Como hacer seguimiento de una campaña P2P
-
Upload
marc-rivero -
Category
Technology
-
view
81 -
download
2
Transcript of Como hacer seguimiento de una campaña P2P
![Page 1: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/1.jpg)
Tracking P2P Cybercrime
Infraestructures
Marc Rivero | (@seifreed) | www.ecrime.info
![Page 2: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/2.jpg)
#who
Marc Rivero López
Ponente en eventos nacionales (No cON Name, Owasp, Navaja Negra) e internacionales (DragonJAR CON - Colombia).Miembro de asociaciones y grupos de research como la HoneyNet Project, Owasp, SySsec etc..También soy el organizador de las conferencias Hack&Beers en BarcelonaMiembro de Malw.re
![Page 3: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/3.jpg)
Infraestructure
![Page 4: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/4.jpg)
* [ Elements…]
DropzoneC&C Config Server
Exploit KitBinary Server
User
![Page 5: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/5.jpg)
* [ Process infection…]
•The victim visits a compromised website•The website redirects the user to an Exploit Kit•The exploits Kit infects the machine
![Page 6: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/6.jpg)
* [ Type of servers…]
![Page 7: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/7.jpg)
* [ Type of servers…]
![Page 8: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/8.jpg)
* [ Type of servers…]
Bulletproof hosting features
Send to /dev/null abuse requestsDDoS protectionChange IP for protecting end customerAny activity allowed
![Page 9: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/9.jpg)
* [ Enemy wanted…]
![Page 10: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/10.jpg)
* [ Zeus P2P features…]
Main differences in P2P variant :•Use P2P network•Daily DGA domains•All Resources with the botmaster signature•DDoS capabilities
![Page 11: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/11.jpg)
* [ Daily DGA domains…]
![Page 12: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/12.jpg)
* [ Statistics…]
![Page 13: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/13.jpg)
* [ Statistics…]
![Page 14: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/14.jpg)
* [ Statistics…]
![Page 15: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/15.jpg)
* [ Statistics…]
![Page 16: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/16.jpg)
* [ Statistics…]
![Page 17: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/17.jpg)
* [ Statistics…]
![Page 18: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/18.jpg)
* [ Statistics…]
![Page 19: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/19.jpg)
* [ Oraculo…]
A tool for tracking P2P campaigns (Only DGA at the moment)
Principal elements:Monitor: tracking all the changes in a domainScheduler: Checking all the changes in all the malware domainsFocused on P2P campaigns, but adaptable to track other familiesPossibility to check sinkholed domains
Tool developed in Python (Backend) + Django (FrontEnd)
![Page 20: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/20.jpg)
* [ Oraculo…]
The tool collects:CountryWeb ServerIP AddressWhoisAnd more information…
![Page 21: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/21.jpg)
* [ Oraculo…]
pDNS information
![Page 22: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/22.jpg)
* [ Oraculo…]
Email reports..We integrate third party tools in the report
![Page 23: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/23.jpg)
* [ Oraculo…]
Domains with more changesDomains more time UP
![Page 24: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/24.jpg)
* [ Oraculo…]
Sinkhole VS malicious domains (Experimental feature)Countries source with more malicious activity
![Page 25: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/25.jpg)
* [ Oraculo…]
Search feature:Search using REGEX, TLD, countries all the information is indexedThe tool shows if the domain it’s active or notCan show a graphic showing the infrastructure
![Page 26: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/26.jpg)
* [ Oraculo…]
Domain detailsGeoposition in a MapActivity relatedHistory activity
![Page 27: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/27.jpg)
* [ Oraculo…]
![Page 28: Como hacer seguimiento de una campaña P2P](https://reader034.fdocuments.mx/reader034/viewer/2022042615/55a5eaea1a28ab9f548b4593/html5/thumbnails/28.jpg)
* [ Oraculo…]