Video

Artikel mit Videos

Windows Defender abschalten

Die Windows Defender Antivirus-Features wurden in der Vergangenheit ständig verbessert. Der mittels Metasploit-Framework (Msfvenom) erstellte Payload, wird in der Regel zuverlässig erkannt. Für Penetrationstester und Red Teams wird es zunehmend schwerer, den in der Cloud bereitgestellten Schutz einschließlich der verhaltensbasierenden/heuristischen Erkennung zu umgehen.

Für Administratoren existieren eine Reihe von Möglichkeiten, um Windows Defender zu administrieren und die Software den eigenen Anforderungen anzupassen.

Angreifer versuchen zunehmend ihre vorhanden Payloads so abzuändern, dass sie einer Prüfung wiederstehen können. Hier wenden sie neue Methoden für die Verschlüsselung des Codes bzw. des Datenverkehres aber auch der absichtlichen Veränderung von Programmcode (Obfuskation) an.

In diesem Beitrag beschreibe ich, wie Sie mit Hilfe des USB-Rubber-Ducky und Digispark den Windows Defender in Windows 10 abschalten können. Voraussetzung ist, dass der Angreifer/ Penetrationstester lokal Zugang zum Opfer-PC hat und der verwendete Nutzer administrative Rechte auf dem lokalen System besitzt. Dieser Angriff sollte somit in zentral administrierten Netzwerken nicht zum Erfolg führen, da hier der reguläre Nutzer seine Rechten nicht so einfach mit Hilfe der Benutzerkontensteuerung (UAC) eskalieren kann.

In der Literatur und im Internet lassen sich mehrere Möglichkeiten finden, um den Windows Defender abzuschalten. Für dieses Beispiel habe ich die Möglichkeit mittels PowerShell gewählt.

Zur Konfiguration der Windows-Defender Scans und Updates existieren eine Reihe von Parametern, die im Windows IT Pro Center eingesehen werden können. Die hier aufgeführten Optionen sind selbsterklärend.

WeiterlesenWindows Defender abschalten

Eine Hintertür für mein Android-Gerät

Mit dem Shell-Skript backdoor-apk lassen sich einfach und schnell Hintertüren in beliebige Android APK-Dateien einbauen.  Dabei kümmert sich das Skript automatisch um folgende Schritte:

  • Erstellen des Meterpreter Payloads
  • Dekompilieren der Anwendung
  • Einbau des Payloads
  • Obfuscating der APK-Datei
  • Hinzufügen von Persistence
  • Erstellen der notwendigen Schlüssel und Signaturen
  • Erstellen der Metasploit Ressource-Datei
  • Speicherung der neuen Datei (mit Backdoor) im Verzeichnis original/dist

WeiterlesenEine Hintertür für mein Android-Gerät

Eskalierung der Rechte auf Windows-PCs

Im diesem letzten Beitrag für das Jahr 2017 möchte ich nochmal untersuchen, ob eine Rechteeskalierung in den aktuellen Windows Betriebssystemen mittels der bekannten Penetration Testing Frameworks möglich ist. Gleichzeitig möchte ich prüfen, welchen Schutz Virenschutzprogramme gegen die einschlägigen Techniken bieten. Als „Versuchsobjekte“ habe ich Windows 10 mit dem integrierten Virenschutz „Windows Defender“ und Windows 7 mit „McAfee – Total Protection“ ausgewählt. Beide Betriebssysteme befinden sich auf den neusten Stand. Die Virenschutzdefinitionen habe ich vor dem Test aktualisiert.

WeiterlesenEskalierung der Rechte auf Windows-PCs

Kali Linux mit verschlüsselter USB Persistenz

Die Live-Version von Kali Linux verfügt im Standard-Boot-Menü über zwei Persistenz-Optionen, die den permanenten Erhalt von Daten ermöglichen. Somit können alle während eines Penetrationstests gesammelten Dokumente, Testergebnisse und Konfigurationen auf dem USB-Stick erhalten bleiben und stehen nach einem Neustart erneut zur Verfügung. Diese Daten werden in einer eigenen Partition auf dem USB-Laufwerk gespeichert.

Da es sich bei Penetrationstest oftmals um sehr sensible Daten handelt, lassen sie sich zusätzlich durch LUKS verschlüsseln. Diese Anleitung zeigt die notwendigen Schritte, um einen USB-Stick für die Live-Version von Kali Linux zu erzeugen, eine zusätzliche Partition für die permanenten Daten einzurichten und diese zu verschlüsseln.

