Lekcija 13 — Malware, Mrežni, Lozinkni i Aplikacijski napadi

Malware: definicija i klasifikacija

Malware (malicious software) je svaki softver koji namjerno nanosi štetu ili kompromitira sustav bez korisnikovog znanja ili pristanka.

Klasifikacija prema vektoru infekcije

Kategorija	Opis	Primjeri
Virusi/Crvi	Samorepliciraju se; virusi trebaju domaćina, crvi ne	ILOVEYOU, Code Red, Conficker
Trojanci	Maskiraju se kao legitimni softver	RAT, backdoor, dropper
PUP/PUA	Potentially Unwanted Program/Application; grayware, bloatware	Browser toolbar, adware bundle

Klasifikacija prema payloadu (djelovanju)

Payload tip	Cilj
Spyware	Prikuplja podatke bez znanja korisnika
Rootkit	Skriva malware od OS alata; radi na ring 0 razini
RAT	Remote Access Trojan — daljinski pristup napadaču
Ransomware	Enkriptira datoteke i traži otkupninu

Malware

Svaki softver koji namjerno nanosi štetu sustavu bez korisnikovog znanja ili pristanka.

Virus

Malware koji treba domaćina (datoteku/sektor) i akciju korisnika za replikaciju. Nije self-propagating.

Crv (Worm)

Samostalno se širi mrežom bez akcije korisnika; obično je memory-resident.

Trojanac

Maskira se kao legitimni softver; sadrži skriveni maliciozni payload (RAT, backdoor, dropper).

Botnet

Mreža zaraženih hostova kojom upravlja napadač (botnet herder) putem C2/C&C kanala.

ZA ISPIT

Ispit razlikuje PUP/PUA od malwarea — PUP je grayware koji nije nužno maliciozan. Klasifikacija prema vektoru (virus/crv/trojanac) i prema payloadu (rootkit/ransomware/spyware) su neovisne dimenzije — isti malware može biti i trojanac i ransomware (npr. WannaCry = worm + ransomware).

Virusi: vrste i mehanizmi

Virus je malware koji se ne može sam širiti — treba domaćina (zaraženu datoteku, sektor diska) i akciju korisnika da se aktivira i replicira.

Vrsta virusa	Opis
Non-resident / file infector	Inficira .exe/.dll datoteke; aktivira se pokretanjem zaraženog programa
Memory-resident	Učitava se u RAM i ostaje aktivan; inficira sve programe koji se pokreću
Boot sector	Inficira MBR/VBR; pokreće se prije OS-a; teško ga je otkriti
Script/Macro	Napisan u makro jezicima (VBA, PowerShell); širi se kroz dokumente i email
Multipartite	Kombinira više metoda infekcije (file + boot sector)
Polymorphic	Mijenja svoju signaturu pri svakom kopiranju → otežava detekciju AV-om

ZA ISPIT

Polymorphic virus mijenja svoju signaturu/enkriptiranu kopiju, ali logika ostaje ista. Klasični signature-based AV ga ne prepoznaje. Boot sector virus se pokreće PRIJE OS-a — teško ga je otkriti online alatima jer je AV već "ispod" njega. Macro virus širi se dokumentima (Word, Excel) — posebno opasan u korporativnim mrežama gdje se dokumenti dijele.

Crvi (Worms)

Za razliku od virusa, crv se samostalno širi mrežom bez akcije korisnika. Obično je memory-resident — ne upisuje se na disk.

Code Red (2001) — iskorištavao buffer overflow u Microsoft IIS web serveru; zarazio 359.000 hostova za 14 sati
Conficker (2008) — koristio Windows netbios/SMB ranjivost; formirao botnet od 9+ milijuna strojeva

Crv vs. Virus: Crv može uzrokovati DoS samo svojom replikacijom (zagušenje mreže) čak i bez štetnog payloada.

Fileless malware

Fileless malware ne upisuje datoteke na disk — radi isključivo u memoriji. Antivirus koji skenira datoteke ga ne može otkriti.

Mehanizmi

Shellcode — kompaktan payload koji iskorištava ranjivost i izvršava se direktno u memoriji
Living off the land (LotL) — koristi legitimne sistemske alate:
- PowerShell — skriptiranje, preuzimanje payloada, izvršavanje u memoriji
- WMI (Windows Management Instrumentation) — persistencija, lateralno kretanje
- PsExec, mshta.exe, regsvr32.exe

Kratica	Značenje
APT	Advanced Persistent Threat — sofisticirani dugotrajni napad
AVT	Advanced Volatile Threat — prijetnja koja postoji samo u memoriji
LOC / LotL	Living off the Land — zloupotreba legitimnih OS alata

ZA ISPIT

Fileless malware radi isključivo u memoriji (RAM) — ne ostavlja datoteke na disku, pa ga klasični AV koji skenira datoteke ne može detektirati. Detekcija zahtijeva: EDR/EPP alate s behavioral analysis, PowerShell Script Block Logging (Event ID 4104), Sysmon i analizu memorijskih dumpova. Na ispitu: ako pitanje kaže "malware koji izbjegava AV jer nema datoteka" → fileless malware / LotL.

