Ny avancerad skadlig kod: Remsec / Project Sauron

För några dagar sedan så gick flertalet stora antivirus-leverantörer ut med en varning samt teknisk analys av en ny form av avancerad skadlig kod som troligtvis är utvecklad av gruppen Strider. Denna APT-liknande grupp (advanced persistent threat) har utvecklat Sauron (Remsec) sedan 2011 och har identifieras hos myndigheter i länder såsom Kina, Sverige, Ryssland och Belgien.

Projekt Sauron är sannolikt utvecklat av en stat eller statsunderstödd grupp i likhet med skadlig kod såsom Duqu, Flame, Equation, och Regin.

Koden är modulär och majoriteten av modulerna är skriva i programspråket Lua (precis som Stuxnet).

Att den skadliga koden fått namnet Sauron är på grund av denna Lua-modul som sköter tangentbords-loggningen (keylogger):

Projekt Sauron

Även så innehåller den skadliga koden en loggningsmodul som även krypterar och komprimerar loggar. I övrigt har inga felstavningar observerats men exempelvis så förekommer italienska ord när nätvertrafik genomsöks efter ord såsom secret, pw, pass codice|uin|signin|strCodUtente|.*pass.*|.*pw|pw.*|additional_info|.*secret.*|.*segreto.*

Antivirusdetektion

En del av den skadliga koden som laddar in binära objekt upptäcktes först av Kaspersky 20160406 och då som HEUR:Trojan.Multi.Remsec.gen. Ungefär en vecka efter detta så kan även AegisLab, Antiy-AVL och Rising den skadliga koden.

Luftgap

Den skadliga koden ProjectSauron har även stöd för att ta sig över ”airgaps” eller luftgap som det heter på svenska. Dvs system som är så pass säkra/hemliga att de inte är anslutna till Internet. När en USB-sticka ansluts så skapas det ett virtuellt filsystem som inte är synligt med blotta ögat.

Även så är någon slags zero-day involverad som nyttjas när USB-stickor förflyttas mellan nätverk. Men varken Symantec eller Kaspersky vet ännu inte hur detta fungerar exakt.

Persistens

Installerar sig som en SSPI, Security Support Provider Interface och exporterar funktionen InitSecurityInterfaceW.

Kryptering

Över nätverket sker kryptering med RSA samt RC6 (5?). Lokala filer krypteras med RC4 samt Salsa20.

Nyckel som används är: 0xBAADF00D. Även kan C&C-kommandon skickas via ICMP och lyckas dekrypteringen av ICMP-paketet så kommer koden att exekveras på systemet.

False flag

Att baka in felaktiga eller information som vilseleder den som analyserar skadlig kod är något som blivit populärt på senare tid. Även Sauron gör detta och är extra tydligt när man tittar på metadata såsom när koden kompilerades:

PE-Header compilator timestmap: 2009-07-14 01:07:24

Hashsummor

Detta är hashsummor för Win32 DLL:en som är ansvarig för att ladda in moduler:

MD5 2a8785bf45f4f03c10cd929bb0685c2d
SHA-1 d18792a187d7567f3f31908c05a8b8a2647d365f
SHA-256 6c8c93069831a1b60279d2b316fd36bffa0d4c407068dbef81b8e2fe8fd8e8cd
ssdeep 1536:XnEBRAJD8UuUFT1CKKoau6uWqv/gQcIOtED:XnEcz5FTiteoQStE

Filnamn: MSAOSSPC.DLL

Och på disken så används katalog: “c:\System Volume Information\_restore{ED650925- A32C-4E9C-8A73-8E6F0509309A}\RP0\A???????.dll” för moduler.

DLL-en maskeras som AOL Security Package.

Externa PDF-er med mer information:

Fler checksummor från Github:

1F7DDB6752461615EBF0D76BDCC6AB1A;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
227EA8F8281B75C5CD5F10370997D801;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
2F704CB6C080024624FC3267F9FDF30E;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
34284B62456995CA0001BC3BA6709A8A;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
501FE625D15B91899CC9F29FDFC19C40;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
6296851190E685498955A5B37D277582;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
6B114168FB117BD870C28C5557F60EFE;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
7B6FDBD3839642D6AD7786182765D897;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
7B8A3BF6FD266593DB96EDDAA3FAE6F9;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
C0DFB68A5DE80B3434B04B38A61DBB61;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
B6273B3D45F48E9531A65D0F44DFEE13;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
BB6AEC0CF17839A6BEDFB9DDB05A0A6F;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
C074710482023CD73DA9F83438C3839F;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
C3F8F39009C583E2EA0ABE2710316D2A;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
CF6C049BD7CD9E04CC365B73F3F6098E;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
40F751F2B22208433A1A363550C73C6B;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
1D9D7D05AB7C68BDC257AFB1C086FB88;Project Sauron https://goo.gl/eFoP4A - Passive sniffer backdoor
181c84e45abf1b03af0322f571848c2d;Project Sauron https://goo.gl/eFoP4A - Generic pipe backdoor
2e460fd574e4e4cce518f9bc8fc25547;Project Sauron https://goo.gl/eFoP4A - Generic pipe backdoor
1f6ba85c62d30a69208fe9fb69d601fa;Project Sauron https://goo.gl/eFoP4A - Generic pipe backdoor
F3B9C454B799E2FE6F09B6170C81FF5C;Project Sauron https://goo.gl/eFoP4A - Null session pipes backdoor
0C12E834187203FBB87D0286DE903DAB;Project Sauron https://goo.gl/eFoP4A - Null session pipes backdoor
72B03ABB87F25E4D5A5C0E31877A3077;Project Sauron https://goo.gl/eFoP4A - Null session pipes backdoor
76DB7E3AF9BE2DFAA491EC1142599075;Project Sauron https://goo.gl/eFoP4A - Null session pipes backdoor
5D41719EB355FDF06277140DA14AF03E;Project Sauron https://goo.gl/eFoP4A - Null session pipes backdoor
A277F018C2BB7C0051E15A00E214BBF2;Project Sauron https://goo.gl/eFoP4A - Null session pipes backdoor
0C4A971E028DC2AE91789E08B424A265;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
44C2FA487A1C01F7839B4898CC54495E;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
F01DC49FCE3A2FF22B18457B1BF098F8;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
F59813AC7E30A1B0630621E865E3538C;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
CA05D537B46D87EA700860573DD8A093;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
01AC1CD4064B44CDFA24BF4EB40290E7;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
1511F3C455128042F1F6DB0C3D13F1AB;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
57C48B6F6CF410002503A670F1337A4B;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
EDB9E045B8DC7BB0B549BDF28E55F3B5;Project Sauron https://goo.gl/eFoP4A - Pipe and internet backdoor
71EB97FF9BF70EA8BB1157D54608F8BB;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
2F49544325E80437B709C3F10E01CB2D;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
7261230A43A40BB29227A169C2C8E1BE;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
FC77B80755F7189DEE1BD74760E62A72;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
A5588746A057F4B990E215B415D2D441;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
0209541DEAD744715E359B6C6CB069A2;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
FCA102A0B39E2E3EDDD0FE0A42807417;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
5373C62D99AFF7135A26B2D38870D277;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
91BB599CBBA4FB1F72E30C09823E35F7;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
914C669DBAAA27041A0BE44F88D9A6BD;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
C58A90ACCC1200A7F1E98F7F7AA1B1AE;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
63780A1690B922045625EAD794696482;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
8D02E1EB86B7D1280446628F039C1964;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
6CA97B89AF29D7EFF94A3A60FA7EFE0A;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
93C9C50AC339219EE442EC53D31C11A2;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
F7434B5C52426041CC87AA7045F04EC7;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
F936B1C068749FE37ED4A92C9B4CFAB6;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
2054D07AE841FCFF6158C7CCF5F14BF2;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
6CD8311D11DC973E970237E10ED04AD7;Project Sauron https://goo.gl/eFoP4A - Core platform (LUA VFS)
5DDD5294655E9EB3B9B2071DC2E503B1;Project Sauron https://goo.gl/eFoP4A - MyTrampoline
5DDD5294655E9EB3B9B2071DC2E503B1;Project Sauron https://goo.gl/eFoP4A - Bus Manager
2A8785BF45F4F03C10CD929BB0685C2D;Project Sauron https://goo.gl/eFoP4A - Bus Manager
F0E0CBF1498DBF9B8321D11D21C49811;Project Sauron https://goo.gl/eFoP4A - Bus Manager
AC8072DFDA27F9EA068DCAD5712DD893;Project Sauron https://goo.gl/eFoP4A - Bus Manager
2382A79F9764389ACFB4CB4692AA044D;Project Sauron https://goo.gl/eFoP4A - Bus Manager
85EA0D79FF015D0B1E09256A880A13CE;Project Sauron https://goo.gl/eFoP4A - Bus Manager
4728A97E720C564F6E76D0E22C76BAE5;Project Sauron https://goo.gl/eFoP4A - Bus Manager
B98227F8116133DC8060F2ADA986631C;Project Sauron https://goo.gl/eFoP4A - Bus Manager
D2065603EA3538D17B6CE276F64AA7A2;Project Sauron https://goo.gl/eFoP4A - Bus Manager
FCD1A80575F503A5C4C05D4489D78FF9;Project Sauron https://goo.gl/eFoP4A - Bus Manager
EB8D5F44924B4DF2CE4A70305DC4BD59;Project Sauron https://goo.gl/eFoP4A - Bus Manager
17DEB723A16856E72DD5C1BA0DAE0CC7;Project Sauron https://goo.gl/eFoP4A - Bus Manager
B6FE14091359399C4EA572EBF645D2C5;Project Sauron https://goo.gl/eFoP4A - Bus Manager
C8C30989A25C0B2918A5BB9FD6025A7A;Project Sauron https://goo.gl/eFoP4A - Bus Manager
814CA3A31122D821CD1E582ABF958E8F;Project Sauron https://goo.gl/eFoP4A - Bus Manager
951EBE1EE17F61CD2398D8BC0E00B099;Project Sauron https://goo.gl/eFoP4A - Network Sniffer
d737644d612e5051f66fb97a34ec592b3508be06e33f743a2fdb31cdf6bd2718;Symantec Strider Report http://goo.gl/bTtpGD
30a824155603c2e9d8bfd3adab8660e826d7e0681e28e46d102706a03e23e3a8;Symantec Strider Report http://goo.gl/bTtpGD
a4736de88e9208eb81b52f29bab9e7f328b90a86512bd0baadf4c519e948e5ec;Symantec Strider Report http://goo.gl/bTtpGD
8e63e579dded54f81ec50ef085929069d30a940ea4afd4f3bf77452f0546a3d3;Symantec Strider Report http://goo.gl/bTtpGD
96c3404dadee72b1f27f6d4fbd567aac84d1fdf64a5168c7ef2464b6c4b86289;Symantec Strider Report http://goo.gl/bTtpGD
04ea378405c9aa879478db3d6488ce79b694393501555ccabc109fa0f4844533;Symantec Strider Report http://goo.gl/bTtpGD
720195b07c81e95dab4a1469342bc723938733b3846d7647264f6d0816269380;Symantec Strider Report http://goo.gl/bTtpGD
2f128fff48d749f08786e618d3a44e2ac8020cc2ece5034cb1079901bbde6b7e;Symantec Strider Report http://goo.gl/bTtpGD
6189b94c9f3982ce15015d68f280f5d7a87074b829edb87825cadab6ec1c7ec2;Symantec Strider Report http://goo.gl/bTtpGD
6c8c93069831a1b60279d2b316fd36bffa0d4c407068dbef81b8e2fe8fd8e8cd;Symantec Strider Report http://goo.gl/bTtpGD
d629aa328fef1bd3c390751575f65d2f568b4b512132d77ab3693709ae2d5c84;Symantec Strider Report http://goo.gl/bTtpGD
9035a1e71c87620ead00d47c9db3768b52197703f124f097fa38dd6bf8e2edc8;Symantec Strider Report http://goo.gl/bTtpGD
36b74acba714429b07ab2205ee9fc13540768d7d8d9d5b2c9553c44ea0b8854f;Symantec Strider Report http://goo.gl/bTtpGD
0f8af75782bb7cf0d2e9a78af121417ad3c0c62d8b86c8d2566cdb0f23e15cea;Symantec Strider Report http://goo.gl/bTtpGD
bde264ceb211089f6a9c8cfbaf3974bf3d7bf4843d22186684464152c432f8a5;Symantec Strider Report http://goo.gl/bTtpGD
4a15dfab1d150f2f19740782889a8c144bd935917744f20d16b1600ae5c93d44;Symantec Strider Report http://goo.gl/bTtpGD
3782b63d7f6f688a5ccb1b72be89a6a98bb722218c9f22402709af97a41973c8;Symantec Strider Report http://goo.gl/bTtpGD
6b06522f803437d51c15832dbd6b91d8d8b244440b4d2f09bd952f335351b06d;Symantec Strider Report http://goo.gl/bTtpGD
96e6b2cedaf2840b1939a9128751aec0f1ac724df76970bc744e3043281d3afd;Symantec Strider Report http://goo.gl/bTtpGD
02a9b52c88199e5611871d634b6188c35a174944f75f6d8a2110b5b1c5e60a48;Symantec Strider Report http://goo.gl/bTtpGD
ab8181ae5cc205f1d3cae00d8b34011e47b735a553bd5a4f079f03052b74a06d;Symantec Strider Report http://goo.gl/bTtpGD
c8f95bf8a76ff124cc1d7a8439beff360d0eb9c0972d42a8684c3bd4e91c6600;Symantec Strider Report http://goo.gl/bTtpGD
9572624b6026311a0e122835bcd7200eca396802000d0777dba118afaaf9f2a9;Symantec Strider Report http://goo.gl/bTtpGD

Källor: FSB, VirusTotal, Kaspersky och Symantec

Lämnar RSA-nycklar fingeravtryck?

Att unikt identifiera vilken mjukvara som skapat en publik RSA-nyckel är något som kan vara intressant för en angripare. Dels så kan ett fingeravtryck som påvisar en mjukvara avslöja eventuella sårbarheter men även koppla en nyckel till hårdvara.

Frågan som forskarna vid Masaryk University i Tjeckien var följande:

Can bits of an RSA public key leak information about design and implementation choices such as the prime generation algorithm?

Efter detta så tog forskarna fram en metodik och valde ut 22 olika kryptobibliotek samt 16 olika smart-cards. De genererade nyckelpar i storlekarna 512, 1024 samt 2048-bitar. Efter detta så försökte de jämföra med nycklar som kan identifieras på Internet genom TLS eller PGP.

Resultatet visade på att det var möjligt att identifiera ursprungsmjukvaran, men även så identifierades det mjukvara som skapade felaktiga nycklar 0.05% av gångerna.

RSA fingerprintHär kan du ladda hem forskningen som PDF i sin helhet, presenterades under Usenix-konferensen:

RSA key origin

 

Apple startar ett bug-bounty program 💰

Äntligen! Det är inte en dag för tidigt att Apple nu äntligen startar upp ett bug-bounty program som betalar ut belöning till den som identifierar och rapporterar säkerhetsrelaterade sårbarheter.

Nästan alla företag och organisationer som tar säkerhet på allvar har någon form av belöning för den som rapporterar in sårbarheter (här kan du läsa om hur jag hittade en sårbarhet på Facebook).

Apple kommer att betala ut summor upp till 1.7 miljoner SEK (200,000$) vilket förhoppningsvis bidrar till att minska eventuella zero-days på svarta marknaden.

Utbetalningarna varierar enligt följande:

  • Sårbarheter i secure boot firmware komponenter: Upp till 1,7m SEK
  • Sårbarheter som möjliggör att data kan extraheras från Secure Enclave: Upp till 850k SEK
  • Exekvering av kod i kernel: Upp till 450k sek
  • Tillgång till iCloud data på Apples servrar: Upp till 450k SEK
  • Process i sandlåda som får tillgång till data utanför sandlådan: Upp till 200k SEK

Även så kräver Apple att det ska finnas Proof-of-concept kod samt att denna kod ska fungera på senaste Apple-hårdvaran samt senaste versionen av iOS.

Och en annan intressant twist är att Apple kommer att dubbla utbetalningen om den som får en säkerhetsbugg bekräftad, väljer att donera till välgörande ändamål.

Chatt-appen som spelade en vital roll i turkiska kuppförsöket

byLock turkiet
En chatt-app vid namn ByLock spelade en vital roll vid kuppförsöket i Turkiet. Appen fanns till både Android och Iphone samt hade över 1 miljon nedladdningar under 2014.

Appen togs ned enligt utvecklaren på grund av det höga tryck men centrala servern fanns uppe i minst ett år efter att appen togs bort från Google Play samt AppStore.

Extreme security with your fingerprint . Your fingerprint encrypts your call. Use this application for secure communication. This application uses industry leading encryption techniques .. Super Secure Free Calls available

Utvecklaren står som ’David Keynes of Beaverton, Oregon’, en person som inte finns. Men även bloggen som innehåller uppdateringar om appen innehåller flertalet grammatiska fel. Säkerhetsfel fel återfinnes i appen såsom att meddelanden skickas i klartext till servern.

Att det är just denna app som gjorde att kuppmakarna kunde spåras bekräftas av Turkiska myndigheter som säger:

What I can say is that a large number of people identified via ByLock were directly involved in the coup attempt.

Senare gick kuppmakarna över till WhatsApp men genom fysisk tillgång till telefonen så kunde även meddelanden läsas i WhatsApp. Enligt turkisk media så användes WhatsApp för att genomföra truppförflyttningar med WhatsApp-grupper som hade tusentals samtidiga personer inloggade.

Skärmdumpar från appen byLock:

bylock 1bylock2

 

Ny stabil uppdatering av Wireshark

Den omåttligt populära mjukvaran Wireshark som används för att läsa av nätverkstrafik finns nu ute i en ny stabil version: 2.0.5. Detta är den femte uppdatering till 2.0-serien som kom ut för snart ett år sedan (läs mitt test här).

Denna version åtgärdar 9 stycken säkerhetsbrister som identifierats samt 22 andra buggrättningar.

Behöver Er organisation hjälp med av analysera nätverkstrafik? Kontakta Triop AB >

Säkerhetsbristerna återfinnes i hanteringen av följande protokoll: CORBA IDL, PacketBB, WSP, RLC, LDSS, OpenFlow, MMSE, WAP samt WBXML.

Och i följande protokoll har avkodningen uppdaterats: 802.11 Radiotap, BGP, CAN, CANopen, H.248 Q.1950, IPv4, IPv6, LANforge, LDSS, MPTCP, OSPF, PacketBB, PRP, RLC, RMT-FEC, RSVP, RTP MIDI, T.30, TDS, USB, WAP, WBXML, WiMax RNG-RSP, och WSP.

Wireshark är gratis och finns till operativsystem såsom Linux, Windows och Mac OS X. Och ett bra alternativ till Wireshark är Network Miner. Och gillar du inte grafiska gränssnitt så följer även tshark med som går att köra direkt från terminalen.

Du kan läsa samtliga release-notes här för version 2.0.5 och du kan som vanligt ladda hem Wireshark från wireshark.org.

Ny attack mot HTTPS genom WPAD/PAC

En ny attack mot https kommer att presenteras under konferensen Black Hat som går av stapeln inom några dagar i Las Vegas. Denna nya attack använder sig av DHCP option 242 (PAC) och kan således lura en klient som sitter på samma lokala nätverk att gå via en proxy.

Option 242 pekar nämligen ut en WPAD-fil som innehåller proxy-inställningar för klientens webbläsare. Detta finns specificerat i draft-ietf-wrec-wpad-01.txt från år 1999 bl.a. Observera även att denna attack fungerar mot Mac, Windows samt Linux.

We show that HTTPS cannot provide security when WPAD is enabled.

Exempel på skadlig kod som använder sig av PAC (källa Microsoft):

PAC1

Skärmdump från Firefox inställningar för proxy:Firefox WPAD

Och följande bilder visar på hur attacken gå till väga för att ta över ett konto/tjänst vid återställning av lösenord:

unholy-pac-1-980x980 unholy-pac.2-980x980 unholy-pac-3-980x980Och är du på plats i Las Vegas på Black Hat Briefings kan du se följande två föredrag som behandlar ämnet:

Är du Windows-admin så kan WPAD stängas av genom följande GPO: ”Disable changing Automatic Configuration settings” samt ”Administrative TemplatesWindows ComponentsInternet Explorer” i användarpolicy samt datorpolicy.

TechCrunch hackade av OurMine

Den populära nyhetssajten TechCrunch hackades för några timmar sedan av hackgruppen OurMine. Under några minuter låg ett nyhetsinlägg uppe med titeln ”OurMine Team – Important Message!”.

Av inlägget kan vi tyda att det var Devin Coldeweys konto som användes för att lägga upp inlägget. Troligtvis var detta ett hack för att marknadsföra OurMine tjänster som går ut på att undersöka säkerheten på konton som återfinnes i sociala medier, eller som de själva skriver ”top notch vulnerability assessment”.

Även framgår det av sajten OurMine.org att de är whitehats (vithattar) men något som starkt ifrågasätts när de hackar TechCrunch.

Skärmdump från Googles cache:

OurMine TechCrunch

Mer än 110 Tor-noder övervakar trafik i smyg

Ny forskning visar på att över 110 st Tor-noder övervakar trafiken i smyg. Det är så kallade Hidden Services Directories (HSDirs)-noder som innehåller listor med noder som troligtvis inte vill bli identifierade. Metoden för att identifiera dessa illasinnade noder genomförs med hjälp av en typ av honeypot vid namn HOnions.

Att namnge ”gömda noder” på darknets såsom Tor för Hidden Services har länge ansetts felaktigt och ett nytt namn kommer troligtvis snart att användas.

Tor HSDir

Även visar forskningen på att den förfrågan som skickas till HOnions-noderna varierar med allt från vanliga HTTP-förfrågningar samt mer avancerade SQL-injektionsförsök och:

One of the snooping HSDirs (5.*.*.*:9011) was actively querying the server every 1 hour asking for a server-status page of Apache. It is part of the functionality provided by mod status in Apache, which provides information on server activity and performance.

Forskningen kommer från Northeastern University och kan laddas hem här som PDF:

httpoxy – Ny omfattande sårbarhet mot webbapplikationer

httpoxy attack

httpoxy är namnet på en nygammal säkerhetsbrist kan återfinnas i otroligt många ramverk för webbapplikationer. Denna nya bugg gör det möjligt för en angripare att styra om utgående trafik från en webbapplikation.

Buggen kan beskrivas lättast genom följande förfarande:

  1. Angriparen gör ett anrop mot en sårbar applikation och skickar med Proxy-http headern
  2. Applikationen gör en utgående förfrågan efter data och använder sedan uppgifter från angriparens Proxy-http header som proxy
  3. Angriparen kan sedan sätta sig i mitten och genomföra MITM-attack

Nedan listas några programspråk och dess uppsättning som kan vara sårbar för denna attack.

Programspråk Ramverk HTTP-klient
PHP php-fpm
mod_php		 Guzzle 4+
Artax
Python wsgiref.handlers.CGIHandler
twisted.web.twcgi.CGIScript		 requests
Go net/http/cgi net/http

Åtgärder

För att förhindra denna attack måste först och främst din applikation använda sig av ovan programspråk, ramverk och http-klient. Även så måste din webbapplikation göra utgående http-förfrågningar när en besökare gör sitt anrop.

För att ta bort HTTP_PROXY miljövariabeln som är boven i dramat så kan du som använder Nginx lägga till följande:

fastcgi_param HTTP_PROXY "";

Använder du Apache som webbserver bör du först och främst läsa denna advisory och sedan kan du använda följande direktiv för att ta bort Proxy http-headern:

RequestHeader unset Proxy

Och använder du Microsoft IIS tillsammans med PHP så bör du lägga in följande i din apphost.config:

<system.webServer>
    <rewrite>
        <rules>
            <rule name="Erase HTTP_PROXY" patternSyntax="Wildcard">
                <match url="*.*" />
                <serverVariables>
                    <set name="HTTP_PROXY" value="" />
                </serverVariables>
                <action type="None" />
            </rule>
        </rules>
    </rewrite>
</system.webServer>

Buggen har återkommit under flertalet år i olika ramverk och tyvärr så har den aldrig riktigt åtgärdats.

Säkerhetsbuggen har fått följande CVE-er:

  • CVE-2016-5385: PHP
  • CVE-2016-5386: Go
  • CVE-2016-5387: Apache HTTP Server
  • CVE-2016-5388: Apache Tomcat
  • CVE-2016-1000109: HHVM
  • CVE-2016-1000110: Python

Här hittar du mer information: httpoxy.org

Testa lösenord med THC Hydra v8.2

hydraHydra tillsammans med ncrack och medusa är ett av de mer populära verktygen för att fjärrmässigt testa lösenord, exempelvis över Internet. Hydras första version kom ut 2001 och grundades av van Hauser från hacker-gruppen THC (The Hacker’s Choice).

Denna nya version som nyss släpptes heter v8.2 och har stöd för bl.a. TLS SNI vilket gör det möjligt att skicka med domännamn i TLS/SSL-förbindelser. Något som alla moderna webbläsare gör i dagsläget, så inte ett SSL-certifikat behövs per IP-adress.

Test av Hydra 8.2

Vi laddar hem den senaste versionen 8.3-dev från Github och testar att forcera lösenordet till användaren IEUser via ssh:

THC Hydra 8.3

Observera att hydra är beroenden av en mängd tredjepartsbiblioteket såsom openssl, libssh och zlib. Din kompilering kan lyckas men när du ska testa något protokoll så kan du få ett meddelande att den modulen inte finns inkompilerad.

När jag testar med Remote Desktop (RDP-modulen) så lyckas inte Hydra identifiera rätt lösenord konstigt nog. Enbart crowbar lyckas med detta, och medusa som följer med Kali Linux har inte rdp.mod (RDP modulen) med som standard.

Hela listan med protokoll som stöds är:

 Asterisk, AFP, Cisco AAA, Cisco auth, Cisco enable, CVS, Firebird, FTP, HTTP-FORM-GET, HTTP-FORM-POST, HTTP-GET, HTTP-HEAD, HTTP-POST, HTTP-PROXY, HTTPS-FORM-GET, HTTPS-FORM-POST, HTTPS-GET, HTTPS-HEAD, HTTPS-POST, HTTP-Proxy, ICQ, IMAP, IRC, LDAP, MS-SQL, MYSQL, NCP, NNTP, Oracle Listener, Oracle SID, Oracle, PC-Anywhere, PCNFS, POP3, POSTGRES, RDP, Rexec, Rlogin, Rsh, RTSP, SAP/R3, SIP, SMB, SMTP, SMTP Enum, SNMP v1+v2+v3, SOCKS5, SSH (v1 and v2), SSHKEY, Subversion, Teamspeak (TS2), Telnet, VMware-Auth, VNC and XMPP.