Manu Quintans y Frank Ruiz - All Your Crimeware Are Belong To Us! [RootedCON 2012]

ALL#YOUR#CRIMEWARE#ARE#
BELONG#TO#US#

Frank#Ruiz#
Manu#Quintans#

¿Quién es Quién?
Frank(Ruiz(
Crimeware( Researcher,# durante# estos# úlVmos# años# ha# parVcipado# en# diferentes# invesVgaciones#
relacionadas# con# el# cibercrimen.# Además# colabora# acVvamente# con# el# grupo# MalwareIntelligence#
donde#podemos#encontrar#algunas#de#sus#invesVgaciones.#En#la#actualidad#trabaja#para#la#compañía#
Holandesa#Fox`IT#donde#parVcipa#en#las#invesVgaciones#del#departamento#de#cibercrimen.#
(
h.p://malwareint.com((
h.p://fox6it.com(

Manu(Quintans(
Crimeware(Researcher,(Manu#Quintans#es#Crimeware#Researcher#vinculado#desde#ya#hace#muchos#
años# a# la# escena# como# colaborador# de# grupos# como# DTFZine(SP),# DC4420# (UK),# HackVmes.com,#
MalwareIntelligence#ha#desarrollado#su#experiencia#en#diferentes#sectores#tecnológicos#adquiriendo#
conocimientos#en#diversas#disciplinas.##
#
En#la#actualidad#se#dedica#a#invesVgar#temas#relacionados#con#Phishing,#Malware,#Hacking,#Botnets#
en# el# grupo# de# invesVgación# Malware# Intelligence# y# colabora# con# diferentes# compañías# como#
InvesVgador#independiente.(
h.p://hack3mes.com(6(h.p://malwareint.com(6(h.p://zeroday.es(
(
((((((((((@groove(
2#

Un#poco#de#historia…#

Video(disponible(en:#hcp://x90.es/carders#

Un#poco#de#historia…#
Meanwhile#in#Marbella#

Video(disponible(en:#hcp://x90.es/badb#

Estructura#

Boss#

Consilliere#

Underboss#

CAPO# CAPO# CAPO#

Soldiers# Soldiers# Soldiers#

Estructura#

BU#Director#

Account#Manager#

Partners#
Project#Manager# Analyst#

Developer# Developer#

Developer#

Estructura#
Nombre( AIM( Responsabilidad( Horario(

Boss# boss@jabb# El#Jefe# 12:00#–#03:00#

Xanax# xan@jabb# Departamento#de#compras# 12:00#–#04:00#

Fuckyea# amish@jabb# Administración# 16:00#–#06:00#

Kmbooo# kmv@jabb# Administración# 12:00#–#22:00#

Slammer# suck@mydick…# Administración# 03:00#–#15:00#

Vaskoblip# blipp@streevab# I+D+i#y#Contacto#con#los#DC# 11:00#–#00:00#

Negoso# kpepe@jobsucker# I+D+i#y#Contacto#con#los#DC# 19:00#–#00:00#
#
Revieweme# eveve@jabb# Dominios,#Alojamiento## 23:00#–#09:00#

Kasper# kas@janb# Desarrollo# 18:00##`#04:00#

Support# support@server# Bot#de#soporte# 24h##

Vlodov# `````````# Finanzas# 12:00#–#03:00#

Infraestructura#

Más#de#400#servidores#
Más#de#5.000#Dominios#
5Gb#tráﬁco#por#día/
máquina#

Infraestructura#

Servicios#de#VPN##

La#media#de#traﬁco#por#
servidor#es#de#1TB/Diario.#
Servicio#básico#donde#ofrecen#
un#2X#VPN#

Infraestructura#

Servicios#de#VPN#para#
clientes#VIP##
servidor#es#de#1TB/Diario.#
Aprox..#
El#servicio#prestado#es#de#
mayor#calidad#ofreciendo#un#
número#más#elevado#de#
conexiones#y#países.#

Infraestructura#

Servicio#de#VPN#Interno#
servidor#es#de#….##
Nunca(lo(sabremos…(:)(
#
Servicio#avanzado#para#los#
administradores#y#el#staﬀ#de#la#
banda#criminal.#

