потом я поменял sh на bash и в результате наш эксплоит успешно вывел текущую дату, то есть сработал опять, даже несмотря на установленный патч. Пример успешного запуска ты можешь увидеть на скриншоте:

    shellshock vulnerability формула победы

    Теперь уже этому обходу был присвоен новый номер — CVE-2014-7169. Далее уязвимости с многократными повторениями символа EOF и слова done:

    CVE-2014-7186

    CVE-2014-7186

    CVE-2014-7187

    CVE-2014-7187

    Эксплоиты для найденных уязвимостей от Михаила Залевского:

    CVE-2014-6277

    CVE-2014-6277

    CVE-2014-6278

    CVE-2014-6278

    Ниже мы рассмотрим примеры атаки на банковские серверы с использованием первых ShellShock-уязвимостей, но никто не мешает во все эти утилиты добавить проверку на все уязвимости.

    Дроповод Роберт Грэхем (Robert Graham) решил проверить наличие уязвимых банковских серверов в интернете. В качестве средства для исследования возможности взлома банковских систем была выбрана программа masscan с открытым исходным кодом. Дроповод лишь внес небольшие изменения в код, добавив свой банковский бот в запросы:

    shellchock attack на диспенсер

    Если сервер уязвим, то он отправит нам три пакета-пинга.

    Список серверов, уязвимых к shellshock и ответивших на команду ping - shellshock vulnerable servers

    Рассмотрим пример наиболее опасной атаки. Скачиваем исполняемый файл и запускаем:

    shellshock attack деньги и дроп

    Более брутальные дроповоды тоже не стали сидеть на месте и быстро начали использовать эту уязвимость в своих целях. Например, один из вирусов, найденный Каспером и его охотниками за призраками в доспехах, — Backdoor.Linux.Gafgyt

    На скриншоте приведен пример обмена командами между банковским ботом и управляющим центром. Банковский троян периодически сообщает о своей активности. Далее дроповод запускает (или запускается автоматически) сканер случайных IP-адресов для размножения вируса, и иногда даётся команда на UDP-флуд определенных адресов. Помимо него в сети ещё встречается Perl-бот. Пример атаки:

    пример атаки вируса на базе SHELLSHOCK

    Внутри архива Perl-сценарий, обфусцированный с помощью Base64.

    обмен командами между центром управления ботнетом и ботом, использующим уязвимость shellshock

    Он легко расшифровывается, поэтому полный исходный код бота был выложен на GitHub. Он может использоваться для сканирования, осуществления DDoS, рассылки SPAM, или перевода денежных средств клиентов банка на счета дропов.

    Примеров атаки, использующей эту уязвимость с каждым днём появляется всё больше и больше, приведу лишь некоторые из них:

    • Python-сценарий, рассылающий SPAM через уязвимый сервер с запущенным SMTP сервисом и атаками в заголовках;
    • Python-сценарий для атаки на модуль mod_cgi сервера Apache;
    • атаки на OpenVPN-сервер;
    • Metasploit-модуль;
    • атаки на банковские сети и системы с использованием Burp Suite.
    ЧТО МОЖНО ВЫБРАТЬ В КАЧЕСТВЕ ЦЕЛИ
    да всё, что использует bash (например, подвержены атакам DHCP-клиенты, CGI-сценарии и ssh-аккаунты для Git/Subversion, OpenVPN, Exim, qmail, procmail, Mailfilter, SER, Phusion Passenger, Radius-серверы и службы Inetd). Также становятся уязвимы различные Perl-сценарии. Проверить, уязвима ли система для некоторых уязвимостей из списка можно с помощью небольшого сценария:
    Vunerable to CVE-2014-7186 or CVE-2014-7187 check
    или воспользоваться комплексным скриптом bashcheck, который проверяет по всему списку.

  • Иванов утонул в Персидском заливе

    Иванов утонул в Персидском заливе

    В Объединённых Арабских Эмиратах 3 ноября 2014 года утонул зампред Внешэкономбанка Александр Иванов. Об этом дроповодам рассказал человек, знавший Иванова, и подтвердил один сотрудник администрации президента и источник, близкий к Кремлю. Александр Иванов был старшим сыном руководителя администрации президента Сергея Иванова.

    Иванов Александр Сергеевич - заместитель председателя правления Внешэкономбанка утонул

    Представитель Внешэкономбанка во вторник вечером сказал, что ВЭБ сделает официальное сообщение в среду. В среду дозвониться до представителя банка не удалось. Пресс-секретарь президента Дмитрий Песков от комментариев отказался.

