Du vet väl att jag även har en YouTube-kanal? Den uppdateras relativt sporadiskt men jag ska försöka att uppdatera den mer frekvent.
Följ mig här: https://www.youtube.com/kryptera
Senaste videon där jag berättar lite om boken Red Team – Development and operations:
Felix Wilhelm från Google Project Zero har identifierat tre sårbarheter i webbservern Apache. Apache är den nästa populära webbservern på internet efter Nginx.
Säkerhetsbuggarna är enligt följande:
Den allvarligaste av dessa tre och har allvarlighetsgrad important kan mitigeras genom att sätta H2Push off i konfigg-filen för Apache. Rekommenderat är även att uppgradera till version 2.4.44 av Apache som åtgärdar dessa brister.
För mer information gällande CVE-2020-9490 kan du även se följande länk: https://bugs.chromium.org/p/project-zero/issues/detail?id=2030
Tweet från @_fel1x:
Följande lista är de mest sökta orden för att hamna på Kryptera.se:
Inga kanske direkta överraskningar på denna lista men många verkar vara intresserade av att använda sig av gratis VPN-tjänster. Detta är troligtvis för att jag skrev ett inlägg för många år sedan (2013) om Tor Browser som gratis VPN.
Denna blogg är nu över 12 år gammal och första inlägget hittar du här som skrevs 2008-05-20.
👉 Stöd mitt bloggande via Patreon
FritzFrog är en ny typ av malware som är skrivet i programspråket Go och riktar sig mot servrar som exponerar SSH.
Den skadliga koden är modulärt uppbyggd och skriver inga filer till disk efter infektion. Det som kanske är mest intressant är att kommunikationen använder sig av ett helt egenutvecklat peer-to-peer protokoll.
Karta över infektioner från företaget Guardicore:
Vid infektion så startas en process vid namn ifconfig och nginx upp. Som lyssnar på TCP port 1234. Den skadliga koden är packad med UPX och efter att processerna startats upp så raderas filer på disk. För att undvika detektion på nätverket så tunnlas kommunikation över port 1234 via SSH. Denna kanal används även för P2P-protokollet som gör nyckelutbyte med hjälp av Diffie Hellman samt kryptering med AES.
Kommandon som kickas via P2P-protokollet:
Även så lägger den skadliga koden en publik nyckel till .ssh/authorized_keys för att ge möjlighet att ta sig in i systemet vid senare tillfälle.
På Github så finns det IOC:er samt kod för att detektera FritzFrog. En av syftet med den skadliga koden är att utvinna kryptovalutan Monero med hjälp av mjukvaran XMRig miner som ansluter mot web.xmrpool.eu över port 5555.
Antalet attacker från nätverket har ökat stadigt sedan början på året:
Intresserad av botnets? Kolla in Guardicores Botnet Encyclopedia.
Cyberangripare attackerar nu personal som nu jobbar hemma i allt större utstäckning. Med ett nytt modus operandi så ringer angriparen upp den anställde och förmår denne att logga in på en alternativ fiktiv webbsida för VPN-anslutningar.
👉 Stöd mitt bloggande via Patreon
Denna webbsida innehåller även funktion att lura till sig engångstokens för tvåfaktorsautentisering. Det var även på detta sätt som angripare lyckades göra intrång hos Twitter förra månaden.
Här är ett riktigt exempel på hur webbsidan helpdesk-att.com såg ut för några dagar sedan:
Denna typ av attack kallas för Vishing (voice phising) och har några år på nacken men att nu kombinera detta med attacker mot VPN som stjäl 2FA-tokens är det nya tillvägagångssättet.
Även kan denna attack kombineras med en annan attack som medger att spoofa numret till företagets växel så samtalet ser ut att komma från medarbetarens egna organisation.
Först och främst är utbildning en viktig faktor, även återkommande utbildningspass för medarbetare. När det gäller MFA/2FA så har angriparna ännu inte någon metod för att genomföra MITM på hårdvarunycklar såsom Yubikeys.
Och sist men inte minst så är det viktigt med spårbarhet och loggning och övervaka samtliga inloggningar och knyta dessa inloggningar vidare mot klientcertifikat och datorkonfiguration.
Kan även tipsa om svenska startupen Castle.io har en hel del intressanta metoder att hitta kapade konton.
Som du kanske har märkt så händer det inte så mycket här på bloggen just nu. Bloggandet kommer igång igenom om några veckor igen.
Hoppas du får en skön och härlig sommar.
Det amerikanska cybersäkerhetsföretaget Active Countermeasures har en intressant open-source produkt som heter RITA. RITA står för Real Intelligence Threat Analytics är ett verktyg för dig som vill genomföra Cyber Threat Hunting.
RITA läser in data från Zeek (fd Bro) och kan genomföra följande:
Jag intresserar mig dock mest för beacon-detektion då detta finns inbyggt i flertalet kommersiella produkter såsom Cisco Encrypted Traffic Analytics men få open-source produkter kan söka efter denna typ av nätverkstrafik.
Beacons används av bakdörrs-ramverk (C2 frameworks) såsom Cobalt Strike, Metasploit, Empire, SharpC2 och PoshC2 för att nämna några.
RITA är utvecklat i programspråket Go och kan installeras i SecurityOnion, Ubuntu 16.04, Ubuntu 18.04 eller CentOS 7 om du vill köra med det medföljande scriptet install.sh. Du kan även installera RITA på egen hand eller köra RITA under Docker.
Stöd gärna mitt bloggande via Patreon >
De beroenden som RITA har är förutom Zeek är också databasen MongoDB. Jag installerar RITA utan Zeek och MongoDB och editerar sedan konfigg-filen /etc/rita/config.yaml så att den pekar mot min fristående mongodb.
Observera att du ej kan köra RITA med det paket som följer med Ubuntu 16.04 eftersom det är 2.6.10. RITA behöver mongodb-version som är mellan 3.2.0 och 3.7.0.
Jag fick det att fungera genom att installera mongodb version 3.6.18.
Nu när RITA är installerat så måste jag först köra zeek på de pcap-filer jag har sparat ner. Bäst fungerar det om du har en pcap-fil för varje dag, detta kan vara problematiskt om du har många filer men går att lösa med verktyg såsom mergecap.
Första steget är att läsa in ett dygns pcap-fil med zeek och skriva ut loggfilerna. Detta exempel gäller dagen 2020-06-05 och pcap-filen var på 33GB:
$ cd /data/pcap
$ mkdir -p zeek/2020-06-05
$ cd zeek/2020-06-05
$ zeek -Cr ../../trace_2020-06-05.pcap localOvan kommando tar cirka 15 minuter på min Raspberry Pi och sedan att importera detta via RITA mot mongodb tar ca 3 minuter:
Nu när vi har importerat mappen 2020-06-05 mot RITA-databasen vid namn 2020-06-05 så kan vi titta på analysen när det gäller beacons på följande sätt:
Observera att ovan bild är censurerad av mig. Men när jag tittar på source/dst-IP så ser jag att två översta går till 8.8.8.8 respektive 8.8.4.4 vilket är Googles DNS och troligtvis false-positive. Det som är intressant här är första kolumnen vid namn score och en score på 0.9 och över är mycket intressant. Kör jag metasploit och meterpreter så hamnar score på 0.987.
Och tittar vi på beacon-trafik från Cobalt Strike så ligger standard på sleeptime 30000 millisekunder och 20% jitter. Vilket motsvarar följande kommando från agressor-klienten:
Vill du läsa mer om den underliggande algoritmen så hittar du koden här:
Och en analys av RITA på Cobalt Strike som legat och kommunicerat en hel dag så blir analysen enligt följande:
Rad 17 som är rödmarkerad är den trafik som tillhör Cobalt Strike, och får enbart en score på 0.829 samt hamnar på 16:de plats på topplistan. Resten är enbart falska positiva, dvs videostreaming, DNS-uppslag osv. Så kontentan är att det inte är helt trivialt att detektera Cobalt Strikes standardkonfigurering.
Gillade du detta blogginlägg? Hjälp mig att blogga mer genom att stödja mig via Patreon >
Goda nyheter! En ny version av Hashcat finns nu ute, nämligen 6.0.0. Hashcat är ett verktyg likt John the Ripper som låter dig knäcka lösenord, eller mer korrekt: hashar.
Prestandan i denna nya version har fått sig en förbättring vilket du kan se i tabellen nedan eller via denna länk. Generella förbättringen ligger på 16%.
Och med en Titan RTX GPU så ligger prestandan på 61 931 600 H/s för MD5. Andra nyheter är följande:
Även så finns det stöd för 51 st nya algoritmer vilket gör att Hashcat nu stödjer totalt 320 st. Läs hela changelog här.
Alla 51 st nya algoritmer är:
Senaste versionen av Tor Browser som släpptes för några veckor sedan stödjer nu en ny http-header, nämligen Onion-Location. Denna nya header berättar för webbläsaren om det finns en .onion domän tillgänglig.
Användaren får då ett val om att besöka den onion-domän som presenteras i headern och för användaren via webbläsaren. Några domäner som stödjer detta redan nu är torproject.org och propublica.org.
För att lägga till denna header i webbservern Nginx så lägger du bara till följande rad i konfigurationsfilen:
add_header Onion-Location http://<your-onion-address>.onion$request_uri;Byt ut <your-onion-address> med din onion-adress.
Skärmdump på hur det kan se ut när en .onion finns tillgänlig:
Tor Browser 9.5 innehåller en hel del annat intressant. Bl.a. möjligheten att använda autentiserade klienter (client auth).
Även så indikerar ett antal ikoner status på anslutningen till onion-sajten du besöker på följande sätt:
Igår släpptes två nya rapporter från FRA, Försvarsmakten, MSB, Polismyndigheten och Säkerhetspolisen. Dessa rapporter finns bifogade nedan och heter:
Jag har läst båda rapporterna och de ger en allmän och övergripande bild över cybersäkerhetsläget. Det framgår också i rapporten att den är just avsiktligt generaliserad samt riktar sig till samtliga offentliga som privata verksamheter. För oss som är djupt nere i träsket så tycker jag att rapporten är lite väl för generell, dock så bör du läsa rapporten med rekommenderade säkerhetsåtgärder.
Rapporten tar upp problem som kan uppstå till följd av utkontraktering och kompetensbrist. Men även beskriver de olika aktörerna som utför cyberattacker såsom statsunderstödda grupperingar, kriminella aktörer och ideologiskt motiverade.
Även tas olika initiala attacker upp såsom vattenhålsangrepp, angrepp mot exponerade tjänster, lösenordsattacker, spearphishing och phishing.
Rapporterna innehåller också ett antal felaktigheter och konstiga antaganden som verkar representera enskilda individers tyckande. Men att producera rapporter hjälper inte Sveriges motståndskraft mot cyberhot. Det viktiga är att cybercentret når en operativ effekt skyndsamt.
Ett modus som rapporten tar upp och viktigt att tänka på är att mer och mer attacker sker mot privatpersoner med viktiga befattningar. Syftet kan vara att hitta information för utpressning eller ta sig vidare in på en organisations system:
Angrepp sker även direkt mot individers personliga it-utrustning.
Det finns också givetvis många organisationer som bör läsa under rubrikerna rekommenderat arbetssätt som återfinnes under samtliga 9 rekommendationer.
Rapporten Cybersäkerhet i Sverige – Hot, metoder, brister och beroenden kan du ladda hem här:
Rapporten Cybersäkerhet i Sverige – Rekommenderade säkerhetsåtgärder kan du ladda hem här:
