NSIDE Tech Blog

Offensive Cyber Security Blog: Im NSIDE Tech Blog veröffentlichen die Analysten der NSIDE interessante technische Artikel, neue Erkenntnisse und von uns entwickelte Techniken.

OS-Login Bypass via Bootloader-Manipulation (Single-User-Mode)

Auch wenn folgender Angriff schon seit Jahren bekannt ist und daher etwas in Vergessenheit geraten ist, so zeigte ein aktuelles IoT Hardware Assessment in unserem Hause, dass dieser bei aktuellen IoT-Geräten immer noch brandaktuell ist. Die Rede ist von einer Bootloader-Manipulation, um einen gesetzten Login zum Linux-System zu umgehen.

Wie bereits in früheren Blogbeiträgen erwähnt, ist es (leider) bei aktuellen IoT-Geräten immer noch üblich, eine serielle UART-Schnittstelle auf der Platine zu exponieren.

Exponierte UART Schnittstelle (Quelle: http://www.devttys0.com/2012/11/reverse-engineering-serial-ports/)

Die im IoT-Bereich stark vertretene UART Schnittstelle kommt vermehrt bei Linux-basierenden Geräten zum Einsatz und exponiert hier oft eine interaktive System Command-Shell sowie den Boot-Prozess (Bootlog). Oft ist aber der System-Zugang durch ein Passwort geschützt.

Bootprozess und passwortgeschützter System-Zugang

Von |2021-12-13T11:13:53+01:0029. Oktober 2021|

BorgBackup: Automatisierung durch Borgmatic und Unterstützung von Windows mittels Windows Subsystem for Linux (Teil 2/3)

Dieser Beitrag ist eine Fortsetzung von Teil 1 unserer Reihe, in welchem bereits die Grundlagen von BorgBackup vorgestellt wurden.

Nachfolgend werden weitere Tools und Einsatzmöglichkeiten gezeigt, die den Umgang mit BorgBackup erleichtern sowie auf Windows ermöglichen.

Automatisierung Borgmatic

Borgmatic ist ein Werkzeug, das die Definition von Sicherungs- und Wartungsaufgaben durch BorgBackup mittels Konfigurationsdateien im YAML-Format ermöglicht. Damit wird eine übersichtlichere Konfiguration ermöglicht sowie die vereinfachte Durchführung von wiederkehrenden Aufgaben, wie das Erstellen einer Sicherung, Integritätsprüfungen, Löschen von alten Sicherungen etc.

Eine Konfigurationsdatei sieht beispielsweise wie folgt aus:

Die obige Konfigurationsdatei stellt jedoch nur einen Auszug der verfügbaren Optionen dar. In der Dokumentation ist eine Beispieldatei angegeben, die alle Konfigurationsoptionen enthält.

Borgmatic bietet dabei einige hilfreiche Funktionen:

  • Durch die Angabe mehrerer Repositorys können […]
Von |2022-02-17T11:39:31+01:0019. Oktober 2021|

Seitenkanalangriffe

Als Entwickler müssen wir oft über Fragen des Datenschutzes und der Sicherheit nachdenken. Seitenkanalangriffe, die einst Spionen und Regierungen vorbehalten waren, werden zunehmend für weniger gut finanzierte Angreifer möglich. Es kann eine Herausforderung sein, Möglichkeiten zum Schutz vor diesen Angriffen zu entwickeln. Es ist wichtig, hier einen Überblick über die möglichen Angriffsarten zu haben, um schutzbewusst zu planen und zu entwickeln. Nicht nur sensible Daten können kompromittiert werden, sondern ganze Kontrollsysteme könnten gefährdet sein.

Ein Seitenkanalangriff (sog. Side-Channel-Attack) greift sensible Daten nicht direkt an. Hier werden oft physikalische Nebeneffekte gesammelt und versucht, durch Analyse dieser Nebeneffekte geschützte Informationen zu extrahieren. Genutzt werden beispielsweise der Energieverbrauch eines Geräts oder Chips, elektromagnetische Abstrahlungen oder der Zeitbedarf zum Ausführen bestimmter Funktionen.

