Forensic

אחת מהבעיות העיקריות בביצוע תהליך FORENSIC הוא לאחר ביצוע תהליך שיכפול ה - Harddisk (על פי כל התקנים של שיכפול ביט אחרי ביט), היא לבצע מחקר על מחשב חיי.

כאשר החומרה זהה וניתן לקחת את כל המחשב המשימה דיי קלה, אבל המציאות מושכת אותנו לא מעט פעמים לפיתרונות שדורשים יצירתיות.

לאחרונה נתקלתי בתהליך Forensic שנכנסתי אליו בשלב מתקדם כלומר הלקוח חשד שיש לו אירוע, שיכפל את ה - HD שחשב שהם נגועים והביא לנו לחקירה(הלקוח הוא לקוח בינלאומי)

בבחינה שערכתי אל מול הלקוח לא היה ניתן לקבל את ה - Hardware (הברזלים) של אותו מחשב מכיוון שמרבית המחשבים לא קיימים למכירה, והמחשב "הנגוע" היה בשימוש ולא היה ניתן לקבל אותו, אך עדיין רציתי לעלות את המחשב ולבצע חקירה מעמיקה.

במידה ונעלה את המחשב על חומרה חדשה ניתקל בבעיה חמורה מאוד של דרייברים , ומרבית המקרים אף לא נוכל לעלות אותו עקב בעיה זו.

הפתרון:

עם זה שידוע לי שהפיתרון הנ"ל לא מושלם, הוא עדיין נותן מענה לבעיה באופן דיי טוב לטעמי, אתם בטח שואלים את עצמכם מה הפיתרון ולמה לא נותן מענה מלא, אנסה לפרט זאת למטה.

הפיתרון הוא לאחר ביצוע תהליך שיכפול ה - Harddisk ביט אחרי ביט , יש לבצע גיבוי של ה - Harddisk הנ"ל על ידי תוכנת   Acronis True Image ל - HD חדש.

לאחר יצירת ה - IMAGE יש לשפוך את ה - IMAGE ל  - HD חדש ולהשתמש בפונקציית ה - Universal Restore, פונקציה זו תיקח מ - Disk on key את כל ה - Drivers (במקרה שלנו זה היה מחשב DELL) הנחוצים על מנת לעלות את המערכת באופן תקין ללא כל בעיה.

והמערכת תעלה לנו מהחשב החדש כאילו הייתה תמיד מותקנת שם :)

בעייה נוספת שנתקלתי היא שרציתי לעלות את מערכת ההפעלה בפרופיל של המשתמש על מנת להבין אם משהו הושתל ייעודית על הפרופיל שלו אך למרבה הצער לא סיפקו לנו את שם המשתמש והסיסמא של המשתמש (בעיה נוספת).
על מנת לפתור את הבעיה הנ"ל העלתי את המחשב עם KONBOOT ונכנסתי לפרופיל של המשתמש.

אין ספק שפיתרון זה לא אידאלי כי במידה והסוס טוריאני מזהה מרכיבים כגון Drivers(שעד כמה שאני מכיר לא ראיתי סוס כזה) או לחילופין מבין שהוא לא בסביבה הטיבעית שלו הוא יכול למחוק את עצמו.

אך עם זאת ביצוע בדיקות נוספות כגון ביצוע בדיקה סטאטית או ביצוע בדיקה על המחשב המקורי יכולים לעזור במידה ועולה חשד נוסף.

מקווה שעזרתי לילה טוב :)

PowerDumpMail

PowerDumpMail is a mail extractor for Microsoft Outlook.

The Meterpreter script that i wrote was developed in order to give pen testers the ability to extract sensitive information from a controlled stations.

The script gives the user the functionality to extract all Microsoft folder like (inbox,sent items,deleted items,calendar etc...).

The Script is a combination of ruby and powershell script.

The User doesn't need to be login to an Exchange Server or that the Microsoft Outlook program will be opened.

The Meterpreter Script was tested on windows 7 Microsoft Outlook 2010

For any Questions Feel Free to talk to me 

here is a short video i made of using powerdumpmail

כתבות סייבר

לאורך השנים האחרונות יצא לי להתראיין לא מעט לכתבות בנושא הסייבר לטלוויזיה בערוצי החדשות השונים בארץ, וחשבתי בשבילי למזכרת לרכז את כולם בכתבת בלוג אחת.


















