[MIS]ter & [MIS]sis Team

Рейтинг упоминания критичных уязвимостей 2018 года по версии СМИ

Время подводить итоги года. Поскольку мы — часть компании, специализирующейся на аналитике СМИ — представляем вам рейтинг критичных уязвимостей, которые упоминались в СМИ в 2018 году. Обращаем ваше внимание, что рейтинг показывает то, какие уязвимости вызвали интерес у непрофильных СМИ (не ИТ и ИБ СМИ).


https://medium.com/@karelova.ov/рейтинг-упоминаний-критичных-уязвимостей-2018-года-по-версии-сми-f33c56911cae

Заметки на полях

Если вы очутились на машине заказчика и у вас нет времени бегать по папкам и смотреть какие документы где лежат - быстрое решение - посмотреть файлик index.dat

Он находится в \AppData\Roaming\Microsoft\Office\Recent\index.dat и показывает какие файлы открывались последними в различных приложениях MS Office.

Это могут быть какие-то интересные файлы с кредами или сетевой информацией. Найти нужный файл гораздо легче, зная его имя)

#redteam

0day в MS Windows

Тут выпустили PoC для уязвимости, которая позволяет осуществлять произвольное чтение файлов.

Правда с правами системы. Но вдруг кому пригодится)

Исследователь опубликовал все в обход Microsoft. По всей видимости патчей ещё нет.

Подробнее почитать можно здесь -
https://www.bleepingcomputer.com/news/security/windows-zero-day-poc-lets-you-read-any-file-with-system-level-access/

Скачать реализацию здесь - https://drive.google.com/file/d/1fMuDp1Rqy4oUrM3W7r3ika03Y9-5Xtds/view?usp=sharing

У кого-то будет очень Happy Christmas!

МФУ действительно многофункционально

Для удобства сотрудников и поддержки документооборота в компаниях используются сетевые МФУ и принтеры. И большинство из них имеет дефолтные логин и пароль для панели управления. При проведении RedTeam исследований такие устройства очень полезны.

Поскольку устройство сетевое - пользователю нужно проверить доступно оно или нет. В большинстве МФУ есть кнопка "проверить соединение". Что происходит в момент, когда пользователь на нее нажимает?

При подключении пользователя устройство должно проверить, что предоставленные креды пользователя валидны. Для этого оно должно спросить у ldap сервера все ли хорошо с пользователем и отправить предоставленные данные. Недостаток заключается в том, что можно подменить IP адрес сервера. И тогда, слушая 389 порт мы получаем креды пользователя в открытом виде.

#redteam

OSINT китайских пользователей

А китайский язык тоже становится международным языком. Вы наверное заметили, что в аэропортах информация теперь дублируется не только на английском, но ещё и на китайском (правда не во всех ещё, но уже встречали такое).

Бывает так, что заказчиком RedTeam кампании выступает китайская фирма. И тут исследователей ждут сюрпризы, связанные с китайским языком и великим китайским фаерволом. Но работать надо. И на первом этапе надо каким-то образом провести OSINT.

Проводя OSINT невольно задумываешься о том, что многие методы работают для европейских пользователей и совершенно не очевидно их применение для Китая. Потому что иероглифы. Потому что совершенно непонятно.

Великий китайский фаервол и иероглифы надёжно защищают китайских пользователей от osint, а также массовых атак. В новостях постоянно проскальзывает информация об активности китайских APT группировок. И очень мало информации о том, что ресурсы Китая подверглись атаке.

А ещё в Китае запретили Facebook и Twitter. И методы по исследованию через такого рода соц сети тоже не работают.

В общем OSINT для Китая надо тоже как-то проводить. В Китае много своих местных соц сетей, разрешенных правительством. Одной из таких соц сетей является Maimai - аналог LinkedIn. Говорят, что по ней удобно искать сотрудников китайских компаний. И даже тулза есть специальная для OSINT под эту соц сеть. Называется MaiInt.

Единственный минус - нужны логины и пароли от этой соц сети - надо зарегистрироваться.

На выходе получается табличка с китайскими пользователями, которые имеют отношение к определенной компании, их должности и почты. И все конечно на китайском...

https://github.com/vysec/MaiInt

Windows Defender ATP или агент по умолчанию

Помните, года так 3-4 назад всегда смеялись, что defender не антивирус и что его наличие на компьютере никак не мешает запуску всего, что нужно пентестеру.

Время идёт и заметили, что defender то стал более качественным и, действительно, иногда показывает результат гораздо лучший, чем некоторые другие антивирусы.

А тут ещё в ноябре вышел отчёт от команды Windows Defender ATP, в котором они рассказывают о новой атаке группировки Tropic Trooper.

В тексте проскальзывает, что обнаружили оперативно за счёт постоянного мониторинга процессов и приложений, а также оперативной отправки информации в Microsoft.

Возможно скоро вместо модных агентов для анти-apt решений будем ставить просто Windows. И все будет хорошо.

Помните, что большой брат (Windows) следит за вами. И ему очень интересно, что же у вас происходит на компьютере. По умолчанию, без лишних вопросов - ваш личный агент Windows Defender ATP.

Интересное чтиво
https://cloudblogs.microsoft.com/microsoftsecure/2018/11/28/windows-defender-atp-device-risk-score-exposes-new-cyberattack-drives-conditional-access-to-protect-networks/

Offline Attack on AD
Сегодня делимся с вами презентацией с HIP conference 2018.

Создатель DSInternals рассказывает о том как можно хулиганить в AD, как круто для злоумышленника, когда включен credential roaming и как слабые пароли могут изменить жизнь всего домена.

https://www.dsinternals.com/wp-content/uploads/HIP_AD_Offline_Attacks.pdf

Заметки на полях
Говорят, что для того, чтобы SEP (Symantec Endpoint Protection) не детектил вредонос на системе в виде .exe файла - его надо залить на машину не как .exe и локально сделать .exe

SEP проверяет репутацию файлов, загруженных из интернета, но, по всей видимости, доверяет машине, на которой он установлен.

UPD: проверили. Не работает.

Но работает другая: запуск вредоносного файла через PowerShell будет палиться SEPом. Если переименуем PowerShell в example.exe и запустим через него - отработает без каких-либо подозрений от SEP

Вопросики в Windows10

Пост из серии "фишечки" от microsoft.

При проведении RedTeam или пентеста все стараются получить права доменного администратора и, самое главное, не потерять их. Как уже говорили - всегда стараются использовать встроенные методы и фишечки. Постоянно появляются новые методы на основе DCShadow или DACL.

На BlackHat Europe ребята рассказали о новом подходе - использующем функции безопасности Windows 10.

В апреле Microsoft представила новую "фишечку" - секретные вопросы пользователя, используя которые он сможет восстановить доступ к локальной учётной записи. Вопросы не интеллектуальные от слова совсем. "Как звали вашего первого питомца?" - такие вопросы стоят на страже безопасности вашего домена.

Попав в сеть компании, используя функцию "сброс пароля" можно поменять пароль, а затем восстановить старый. Спасибо, dpapi!

Кстати, функция включена по умолчанию!

Подробнее можно прочитать в презентации доклада по ссылке ниже

https://i.blackhat.com/eu-18/Wed-Dec-5/eu-18-Baz-When-Everyones-Dog-Is-Named-Fluffy.pdf

Telegram как транспорт, ваш телефон как CC

Вот мы и дожили до того светлого момента, когда в качестве транспорта для общения с CC используется Телеграм бот.

Telepreter - бот, написанный на powershell и использующий api телеграма.

Загружаем несколько dll на Винду жертвы, запускаем powershell командой и можем управлять со своего телефона.

А самое главное - это не вызовет подозрений. Ведь все так любят ставить телеграм на компьютер и обращение к api телеграм в сети будет выглядеть нормально)

https://0x00-0x00.github.io/tools/2018/12/10/Pwning-Computers-using-Telegram-bot-API.html

Немного об обфускации Impacket

Сегодня рассказываем о проблемах, связанных с использованием Impacket на машинах заказчика, и предлагаем рабочие решения.

Подробнее ниже!

https://medium.com/@karelova.ov/немного-об-обфускации-impacket-aad0ca2dad96

Порядок в доменах - залог успеха

При проведении RedTeam кампаний приходится регистрировать разные доменные имена для фишинга или CC.

Когда проектов становится много и они идут одновременно - начинаешь путаться в том какие домены и для какой цели были зарегистрированы. Особенно бывают фейлы, когда для проведения RedTeam используешь доменное имя, которое уже внесено в блэк лист средствами защиты, а ты об этом ещё не знаешь и мучительно пытаешься хоть что-то сделать.

Совершенно внезапно мы обнаружили, что с такой проблемой столкнулись не только мы. Постоянный мониторинг зарегистрированных доменов - тема очень актуальная.

Также совершенно внезапно нашли проект от SpecterOps - DomainCheck (https://github.com/GhostManager/DomainCheck), который позволяет мониторить зарегистрированные домены.

Мониторинг происходит по нескольким направлениям:
1) проверка не находится ли домен в базах Virus Total, TrendMicro, Bluecoat, CiscoTalos и т.д.
2) проверяет, что у домена не истек срок годности и дата его регистрации
3) логирует историю dns записей
4) проверяет не находится ли домен в блэк листе на malwaredomains.com

Из минусов: на данный момент работает только с доменами, зарегистрированными на Namecheap. Однако это достаточно просто исправить - надо прикрутить API вашего любимого регистратора доменов.

Более подробную информацию можно прочитать ниже

#redteam

https://posts.specterops.io/being-a-good-domain-shepherd-57754edd955f

GitHub Desktop RCE для OSX

Недавно опубликовали PoC и описание уязвимости для десктопного приложения GitHub для OSX.

Злоумышленник мог внедрить вредонос в свой гитхаб репозиторий и отправить ссылку жертве.

Если жертва пользуется приложением GitHub Desktop и нажимает на кнопочку "клонировать с помощью приложения" - злоумышленник получается возможность удаленно выполнять код на машине жертвы.

Очень красиво.

Пофикшено с v1.3.4

https://pwning.re/2018/12/04/github-desktop-rce/

RedTeam cheatsheet

У каждой RedTeam команды есть свои наработанные методы работы, доработаннвй набор инструментов, уникальные словари и т.д.

Marco Lancini вдохновился книгой "The Hacker Playbook3: Red Team Edition" и составил небольшой cheatsheet по методам, представленным в этой книге.

Может и вы найдете там что-то полезное для себя!

#redteam

https://www.marcolancini.it/images/posts/blog_hackerplaybook_mindmap.png

Habr Time

А тем временем мы начинаем публикацию статей по мотивам наших докладов на offzone-2018.

Первую статью про атаку MS Exchange Relay вы уже можете прочитать на Хабре!

#offzone

https://habr.com/post/432182/

Рубрика "фишечки" от Microsoft

А тем временем Microsoft анонсировала новую фишечку, которая уже доступна для пользователей windows10 - вход в аккаунт microsoft без логинов и паролей.

Microsoft решила прикрутить FIDO2 (Fast Identity Online). Таким образом логиниться в свой microsoft аккаунт можно теперь несколькими способами: Windows Hello или какое-либо FIDO2 устройство (как хардварное, так и софтварное).

Как все происходит. При входе в систему (при логине в вашу ос windows на вашем компьютере) microsoft предоставляет некий nonce (некое одноразовое число) и просит ваш ПК подписать его с помощью вашего закрытого ключа, который хранится либо на устройстве (windows hello), либо на FIDO2 устройстве. Подписанный nonce и метаданные отправляются в систему учетных записей microsoft и проверяются с помощью открытого ключа, хранящего там. В случае если все хорошо - вы авторизованы.

Интересная тема для ресеча. Ведь все наверняка шифруется стандартными виндовыми средствами. DPAPI?😉

#crypto

https://www.microsoft.com/en-us/microsoft-365/blog/2018/11/20/sign-in-to-your-microsoft-account-without-a-password-using-windows-hello-or-a-security-key/

А вы слышали про UDVC?

UDVC (Universal Dynamic Virtual Channel) - реализация пивотинга через RDP.

Достаточно одного открытого порта 3389 (стандартного для подключения по rdp) и у вас есть прямой канал в сеть заказчика.

Как так получается? Очень просто - спасибо Microsoft за различные "фишечки", которые оказываются полезными не только пользователям, но и пентестерам. Такими "фишечками" стали RDP virtual channels (реализовано начиная с win2008).

Таким образом, используя стандартные функции windows и один открытый порт, можно получить полноценный доступ внутрь сети заказчика и организовать там полноценный socks-сервер!

Ссылка на реализацию такого пивотинга ниже

#redteam

https://github.com/earthquake/UniversalDVC/blob/master/README.md

!!Breaking news!!

В сети происходит активное распространение новой модификации шифровальщика Dharma!!

Шифровальщик попадает на ваш компьютер через спам рассылку. В рассылке либо ссылка на вредоносный сайт, либо зараженный документ (стандартно в общем). Тема письма в основном - сообщения от транспортных компаний по вашим посылкам и доставкам. Но могут быть и другие варианты.

Атаке подвержены все версии ОС Windows (и старые и новые). Используемые методы шифрования - AES-265 и RSA. Все файлы становятся с расширением file.some_id.[audit@cock.li].risk

На данный момент расшифровальщиков для данного вредоносного НЕТ!!

Пожалуйста, будьте бдительны, обращайте внимание на то, какие письма вы открываете!!

А также проводите аудиты ИБ не только тогда, когда что-то случилось!

Думаете о своей безопасности и безопасности компании!

С чего начинается любая RedTeam кампания?
Правильно! С построения инфраструктуры.

Инфраструктура для RedTeam мероприятий гораздо обширнее, гибче и более надёжная, чем при проведении обычного пентеста.

Зачем это нужно? Чтобы полностью имитировать целенаправленную атаку, запутывать команду BlueTeam и пытаться обойти различные средства защиты.

У каждой RedTeam команды свои наработки по поводу инфраструктуры, которые формируются не сразу и зависят от степени защищённости компании Заказчика.

Однако можно выделить общие рекомендации по построению такого рода инфраструктуры.

По ссылке отличный материал, в котором рассматриваются основные моменты, касающиеся инфраструктуры, при проведении RedTeam.

Enjoy!

#redteam

https://github.com/bluscreenofjeff/Red-Team-Infrastructure-Wiki/blob/master/README.md

В ноябре вышел новый релиз sn1per от XeroSecurity.

Отличный фреймворк для osint!

Если вы ещё не пользовались - очень рекомендуем. Даже бесплатная версия оказывается очень полезной.

#redteam

https://github.com/1N3/Sn1per