Eskalierung der Rechte auf Windows-PCs

Im diesem letzten Beitrag für das Jahr 2017 möchte ich nochmal untersuchen, ob eine Rechteeskalierung in den aktuellen Windows Betriebssystemen mittels der bekannten Penetration Testing Frameworks möglich ist. Gleichzeitig möchte ich prüfen, welchen Schutz Virenschutzprogramme gegen die einschlägigen Techniken bieten. Als „Versuchsobjekte“ habe ich Windows 10 mit dem integrierten Virenschutz „Windows Defender“ und Windows 7 mit „McAfee – Total Protection“ ausgewählt. Beide Betriebssysteme befinden sich auf den neusten Stand. Die Virenschutzdefinitionen habe ich vor dem Test aktualisiert.

WeiterlesenEskalierung der Rechte auf Windows-PCs

Veil-Evasion Auxiliary macro_converter

Makro-Viren sind eigentlich ein wenig in die Tage gekommen. Glaubt ihr das wirklich? Im Gegenteil – aktuell  sind wieder verstärkt Angriffe zu verzeichnen. Auch wenn Makros seit geraumer Zeit in Office standartmäßig deaktiviert sind, gibt es viele Nutzer, die diese Anweisungen bzw. Deklarationen weiter nutzen wollen. Viele haben den Standart geändert und Makros wieder aktiviert bzw. lassen sich eine Meldung anzeigen, wenn Makro in einem Office-Dokument enthalten sind. Diese können dann mit einem Mausklick aktiviert werden.

Natürlich erfinden die Angreifer einige Tricks, um die ahnungslosen Nutzer in die Irre zu führen. Hier ist also eine wenig Aufklärung gefragt.

Penetration Tester sind eine andere Gruppe, die diese Makros nutzen, um in die Netzwerke ihrer Kunden „einzubrechen“.  Aber hier geht man im Auftrag  und  strukturiert vor um die Sicherheitsarchitektur des Kunden zu testen. Dabei wendet man gezielt Social Engineering an und versucht den installierten Virenschutz zu umgehen.

Veil-Evasion ist eine Tool, dass gerade bei der Überwindung des Virenschutzes helfen soll und dazu verschiedene  Verschleierungstechniken anwendet. Im November V-Day 2015 wurde  ein Hilfsmittel (Auxiliar) hinzugefügt, mit dem  sich relativ einfach Makros zu diesem Zweck erstellen lassen. Ziel ist es, durch Nutzung des Makros in einem Office Dokument eine (reverse) Netzwerkverbindung vom Opfer-PC zum Angreifer zu errichten und damit vom Virenschutz unbemerkt weitere Befehle auszuführen (Post-Exploitation).

WeiterlesenVeil-Evasion Auxiliary macro_converter

Windows Backdoors über Scheduled Tasks einrichten – Fun mit Powershell Teil 3

Welcher Penetrationstester hat folgende Situation noch nicht erlebt:  Man versucht in mühsamer Kleinarbeit einen Windows-Host zu penetrieren. Erst nach mehreren Fehlversuchen konnte die Sicherheitsarchitektur überwunden werden. Jetzt gelingt es, über eine Sicherheitslücke Nutzerrechte auf einem System zu erhalten.  Aber plötzlich bricht aus irgendeinem Grund die Verbindung zum Client zusammen. Auch die Sicherheitslücke kann bis zum nächsten Neustart des Gerätes nicht mehr genutzt werden.  Nach dem Neustart stellt man fest, dass die Lücke bereits gepacht ist und auf diesem Weg keine eindringen mehr möglich ist.

In dieser Situation wäre es schön gewesen, wenn man gleich nach Erlangen der Nutzerrechte eine Hintertür (Backdoor) eingerichtet hätte, die sich in bestimmten Zeitabständen selbstständig beim Angreifer meldet und dabei eine permanente Verbindung aufbaut.  In der Fachsprache wird dies auch als „Persistence“ bezeichnet.

In diesem Beitrag möchte ich zeigen, wie eine Backdoor mittels Veil-Evasion erstellt wird und wie  man „Persistence“ über Windows-Autostart bzw. unter Verwendung  von Scheduled Tasks erzeugt.

WeiterlesenWindows Backdoors über Scheduled Tasks einrichten – Fun mit Powershell Teil 3

Ein seltsames Paar – iX Kompakt 2014 – Security

In diesem Artikel beschreibe ich, welchen Wettstreit sich Penetrationstester (u.a. auch mit Hilfe von Metasploit) und die Hersteller von Virenschutzsoftware liefern. Die eine Seite versucht Angriffstechniken zu entwickeln, die durch die andere Seite durch immer neue Methoden zur Erkennung von Schadsoftware beantwortet werden. Beide Partner liefern sich somit einen Wettstreit, der zur Verbesserung der Schutzmaßnahmen für IT-Systeme beitragen kann.
In einem praktischen Teil wird im Artikel beschrieben, wie mit Hilfe des Projektes „Veil-Evasion“ Metasploit-Payload erstellet werden kann, um Virenschutzsoftware zu umgehen. Es wurden fünf Windows-Systeme mit installiertem Virenschutz in einer gesicherten virtuellen Umgebung getestet. Im Test kommen Kali Liunx, das Metasploit-Framework und die grafische Oberfläche Armitage zum Einsatz.

 

Ein_seltsames_Paar

 

 

Backdoor-Factory mit Veil-Evasion und Metasploit nutzen

Bereits im Buch „Penetration Testing mit Metasploit“ bin ich im Kapitel 5.9  auf das folgende Thema eingegangen. Hier wurde  versucht, in das Programm BgInfo.exe von Windows Sysinternals ein Trojanisches Pferd einzubetten. Im folgenden Beitrag möcht ich zeigen, dass sich auch auf diesem Gebiet einiges getan hat und das die Möglichkeiten zur Verschleierung solcher Angriffe immen noch unterschätz werden. Viele Anwender wiegen sich in Sicherheit und hoffen, dass solche Angriffe vom installierten Virenschutzprogramm bzw. der Fierwall erkannt und abgewehrt werden.

Die im Buch beschrieben Methode war recht umständlich und das so erzeugte Trojanische Pferd wurde auch von vielen Virenschutzprogrammen erkannt. Hier wird gezeigt, wie man die Tools Backdoor-Factory und Veil-Evasion nutzen kann, um die Arbeit eines Penetration Testers zu erleichten.

WeiterlesenBackdoor-Factory mit Veil-Evasion und Metasploit nutzen