Tempest / Van-Eck-Phreaking

Das im Zweiten Weltkrieg von den […]

Von |2023-05-22T14:59:44+02:0012. Oktober 2021|

Abwehr von Phishing: Defense in Depth

Bei NSIDE ATTACK LOGIC hören wir einige Fragen immer wieder. Dazu zählen „Was kann man denn gegen Phishing überhaupt machen?“ oder „Gegen Phishing kann man doch eh nichts tun, oder?“. Auch wir erleben immer wieder in Red Team Assessments, dass bei einem stark auf das Ziel zugeschnittenen Spear Phishing trotz ausgefeilter technischer Abwehrmaßnahmen am Ende doch unsere RATs („Remote Access Trojan“) ausgeführt werden und wir einen Zugang zum internen Netzwerk unseres Kunden erhalten. Auch Phishing Simulationen, die wir im Rahmen von Awareness Trainings bei unseren Kunden durchführen, haben wir – trotz teilweise häufiger Wiederholungen – noch nie auf 0 % Fehlverhalten gelenkt bekommen. Selbst Kunden, die regelmäßig, also z.B. einmal im Quartal, ein Phishing mit ihren Mitarbeitern durchführen, schaffen […]

Von |2024-03-16T09:41:08+01:006. Oktober 2021|

BorgBackup: Einführung – Verschlüsselte inkrementelle Datensicherung (Teil 1/3)

Die Menge an Daten sowie deren Bedeutung für den Geschäftsbetrieb wächst laut EMC Globaler Data-Protection-Index (2018) in einem rasanten Tempo: Von 1.45 PB (Petabyte) in 2016 auf 9.70 PB in 2018. Zusätzlich gaben in der Studie 41 % der befragten Unternehmen an, innerhalb der letzten 12 Monate bereits Datenverluste oder unerwartete Ausfallzeiten verzeichnet zu haben. Mit $996.000 sind die Durchschnittskosten im Falle von Datenverlust dabei fast doppelt so hoch wie die Kosten für ungeplante Systemausfallzeiten, die im Schnitt bei $527.000 liegen.

Längst ist jedoch Datenverlust nicht mehr nur ein Resultat von Hardware- oder Anwenderfehlern, auch Hackerangriffe und Schadsoftware wie Ransomware stellen ein erhebliches Risiko für die Verfügbarkeit und Integrität von Daten dar. Gemäß einer Studie von Sophos (2020) gaben von 5.000 befragten Unternehmen mehr […]

Von |2024-03-16T09:41:07+01:0022. September 2021|

Bluetooth-Verschlüsselung & Sicherheit: Ein genereller Überblick

Wenn man sich aus sicherheitstechnischer Sicht mit Bluetooth beschäftigt, sind Neuigkeiten häufig negativer Natur. Nach über 20-jähriger Verfügbarkeit des Drahtlos-Standards sind Veröffentlichungen von neuen Schwachstellen und verwundbaren Geräten nach wie vor keine Seltenheit. Dieser Artikel soll einen kurzen Überblick liefern, welche Möglichkeiten Bluetooth Angreifern bietet und wie Hersteller und Nutzer diese Angriffsfläche reduzieren können.

Bluetooth-Technologie

Die jüngste Bluetooth-Spezifikation, die Version 5.3, veröffentlicht durch die Bluetooth Special Interest Group (SIG), umfasst inzwischen über 3000 Seiten. Über den Internetauftritt der SIG sind die technischen Beschreibungen des Protokolls abrufbar, welche hier den Rahmen des Artikels sprengen würden.

Prinzipiell ist zwischen Bluetooth BR/EDR („Classic Bluetooth“) und Low Energy zu unterscheiden. Das Low Energy Protokoll wurde dem Standard in Version 4.0 hinzugefügt und ist mit der klassischen […]

Von |2024-03-16T09:41:05+01:0021. September 2021|

Replay-Attacken im 433/868 MHz-Standard

Neben dem allgegenwärtigen WLAN-, Bluetooth-Low-Energy- oder ZigBee-Standard kommen bei Embedded Devices auch Funktechnologien aus dem ISM Band (433/868 MHz) zum Einsatz. Beispiele sind Restaurantpager, Wetterstationen, Garagentorsteuerungen, Tastaturen, aber auch Funksteckdosen, welche in nahezu jedem Baumarkt erhältlich sind. Erfahrungen haben gezeigt, dass Daten, die über diesen Standard übermittelt werden, meist unzureichend gegenüber „Replay-Attacken“ abgesichert sind. Bei diesen schneidet ein Angreifer übermittelte Daten mithilfe eines 433/868 MHz-Empfängers mit, bearbeitet sie und sendet diese manipulierten Pakete an das Empfängergerät. Das folgende Beispiel soll zeigen, wie handelsübliche Funksteckdosen über diese Technik vollständig übernommen werden können.

