lundi 25 septembre 2017

Veille sécurité

[Vulnérabilité] La semaine a été chargée en vulnérabilités. À commencer par le Patch Tuesday de Microsoft et ses 82 vulnérabilités dont 27 critiques et une vulnérabilité de type zero-day impactant le framework .NET. Cette dernière a été utilisée en juillet dernier par un groupe d’attaquants, qui aurait tenté de cibler un public russophone. L’exploitation de cette vulnérabilité repose sur l’envoi d’un document Word spécialement forgé, sans macros et ayant pour finalité l’installation du logiciel d’espionnage FinFisher.

La deuxième faille de sécurité critique de la semaine se nomme Blueborne et concerne l’exploitation de la pile protocolaire Bluetooth. Des chercheurs de la société Armis, après avoir disséqué les quelques 2 822 pages de spécifications, ont pu mettre en avant plusieurs vulnérabilités permettant au final d’exploiter le système d’exploitation des périphériques ayant le Bluetooth d’activé. Ainsi, les 8.2 milliards de périphériques Bluetooth, fonctionnant sous Linux, Android, Windows et iOS sont potentiellement exploitables. Il est donc recommandé de tenir à jour son système d’exploitation et de désactiver le Bluetooth lorsqu’il n’est pas utilisé.

[Monnaies virtuelles] Les crypto monnaies, bien qu’étant dans le collimateur des régulateurs chinois, restent attrayantes pour les cybercriminels. Une étude récente a démontré la recrudescence de malware ayant pour but de miner des jetons de monnaies virtuelles et la hausse de leur présence sur des serveurs d’entreprise.

[Fuite d’informations] Une nouvelle fuite de données concernant le vote électronique a été découverte par une équipe de chercheurs en sécurité. Elle concerne les données de 593 328 citoyens américains (électeurs de l’état de l’Alaska) qui étaient publiquement accessibles sur Internet suite à une mauvaise configuration de la base de données.

Il ne faut pas sous-estimer l’importance d’une bonne communication lors d’une gestion de crise comme l’a appris à ses dépens la plate-forme de contenu multimédia Vevo. En effet, le groupe d’attaquants Our Mine, a contacté Vevo via Linkedin pour les informer qu’ils avaient exfiltrés des documents internes mais qu’ils ne seraient pas publiés. Cependant, la réponse virulente apportée n’était visiblement pas la bonne, puisque les 3,12 To de données internes ont été rendues publiques dans la foulée.

[Malware] ExpensiveWall est le nom donné à une nouvelle variante d’un malware Android, qui envoie des SMS surtaxés et prélève les comptes utilisateurs pour l’achat de faux services.

Des malwares tirent profit des mauvaises configurations de serveurs Elastic Search pour y déposer les malwares impactant les terminaux de paiement. Pas moins de 4 067 serveurs distribuent ainsi ces souches et servent également de serveurs de commande et de contrôle.

[Justice] Sean Caffrey a été condamné à 18 mois de prison avec sursis. Il avait dérobé les comptes et adresses mail de 800 utilisateurs d’un système de communication par satellite du Département de la Défense américain en 2014.

[Equifax] Suite à l’annonce la semaine dernière de la fuite de données de près de 143 millions de résidents américains par le président d’Equifax, de nouvelles informations ont été dévoilées. Equifax a ainsi reconnu que la compromission résulte d’une procrastination dans la mise à jour de certains serveurs concernant une faille de sécurité publiée en mars dernier visant Apache Struts (CVE-2017-5638). Selon les investigations, les attaquants auraient eu accès au réseau d’Equifax entre le 13 mai 2017 et le 30 juillet 2017 leur permettant également d’exfiltrer les informations personnelles de résidents britanniques et canadiens.

[Menace]

La nouvelle tendance des cybercriminels s’oriente vers les « Supply chain attack » qui s’attaque aux systèmes de mise à jour d’éditeurs de logiciels. Cette fois-ci le système de mise à jour de CCleaner d’Avast a été visé. Selon Talos, seraient incriminées la version 32 bits v5.33 et la version Cloud 1.07.3191, mises en ligne entre le 15 août 2017 et le 11 septembre 2017. La finalité du code malveillant n’est pas encore claire à l’heure actuelle. Selon l’éditeur Avast, les versions impactées auraient été installées sur plus de 2 millions de machines. Il est vivement recommandé de mettre à jour CCleaner dans les plus brefs délais.

Fonctionnement du code malveillant embarqué dans CCleaner v5.33 – Source Talos

 Source

lundi 14 août 2017

Actualité sécurité

[Vulnérabilité] SMBLoris, une nouvelle vulnérabilité SMB a été divulguée durant la même conférence DefCon. La vulnérabilité est présente dans tous les OS Microsoft depuis Windows 2000. Un attaquant distant peut exploiter cette vulnérabilité d'épuisement de la mémoire en envoyant un paquet NBSS spécialement conçu entraînant ainsi un déni de service. Microsoft a déjà indiqué qu'il n'émettrait pas de patch pour cette vulnérabilité car elle ne correspondait par aux critères de services de sécurité du géant de Redmond. Afin de combler le vide, les fournisseurs des solutions IPS / IDS ont déjà commencé à publier des solutions personnalisées pour détecter et prévenir l'exploitation de SMBLoris.

[Cybercrime] Pendant des mois, le kit d'exploitation Magnitude a été le moyen de diffusion privilégié pour le célèbre ransomware Cerber. Sa capacité à tromper les systèmes d'enchères en temps réel utilisés par de nombreuses régies publicitaires le démarque des autres kits d’exploitation. En outre, Magnitude utilise des sites de leurres personnalisés pour filtrer plus efficacement le trafic entrant.

[Juridique] En 2015, une société allemande a licencié un de ses employés après l'avoir accusé d'avoir travaillé sur un jeu vidéo pour une entreprise rivale pendant ses horaires de travail. Le développeur a ensuite poursuivi son ancien employeur pour un licenciement injustifié et a remporté l'affaire en raison du fait que son ex-employeur avait obtenu les preuves par l'entremise d'un « keylogger ». Cela malgré le fait que l’employeur avait bien informé ses employés que leur trafic réseau et ordinateurs professionnels seraient surveillés en permanence. Sans toutefois préciser de de détails techniques.

lundi 17 juillet 2017

CTFZone 2017 e-Voting (crypto 409pts)

It's a crypto task where they gived us a ciphertext which is represented in two values (C1 & C2) ; this help us to realize that's the cryptosystem probably used is el gamal cryptosystem which is also based on diffie-hellman like it was said in the description of the task. The aim is clear, we have to decipher this ciphertext and the plaintext will be the flag. The script below will decrypt the ciphertext quickly due to flaw of the implementation of the cryptosystem by this service.


from pwn import * 

import re

import sys

import string



r = remote("82.202.204.134",1331 )

m = r.recvuntil('-> ', drop=True)

m = m.split("(")

m = m[1]

m = m.split(")")

m = m[0]

m = m.split(" ")

C1 = m[0]

C2 = m[1]

r.writeline("D \n")

m = r.recv()

C1 = int(C1) * 2

r.writeline(str(C1)  +" " + str(C2))

o = r.recv()

o = o.split("\n")

o = o[1]

o = int(o,16)

o = o / 2

o = format(o, 'x')

print "flag is : ctfzone{"+o+"}"

Output :
ctfzone{fc575129f3935d5b456ed55ef8173574}

mercredi 17 mai 2017

Wanna Cry

Rançon

La fin de semaine a été mouvementée pour les administrateurs sécurité à travers le monde suite à la propagation du ransomware WannaCry. Ce malware a défrayé la chronique tout le week-end en raison de sa rapidité de propagation et de son impact important sur plusieurs grosses entreprises.

Cela a commencé vendredi après-midi avec la perte du réseau de téléphonie mobile espagnol Telefonica pour continuer sur le blocage des services hospitaliers anglais, l’arrêt de plusieurs sites de productions à travers le monde dont Renault mais aussi l’infection de différentes banques.

Ce ransomware a utilisé comme moyen de propagation une faille rendue publique mi avril suite à la divulgation par le groupe ShadowBrokers des outils offensifs de la NSA.

Pour se propager, le ransomware scanne le réseau local sur lequel il se trouve ainsi qu’une plage d’adresse IP publique aléatoire à la recherche d’autres machines vulnérables.

La leçon à retenir est qu’il est nécessaire d’appliquer aussi rapidement que possible les mises à jour de sécurité pour éviter une paralysie complète du système d’information.

Source

mardi 25 avril 2017

Actualité sécurité

Attaque

La Fédération internationale d’athlétisme a été victime d’un piratage informatique notamment les exemptions accordées à certains athlètes les autorisant à utiliser, pour raisons médicales, des produits interdits. Selon l’IAAF, l’attaque a été menée par le groupe FANCY BEAR (aussi connu, notamment, sous le nom d’APT28). Pour rappel, La Fédération internationale d’athlétisme a suspendu depuis le 13 novembre 2015 la Russie de toutes les compétitions internationales – dont les Jeux olympiques de Rio et les Championnats du monde 2017 à Londres – après des révélations établissant un dopage d’État en Russie. Source

Menace

Des attaquants utilisent de fausses stations radio en Chine pour distribuer le malware Android Swearing par SMS. Interceptant la communication d'un terminal et de son réseau sans fil en se faisant passer pour un opérateur légitime, les attaquants envoient un message texte à l’utilisateur l'invitant à télécharger une application ou une mise à jour, en cliquant sur un lien de téléchargement d'un fichier APK. Le malware Swearing exfiltre les données à caractère personnel contenues dans le portable et intercepte les SMS pour passer outre l’authentification à deux facteurs ou d’autres systèmes à codes uniques utilisés par les banques chinoises. Source

Vulnérabilité

[Apache] Une vulnérabilité permettant l’exécution de code à distance a été découverte dans le parseur Jakarta d’Apache Struts2. Cette vulnérabilité est en activement exploitée dans la nature et des preuves de concept sont publiquement disponibles. L’exploitation la plus avancée tente de télécharger une charge malveillante et de désactiver le pare-feu local avant l’exécution du malware.

Apache a mis à disposition plusieurs versions de Apache Struts2 qui ne sont pas vulnérables (2.3.32 / 2.5.10.1 ou plus élevée) et il est fortement conseillé d’installer ces mises à jour. Source

Fuite

[IOT] Une fuite de donnée a touché la semaine dernière une infrastructure utilisée par un ours en peluche connecté créé par une société nommée Cloud Pets : 800 000 comptes ont été volés. Les jouets sont conçus pour effectuer des connexions sur une infrastructure dédiée utilisant MongoDB. Malheureusement, leur instance de MongoDB écoutait sur l’adresse IP publique de la machine qui l’hébergeait et n’utilisait aucun mécanisme d’authentification…

La communication autour de cet incident a été très mal gérée par la société et l’impact sur les actions de Spiral Toys (la société possédant Cloud Pets) a été terrible… Source

Menace

Google et des chercheurs de l'institut CWI (Centrum Wiskunde & Informatica) ont annoncé être parvenu à générer une collision via la fonction de hachage cryptographique SHA-1. Encore utilisée pour sécuriser les communications et les certificats, cette collision confirme que la sécurité de SHA-1 n’est plus garantie. La méthode sera dévoilée sous 90 jours afin notamment que les utilisateurs de SHA-1 puissent migrer vers des solutions de chiffrement plus complexes. Google a déjà implémenté des protections relatives à cette technique sur certains de ses produits. Source

jeudi 5 janvier 2017

MSSP CTF WEB 150 - Safe Hashing

#Sudo_root
#Zakizak

MSSP CTF

WEB 150 - Safe Hashing

We gave us a link and we asked us to get the secret under it.

The link given was : https://web-piratuer.c9users.io/web5/

Opening the page https://web-piratuer.c9users.io/web5/index.php~ shows this line of code

'; } else { readfile(basename($_GET['useme'])); } } ?>

From the line, above, we can see that readfile function is used and parameter 'useme' define which page should be loaded. Let’s add this parameter to the end of our URL and try to load the page 'index.php' trough this manner :

https://web-piratuer.c9users.io/web5/?useme=index.php

Openning the index page this way, return the same result as the page " index.php~" loaded natively before.

Now, after a few tries of pages suceptibles to exist, we found that a page named 'admin.php' exist. Unfortunately, loading this page return us a troll image which seems to tell us that we can't load it as easily.

Showing the source code of this page reveals interesting things. There is a huge party of the source code of the page ‘admin.php’, Here it is :

One line captivante in this source code is :

if ($signature !== hash("sha512", $SHAREDSEC . strrev($pass)))

This line is the only one which could let the variable $passme having another value than false in order to fill the last condition which is :

if ($passme) { echo "Congrats!! ".$FLAG; }

And as a consequence, getting the flag we search for.

Now we can see that there is a hash extension vulnerablity. It means that we can add arbitrary data to the end of the string, and generate a new authentication token for it.

When we visit the admin page natively for the first time, this code is executed:

$passme = false;
$serial = serialize($passme);
setcookie("is_admin", $serial);
setcookie("mac", hash("sha512", $SHAREDSEC . strrev($serial)));

From that, we see that our cookie is a serialized PHP datatype, in this case simply 'false'. The mac token is generated by prepending a secret to the reversed version of the authentication string .

Those two cookies are set. Then later, when you return, the cookies are sent back and validated:

if (isset($_COOKIE["is_admin"]))

{

$pass = $_COOKIE["is_admin"];

$passme = unserialize($pass);

$signature = $_COOKIE["mac"];

if ($signature !== hash("sha512", $SHAREDSEC . strrev($pass))) $passme = false;

}

By looking for created cookies, I find out that my cookies for this website are:

is_admin=b:0;

mac=1505c60315b49ac1403d9cc0e2d02a435f3550b61cbf95000de3d19746b65545b361516775355aaa8fa57bf49f0a6a4e2c76667fa1ee38da5ae1681a5ccff2d

The value "b:0;" refer to boolean zero (false). The true value will be "b:1;". That's the value I want to append.

The only constraint is that we don’t know the length of $SHAREDSEC, which is unfortunately important for this attack. So we have to brute-force it.

For doing that, we’ll use a tool called hash_extender. However, we have to modify it a little because this challenge requires the string to be reversed before being validated.

Basically, we just have to modify the output function under the main file ‘hash_extender.c’ in order to reverse the string as said.

Then, we run hash_extender like this:

$ ./hash_extender --data ';0:b' -s 1505c60315b49ac1403d9cc0e2d02a435f3550b61cbf95000de3d19746b65545b361516775355aaa8fa57bf49f0a6a4e2c76667fa1ee38da5ae1681a5ccff2d9 --append ';1:b' --secret-min=1 --secret-max=32 --out-data-format=html

This tells it to try every secret length between 1 and 32 bytes. One of them should work.

Then we can automate the task entirely by mixing curl tool to the above function for each of the 32 request like this :

for i in `./hash_extender --data ';0:b' -s 1505c60315b49ac1403d9cc0e2d02a435f3550b61cbf95000de3d19746b65545b361516775355aaa8fa57bf49f0a6a4e2c76667fa1ee38da5ae1681a5ccff2d9 --append ';1:b' --secret-min=10 --secret-max=32 --out-data-format=html`; do HASH=`echo $i | sed 's/,.*//'`; DATA=`echo $i | sed 's/.*,//'`; echo "$DATA :: $HASH"; curl -b "is_admin=$DATA;mac=$HASH" https://web-piratuer.c9users.io/web5/admin.php; echo; done

By redirecting the result into a file and by searching for the prefix of the flag mssp, we fast retrieved the whole flag as shown below: