banner

看NSA黑客如何利用大数据拿下网络系统管理员

作者: 大数据观察来源: 大数据观察时间:2017-09-12 16:55:440

斯诺登事件已过一年有余,情报组小编翻看众多公布的材料,挑选其中一篇2012年时候的“NSA的内部帖子”,来看看一个NSA黑阔如何利用“大数据”拿下网络系统管理员的攻击思维。

“情报”是攻击的最终目的

在NSA里面的SID(SignalsIntelligence Directorate)“信号情报部门”顾名思义他的终极目标是产出情报,供决策者使用。无论什么时候,目标使用高科技去进行通信,NSA黑客就要想尽办法去收集它、分析它、然后输出报告。听起来是很简单,除非他已经在目标的通信网络中。而他们其实也不是任何时候都能收集到所有的信息,特别是他们的目标通信的网络并不在他们的收集范围内。这个时候他们就需要一些手工的“跑腿”去帮助他们完成这个任务了。这个“跑腿”就是这篇帖子《I hunt sys admins》想介绍的“系统管理员”

科普广告插播

SID,全称Signals Intelligence Directorate信号情报指挥部,在NSA组织架构中代号为“S”,主要负责收集、分析、产生和传播信号情报。下属若干个分支机构,其中就包括大名鼎鼎的TAO,具体如下:

- S1—主攻客户关系

- S2—主要分析和制作中心,下属若干“生产线”

S2A:南亚,S2B:中国与韩国,S2C:国际安全,S2E:中东和亚洲,S2F:国际犯罪,S2G:反扩散,S2H:俄罗斯,S2I:反恐……

- S3—数据获得,主要负责“收集”工作,下属包括:

S31——Cryptanalysis and Exploitation Services密码与漏洞利用服务简称CES

S32——Tailored Access Operations,简称TAO,负责黑进外国的计算机以事实网络间谍活动,被誉为NSA“信号情报指挥部”最大最重要的部分,有1000名军队级和平民电脑黑客、情报分析员、targeting专家、电脑软件硬件设计师,电子工程师等组成。

S33——Global Access Operations,简称GAO,主要负责拦截卫星或其他国际SIGINT平台的信号。

S34——收集战略及需要中心

S35——Special Source Operations,简称SSO,主要负责美国国内的收集计划,例如大名鼎鼎的“棱镜计划”PRISM

网络系统管理员是最好的“跑腿”

事实上“系统管理员”并不是这些NSA黑客的最后目标,他的最后目标是“极端分子/恐怖分子”或者官方政府要使用的这些网络,而这个网络是由这些“系统管理员”所管理的。比如他的目标正使用的是在外国网络的一个CDMA终端,很可能NSA魔爪已经收集过目标手机的电话、SMS短信,(PS:用帖子里的原话是说“where we passively collect his phone call/SMS out in the wild”。从这个侧面看NSA的确已经能够广泛性的“被动”采集电话通信数据)但是如果真的能够进入到本地的基础设施,从而可以任何时候更直接的监视目标从哪个基站进行了连接,甚至监视电话和数据的流量。但是通常直接以基础设置为攻击目标是很困难的,一般需要一系列的信息以帮助开展行动。例如:

– 目标网络的拓扑

– 基础设施设备的凭证(密码)

– 目标网络的行事情况,例如只有管理员的源IP限制策略的允许接入清单

– 一些总概述的背景,例如网络是如何组成的,如何配制的

所以为了拿到以上信息,还有谁比目标网络的管理员更合适?很多时候,当NSA黑客看到目标出现在一个新的网络,他的第一个目标就是能否通过CNE(Computer Network Exploitation)攻陷网络上的这个管理员。这个时候通常就依赖于“QUANTUM”来访问他们的帐号。当然你可以通过钓鱼邮件,但是NSA黑客认为现在人们比过去5-10年已经越来越聪明,所以这种攻击方法已经不再靠谱了。因此,为了使QUANTUM攻击对这些管理员有效,NSA黑客需要一些webmail/facebook类型的SELECTOR。

科普广告插播:

SELECTOR:又称“分拣器”,说白了就是NSA从庞大的数据流量中用于识别定位的特定目标的“选择子”,例如Hotmail GUIDs,Google prefIDs,Apple IMEIs,Apple UDIDs,Nokia IMEIs,Wireless MACs等等,而这个Selector又跟下面要说到的“Quantum”密切相关。

