Ransomware NamPoHyu Virus (MegaLocker Virus): Recupero dati

Una nuova famiglia di ransomware conosciuta con il nome NamPoHyu Virus o MegaLocker Virus è da qualche mese in circolazione. La caratteristica di questo nuovo ransomware è il suo modo di agire leggermente diverso da quelli visti fino ad ora.
Generalmente un ransomware infetta il computer della vittima attraverso uno dei canali di infezione (email, malware, siti infetti,ecc) ed, eseguito in locale sulla macchina compromessa, procede a cifrare i dati. I ransomware di questa nuova famiglia, invece, vengono eseguiti da remoto sul computer di chi esegue l'attacco, ricerca i server samba accessibili, effettua un brute forcing di eventuali password di accesso quindi cifra i dati e crea un file con le informazioni sul riscatto.

Il ransomware è stato individuato per la prima volta a marzo 2019 e identificato con il nome MegaLocker Virus. In poco tempo ha fatto numerose vittime cifrando i dati presenti sui NAS non correttamente configurati. 
Ai file cifrati viene aggiuna l'estensione .crypted e viene creato il file !DECRYPT_INSTRUCTION.TXT contenente le istruzioni per il pagamento del riscatto che varia da 250$ per un utente privato agli 800-1000$ per un'azienda. All'intero delle istruzioni è indicato di contattare l'indirizzo alexshkipper@firemail.cc per il pagamento del riscatto e, per dimostrare di essere un utente privato, viene richiesto di inviare una foto personale (di un compleanno, hobby, in vacanza, ecc).
Ad aprile il nome del ransomware è stato modificato in NamPoHyu Virus e ai file cifrati viene ora aggiunta l'estensione .NamPoHyu.  All'interno delle istruzioni viene indicato un sito TOR a cui collegarsi e reperire informazioni sul pagamento del riscatto.

FIG 1 - NamPoHyu file !DECRYPT_INSTRUCTION.TXT 

La scelta di attaccare i server Samba non è casuale, basta effettuare una semplice ricerca in Shodan (port:445 "SMB Status Authentication: disabled") per individuare oltre 500 mila possibili obiettivi. Il protocollo Samba è molto diffuso ed impiegato per condividere file, cartelle, stampanti in rete anche tra sistemi operativi diversi. Nonostante in passato tale protocollo sia salito più volte agli onori della cronaca per essere stato sfruttato da diversi attacchi informatici (come ad es. nel caso del ransomware WannaCry), continua ad essere configurato e utilizzato in maniera poco sicura.

FIG 2 - Shodan, Ricerca server Samba

Recuperare i dati cifrati da NamPoHyu Virus (MegaLocker Virus)

La nota società di sicurezza Emsisoft, ha sviluppato un tool che consente di decriptare i dati cifrati dal ransomware NamPoHyu Virus (o MegaLocker Virus). Il tool può essere scaricato dal seguente link
DOWNLOAD

Una volta avviato il tool vengono mostrate le condizioni di utilizzo che vanno accettate cliccando sul pulsante Yes per proseguire.

FIG 3 - Emsisoft Decrypter for MegaLocker licenza

Cliccare sul pulsante Browse e selezionare il file !DECRYPT_INSTRUCTION.TXT  quindi cliccare sul pulsante Start.

FIG 4 - Emsisoft Decrypter for MegaLocker, analisi file !DECRYPT_INSTRUCTION.TXT

Terminato il processo il tool visualizza una finestra di dialogo con la chiave per decriptare i dati. 

FIG 5 - Emsisoft Decrypter for MegaLocker, Decryption Key

Cliccando sul pulsante OK nella finestra di dialogo verrà aperta la finestra principale del tool che consente di selezionare la cartella o il disco contenente i file da decriptare.

FIG 6 - Emsisoft Decrypter for MegaLocker, selezione cartelle contenenti i file cifrati

Il processo di recupero dei dati va avviato cliccando sul pulsante Decrypt. La finestra passa automaticamente alla scheda Results dove viene mostrato lo stato dell'operazione di recupero.

