Snort Superfish

Om du använder dig av Snort som IDS så kan du använda följande regler för att identifiera Superfish (som vi skrev om här) på nätverket:

alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"ET TROJAN SuperFish CnC Beacon 1"; flow:established,to_server; content:"GET"; http_method; content:"/set.php?ID="; depth:12; http_uri; content:"&Action="; distance:0; http_uri; content:!"User-Agent|3a|"; http_header; content:!"Accept"; http_header; content:!"Referer|3a|"; http_header; reference:url,blog.erratasec.com/2015/02/extracting-superfish-certificate.html; reference:url,myce.com/news/lenovo-laptops-come-with-preinstalled-advertisement-injecting-adware-74290/; classtype:trojan-activity; sid:2020489; rev:1;)

alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"ET TROJAN SuperFish CnC Beacon 2"; flow:established,to_server; content:"GET"; http_method; content:"/verify.php?version="; http_uri; fast_pattern:only; content:"&GUID=|7b|"; http_uri; content:"User-Agent|3a 20|Mozilla/4.0|0d 0a|"; http_header; content:!"Accept"; http_header; content:!"Referer|3a|"; http_header; reference:url,blog.erratasec.com/2015/02/extracting-superfish-certificate.html; reference:url,myce.com/news/lenovo-laptops-come-with-preinstalled-advertisement-injecting-adware-74290/; classtype:trojan-activity; sid:2020490; rev:2;)

alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"ET TROJAN SuperFish Possible SSL Cert CnC Traffic"; flow:established,from_server; content:"|55 04 0a|"; content:"|0e|Superfish Inc."; distance:1; within:15; content:"|55 04 03|"; distance:0; content:"|19|*.best-deals-products.com"; distance:1; within:26; reference:url,blog.erratasec.com/2015/02/extracting-superfish-certificate.html; reference:url,myce.com/news/lenovo-laptops-come-with-preinstalled-advertisement-injecting-adware-74290/; classtype:trojan-activity; sid:2020492; rev:1;)

alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"ET TROJAN SuperFish Possible SSL Cert Signed By Compromised Root CA"; flow:established,from_server; content:"|55 04 0a|"; content:"|0f|Superfish, Inc."; distance:1; within:16; content:"|55 04 03|"; distance:0; content:"|0f|Superfish, Inc."; distance:1; within:16; reference:url,blog.erratasec.com/2015/02/extracting-superfish-certificate.html; reference:url,myce.com/news/lenovo-laptops-come-with-preinstalled-advertisement-injecting-adware-74290/; classtype:trojan-activity; sid:2020493; rev:1;)

Reglerna är hämtade från EmergingThreats öppna regler och kan hittas i sin helhet här:

Lenovo Superfish/Badfish

Det var kanske ingen direkt överraskning att Lenovos datorer kom med en mjukvara förinstallerad som genomförde man-i-mitten-attacker mot krypterad surftrafik (https). Mjukvaran utvecklades av företaget Komodia som är specialiserade på föräldrakontroll och annonshantering.

Rent tekniskt så fungerar Komodias mjukvara genom att installera ett nytt root SSL-certifikat som gör att dess mjukvara kan generera egna certifikat för godtycklig sajt för att injicera reklam samt lura webbläsaren. Även den privata nyckeln för att genomföra denna mitm installerades också på Lenovos datorer, dock krypterad med lösenordet komodia.

Men varför är detta så allvarlig kanske du undrar? Jo det finns flera aspekter, dels så har Komodia implementerat en egen felaktig SSL/TLS-stack samt så kan vem som helst använda Komodoias privata nyckel och genomföra egna mitm-attacker på exempelvis Internetcaféer. Även så innehåller deras stack andra problem som gör att det går att genomföra mitm.

Superfish

Som tur var så finns det hopp, för Lenovo har gått ut och sagt att de kommer att släppa en uppdatering som tar bort mjukvaran samt installerade certifikat. Även så hittar och klassificerar Microsoft Security Essentials Superfish som adware.