Sie benötigen einen USB-Sick (ab 8 GB). Nachdem Sie die Live-Version von Kali Linux erstellt haben, müssen noch einige Einstellungen vorgenommen werden, die man am besten auf einem Linux-System ausführt.

WeiterlesenKali Linux mit verschlüsselter USB Persistenz

OSX persistent Backdoor mit Empire Framework und Bash Bunny

Post-Exploitation Frameworks werden immer dann eingesetzt, wenn Penetrationstester schon Zugriff auf ein Zielnetzwerk haben und von hier weitere Angriffe auf dem IT-Gerät oder im Netzwerk ausführen möchten.
Ich habe in diesem Zusammenhang schon mehrfach über das Empire Framework berichtet. Es ist seit seiner Vorstellung während der BSides in Las Vegas im Juli 2015 ständig weiterentwickelt worden.
Zum gegenwärtigen Zeitpunkt liegt das Werkzeug in der Version 2.1 vor. Mittlerweile sind die bisherigen Projekte PowerShell Empire und Python EmPyre zusammengeführt und enthalten neben den reinen PowerShell2.0 Windows Agenten nun auch Python 2.6 / 2.7 Linux und OSX Agenten. Das Framework bietet eine kryptologisch sichere Kommunikation und eine flexible Architektur.

In diesem Beitrag möchte ich zeigen, wie man mit Hilfe des Empire Frameworks eine dauerhafte Hintertür in OSX erzeugen kann, sie mit dem Bash Bunny auf ein Zielsystem überträgt (Inject) und auch wieder löscht (Cleanup). Insgesamt müssen 4 Dateien erstellt werden. Wir gehen dazu Schritt für Schritt vor.

Wer noch nicht mit dem Empire Framework vertraut ist, den empfehle ich vorangegangen Beiträge oder meine Artikel in der Zeitschrift iX.  Das Framework lässt sich auf einem Linux System leicht installieren.

WeiterlesenOSX persistent Backdoor mit Empire Framework und Bash Bunny

Eine Dropbox für das Empire Framework

Penetrationstester müssen sich manchmal mit Szenarien befassen in denen der ausgehende Datenverkehr in Netzwerken blockiert oder sehr stark eingegrenzt wird. Häufig existieren dann nur bestimmte Freigaben auf freigegebene Webseiten (Whitelists) oder zu bestimmten externen Servern.

Ist dies der Fall, so können evtl. gesteuerte Zugriffe per DNS oder über File-Sharing-Services wie Dropbox bzw. Google Docs einen Datenaustausch ins externe Netzwerk (oder Internet) ermöglichen.

In diesem Blogeintrag möchte ich mich mit der Möglichkeit befassen, Dropbox als Plattform zum Austausch von Befehlen zu nutzen. Ein möglicher Angreifer wäre somit in der Lage, diese Funktionalität für böswillige Aktivitäten auszunutzen um somit Zugriff auf interne Netzwerke zu erlangen.

Mit dem Empire Framework ist dem Penetrationstester ein Werkzeug an die Hand gegeben, mit dem sich eine solches Szenario nachstellen lässt, um mögliche Auswirkungen im eigenen Netzwerk nachvollziehen zu können. In der Version 2.0 wurde der dbx Listener hinzugefügt, mit dem sich die Dopbox als „Command and Control Service“ ausnutzen lässt.

Wer noch nicht mit dem Empire Framework vertraut ist, den empfehle ich vorangegangen Beiträge oder meine Artikel in der Zeitschrift iX.  Das Framework lässt sich auf einem Linux-System leicht installieren.

WeiterlesenEine Dropbox für das Empire Framework

OpenVAS 9 auf Ubuntu Server 16.04 LTS installieren

Am 8. März 2017 hat das OpenVAS-Projekt die Version 9 des Schwachstellenscanners bereitgestellt.

Das sofort sichtbare Highlight dieser neuen Version ist die aktualisierte Benutzeroberfläche. Diese reicht von einer erweiterten Dashboard-Funktion über ein Vollbild-Browser-Fenster bis hin zu intelligenten Dialogen.