FIG 7 - Emsisoft Decrypter for MegaLocker, Procedura completata

Al termine è possibile salvare il log dell'operazione cliccando sul pulsante Save log.


Se la chiave non viene trovata e viene visualizzato il messaggio in FIG 8 è probabile che i dati siano stati cifrati con una variante aggiornata del ransomware. In questi casi non resta che incrociare le dita e attendere una soluzione o una nuova versione del tool.

FIG 8 - Emsisoft Decrypter for MegaLocker, Chiave non trovata

Ransomware Hacked (HKCrypt): Recupero dei dati

Scoperto nel 2017, il ransomware HKCrypt (conosciuto anche con il nome di Hacked) prende di mira gli utenti inglesi, turchi, spagnoli e italiani. I vettori di infezione sono i soliti già visti per gli altri ransomware: email, link a siti compromessi, file infetti, ecc. Una volta installato, il ransomware visualizza una finestra di Windows Update fasulla mentre provvede a cifrare i file della vittima utilizzando l'algoritmo RC4 e aggiungendo a questi l'estensione .hacked. Al termine della procedura visualizza un messaggio come quello mostrato in figura per informare la vittima che i file sono stati cifrati e su come pagare il riscatto.

FIG 1 - Ransomware Hacked (HKCrypt)

Il ransomware crea anche più file contenenti le note per il riscatto in diverse lingue: in inglese (@readme_English.txt o How_to_decrypt_files.txt), spagnolo (@Readme_Spanish.txt), e italiano (@Leggimi_decrypt_Italian.txt). La versione inglese delle note è analoga a quella riportata di seguito:

All of your files were protected by a strong encryption with RSA4096

What happened to my files ?
Decrypting of your files is only possible with the help of private key and decryp

How can i get my files back ? 
the only way to restore your files So, there are two ways you can choose
1- wait for a miracle and get your price doubled
2- or restore your data easy way if you have really valuable data
you better not waste your time, because there is no other way to get your files, except make 
a payment

What should i do next ? Buy decryption key
1. Buy Bitcoin (https://blockchain.info)
2. Send amount of  0.5 BTC to address: 131mixVnmnijg1DPJZrTTakX3qJLpb675o
3. Transaction will take about 15-30 minutes to confirm.
4. When transaction is confirmed, send email to us at 
payment.hkdecryp@protonmail.com
5. Write subject of your mail with :  HACKED
6. Write content of your mail with : - Restore my files Bitcoin payment : (YOUR BITCOIN 
TRANSACTION ID)


Ad oltre 1 anno e mezzo dalla scoperta del ransomware, l'esperto di sicurezza Michael Gillespie di Emsisoft è riuscito a scovare il punto debole del ransomware Hacked che gli ha permesso di creare un tool per decriptare e recuperare i dati cifrati.

Rimozione del ransomware

Prima di tentare il recupero dei dati è necessario assicurarsi che il ransomware sia stato rimosso dal sistema eseguendo una scansione con un antivirus o antimalware aggiornato. Un buon prodotto gratuito e utile in questi casi è  Kaspersky Rescue Disk scaricabile da QUESTA PAGINA. Scaricata l'immagine è possibile masterizzarla su CD\DVD oppure creare una pendrive bootable tramite il tool rescue2USB. Eseguendo il boot con Kaspersky Rescue Disk è possibile fare in modo che l'antivirus scarichi automaticamente da Internet gli aggiornamenti prima di procedere alla scansione dell'intero sistema.
Terminata la scansione ed eliminati eventuali virus trovati, avviare il sistema in modalità provvisoria quindi installare ed eseguire una scansione con una versione di Malwarebytes e/o SpyHunter aggiornata.

Recupero dei dati

Il tool scritto da Michael Gillespie può essere scaricato dal seguente link
DOWNLOAD

Il tool va eseguito con i privilegi di amministratore. Una volta accettate le condizioni di utilizzo, basta selezionare il disco dove risiedono i file cifrati (o specificare una determinata cartella tramite il pulsante Add folder), cliccare sul tasto Decrypt e attendere che il tool completi il suo lavoro. Al termine, nel tab Results, verranno visualizzate le informazioni sul recupero dei dati cifrati.

