看NSA黑客如何利用大数据拿下网络系统管理员

2014-06-24 +15 444406人围观 ,发现 26 个不明物体 头条

前言:

    斯诺登事件已过一年有余,情报组小编翻看众多公布的材料,挑选其中一篇2012年时候的“NSA的内部帖子”,来看看一个NSA黑阔如何利用“大数据”拿下网络系统管理员的攻击思维。

“情报”是攻击的最终目的

    在NSA里面的SID(SignalsIntelligence Directorate)“信号情报部门”顾名思义他的终极目标是产出情报,供决策者使用。无论什么时候,目标使用高科技去进行通信,NSA黑客就要想尽办法去收集它、分析它、然后输出报告。听起来是很简单,除非他已经在目标的通信网络中。而他们其实也不是任何时候都能收集到所有的信息,特别是他们的目标通信的网络并不在他们的收集范围内。这个时候他们就需要一些手工的“跑腿”去帮助他们完成这个任务了。这个“跑腿”就是这篇帖子《I hunt sys admins》想介绍的“系统管理员”

科普广告插播

    SID,全称Signals Intelligence Directorate信号情报指挥部,在NSA组织架构中代号为“S”,主要负责收集、分析、产生和传播信号情报。下属若干个分支机构,其中就包括大名鼎鼎的TAO,具体如下:

    - S1—主攻客户关系
    - S2—主要分析和制作中心,下属若干“生产线”

S2A:南亚,S2B:中国与韩国,S2C:国际安全,S2E:中东和亚洲,S2F:国际犯罪,S2G:反扩散,S2H:俄罗斯,S2I:反恐……

     -  S3—数据获得,主要负责“收集”工作,下属包括:

S31——Cryptanalysis and Exploitation Services密码与漏洞利用服务简称CES

S32——Tailored Access Operations,简称TAO,负责黑进外国的计算机以事实网络间谍活动,被誉为NSA“信号情报指挥部”最大最重要的部分,有1000名军队级和平民电脑黑客、情报分析员、targeting专家、电脑软件硬件设计师,电子工程师等组成。

S33——Global Access Operations,简称GAO,主要负责拦截卫星或其他国际SIGINT平台的信号。

S34——收集战略及需要中心

S35——Special Source Operations,简称SSO,主要负责美国国内的收集计划,例如大名鼎鼎的“棱镜计划”PRISM

网络系统管理员是最好的“跑腿”

    事实上“系统管理员”并不是这些NSA黑客的最后目标,他的最后目标是“极端分子/恐怖分子”或者官方政府要使用的这些网络,而这个网络是由这些“系统管理员”所管理的。比如他的目标正使用的是在外国网络的一个CDMA终端,很可能NSA魔爪已经收集过目标手机的电话、SMS短信,(PS:用帖子里的原话是说“where we passively collect his phone call/SMS out in the wild”。从这个侧面看NSA的确已经能够广泛性的“被动”采集电话通信数据)但是如果真的能够进入到本地的基础设施,从而可以任何时候更直接的监视目标从哪个基站进行了连接,甚至监视电话和数据的流量。但是通常直接以基础设置为攻击目标是很困难的,一般需要一系列的信息以帮助开展行动。例如:

    – 目标网络的拓扑

    – 基础设施设备的凭证(密码)

    – 目标网络的行事情况,例如只有管理员的源IP限制策略的允许接入清单

    – 一些总概述的背景,例如网络是如何组成的,如何配制的

    所以为了拿到以上信息,还有谁比目标网络的管理员更合适?很多时候,当NSA黑客看到目标出现在一个新的网络,他的第一个目标就是能否通过CNE(Computer Network Exploitation)攻陷网络上的这个管理员。这个时候通常就依赖于“QUANTUM”来访问他们的帐号。当然你可以通过钓鱼邮件,但是NSA黑客认为现在人们比过去5-10年已经越来越聪明,所以这种攻击方法已经不再靠谱了。因此,为了使QUANTUM攻击对这些管理员有效,NSA黑客需要一些webmail/facebook类型的SELECTOR。

科普广告插播:

    SELECTOR:又称“分拣器”,说白了就是NSA从庞大的数据流量中用于识别定位的特定目标的“选择子”,例如Hotmail GUIDs,Google prefIDs,Apple IMEIs,Apple UDIDs,Nokia IMEIs,Wireless MACs等等,而这个Selector又跟下面要说到的“Quantum”密切相关。

                             

    QUANTUM:这个可跟量子计算没有多大关系,主要是NSA的一个代号,是一种man-on-the-side的中间劫持技术,在骨干网中秘密放置一些服务器,通过Selector识别出被攻击的目标,然后利用比正常服务器更快的反应时间,把漏洞利用代码发向受攻击的目标(也就是这里说的管理员),使得攻击成功。随着近年来的发展,已经不止最开始2005年的“Quantuminsert”,还有2007年的QuantumBOT,2008年的QuantumDNS等等,如下图所示:

    CNE:Computer Network Exploitation,如果说CNE是注重从目标计算机和网络中挖掘情报,那么另一个叫CAN(Computer Network Attack)的则是试图瓦解、损害和摧毁目标。

攻击思路:

    如果说希望通过whois等手段,查找目标网络IP地址空间或者域名信息的注册信息来发现这些管理员的个人信息。那NSA黑客的实践表明,这个成功率并不高,因为这些信息通常是管理员的官方邮箱地址,这些邮件服务器就部署在目标的网络中,而NSA黑客的大杀器Quantum成功的秘诀不是用在这类型邮件系统中的。他们真正想要的是管理员的个人邮箱、facebook等这样的账号。(因为这些账号才能筛选出Selector,从而使用Quantum技术来实施对管理员的控制。这里可以使用“dumpster-dive技术”(翻管理员公司附近的垃圾箱找)或“Google搜索技术”(看看管理员是否有在什么官方的非官方的论坛中暴露这些信息)。

攻击线路:

NSA大黑阔——〉“恐怖分子”——〉恐怖分子所在的网络——〉该网络管理员——〉控制网络
攻击所需条件(反向推导):
网络管理员〈——Quantum攻击〈——可识别出管理员的Selector〈——个人账号如facebook〈——???

    在继续之前,先得介绍一下DISCOROUTE——NSA内专门用于在telnet sessions流量中“被动”收集和存储路由器配置文件的工具。

    有这样的工具,有这样的数据,都对入侵这个目标网络,了解它的网络结构有莫大的帮助,但是,这些配置文件似乎跟找到网络管理员的个人webmail或者facebook似乎还没有啥关系。离成功入侵这个网络还远着。为此,NSA黑阔随机选了一个肯尼亚的路由配置来做个示范。(从这个侧面看,NSA还说没有入侵,没有监听别国的通信?拿路由器配置信息都是信手拈来的事情了。)接下来作为一名分析师,最基本的水平是基于这份配置文件做出大胆的假设:

    - 我们有一台路由器,路由器有一个管理员
    - 通过DISCOROUTE工具获得的配置文件,可以知道这个管理员通过telnet登陆到路由器
    - 管理员可能不会让任何人或者每个人都能登陆到路由器
    - 管理员可能设置了ACL,只允许他自己的IP telnet到路由器中

    下面看看路由器的配置文件:

    从上面可以看到管理员的确设置了源地址访问的ACL——access-class,以及密码属性设置为代表密文的7,当然这个也是很好破解的。网上基本上就有现成的工具专门对付这类password 7 hash。

    从下面的配置列表可以看到:

    可以看到,如果想要telnet到这台路由器,你必须要从这些(已经打黑的)IP地址去访问。稍微有点网络知识的你都可以知道,就算你知道路由器的认证信息,就算你知道这些白名单,你都不可能伪造这些源地址去登到路由器上,因为,你无法看到response包。所以你是必须接入到其中一台这些IP地址,才能去登陆路由器。

    让我们回顾一下,NSA黑客的假设——一个管理员只允许他自己去telnet,而禁止了来自其他地址的登陆。因此我们可以进一步大胆假设这是这些acl地址,就是管理这个肯尼亚网络的管理员地址。

    继而,利用这些地址就可以去查找,从这些IP地址登陆hotmail,yahoo,facebook的活动账号。从而就能够识别出这个肯尼亚网络的管理员个人账号信息了。把这些信息作为selector,就可以用QUANTUM技术去攻击这些管理员,从而通过这些管理员控制网络。

    总结一下以上大致两个步骤

步骤一:从DISCOROUTE中的路由器配置信息中识别有有telnet的acl信息,导出这些acl的公网IP地址。
步骤二:从ASDF(全称Atomic SIGINT Data Format,是NSA从被动收集信息系统——PassiveSIGINT system收集的所有session信息中生成的metadata。)中,根据步骤一得到的公网IP关联出活跃用户。

参考链接:

http://www.wikileaks-forum.com/nsa/332/understanding-the-nsa-vocabulary/26586

http://nsa.gov1.info/dni/2014/index.html

https://firstlook.org/theintercept/article/2014/03/20/inside-nsa-secret-efforts-hunt-hack-system-administrators/

http://cryptome.org/2014/03/nsa-hunt-sysadmins.pdf

如果您有任何关于任何互联网界的最新消息或者有任何疑问和问题,欢迎联系FB情报组 (fig[@]freebuf.com)

这些评论亮了

  • yyyy3333 回复
    翻管理员公司附近的垃圾箱找.....

    首先
    你要出国
    )45( 亮了
  • ss 回复
    为什么现在总喜欢把简单的东西写的特别高大上一点,平时骗经费时养成的习惯么
    )31( 亮了
  • ahaya 回复
    @thanks  看来当好黑客还得捡的一手好垃圾才行
    )20( 亮了
  • thanks (8级) FreeBuf常务处主任 回复
    “这里可以使用“dumpster-dive技术”(翻管理员公司附近的垃圾箱找)”……√新技能get!
    )9( 亮了
  • xxx 回复
    @Neal NSA为什么要告诉你呢?
    )7( 亮了
发表评论

已有 26 条评论

取消
Loading...
css.php