יואב לימור- רצועת הביטחון

windows-domain-credentials-phishing-tool

While performing a Pen test for a client me and @NightRang3r needed to catch domain user name and password, there are several ways to gain users passwords and it really depends on a lot of factors on how to get it in my case we didn’t had time to wait for the user to enter his credentials and get it using a key logger so I and @NightRang3r created a fake windows domain login window to tried to force and trick the user to enter his password.

of course it worked like a charm ;)

There are several tools and techniques such as “Mimikatz” but they require you to have administrative/system privileges, you don’t need special privileges to execute “Windows Domain Credentials Phishing Tool”.

* Special Thanks to @NightRang3r For helping in all the stages of developing the tool.

* Please note, this tool require .NET framework on target system.

* This tool should not be used to perform illegal
Windows Domain Credentials Phishing Tool from NightRanger on Vimeo.
activities.

Download link: https://sourceforge.net/projects/wdcpt/

kali on android tablet

לאחרונה החלטתי שצריך שיהיה לי מכשיר מסוג ANDROID בבית (שנים עם מוצרי APPLE), אז החלטתי לקנות "לבת שלי" מכשיר שכזה.
לאחר שהתקנתי לה את כל המשחקים החלטתי שהגיע הזמן להתקין לי את המשחקים .
ואז חשבתי לעצמי מממממממ מה הייתי רוצה שיהיה לי במכשיר.

אז דבר ראשון שעשיתי זה השגתי ROOT על המכשיר, בלי זה אי אפשר להתקין אף תוכנה טובה, לאחר מכן התקנתי כלי נחמד בשם dsploit, כלי זה מאפשר לבצע פעולות שונות על גבי WIRELESS כגון SNIFFING, MITM ועוד, שמדגימות בצורה יפה בעיות באבטחת מידע הקיימות ב - Wireless.

לאחר מכן חשבתי איזה עוד כלים יהיה נחמד שיהיה לי בארגז כלי אבטחת המידע שלי ,אז החלטתי להתקין את KALI, קראתי לא מעט מדריכים המסבירים איך להתקין, אך לאחר מספר ניסיונות שונים גיליתי שהשיטה הפשוטה ביותר היא להשתמש בתוכנה ל - ANDROID בשם linux deploy.

תוכנה זו מאפשרת להתקין הפצות שונות בינהם KALI, ההתקנה נמשכת כ - 10 דקות , אבל מה זה 10 דקות בשביל KALI זמין חחחחחחח.

לאחר ההתקנה מומלץ להתקין AndroidVnc ולהתחבר למערכת ההפעלה בעזרת זה על ידי שימוש בסיסמת ברירת המחדל של שירות ה - VNC סיסמה: changeme.

מה שנשאר עכשיו זה לקנות כבל OTG ואנחנו מסודרים.

מה יקרה בעוד ...... שנים.

קצת לחוץ בתקופה האחרונה והרגשתי שהזנחתי אותכם ולכן החלטתי להציג לכם סירטון נחמד שנתקלתי בו באחת הקבוצות, מקווה לחזור בקרוב בפוסטים מעניינים.

PLURALITY from Dennis Liu on Vimeo.

PRISM

פרשת ה – PRISM הוכיחה שוב את הקשר הישיר בין העולם הוירטואלי לעולם הפיזי, הקשר הזה בפעם הראשונה פרץ את גבולותיו כאשר תולעת ה – STUXNET פגעה במתקני הגרעינים האירניים ושוב אנו רואים פריצה של גבולות שכאלה.

הרבה אנשים שדיברתי איתם בתעשיה טוענים כי נושא זה היה ברור ולא הופתעו כלל מנושא המעקבים אני דיי מסכים איתם(צפיתי את הנושא בשנת 2010 לינק לכתבה ).

אך מה שחשוב יותר להבין מהפרשה שנחשפה:

א.      היכולת של מדינה לעקוב אחרינו בכל זמן נתון , לקרוא את הנתונים אם זה דרך CHAT של GOOGLE,FACEBOOK העברת תמונות במייל, מיקומים וכדומה שזה הדבר הברור שהחשיפה של המערכת PRISM הציגה לעולם.

ב.      הדבר הפחות ברור שכולנו סוג של שבויים בתוך המערכת הזאת  - הכוונה היא, שעל כולנו נאסף לא מעט מידע ובזמן אמת. שארצות הברית או מדינה שכנה תרצה להשתמש במידע הזה נגדנו, תוכל המדינה לנצל זאת על מנת לקבל שליטה חלקית או מלאה עלינו כבני אדם.

לדוגמא: נניח שאירני בוגד במידנתו ועובד במפעל ביטחוני כזה או אחר שלארצות הברית יש רצון לקבל גישה, או לחילופין אדם שבוגד באישתו ,הימורים וכדומה.

