Video Archive - Seite 4 von 5

Veil-Evasion Auxiliary macro_converter einsetzen

13/01/202016/12/2015

Makro-Viren sind eigentlich ein wenig in die Tage gekommen. Glaubt ihr das wirklich? Im Gegenteil – aktuell sind wieder verstärkt Angriffe zu verzeichnen. Auch wenn Makros seit geraumer Zeit in Office standartmäßig deaktiviert sind, gibt es viele Nutzer, die diese Anweisungen bzw. Deklarationen weiter nutzen wollen. Viele haben den Standart geändert und Makros wieder aktiviert bzw. lassen sich eine Meldung anzeigen, wenn Makro in einem Office-Dokument enthalten sind. Diese können dann mit einem Mausklick aktiviert werden. Natürlich … Weiterlesen

Lokale Netzwerkangriffe: LLMNR und NBTNS Poisoning

13/01/202014/07/2015

Wenn man Windows-Betriebssysteme in einem Netzwerk nutzt, so sind standardmäßig Link-Local Multicast Name Resolution (LLMNR) und NetBIOS Name Service (NBTNS) aktiviert. LLMNR ist ein Protokoll, das IPv6 und IPv4-Hosts ermöglicht, eine Namensauflösung benachbarte Computer ohne einen DNS-Server oder DNS-Client-Konfiguration zu gewährleisten. Das NBTNS Protokoll ist im Grunde dasselbe wie LLMNR aber funktioniert nur auf IPv4-Hosts. Auf Computern unter Windows XP wurden z. B. beim Dienst Datei- und Druckerfreigabe der NetBIOS-Name verwendet. Beim Starten des Computers registrierte dieser … Weiterlesen

Adobe Flash Player ByteArray UncompressViaZlibVariant Use After Free

08/01/201723/03/2015

Im Adobe Flash Player 16.0.0.287 und früheren Versionen für Windows und Macintosh wurde eine kritische Sicherheitslücke (CVE-2015-0311) entdeckt und durch Adobe am 22.01.2015 gemeldet. Ein erfolgreicher Angriff könnte zum Absturz der Applikation führen und einem Angreifer die Übernahme des betroffenen Systems ermöglichen.

Rapid7 hat zum Test der Schwachstelle einen Exploit entwickelt, dessen Handhabung ich in diesem Blog kurz vorstellen möchte.

Das nachfolgende Video zeigt wie man den Exploit mit Hilfe einer Ressource-Datei starten kann. Auf dem Testsystem ist Windows 7 und der Internet Explorer installiert. Läuft alles wie geplant, so erhält der Angreifer eine Meterpreter-Session über Port 443.

Veil-Evasion in Armitage einbinden

08/01/201730/01/2015

Cortana ist eine Skriptsprache für Armitage und Cobalt Srike. Der Entwickler Raphael Mudge liefert hier eine Möglichkeit, die von ihm erstellte Penetrationstesting-Software zu erweitern und diese mit den neusten Erkenntnissen auszustatten.

In diesem Blog werde ich zeigen, wie man diese Skripte nutzen kann, um Armitage mit dem Veil-Framework zu verbinden.

Kali Linux Nethunter

23/08/201615/11/2014

Dieses auf der Basis von Adroid erstellte Plattform ist für Penetartionstester gedacht, die bereits Kali Linux genutzt haben und die Vorteile besonders im mobilen Einsatz schätzen.

Nethunter “verwandelt” das Google Nexus zu einem Gerät, dass Angriffe auf drahtlose Netzwerke ermöglicht und darüber hinaus auch als BAD-USB-Gerät geeignet ist.

Die Steuerung kann direkt vom Nexus erledigt werden. Man hat aber auch die Möglichkeit, das Gerät Remote zu administrieren. Dies kann per SSH, über eine VNC-Verbindung oder über die Software von Drittanbietern (wie z.B. Teamleiter Quick Support) erfolgen.

Für die komfortable Bedienung wurde ein Menü und eine Webinterface geschaffen. Hiermit lassen sich vorkonfigurierte Tools starten aber auch bekannte Kali Linux Befehle aufrufen.

Backdoor-Factory mit Veil-Evasion und Metasploit nutzen

23/08/201625/09/2014

Bereits im Buch “Penetration Testing mit Metasploit” bin ich im Kapitel 5.9 auf das folgende Thema eingegangen. Hier wurde versucht, in das Programm BgInfo.exe von Windows Sysinternals ein Trojanisches Pferd einzubetten. Im folgenden Beitrag möcht ich zeigen, dass sich auch auf diesem Gebiet einiges getan hat und das die Möglichkeiten zur Verschleierung solcher Angriffe immen noch unterschätz werden. Viele Anwender wiegen sich in Sicherheit und hoffen, dass solche Angriffe vom installierten Virenschutzprogramm bzw. der Fierwall erkannt und abgewehrt werden.

