Härtungsmaßnahme Protected Process Light

Eine der meistverwendeten Techniken in Hacker-Angriffen oder eben auch in einem Red Team Assessment ist das Auslesen von Zugangsdaten (Passwörter, Hashes, Tickets, Sessions Keys, etc.) aus dem Arbeitsspeicher. Zentraler Angriffspunkt für diese Technik ist die Local Security Authority (LSA) bzw. der zugehörige Windows-Prozess Local Security Authority Server Service (LSASS). Dieser Prozess ist dafür verantwortlich, entfernte und lokale Login-Prozesse durchzuführen und eventuelle Einschränkungen zu erzwingen. Entsprechend befinden sich im Arbeitsspeicher des Prozesses eine Vielzahl an sensiblen Informationen, die für diese Abläufe notwendig sind. Da unter Windows jeder Administrator standardmäßig über das Debug-Privileg (SeDebugPrivilege) verfügt und daher den Arbeitsspeicher jedes Prozesses einsehen kann, sind diese Daten dort vor einem Hacker mit administrativen Rechten nicht wirklich sicher. Tools wie mimikatz oder WCE […]

Von Benedikt Strobl|2022-02-17T11:37:34+01:0023. November 2021|

OS-Login Bypass via Bootloader-Manipulation (Single-User-Mode)

Auch wenn folgender Angriff schon seit Jahren bekannt ist und daher etwas in Vergessenheit geraten ist, so zeigte ein aktuelles IoT Hardware Assessment in unserem Hause, dass dieser bei aktuellen IoT-Geräten immer noch brandaktuell ist. Die Rede ist von einer Bootloader-Manipulation, um einen gesetzten Login zum Linux-System zu umgehen.

Wie bereits in früheren Blogbeiträgen erwähnt, ist es (leider) bei aktuellen IoT-Geräten immer noch üblich, eine serielle UART-Schnittstelle auf der Platine zu exponieren.

Exponierte UART Schnittstelle (Quelle: http://www.devttys0.com/2012/11/reverse-engineering-serial-ports/)

Die im IoT-Bereich stark vertretene UART Schnittstelle kommt vermehrt bei Linux-basierenden Geräten zum Einsatz und exponiert hier oft eine interaktive System Command-Shell sowie den Boot-Prozess (Bootlog). Oft ist aber der System-Zugang durch ein Passwort geschützt.

Von Alexander Poth|2021-12-13T11:13:53+01:0029. Oktober 2021|

BorgBackup: Automatisierung durch Borgmatic und Unterstützung von Windows mittels Windows Subsystem for Linux (Teil 2/3)

Dieser Beitrag ist eine Fortsetzung von Teil 1 unserer Reihe, in welchem bereits die Grundlagen von BorgBackup vorgestellt wurden.

Nachfolgend werden weitere Tools und Einsatzmöglichkeiten gezeigt, die den Umgang mit BorgBackup erleichtern sowie auf Windows ermöglichen.

Automatisierung Borgmatic

Borgmatic ist ein Werkzeug, das die Definition von Sicherungs- und Wartungsaufgaben durch BorgBackup mittels Konfigurationsdateien im YAML-Format ermöglicht. Damit wird eine übersichtlichere Konfiguration ermöglicht sowie die vereinfachte Durchführung von wiederkehrenden Aufgaben, wie das Erstellen einer Sicherung, Integritätsprüfungen, Löschen von alten Sicherungen etc.

Eine Konfigurationsdatei sieht beispielsweise wie folgt aus:

Die obige Konfigurationsdatei stellt jedoch nur einen Auszug der verfügbaren Optionen dar. In der Dokumentation ist eine Beispieldatei angegeben, die alle Konfigurationsoptionen enthält.

Borgmatic bietet dabei einige hilfreiche Funktionen:

Durch die Angabe mehrerer Repositorys können […]

Von Bernhard Doll|2022-02-17T11:39:31+01:0019. Oktober 2021|

Seitenkanalangriffe

Als Entwickler müssen wir oft über Fragen des Datenschutzes und der Sicherheit nachdenken. Seitenkanalangriffe, die einst Spionen und Regierungen vorbehalten waren, werden zunehmend für weniger gut finanzierte Angreifer möglich. Es kann eine Herausforderung sein, Möglichkeiten zum Schutz vor diesen Angriffen zu entwickeln. Es ist wichtig, hier einen Überblick über die möglichen Angriffsarten zu haben, um schutzbewusst zu planen und zu entwickeln. Nicht nur sensible Daten können kompromittiert werden, sondern ganze Kontrollsysteme könnten gefährdet sein.

Ein Seitenkanalangriff (sog. Side-Channel-Attack) greift sensible Daten nicht direkt an. Hier werden oft physikalische Nebeneffekte gesammelt und versucht, durch Analyse dieser Nebeneffekte geschützte Informationen zu extrahieren. Genutzt werden beispielsweise der Energieverbrauch eines Geräts oder Chips, elektromagnetische Abstrahlungen oder der Zeitbedarf zum Ausführen bestimmter Funktionen.

Tempest / Van-Eck-Phreaking

Das im Zweiten Weltkrieg von den […]

Von Alexander Poth|2023-05-22T14:59:44+02:0012. Oktober 2021|

Abwehr von Phishing: Defense in Depth

Bei NSIDE ATTACK LOGIC hören wir einige Fragen immer wieder. Dazu zählen „Was kann man denn gegen Phishing überhaupt machen?“ oder „Gegen Phishing kann man doch eh nichts tun, oder?“. Auch wir erleben immer wieder in Red Team Assessments, dass bei einem stark auf das Ziel zugeschnittenen Spear Phishing trotz ausgefeilter technischer Abwehrmaßnahmen am Ende doch unsere RATs („Remote Access Trojan“) ausgeführt werden und wir einen Zugang zum internen Netzwerk unseres Kunden erhalten. Auch Phishing Simulationen, die wir im Rahmen von Awareness Trainings bei unseren Kunden durchführen, haben wir – trotz teilweise häufiger Wiederholungen – noch nie auf 0 % Fehlverhalten gelenkt bekommen. Selbst Kunden, die regelmäßig, also z.B. einmal im Quartal, ein Phishing mit ihren Mitarbeitern durchführen, schaffen […]

Von Benedikt Strobl|2022-02-17T11:41:55+01:006. Oktober 2021|

BorgBackup: Einführung – Verschlüsselte inkrementelle Datensicherung (Teil 1/3)

Die Menge an Daten sowie deren Bedeutung für den Geschäftsbetrieb wächst laut EMC Globaler Data-Protection-Index (2018) in einem rasanten Tempo: Von 1.45 PB (Petabyte) in 2016 auf 9.70 PB in 2018. Zusätzlich gaben in der Studie 41 % der befragten Unternehmen an, innerhalb der letzten 12 Monate bereits Datenverluste oder unerwartete Ausfallzeiten verzeichnet zu haben. Mit $996.000 sind die Durchschnittskosten im Falle von Datenverlust dabei fast doppelt so hoch wie die Kosten für ungeplante Systemausfallzeiten, die im Schnitt bei $527.000 liegen.

Längst ist jedoch Datenverlust nicht mehr nur ein Resultat von Hardware- oder Anwenderfehlern, auch Hackerangriffe und Schadsoftware wie Ransomware stellen ein erhebliches Risiko für die Verfügbarkeit und Integrität von Daten dar. Gemäß einer Studie von Sophos (2020) gaben von 5.000 […]

Von Bernhard Doll|2022-02-17T11:43:34+01:0022. September 2021|

Bluetooth-Verschlüsselung & Sicherheit: Ein genereller Überblick

Wenn man sich aus sicherheitstechnischer Sicht mit Bluetooth beschäftigt, sind Neuigkeiten häufig negativer Natur. Nach über 20-jähriger Verfügbarkeit des Drahtlos-Standards sind Veröffentlichungen von neuen Schwachstellen und verwundbaren Geräten nach wie vor keine Seltenheit. Dieser Artikel soll einen kurzen Überblick liefern, welche Möglichkeiten Bluetooth Angreifern bietet und wie Hersteller und Nutzer diese Angriffsfläche reduzieren können.

Bluetooth-Technologie

Die jüngste Bluetooth-Spezifikation, die Version 5.3, veröffentlicht durch die Bluetooth Special Interest Group (SIG), umfasst inzwischen über 3000 Seiten. Über den Internetauftritt der SIG sind die technischen Beschreibungen des Protokolls abrufbar, welche hier den Rahmen des Artikels sprengen würden.

Prinzipiell ist zwischen Bluetooth BR/EDR („Classic Bluetooth“) und Low Energy zu unterscheiden. Das Low Energy Protokoll wurde dem Standard in Version 4.0 hinzugefügt und ist mit der klassischen […]

Von Sarah Mader|2022-09-12T16:40:37+02:0021. September 2021|

Replay-Attacken im 433/868 MHz-Standard

Neben dem allgegenwärtigen WLAN-, Bluetooth-Low-Energy- oder ZigBee-Standard kommen bei Embedded Devices auch Funktechnologien aus dem ISM Band (433/868 MHz) zum Einsatz. Beispiele sind Restaurantpager, Wetterstationen, Garagentorsteuerungen, Tastaturen, aber auch Funksteckdosen, welche in nahezu jedem Baumarkt erhältlich sind. Erfahrungen haben gezeigt, dass Daten, die über diesen Standard übermittelt werden, meist unzureichend gegenüber „Replay-Attacken“ abgesichert sind. Bei diesen schneidet ein Angreifer übermittelte Daten mithilfe eines 433/868 MHz-Empfängers mit, bearbeitet sie und sendet diese manipulierten Pakete an das Empfängergerät. Das folgende Beispiel soll zeigen, wie handelsübliche Funksteckdosen über diese Technik vollständig übernommen werden können.

(Quelle: NSIDE ATTACK LOGIC)

Equipment

Das Identifizieren und Mitschneiden von übertragenen Daten im 433/868 MHz-Standard benötigt kein teures Equipment, da ein Großteil der Funksignalverarbeitung in der heutigen Zeit […]

Von Alexander Poth|2022-02-17T11:46:44+01:0030. August 2021|

DICOM – Angriffe auf den wohl wichtigsten Standard im Medizinsektor

Fast alle Hersteller bildgebender oder bildverarbeitender Systeme in der Medizin wie z. B. Röntgen, MRT oder CT, implementieren den DICOM-Standard in ihren Produkten. Dadurch wird im klinischen Umfeld Interoperabilität zwischen Systemen verschiedener Hersteller ermöglicht.

Wahrscheinlich sind Sie selbst schon mit Bildern im DICOM-Format in Kontakt gekommen. Wurde Ihnen beispielsweise nach einer Röntgenaufnahme eine CD für Folgetermine mitgegeben, wurden auf dieser höchstwahrscheinlich Bilder im DICOM-Format gespeichert.

Neben Daten wie Vor- und Nachname, Geburtsdatum und Geschlecht werden innerhalb dieser Bilder meist auch sensible Informationen wie Befund- und Diagnosedaten gespeichert.

Um eine Verteilung solcher DICOM-Bilder zwischen Geräten und dem medizinischen Personal sicherzustellen, werden innerhalb von medizinischen Einrichtungen „PACS-Server“ verwendet. PACS steht für Picture Archiving and Communication System. Dies ist im Grunde eine Datenbank, in welcher alle medizinischen Bilder gespeichert sind. Jedes […]

Von Alexander Poth|2022-02-17T11:45:55+01:0030. August 2021|

IT-Sicherheit: Eine Farbenlehre

Black Hats, Red Team Exercises, das Blue Team im Security Operations Center (SOC) – im Bereich IT-Sicherheit wird viel mit Farben gearbeitet. Einige der bunten Bezeichnungen sind weit verbreitet, andere weniger. In jedem Fall ist es gut zu wissen, was mit den verschiedenen Farben gemeint ist – auch, weil es einen guten Überblick über gewisse Aspekte des Feldes der IT-Sicherheit geben kann. Daher wollen wir in diesem Beitrag den Leser in die Farbenlehre der IT-Sicherheit einführen.

IT-Funktionen und Teams: Ein ganzer Regenbogen

Im Bereich Sicherheitstests sind „Red Teaming“ oder „Red Team Exercises“ aktuell bereits weit verbreitet und „Purple Teaming“, „Purple Team Trainings“ oder „Purple Team Workshops“ stark im Kommen.

Die genannten Farben leiten sich von Funktionen und den Teams, die sie durchführen, ab:

Rot: Angreiferfunktion und -rolle. In […]

Von Rafael Fedler|2022-02-17T11:48:39+01:0011. August 2021|

NSIDE Tech Blog

BLEIBEN SIE AUF DEM LAUFENDEN