מה שארצות הברית צריכה לעשות זה רק להריץ חיפוש על האדם הרלוונטי הנמצא בקטגוריה זו ולהפעיל עליו לחץ של סחיטה במטרה שיכניס רכיב תוכנה זדוני לרשת או למשוך מידע רלוונטי.

לעולם הקורבן לא ידע בפועל מי הפעיל אותו ויש סיכוי שיבצע את הפעילות מחוסר ברירה.

ג.       היכולת של עובדים להיות חשופים למידע בלחיצת כפתור, הבחור שחשף את הידיעה לעולם ציין כי אם רצה יכל לרגל אחרי נשיא ארצות הברית או כל אדם שחפץ בו. פה נכנס אלמנט נוסף של שוחד ושל גורמים שונים שירצו לשים את היד על המידע הנ"ל.

תמיד מציגים מה יהיה ב – 2020 אך  מול מערכת ה - PRISM ודומות לה אנו ניצבים בבעיה יום יומית וככל שיעבור הזמן כך כמות המידע עלינו ועל הקרובים שלנו תעלה, וגם היכולת שלנו להתגונן כארגונים תיקטן באופן משמעותית.

אני חושב שבשורה התחתונה מערכת PRISM אפשרה לאירגוני הביון לא מעט "הזדמנויות עסקיות" לאתר גורמים שיכולים לעזור או לחילופין להפעיל לחץ על גורמים שכאלה ובעתיד ההשפעה שלה תיגדל בצורה שיהיה באמת קשה לעשות משהו בלי שהעין של האח הגדול תצפה.

צירפתי את הסרטון של אדוארד סנודהן שמתראיין על מערכת PRISM שחשף שווה לראות:

הראיון המלא שלי בערוץ 2 על הנושא:

הסינים תוקפים את ארה"ב

חברת mandiant ביצעה מחקר מעמיק ומעקב צמוד אחרי תוקפים שהגיעו מסין במטרה לרגל אחרי מטרות בארה"ב, והצליחו להשיג גישה לאחד ממחשבי התוקפים ולהקליט אותו בעת ביצוע פעולות.

להלן דוח ניתוח התהליך:

http://intelreport.mandiant.com/Mandiant_APT1_Report.pdf

להלן וידאו קצר המתאר את התהליך שהתבצע:

web warriors

סרטון נחמד המציג כיצד לוחמת מידע יכולה להשפיע על כולנו

לימודי HACKING

מאז ומתמיד אנשים שאלו אותי כיצד ניתן ללמוד HACKING, אז קודם כל להיות פורץ טוב אתה צריך

להיות יצירתי, בעל יכולת למידה מהירה, וסקרן , בראייה שלי אלה חלק מהמרכיבים למתכון מוצלח של HACKING.

בהנחה שיש את כל המרכיבים הנ"ל רצוי גם ידע בתיכנות, הבנה של רשת ופרוטוקולים, הבנה של מערכות WEB ועוד.

כמו כן היום בניגוד לפעם שאני התחלתי (לפני 17 שנה) יש מספיק חומרים, סרטים, וטכניקות ואנשים שניתן ללמוד מהם.

אבל עכשיו השאלה הנשאלת OK למדתי הרבה דברים איפה אני מנסה את זה ?!

אז כמובן ההתנסות הטובה ביותר היא בעולם האמיתי ובאישור בלבד.

אך בכל זאת אם אין לי עדיין יכולת להגיע ולנסות בעולם האמיתי ישנם לא מעט מערכות שמסמלצות מצבים שונים של תקיפה.

להלן ריכוז של מערכות אלו:

http://vulnhub.com/

אתר זה מכיל את המערכות הבאות ועוד הרבה רבות:

VulnVoIP

Hackxor

21LTR

GameOver

Metasploitable

Exploit-Exercises

Lab In A Box

The Hacker Games

Drunk Admin Web Hacking 

Kioptrix

בהצלחה :)

נוסחאות וחישובים אל מול סיכונים אמיתיים

היום נתקלתי במשהו מצחיק ומשעשע שחשבתי לשתף אותכם, אחד העובדים שלי פנה אלי ואמר לי כי הלקוח מבקש להוריד את אחד הממצאים מגבוהה לנמוך ללא כל הסברים.

בשלב הראשון חשבתי שהלקוח(האיש הטכני שאמון על הנושא מצד הלקוח) מיבות פוליטיות רוצה להסתיר את הממצא או לחילופין לא רוצה להטריד את מנהל הפרויקט הרלוונטי בתיקונים מיותרים בסביבת Production אבל לא הייתי סגור על הנושא.

