Pillole di #penetrationtest

Molti sono stati gli attacchi sviluppati contro il protocollo SSL e il suo successore TLS; ricordiamo LOGJAM,FREAK,BEAST,SWEET32,POODLE,Heartbleed e altri ancora.

Tutti sono stati a vario titolo orientati contro il sistema crittografico.
In ogni caso, il problema non è come questo sia stato possibile, ma come questo sia evitabile.

Molti di questi attacchi sono possibili, ovvero possono essere evitati, semplicemente attraverso la configurazione del servizio che utilizzi SSL/TLS.

Per difendere un servizio è sufficiente utilizzare solo protocollo e crittografia non (ancora) violate.

Verificare questa configurazione è un nostro compito come pentester.

Possiamo agilmente verificare la configurazione di un servizio utilizzande SSL/TLS mediante uno script di nmap per la verifica della cipher suite (l'insieme degli algoritmi crittografici disponibili e selezionabili durante la contrattazione client/server).

Lo script è "ssl-enum-ciphers" ed è attivabile semplicemente e puntualmente (sul servizio e host specifico) mediante:

nmap -v -p 443 --script ssl-enum-ciphers mio.dominio.net

Pillole di #penetrationtest

theHarvester è il più noto strumento automatico open source per realizzare semplicemente, ma efficacemente, la fase di information gathering, ed in particolare la Open Source Intelligence (OSINT) Gathering.

Questo strumento aiuta nella ricerca da fonti aperte di email, nomi di persone, sottodomini, indirizzi IP e URL, che caratterizzano la esposizione della azienda oggetto di penetration test su Internet (la sua "superficie di attacco non tecnica").

theHarvester arriva installato in Kali abile ad eseguire ricerche su motori di ricerca esclusivamente "aperti" (vedi google, duckduckgo, ecc).

Ma theHarvester supporta oltre 30 motori di ricerca, alcuni dei quali prevedono una chiave di accesso alla loro API, chiave di accesso che si ottiene solo previa registrazione.

Molti di questi motori "con chiave" possono essere in realtà ricchi di informazioni utili; sono: www.bing.com, www.github.com, www.hunter.io, www.intelx.io, https://pentest-tools.com, www.securitytrails.com, www.shodanhq.com, https://spyse.com.

La distro Kali (bontà sua) pre-registra una sola chiave per intelx, ma gli altri rimangono assolutamente non utilizzati fino a che non si provveda a registrare un proprio account su tali motori, acquisendone una chiave da porre nel file /etc/theHarvester/api-keys.yaml, semplicemente compiandola dopo la parola chiave "key:" corrispondente al motore di ricerca.

Pillole di #penetrationtest

Molti che utilizzano nmap, quando pensano all'host discovery, pensando ad un traffico ICMP.

Attenendosi al manuale, altri sanno inoltre che ICMP viene integrato con TCP SYN alla porta 443 e TCP ACK alla porta 80 per sopperire all'eventuale negazione del traffico ICMP da parte di sistemi di difesa.

Tutto giusto, tranne il fatto che questo comportamento di "default" di nmap (ossia senza opzioni specificate) non è quello che nmap compie realmente in una rete locale: sebbene posto nel mezzo di un più ampio discorso, il manuale indica invero qualcosa di più, ma che spesso sfugge l'attenzione del lettore.

All'interno di una rete locale, per scelta di efficienza, nmap applica di "default" l'ARP/Neighbor Discovery, ossia usa il solo protocollo ARP (richiede chi possiede il dato IP, e la risposta ARP gli è più che sufficiente): questo indipendentemente da quale opzione -P* si espliciti per scegliere una tipologia di traffico ICMP.

Unico modo per generare un "ping sweep" (ICMP) in rete locale con nmap è applicare l'opzione --disable-arp-ping (inversa della -PR che è dunque il vero default in una rete locale).

• Può memorizzare metadati arbitrari.
• L'immagine può essere compressa con un livello di compressione elevato.
• L'immagine risultante può essere crittografata.
• L'immagine risultante può essere tagliata in pezzi più piccoli per adattarli su media o filesystem che non possono contenere file di grandi dimensioni.

