16 januari 2019

Test av nytt verktyg för att kringgå tvåfaktorsautentisering (2FA)

Ett nytt verktyg open-source vid namn Modlishka har utvecklats av Piotr Duszyński. Verktyget underlättar phishing-attacker och gör det möjligt att kringgå tvåfaktorsautentisering. Modlishka betyder bönsyrsa på Polska.

Skillnaden mellan Modlishka och andra phishing-verktyg såsom Evilginx är att Modlishka inte behöver arbeta utifrån en mall. Verktyget lägger sig som man-in-the-middle (MITM) och skriver om sökvägar till script, bilder etc.

Dock behöver du konfigurera vissa saker såsom vilken fejkdomän du vill använda och ett eventuellt TLS-certifikat så att ett hänglås visas upp i webbläsaren. Även måste du i DNS peka så att fejkdomänen du vill använda pekar till den servern där du installerat Modlishka.

Phishing-verktyget är skrivet i programspråket Go och går således att köra på plattformar såsom Windows, Linux och macOS.

Jag genomförde ett antal olika tester mot bl.a. Tutanota och Google där jag försökte sätta mig i mitten och läsa av inloggningar samt cookies som används för sessionsinformation.

När jag använde Modlishka med de inbyggda inställningarna som följde med till Google så fungerade inte inloggningen med http och ett felmeddelande visades för användaren vid inloggning:

Lösenordet loggades dock vid inloggningen men inget användarnamn. Sedan testade jag med https och då fungerade inloggningen även med 2FA påslaget:

Skärmdump då verktyget är startat med Google/GSuite konfiguration under Kali Linux:

När jag testade att slå på 2FA på mail-tjänsten Tutanota och använda TOTP så fungerade det inte heller och jag fick ett felmeddelande:

Kontentan av mina tester med Modlishka är således att det troligtvis behövs mer handpåläggning. En annan sak jag tycker är rätt meckigt är hur TLS-certifikaten ska läggas till där hela certifikatet måste vara en hel sträng utan radbrytningar.

Om man lyckas få allt att fungera så finns det en kontrollpanel med några enstaka funktioner. Bl.a. så kan du använda impersonate-knappen för att då automatiskt bli inloggad som en användare:

04 januari 2019

NSA släpper Reverse-Engineering verktyg

Amerikanska säkerhetsmyndigheten NSA avser att släppa verktyget GHIDRA som open-source under den årliga RSA-konferensen som går av stapeln i San Francisco under Mars månad.

Stöd mitt bloggande via Patreon 👊

GHIDRA är ett ramverk för att utföra Reverse-Engineering eller baklänges ingenjörskonst som det ibland kallas. Analysera binär kod exempelvis i syfte att undersöka skadlig kod eller ta sig in i system.

The GHIDRA platform includes all the features expected in high-end commercial tools, with new and expanded functionality NSA uniquely developed, and will be released for free public use at RSA.
Robert Joyce, NSA

Charlie Miller som tidigare jobbat på NSA kommenterade på Twitter att verktyget fanns för 13 år sedan då han jobbade på myndigheten:

Damn GHIDRA still exists at NSA? That tool was already there when I left 13 years ago! https://t.co/6z2eLRW6pZ
— Charlie Miller (@0xcharlie) January 3, 2019

Verktyget är skrivet i programspråket Java och påminner mycket om IDA Pro som är ett verktyg som jag spenderat en hel del tid med.

Information om GHIDRA har tidigare läckt via CIA Vault7-läckorna som återfinnes på Wikileaks.

04 januari 2019

Chrome OS får förstärkt USB-skydd med USBGuard

Google har lagt till en ny säkerhetshöjande funktion till dess operativsystem Chrome OS. Denna nya säkerhetshöjande funktion går under namnet USBGuard och ser till att USB-enheter inte kan anslutas när datorn är i låst läge.

❤️ Stöd mitt bloggande via Patreon

Inställningen finns i senaste Canary channel update och beskrivs enligt följande:

chrome://flags/#enable-usbguard
Prevents newly connected USB devices from operating at the lock screen until Chrome OS is unlocked to protect against malicious USB devices. Already connected USB devices will continue to function. – Chrome OS

Enheter som anslutits innan skärmlåset aktiverats fortsätter att fungera enligt beskrivningen ovan. Att USBGuard införs är bl.a. för att förhindra attacker såsom Rubber Ducky och Responder.