Det är även oklart hur utbrett detta problem är då Komodia Redirector SDK har sålts till 100-talet olika företag där Lenovo enbart är ett av dessa.

Anledningen till att Lenovo installerat denna typ av mjukvara är troligtvis pga minskade marginaler för försäljning av laptops. Om det finns en möjlighet att tjäna 1000kr extra per såld laptop så tar dom den.

Du kan testa om du har Superfish/badfish installerat genom att besöka följande webbsida:

Skärmdump som visar hur proxyn lyssnar på en port:

SuperFish_MITM_proxy

 

Kryptobugg i FreeBSD

freebsdDet har uppmärksammats av slumptalsgeneratorn i FreeBSD-CURRENT varit trasig under flertalet månader. Felet som introducerades var att den vitala funktionen randomdev_init_reader togs bort. Eftersom det bara är CURRENT-versionen så är omfattningen tämligen begränsad men samtliga nycklar som skapats på dessa system bör bytas (ssl-certifikat, ssh osv).

Denna bugg går under smeknamnet YARNBUG som står för ”Yet Another Random Number Bug”, för det är ju viktigt att alla sårbarheter nuförtiden har fräsiga namn (och logotyper).

Så här skriver FreeBSD själva:

If you are running a current kernel r273872 or later, please upgrade your kernel to r278907 or later immediately and regenerate keys.

I discovered an issue where the new framework code was not calling randomdev_init_reader, which means that read_random(9) was not returning good random data. read_random(9) is used by arc4random(9) which is the primary method that arc4random(3) is seeded from.

Man kan tycka att det är anmärkningsvärt att denna typ av buggar uppkommer år 2015. Dock så bör inte CURRENT-versioner användas i produktion. Dock så använder FreeBSD /dev/u?random Yarrow som slumptalsalgoritm och bör således ej vara drabbad av denna bugg.

Kampanj för ökat signalskydd

SignalskyddMyndigheten för samhällsskydd och beredskap (MSB), Försvarsmakten och Försvarets Radioanstalt (FRA) inleder nu en kampanj för att uppmärksamma vikten av bra signalskydd. En webbsida, informationsfolder samt film (se nedan) har upprättats för ändamålet.

Men vad är då signalskydd?

Signalskydd är nationellt godkända kryptosystem. Signalskydd och säkra kryptografiska funktioner kan användas för att skydda information från obehörig insyn och påverkan. Genom nationellt godkända system säkerställer man skyddsnivån och kvaliteten på såväl teknik, som regelverk, rutiner och behörighetsutbildning.

Tyvärr var sajten lite tunn på information men vi kan hoppas på att det fylls på med mer matnyttigt. Statistik som presenteras på sajten:

  • Enligt MSB:s enkätundersökning från 2014, svarade 84 % av de myndigheter som besvarat hela enkäten, att de har en informationssäkerhetspolicy.
  • 26 % av de myndigheter som besvarat hela enkäten kontrollerar inte efterlevnaden, det vill säga ifall policyer och riktlinjer följs av medarbetarna.

Richard Oehme, chef för verksamheten för samhällets informations- och cybersäkerhet vid MSB säger:

Vi menar att signalskydd är en av de viktigaste skyddsåtgärderna för att skydda myndigheters och andra organisationers information. Genom kampanjen vill vi öka förståelsen och medvetenheten om signalskydd och hoppas på en utökad användning av de signalskyddssystem som finns att tillgå

Informationsfilmen nedan är dock välgjord:

Finalister i Password Hashing Competition

Password Hashing Competition (PHC) är en tävling som går ut på att hitta nya bra algoritmer för att hasha lösenord. Det finns tyvärr i dagsläget inte så många bra kanidater att välja på: scrypt och bcrypt. Bakom tävlingen står en grupp med kryptografiska experter såsom Peter Gutmann, Colin Percival och Matthew Green.