Pillole di #analisiforense
Le 6 fasi di Analisi Forense.
Identificazione(Identification) e Conservazione(Preservation) : è necessaria per rilevare e scovare cosa è effettivamente qual’è il target utile ai fini dell’indagine e, fermare o impedire qualsiasi attività che possa danneggiare la raccolta di informazioni digitali.
Acquisizione(Collection): le informazioni vengono duplicate in maniera fedele all’originale. Gli obiettivi di questa fase sono: acquisire il maggior numero di dati, rendere l’attività di acquisizione ripetibile e limitare i tempi di inattività di server “importanti”.
Analisi(Analisys): Si evidenziano i dati con contenuto informativo importante per l’indagine. Il processo di analisi viene documentato. I dati vengono visualizzati, si individuano le parole chiave, vengono decompressi gli archivi. I dati vengono poi acquisiti e decifrati per essere inseriti in una timeline.
Valutazione(Validation): In questo passaggio i dati evidenziati in fase di analisi vengono interpretati per sostenere le proprie tesi (sia a favore che a sfavore).
Adattamento(Interpretation): Il registro viene adattato in base all’interlocutore per essere di facile comprensione al ricevente finale, sia quest’ultimo tecnico o giurista.
Presentazione(Documentation and Reporting): L’analisi è conclusa. Viene documentato cosa è stato fatto, come è stato fatto, cosa è emerso e che significato hanno i dati rinvenuti.

Pillole di Malware Analysis

I protection Ring

I #malware possono essere classificati dividendoli per tipologia (#Trojan, #Ransomware, #AdWare etc...), per comportamento (rubare informazioni, negare un servizio, prosciugare le risorse di un host etc...) e per privilegi.

In questa piccola pillola vi voglio parlare di questo tipo di classificazione.

La CPU intel è stata progettata per lavorare su 4 differenti #Ring, da Ring 0 (privilegi più alti) a Ring 3 (privilegi più bassi). Il codice che lavora al ring più basso necessita di privilegi maggiori.

#Windows lavora solo su due ring: 0 e 3!

A Ring 3 lavora qualsiasi programma in User Mode, mentre un programma in Kernel Mode lavora a Ring 0. Capite al volo che un #RootKit lavora a Ring 0 e generalmente per poter operare su questo ring esegue tecniche di privilege escalation.

Vi sono però altri ring poco conosciuti: Ring -1, Ring -2 e Ring -3.

Il Ring -1 lavora su sistemi virtualizzati a livello dell'#Hypervisor. Naturalmente un malware operante a questo livello si trova sotto il SO host e quindi ha privilegi maggiori del Ring 0.

In Ring -2 lavora il software di sistema al boot del device quando ancora non è stato attivato il protected mode dalla CPU e gli indirizzamenti di memoria sono reali e non virtuali

E il Ring -3?

Per semplicità diciamo che a questo Ring lavora il firmware! (altrimenti dovrei spiegarvi l'Intel Management Engine, ma se vi interessa lo farò in un'altra pillola ;-))

Tipici malware che lavorano a Ring -3 sono quelli che infettano i dispositivi #IoT!

PIllole di #MalwareAnalysis

I tipi di #Botnet

Le #botnet sono gruppi di device infetti (#zombie) controllati da un centro di comando e controllo (#C2)

Il numero di device tipicamente può superare il milione di unità e vengono comandati all'unisono dal C2 che è il punto debole.

Spento il C2, la botnet muore. Non vale la stessa cosa se viene eliminato un device dalla botnet.

Quindi il Re in questo scacchiere è proprio il C2 e deve essere superprotetto!

Per fare ciò le botnet si sono evolute da Botnet Centralizzate, dove il C2 risiede in un'unica infrastruttura, a quelle decentralizzate.

Nelle decentralizate, il c2 è composto da differenti zombie, quindi il #botMaster è in grado di controllare la botnet anche quando uno degli elementi del c2 viene spento.

Spesso queste utilizzano reti p2p già esistenti.

Le botnet sono una risorsa preziosa e vengono spessissimo affittate ad altri gruppi criminali per diffondere i propri #malware o per eseguire attacchi #DDoS a bersagli inconsapevoli.

Un esempio è il malware #Ryuk diffuso grazie alla botnet Trickbot.

Tra le botnet più pericolose degli ultimi anni troviamo #Emotet, #Trickbot e #Formbook.

Il protocollo di comunicazione utilizzato può essere sia di tipo pull che push, ma di questo vene parlo in un'altra pillola ;-)

Pillole di #MalwareAnalysis

Uno degli #IoC facilmente identificabili di un #Malware è la sua firma #Hash.

Questa firma può essere generata con differenti algoritmi, e tra questi i più utilizzati abbiamo # MD5, # SHA1 e # SHA256. La caratteristica di queste firme è che se viene modificato anche un singolo bit del file sorgente gli Hash risultanti sono completamente differenti.

Se abbiamo due malware praticamente identici ma che all’interno contengono modifiche non sostanziali come ad esempio il dominio che viene contattato o che addirittura sono stati semplicemente compilati da due differenti compilatori avranno due hash completamente differenti.

Per superare questo problema ci viene in aiuto il #FuzzyHashing. Grazie al tool #SSdeep vengono creati hash incrementali dei differenti file e confrontati tra di loro per fornire poi la percentuale di similarità.

#Cybersecurity #ZeroDay #Hacker #APT