O

penSSH – Secure Shell Server zapewnia bezpieczny, szyfrowany zdalny dostęp do systemów *niksowych. Po stronie serwera znajduje się plik authorized_keys w katalogu .ssh (głównym folderze użytkownika), w którym można skonfigurować uwierzytelnianie za pomocą klucza publicznego. Przy normalnej konfiguracji użytkownik uzyskuje pełny dostęp do systemu, w którym skonfigurowano uwierzytelnianie. Jednak w niektórych przypadkach, takich jak automatyczne operacje na zdalnych serwerach (np. wdrażanie kodu, tworzenie kopii zapasowych, uruchamianie konkretnych skryptów), sensowne jest ograniczanie dostępu do kilku lub nawet jednego polecenia. Oprócz ograniczenia poleceń dla danego użytkownika zapobiegamy również kompromitacji zdalnego serwera w przypadku przejęcia klucza prywatnego.
[ czytaj całość… ]

J

akiś czas temu zapoznaliśmy się z danymi rejestracyjnymi nazw domenowych WHOIS. Ich odwrotnością są bazy, które oprócz nazw domenowych indeksują inne metadane, aby później na ich podstawie zidentyfikować inne domeny. Tak działają właśnie bazy reverse whois – odnoszą się do pobierania wszystkich dostępnych informacji o określonej nazwie domeny. Możemy na przykład użyć dowolnej informacji zwykle widocznej w typowym rekordzie WHOIS (np. nazwisko właściciela domeny, nazwę firmy, adres e-mail itp.), aby wyszukać wszystkie nazwy domen, które mają te same metadane. Pomyślmy o tym w ten sposób: nie musimy już grzebać w rekordach DNS, aby ustalić jakie inne domeny należą do firmy “X”. Wystarczy, że znamy jej główną domenę. Za pomocą polecenia whois dla tej domeny możemy skupić się na charakterystycznej informacji i sprawdzić z jakimi innymi domenami jest ona jeszcze powiązana. Przykład:

whois hackergathering.com
...
Registrant Organization: Cyber Illuminati
Registrant Country: PL
...

Jeśli teraz przeszukamy bazy reverse whois szukając wartości rekordu: Cyber Illuminati w polu Owner name / Company name to powinniśmy otrzymać wszystkie inne domeny, które zostały założone przez organizację CI. Przykład – John Smith jest właścicielem 45,755 domen. Z kolei po adresie e-mail rejestratora Aftermarket możemy zobaczyć domeny za jakie jest odpowiedzialny, czy jakie domeny posiada firma OVH.

Więcej informacji: Whoxy, WhoisXML, DomainTools, ViewDNS, ReverseWhois

1

7 listopada 2022 roku główny programista kryptowaluty Bitcoin – Luke Dashjr poinformował na swoim koncie Mastodon, że ktoś nieautoryzowany uzyskał dostęp do jego serwera Linux. Doprowadziło to do ukierunkowanego napadu na jego kryptowalutę, a także kradzież jego klucza PGP. Badacz bezpieczeństwa Taha Karim otrzymał od Luka kopię znalezionych na serwerze próbek publikując niedawno ich analizę. Początkowy wektor infekcji serwera nadal pozostaje niepotwierdzony, ponieważ padło parę podejrzeń w tym podłączenie szkodliwego nośnika bezpośrednio do serwera. W ramach ataku rzekomo skradziono 200 BTC o wartości na ten czas 3,6 miliona dolarów. Nie jest też jasne, w jaki sposób atakujący przeskoczyli z serwera na stację roboczą (lub odwrotnie).

