Análisis de Tráfico con Exploit Kit

El método más directo es filtrar únicamente el tráfico HTTP generado por el navegador.

• 01Abre el archivo traffic-analysis.pcap en Wireshark.
• 02En la barra de filtros aplica el filtro mostrado abajo y pulsa Enter.
• 03Mira la columna Source: la IP que aparece como origen en las peticiones HTTP GET pertenece a la máquina infectada.

http.request — peticiones del equipo infectado

El nombre de equipo se puede encontrar tanto en el tráfico NBNS (NetBIOS Name Service) como en los paquetes DHCP. Veremos ambos métodos.

Método A — Tráfico NBNS

• 01Aplica el filtro nbns. Los paquetes NBNS anuncian el nombre NetBIOS del equipo en la red local.
• 02Busca en la columna Info un campo del tipo Name query o Registration que muestre el hostname.

Tráfico NBNS — nombre de host en la columna Info

Método B — Tráfico DHCP

• 01Aplica el filtro dhcp (o bootp en versiones antiguas de Wireshark).
• 02Abre uno de los paquetes DHCP Request y busca la opción Option 12 (Host Name) en el panel de detalles inferior.

DHCP Request — Option 12: Host Name

La dirección MAC está disponible en los mismos paquetes DHCP de la pregunta anterior.

• 01Con el filtro dhcp activo, abre un paquete DHCP Request enviado por 172.16.165.165.
• 02Expande la sección Ethernet II (o la capa de enlace) en el panel de detalles. El campo Source muestra la MAC del emisor.
• 03Alternativamente, ve a Statistics → Endpoints → Ethernet para ver todas las MACs de la captura.

Capa Ethernet — dirección MAC de origen

La víctima visita un sitio web legítimo que ha sido comprometido. Ese sitio contiene código malicioso que redirige al Exploit Kit.

• 01Filtra por http.request y observa las primeras peticiones HTTP de la víctima (172.16.165.165).
• 02Identifica el primer dominio externo al que se conecta: ese es el sitio comprometido. Fíjate en la columna Host o en la cabecera HTTP.
• 03La columna Destination (o la IP de destino del paquete seleccionado) te da la IP del servidor web comprometido.

Primera petición HTTP — sitio comprometido

Tras la redirección desde el sitio comprometido, la víctima contacta con un servidor diferente que aloja el Exploit Kit.

• 01Sigue filtrando por http.request y observa las peticiones que se producen después del acceso a www.ciniholland.nl.
• 02Verás peticiones a un dominio diferente con URIs sospechosas. Esa IP y ese dominio son el servidor del Exploit Kit.
• 03Puedes confirmar mirando la columna Destination y expandiendo la cabecera HTTP del paquete seleccionado para ver el campo Host:.

Peticiones al servidor del Exploit Kit

El sitio comprometido (www.ciniholland.nl) contiene un script o iframe oculto que redirige al EK. Podemos encontrarlo de dos formas.

Método A — Panel de vista previa

• 01Filtra por http.request and ip.dst == 82.150.140.30 para aislar la comunicación con el sitio comprometido.
• 02Selecciona la petición al índice (página principal) del sitio. En el panel inferior de Wireshark verás el cuerpo HTTP con el código HTML.
• 03Desplázate por el contenido del paquete y busca una URL sospechosa en un atributo src o href.

Panel de vista previa — URL de redirección visible en el HTML

Método B — Exportar objetos HTTP

• 01Ve al menú File→Export Objects→HTTP
• 02Localiza el objeto correspondiente a www.ciniholland.nl (normalmente el index.html o el objeto con el hostname de ese dominio) y haz clic en Save.
• 03Abre el archivo guardado con un editor de texto y busca la URL de redirección. Verás código JavaScript ofuscado con la URL del EK.

File → Export Objects → HTTP

Archivo HTML exportado — URL de redirección al EK

Los Exploit Kits típicamente envían varios exploits para diferentes tecnologías con la esperanza de que al menos uno funcione en el sistema víctima.

