P4wnP1- die USB Angriffsplattform mit Potential (Teil1)

In diesem Blog wurden bereits die Penetration Testings Tools von Hak 5 ausführlich vorgestellt. Darüber hinaus werden Sie hier viele Anregungen für den Einsatz diese Werkzeuge und die entsprechenden Payloads für den USB Rubber Ducky bzw. Bash Bunny finden.

Die Zeit ist aber nicht stehengeblieben. So haben sich weitere USB-Angriffsplattformen auf der Basis des Arduino entwickelt. In dieser Rubrik stechen vor allem der Malduino und Digispark hervor.

Ganz besonders interessant finde ich aber das Projekt von mame82. Hinter der als  P4wnP1 bezeichnete USB-Angriffsplattform verbirgt sich ein angepasster Raspberry Pi Zero bzw.  Raspberry Pi Zero W, die als Human Interface Device (HID) und für Netzwerkangriffe eingesetzt werden können.

WeiterlesenP4wnP1- die USB Angriffsplattform mit Potential (Teil1)

Metasploit 5 veröffentlicht

Rapid7 hat nach langer Entwicklungszeit am 10.01.2019 Metasploit 5.0 veröffentlicht. Die neue Version enthält einige wichtige neue Funktionen. Das Unternehmen geht außerdem davon aus, dass es einfacher zu bedienen und leistungsfähiger sein wird.

Zu den wichtigsten Änderungen der neuen Version gehören u.a. neue APIs für Datenbanken und Automatisierung.

Damit mehrere Metasploit-Konsolen und externe Tools mit dem Framework interagieren können, kann die neueste Version die PostgreSQL-Datenbank nun selbst als RESTful-Dienst ausführen.

APIs für Datenbanken und Automatisierung, neue Module, Sprachunterstützung

Die neue Version des Frameworks implementiert eine neue JSON-RPC-API, die die Integration mit neuen Tools und Sprachen vereinfacht. Das Entwicklungsteam integrierte das Automatisierungsprotokoll der Plattform mit einem gemeinsamen Webservice-Framework für die Datenbank- und Automatisierungs-APIs.

Bisher konnten nur die diversen Scanner auf verschiedene Subnetze oder Netzwerkbereiche eingesetzt werden. Mit der neuen Version wird es nun auch möglich, Exploit-Module auf mehrere Ziele gleichzeitig auszuführen.

Die neueste Version enthält außerdem effizientere Suchfunktionen für Module, die Unterstützung für externe Module von Go, Python und Ruby sowie eine neue Metashell-Funktion.

Bereits im Oktober 2018 hatten die Entwickler den neuen Modultyp Evasion angekündigt. Er soll Code und Payloads vor Antivirenprodukten verbergen und so eine erfolgreiche Penetrierung gewährleisten. Derzeit existieren zwei Module, die sich gegen den Windows Defender richten.  Nutzern soll es nun möglich sein, eigene Mutationen von Payloads zu erzeugen und persistente Dienste zu generieren.

Neuer Releasezyklus

Die Entwickler bei Rapid7 haben angekündigt, zukünftig einen neuen Releasezyklus einzuführen. Künftig wird es einen stabilen und einem instabilen Zweig gebe. So lassen sich Neuerungen schneller testen und zielsicherer integrieren.

Eine Übersicht aller Neuerungen finden Sie in den Release Notes auf GitHub und auf der Webseite von Rapid7.

Es wird wohl noch eine Weile dauern bis Kali Linux ein Update bereitstellt. Wer Metasploit 5 jetzt schon ausprobieren möchte, der kann den Nightly Installer nutzen, um auf die neue Version umzusteigen. Bei meinem Test wurde die dort verfügbare Version 4 einfach mit der neuen Version überschrieben.