Se commit här.

03 januari 2019

CRATE – En övningsmiljö för cyberattacker

Totalförsvarets forskningsinstitut (FOI) har sedan 10 år tillbaka förvaltat och utvecklat en övningsmiljö för cyberattacker (cyber range) vid namn CRATE. Miljön används för att bygga upp olika scenarion med hjälp av cirka 800 virtuella servrar och ett simulerat internet.

Stöd mitt bloggande via Patreon!

Huvudkunder för denna miljö är Myndigheten för samhällsskydd och beredskap (MSB) samt Försvarsmakten som båda har bidragit till uppbyggnaden av Crate. Övning i miljön kan också ske utanför anläggningen genom en extern anslutning till spelnätet via VPN. Dessutom går det att koppla in skrivare, telefoner, styrsystem och olika övervakningsstationer (ICS/SCADA etc) samt det mesta som VirtualBox kan hantera.

Crate är en viktig komponent för att öka Sveriges förmåga att hantera cyberangrepp. Vi ser anläggningen som en arena för samverkan mellan såväl det privata och offentliga som på ett nationellt och internationellt plan. Crate är unikt och hjälper verkligen företag och myndigheter att öka sin cybersäkerhet.
Konstaterar Åke Holmgren som är MSB:s chef för cybersäkerhet och skydd av samhällsviktig verksamhet

Dock verkar det inte helt lätt att komma igång med CRATE eftersom jag saknar en ”sign up” knapp, manuell kontakt som verkar gälla. Därför tror jag att många privata aktörer istället väljer lösningar från leverantörer såsom Hackthebox.eu eller bygger eget med Amazon EC2, vilket jag själv gör när jag vill sätta upp labbar eller övningar. Har du tips på andra leverantörer av cyber-rangers, lämna gärna en kommentar nedan.

Och förutom vid träning och övning används CRATE även för forskningsprojekt samt för test och försök.

Film från CRATE med en bro avsedd för leksakståg:

CRATE står för Cyber Range And Training Environment.

Become a Patron!

22 december 2018

Projekt Särimner

Uppdatering: Källkod till projektet finns delvis på Github https://github.com/SUNET/sarimner-frontend

Särimner är ett pilotprojekt som bedrivs av Sunet (Vetenskapsrådet) tillsammans med Netnod. Projektet har tittat på hur en teknisk lösning kan skydda mot olika typer av hot såsom överbelastningsattacker.

Projektets namn, ”Särimner”, kommer från nordiska mytologin och grisen Särimner som utgjorde föda för de fallna krigarna i Valhall. Särimner åts upp varje kväll och återuppstod dagen efter.

Projektet har genomförts på uppdrag av Post- och telestyrelsen (PTS) och en slutrapport har igår levererats till myndigheten med lärdomar från projektet.

Jag har läst rapporten som är på 27 sidor och tycker att det verkar som en bra lösning som föreslås: Ett antal noder (särimnernoder) placeras ut i nära samarbete med internetoperatörer för att leverera distribuerat webbaserat innehåll. Även så föreslås det att en förvaltningsorganisation upprättas i samband med detta.

Problemet som belyses i rapporten är inte noderna i sig utan att operatörerna har en allt för centraliserad infrastruktur där mycket förlitar sig på Stockholm. Rapporten lyfter upp Sunet som ett föredöme när det gäller att bygga ett robust nät:

Genom att delvis definiera om vad en region är utifrån ett infrastrukturperspektiv lyckades man få trippelredundant fiberinfrastruktur till en plats i varje region, dvs knappt 20-talet platser i Sverige

Tanken är även att lokalt utplacerade säriminernoder ska fungera autonomt, så att det alltid finns en nod som svarar, även vid stora mängder anrop. Noderna agerar även proxy till DNS och gör därmed att noden fortsätter att leverera trafik trots att den tappat kontakten med den riktiga servern. I en kris där originalkällan inte finns så ska det finnas en cachad version av senaste informationen (med en tidsangivelse).

Dock kan inte noderna uppdatera mellan varandra i dagsläget utan detta är något som ligger med i en plan för 2019 (peer-to-peer).