Podczas przeprowadzonej analizy wyodrębniono dwa narzędzia: DARKSABER – nieco zmodyfikowany wariant TinyShell, który jest otwartym oprogramowaniem typu backdoor, zapewniając zdalne wykonanie powłoki, a także przesyłanie plików. Warto zauważyć, że backdoor ten jest trudny do zmodyfikowania lub przejęcia kontroli (w przypadku wykrycia) bez znajomości tajnego klucza, który jest używany do uwierzytelniania i szyfrowania komunikacji klient – serwer przy użyciu algorytmu szyfrowania AES-CBC-128 (odbywa się weryfikacja dla każdego wysłanego / odebranego pakietu). SHADOWSTRIKE – zwrotna powłoka TCP na platformę *nix napisana w języku Perl również oparta o otwarty i znany skrypt autorstwa pentestmonkey – perl-reverse-shell. Posiada on ciekawą opcję ustawiania nazwy procesu pod którą ukrywa się skrypt maskując sesję “mrocznego operatora”.

Ciekawy aspekt stanowi tutaj wykorzystanie właśnie TinyShell, ponieważ narzędzia oparte na tym rozwiązaniu były wykorzystywane przez wiele grup APT (ang. Advanced Persistent Threat) począwszy od takich jak APT31, PassCV, ChamelGang lub grupy UNC, jak UNC1945 lub UNC2891 oraz liczne ataki ukierunkowane od 2012 roku (nie tylko na platformy Linux).

Poniżej znajduje się przykładowa reguła YARA pozwalająca wykryć TinyShell w systemie Linux:

rule TinyShell
{
meta:
author = "Mandiant "
strings:
$sb1 = { C6 00 48 C6
         4? ?? 49 C6 
         4? ?? 49 C6 
         4? ?? 4C C6 
         4? ?? 53 C6 
         4? ?? 45 C6 
         4? ?? 54 C6 
         4? ?? 3D C6
         4? ?? 46 C6 
         4? ?? 00 }
$sb2 = { C6 00 54 C6 
         4? ?? 4D C6
         4? ?? 45 C6
         4? ?? 3D C6 
         4? ?? 52 }
$ss1 = "fork" ascii fullword wide
$ss2 = "socket" ascii fullword wide
$ss3 = "bind" ascii fullword wide
$ss4 = "listen" ascii fullword wide
$ss5 = "accept" ascii fullword wide
$ss6 = "alarm" ascii fullword wide
$ss7 = "shutdown" ascii fullword wide
$ss8 = "creat" ascii fullword wide
$ss9 = "write" ascii fullword wide
$ss10 = "open" ascii fullword wide
$ss11 = "read" ascii fullword wide
$ss12 = "execl" ascii fullword wide
$ss13 = "gethostbyname" ascii fullword wide
$ss14 = "connect" ascii fullword wide
condition:
uint32(0) == 0x464c457f and 1 of ($sb*) and 10 of ($ss*)
}

Detekcja:

FILE: /root/tsh/tshd SCORE: 70 TYPE: ELF SIZE: 63720
FIRST_BYTES: 7f454c4602010100000000000000000003003e00 / 
MD5: 9cbfbbd7a5df3fb77d110062a905b90d
SHA1: f361a0398992624eb000ebabc09ca875ed57a269
SHA256: 1f889871263bd6cdad8f3d4d5fc58b4a32669b944d3ed0860730374bb87d730a 
CREATED: Thu Feb  2 19:33:12 2023 
MODIFIED: Thu Feb  2 19:33:12 2023 
ACCESSED: Thu Feb  2 20:02:28 2023
REASON_1: Yara Rule MATCH: TINYSHELL SUBSCORE: 70
DESCRIPTION: not set REF: - AUTHOR: Mandiant
MATCHES: 
Str1: c60048c6400549c6400149c640064cc6400253c6400745c6400354c640083dc6400446c6400900 
Str2: c60054c640034dc6400145c640043dc6400252 

Więcej informacji: Trellix Insights: UNC2891 performing unauthorized cash withdrawals

G

ootloader, czyli usługa wstępnego dostępu do (firmowych) sieci dla cyberprzestępców ostatnio rozszerzyła swój zakres działalności o różne cele na całym świecie. Przypomnijmy: w 2014 roku po raz pierwszy został zauważony trojan bankowy o nazwie Gootkit. Od tego czasu ewoluował, aby stać się bardziej złodziejem poufnych informacji obsługiwanym przez grupę aktorów. Nazwa ‘Gootkit’ jest często używana zamiennie – zarówno w odniesieniu do złośliwego oprogramowania, jak i do samej grupy. W marcu 2021 roku firma Sophos jako pierwsza zidentyfikowała szersze możliwości tego oprogramowania i nazwała go GootLoader. Ten oparty o Javascript framework pierwotnie przeznaczony do infekcji Gootkitem w coraz większym stopniu zaczął dostarczać szerszą gamę złośliwego oprogramowania (w tym ransomware). Wczesna aktywność kampanii platformy Gootloader została po raz pierwszy zauważona przez analityka zagrożeń z firmy Proofpoint pod koniec 2020 roku, a następnie zbadana i opisana przez ASEC, Malwarebytes i TrendMicro.
[ czytaj całość… ]

L

0pht Heavy Industries (wymawiane “loft”) był kolektywem hackierskim działającym w latach 1992 – 2000, zlokalizowanym w rejonie Bostonu w stanie Massachusetts. L0pht była jedną z pierwszych realnych przestrzeni hackierskich (ang. hackerspace) w USA i pionierem odpowiedzialnego ujawniania błędów. Osławiona grupa zeznawała przed Kongresem USA w 1998 roku na temat “Słabe zabezpieczenia komputerów w rządzie: Czy społeczeństwo jest zagrożone ?” Jeśli spojrzymy na logo grupy to drugi znak w nazwie był pierwotnie zerem z ukośnikiem, symbolem używanym przez stare dalekopisy i niektóre systemy operacyjne w trybie znakowym, oznaczające zero. Jego nazwa online, w tym nazwa domeny to zatem “l0pht” (z zerem, a nie literą O lub Ø).
[ czytaj całość… ]

W

iele firm zamiast wystawiać w internecie swoje usługi na przypisanych do nich blokach IP (ASN) w coraz większym stopniu polegają na usługach chmur publicznych, takich jak Amazon AWS, Microsoft Azure czy Google Cloud Platform. Ponieważ infrastruktura chmury publicznej szybko staje się normą, podczas rozpoznawania zasobów danej firmy można stracić wiele obiektów skanując tylko zakresy sieci tej organizacji. Jeśli chcemy osiągnąć szybkie i najczystsze wyniki możemy połączyć ze sobą narzędzia: masscan oraz tls-scan. Oto jak hipotetycznie przeskanować zakres adresów IP i certyfikaty największych dostawców chmury publicznej w celu identyfikacji ich zasobów.
[ czytaj całość… ]

T

he Secret History of Hacking to film dokumentalny z 2001 roku, który koncentruje się na phreakingu, hackingu oraz inżynierii społecznej, które miały swój rozkwit w latach 70. i 90. Nagrania archiwalne opatrzone są komentarzami osób, które w taki czy inny sposób były ściśle zaangażowane w te sprawy. Film zaczyna się od przeglądu koncepcji wczesnych dni zjawiska phreakingu, w których zawarte są anegdoty o przygodach z telefonami opowiadane przez Johna Drapera oraz Denny Teresiego (dzwonienie dla zabawy do innych państw; inżynieria społeczna na pracownikach firm telefonicznych). Wszystko zaczęło się od rozwoju linii telefonicznych i wykonywania darmowych rozmów w czasach gdzie możliwość wykonywania połączeń była luksusem. Wszystko to za pomocą gwizdka z płatków śniadaniowych, umiejętnym gwizdaniu do słuchawki, czy użyciu gadżetu o nazwie blue box.