Spyware, adware, keylogger

Tracking cookies i supercookies

Tracking cookie — HTTP cookie koji bilježi korisnikovo ponašanje kroz više web stranica
Supercookie / Evercookie — teže ga je ukloniti; koristi Local Storage, IndexedDB, ETag itd.
Web beacon / pixel — 1×1 piksel slika koja prati otvaranje emaila ili posjete stranicama

Adware i spyware

Adware — prikazuje neželjene reklame; granica s PUA/grayware kategorijom
Spyware — prikuplja podatke (lozinke, navike, financijske podatke) bez znanja korisnika

Keylogger

Softverski keylogger — hooking API (Windows Hook), kernel driver; bilježi svaki tipkovnički pritisak
Hardverski keylogger — fizički uređaj između tipkovnice i računala; nevidljiv OS-u

Backdoor, RAT, botnet i C2

Backdoor i RAT

Backdoor — tajni ulaz u sustav koji zaobilazi normalnu autentifikaciju
RAT (Remote Access Trojan) — backdoor s punim daljinskim upravljanjem; snimanje ekrana, web kamere, keylogging, upload/download datoteka

Botnet

Bot — zaraženi host koji prima naredbe od napadača
Botnet herder — napadač koji kontrolira botnet
Upotreba: DDoS napadi, spam kampanje, cryptomining, credential stuffing

C2 / C&C (Command & Control)

Komunikacijski kanal između napadača i zaraženih hostova
Historijski: IRC; danas: HTTPS (izgleda kao normalni promet) ili DNS tunneling
Covert channel — komunikacija koja se prikriva unutar legitimnog prometa
Beaconing — bot periodično "javlja" C2 serveru da je aktivan i traži naredbe

Razine privilegija (Windows)

Razina	Opis
Standard user	Ograničeni pristup; ne može instalirati softver sistemski
Local admin	Puna kontrola lokalnog računala; UAC prompt
SYSTEM	Najviša razina; OS procesi; rootkit razina

Rootkit

Rootkit je malware koji se skriva od operativnog sustava i sigurnosnih alata modificirajući kernel ili sistemske tablice.

Radi na Ring 0 (kernel mode) — isti privilegij kao i OS jezgra
Sakriva datoteke, procese, mrežne konekcije i registry unose od sistemskih alata
Teško ga je otkriti bez specijalnih offline alata ili bootable media

Firmware rootkit

Inficira BIOS/UEFI firmware ili diskovni firmware
Preživljava reinstalaciju OS-a! — jedini način uklanjanja je reflash firmwarea
DarkMatter — poznati firmware rootkit za Apple Mac uređaje

Detekcija: Usporedba hash vrijednosti sistemskih datoteka, boot s pouzdanog medija, hardware security modules (TPM Secure Boot).

ZA ISPIT

Firmware rootkit (BIOS/UEFI) preživljava reinstalaciju OS-a i zamjenu diska. Jedini načini zaštite: TPM + Secure Boot (verificira potpisani bootloader), reflash firmwarea. Rootkit radi na Ring 0 (kernel mode) — isti privilegij kao OS jezgra. Detekcija: boot s pouzdanog externog medija (offline scan), jer rootkit može sakriti sebe od online alata.

Ransomware i scareware

Ransomware

Enkriptira žrtvine datoteke i zahtijeva plaćanje (obično kriptovalutom) za ključ za dekripciju.

WannaCry (2017) — iskorištavao EternalBlue SMB ranjivost; zarazio 200.000+ računala u 150 zemalja
Crypto-ransomware (CryptoLocker) — enkriptira datoteke na fiksnim, prijenosnim i mrežnim diskovima; odbrojavanje — nakon isteka, ključ se uništava
Jedina pouzdana zaštita: offline backup koji napadač ne može doseći

Scareware

Prikazuje lažna upozorenja (maskirana kao OS alert box) da je računalo zaraženo
Cilj: natjerati korisnika da kupi lažni "antivirus" ili nazove lažnu podršku
Ne enkriptira podatke — djeluje samo psihološki

ZA ISPIT

WannaCry (2017) = worm koji širi ransomware payload putem EternalBlue (MS17-010) SMB ranjivosti. Jedina pouzdana zaštita od ransomwarea: offline backup koji napadač ne može doseći (enkripcijom mrežnih diskova). Plaćanje otkupnine ne garantira oporavak. Scareware za razliku od ransomwarea ne enkriptira podatke — djeluje samo psihološki (lažni AV alertovi).

Cryptojacking i logic bomb

Cryptojacking

Malware koji koristi resurse žrtve za rudarenje kriptovaluta (crypto-mining)
Otkriva se kroz: nenormalno visoku CPU/GPU potrošnju, zagrijavanje, usporavanje
Često se izvršava putem botneta; može biti i web-based (JavaScript u browseru)

Logic Bomb

Kod koji se ne aktivira odmah već čeka određeni uvjet:

Time bomb — aktivira se na određeni datum/vrijeme
Event trigger — aktivira se kad se dogodi određena akcija (npr. brisanje korisničkog računa)

Klasičan primjer: nezadovoljan sysadmin koji ostavlja skriptu koja se pokreće ako je njegova lozinka promijenjena
Poznat i kao mine
AV rijetko otkriva logic bomb jer je to obično legitimni skriptni kod

TTP i IoC

Signature-based detekcija i njeni limiti

AV čuva bazu potpisa (hash/pattern) poznatog malwarea
Pri pristupu datoteci, AV uspoređuje s bazom i blokira ako se podudara
Problem: ne otkriva nepoznate, polimorfne ili fileless prijetnje

TTP (Tactics, Techniques, Procedures)

Element	Opis	Primjer
Tactic	Visokorizična kategorizacija ponašanja prijetnje	Reconnaissance, privilege escalation, persistence
Technique	Srednja razina — kako se taktika provodi	Active network scanning, email harvesting, vulnerability scanning
Procedure	Detaljni opis — konkretni alat/metoda	Nmap SYN scan s određenim flagovima, specifični exploit kod