Vi fann att koordinering av fiberutbyggnad har varit så usel (om den alls funnits) att det drabbar robusthet gällande kommunikation i Sverige.
Säger Patrik Fältström som varit med i projektet från Netnods sida

Projektet föreslår att Sunet tilldelas medel för att upprätta en förvaltningsorganisation som vidareutvecklar och tar hand om Särimner framöver.

Medverkande i projektet förutom Sunet och Netnod så har Governo AB hjälpt till med processledning samt Assured AB för kryptografiska lösningar. Intervjuer har genomförts med representanter från MSB, SVT, SLL, LUNET, IT-Norrbotten, IIS och Tidningsutgivarna, TU.

Rapporten i sin helhet kan du ladda hem här:

Att motverka överbelastning av
samhällsviktiga webbplatser

21 december 2018

Populära inlägg 2018

Det är dags att sammanställa årets mest populära inlägg. Det jag kan utläsa från listan över populära inlägg är att sådant som handlar om nyheter där många är drabbade är generellt mer populärt här på bloggen. Även VPN och de intervjuer jag genomfört med personal på Säpo samt MUST har varit populära.

Topplistan 2018

20 december 2018

Ny spännande startup: Debricked

Jag tog ett snack med Daniel Wisenhoff som är en av grundarna till en ny svensk säkerhetsstartup vid namn Debricked. Startupen är en spinoff från Lunds Universitet och ett projekt som forskat inom software component analysis (SCA).

Forskningen som ligger till grund för Debricked har även erhållit forskningsbidrag från Vinnova samt medverkar i ett nytt projekt vid namn HATCH som du kan läsa mer om här.

Berätta om hur idén till produkten föddes?

Under forskningsprojektet SECONDS som bedrevs på LTH från ~2015-2018 där vi tittade på hur man kan på ett effektivt jobba med säkerhet inom produktutveckling.
Detta med fokus på IoT (SECONDS, Secure Connected Devices).

Vad ser ni för behov på marknaden för Er tjänst/produkt?

Open Source Vulnerability Management, som är vårt första produkt bygger på det faktum att de allra flesta bolag idag använder någon form utav öppen källkod. Vi har då tagit fram ett verktyg som automatiserar och effektiviserar processen med att hålla koll på sin open source och vilka sårbarheter som finns i denna. Det som skiljer oss här är väl det att vi försöker automatisera så mycket som möjligt kring inhämtning av data och använder bland annat AI såsom Natural Language Processing (språkigenkänning) för att hitta bra information.

”Det som skiljer oss här är väl det att vi försöker automatisera så mycket som möjligt kring inhämtning avdata och använder bland annat AI och igenkänning med mera för att hitta bra information.”

Vilka är du/ni som står bakom produkten?

Daniel Wisenhoff, jag. Medgrundare av Debricked och tidigare grundare av forumet techsweden samt deltidsjobb på Axis samt Adsensus under tiden som jag studerade på LTH.

Oscar Reimer CTO, en gammal vän till mig och vi har drivit företag tillsammans. Bl.a Techsweden.org som på sin tid var en av Sveriges största entusiast communitys för PC-hårdvara. Därefter har han frilansat en hel del inom utveckling och e-handel.

Martin Hell, disputerad på LTH inom informationssäkerhet. Var projektledare tidigare på SECONDS projektet och även nu co-founder och senior advisor till Debricked. Det är i huvudsak Martin som står för den tekniska höjden i produkten och säkerhetskompetensen.

Vilka ser ni som era primära kunder?

Just nu håller vi på att testa marknaden och se var vi bäst får napp.

Hur ser prismodellen ut?

På samma vis som ovan, så håller vi på att testa olika modeller. Men vi tänker oss att vi är ett SaaS bolag med tillhörande modeller för betalning.

Skärmdump från produkten Open Source Vulnerability Management:

03 december 2018

Hashcat version 5.1.0 är nu släppt

STÖK-Fredrik tipsade om att en ny intressant version av Hashcat precis har släppts. Förutom de sedvanliga buggfixarna så finns det nu ett stöd för omskrivning för olika tangentbord när det gäller knäckning av VeraCrypt/TrueCrypt diskar.