Eine MS-Office Hintertür mit Merlin

Die in Windows 10 integrierte Sicherheitssoftware Defender kann in vielen Tests sehr gute Ergebnisse vorweisen. Darum braucht sich diese kostenlose Sicherheitslösung vor der Konkurrenz nicht mehr zu verstecken. Die Schutzwirkung kann durchaus mit den Produkten von F-Secure, Kaspersky, Bitdefender, Symantec oder Trend Micro gleichgesetzt werden. Auch ich kann Windows Defender meine Empfehlung aussprechen und setze auf meinen produktiven Windows-Geräten keine zusätzliche kommerzielle Virenschutzsoftware mehr ein.

Es hat ein wenig gedauert, bis Microsoft diesen Entwicklungsstand erreicht hat. In Zukunft müssen sich die Dritthersteller sputen, wenn sie Ihre Produkte noch gewinnbringend an den Mann/Frau bringen wollen. Aus meiner Sicht können Windows 10 Nutzer schon heute mit gutem Gewissen ausschließlich auf den Windows 10 Defender setzen.

Was für Windows 10 Nutzer eine gute Nachricht ist, bereitet Sicherheitsforschern und Penetrationstestern zunehmend Kopfzerbrechen. Sie müssen sich ständig neue Techniken ausdenken, um den Virenschutz von Windows 10 zu umgehen. So hatten sie z.B. noch vor gut einem Jahr mit den Post-Exploitation-Frameworks Veil-Evasion oder Empire die Möglichkeit, Payloads zu erzeugen, die vom Windows Defender nicht erkannt wurden. Auch die diversen Powershell-Payloads werden nun zunehmend enttarnt.

Penetartionstester setzen zunehmend auf eigene Tools bzw. führen neue Techniken ein, um ihre Arbeit erledigen zu können. Ich habe in den zwei vorangegangenen Beiträgen die Post-Exploitation Plattform Merlin vorgestellt. Im ersten Teil ging es vorrangig um die Installation der Software und die Erstellung der Server und Agenten. Im zweiten Teil habe ich gezeigt, wie Sie in Sessions mit den Agenten interagieren und die bereits vorhandenen Module aufrufen können.

In diesem Beitrag zeige ich, wie Sie eine Hintertür in MS-Powerpoint einrichten und eine Session zum Merlin-Server erzeugen. Auch wenn diese Hintertür derzeit für den Windows Defender unsichtbar ist, so wird es wohl nur eine Frage der Zeit sein, bis auch hier eine passende Signatur erstellt wird. Das ewige Katz-und-Maus-Spiel zwischen den Entwicklern von Sicherheitslösungen und den Sicherheitsforschern bzw. Angreifern bleibt somit erhalten.

WeiterlesenEine MS-Office Hintertür mit Merlin

Merlin – Post Exploitation über HTTP/2 (Teil2)

Im ersten Teil habe ich gezeigt, wie Sie Merlin installieren und die derzeit verfügbaren Agenten kompilieren bzw. einsetzen können. In diese zweiten Teil werden Sie weitere Agenten erstellen und sie an Ihre Penetration Testing Umgebung anpassen. Darüberhinaus werden wir Sessions erzeugen und die derzeit vorhandenen Module auflisten.

DLL-Agenten erstellen

Im vorangegangenen Beitrag hatten wir bereits im dritten Schritt eine DLL-Agenten erstellt in einem zufällig generierten Verzeichnis unter data/temp/v0.6.0/ abgespeichert. Um diese DLL aber in Ihrer Umgebung nutzen zu können, müssen Sie die vorhandene Datei main.go für Ihre Zwecke anpassen und sie noch einmal kompilieren. Wechseln Sie dazu in das Verzeichnis cmd/merlinagentdll und ändern die folgende Zeile nach Ihren Wünschen ab. Die Variable „URL“ sollte die IP-Adresse oder den Domainnamen ihres Merlin-Servers und den dazugehörigen Port enthalten.