Die im Buch beschrieben Methode war recht umständlich und das so erzeugte Trojanische Pferd wurde auch von vielen Virenschutzprogrammen erkannt. Hier wird gezeigt, wie man die Tools Backdoor-Factory und Veil-Evasion nutzen kann, um die Arbeit eines Penetration Testers zu erleichten.

Symantec Antivirus für Linux testen

23/08/201617/02/2014

In den ersten beiden Teilen habe ich gezeigt, wie man Symantec AntiVirus für Linux auf einem Ubuntu-Server installieren und aktualisieren kann.

Im dritten und letzten Teil wollen wir nun den Virenschutz auf dem Ubuntu-Server testen. Dazu erstellen wir uns drei Dateien, die „Trojanische Pferde“ enthalten. Dabei werden zwei Dateien (trojan.pdf und trojan.bin) mit dem Metasploit-Framework und eine (trojan.exe) mittels des Veil-Frameworks angelegt.

Da der Virenschutz mit „Auto-Protect“ Funktion versehen ist, sollte im Idealfall keine Datei auf das Zielsystem gelangen und sofort eliminiert werden.

Payload ausliefern mit Veil und Catapult

23/08/201608/02/2014

Nachdem Christopher Truncer und Will Schroeder das Veil-Framework auf der ShmooCon 2014 präsentiert haben, möchte ich in dem heutigen Beitrag Veil-Catapult vorstellen. Es handelt sich hierbei um ein Framework, das die mit Veil erstellten Payloads an Zielsysteme ausliefert. Dabei können Zielsysteme mit einzelnen IP-Adressen festgelegt aber auch in Listen zusammengefasst werden.

Zur Demonstration benutze ich ein Testnetzwerk auf der Grundlage von VirtualBox. Dabei kommt die im Buch (Kapitel 2) beschriebene virtuelle Umgebung zum Einsatz.

Das Ziel ist eine Windows Netzwerk mit drei Windows XP Clients (192.168.222.73-75). Als Virenschutz ist Symantec Endpoint Protection mit den aktuellen Virensignaturen installiert. Dabei sind einzelne Clients auch mit dem Netzwerkbedrohungsschutz ausgestattet.

Metasploit Virustotal Checks

23/08/201619/01/2014

Das Metasploit-Framework und die Software Veil haben nun Möglichkeiten implementiert, selbst erstellte oder mit Schadcode versehene Dateien über den Dienst „VirusTotal“ zu untersuchen. Durch diesen Test kann geprüft werden, ob die Virenschutzprogramme der verschiedenen Hersteller die übersandte Datei als Malware einstuft oder nicht.

Die Abfrage ist unter Voraussetzung einer Internetverbindung über die Kommandozeile möglich. Dabei nutzen beide Programme die API von VirusTotal. Dabei ist eine unterschiedliche Herangehensweise bei der Übermittlung von Daten an diesen Dienst zu beobachten.

Das Metasploit-Framework übermittelt die gesamte Datei an VirusTotal und erhält eine konkrete Aussage, ob in der übermittelten Software Schadcode erkannt wurde und wie diese vom jeweiligen Hersteller bezeichnet wird. In den Nutzerbedingungen von VirusTotal ist festgelegt, dass sie diese Dateien weitergeben und verwenden dürfen. Es ist somit nicht auszuschließen, dass Daten an die jeweiligen Firmen zur weiteren Analyse weitergeleitet werden.

ATT Mobile Hotspot WPA Cracking

23/08/201606/01/2014

Vor nicht zu langer Zeit hatte ich die Gelegenheit einen mobilen Hotspot von AT&T zu testen. Er ist mit einer SIM-Karte ausgestattet. Der Nutzer ist somit in der Lage, die über WLAN mit dem Hotspot verbundenen Geräte an das schnelle mobile Internet (LTE) anzubinden.

Das Gerät wird standartmäßig mit einer WPA2-Verschlüsselung ausgeliefert. Das generierte Passwort bestand allerding nur aus acht Ziffern. Mir fiel auf, dass kaum ein Nutzer diese Standartwerte änderte und fast alle mit dem werkseitig generierten Passwort ins Internet gingen.

Für mich stellte sich nun die Frage, mit welcher Sicherheit die Nutzer nun unterwegs sind und wie lange ein Angreifer braucht, um dieses Passwort herauszubekommen.