För att förklara ytterligare: Oavsett vilken tangentbordslayout du har när du väljer ditt lösenord för kryptering av VC/TC-diskar så kommer tangentbordslayouten att vara US. Detta gör att sökrymden blir mindre eftersom flertalet specialtecken förenklas. Ta exempelvis följande exempel:

بين التخصصات blir fdk hgjowwhj[g

Så för varje tangentbordslayout så måste det finnas en mapping-fil. Det finns enbart för tyska i dagsläget men utvecklarna av hashcat vill gärna få in pull-requests via Github.

Changeloggen i sin helhet hittar du här:

OpenCL Devices: Add support for up to 64 OpenCL devices per system
OpenCL Platforms: Add support for up to 64 OpenCL platforms per system
OpenCL Runtime: Use our own yielding technique for synchronizing rather than vendor specific
Startup: Show OpenCL runtime initialization message (per device)
xxHash: Added support for using the version provided by the OS/distribution

Fixed Bugs:

Fixed automated calculation of brain-session when not using all hashes in the hashlist
Fixed calculation of brain-attack if a given wordlist has zero size
Fixed checking the length of the last token in a hash if it was given the attribute TOKEN_ATTR_FIXED_LENGTH
Fixed endianness and invalid separator character in outfile format for hash-mode 16801 (WPA-PMKID-PMK)
Fixed ignoring –brain-client-features configuration when brain server has attack-position information from a previous run
Fixed invalid hardware monitor detection in benchmark mode
Fixed invalid warnings about throttling when –hwmon-disable was used
Fixed missing call to WSACleanup() to cleanly shutdown windows sockets system
Fixed missing call to WSAStartup() and client indexing in order to start the brain server on Windows
Fixed out-of-boundary read in DPAPI masterkey file v2 OpenCL kernel
Fixed out-of-bounds write in short-term memory of the brain server
Fixed output of –speed-only and –progress-only when fast hashes are used in combination with –slow-candidates
Fixed selection of OpenCL devices (-d) if there’s more than 32 OpenCL devices installed
Fixed status output of progress value when -S and -l are used in combination
Fixed thread count maximum for pure kernels in straight attack mode

Technical:

Brain: Set –brain-client-features default from 3 to 2
Dependencies: Added xxHash and OpenCL-Headers to deps/ in order to allow building hashcat from GitHub source release package
Dependencies: Removed gitmodules xxHash and OpenCL-Headers
Keymaps: Added hashcat keyboard mapping us.hckmap (can be used as template)
Keymaps: Added hashcat keyboard mapping de.hckmap
Hardware Monitor: Renamed –gpu-temp-abort to –hwmon-temp-abort
Hardware Monitor: Renamed –gpu-temp-disable to –hwmon-disable
Memory: Limit maximum host memory allocation depending on bitness
Memory: Reduced default maximum bitmap size from 24 to 18 and give a notice to use –bitmap-max to restore
Parameter: Rename –nvidia-spin-damp to –spin-damp (now accessible for all devices)
Pidfile: Treat a corrupted pidfile like a not existing pidfile
OpenCL Device: Do a real query on OpenCL local memory type instead of just assuming it
OpenCL Runtime: Disable auto-vectorization for Intel OpenCL runtime to workaround hanging JiT since version 18.1.0.013
Tests: Added hash-mode 11700 (Streebog-256)
Tests: Added hash-mode 11750 (HMAC-Streebog-256 (key = $pass), big-endian)
Tests: Added hash-mode 11760 (HMAC-Streebog-256 (key = $salt), big-endian)
Tests: Added hash-mode 11800 (Streebog-512)
Tests: Added hash-mode 11850 (HMAC-Streebog-512 (key = $pass), big-endian)
Tests: Added hash-mode 11860 (HMAC-Streebog-512 (key = $salt), big-endian)
Tests: Added hash-mode 13711 (VeraCrypt PBKDF2-HMAC-RIPEMD160 + XTS 512 bit)
Tests: Added hash-mode 13712 (VeraCrypt PBKDF2-HMAC-RIPEMD160 + XTS 1024 bit)
Tests: Added hash-mode 13713 (VeraCrypt PBKDF2-HMAC-RIPEMD160 + XTS 1536 bit)
Tests: Added hash-mode 13721 (VeraCrypt PBKDF2-HMAC-SHA512 + XTS 512 bit)
Tests: Added hash-mode 13722 (VeraCrypt PBKDF2-HMAC-SHA512 + XTS 1024 bit)
Tests: Added hash-mode 13723 (VeraCrypt PBKDF2-HMAC-SHA512 + XTS 1536 bit)
Tests: Added hash-mode 13731 (VeraCrypt PBKDF2-HMAC-Whirlpool + XTS 512 bit)
Tests: Added hash-mode 13732 (VeraCrypt PBKDF2-HMAC-Whirlpool + XTS 1024 bit)
Tests: Added hash-mode 13733 (VeraCrypt PBKDF2-HMAC-Whirlpool + XTS 1536 bit)
Tests: Added hash-mode 13751 (VeraCrypt PBKDF2-HMAC-SHA256 + XTS 512 bit)
Tests: Added hash-mode 13752 (VeraCrypt PBKDF2-HMAC-SHA256 + XTS 1024 bit)
Tests: Added hash-mode 13753 (VeraCrypt PBKDF2-HMAC-SHA256 + XTS 1536 bit)
Tests: Added hash-mode 13771 (VeraCrypt PBKDF2-HMAC-Streebog-512 + XTS 512 bit)
Tests: Added hash-mode 13772 (VeraCrypt PBKDF2-HMAC-Streebog-512 + XTS 1024 bit)
Tests: Added hash-mode 13773 (VeraCrypt PBKDF2-HMAC-Streebog-512 + XTS 1536 bit)
Tests: Added VeraCrypt containers for Kuznyechik cipher and cascades
Tests: Added VeraCrypt containers for Camellia cipher and cascades