QUANTUM:这个可跟量子计算没有多大关系,主要是NSA的一个代号,是一种man-on-the-side的中间劫持技术,在骨干网中秘密放置一些服务器,通过Selector识别出被攻击的目标,然后利用比正常服务器更快的反应时间,把漏洞利用代码发向受攻击的目标(也就是这里说的管理员),使得攻击成功。随着近年来的发展,已经不止最开始2005年的“Quantuminsert”,还有2007年的QuantumBOT,2008年的QuantumDNS等等,如下图所示:

CNE:Computer Network Exploitation,如果说CNE是注重从目标计算机和网络中挖掘情报,那么另一个叫CAN(Computer Network Attack)的则是试图瓦解、损害和摧毁目标。

攻击思路:

如果说希望通过whois等手段,查找目标网络IP地址空间或者域名信息的注册信息来发现这些管理员的个人信息。那NSA黑客的实践表明,这个成功率并不高,因为这些信息通常是管理员的官方邮箱地址,这些邮件服务器就部署在目标的网络中,而NSA黑客的大杀器Quantum成功的秘诀不是用在这类型邮件系统中的。他们真正想要的是管理员的个人邮箱、facebook等这样的账号。(因为这些账号才能筛选出Selector,从而使用Quantum技术来实施对管理员的控制。这里可以使用“dumpster-dive技术”(翻管理员公司附近的垃圾箱找)或“Google搜索技术”(看看管理员是否有在什么官方的非官方的论坛中暴露这些信息)。

攻击线路:

NSA大黑阔——〉“恐怖分子”——〉恐怖分子所在的网络——〉该网络管理员——〉控制网络

攻击所需条件(反向推导):

网络管理员〈——Quantum攻击〈——可识别出管理员的Selector〈——个人账号如facebook〈——???

在继续之前,先得介绍一下DISCOROUTE——NSA内专门用于在telnet sessions流量中“被动”收集和存储路由器配置文件的工具。

有这样的工具,有这样的数据,都对入侵这个目标网络,了解它的网络结构有莫大的帮助,但是,这些配置文件似乎跟找到网络管理员的个人webmail或者facebook似乎还没有啥关系。离成功入侵这个网络还远着。为此,NSA黑阔随机选了一个肯尼亚的路由配置来做个示范。(从这个侧面看,NSA还说没有入侵,没有监听别国的通信?拿路由器配置信息都是信手拈来的事情了。)接下来作为一名分析师,最基本的水平是基于这份配置文件做出大胆的假设:

- 我们有一台路由器,路由器有一个管理员

- 通过DISCOROUTE工具获得的配置文件,可以知道这个管理员通过telnet登陆到路由器

- 管理员可能不会让任何人或者每个人都能登陆到路由器

- 管理员可能设置了ACL,只允许他自己的IP telnet到路由器中

下面看看路由器的配置文件:

从上面可以看到管理员的确设置了源地址访问的ACL——access-class,以及密码属性设置为代表密文的7,当然这个也是很好破解的。网上基本上就有现成的工具专门对付这类password 7 hash。

从下面的配置列表可以看到:

可以看到,如果想要telnet到这台路由器,你必须要从这些(已经打黑的)IP地址去访问。稍微有点网络知识的你都可以知道,就算你知道路由器的认证信息,就算你知道这些白名单,你都不可能伪造这些源地址去登到路由器上,因为,你无法看到response包。所以你是必须接入到其中一台这些IP地址,才能去登陆路由器。

让我们回顾一下,NSA黑客的假设——一个管理员只允许他自己去telnet,而禁止了来自其他地址的登陆。因此我们可以进一步大胆假设这是这些acl地址,就是管理这个肯尼亚网络的管理员地址。

继而,利用这些地址就可以去查找,从这些IP地址登陆hotmail,yahoo,facebook的活动账号。从而就能够识别出这个肯尼亚网络的管理员个人账号信息了。把这些信息作为selector,就可以用QUANTUM技术去攻击这些管理员,从而通过这些管理员控制网络。

总结一下以上大致两个步骤

步骤一:从DISCOROUTE中的路由器配置信息中识别有有telnet的acl信息,导出这些acl的公网IP地址。

步骤二:从ASDF(全称Atomic SIGINT Data Format,是NSA从被动收集信息系统——PassiveSIGINT system收集的所有session信息中生成的metadata。)中,根据步骤一得到的公网IP关联出活跃用户。

banner
看过还想看
可能还想看
热点推荐

永洪科技
致力于打造全球领先的数据技术厂商

申请试用
Copyright © 2012-2024开发者:北京永洪商智科技有限公司版本:V10.2
京ICP备12050607号-1京公网安备110110802011451号 隐私政策应用权限