IoC (Indicator of Compromise)

Rezidualni dokaz da je napad bio ili još jest u tijeku
IoC = dokaz o uspješnom napadu; IoA (Indicator of Attack) = dokaz o napadu u tijeku
Primjeri: zaražena verzija monitornog procesa, C&C konekcije, onemogućeni backup, registry unosi za autorun, fajlovi s nepoznatim ekstenzijama, ransom notifikacije
MITRE ATT&CK (attack.mitre.org) — javna baza TTPs i IoC; koriste ga moderni sigurnosni alati
AI platforme za analizu koreliraju mnoštvo IoC jer su sami po sebi nejasni, a jaki samo u kombinaciji

Indikatori napada — Obj 2.4.7

Sandbox execution (Sandboxed analiza)

Izolirana okolina potpuno odvojena od produkcije; malware ne može "pobjeći"
Bilježi: promjene filesystema, registry, mrežnu aktivnost
Sheep dip — izoliran host za testiranje novog softvera i prijenosnih medija prije ulaska u mrežu

Resource Consumption

Nenormalno visoka CPU/GPU potrošnja → cryptojacking, crypto-ransomware enkriptiranje, botnet DDoS
Memory leaks, visoka disk I/O aktivnost, anomalna mrežna propusnost
Detekcija: Windows Performance Monitor, Task Manager, top/htop na Linux

File System indikatori

Metapodaci datoteka (created/accessed/modified) grade timeline incidenta
Sumnjive temp datoteke, nepoznate ekstenzije, skrivene datoteke
Blocked content — DLP sustav ili ACL audit log bilježi pokušaj pristupa zabranjenim resursima

Resource Inaccessibility

Mreža, host, datoteka ili baza podataka nije dostupna → indikator DoS napada
Malware može onemogućiti antivirusne alate da izbjegne detekciju

Account Compromise

Indikator	Značenje
Account lockout	Previše neuspjelih prijava; moguće da napadač zna lozinku i promijenio je
Concurrent session usage	Isti account prijavljeni s dva mjesta istovremeno → krađa kredencijala
Impossible travel	Prijava s geografski nemoguće lokacije za dano vrijeme → napad na daljinski pristup

Logging indikatori

Missing logs — sofisticirani napadač briše log unose ili cijele log fajlove
Out-of-cycle logging — napadač mijenja sistemsko vrijeme ili timestamp log unosa da sakrije aktivnost
Nezapravni vremenski razmaci između unosa (gaps) su indikator manipulacije

Fizički napadi i RFID

Fizički napad usmjeren je na kabelsku infrastrukturu, hardver ili okoliš lokacije.

Brute Force (fizički)

Fizičko uništavanje hardvera → fizički DoS
Nasilno otvaranje prostorija ili ormara → tamper-evident sustavi pokazuju tragove

Environmental napad

Uništavanje strujnih vodova, rezanje mrežnih kabela, narušavanje sustava hlađenja
Building management sustavi (BMS) mogu biti vektor za ulazak u mrežu

RFID cloning

RFID (Radio Frequency Identification) — pasivni tagovi za bezkontaktne kartice pristupa

Napad	Opis
Card cloning	Fizičko kopiranje kartice bez kriptografske zaštite; detector: upotreba na sumnjivom mjestu/vremenu
Skimming	Lažni čitač bilježi podatke s originalne kartice; napadač prenosi na portabl RFID čitač

NFC je derivat RFID-a; radi na vrlo kratkim dometima, omogućuje dvosmjernu komunikaciju.

Mrežni napad: životni ciklus

Mrežni napad analizira se kroz poziciju unutar ukupnog kibersigurnosnog životnog ciklusa:

Faza	Opis
Reconnaissance	Skeniranje mreže: host discovery (IP), service discovery (TCP/UDP portovi), fingerprinting (OS, verzije)
Credential harvesting	Vrsta reconnaissance-a; pokušaj prikupljanja lozinki i kriptografskih tajni
DoS	Čini hostove/servise nedostupnima; može biti uvod za druge napade
Weaponization/Delivery/Breach	Maliciozni kod upućen ranjivoj aplikaciji ili korisnik naveden da ga pokrene
C2, Beaconing, Persistence	Uspostava daljinskog pristupa i osiguravanje opstanka na hostu
Lateral movement / Pivoting	Kretanje s hosta na host unutar mreže; ML-based detekcija anomalija
Data exfiltration	Kopiranje podataka na napadačev stroj; otkriva ga anomalno velik transfer (ali stealthily: male količine)

Životni ciklus mrežnog napada — od izviđanja do utjecaja (Cyber Kill Chain / MITRE ATT&CK)

ZA ISPIT

Lifecycle napada je temelj MITRE ATT&CK okvira. Svaka faza ima svoje IoC (Indicator of Compromise): Recon = scan logovi, Delivery = phishing email, C2 = beaconing promet, Lateral movement = anomalne mrežne sesije između hostova, Exfiltration = velik odlazni transfer. Pivot = napadač koristi kompromitiran host kao most za napad na susjedne sisteme.

DoS, DDoS i SYN flood

DoS (Denial of Service)

Sve što smanjuje dostupnost resursa — hardver, mreža, aplikacija
Malware-based DoS: uništava filesystem, crpi CPU/memoriju/propusnost

DDoS (Distributed DoS)

Napad pokrenut istovremeno s više hostova (botnet)
Handlers kompromitiraju tisuće/milijune hostova s bot alatima
Dva mehanizma: bandwidth exhaustion (flood zahtjevima), resource exhaustion (CPU/RAM)

SYN Flood napad

Iskorištava TCP three-way handshake: klijent šalje SYN, ali zadržava ACK
Server bilježi pending konekciju u state table i čeka ACK (šalje SYN/ACK više puta)
Server ima ograničen broj pending konekcija → brzo se popuni → ne može opsluživati legitimne zahtjeve
Indikator: traffic spike bez legitimnog objašnjenja

DoS (Denial of Service)

Napad s jednog izvora. Lakše blokirati — jedna IP adresa. Može biti: bandwidth exhaustion, resource exhaustion, ili malware-based (uništavanje filesystema, crpljenje CPU-a).

DDoS (Distributed DoS)

Napad s više tisuća hostova (botnet) istovremeno. Teže blokirati — nema jedne IP adrese. Zahtijeva: CDN, anycast routing, scrubbing centre ili cloud DDoS zaštitu.

ZA ISPIT

SYN flood iskorištava TCP 3-way handshake — server čuva "half-open" konekcije u state tableu dok ga ne popuni. Mitigacija: SYN cookies (server ne alocira resurse dok ne dobije ACK). DDoS razlikuje se od DoS jedino u broju izvora — oba smanjuju dostupnost. Amplification napad: Memcached amplifikacija = faktor do 51.000x (najmanji query, ogromni odgovor).

Reflektirani i amplificirani napadi

DRDoS (Distributed Reflected DoS)

Napadač spoofuje žrtvinu IP adresu i šalje SYN paket trećim poslužiteljima
Treći poslužitelji šalju SYN/ACK odgovor žrtvinoj IP adresi → troši propusnost žrtve
Asimetrična prijetnja: napadač treba manje resursa od žrtve

Amplification napad

Vrsta reflektiranog napada; ciljani protokoli vraćaju puno veći odgovor nego zahtjev
Ciljani protokoli:

DNS — mali query → veliki odgovor (ANY record)
NTP (Network Time Protocol) — monlist naredba vraća 600 adresa
CLDAP (Connectionless LDAP) — faktor amplifikacije do 70x
Memcached — database caching system; faktor amplifikacije do 51.000x

Mitigacija: high availability (load balancing, clustering), stateful firewall za detekciju

On-path, ARP i DNS napadi

On-path napad (AitM)

Napadač se pozicionira između dva hosta i transparentno presreće, nadzire i preusmjerava komunikaciju
Poznato i kao adversary-in-the-middle (AitM) ili man-in-the-middle (MitM)
Hosts možda ne mogu otkriti napadača jer napadač preusmjerava promet
Može se koristiti za prezentiranje lažnih web formi za prikupljanje kredencijala

ARP Poisoning

ARP (Address Resolution Protocol) mapira IPv4 adresu na MAC adresu na lokalnom segmentu
Napadač šalje lažne ARP reply pakete (npr. Ettercap alat) koji tvrde da napadačeva MAC adresa odgovara IP-u routera
Sve stanice ažuriraju svoju ARP cache tablicu → sav promet ide kroz napadača
Gratuitous ARP reply paketima koji šalju na iste adrese je indikator napada

DNS Poisoning

Kompromitira proces kojim klijenti traže IP adrese za domene
DNS Client Cache Poisoning — lažni unos u HOSTS fajl (Linux: /etc/hosts; Windows: %SystemRoot%\System32\Drivers\etc\hosts)
DNS Server Cache Poisoning — DoS protiv autoritativnog DNS servera + lažni odgovori na rekurzivne upite; provjera: nslookup ili dig
DNS-Based On-Path Attack — ARP poisoning za presretanje DNS upita + rogue DHCP

DNS Attack Indicators

DNS event logovi: vrste upita koje host šalje
Hostovi koji komuniciraju sa sumnjivim IP rasponima
Statistički neuobičajeno visok broj DNS lookup failure-a → malware, misconfiguracija ili zastarjela aplikacija

Bežični napadi

Rogue Access Point i Evil Twin

Rogue AP — neovlašteno instalirana pristupna točka; može biti slučajna (tethering) ili namjerna
Evil twin — rogue AP koji se maskira kao legitimni (isti SSID); može koristiti typosquatting ili SSID stripping
Detekcija: wireless IPS, Wi-Fi analyzeri (inSSIDer), logirani neovlašteni MAC/BSSID

Wireless DoS

Radio smetnje (interference) sprječavaju klijente da se povežu
Disassociation napad — lažni management frame spoofuje MAC adresu stanice i šalje disassociation notifikaciju → klijent se odspoji
Broadcast varijanta: šalje spoofane frame svim stanicama → kompletni wireless DoS
Može se kombinirati s evil twin napadom: odspojiš klijente s legitimnog i preusmjeriš ih na lažni AP

Wireless Replay i KRACK

WPA/WPA2 4-way handshake hvaćeni mogu se podvrgnuti offline brute force napadu
KRACK (Key Reinstallation Attack) — replay mehanizam koji cilja WPA i WPA2 4-way handshake; radi bez obzira na tip autentifikacije (personal/enterprise)
Mitigacija: patchiranje klijenata i AP-ova

Lozinkni napadi — Obj 2.4.6

Online vs. offline napad

Vrsta	Opis	Indikatori
Online	Napadač direktno komunicira s autentifikacijskim servisom (web forma, VPN)	Ponovljeni neuspjeli loginovi u audit logu; uspješan login u neobično vrijeme/lokaciji
Offline	Napadač dobio hash bazu (SAM, NTDS.DIT, /etc/shadow) i crackira lokalno	Samo filesystem audit log koji bilježi pristup credential fajlovima