Tävlingskriterierna är enligt följande:

  • Skydd mot beräkningar i GPU/FPGA/ASIC
  • Skydd mot tid-minneskompromisser
  • Skydd mot sidokanalsläckage
  • Skydd mot kryptografiska attacker
  • Elegans och enkelhet
  • Dokumentationskvalité
  • Kvalité på referensimplementationen
  • Allmän sundhet och enkelhet av algoritmen
  • Originalitet

Det har nu presenterats 12 finalister som är följande:

Argon, battcrypt, Catena, Lyra2, Makwa, Parallel, POMELO, Pufferfish, yescrypt (som vi skrev om i Maj 2014).

För att läsa mer om dessa finalister kolla in password-hashing.net.

yescrypt

Nätverksforensik med Dshell från US Army

Den amerikanska militärens forskningscenter vid namn U.S. Army Research Laboratory har släppt ett verktyg för att analysera nätverkstrafik (nätverksforensik). Verktyget är skrivet i Python och ligger uppe på Github för vem som helst att ladda ner och testa samt skicka in förbättringsförslag.

Även så är Dshell modulärt och har stöd för att återskapa TCP-strömmar samt IPv4 och IPv6.

Installation Dshell

Följande kommandon exekveras för att installera paketberoenden på exempelvis Ubuntu:

$ sudo apt-get install python-crypto python-dpkt python-ipy python-pypcap python-pip unzip build-essential
$ sudo pip install pygeoip
$ wget https://github.com/USArmyResearchLab/Dshell/archive/master.zip
$ unzip master.zip
$ cd Dshell-master
$ make

Då var installationen klar och du bör ha en fil vid namn dshell.

Nätverksforensik med dshell

Om du ej sitter på inspelad nätverkstrafik i form av pcap-filer så kan du ladda hem någon av de publika filerna från Netresec:

$ wget http://download.netresec.com/pcap/maccdc-2012/maccdc2012_00016.pcap.gz
$ gzip -d maccdc2012_00016.pcap.gz

Dshell stödjer även att köras i realtid mot ett nätverkskort, använd då flaggan -i (för interface).

Finemang. Då startar vi dshell och listar de avkodningsmoduler som följer med som standard med decode -l

Dshell modulerFör att få hjälp med en specifik avkodningsmodul kan man skriva:

Dshell> decode -d rip-http -h

Vi vill nu testa rip-http som är en modul som extraherar hur nedladdningar över http. Vi ser även att det finns möjlighet att ange filändelse så vi anger att vi vill läsa ut alla .PNG-bilder:

Dshell> mkdir img
Dshell> cd img
Dshell> decode -q -d rip-http ../maccdc2012_00016.pcap --rip-http_name_filter="\.png"

Vi får då upp ett antal rader på skärmen som bekräftar att det identifierats PNG-bilder i nätverkstrafiken (eller åtminstone vad filändelsen säger).

Men det var ju mindre kul, låt oss istället försöka hitta på någon slags skadlig kod:

Dshell> cd ..
Dshell> mkdir files
Dshell> sudo apt-get install clamav
Dshell> cd files
Dshell> decode -q -d rip-http ../maccdc2012_00016.pcap

Sen väntar du ett bra tag på att samtliga nedladdningar ska skrivas ut till disk. Du kan testa att labba med -t och -p som står för trådat respektive parallella körningar.

När det är klart så kan vi testa att söka igenom samtliga filer med clamav:

$ clamscan -i -r

Och får då ut att ett antal suspekta filer identifierades:

/home/vagrant/Dshell-master/files/apache.php_: JS.Agent-144 FOUND
/home/vagrant/Dshell-master/files/apache.php: JS.Agent-144 FOUND
/home/vagrant/Dshell-master/files/apache.php__: JS.Agent-144 FOUND
/home/vagrant/Dshell-master/files/process.php: PHP.ShellExec FOUND

Det var väl ett trevligt verktyg för att utföra nätverksforensik? Intressant är också att det finns en decoder för INNUENDO DNS-kanal som skapats genom att observera en produktvideo från Immunity som är företaget som utvecklar INNUENDO-produkten.

Ny krypto-ransomware

Krypto-ransomware är en typ av skadlig kod som krypterar dina filer och håller dem som gissla, därav ordet ransom (gissla). Ransomware har förekommit under några år men börjar på senare tid bli mer avancerade och innehåller mindre sårbarheter.

Tidigare ransomware som krypterade filer innehöll brister som gjorde det möjligt att relativt enkelt dekyptera filer som krypterats.

Senaste dagarna har Trj/RansomCrypt.B eller även känd som CTB-Locker börjat att infektera målsystem. Oklart om det var detta rasomware som infekterade Skolverket och krypterade 20 miljoner filer(?).

CTB-Locker sprids framförallt som bifogade filer i E-post där filändelsen är .scr (screensaver) och vid infektion visas nedan meddelande som hänvisar till en Tor Hidden Services adress.

 

RansomCryptBBästa sättet att skydda sig mot denna typ av skadlig kod är att se till att det finns backup men även i fallet med Skolverket så tar det tid att återställa många filer.

Se även till att hålla antivirus uppdaterat och blockera suspekta filändelser i perimeterskyddet.

 

Året som gick, populära inlägg 2014

Nedan finner du 2014 års populäraste inlägg här på bloggen. Kan sammanfattas som om VPN-tjänster är populärt. Bloggen besöktes 51000 gånger under 2014 och populäraste trafikkällan är Facebook följt av Twitter samt IDG.

10 stycken kostnadsfria VPN-tjänster
XSS försök i valet
Utbrett problem med falska basstationer
Falska basstationer i Norge
Shellshock – Ny sårbarhet allvarligare än Heartbleed
10 alternativ till Truecrypt
Ny svensk VPN-tjänst: Ovpn
Försvarsmakten: Cyberkriget är här
Operatörer utför nedgraderingsattacker
Granskning av TV-leaks

Inför 2015 så välkomnar vi alla nya läsare och fokuserar mer på IT-säkerhet samt kryptering.

John the Ripper 1.8.0-jumbo-1

John the RipperLösenordsknäckarverktyget John the Ripper (jtr) finns nu ute i en ny version med massor av intressanta nyheter. Att denna version har jumbo i namnet antyder att det är bidrag från användare som finnes med (community edition).

Totalt finns det 4800 kodändringar sedan den förra versionen och även så används autoconf så att stöd för diverse GPU-bibliotek kommer med automatiskt.

JTR stödjer nu även 440 olika format på hashar som kan knäckas.

För att ladda hem community-versionen besök följande sida:

Ny status gällande samhällets informationssäkerhet

För några år sedan släpptes nationella handlingsplanen för samhällets informationssäkerhet av Samverkansgruppen för informationssäkerhet
(SAMFI), det vill säga Försvarets materielverk (FMV), Försvarets radioanstalt (FRA), Försvarsmakten, Post- och telestyrelsen (PTS) samt Säkerhetspolisen/Rikskriminalpolisen.

Syftet med handlingsplanen är att genomföra central aktiviteter för att öka samhällets informationssäkerhet och att ge stöd till viktiga samhällsaktörer ‒ myndigheter, landsting och kommuner men också privata leverantörer av nät- och driftstjänster ‒ för att de ska kunna förbättra sin informationssäkerhet. Jag kan glädjande konstatera att de flesta åtgärder nu är genomförda, vilket känns bra inför den avslutande delen av arbetet som sker under nästa år, säger Richard Oehme, chef för verksamheten för samhällets informations- och cybersäkerhet, MSB.