Infraestructura#

Red(de(servidores(dedicados(a(Malware(

Aproximadamente# unas# 100# máquinas#
están# desVnadas# a# la# distribución# y#
testeo#de#malware,#venta#y#acVvación#de#
licencias.#

Infraestructura#

Y#tan#solo#2#máquinas#desVnadas…#
a#porno.##
:`(#

Infraestructura#

¿Qué(cuesta(ser(malo?( Poco….(

El(coste(medio(de(un(servidor(de(las(siguientes(
caracterís3cas:(
Intel#E2160,4GB,(DC29),#2x250GB#SATA2,#1#x#100Mbps#Full`Duplex,#5000#GB#
(Standard#network)##

Tiene(un(coste(aproximado(de(unos…..(

40(€/ mes(

Impuestos(indirectos(incluidos….(

Infraestructura#
¿Es realmente offshore?

SERVICIOS#
¿Dónde#venden#sus#servicios?#

SERVICIOS#
Servicios#que#comercializan#
HOSTING
DEDICATED SERVERS
VPS

VPN
PROGRAMACIÓN
CRIMEWARE

SERVICIOS#
Servicios#que#comercializan#
TRAFICO
CLICK FRAUD
MARKETPLACES

IFRAMES/WEBINJECTS
PROXYS/SOCKS/ACCOUNTS
BINDERS/CRYPTERS

SERVICIOS#
Atención#al#cliente#
¿cuál(es(el(éxito(de(estos(servicios?(
CUSTOMER SERVICES
Buenas,(quiero(contratar(2(servidores(dedicados(

Hola,(como(has(conseguido(el(jabber?(

me(lo(ha(pasado(mi(colegui(superbotmaster(

ok,(que(quieres?(

2(servidores(dedicados(y(rapidito(que(quiero(ser(malote!(

cuanto(trafico(vas(a(generar?(y(que(vas(a(alojar(

es(para(un(spyeye(con(35k(bots(y(el(otro(para(un(exploit(kit.(

cuanto(trafico(para(el(exploit(kit?(

3/5K(diarios,(que(con(la(crisis…(ya(sabes..((

ok,(entonces(el(exploit(kit(si(prefieres(lo(podemos(alojar(en(uno(
compar3do(que(saldrá(mas(barato.(

Sí(usas(algún(3po(de(backconnect(con(spyeye,(deberías(pensar(en(
contratar(un(servidor(solo(para(correr(los(daemons(

Pero#realmente…#¿Qué#hay#dentro?#

CRIMEWARE#MÁS#RELEVANTES#
ZEUS#
Nuestro#viejo#amigo…# Zevs( FEATURES

`#CompaVbilidad#con#Windows#
XP,#Vista,#Seven,#2003,#2003R2,#
2008,#2008R2.#
`#Backconnect#para##cualquier#
servicio#como#FTP,#RDP,#
Socks,etc.#
`#Intercepción#de#las#peVciones#
HTTP#y#HTTPS.#
`#Grabber#para#extraer#
información#de#los#programas#
más#conocidos.#
`#Sniﬀer#que#intercepta#sesiones#
POP3#y#FTP.#
`#Ejecución#de#scripts#desde#el#
panel#de#control.#
`#Segregación#en#subbonets.#
#

MODELO DE COMERCIALIZACIÓN
`#Venta#en#foros#privados.#
`#Contacto#en#ICQ#o#Jabber.#
`#Pagos#a#través#de#Webmoney#y#Liberty#Reserve.##

C&C#Zeus#

EstadísVcas#
EstadísVcas#a#nivel#mundial#de#Zevs:#(

!  ZeuS#C&C#servers#tracked:#641#
!  ZeuS#C&C#servers#online:#206#
!  ZeuS#C&C#servers#with#ﬁles#online:#42#
!  ZeuS#FakeURLs#tracked:#13#
!  ZeuS#FakeURLs#online:#4#
!  Average#ZeuS#binary#AnVvirus#detecVon#rate:#38.48%#