Druga część filmu w komentarzu Steve’a Wozniaka przechodzi od phreakingu (chociaż Wozniak również brał w nim udział poprzez rekonstrukcję blue boksa Drapera) do hobbistycznego hackowania sprzętu komputerowego. Ukazane są doświadczenia członków klubu komputerowego Homebrew (Homebrew Computer Club), na forum którego wymieniane były pierwsze doświadczenia z osobistymi komputerami takimi jak Altair 8800. To na podstawie eksperymentów z tych spotkań Steve Wozniak stworzył komputer Apple I oraz Apple II udowadniając, że bystra jednostka o innym spojrzeniu może pokonać wielkie korporacje. Hacking odnoszący się do bezpieczeństwa komputerowego oraz inżynierii społecznej dotyczą głównie doświadczeń Kevina Mitnicka. Oprócz jego dokonań w ramach włamań do różnych sieci poruszany jest temat ewolucji internetu: z otwartej sieci, w sieć biznesu, gdzie hackerzy już nie byli mile widziani i określani przez FBI terminem cyberprzestępców. Wzrost obaw społeczeństwa przed phreakowaniem oraz hackowaniem był pompowany głównie przez media. Film WarGames oraz dziennikarskie doniesienia pod postacią artykułów: “Secrets of the Little Blue Box”, czy “Cyberspace’s Most Wanted” tylko napędzały obawy i wymuszały na organach ścigania podejmowanie czasami radykalnych kroków. Poza trzema głównymi bohaterami możemy usłyszeć jeszcze komentarze tych osób: Denny Teresi, Mike Gorman, Steven Levy, Ron Rosenbaum, Paul Loser, Lee Felsenstein, Jim Warren, Johnathan Littman, John Markoff oraz Ken McGuire.

Więcej informacji: Hacker Documentary, The Secret History of Hacking

3

9 letnie hasło Kena Thompsona – współtwórcy systemu operacyjnego Unix zostało w końcu złamane. Stworzone na systemie opartym na BSD – jednej z oryginalnych wersji systemu Unix, która była wtedy używana przez różnych pionierów informatyki. W 2014 r. programistka Leah Neukirchen zauważył interesujący plik /etc/passwd w publicznie dostępnym drzewie kodu źródłowego historycznej, trzeciej wersji BSD. Zawiera on zahashowane hasła należące do ponad dwudziestu luminarzy uniksowych, którzy pracowali nad rozwojem Uniksa, w tym: Dennis Ritchie, Stephen R. Bourne, Ken Thompson, Eric Schmidt, Stuart Feldman i Bian W. Kernighan.
[ czytaj całość… ]

S

kryptowy Dzieciak (ang. script kiddie) lub skrypciak (ang. s’kiddie) – termin pochodzi prawdopodobnie z roku 1994, ale pierwszy publiczny rekord pochodzi z 1996 r. Natomiast jego pierwotne znaczenie wywodzi się z innego słowa używanego w latach 80’tych.
[ czytaj całość… ]

D

omowa sieć WiFi to nasze święte miejsce. Nasz skromny kawałek cyberprzestrzeni. Tam podłączamy nasze telefony, laptopy i inne “inteligentne” urządzenia ze sobą i internetem. Jeszcze nie ma końca dwa tysiące dwudziestego roku, a nasze sieci lokalne zostały zaludnione przez rosnącą liczbę urządzeń. Od inteligentnych telewizorów i odtwarzaczy multimedialnych po asystentów domowych, kamery bezpieczeństwa, lodówki, zamki do drzwi i termostaty – nasze LANy stały się schronieniem dla zaufanych urządzeń osobistych i domowych. Wiele z tych urządzeń oferuje ograniczone lub żadne uwierzytelnianie w celu uzyskania dostępu i kontrolowania swoich usług. Z natury ufają one innym urządzeniom w sieci w taki sam sposób, w jaki z własnej woli ufalibyście komuś, komu pozwoliliście znaleźć się w Waszym domu. Korzystają z takich protokołów, jak Universal Plug and Play (UPnP) i HTTP, aby swobodnie komunikować się między sobą, ale są z natury chronione przed połączeniami przychodzącymi z internetu za pomocą zapory ogniowej routera. Można porównać to do ogrodu otoczonego murem. Niestety wystarczy podążenie za złym linkiem, aby umożliwić atakującemu dostanie się do wewnętrznej sieci i uzyskanie kontroli nad różnego rodzaju urządzeniami.
[ czytaj całość… ]