Einmal Kernel-Zugriff bitte – BYOVD und verwundbare Treiber

Einleitung

BYOVD-Angriffe (Bring Your Own Vulnerable Driver) haben sich in den letzten Jahren zu einer ernstzunehmenden Bedrohung entwickelt. Angreifer nutzen dabei legitime, aber verwundbare Kernel-Treiber, um privilegierte Operationen auf Zielsystemen auszuführen. Hierbei spielt es keine Rolle, welche Treiber auf dem System regulär verwendet werden, sondern lediglich, welche Treiber unterstützt werden, also welche Treiber Angreifer im Nachhinein noch installieren können. Ein aktueller Blog-Artikel von Check Point Research zeigt, dass verschiedene Versionen des Truesight-Treibers aktiv in freier Wildbahn für solche Angriffe eingesetzt werden.

Dieser Artikel zeigt die technischen Hintergründe von BYOVD-Angriffen: Warum Legacy-Treiber ein strukturelles Sicherheitsproblem darstellen, wie Microsofts Schutzmaßnahmen umgangen werden können und wie simpel die praktische Ausnutzung am Beispiel des Truesight-Treibers tatsächlich ist.

Warum alte Treiber so problematisch sind

Legacy vs. moderne Signaturen

Microsoft hat die Anforderungen […]

Was Firewalls nicht abfangen können

Der Vorfall in Berlin hat viele Organisationen aufhorchen lassen, nicht, weil besonders ausgefeilte Hacking-Techniken eingesetzt wurden oder komplexe IT-Schutzmechanismen umgangen wurden, sondern weil hier ein Eingriff in die physische Welt stattfand, dessen Auswirkungen auf kritische Infrastruktur und zehntausende Haushalte unmittelbar und greifbar waren, und der vor Augen führt, dass physische Angriffsvektoren in der alltäglichen (digitalen) Risikobetrachtung häufig unterschätzt werden.

Was auf den ersten Blick wie ein politisch motivierter Anschlag auf das Stromnetz wirkt, ist aus sicherheitstechnischer Sicht vor allem eines: ein Weckruf an Organisationen aller Größenordnungen, ihre physischen Schutzmaßnahmen nicht zu vernachlässigen.

In zahlreichen Unternehmen gilt physische Sicherheit als geregelt: Türen sind verschlossen, Zäune ziehen sich um das Gelände, Besuchende melden sich an. Auf dem Papier wirkt das nachvollziehbar und ausreichend, doch im Alltag verändern sich Abläufe […]

Mehrere Schwachstellen in UC eBanking Prime

NSIDE hat mehrere, zum Teil kritische Schwachstellen in UC eBanking Prime (Versionen 6.1.0 und 6.2.0) gefunden. Die Schwachstellen ermöglichen Angreifern unter bestimmten Umständen unautorisierten Zugriff zur UC eBanking-Prime-Webanwendung und damit zu sensiblen Daten wie Kontoständen und der Transaktionshistorie. Diese Schwachstellen werden nun im Rahmen eines Responsible-Disclosure-Prozesses offengelegt. Mit diesem Blogartikel möchten wir die zeitgleich veröffentlichten Advisorys NSIDE-SA-2025-001 und NSIDE-SA-2025-002 mit weiteren technischen Details ergänzen.

Einleitung

UC eBanking Prime ist eine On-Premise-Electronic-Banking-Lösung für Geschäftskunden der Hypovereinsbank (HVB)/UniCredit. Die Lösung besteht aus einer Webanwendung, die im Intranet des Kunden installiert wird, sowie einer Desktopanwendung namens OTC Client, die für die Anmeldung an der Webanwendung benötigt wird.

Im regulären Betrieb meldet sich der Benutzer zunächst mit einer sogenannten „Keybag“-Datei und dem dazugehörigen Passwort an der Desktopanwendung OTC Client an:

Wie laufen Pentests in Zeiten hybrider Cloud-Umgebungen ab?