Aún#que#nuestros#amigos#los#malotes,#también#se#las#apañan#para#no#ser#detectados#por#
abuse.ch#y#su#ZeusTracker.(


server:~#(cat$zeustracker_block.sh$$
#!/bin/bash(
#(zeustracker(ips(
a=`iptables(9L(9n|grep(62.203.0.0/16`(
if([(9n("$a"(](
then((
(echo(already(done(
(exit(0(
Fi(
iptables(9I(INPUT(9s(62.203.0.0/16 ( (9p(tcp(9m(multiport(99dports(80,443(9j(DROP(
iptables(9I(INPUT(9s(85.0.0.0/15( ( (9p(tcp(9m(multiport(99dports(80,443(9j(DROP(
iptables(9I(INPUT(9s(85.3.0.0/16( ( (9p(tcp(9m(multiport(99dports(80,443(9j(DROP((
iptables(9I(INPUT(9s(77.16.27.16( ( (9p(tcp(9m(multiport(99dports(80,443(9j(DROP(
(
(
iptables9save(>(/etc/iptables_rules(
server:~#((

C&C#Ice#IX#

C&C#Citadel#

C&C#Zeus#v3##(Murofet)#

Carberp#
Y#que#contar#de#ya#el#olvidado# Carberp( FEATURES

  C o m p a V b i l i d a d# c o n#
Windows#XP,#Vista#y#7.#
  Formgrabber.#
  Backconnect#Server.#
  Sistema#de#plugins.#
  FTP#Grabber.#
  Bank#Grabber.#
  Password#Grabber.#
  WebInjects.#
  Hidden#Browser#(VNC).#
  Loader.#
  Screenshots.#
  DDoS.#
  MiniAV.#


¿Privado?#

C&C#Carberp#

client.vzlom.biz#

SpyEye#
Ojo#con#el#ojo!#También#está## Spyeye( FEATURES

`#CompaVbilidad#con#Windows#
XP,#Vista,#Seven,#2003,#2003R2,#
2008,#2008R2.#
`#Interceptación#peVciones#
HTTP#y#HTTPS.#
`#RDP,#FTP#y#Socks#Backconnect.#
`#WebInjects.#
`#WebFakes.#
`#Sistema#de#plugins.#
`#FTP#&#POP3#Traﬃc#Sniﬀer.#
`  Kill#Zeus.#

`#Pagos#a#través#de#Webmoney#y#Liberty#Reserve.#

Soporte#

Main#CP#SpyEye#

Formgrabber#CP#SpyEye#

EstadísVcas#
EstadísVcas#a#nivel#mundial#de#SpyEye:#(

!  SpyEye#C&C#servers#tracked:#432#
!  SpyEye#C&C#servers#online:#165#
!  SpyEye#C&C#server#with#ﬁles#online:#15#
!  Average#SpyEye#binary#AnVvirus#detecVon:#25.1%#

Limbo#/#Private#

Feodo#/#Private#

Blackhole#Exploit#Kit#
Black#is# Blackhole( FEATURES

EstadísVcas#muy#detalladas.#
Sistema#personalizado#de#
widgets.#
API#para#el#uso#de#los#AV#
Check#más#conocidos.#
Sistema#de#TDS#integrado.#
MulV#campaña.#
Control#de#seguridad#con#
blacklists.#
GaranVzado#el#FUD#de#los#
exploits.#
Personalización#de#los#
archivos#y#sus#parámetros.#
Cada#Thread#con#su#TDS.#

`#Pagos#a#través#de#Webmoney#y#Liberty#Reserve.#

MODELO DE NEGOCIO DE BH

Video(disponible(en:#hcp://x90.es/mwint#

Conclusiones?#

REGULA TU CICLO!

NO HABRÁ PAZ PARA
LOS MALIGNOS

Referencias#y#agradecimientos#

¿………………………………….?#

FIN!#

O Mejor dicho…

GRACIAS A
TODOS!!

ALL#YOUR#CRIMEWARE#ARE#
BELONG#TO#US#

Manu#Quintans#
Frank#Ruiz#
#

Manu Quintans y Frank Ruiz - All Your Crimeware Are Belong To Us! [RootedCON 2012]

Recommended

More Related Content

More from RootedCON

More from RootedCON (20)

Manu Quintans y Frank Ruiz - All Your Crimeware Are Belong To Us! [RootedCON 2012]