FIG 2 - Emsisoft Decrypter for HKCrypt

VPN: Verifica dell'IP mostrato dal client Torrent

Una VPN (Virtual Private Network) è un tunnel sicuro tra due o più dispositivi che utilizzano un canale di trasmissione pubblico e condiviso, come ad esempio Internet. La VPN, oltre ad essere utilizzata per proteggere la propria connessione e il traffico da interferenze e monitoraggio dall'esterno, consente anche di camuffare il proprio indirizzo IP.

Quando connessi alla VPN è possibile effettuare una verifica veloce sull'indirizzo IP mostrato ai siti aprendo la pagina whatismyipaddress.com dal browser.

FIG 1 - WhatIsMyIPAddress.com

Anche se nella normale navigazione il nostro indirizzo IP reale risulta nascosto dalla VPN, questo non ci garantisce che non venga esposto utilizzando altre applicazioni/protocolli come ad esempio i protocolli P2P, in particolare BitTorrent.

Appositi servizi online consentono di verificare se il nostro client Torrent rivela l' indirizzo IP reale all'esterno. Tra i servizi più noti troviamo:

• TorGuard;
• IPLeak.net;
• ipMagnet.

Tutti funzionano all'incirca allo stesso modo: all'interno della pagina web mostrano un link/pulsante che l'utente dovrà cliccare per scaricare un torrent/magnet link fittizio attivando il client Torrent installato sul PC. Dopo qualche secondo, sulla stessa pagina web, verrà mostrato l'indirizzo IP rilevato. Nel caso in cui l'IP visualizzato sia quello assegnato alla VPN, allora il nostro indirizzo IP reale è nascosto, in caso contrario faremmo meglio a verificare la configurazione della nostra VPN e quella del client Torrent.

FIG 2 - TorGuard verifica IP mostrato dal client BitTorrent

InSpectre: Verificare la vulnerabilità del proprio sistema a Meltdown e Spectre

Meltdown e Spectre sono vulnerabilità hardware, scoperte dai ricercatori Project Zero di Google, che affliggono gran parte dei processori attualmente in commercio e che consentono a programmi e potenziali attaccanti di accedere ad aree protette di memoria di un computer. A distanza di mesi dalla loro scoperta Intel ha completato lo studio su tutte le architetture che ne sono afflitte e ha rilasciato un documento ufficiale, consultabile su
https://newsroom.intel.com/wp-content/uploads/sites/11/2018/04/microcode-update-guidance.pdf,
in cui vengono indicati i processori che riceveranno l'aggiornamento del microcodice e potranno essere utilizzati in piena sicurezza.

Dopo il rilascio del documento da parte di Intel, Gibson Research ha rilasciato una versione aggiornata dell'utility InSpectre. L'utility può essere scaricata gratuitamente da https://www.grc.com/inspectre.htm ed è aggiornata con le ultime informazioni fornite da Intel.
InSpectre, oltre ad indicare se il sistema è protetto da Meltdown e Spectre, indica anche se è previsto l'aggiornamento del microcodice del processore (Microcode Update Available) e se tale aggiornamento influisce sulle prestazioni (Performance) del sistema.

Sia Intel che AMD sono al lavoro con Microsoft per la certificazione e distribuzione degli aggiornamenti del microcodice dei processori tramite patch del sistema operativo.

Kali Linux: Eseguire la scansione delle vulnerabilità delle applicazioni web con WMAP

Originariamente sviluppato a partire dal tool SQLMap, WMAP è un potente strumento che consente di verificare eventuali vulnerabilità di applicazioni web tramite il Framework Metasploit.
Si tratta di uno scanner di vulnerabilità di applicazioni web integrato in Metasploit. In questo articolo verranno mostrati i passi da seguire per verificare la presenza di eventuali vulnerabilità di un server web. A tale scopo verrà utilizzata la distribuzione Kali Linux che integra tutti gli strumenti necessari.

ATTENZIONE:
Danneggiare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.


Prima di procedere è consigliabile aggiornare tutti i pacchetti installati in Kali Linux alle versioni più recenti lanciando i seguenti 2 comandi da terminale
sudo apt-get update
sudo apt-get upgrade

WMAP utilizza il database PostgreSQL di Metasploit per memorizzare i risultati della scansione pertanto, prima di avviarlo, è necessario attivare/verificare la connessione al database. 
Avviare il servizio postgresql tramite il seguente comando da terminale
sudo service postgresql start
quindi inizializzare il database eseguendo il comando
sudo msfdb init

FIG 1 - Avvio del servizio PostgreSQL e inizializzazione del database

Terminata l'inizializzazione del database, avviare la console Metasploit eseguendo
sudo msfconsole

FIG 2 - Avvio della console Metasploit Framework

All'interno della console Metasploit Framework caricare il plugin WMAP digitando
load wmap

FIG 3 - Caricamento del plugin WMAP nella console Metasploit Framework

Per poter effettuare la scansione delle vulnerabilità è necessario, tramite wmap_sites e lo switch -a, definire il sito da verificare specificandone l'URL/IP. 
Ad esempio, supponendo che il server web da verificare abbia indirizzo 192.168.0.10 si utilizza il comando
wmap_sites -a http://192.168.0.10

FIG 4 - Definizione siti con wmap_sites

E' possibile specificare più siti. Per visualizzare l'elenco dei siti definiti si utilizza il comando
wmap_sites -l

FIG 5 - Visualizzare l'elenco dei siti definiti

A questo punto bisogna impostare il sito web come target utilizzando lo switch -t con l'URL/IP o lo switch -d con l'ID. L'ID è quello visualizzato dall'output del comando wmap_sites -l come visibile in FIG 5.
Ad es:
wmap_targets -t http://192.168.0.10
wmap_targets -d 0
oppure, per testare un particolare URL del sito
wmap_targets -t http://192.168.0.10/administrator/index.php

FIG 6 - Definizione target con wmap_targets

Anche con wmap_targets è possibile utilizzare lo switch -l per visualizzare l'elenco dei target definiti
wmap_targets -l

Eseguire il comando 
wmap_run -t
per visualizzare/predisporre l'elenco dei moduli che verranno utilizzati per la scansione del sistema target definito.

FIG 6 - Visualizzare i moduli abilitati con wmap_run

Per lanciare la scansione del sistema target, eseguire il comando
wmap_run -e
La scansione completa del sistema potrebbe impiegare diverso tempo quindi pazientate.

FIG 7 - Esecuzione scansione del sistema target

Al termine della scansione utilizzare il seguente comando da terminale per visualizzare l'elenco delle vulnerabilità riscontrate
vulns

FIG 8 - Visualizzare l'elenco delle vulnerabilità riscontrate

Le vulnerabilità individuate saranno evidenziate tramite l'identificatore CVE (Common Vulnerabilities and Exposures). Per verificare la disponibilità di eventuali exploit basterà effettuare una ricerca su google o su www.exploit-db.com.

Cloudflare 1.1.1.1: il DNS più veloce del web e attento alla privacy

La nota società statunitense Cloudflare, specializzata nel content delivery network, performance e sicurezza su Internet, ha ufficializzato il proprio servizio DNS 1.1.1.1 veloce, sicuro e attento alla privacy.
Il servizio DNS offerto da Cloudflare risulta il più veloce del web inoltre rende difficile al proprio provider di tracciare i siti visitati. Gli indirizzi IP degli utenti non vengono archiviati e i log relativi alle query vengono cancellati entro 24 ore. Al fine di garantire la massima privacy, il servizio supporta sia DNS-over-TLS sia DNS-over-HTTPS.

FIG 1 - Prestazioni del DNS di Cloudflare

Oltre all'indirizzo 1.1.1.1 del DNS primario, Cloudflare fornisce anche l'indirizzo 1.0.0.1 relativo al DNS secondario. I rispettivi indirizzi IPv6 dei due DNS sono: 2606:4700:4700::1111 e 2606:4700:4700::1001. 