(Quelle: NSIDE ATTACK LOGIC)

Equipment

Das Identifizieren und Mitschneiden von übertragenen Daten im 433/868 MHz-Standard benötigt kein teures Equipment, da ein Großteil der Funksignalverarbeitung in der heutigen Zeit […]

Von |2022-02-17T11:46:44+01:0030. August 2021|

DICOM – Angriffe auf den wohl wichtigsten Standard im Medizinsektor

Fast alle Hersteller bildgebender oder bildverarbeitender Systeme in der Medizin wie z. B. Röntgen, MRT oder CT, implementieren den DICOM-Standard in ihren Produkten. Dadurch wird im klinischen Umfeld Interoperabilität zwischen Systemen verschiedener Hersteller ermöglicht.

Wahrscheinlich sind Sie selbst schon mit Bildern im DICOM-Format in Kontakt gekommen. Wurde Ihnen beispielsweise nach einer Röntgenaufnahme eine CD für Folgetermine mitgegeben, wurden auf dieser höchstwahrscheinlich Bilder im DICOM-Format gespeichert.

Neben Daten wie Vor- und Nachname, Geburtsdatum und Geschlecht werden innerhalb dieser Bilder meist auch sensible Informationen wie Befund- und Diagnosedaten gespeichert.

Um eine Verteilung solcher DICOM-Bilder zwischen Geräten und dem medizinischen Personal sicherzustellen, werden innerhalb von medizinischen Einrichtungen „PACS-Server“ verwendet. PACS steht für Picture Archiving and Communication System. Dies ist im Grunde eine Datenbank, in welcher alle medizinischen Bilder gespeichert sind. Jedes […]

Von |2024-03-16T09:41:06+01:0030. August 2021|

IT-Sicherheit: Eine Farbenlehre

Black Hats, Red Team Exercises, das Blue Team im Security Operations Center (SOC) – im Bereich IT-Sicherheit wird viel mit Farben gearbeitet. Einige der bunten Bezeichnungen sind weit verbreitet, andere weniger. In jedem Fall ist es gut zu wissen, was mit den verschiedenen Farben gemeint ist – auch, weil es einen guten Überblick über gewisse Aspekte des Feldes der IT-Sicherheit geben kann. Daher wollen wir in diesem Beitrag den Leser in die Farbenlehre der IT-Sicherheit einführen.

IT-Funktionen und Teams: Ein ganzer Regenbogen

Im Bereich Sicherheitstests sind „Red Teaming“ oder „Red Team Exercises“ aktuell bereits weit verbreitet und „Purple Teaming“, „Purple Team Trainings“ oder „Purple Team Workshops“ stark im Kommen.

Die genannten Farben leiten sich von Funktionen und den Teams, die sie durchführen, ab:

  • Rot: Angreiferfunktion und -rolle. In […]
Von |2022-02-17T11:48:39+01:0011. August 2021|

Ransomware-Angriff auf Kaseya-VSA: Wie man sich gegen Supply-Chain-Angriffe und Zero Day Exploits schützt

Vor einigen Tagen (Stand: 07. Juli 2021) hat eine Cybercrime-Gruppe – man vermutet, es war REvil oder ein „Geschäftspartner“ (Affiliate) – eine neue Schwachstelle in der Fernwartungssoftware VSA des Herstellers Kaseya innerhalb eines kurzen Zeitraums bei vielen Zielfirmen ausgenutzt. Dieser Angriff nahm schnell sehr große Ausmaße an – unter anderem mussten in Schweden landesweit Supermärkte schließen. Nach aktuellem Kenntnisstand sind mindestens 40 Kunden von Kaseya betroffen. Insgesamt sind aber vermutlich noch mehr Firmen Opfer dieses Angriffs geworden, da unter den Kunden von Kaseya wiederum viele IT-Dienstleister sind, deren Kunden über die Zugänge dieser IT-Dienstleister infiziert wurden. Aktuell wird von mehreren Hundert bis hin zu 1.500 ausgegangen. Wie der Angriff technisch von statten ging, lässt sich bei Heise nachlesen.

Dieser Angriff […]

Von |2022-02-17T11:49:51+01:007. Juli 2021|
Nach oben