Vrste napada na lozinke

Napad	Opis
Brute force	Testira sve moguće kombinacije; ograničen vremenom i resursima; GPU cluster može cracknuti kratke lozinke
Dictionary	Generira hash vrijednosti iz rječnika i uspoređuje s hashom; cilja jednostavne lozinke
Hybrid	Kombinacija dictionary + brute force s maskom; npr. `james1`, `password2024!`
Password spraying	Horizontalni online napad: jedna ili više čestih lozinki (`password`, `123456`) isprobava se na mnoštvu korisničkih računa; izbjegava lockout koji bi izazvao vertikalni brute force
Credential stuffing	Koristi liste ukradenih username/password parova iz prethodnih breacheva na novim servisima

Mitigacija: Rate limiting, MFA, ban poznatih malicioznih IP adresa, account lockout (ali pazi: to može biti iskorišteno za DoS!).

ZA ISPIT

Password spraying = horizontalni napad (1 lozinka × mnogo računa) → izbjegava account lockout. Brute force = vertikalni (sve kombinacije × 1 račun) → uzrokuje lockout. Credential stuffing koristi ukradene username/password parove iz prethodnih breacheva. Online napad ostavlja trag u audit logu (neuspjeli loginovi). Offline napad (crack lokalno) = skoro nevidljiv, jedino filesystem pristup credential fajlovima.

Credential replay: PtH, PtT, Golden ticket

LSASS i cached credentials

Na Windows AD mreži, LSASS (Local Security Authority Subsystem Service) cachira u memoriji:
- Kerberos TGT (Ticket Granting Ticket) i session key
- Service tickete za aplikacije u kojima je korisnik otvorio session
- NT hash — koristi se u NTLM autentifikaciji (legacy)
Windows Credential Guard — virtualizacija feature koji štiti LSASS od malicious procesa čak i s SYSTEM privilegijama

Pass the Hash (PtH)

Napadač dohvati NT hash iz LSASS memorije i koristi ga za otvaranje sesije na drugom hostu
Ne treba plaintext lozinku — hash je dovoljan za NTLM autentifikaciju
Proces: zarazi klijenta → žrtva se logira → malware dumpa LSASS → napadač koristi hash na app serveru

Pass the Ticket (PtT) i Kerberos napadi

Napad	Opis
Pass the Ticket (PtT)	Napadač koristi ukradeni Kerberos ticket za autentifikaciju
Golden ticket	Forgirani TGT s neograničenim pristupom svim domenskim resursima; zahtijeva KRBTGT hash
Silver ticket	Forgirani service ticket za konkretnu uslugu; zahtijeva service account hash
Kerberoasting	Traži service tickete, a zatim brute-forcea lozinku koja ih štiti; ako je ticket enkriptiran RC4 (ne AES) → lakše cracking
DCSyncattack	Malware se pretvara da je DC i traži replikaciju liste korisnika s hashevima

Credential dumping alati

Mimikatz — najpoznatiji; dumpa LSASS memoriju
SAM hive pristup iz registry-a

Pass the Hash (PtH)

Napadač koristi NT hash iz LSASS memorije za NTLM autentifikaciju bez plaintext lozinke. Zaobilazi potrebu za crackanjem.

Pass the Ticket (PtT)

Napadač koristi ukradeni Kerberos ticket za autentifikaciju na domenskim resursima.

Golden Ticket

Forgirani TGT koji daje neograničeni pristup svim domenskim resursima. Zahtijeva KRBTGT hash (= DC kompromitiran).

Silver Ticket

Forgirani service ticket za konkretnu uslugu. Zahtijeva service account hash — manje privilegiran od Golden Ticketa.

Kerberoasting

Traži service tickete, zatim offline brute-forcea lozinku. Ako ticket enkriptiran RC4 (ne AES) → lakše cracking.

ZA ISPIT

Golden Ticket zahtijeva KRBTGT hash = kompromitiran Domain Controller. Silver Ticket zahtijeva samo service account hash. Pass the Hash (PtH) napadač koristi NT hash (ne plaintext) za NTLM autentifikaciju — brani se Credential Guard-om (virtualizacijom izolira LSASS memoriju). DCSync napad = malware se pretvara da je Domain Controller i traži replikaciju svih hasheva lozinki.

Kriptografski napadi — Obj 2.4.5

Downgrade Attack

Prisiljava server/klijenta da koristi slabiji protokol ili cipher
Primjer: on-path napad na HTTPS forsira korištenje legacy SSLv3 umjesto TLS 1.3 → lakše se krivotvorí CA potpis
Kerberoasting kao downgrade: forsira server da vrati service ticket enkriptiran RC4 (slabiji) umjesto AES
Indikatori: server logovi, IDS koji prati neobičan cipher pregovor

Collision Attack

Kolizija nastaje kad slaba hash funkcija generira isti digest za dva različita plaintexta
Napadač:
1. Kreira maliciozni dokument i benigni dokument koji imaju isti hash
2. Šalje benigni dokument na potpisivanje
3. Uklanja potpis s benignog i dodaje ga malicioznom → krivotvorina s valjanim potpisom
Može se koristiti za krivotvorenje digitalnih certifikata ili Trojan malwarea koji izgleda kao trusted publisher

Birthday Attack

Eksploatira birthday paradoks: u grupi od 23 osoba, vjerojatnost da dvije dijele rođendan je 50%
Princip: računanje kolizija brute forceom — napadač generira varijacije malicioznih i benignih dokumenata
128-bitni hash napadljiv s 2⁶⁴ varijacija (puno manje od 2¹²⁸)
Zahtijeva snažne hash funkcije (SHA-256+) i robusne protokole

ZA ISPIT

Downgrade napad forsira slabiji protokol ili cipher (npr. SSLv3 umjesto TLS 1.3, RC4 umjesto AES). Collision napad: dva različita dokumenta → isti hash → krivotvoreni digitalni potpis. MD5 i SHA-1 su RANJIVI na koliziju — ne koristiti za digitalne potpise (koristiti SHA-256 ili jače). Birthday napad: 128-bit hash napadljiv s 2⁶⁴ (ne 2¹²⁸) pokušaja zbog birthday paradoksa — matematički, kolizije nastaju puno brže nego intuitivno.

Aplikacijski napadi i eskalacija — Obj 2.4.4

Aplikacijski napad cilja ranjivost u OS-u ili aplikacijskom softveru. Dva scenarija:

Kompromitiranje OS/third-party aplikacije → foothold na lokalnoj mreži
Kompromitiranje web aplikacije → kontrola web hosta ili prodor dublje u mrežu

Privilege Escalation

Arbitrary code execution — napadač pokreće vlastiti kod; ako s drugog stroja → Remote Code Execution (RCE)

Vrsta	Opis
Vertical privilege escalation	Pristup višim privilegijama: npr. local admin process eksploatiran za SYSTEM privilegije
Horizontal privilege escalation	Pristup funkcionalnosti drugog korisnika: npr. local admin na klijentskom računalu → domain account na app serveru

Indikatori: process audit log (privilege escalation attempts), EDR/EPP alertovi

Malware indicators

Aktivnost	Opis
Shellcode	Kompaktan payload koji eksploatira OS/app ranjivost; nakon footholda preuzima dodatne alate
Credential dumping	Pristup SAM fajlu, sniffanje LSASS memorije, DCSyncattack
Pivoting / lateral movement	PsExec ili PowerShell za pokretanje koda na udaljenim hostovima; mijenjanje firewall pravila, kreiranje računa
Persistence	AutoRun registry ključevi, scheduled tasks, WMI event subscriptions — osigurava restart backdoora

ZA ISPIT

Vertical privilege escalation = pomak na više privilegije (standard user → admin/SYSTEM). Horizontal privilege escalation = pristup resursima drugog korisnika iste razine (local admin klijent → domain account na app serveru). CSRF = iskorišava privilegije klijenta (confused deputy attack). SSRF = iskorišava privilegije servera (server pristupa internim resursima) — puno opasnije od CSRF-a.

Buffer overflow, CSRF i SSRF

Buffer Overflow

Buffer je memorijsko područje za privremeno čuvanje podataka
Napadač šalje više podataka nego buffer može primiti → prepisuje susjednu memoriju
Stack overflow — najčešća varijanta; prepisuje return adresu → napadač usmjerava izvršavanje na vlastiti kod
Mitigacije: ASLR (randomizacija adresnog prostora), DEP (Data Execution Prevention)
Indikatori: učestali crash procesa, anomalije

Session replay napad (web)

HTTP je stateless; cookies čuvaju session token koji identificira korisnika
Replay napad: napadač hvata ili pogađa session token i koristi ga za neovlašteni pristup
Metode krađe: on-path napad (HTTP), XSS, malware na hostu
Session prediction: napadač pogađa token ako je generiran predvidivim algoritmom
BeEF (Browser Exploitation Framework) — alat za harvesting session cookija iz browsera

CSRF (Cross-Site Request Forgery)

Napadač navede žrtvu da klikne maliciozni link dok je prijavljena na napadani servis
Zahtjev se šalje s cookie koji server smatra valjanim → server izvršava radnju (promjena lozinke, maila)
Poznat i kao confused deputy attack
Napadač (Mallory) → šalje link Alice → Alice klikne (logirana je) → server izvršava maliciozni zahtjev

SSRF (Server-Side Request Forgery)

Napadač navede front-end web server da izvrši zahtjeve prema internim backenendima
Iskorištava nedostatak autentifikacije između internih servera i slabu input validaciju
Razlika: CSRF = privilegije klijenta; SSRF = privilegije servera (puno opasnije)
Česta meta: cloud infrastructure gdje je web server javno sučelje višeslojne aplikacije

Injection napadi — Obj 2.4.4

Injection napadi ubacuju maliciozni kod ili naredbe u ulazne podatke koje aplikacija dalje obrađuje. Radi se o jednoj od najčešćih kategorija ranjivosti web i enterprise aplikacija.

XML Injection

Napadač ubacuje XML kod u korisnički unos koji aplikacija parsira kao XML
Može promijeniti strukturu XML dokumenta, proširiti privilegije ili promijeniti podatke
Primjer: form polje prima korisničko ime — napadač upiše </user><admin>true</admin>
Prevencija: input validation, XML schema validation, sanitizacija ulaza

XXE — XML External Entity Injection

Posebna vrsta XML injection koja iskorištava podršku za external entities u XML parseru
Napadač definira vlastiti external entity koji referira na lokalne fajlove ili interne servise
Primjer deklaracije: <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
Posljedice: čitanje lokalnih datoteka, SSRF unutar internih mreža, DoS putem beskonačnih referenci
Prevencija: onemogućiti external entity processing u XML parseru, validirati XML input