Per ulteriori dettagli e informazioni sul servizio e su come impostare i server DNS sul proprio sistema è possibile consultare la pagina https://1.1.1.1. 

VSTO: Creare un componente aggiuntivo per l'installazione di un payload

VSTO (Visual Studio Tools for Office) è un insieme di strumenti di sviluppo disponibili sotto forma di runtime e di add-in di Visual Studio che consente alle versioni di MS Office 2003 e successive di  ospitare il .NET Framework Common Language Runtime (CLR) e permettere la realizzazione di funzionalità attraverso .NET.
I componenti aggiuntivi VSTO possono essere installati, nel proprio profilo, anche dagli utenti che non dispongono di privilegi amministrativi ed eseguiti ad ogni avvio dell'applicazione MS Office per cui sono stati realizzati (ad es. Excel). Tale comportamento rappresenta un grosso problema per la sicurezza. L'add-in può essere creato in modo che venga avviato un payload (una routine malevola). In questi casi AppLocker, nella sua configurazione di default, non blocca l'esecuzione del codice.

Vediamo come creare un add-in VSTO in Visual Studio.

• Avviare Visual Studio e creare un nuovo progetto. Dal menu File selezionare Nuovo quindi Progetto;
  

  

  FIG 1 - Visual Studio, Nuovo Progetto

• Alla richiesta di selezionare il modello da utilizzare, selezionare Visual C# quindi Office/SharePoint;
  

  

  FIG 2 - Visual Studio, Progetto in Visual C# - Office/SharePoint

• Se nel sistema non è già installato verrà richiesto di installare Office Developer Tools (FIG 2). Eseguire un doppio click su Installa progetti Office Developer Tools, attendere il download e seguire le istruzioni a video per portare a termine l'installazione di tale componente.
  

  

  FIG 3 - Visual Studio, Installazione Office Developer Tools

• Terminata l'installazione di Office Developer Tools avviare nuovamente Visual Studio, creare un nuovo progetto Visual C# quindi selezionare Office/SharePoint. Selezionare per quale applicazione MS Office si intende sviluppare il componente aggiuntivo (in questo articolo è stato selezionata l'opzione Componente aggiuntivo VSTO per Word 2013 e 2016), assegnare un nome al progetto e confermare cliccando sul pulsante OK.
  

  

  FIG 4 - Visual Studio, selezione componente aggiuntivo da creare

• A questo punto Visual Studio provvederà a creare il template del nostro add-in. Per fare in modo che al caricamento del componente aggiuntivo venga eseguita una particolare operazione, bisogna modificare la funzione ThisAddIn_Startup. Aggiungendo il seguente codice, come mostrato anche in FIG 5, all'avvio del componente aggiuntivo verrà avviata la calcolatrice.

  System.Diagnostics.Process proc = new System.Diagnostics.Process();
  proc.StartInfo.FileName = @"c:\windows\system32\calc.exe";
  proc.Start();

  

  FIG 5 - Visual Studio, Modifica della funzione ThisAddIn_Startup per richiamare un file eseguibile (calc.exe)

• Dal menu Progetto selezionare Proprietà;
  

  

  FIG 6 - Visual Studio, Proprietà progetto

• Nella sezione Applicazione impostare il .NET Framework da utilizzare;
  

  

  FIG 7 - Visual Studio, Framework di destinazione

• Selezionare la sezione Firma. Firmare i manifesti ClickOnce con un certificato valido consente la distribuzione e l'installazione attraverso la tecnologia ClickOnce di Microsoft. Firmare i manifesti con un certificato non valido, d'altra parte, potrebbe impedire l'installazione/esecuzione del payload attraverso ClickOnce. Si può testare tale comportamento firmando i manifesti con un certificato autofirmato cliccando su Crea certificato di prova... e confermando cliccando su OK senza immettere alcuna password.
  

  

  FIG 8 - Visual Studio, Firma manifesti ClickOnce

• Selezionare Pubblica. In tale sezione è possibile impostare le opzioni per la distribuzione del pacchetto come ad esempio la versione, prerequisiti, dipendenze ecc. In Percorso pubblicazione specificare un path lasciando tutto il resto impostato come di default, quindi cliccare sul pulsante Pubblica.
  