Das neue Asset-Management ermöglicht eine Sicht auf die Scan-Ergebnisse für Hosts und Betriebssysteme und bildet die Grundlage für den neuen Schwachstellenmanagement-Workflow. Außerdem ist es nun möglich weitere Systeme als Schwachstellenscanner einzubinden, um so einen weiteren Schritt in die Richtung einer kompletten Multi-Scanner-Architektur zu machen.

In diesem Beitrag wird die Installation von OpenVAS 9 auf einem Ubuntu Server 16.04 LTS beschrieben.

Schritt 1 – Paketquelle festlegen

Das Hinzufügen einer Paketquelle verlangt Root-Rechte. Ist dies erfolgt, so müssen die Quellen neu eingelesen werden. Somit ist sichergestellt, dass  die neuen Pakete einsetzbar sind.

sudo add-apt-repository ppa:mrazavi/openvas
sudo apt-get update

WeiterlesenOpenVAS 9 auf Ubuntu Server 16.04 LTS installieren

Bash Bunny – Auslesen von WLAN Passwörtern

Im letzen Beitrag wurde hier der Bash Bunny vorgestellt. Derzeit existieren bereits eine große Anzahl an fertigen Skripten für die verschiedensten Anwendungsbereiche.

Die als Payloads bezeichneten Anwendungen sind in einer Bibliothek zusammengefasst und sollten zunächst auf dem Bash Bunny übertragen werden. Dazu lädt man alle Verzeichnisse als Zip-Datei von github.com herunter und überträgt die ausgepackten Dateien und Verzeichnisse auf den Bash Bunny.

Folgende Dateien und Verzeichnisse sind relevant:

  • docs – Kurzdokumentation (Qick-Reference) mit wichtigen Informationen zu Einstellungen und Nutzung
  • languages – verschieden Spracheinstellungen in Dateiform
  • payloads – wichtige Erweiterungen, alle derzeit verfügbaren Payloads als Bibliothek, Beispielskripte in den Switchen 1 und 2

Im Wurzelverzeichnis kann in der Datei config.txt eine globale Einstellung für die zu verwendende Sprache vorgenommen werden. Für die deutsche Sprache ist hier DUCKY_LANG de einzutragen.

WeiterlesenBash Bunny – Auslesen von WLAN Passwörtern

PenTesters Framework auf Ubuntu MATE installieren

Das PenTesters Framework (PTF) ist eine von David Kennedy  in der Programmiersprache Python geschriebene Anwendung, die vorrangig für Debian und Ubuntu-Systeme entwickelt wurde. Mit Hilfe dieses Werkzeuges lassen sich verschiedene Tools für Penetrationstests in Verzeichnissen zusammenfassen und aktualisieren.

Das so zusammengetragene Toolset vereinigt regelmäßig eingesetzte Werkzeuge (Module) in einer zentralen Umgebung, die sich für die eigene Nutzung erweitern lassen.

Für einen ersten Test werden wir PTF in einer virtuellen Umgebung auf einem Ubuntu-MATE-System (64 bit) installieren.

WeiterlesenPenTesters Framework auf Ubuntu MATE installieren

Windows Keylogger mittels Word Makro und Empire

Vor fast genau einem Jahr hatte ich gezeigt, wie man mittels des „Empire Frameworks“ ein Makro erzeugen und in MS-Powerpoit einbinden kann.

Mich hat heute interessiert, ob diese Methode bereits von Virenschutzprogrammen aktuell erkannt und ein Angriff damit automatisch verhindert wird. Als Testkandidat habe ich Symantec Endpoint Protection gewählt.

Die Installation von „Empire“ auf Kali Linux erfolgte mittels git ohne Probleme. Mittlerweile sind dort zwei „Stager“ („macro“ und „scrambled_macro“) vorhanden, mit denen Makros erzeugt werden können.

Der Stager „macro“ erzeugt ein VBA Skript, dass in MS-Office Dokumente eingebunden werden kann. „Scrambled_macro“ ist eine weiterentwickelte Variante. Durch Obfuscation wird versucht, den Programmcode schwer verständlich oder unlesbar zu machen.  Virenschutzprogramme sollen dadurch getäuscht bzw. in Ihrer Arbeit behindert werden.

Wer mehr über das Empire Framework erfahren will, den empfehle ich meine Artikelserie in der iX 05/2016, 06/2016 und 07/2016.

Tatsächlich fiel auf, dass die mit beiden Methoden erstellten Makros, durch den Virenschutz aktuell erkannt werden.

WeiterlesenWindows Keylogger mittels Word Makro und Empire