LDAP Injection

Aplikacija prima korisnički unos i ugrađuje ga direktno u LDAP query bez sanitizacije
Napadač može modificirati query da zaobiđe autentifikaciju ili enumerira direktorij
Primjer: login polje prima *)(uid=*) → LDAP query vraća sve korisnike
Česta meta: web aplikacije koje koriste LDAP/AD za autentifikaciju
Prevencija: parametrizirani LDAP upiti, escaping specijalnih znakova, input validation

Directory Traversal (Path Traversal)

Napadač koristi ../ sekvence u parametrima kako bi izašao izvan predviđenog direktorija i pristupio osjetljivim datotekama
Primjer: https://example.com/file?name=../../etc/passwd
URL encoding: ../ može biti kodiran kao %2e%2e%2f kako bi zaobišao filtriranje stringova
Indikatori: log zapisi s ../ u URL parametrima, pristup van web root direktorija
Prevencija: canonicalization provjera putanja, chroot jail, input validation

Command Injection

Napadač ubacuje OS naredbe u aplikacijski unos koji se prosljeđuje sistemskom shell-u
Primjer: ping aplikacija prima IP — napadač upiše 10.1.1.1; whoami → server izvršava obje naredbe
Shell metacharaci: ;, &&, ||, |, backtick omogućuju lančanje naredbi
Indikatori: neočekivani procesi, log anomalije, web server log s neobičnim parametrima
Prevencija: nikad ne prosljeđivati korisnički unos direktno shell-u, koristiti parametrizirane API pozive

URL analiza i percent encoding

Percent encoding: URL može sadržavati znakove kodirane kao %XX (hex vrijednost)
Napadači koriste encoding za zaobilaženje filtriranja: %2f = /, %2e = ., %20 = razmak
Dvostruko encoding: %252f (%) je %25 → dekodira se u %2f → potom u /
Analiza web server logova: neobično duboke putanje, visok broj %2e/%2f u URL-ovima
Sigurnosni alati (WAF, IDS) moraju dekodirati URL prije filtriranja kako bi detektirali attack

Kategorije injection napada i primarni mehanizmi prevencije

ZA ISPIT

SQL injection: zaštita = parametrizirani upiti (prepared statements), nikad string concatenation. Command injection: zaštita = nikad ne prosljeđivati korisnički unos direktno shellu. XXE: zaštita = onemogućiti DTD/external entities u XML parseru. Directory traversal: ../ ili URL-encoded %2e%2e%2f → izlaz iz web root direktorija. WAF mora dekodirati URL prije filtriranja, inače propušta encoded napade.

Flashcards

Što je fileless malware i zašto je opasan?

Radi samo u memoriji, ne upisuje datoteke na disk → klasični AV koji skenira datoteke ga ne otkriva. Koristi "living off the land" tehnike (PowerShell, WMI).

Razlika između virusa i crva?

Virus treba domaćina (zaraženu datoteku) i akciju korisnika da se širi. Crv se samostalno širi mrežom bez akcije korisnika.

Što je polymorphic virus?

Virus koji mijenja svoju signaturu/kod pri svakom kopiranju. Klasična signature-based detekcija ga ne može uhvatiti.

Što je firmware rootkit i zašto je posebno opasan?

Inficira BIOS/UEFI firmware. Preživljava reinstalaciju OS-a — jedini način uklanjanja je reflash firmwarea. Primjer: DarkMatter za Apple Mac.

Što je logic bomb i kako se razlikuje od time bomba?

Logic bomb se aktivira na određeni sistemski/korisnički event (npr. brisanje računa). Time bomb je posebna vrsta logic bomb koja se aktivira na određeni datum/vrijeme.

Trijada TTP — Tactic, Technique, Procedure?

Tactic = visokorizična kategorizacija (što: reconnaissance). Technique = kako se taktika provodi (network scanning). Procedure = specifičan alat/metoda (Nmap SYN scan).

Što je IoC i po čemu se razlikuje od IoA?

IoC (Indicator of Compromise) = rezidualni znak da je napad bio uspješan. IoA (Indicator of Attack) = znak da je napad u tijeku. MITRE ATT&CK dokumentira IoC i TTP.

Što je impossible travel kao indikator?

Prijavljivanje na account s geografske lokacije kojoj je fizički nemoguće stići u vremenu od zadnje prijave. Ukazuje na krađu kredencijala i daljinski pristup napadača.

Što je SYN flood napad i koji mehanizam iskorištava?

Iskorištava TCP 3-way handshake: klijent šalje SYN ali ne ACK. Server čuva pending konekciju dok se ne popuni state table i ne može više prihvaćati legitimne zahtjeve.

Razlika DRDoS vs. amplification napad?

DRDoS: napadač spoofuje žrtvinu IP → treće strane šalju SYN/ACK žrtvi. Amplification: iskorišava protokol koji vraća veći odgovor (DNS, NTP, CLDAP) → pojačana šteta.

Što je ARP poisoning i koji napad omogućuje?

Napadač šalje lažne ARP reply pakete koji tvrde da napadačeva MAC adresa odgovara routerovoj IP-i. Sve stanice ažuriraju ARP cache → on-path (AitM) napad nad svim prometom.

Što je evil twin access point?

Rogue AP koji oponaša legitimni (isti SSID); koristi typosquatting ili SSID stripping. Može harvestati autentifikacijske podatke i provoditi on-path napade nad bežičnim klijentima.

Što je KRACK napad?

Key Reinstallation Attack — replay mehanizam koji cilja WPA/WPA2 4-way handshake. Funkcionira bez obzira na tip autentifikacije. Mitigacija: patchiranje klijenata i AP-ova.

Razlika brute force vs. password spraying?