Planen innehöll ett trettiotal olika förslag på åtgärder för att höja den nationella informationssäkerheten och några av förslagen är:

  • Utveckla ett kryptogranskningsregelverk för kommersiella produkter
  • Ökad säkerhet i industriella informations- och styrsystem (SCADA)
  • Fortsätta utveckla stöd för offentliga och privata organisationers
    informationssäkerhetsarbete
  • Utlysning av ramforskningsprogram kring informationssäkerhet
  • Utreda samhällets utbildnings- och kompetensbehov inom informationssäkerhetsområdet
  • Ökad samverkan för att förebygga och hantera allvarliga it-incidenter
  • Planera, genomföra och utvärdera informationssäkerhetsövningar
  • Förebyggande åtgärder för att öka säkerheten i de elektroniska kommunikationerna

Som ett resultat av ovan förslag är ett framtagande av ett krypto för skyddsvärda uppgifter (KSU) samt SGSI som är Swedish Government Secure Intranet. Delvis saxat från rapporten som släpptes idag (hittas längst ner):

Swedish Government Secure Intranet (SGSI)

Swedish Government Secure Intranet (SGSI) är ett kommunikationsnätverk som ger säker kommunikation mellan myndigheter i Sverige och i Europa. SGSI är skilt från internet och trafiken är krypterad, samt att SGSI är utformat för att klara höga krav på tillgänglighet och driftsäkerhet.

Myndigheter som vill kommunicera med EU-administrationen eller med en annan medlemsstat genom sTESTA (secure Trans European Services for Telematics between Administrations, vilket är ett säkert nät mellan EU:s medlemsstater och EU:s olika organ) måste vara anslutna till SGSI. SGSI är Sveriges enda nätverk med koppling till sTESTA och uppfyller EU-rådets och Kommissionens föreskrifter för hantering av (klassificerad?) information.

SGSI

Inom Sverige använder myndigheter SGSI som ett säkert nätverk för utbyte av känslig information och minskar därmed risker kopplat till att skicka information över internet. SGSI används bland annat för att få åtkomst till olika databaser hos de olika anslutna myndigheterna och så finns en tjänst för videkonferens inom SGSI.

Nationellt evalueringslaboratorium

FMVRapporten berättar även att FMV håller på att upprätta ett nationellt evalueringslaboratorium för att analysera fysiska attacker mot information i datorutrustning. Även i arbetet med detta håller en rapport att färdigställas och FMV/CSEC har i samverkan med FRA och Försvarsmakten besökt
Ångström Microstructure Laboratory vid Uppsala universitet.

Rapporten, när den blir klar under Q1 kommer den att innehålla:

  • Exempel på scenario där fysiska attacker genomförs
  • Exempel på hur attacker genomförs.
  • Exempel på olika former av skydd mot fysiska attacker.
  • Verktyg som används för att genomföra attacker
  • Internationellt arbete inom området
  • Samverkan inom Europa för att certifiera produkter, SOGIS-MRA
  • Krav på en certifieringsordning för hårdvaruevaluering
  • Krav evalueringslaboratorium, inklusive personal, utrustning, utbildning, lokaler, datorutrustning och nätverk
  • Möjlig väg för att etablera en certifieringsordning för hårdvaruevaluering

Tekniska detekterings- och varningssystem (TDV)

FRAFRA fick i november 2011 ett regeringsuppdrag  att ta fram en pilotversion av TDV som har testats hos en myndighet (regeringsuppdraget redovisades i december 2012). TDV är tänkt som ett extra skydd för de skyddsvärda funktionerna i samhället.

Myndigheten anger att det som är avgörande för systemets funktion är de kvalificerade detekteringsverktyg och signaturer som används för att upptäcka IT-angreppen. Signaturerna skapas med hjälp av kunskap från FRA:s uppdrag både på informationssäkerhets- och signalspaningsområdet.

Pilotprojektet har visat att systemet fungerar genom att avancerad skadlig kod som sannolikt härrör sig från kvalificerade angripare har upptäckts.

Statusrapporten

Här kan du ladda hem rapporten från SAMFI-myndigheterna om samhällets informationssäkerhet (PDF) som släpptes idag:

SAMFI plan