  

  FIG 9 - Visual Studio, Pubblica componente aggiuntivo

• Nella cartella Release del progetto, verranno generati i file del componente aggiuntivo. Per procedere all'installazione basta eseguire il file con estensione .VSTO.
  

  

  FIG 10 - File componente aggiuntivo VSTO

• Terminata l'installazione, avviando MS Word verrà caricato anche il componente aggiuntivo che, a sua volta,  provvederà ad avviare la calcolatrice.
  

  

  FIG 11 - VSTO, all'avvio di MS Word e dell'add-in viene avviata la calcolatrice

MS Office: Disabilitare il Dynamic Data Exchange

Da molti anni MS Office integra la tecnologia DDE (Dynamic Data Exchange) un sistema di comunicazione interprocesso pensato per lo scambio di informazioni tra le applicazioni della suite. Tale tecnologia di recente viene utilizzata per scopi malevoli da malware piuttosto insidiosi. La vulnerabilità riguarda una particolare funzione di DDE che si occupa di aggiornare le informazioni collegate quando il documento viene aperto. Agendo tramite le impostazioni delle applicazioni di MS Office è possibile disabilitare l'aggiornamento automatico incidendo in modo marginale sull'usabilità della tecnologia DDE. 
L'operazione che verrà indicata di seguito per MS Word dovrà essere ripetuta per ciascuna delle altre applicazioni del pacchetto MS Office.

• Avviare MS Word, dal menu File selezionare Opzioni;
  
  

  

  FIG 1 - MS Word, Opzioni

• Selezionare, sul lato sinistro della finestra, la voce Impostazioni avanzate;
• Sul lato destro, scorrere fino alla sezione Generale quindi rimuovere la spunta alla voce Aggiorna collegamenti automatici all'apertura;
  
  

  

  FIG 2 - MS Word, Aggiorna collegamenti automatici all'apertura

• Confermare la modifica cliccando sul pulsante OK.

Kali Linux: Scovare l'indirizzo IP del server protetto da Cloudflare

Milioni di siti web, al fine di proteggersi da attacchi DDos (Distributed Denial of Service) e aumentare la velocità di accesso, utilizzano il servizio Cloudflare.
Cloudflare agisce in maniera analoga ad un CDN (Content Delivery Network) ma molto più semplice da configurare. Il sistema si interpone tra il server che ospita il sito web e il visitatore filtrando gli utenti indesiderati (con conseguente risparmio di banda e risorse) e aumentando la sicurezza.
Per utilizzare Cloudflare è necessario registrarsi sul sito www.cloudflare.com, selezionare il servizio desiderato (quello per siti/blog personali è gratuito) quindi impostare i nameserver di Cloudflare come authoritative nameservers per il proprio dominio (generalmente questa operazione va effettuata dal pannello di gestione del dominio messo a disposizione dal proprio registrar).

Cloudflare dispone di numerosi data center sparsi per il mondo. Attraverso una tecnologia proprietaria denominata Anycast e attraverso i propri nameserver, Cloudflare dirotta tutte le richieste di accesso al sito al data center più vicino al visitatore. Il data center verifica l'attendibilità del visitatore analizzandone diverse caratteristiche tra cui l'indirizzo IP, la risorsa richiesta, il numero di richieste, la loro frequenza, ecc. Solo nel caso in cui il visitatore venga ritenuto affidabile, Cloudflare provvede a prelevare i dati contenuti nella cache aggiornata e, dopo aver applicato alcune ottimizzazioni, li restituisce al visitatore in maniera del tutto trasparente. 

FIG 1 - Cloudflare

I visitatori non verranno mai in "contatto" con l'indirizzo IP del server che ospita il sito web.

Purtroppo, causa imperizia di alcuni amministratori che non limitano l'accesso ai propri server solo agli indirizzi IP di Cloudflare, molti siti web rimangono vulnerabili ed esposti ad attacchi. In questi casi, infatti, l'indirizzo pubblico del server "origine" rimane esposto e può essere individuato con l'utilizzo di alcuni tool come la piattaforma Censys e CloudFlair.