Brute force: testira sve kombinacije na jednom korisničkom računu → uzrokuje account lockout. Password spraying: horizontalni napad — jedna ili nekoliko čestih lozinki isprobava se na MNOŠTVU računa → izbjegava lockout.

Što je Pass the Hash (PtH) napad?

Napadač dohvati NT hash iz LSASS memorije žrtve i koristi ga za NTLM autentifikaciju na drugom hostu bez potrebe za plaintext lozinkom. Koristi lateral movement.

Što je Golden ticket napad?

Napadač forgirani TGT (Ticket Granting Ticket) koji daje neograničeni pristup svim domenskim resursima. Zahtijeva KRBTGT hash — kompromitiranje Domain Controllera.

Što je downgrade napad i kako ga Kerberoasting koristi?

Forsira server/klijenta na slabiji protokol/cipher. Kerberoasting varijanta forsira server da vrati service ticket enkriptiran RC4 (slabiji) umjesto AES → lakše offline cracking.

Što je collision napad i zašto je opasan za digitalne potpise?

Dva različita dokumenta produciraju isti hash. Napadač potpisuje benigni dokument → zamijeni ga malicioznim (isti hash, valjani potpis). Može krivotvoriti digitalne certifikate.

Što je birthday attack i na čemu se temelji?

Eksploatira birthday paradoks — kolizije se statistički događaju brže nego intuitivno. 128-bit hash napadljiv s 2^64 (ne 2^128) varijacija. Zahtijeva jake hash funkcije (SHA-256+).

Razlika CSRF vs. SSRF?

CSRF: napadač iskoristi žrtvine privilegije (klijentov cookie) za malicioznu radnju na serveru. SSRF: napadač natjera front-end server da izvrši zahtjev prema internom backendu s privilegijama servera.

Što je XXE injection i kako se razlikuje od XML injection?

XML injection mijenja XML strukturu. XXE (XML External Entity) iskorištava external entity deklaracije u XML-u: napadač definira entitet koji referencira lokalne datoteke ili interne URL-ove → čitanje /etc/passwd ili SSRF. Prevencija: onemogućiti DTD/external entities u parseru.

Što je LDAP injection i koji je klasičan primjer?

Ubacivanje LDAP operatora u korisnički unos koji se direktno gradi u LDAP query bez sanitizacije. Primjer: *)(uid=*) u login polju → query vraća sve korisnike → bypass autentifikacije. Prevencija: parametrizirani upiti, escaping specijalnih LDAP znakova.

Što je directory traversal i koji string indicira napad?

Koristi ../ sekvence za izlazak iz predviđenog direktorija i pristup osjetljivim datotekama. URL encoding: %2e%2e%2f = ../ — koristi se za zaobilaženje filtera. Indikator u logovima: ../ ili %2e%2e u URL parametrima.

Što je command injection i koji metacharaci ga omogućuju?

Ubacivanje OS naredbi u unos koji aplikacija prosljeđuje shell-u. Metacharaci: ; (sekvencijalno), && (AND), || (OR), | (pipe). Primjer: 10.1.1.1; whoami → izvršava se ping I whoami. Prevencija: nikad ne pozivati shell s korisničkim unosom direktno.

Što je credential dumping i koje su 3 glavne tehnike?

Ekstrakcija hasheva/tokena iz kompromitiranog sustava: 1) SAM file dump (SYSTEM privilege potreban), 2) LSASS memory dump (Mimikatz čita plaintext credentialse i hasheve iz LSASS procesa), 3) DCSync napad (malware imitira domain controller, traži replikaciju svih hasheva od pravog DC-a).

Koja je razlika pivoting vs. lateral movement?

Pivoting: korištenje kompromitiranog hosta kao relay/proxy za napade na ostale sustave koje napadač inače ne može dosegnuti. Lateral movement: opći pojam za kretanje unutar mreže nakon footholda — obuhvaća pivoting, PsExec, WMI exec, PtH. Cilj: proširenje pristupa prema visoko vrijednim metama.

Nabroji 5 faza mrežnog napad životnog ciklusa.

1) Reconnaissance — prikupljanje informacija, 2) Initial compromise — foothold putem phishinga/exploita, 3) Persistence — AutoRun/scheduled tasks, 4) Lateral movement — kretanje mrežom, 5) Exfiltration / Impact — krađa podataka ili destrukcija.

Što je scareware i kako se razlikuje od ransomwarea?

Scareware prikazuje lažna upozorenja (npr. "Vaše računalo je zaraženo!") i navodi žrtvu na kupnju lažnog antivirus softvera. Ransomware zaista kriptira datoteke i traži otkupninu za ključ. Scareware ne nanosi direktnu tehničku štetu — bazira se na socijalnom inženjeringu i strahu.

Što je percent encoding i zašto je bitan za sigurnost?

URL encoding kodira znakove kao %XX (hex): %2f=/, %2e=., %20=razmak. Napadači kodiraju attack stringove da zaobiđu WAF/IDS koji filtriraju literalne znakove. Dvostruki encoding: %252f → %25 → %2f → /. Sigurnosni sustavi moraju URL-decode input PRIJE filtriranja.

Što je persistence mehanizam i navedi 3 primjera.

Tehnika kojom malware osigurava da se ponovo pokrene nakon restarta sustava: 1) AutoRun registry ključevi (HKCU/HKLM Run), 2) Scheduled Tasks (Task Scheduler), 3) WMI Event Subscriptions (pokretanje pri sistemskim eventima). Napredniji: bootkit inficira MBR/UEFI pa preživljava reinstalaciju OS-a.