WeiterlesenMerlin – Post Exploitation über HTTP/2 (Teil2)

Merlin – Post Exploitation über HTTP/2 (Teil1)

Was bedeutet Post Exploitation über HTTP/2 eigentlich? Der HTTP/2-Standard wurde im Mai 2015 verabschiedet. Das Hauptziel war die Vermeidung von Zeitverlusten durch Latenz. HTTP/2 ist vollständig abwärtskompatibel, was die schnelle Verbreitung unterstützt. Die wichtigsten Verbesserungen gegenüber der Vorgängerversion sind:

  • Mit HTTP/2 wird die Kommunikation zwischen Browser und Server über eine einzige Verbindung abgewickelt. Dadurch werden unnötige Datenverbindungen vermieden und höhere Geschwindigkeiten erzeugt.
  • Durch Kompression der Kopfzeilen lassen sich die Header drastisch in der Größe reduzieren. Damit müssen weniger Daten ausgetauscht werden.
  • Eine schnellere Kommunikation zwischen Browser und Server wird erreicht, indem der Server dem Browser bereits Daten schickt, bevor er dieses angefordert hat. Darüber hinaus kann der Browser dem Server mitteilen, welche Daten für ihn wichtiger sind und diese zuerst anfordern.

Die Entwickler des Post Exploitation Frameworks „Merlin“ setzen darauf, dass durch die verwendete TLS-Verschlüsselung die Kommunikation zwischen Server und Agenten im Verborgenen bleibt und auch die derzeit verfügbarer Firewall- und IDS/IPS-Lösungen das neue Protokoll noch nicht verstehen bzw. auswerten können.  Die Kombination aus Verschlüsselung und fehlender Protokollunterstützung soll es ermöglichen, die Inspektionen zu umgehen und „unter dem Radar zu fliegen“.

Die auch als „Command & Control Tool“  bezeichnete Software ist noch in der Entwicklungsphase und liegt derzeit in der Beta-Version 0.6.0 vor. Ähnlich wie das Empire Framework setzt Merlin auf die konsequente Umsetzung der Agent-Server-Strategie. Dabei nutzen die Entwickler Googles Programmiersprache Go. Verschiedene Agenten und Server liegen bereits vor bzw. können selbst kompiliert werden. Wer möchte, der kann die fertiggestellten Post-Exploitation-Module für Windows und Linux sofort einsetzen.

In diesen Beitrag beschreibe ich, wie Sie Merlin herunterladen, installieren und kompilieren. Nachdem wir eine erste Verbindung zwischen Client und Server hergestellt haben, werden ich zeigen, wie Sie die bereits bestehenden Module einsetzen können.

WeiterlesenMerlin – Post Exploitation über HTTP/2 (Teil1)

Der Windows 10 Passwort Hack

Die Entwickler vom Mimikatz haben eine neue Version ihrer Software veröffentlicht. Nachdem das Auslesen der Passwörter in Klartext unter Windows 10  (1803 und 1809) und damit der Passwort Hack nicht mehr funktionierte, mussten sie reagieren.

In diesem Beitrag erkläre ich, wie man Windows 10 Passwörter in Klartext mit Hilfe des USB Rubber Ducky auslesen kann.

Die Entwickler bei Microsoft haben natürlich sofort reagiert und das zum Download angebotene Programm als Malware eingestuft. Der Windows Defender erkennt die Software als Behavior:Win32/Mikatz.gen!C bzw. HackTool:Win32/Mimikatz.E 

Dies erschwert natürlich den Einsatz ein wenig. Mir fallen spontan zwei Möglichkeiten ein, die Software auf einem aktuellen Windows 10-System zu testen.  Man könnte z.B. den mitgelieferten Quellcode nutzen, ihn ein wenig verändern und dann neu kompilieren. Ein Angreifer könnte auch den Virenschutz temporär abschalten, um Mimikatz einzusetzen. Da ich in einem früheren Test diesen Weg bereits gewählt hatte, entscheide ich mich für die zweite Möglichkeit. Als Hilfsmittel kommt wieder der USB Rubber Ducky zum Einsatz.