Di seguito verrà mostrato come individuare l'indirizzo IP pubblico di un server "origine" vulnerabile protetto da Cloudflare utilizzando Kali Linux.

ATTENZIONE:
Danneggiare o violare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

• Posizionarsi sul sito https://censys.io e, se non si dispone già di un'account, crearne uno cliccando su Signup e seguendo le istruzioni a video. Al termine eseguire il logon con il proprio account.
  

  

  FIG 2 - Sito web Censys.io

• Posizionarsi sulla pagina https://censys.io/account/api e prendere nota di API ID e Secret;
  
  

  

  FIG 3 - Censys, API ID e Secret
• Aprire una finestra terminale di Kali Linux e digitare i seguenti comandi
  export CENSYS_API_ID=<API_ID_Assegnato>
  export CENSYS_API_SECRET=<API_Secret_Assegnato> 
  sostituendo <API_ID_Assegnato> e <API_Secret_Assegnato> con i valori API ID e Secret ottenuti nel passo precedente;
  

  

  FIG 4 - Kali Linux, impostare variabili d'ambiente CENSYS_API_ID e CENSYS_API_SECRET

• Clonare il repository digitando, nella finestra terminale, il seguente comando
  git clone https://github.com/christophetd/cloudflair.git



FIG 5 - Kali Linux, clonazione repository cloudflair

• 
  Installare le dipendenze del pacchetto eseguendo i comandi 
  cd cloudflair
  pip install -r requirements.txt



FIG 6 - Kali Linux, installazione dipendenze di CloudFlair



• Per individuare l'indirizzo IP del server "origine" eseguire il comando
  python cloudflair.py myvulnerable.site
  sostituendo myvulnerable.site con l'indirizzo del sito web che si intende verificare. L'output sarà simile a quello mostrato in FIG 7 e sono evidenziati gli indirizzi IP dei server "origine".

  

  FIG 7 - Output CloudFlair

Kali Linux: Sfruttare vulnerabilità di Intel Active Management Technology per accedere ad un sistema remoto

Introduzione

Presentata per la prima volta all'Intel Developer Forum Fall del 2004, Active Management Technology (AMT) consente, tramite le funzionalità integrate e applicazioni di gestione e sicurezza di terze parti, la gestione remota del sistema permettendo di aggiornarlo, ripararlo e proteggerlo. Tale tecnologia, inclusa nei processori Intel Core con Intel vPro e in determinati processori Intel Xeon, opera a livello firmware e consente di gestire un sistema remoto indipendentemente dal sistema operativo installato anche se è spento o se presenta componenti guasti (ad. es il disco fisso).

Intel Active Management Technology (AMT), Intel Standard Manageability (ISM) e Intel Small Business Technology con versioni del firmware dalla 6.x alla 11.6 presentano una grave falla che permette di prendere il controllo dei sistemi gestiti con tali tecnologie.  La vulnerabilità non è presente sui PC consumer, sui server Intel che utilizzano Intel Server Platform Services (Intel SPS), sui processori Intel Xeon E3 e E5 che utilizzano il firmware Intel SPS. Maggiori dettagli sono disponibili sulla pagina messa a disposizione da Intel.

Come funziona

L'accesso da remoto a Intel Active Management Technology avviene attraverso una semplice interfaccia web gestita da un servizio in ascolto sulle porte 16992 e 16993. All'accesso vengono generalmente richieste utenza e password che vanno a costruire la passphrase inviata impiegando lo standard HTTP Digest Authentication: all'utenza e alla password viene applicata una funzione hash utilizzando un nonce del firmware AMT insieme ad alcuni bit di metadata. La "response" venuta fuori da tale operazione viene inviata all'AMT, analizzata da quest'ultimo e, se ritenuta valida, l'utente verrà autorizzato all'accesso all'interfaccia di gestione. La vulnerabilità consente di avere accesso al AMT inviando una response vuota.
Decompilando in C il firmware Intel si nota un codice simile al seguente che chiarisce come sia possibile ottenere l'accesso al sistema inviando una response vuota

if(strncmp(computed_response, user_response, response_length))
 deny_access();