בחברה שלי כולם הלכו לכיוון של הלקוח תמיד צודק.

בשלב הראשוני של הוויכוח טענו המנהלים כי הלקוח מכיר הכי טוב את המערכת וכי הוא רואה את כלל הסיכונים שאנחנו לא רואים וטענות שונות ומגוונות שנראות הגיוניות לחלוטין.

עכשיו אם הייתי בגילו ובניסיון של העובד שלי כנראה הייתי מוותר בויכוח הנ"ל וממשיך עם הנושא ומספק ללקוח את מבוקשו. אך למזלי יש לי לא מעט ניסיון ויכולת להבין את הסיכון לעומקו.

בנוסף טענו המנהלים כי פגיעה  במערכת הנ"ל לא תאפשר פגיעה ישירה  בכסף או ב – Production ולכן כלל הגורמים חוץ ממני ומהעובד שלי חשבו שחומרת הממצא צריכה לרדת לנמוך.

כמו כן בחלק מהדיונים עלה נושא חשוב : חישוב הסיכון שווה למכפלה של ההסתברות לכשל בנזק הצפוי . כאשר במקרה שלנו אכן חישוב זה מביא את הממצא לרמה בינונית עד נמוכה אך האם זה נכון שאלתי את עצמי.

התעקשתי על כך שהחישוב הנ"ל לא מספק תשובה אמיתית לסיכון הממשי מכיוון שנניח לרגע שבראות הלקוח במערכת הנ"ל הנזק הוא נמוך אז השאלה שנשאלה מדוע הוא בודק אותה? כי קיימות לא מעט מערכות שבהם הנזק גבוה שעדיף להשקיע בהם את המאמץ, האם הוא באמת מודע לכלל הסיכונים הטכנולוגים שניתן לממש בעזרת הממצא המדובר(כפי הנראה לא).

נושא שני במידה והמערכת מחוברת לרשת של הלקוח והשגנו בה שליטה מלאה קיים סיכוי גבוה כי מכאן יהיה ניתן להגיע לשליטה על כלל ה – Domain (אני לא יכנס לפרטים הטכנים אך זה ניתן לביצוע).

נושא שלישי פגיעה במערכת הנ"ל יכולה להיות פגיעה בתדמית החברה דבר אשר יכול לגרום לאובדן של לקוחות ופגיעה באמון שלהם.

בקיצור בסוף הדיון הצלחתי להעביר מספר דוגמאות ממשיות כיצד ניתן לנצל מצב זה על מנת להגדיל את הסיכון הממשי ללקוח אך מה שחשוב לי להעביר זה שלא תמיד צריך להיצמד לנוסחאות על אף שהם חכמות וכפי הנראה בחלק מהמקרים מתאימות, הרבה פעמים צריך באמת לצאת מהקופסה ולחשוב יצירתית על סיכונים אמיתים ולא דמיונים  ולקבל גם ביקורת גם על החשיבה והראייה שלך כלקוח.

כמו כן אין לי ספק שהעובד שלי קיבל את הכלים בפעם הבאה להתמודד עם נושאים דומים לבד ובהצלחה.

שוב סתם רציתי לשתף לילה טוב J

Droidsheep

What is this about?

If you know Firesheep or Faceniff, you probably know what this is about – OpenSource one-click session hijacking using your android smartphone or tablet computer.

If you do not know one of these tools, I’ll try to explain what DroidSheep is.

Maybe you know Bob. Bob is a wellknown person and Bob loves coffee. Every morning, he takes his laptop and visits one the famous green coffee bars, has a “grande vanilla latte” and writes messages to his facebook friends. For doing that, Bob uses the coffee bars WiFi – because it´s free and fast.

One Morning, Bob is just writing a message to his girlfriend, Eve enters the coffee bar. Eve has an Android phone and Eve uses DroidSheep. After ordering a “venti caramel macchiato”, Eve sits down, takes her phone and starts browsing facebook. Using Bobs identity. She can watch at his friends. Read his messages. Write messages. Write wall posts. Remove friends. Delete Bobs account. Without getting ever in touch with Bob.

What happened?