WeiterlesenDer Windows 10 Passwort Hack

Kali Linux nach Installation anpassen

Die Distribution Kali Linux ist kürzlich in der Version 2018.4 erschienen. Die Software ist auf Sicherheits- und Penetrationstests von IT-Systemen spezialisiert. Derzeit sind über 600 Tools integriert.  Das von Offensive Security betriebene Open-Source-Projekt richtet sich überwiegend an professionelle Anwender, wird aber auch zunehmend von privaten Anwendern genutzt.

Kali Linux basiert auf Debian und lässt sich leicht installieren. Downloads sind für verschiedene Hardwareversionen und Architekturen verfügbar. Zusätzlich stellt Offensive Security virtuelle Umgebungen von Kali Linux für VMware und VirtualBox zum Herunterladen bereit.

In diesen Beitrag zeige ich, wie man in neun Schritten die Sicherheit dieser Distribution erhöht, Einstellungen anpasst und einige nützliche Werkzeuge hinzufügt.

WeiterlesenKali Linux nach Installation anpassen

USB-Angriffe auf einem Windows-System erschweren

Normalerweise arbeitet jeder Nutzer auf einem Windows System mit Benutzerrechten. Sobald eine Anwendung erweiterte Berechtigungen benötigt, wird ein Dialogfeld angezeigt. Hier muss der Nutzer nun bestätigen, dass das aufgerufene Programm mit administrativen Rechten ausgeführt werden kann. Im Gegensatz zu einem Linux-Betriebssystem sieht Windows standardmäßig hierfür nur ein Ja/Nein Abfrage vor.

Diesen Umstand machen sich nun die diversen BadUSB-Geräte, wie Rubber Ducky, Bash Bunny, Digispark oder MalDuino zu Nutze. Auf dieser Webseite werden Sie viele Beispiele finden, in denen dieser Zustand ausgenutzt wird. Mit einem kurzen Skript lassen sich so administrative Rechte auf Windows-PCs  erlangen.

In diesem Beitrag zeige ich, wie Sie Ihr System mit einer kleinen Änderung in der Windows-Registry vor diesen Angriffen dauerhaft schützen können.

WeiterlesenUSB-Angriffe auf einem Windows-System erschweren

Antivirus-Evasion in Metasploit 5

Es ist ein ständiges Katz-und-Maus-Spiel, das sich die Entwickler von Virenschutzlösungen und Penetrationstester liefern. Die Zeiten, in denen Antiviruslösungen auf rein signaturbasierenden Prüfungen setzten, sind längst vorbei. Moderne Programme verfügen über verhaltens- und cloudbasierte Erkennungen, Heuristik und Sandboxen.

Aus Sicht der Penetrationstester gibt es mehrere Ansätze, um Virenschutzlösungen zu umgehen. In der Vergangenheit flossen diese Techniken in Programme wie z.B. Veil-Evasion, msfvenom (Metasploit Framework) und dem Empire Framework ein.

Wer sich umfassend mit der Materie befasst wird feststellen, dass der Defender in Windows 10 die Erkennungsrate deutlich erhöht hat. Auch die früher so einfach durchzuführenden Angriffe mittels Powershell laufen immer öfter ins Leere. In vielen Fällen wird schon der erzeugte Payload vom Defender als Schadcode eingestuft und nicht ausgeführt.

Mit Metasploit 5 läutet Rapid7 in diesem Wettkampf eine neue Runde ein. In der Betaversion des Frameworks stellen die Entwickler ein neues Modul vor, dass bekannte Techniken mit neuen Ansätzen kombiniert. So wird die zukünftige Version einen C Compiler enthalten, der direkt aus Metaploit aufgerufen werden kann. Außerdem wird der so erzeugte Quellcode nach dem Zufallsprinzip generiert, verschlüsselt und mit weiteren Verschleierungstechniken angereichert.

Die so generierte Windows PE- Datei (.exe) lässt sich  sofort auf dem Zielsystem einsetzen und mit den bekannten Payloads (z.B. Meterpreter) und Ressource-Dateien kombinieren.

In diesem Beitrag zeige ich, wie Sie Metasploit 5 in der Beta-Version installieren und das neue Module anwenden.

WeiterlesenAntivirus-Evasion in Metasploit 5