L'idea di fondo è quella di confrontare la response dell'utente (user_response) con quello che si attende il sistema (computed_response) e verificare se siano identiche o meno. La funzione strncmp limita il confronto al numero di caratteri indicato da response_length. Il problema nasce dal fatto che response_length viene calcolato sulla lunghezza di user_response pertanto fornendo una response vuota (lunghezza 0) non avviene alcun confronto e il sistema autorizza l'accesso.

Tale vulnerabilità è facilmente sfruttabile utilizzando un proxy, o un analogo editor di traffico, che consente al malintenzionato di inviare una response vuota. Di seguito mostrerò i passaggi, a scopo didattico, per accedere da remoto a AMT bypassando l'autenticazione utilizzando Kali Linux che integra già tutto il necessario.

ATTENZIONE:
Danneggiare o violare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

Dimostrazione di un attacco

Innanzitutto è necessario disporre dell'indirizzo IP del sistema da attaccare. Tramite il motore di ricerca SHODAN  è possibile ricercare i sistemi vulnerabili a questo tipo di attacco.

FIG 1 - Motore di ricerca Shodan

Avviare Firefox e nella barra degli indirizzi digitare l'indirizzo del sistema a cui vogliamo connetterci seguito dal numero di porta :16992.
Ad es.
http://192.168.1.1:16992
Apparirà la schermata di logon indicata in FIG 2

FIG 2 - Schermata di Log On Intel Active Management Technology

Per raggiungere lo scopo verranno utilizzare alcune funzioni della suite di sicurezza Burp Suite, in particolare verranno utilizzare le funzioni Proxy, Intercept al fine di intercettare e modificare al volo i dati che vengono inviati al server. Avviare Burp Suite cliccando sull'apposita icona.

FIG 3 - Kali Linux, Burp Suite

Cliccare sul pulsante Next.

FIG 4 - Burp Suite

Cliccare su Start Burp.

FIG 5 - Burp Suite, Start Burp

Selezionare la scheda Proxy quindi assicurarsi che nella scheda Intercept sia presente la dicitura Intercept is on.

FIG 6 - Burp Suite, Proxy, Intercept

Ritornare a Firefox e impostare il proxy come mostrato in FIG 7 (dal menu hamburger, Preferences, Advanced, selezionare Network quindi cliccare sul pulsante Settings).

FIG 7 - Firefox, impostazione Proxy

Nella pagina http://192.168.1.1:16992 cliccare sul pulsante Log on.
Ritornare a Burp Suite e cliccare sul pulsante Forward.

FIG 8 - Burp Suite, intercettazione

In Firefox viene aperta la finestra di richiesta credenziali, inserire admin come user name e password a caso quindi cliccare su OK.

FIG 9 - Intel Active Management Technology, inserimento credenziali

Ritornare in Burp Suite, eliminare il valore contenuto in response e cliccare su Forward per inviare i dati modificati al server.

FIG 10 - Burp Suite, modifica della response

FIG 11 - Burp Suite, modifica della response

A questo punto siamo all'interno dell'interfaccia di gestione AMT. Possiamo creare un nostro account amministratore con una nostra password per gestire il sistema senza passare per Burp Suite o utilizzare programmi di terze parti come MeshCommander per prendere il controllo remoto della macchina.

FIG 12 - Interfaccia Intel Active Management Technology

FIG 13 - MeshCommander

Come Proteggersi

Intel, attraverso la pagina https://newsroom.intel.com/news/important-security-information-intel-manageability-firmware/ fornisce un tool per verificare se il proprio sistema è vulnerabile e una guida su come intervenire per ridurre i rischi derivati.
Se l'aggiornamento del firmware non è possibile si può pensare di disabilitare l'AMT sul sistema utilizzando tool di terze parti come quello scaricabile dal seguente link https://github.com/bartblaze/Disable-Intel-AMT