Azure Arc – Part 1 – Escalation from On-Premises to Cloud

Azure Arc is Microsoft’s solution to allow customers to manage on-premises resources (servers and the likes) using Azure Resource Manager, i.e. the Azure Portal, CLI and the Azure PowerShell module. It basically enables on-premise server management in a way that it feels like you’re administrating an Azure Virtual Machine instead of an on-premises server. Note that Azure Arc supports Windows and Linux, but this blog series will only cover aspects of Windows machines.

This post is part of a blog series covering the security implications of an Azure Arc deployment. This first part is a technical deep-dive into the possibilities of an attacker who gained access to the machine itself, and which implications that has for the Cloud environment. The second part of the series deals with […]

Von Benedikt Strobl|2024-11-18T09:23:48+01:0018. November 2024|

Gefreiter in der Lötfraktion – Erste Schritte im Hardware Hacking

Obwohl es viele altruistische Gründe gibt, einen Job in der Cybersicherheit auszuführen, war der Grund, der mich ursprünglich dazu getrieben hat, ein „Hacker“ zu werden, dass es einfach verdammt cool klingt. So ist es auch dieses Mal wieder gewesen, als ich mich dem Thema des Hardware Hackings zugewandt habe. Aber genauso wie in der Cybersicherheit habe ich neben der „Coolness“ des Themas auch hier eine ganz neue Welt entdeckt, durch die man vieles aus einer anderen Perspektive sieht. Meine ersten Schritte, Versuche und Fehlschläge in diesem Thema möchte ich in diesem Blogbeitrag teilen. Vorab sei natürlich erwähnt, dass andere Analysten in unserer Firma deutlich tiefer in diesem Thema stecken. Von unserem Vertrieb werden sie immer liebevoll als „die Lötfraktion“ bezeichnet. Vielen Dank auch an dieser […]

Von Paul Zenker|2025-07-04T14:10:53+02:0030. Oktober 2024|

Azure – Code Execution Through Machine Configuration

One of the most common ways for attackers to escalate from Azure Cloud to on-premises environments are Azure managed machines (Azure virtual machines, Azure Arc joined systems, etc.) that either are directly domain-joined, part of MS Entra Directory Services or only have a network connection to on-premises infrastructure. Either way, the first step in this escalation is always code execution on that machine.

There are two commonly used and quite well understood means to execute code on Azure managed machines: through the „Run Command“ feature, the way intended by Microsoft to do it, and through installing a Custom Script Extension. There are others (see Azure Threat Research Matrix) that are less known, too. Usually, from a Red Teamer’s point of view, […]

Von Benedikt Strobl|2024-11-18T09:21:43+01:0024. Oktober 2024|

Vorteile eines eigenen C2-Frameworks für Red-Teaming-Assessments

Was sind C2 Frameworks und wofür werden sie eingesetzt?

Zuerst einmal: Was bedeutet eigentlich „C2“? „C2“ steht für „Command and Control“ und beschreibt eine Software, die Angreifer nutzen können, um einen infizierten Rechner über das Internet fernzusteuern. Hierüber können weitere Angriffe geplant und durchgeführt werden. Fast in jedem größeren Cyber-Angriff kommt daher eine Schadsoftware mit C2-Funktion zum Einsatz. Da während eines Red-Teaming-Projekts realistische Angreifer simuliert werden sollen, nutzen dementsprechend auch professionelle Red-Teams solche C2-Frameworks.

Kommerziell oder Open Source?

Während Cobalt Strike lange der Platzhirsch unter den kommerziellen „Adversary Simulation“ Programmen war, kamen in den letzten Jahren einige kommerzielle Frameworks (Nighthawk, Brute Ratel C4), sowie einige OpenSource Frameworks (Mythic Agents, Sliver, Havoc, …) hinzu. Doch das Problem von öffentlich bekannten und quelloffenen Schadsoftware-Frameworks […]

Von Marius Schwarz|2026-01-12T12:25:31+01:003. Juli 2024|

Lektionen aus der Entwicklung einer unsicheren KI-Anwendung

Im Zuge unserer Auseinandersetzung mit KI-Sicherheit, besonders in Bezug auf Large Language Models (LLMs) haben wir eine bewusst unsichere KI-Anwendung entwickelt. Diese haben wir auf GitHub veröffentlicht und nutzen Sie, um unseren Kunden Risiken und mögliche Schwachstellen beim Einsatz von KI-Anwendungen aufzuzeigen. Das fertige Projekt zum selbst Testen findet sich hier auf GitHub: https://github.com/NSIDE-ATTACK-LOGIC/Professional-Secure-AI-Bot

Die App sieht so aus:

Neben den Schwachstellen, welche die Applikation verdeutlicht, gab es auch bei der Entwicklung selbst einige spannende Erkenntnisse, welche ich in diesem Blog kurz zusammen fassen möchte.

KI kann alles außer zuhören

Um Schwachstellen zu demonstrieren, müssen (unzureichende) Sicherheitsmaßnahmen in die Anwendung eingebaut werden, welche im Anschluss überwunden werden. Da LLMs mit menschlicher Sprache funktionieren, ist es verlockend, diesen Modellen klare (so denkt man) Anweisungen in menschlicher Sprache […]

Von Paul Zenker|2024-06-24T10:02:11+02:0019. Juni 2024|

Credential Stealing trotz Windows Defender Attack Surface Reduction

Seit Windows 10 Version 1709 bringt der Windows Defender sogenannte „Attack Surface Reduction“ (ASR) Regeln mit. Diese Regeln dienen dazu – wie der Name bereits vermuten lässt – die generelle Angriffsfläche eines Systems zu reduzieren. Basierend auf einem Auszug der offiziellen Dokumentation werden hierzu unter anderem folgende Verhaltensmuster von Anwendungen überwacht:

Starten von ausführbaren Dateien und Skripten, die versuchen, andere Dateien herunterzuladen und/oder auszuführen
Ausführen von obfuskierten oder anderweitig verdächtigen Skripten
Verhaltensweisen, die bei Anwendungen im normalen Arbeitsalltag nicht vorkommen

In der Dokumentation findet sich außerdem eine Tabelle, in welcher alle derzeit verfügbaren ASR-Regeln samt einer zugehörigen ID aufgelistet sind. Eine Vielzahl der Regeln zielt auf die Erstellung von neuen Prozessen und die Makro-Funktionalität von Office-Anwendungen ab. Letzteres hat in der […]

Von NSIDE|2026-01-12T12:25:31+01:0012. Juni 2024|

Spiderfoot – Die Spinne im Netz der Daten

Auch wenn man bei einer offensiven Sicherheitsfirma, wie wir es sind, oftmals an den Angriff selbst denkt, also das Eindringen ins Netzwerk und das Hangeln und Springen über verschiedene Accounts, Computer und Server. Aber um solche Angriffe realistisch durchzuführen, sammeln unsere Analysten erstmal viele öffentlich verfügbare Daten aus dem Internet. Über diesen Prozess haben wir in den folgenden Artikeln schon ausführlich berichtet:

Open Source Intelli g ence (OSINT)

Tar g eted Threat Intelli g ence (TTI)

Für diese Arten der Angriffsvorbereitung ist es oftmals erforderlich, eine Menge Daten aus vielen Quellen zu sammeln und geordnet zusammenzutragen. Dies erfordert unter Umständen eine große Menge manueller Arbeit und daher automatisieren wir in diesem Bereich gerne viel. […]

Von Paul Zenker|2026-01-12T12:02:34+01:0016. April 2024|

TURN-Server – Standard für Videokonferenzen und Einfallstor – Teil 2

Dies ist der weiterführende Artikel einer zweiteiligen Serie zur Sicherheit von STUN und TURN und beschäftigt sich mit dem Thema eines Beispiel-Angriffs auf ein anfälliges System und die möglichen Auswirkungen. Den ersten Teil finden Sie hier.

TURN-Server sind in unserer modernen Zeit kaum mehr wegzudenken. Für viele aktuelle Softwareprodukte die auf WebRTC setzen, werden TURN-Server als Komponente eingesetzt, um die Kommunikation von Client und Servern über NAT-Grenzen hinweg zu realisieren. So werden TURN-Server oft in Kombination mit Nextcloud Talk, Jitsi Meet, Matrix, SIP-Telefonanlagen und vielen weiteren Produkten betrieben. Ein TURN-Server kann dabei jedoch bei einer Fehlkonfiguration eine potenzielle Schwachstelle darstellen, wie in Teil 1 der Artikel-Reihe bereits dargestellt wurde. In dem ersten Teil können Sie zudem eine Anleitung zur Vermeidung der Schwachstelle anhand […]

Von Christoph Peil|2024-04-08T10:12:57+02:008. April 2024|

TURN-Server – Standard für Videokonferenzen und Einfallstor

Dies ist der Auftaktartikel einer zweiteiligen Serie zur Sicherheit von STUN und TURN und beschäftigt sich mit dem Thema der Identifikation von anfälligen Systemen und deren Absicherung.

Datenschutz und Selbstbestimmung über die eigenen Daten sind in Deutschland und Europa ein sehr hoch angesehenes und wichtiges Gut. Unter anderem aus diesem Grund setzen hierzulande seit 2020 immer mehr Unternehmen auf selbst gehostete Videokonferenzsysteme, statt auf meist amerikanische Anbieter wie Cisco Webex oder Microsoft Teams. Insbesondere die Open Source Software Jitsi Meet hat sich hervorgetan und wird oft als Standalone-Lösung oder aber kombiniert mit weiterer Software wie zum Beispiel Matrix genutzt. Damit die Nutzung für jeden jedoch einwandfrei funktioniert, sind meist auch sog. TURN-Server konfiguriert.

Was ist TURN? Und warum kann ein TURN-Server ein Einfallstor sein?

TURN […]

Von Christoph Peil|2024-04-04T10:57:06+02:003. April 2024|

Netzwerke kartografieren: Im Red Teaming die Übersicht behalten

Eine Übersicht über das lokale Netzwerk mit allen angeschlossenen Geräten und offenen Diensten ist unerlässlich. In offensiven Sicherheitsüberprüfungen wie Red Teaming und Penetrationstests wie auch in Blue Teams und der IT-Administration liefert eine Übersicht über das Netzwerk im Idealfall detaillierten Aufschluss über die Struktur und Funktionalität des Netzwerkes, die potenzielle Angriffsoberfläche, und ermöglicht das effektive Suchen von angreifbaren Schwachstellen.

Je nach Anwendungsfall stehen dabei verschiedene Programme zur Verfügung, um eine Karte des Netzwerkes zu erstellen und zu warten. So ist es beim Red Teaming und Pentesten wichtig und spannend in Erfahrung zu bringen und zu kartografieren, wie sich das erreichbare Netzwerk von dem initialen Netzwerkzugang aus darstellt. Als ein zentraler Punkt der Informationsgewinnung im ganzheitlichen Red Teaming können dadurch Angriffspfade aufgedeckt und […]

Von Christoph Peil|2024-04-04T09:35:51+02:0026. März 2024|

Red Team Assessment

Penetrationstest

Trainings & Workshops

NSIDE Tech Blog

BLEIBEN SIE AUF DEM LAUFENDEN