USA vs Rússia na guerra virtual, caso Cyclops Blink

"#aiedonline em youtube.com/c/aiedonline"

Livro Linux: https://docs.google.com/document/d/14S8MAcjspdbBWsja-Ijb_GQfs4C1PzJmDcTJ3bYXyeQ/edit?usp=sharing
Livro Hacker: https://docs.google.com/document/d/17R67zmmJw46yMGYpqt9WOjdo4mLCBjNQbmCNcQuLDlc/edit?usp=sharing

Seja membro: https://youtu.be/fEdz5zX2-4M

Ajude o canal, seja membro o faça um PIX de qualquer valor para wellington.aied@gmail.com

TELEGRAM: https://t.me/joinchat/VPKVjQZAptLV4n0h

Ajude o canal, seja membro o faça um PIX de qualquer valor para wellington.aied@gmail.com

SLIDE: https://docs.google.com/presentation/d/1mZALvg6472Gum7YNEKO7yBEy3mc9pTpycPeRoRcGCvc/edit?usp=sharing

USA vs Rússia na guerra virtual, caso Cyclops Blink

INSTRUÇÕES
CONTEÚDO
Todo o conteúdo obtido é de ambiente controlado, informações práticas são de laboratórios com ambiente privado.

MINHA OPNIÃO PODE NÃO AGRADAR.
DIREITO SOBRE MARCAS
Toda tecnologia citada aqui será citada como referência para estudo e devidos direitos serão respeitados.

2

Olá!
Não Importa
Vou falar sobre: USA vs Rússia na guerra virtual, caso Cyclops Blink

Para entrar em contato: TELEGRAM
3

1
Malwares são as armas
CASO Cyclops Blink
4

A guerra guerra cibernética está aberta.
5

Cyclops Blink
O Departamento de Justiça dos EUA (DoJ) anunciou que neutralizou o Cyclops Blink, um botnet modular controlado por um agente de ameaças conhecido como Sandworm, que foi atribuído à Diretoria Principal de Inteligência do Estado-Maior Geral das Forças Armadas da Federação Russa (GRU).
6

Cyclops Blink
O Cyclops Blink é um malware direcionado ao hardware de rede com o objetivo de adicionar o dispositivo alvo a uma botnet para comando e controle (C2).

O malware tem como alvo roteadores e dispositivos de firewall vendidos pelas empresas WatchGuard e ASUS.

7

Cyclops Blink
O Cyclops Blink tem ligações com o Sandworm, apoiado pelo Kremlin;
Em 2016 e 2017 foram localizados ataques contra a Ucrania e vazamento de dados na França.
8

Cyclops Blink
9

https://www.ncsc.gov.uk/files/Cyclops-Blink-Malware-Analysis-Report.pdf
10

Cyclops Blink
11

Cyclops Blink
Cyclops Blink é um malware modular escrito na linguagem C;

Em seu componente principal, a primeira coisa que o malware faz é verificar se o nome do arquivo executável começa com "[k". Caso isso não aconteça, ele executa a seguinte rotina:
12

Cyclops Blink
Ele redireciona os descritores de arquivo stdout e stderr para /dev/null;

Ele define os manipuladores padrão para sinais SIGTERM, SIGINT, SIGBUS, SIGPIPE e SIGIO;

Ele se recarrega com um novo nome de processo "[ktest]".

13

Cyclops Blink
Em seguida, ele aguarda 37 segundos antes de configurar seus parâmetros codificados. Isso inclui os servidores C&C codificados e o intervalo que deve ser usado para se comunicar com os servidores C&C.
14

Cyclops Blink
Ele também cria um canal para comunicação entre processos (IPC) chamando a função pipe() para obter dois descritores de arquivo para leitura e gravação de dados.

Ele também habilita E/S sem bloqueio para o descritor de arquivo de gravação usando ioctl().
15

Cyclops Blink
Após isso, um novo pacote de dados será criado na memória, que será enviado para um servidor C2.

Para cada porta TCP usada para se comunicar com os servidores C2, o malware cria uma regra no Netfilter usando a função iptc_insert_entry() do libiptc 1 para permitir a comunicação de saída para ele.
16

Cyclops Blink

iptables -D OUTPUT -p tcp --dport [PORTAQUELELEQUER] -j ACCEPT
iptables -I OUTPUT -p tcp --dport [PORTAQUELELEQUER] -j ACCEPT

17

Cyclops Blink
O Botnet se comunica com o C2
18

Cyclops Blink
A interrupção autorizada pelo tribunal de 22 de março do Cyclops Blink ocorre pouco mais de um mês depois que as agências de inteligência no Reino Unido e nos EUA descreveram a botnet como uma estrutura de substituição para o malware VPNFilter que foi exposto e afundado em maio de 2018.
19

Cyclops Blink
O Cyclops Blink, que se acredita ter surgido em junho de 2019, visava principalmente os dispositivos de firewall WatchGuard e roteadores ASUS, com o grupo Sandworm aproveitando uma vulnerabilidade de segurança identificada anteriormente no firmware Firebox da WatchGuard como um vetor de acesso inicial.
20

Cyclops Blink
Desde então, a empresa revisou suas perguntas frequentes do Cyclops Blink para esclarecer que a vulnerabilidade em questão é CVE-2022-23176 (pontuação CVSS: 8,8), o que poderia "permitir que um usuário sem privilégios com acesso ao gerenciamento do Firebox se autentique no sistema como administrador" e obtenha acesso remoto não autorizado.
21

Cyclops Blink
22

Obrigado!
Tem dúvdias?
Entre no Telegram que está na descrição do vídeo
23