• 01Ve a File→Export Objects→HTTP
• 02Observa la lista completa de objetos. Fíjate en las extensiones de los archivos descargados (.swf para Flash, .jar para Java) y en los tipos MIME (Content-Type).
• 03Los archivos .swf son exploits de Adobe Flash, y los .jar son exploits de Oracle Java.

Objetos HTTP exportados — tipos de exploit enviados por el EK

El payload está cifrado, pero el tipo MIME lo delata. Busca los objetos marcados como x-msdownload, que es como los servidores EK suelen entregar ejecutables.

• 01En la ventana Export Objects → HTTP, aplica el filtro de búsqueda o examina la columna Content Type.
• 02Cuenta cuántas entradas tienen application/x-msdownload como tipo de contenido. Cada una es una entrega del payload.
• 03Alternativamente usa el filtro Wireshark: http.content_type == "application/x-msdownload" y cuenta los paquetes de respuesta.

Respuestas HTTP con tipo x-msdownload (payload cifrado)

Vista en Export Objects — 3 entregas del payload

VirusTotal puede analizar archivos PCAP con varios motores IDS/IPS incluyendo Suricata y Snort.

• 01Ve a virustotal.com y sube el archivo traffic-analysis.pcap.
• 02Una vez completado el análisis, ve a la sección Behavior o busca la pestaña de Intrusion Detection / Snort Alerts.
• 03Busca las reglas que mencionan nombres de Exploit Kit en las alertas de Suricata (prefijo ET CURRENT_EVENTS).

Resultado en VirusTotal — alertas Suricata/Snort

Las alertas de Suricata mencionan varios nombres (Goon, Infinity, Rig). En la comunidad de seguridad este EK fue finalmente identificado con un nombre concreto.

• 01Busca en Google el término "Goon Infinity Rig exploit kit 2014" o visita blogs de threat intelligence de la época.
• 02Rig EK apareció en primavera de 2014, inicialmente identificado como "Goon" o "Infinity". Fue renombrado a Rig cuando se documentó bien su infraestructura.
• 03Referencia histórica: kahusecurity.com/2014/rig-exploit-pack/

Vamos a seguir el primer flujo TCP para examinar el contenido completo de la respuesta del sitio comprometido.

• 01Selecciona cualquier paquete de la comunicación con www.ciniholland.nl. Haz clic derecho y elige Follow → TCP Stream.
• 02También puedes aplicar directamente el filtro: tcp.stream eq 0 (el stream 0 suele ser la primera conexión TCP).
• 03En la vista del stream verás la respuesta HTTP completa del servidor, incluido el HTML de la página principal (index). Desplázate hasta el final de las cabeceras HTTP.
• 04Justo antes del cierre del <head> encontrarás el código JavaScript malicioso inyectado con la URL http://24corp-shop.com/.

Follow TCP Stream — página index de www.ciniholland.nl

Desplazarse hacia abajo — script malicioso inyectado justo antes de </head>

Exportaremos los archivos de exploit directamente desde Wireshark y calcularemos sus hashes para identificarlos en bases de datos de malware.

• 01Ve a File→Export Objects→HTTP
• 02Localiza el archivo .swf (Flash exploit) y el archivo .jar (Java exploit). Solo necesitas guardar uno de cada tipo.
• 03Guarda ambos archivos y calcula su hash MD5 con una herramienta de línea de comandos:

• 04Opcionalmente, sube cada archivo a VirusTotal para verificar el hash y ver los resultados de detección.

VirusTotal solo muestra un subconjunto de las reglas VRT. Para ver todas las alertas necesitas tu propia instalación de Snort con el ruleset completo.

• 01Instala Snort en un sistema Linux (ver guías en snort.org/documents).
• 02Registra una cuenta en snort.org y descarga el ruleset VRT actualizado.
• 03Ejecuta Snort sobre el pcap: snort -c /etc/snort/snort.conf -r traffic-analysis.pcap -l /var/log/snort/
• 04Revisa el archivo de alertas generado y busca las reglas con SID en el rango mostrado abajo.