Wir bei der NSIDE haben uns ein Ziel gesetzt: Realistische Angriffssimulationen durchzuführen und damit reale, greifbare Risiken aufzeigen. Dies zieht sich durch jeden unserer Pentests. Wir sind der Meinung: was nicht nachgewiesen werden kann landet auch nicht im Bericht (außer natürlich es gibt eindeutige Indikatoren, dass es trotzdem problematisch sein kann oder es sind Verstöße gegen Best-Practices).

Mit einer immer stärkeren Verbreitung von Cloud-Infrastruktur und einem Shift von klassischer On-Premises-Infrastruktur hin zu großen Cloudanbietern hat sich auch die Art und Weise geändert, wie wir Pentests durchführen.

Klassische Pentests

Unsere Pentests des internen Netzes und Active Directory laufen für gewöhnlich so ab: wir lassen uns von unserem Kunden einen Laptop zuschicken und senden selber unsere sogenannte Pentest-Box an den Kunden. Diese Box wird genutzt, um einen Angreifer mit Zugang […]

SOCKS Proxies in Red Team Engagements

In the ever-evolving landscape of red team operations, maintaining persistent and covert communication channels is crucial for successful engagements. Recently, it has become more and more important to be aware of which process is doing what. For example, notepad.exe communicating to the Internet is weird, while it’s totally normal for chrome.exe. But chrome.exe communicating to file shares or domain controllers in the network? Strange again. This post explores how SOCKS proxies can help solve this issue while also providing defenders with the knowledge needed to detect these approaches.

What is Chisel?

While we’ve been utilizing Chisel for this kind of evasion in our Red Team engagement for a while now, threat actors increased their usage as well, resulting in more and more attention being drawn […]

Wie Pentester Unternehmen, für die KRITIS, NIS2 oder ISO 27001 relevant sind, effizient weiterbringen

Die Anforderungen an die Informationssicherheit steigen. Mit Regelungen wie BSIG, ITSiG / ITSiG 2.0, BSIKritisV, ISO 27001 und seit Neuem NIS2 rückt die Frage in den Mittelpunkt: Wie beweise ich, dass meine Sicherheitsmaßnahmen wirksam sind?
Genau hier kommen Penetrationstests ins Spiel. Sie sind nicht nur technisches Pflichtprogramm, sondern ein entscheidender Baustein für Compliance, Risikomanagement und Revisionssicherheit.
Auch die praktische Unterstützung von Pentestern bei der Implementierung und der Pflege eines ISMS ist oft Gold wert.

Warum klassische Risikoanalysen allein nicht mehr reichen

KRITIS, NIS2 und ISO 27001 verlangen eine risikobasierte Herangehensweise. Doch theoretische Matrixbewertungen können nur begrenzt abbilden, wie Angreifer tatsächlich vorgehen würden.
Pentests schließen diese Lücke: Sie zeigen reale Schwachstellen, priorisieren Risiken anhand tatsächlicher Ausnutzbarkeit und liefern harte Daten, die Auditoren anerkennen.

Ergebnis: Eine Risikoanalyse, die sich nicht auf Annahmen stützt, […]

Asset Discovery über Zertifikate

In Projekten werden wir oftmals beauftragt, sogenannte OSINT-Analysen („Open Source Intelligence“) durchzuführen, in denen je nach Anforderung unterschiedliche Aspekte der (IT-) Sicherheit anhand öffentlich zugänglicher Daten näher betrachtet werden sollen. Besonders ausführlich fällt diese Analyse bei TIBER/DORA oder Red/Purple Team Assessments aus, wobei ein möglichst ganzheitliches Bild der potenziellen Angriffsfläche bzw. der Bedrohungslage erfasst werden soll, beispielsweise hinsichtlich:

Vorhandener IT-Infrastruktur und deren Schwächen
Möglicher physischer Angriffsvektoren
Schützenswerten Informationen, die eventuell öffentlich zugänglich sind
Gestohlener Passwörter
Bedrohungslage durch reale Akteure
U.v.m.