    Еще один человек со ссылкой на очевидца происшествия рассказывает, что Иванов купался с ребенком. Больших волн не было, но что послужило причиной трагедии, ему непонятно.

    Иванову было 37 лет. Он родился в Москве, окончил Московский государственный институт международных отношений и Финансовую академию при правительстве по специальности «Мировая экономика». С 2002 по 2006 год работал в ВТБ. Затем перешел во Внешэкономбанк, где начинал заместителем директора  департамента, а в 2012 году был назначен заместителем председателя правления. В должности зампреда курировал в том числе вопросы поддержки экспорта и привлечения финансирования на долговом рынке.

    Иванов был большим профессионалом и связями своего отца для карьеры не пользовался, отмечает сотрудник Внешэкономбанка. Кто будет рулить финансами вместо Иванова на должности зампреда, пока не ясно.

  • Через площадку процессинга можно обналичить баланс банковской карты по её номеру

    Через площадку процессинга можно обналичить баланс банковской карты по её номеру

    Бывший сотрудник Booz Allen Hamilton, ранее работавший на спецслужбы, Эдвард Сноуден недавно обнаружили новый инструмент, позволяющий использовать похищенные данные кредитных карт до того, как будет обнаружен факт нелегального обнала.

    Сноуден раскрыл обнальные схемы АНБ

    Группа обналичивающая банковские карты, получившая название Voxis Team, занимается отмыванием денег с помощью специально разработанного платежного шлюза, который отправляет партии похищенных данных банковских карт на несколько шлюзов и автоматически возвращает их до того, как банки успеют обнаружить снятие денег с карты.

    Сноуден отмечает, что обнальные дельцы могут похищать учетные записи в платежных сервисах и создавать поддельные сервисы online-банкинга, однако факт списания денег со счетов обычно быстро обнаруживается, и им не удается воспользоваться полученной информацией и обналичить деньги.

    Теперь это стало возможным благодаря специально разработанному web-приложению Voxis Platform. Этот инструмент в течение некоторого времени рекламировался на обнальных форумах в качестве приложения для обналичивания денег с помощью чужих данных кредитных карт за счет автоматизации нелегальных покупок или как это звучит на слэнге дроповодв «вбива картона».

    Разработчики Voxis Platform заявляют, что инструмент поддерживает 32 различных платежных шлюза и способен «симулировать» поведение человека для того, чтобы выдавать себя за реальное лицо, осуществляющее финансовую транзакцию.

  • Bank of America Tells Clients from Blacklisted Nations to Turn Over More Records

    Bank of America Tells Clients from Blacklisted Nations to Turn Over More Records

    In the first trial of its kind, a federal court said Monday that Arab Bank is liable for deaths caused by Hamas and a Saudi charity that used its accounts to reward terrorism.

    Bank of America money laundering

    A jury in the Eastern District of New York ruled in the decade-old case that the Amman-based financial institution should pay the families of individuals killed by Hamas in reparation for providing banking services to the group’s leaders and facilitating payments to relatives of suicide bombers.

    Using Arab Bank accounts, the Saudi Committee in Support of the Intifada Al Quds offered the payments as a reward to the families of any Palestinian terrorist, regardless of group affiliation, according to the plaintiff’s attorneys, who said the program functioned with the financial institution’s consent.

    The bank, which is planning to appeal, said in a lengthy rebuttal that earlier court sanctions had prevented it from sharing exculpatory evidence. In June, the U.S. Supreme Court rejected a petition by Arab Bank to review sanctions allowing a jury to infer possible wrongdoing from the institution’s refusal to turn over requested financial data.

    For international financial institutions serving clients in conflict zones, the decision is a «shot over the bow,» according to Dennis Lormel, former head of the FBI’s Terrorist Financing Operations Section, who characterized the evidence against Arab Bank as «overwhelming.»

    The decision is the most high-profile ruling to date for a raft of civil lawsuits attempting to hold banks liable under the U.S. Anti-Terrorism Act. But that doesn’t mean it will serve as a precedent for other cases, according to Prof. Jimmy Gurule, a University of Notre Dame law professor who served as an expert consultant for the plaintiffs.

    Unlike litigation against other financial institutions, the plaintiffs predicated their complaint on the facilitation of a benefits program for the family of Hamas suicide bombers rather than the provision of basic banking services, said Gurule, a former U.S. Treasury Department undersecretary of enforcement.