08 november 2018

Polisen har knäckt krypterade end-to-end mjukvaran IronChat

Uppdatering: Snowden har via Twitter förnekat att han på något sätt använt eller uppmuntrat användning av Ironchat.

Polisen i Nederländerna har knäckt krypto-mjukvaran IronChat som bl.a. rekommenderas av Edward Snowden.

Det gäller 258,000 stycken chatt-meddelanden som skickats mellan kriminella aktörer som polisen har kommit över. Ironchat fungerar enbart tillsammans med BlackBox Iron Phone som utvecklas av företaget BlackBox Security.

Går man in på blackbox-security.com just nu så möts man av följande meddelande:

Och huruvida Snowden själv använder BlackBOX är dock oklart, enda källan som återfinnes är följande från leverantören själv där följande citat framgår:

“I use PGP to say hi and hello, i use IronChat (OTR) to have a serious conversation,”

Hur polisen gjorde för att knäcka Ironchat är oklart men en teori skulle vara att om de tagit över servrarna så kan de automatiskt uppdatera mjukvaran på telefonerna och således lägga in en bakdörr. Eller påverka hur nycklar skapas för den krypterade kommunikationen. Troligtvis var det underliggande protokollet XMPP med OTR (Off-the-Record Messaging). En teori som cirkulerar på Twitter är att kontrollen av nyckelförändringar hos den andra parten inte kontrollerades.

Det är inte första gången som polisen i Nederländerna knäcker krypterad kommunikation, förra gången var det krypterad kommunikation via företaget Ennetcom som avlyssnades.

07 november 2018

Ny zeroday-sårbarhet i VirtualBox

Säkerhetsforskaren Sergey Zelenyuk från Ryssland har släppt information gällande en ny sårbarhet i Oracle VirtualBox. Sårbarheten gör att en angripare kan bryta sig ut från den virtualiserade datorn, dock kräver sårbarheten att antagonisten har root eller liknande behörighet i den virtualiserade datorn.

Stöd mitt bloggande via Patreon

Sårbarheten återfinnes i koden som virtualiserar nätverkskortet Intel PRO/1000 MT Desktop (82540EM) och används som standard i VirtualBox när du skapar en ny virtuell dator.

Just sårbarheter i virtualiseringsmjukvara är extra intressanta eftersom virtualisering många gånger används som en säkerhetshöjande funktion, exempelvis QubesOS som jag skrivit om många gånger förr.

Sergey har även tagit fram en demo-video och hans exploit kringgår ASLR samt DEP:

Tråkigt dock att han inte ger Oracle tid att åtgärda sårbarheten i VirtualBox och utsätter mängder av system för fara, så kallad responsible disclosure. Sårbarheten fungerar på senaste versionen av VirtualBox som är 5.2.20.

Se motivering bakom beslutet att släppa information om sårbarheten och tekniska detaljer på Sergeys Github.