Unabhängig davon was genau gefordert wird – das übergeordnete Ziel bleibt immer konstant: Unterschiedlichste Informationen auszumachen, die öffentlich verfügbar und für Angreifer interessant, also einem Angriff zuträglich, sein könnten.
Doch schon beim ersten Punkt (dem Identifizieren von vorhandener IT-Infrastruktur) kann man sich wundern, wie genau das eigentlich […]

Chalk and Debug – ein Angriff im Schatten von S1ngularity und Shai-Hulud?

Spätestens seit dem SolarWinds Angriff 2020 rückt die Software Supply Chain aufgrund der von Ihr ausgehenden direkten Gefährdung von Softwareprojekten innerhalb von Unternehmen immer mehr in den Fokus der IT-Sicherheit. Innerhalb der letzten Wochen zeigte sich erneut, wie anfällig zentrale Distributionsplattformen für Open-Source-Komponenten sind: Die Paketquelle NPM wurde gleich drei Mal kompromittiert – jeweils mit dem Ziel, Schadcode über weit verbreitete Bibliotheken in Entwicklungsumgebungen einzuschleusen.

Diese Angriffe verdeutlichen eindrücklich, dass selbst weit verbreitete Paketquellen wie NPM keine absolute Sicherheit bieten und sich zunehmend zu einem attraktives Angriffsziel innerhalb der Software-Lieferkette entwickeln. Neben den bekannteren und größeren Angriffen der letzten Wochen, S1ingularity und Shai-Hulud, wurden auch in einem unbekannteren, weiteren Angriff 18 Pakete mit mehreren Milliarden Downloads pro Woche mit einem Crypto-Trojaner infiziert. In diesem Blogbeitrag […]

DICOM – Das Gesundheitswesen im Visier von Angreifern

Dies ist eine aktualisierte Version unseres Blog-Artikels „DICOM – Angriffe auf den wohl wichtigsten Standard im Medizinsektor“

Der DICOM-Standard ist im Gesundheitswesen aus den meisten bildgebenden oder bildverarbeitenden Systemen nicht mehr wegzudenken. Insbesondere im klinischen und interdisziplinären Umfeld ermöglicht dieser Standard Interoperabilität zwischen Systemen verschiedener Hersteller.

Die meisten Personen sind in ihrem Leben mit DICOM auf die ein oder andere Weise schon mal in Berührung gekommen, z. B. bei MRTs oder CTs. Wurde beispielsweise nach einer Röntgenaufnahme eine CD für Folgetermine mitgegeben oder diese an einen anderen Arzt übermittelt, wurden die Bilder höchstwahrscheinlich im DICOM-Format gespeichert.

In diesen DICOM-Daten sind neben persönlichen Informationen wie Vor- und Nachname, Geburtsdatum und Geschlecht zusammen mit den Bildern der Untersuchung meist auch sensible Informationen wie Befund- und Diagnosedaten gespeichert. Dadurch fallen […]

Kali NetHunter – Red-Teaming vom Smartphone

Viele von euch sind bestimmt schon mal über Kali NetHunter gestolpert, zum Beispiel beim Stöbern auf der Website von Kali Linux, ohne genau zu wissen, was das eigentlich ist, und was man damit machen kann. Die „Mobile Penetration Testing Platform for Android devices, based on Kali Linux“ wirkt auf den ersten Blick für sich genommen schon spannend, aber irgendwie auch immer komplex und die Installation einschüchternd. In diesem Blog-Beitrag wollen wir deswegen Aufklärungsarbeit betreiben über Kali NetHunter und die Stärken und Schwächen der Pentest-Suite für die Hosentasche.

Grob zusammengefasst ist Kali NetHunter eine Zusammenstellung von mehreren Apps, die ein komplettes Kali Linux Betriebssystem auf Android-Smartphones ermöglichen. Je nachdem, welches Smartphone ihr besitzt und welche Edition ihr installiert, sind Angriffe auf verschiedene Protokolle wie WLAN oder Bluetooth […]

Red Team Assessment

Penetrationstest

Trainings & Workshops

Deutsch

BLEIBEN SIE AUF DEM LAUFENDEN