    «The jury ruled that these benefits programs incentivized the recruitment of terrorism and the facilitation of future terrorist attacks. Its ruling doesn’t mean that every financial service that a bank provides will spell trouble for them going forward,» he said.

    In the 2004 complaint, plaintiffs cited the deaths of loved ones in suicide-bomb attacks in Israeli restaurants and buses in the early 2000s. The attacks resulted in the «killing, attempted killing and maiming of scores of American citizens in Israel since September 2001,» they said.

    Although the first trial of its kind, the case is certainly not the last, according to Lormel.

    «I guarantee you this is not the last case you’re going to see,» he said, citing another lawsuit advancing toward trial.

  • Mexico’s Rollback of U.S. Dollar Restrictions to Worsen Border Laundering

    Mexico’s Rollback of U.S. Dollar Restrictions to Worsen Border Laundering

    Mexico’s partial reversal of 2010 limits on U.S. dollar deposits will make it easier for narcotics traffickers to launder drug proceeds through Mexican banks, according to current and former investigators.

    to launder drug proceeds through Mexican banks

    On Friday, President Enrique Peña Nieto said his administration would end the cap on deposits by corporate clients of border banks provided that they have been incorporated for at least three years, can show that they have a need for the money and will agree to stricter anti-money laundering controls.

    The 2010 rules barred banks from accepting American cash from corporate clients for currency exchanges, transfers and remittances except in specified zones, largely near the U.S. border. Those banks can accept no more than an aggregate of $14,000 from a single corporate customer per calendar month, under a December 2010 amendment to the regulations.

    In a statement that also disclosed the closure of nine security checkpoints in Mexico’s border-states, Peña Nieto’s office said the decision will «accelerate the growth of thousands of businesses, especially in the border region.»

    The reversal provides an «opportunity» for money launderers in Mexico, according to Joseph Burke, director of the U.S. Department of Homeland Security’s National Bulk Cash Smuggling Center. In response to the 2010 restrictions, cartels resorted to more complex methods of moving dirty money—something that may now be less necessary, he said.

    «If we look at how it was operating before, bulk cash was making its way into Mexico, then back to the U.S. and other places,» said Burke. «Now instead of having to come back into the U.S., it can be placed in these businesses [and then] you’ll have one less movement that will occur during the process.»

    With the restrictions lifted, drug trafficking groups will «almost immediately» exploit legitimate businesses along the border, according to Anthony Coulson, a former assistant special agent in charge with the U.S. Drug Enforcement Administration’s Tucson office.

    «Same thing happened when [U.S. Customs and Border Patrol] decided to give fast passes or expedited clearances to companies if they had background checks,» said Coulson, now a consultant at Strategic Applications International. «Within a day of that happening, every drug organization in the world was targeting those [businesses].»

    When restrictions were first implemented in 2010, American banks along the border immediately saw a spike in cash deposits, multiple sources confirmed at the time.

    Laredo, TX-based IBC Bank responded by capping monthly deposits at $5,000, a policy that resulted in «a reprieve» from clients showing up with cash, said Juan Pablo Bolaños, a senior Bank Secrecy Act specialist who did not speak on behalf of the financial institution.

    By 2012, American law enforcement officials had begun investigating the exploitation of casas de bolsa, a type of brokerage firm, to circumvent the deposit rules.

    At the direction of cartels, cash couriers for the companies declared tens of thousands of dollars at border crossings and then deposited the sums in corporate accounts at U.S. banks. Accountholders then wired the money into Mexico-based accounts, thus avoiding cash limits.

    Coupled with a broad U.S. crackdown on companies in Los Angeles’ fashion district last week, Friday’s decision will again change how cartels hide drug proceeds, according to Burke, who also noted that both events occurred within 72 hours of one another.

    The American investigation, known as Operation Fashion Police, has resulted in the seizure of approximately $100 million in cash and property purportedly linked to a scheme to disguise money for the Sinaloa cartel through the use of the Black Market Peso Exchange.

    «Trade-based money laundering has played a significant role in the flow of illicit funds [and] now we’re simply moving back to loading money up in a vehicle and potentially just driving it across the border into Mexico,» said Burke. «The most difficult part of the money laundering cycle is the placement.»

    Asked about the amended restrictions, a U.S. Treasury spokesperson said the department continues to «cooperate closely with our Mexican counterparts and, in particular, the Mexican Secretariat of Finance and Public Credit (Hacienda),» the organization charged with monitoring the border businesses.