When Bob is using the WiFi, his laptop sends all the data intended to be received by facebook, over the air to the coffee bars wireless router. As “over the air” means “captureable by everybody”, Eve (or her phone) can read all the data sent by Bob. As some data is encrypted before being sent, she cannot read Bobs facebook password, but in order not to make Bob enter his password after each click, facebook sends Bob a so called “session id” after logging in, which Bob sends with each interaction, making it possible for facebook to identify Bob. Usually only Bob knows this id, as he receives it encrypted. But when Bob uses the coffee bars WiFi, he spreads his session id over the air to everybody. So Eve takes this session id and uses it as hers – and facebook cannot determine, if Bob or Eve uses this id.

http://www.mediafire.com/?7huhnq0huj7cb32

חדשות ערוץ 10

במוצאי שבת הקרובה 7 ליולי הציג בחדשות ערוץ 10 בשעה 20:00 הדגמות של פריצות אשר ניתנות לביצוע על ידי כל תוקף לכל יעד שהגדיר מראש כמטרה.

תהנו :)

כלי נחמד לגניבת סיסמאות

Quarks PwDump is a native Win32 tool to extract credentials from Windows operating systems.

It currently extracts :

• Local accounts NT/LM hashes + history
• Domain accounts NT/LM hashes + history
• Cached domain password
• Bitlocker recovery information (recovery passwords & key packages)

Supported OS : XP/2003/Vista/7/2008/8

---

Bitlocker and domain accounts information are extracted offline from NTDS.dit. It's not currently full offline mode cause the tool is dynamically linked with ESENT.dll which differs between Windows version (see README.txt for details).

Local account and cached information are extracted live from SAM and SECURITY hive in a proper way and without code injection or service installation.

In all cases, the tool must be executed on the targeted machine with administrator privileges.

The project is still in beta test and we would really appreciate to have feedbacks or suggestions/comments about potential bugs

download link:http://code.google.com/p/quarkspwdump/downloads/list

תפתחויות ה – FLAME מידע נוסף נחשף - חלק שלישי

יש דברים שחבל להרוס בתרגום מרתתתתתתתתתתק

ww.securelist.com/en/blog/208193540/The_Roof_Is_on_Fire_Tackling_Flames_C_C_Servers

התפתחויות ה – FLAME מידע נוסף נחשף - חלק שני

לכל אורך הזמן שעבר הטרידו אותי שתי שאלות לגבי ה - FLAME:

1. איך הוא הדביק מערכות WINDOWS 7 FULLY PATCHED
2. מה בדיוק קרה שם ב - windows update.

ורק לפני כמה דקות קיבלתי תשובות לשתי השאלות וחשבתי שתרצו לדעת גם כן מהם

מתברר שה -  Flame השתמש בטכניקה דומה לטכניקת Man in the middle אך ביצוע הפעולה התבצע לא על ידי בקשות ARP אלא על ידי שינוי הגדרות ה - PROXY בעזרת תהליך הקיים בכל מחשב במידה והגדרות ה - PROXY מוגדרות כאוטומטי (WPAD).
מצב זה אפשר לתפוס כל בקשת HTTP שעוברת מהמחשב המותקף לכיוון רשת האינטרנט כאשר חלק מהבקשות אותם מבצע המחשב בצורה אוטומטית הם בקשות לגטימיות לשרת ה - Windows update.
עם איתור הבקשה הפנה המחשב התוקף את המחשב הנתקף למחשב הנשלט הקיים בתוך הרשת והוריד לו עדכון מזויף אשר מכיל 8 קבצי CAB כאשר אחד מהם מכיל קובץ בשם Wusetup.exe אשר חתום על ידי Microsoft.
מצב זה אפשר הרצה של הקוד ללא כל ידיעה של המשתמש ובקיצור בשפה המקצועית GAME OVER.
להלן תמונות מסך המציגות את הקובץ ואת החתימה שלו שהיום היא Revoked על ידי Microsoft

חייב להגיד כל הכבוד למי שפיתח זאת.

התפתחויות ה – FLAME מידע נוסף נחשף

מיקרוסופט שיחררה אתמול טלאי אבטחה לאחר שגילתה שוירוס ה – FLAME ביצע שימוש לרעה במנגנון חתימת הקבצים שלה .( http://support.microsoft.com/kb/2718704)

החתימה בוצעה על ידי שימוש בחולשה הקיימת ברכיב ה – TERMINAL SERVER. ואפשרה ל – Flame  

לחתום רכיבים שונים שלה ועל ידי כך ליצור מצב בו משתמשים או מנהלי רשת יחשבו כי רכיבי ה – Flame  שייכים למוצרי חברת Microsoft.

להלן ציטוט של Microsoft Security Response Center Senior Director) Mike Reavey):

 "We identified that an older cryptography algorithm could be exploited and then be used to sign code as if it originated from Microsoft. Specifically, our Terminal Server Licensing Service, which allowed customers to authorize Remote Desktop services in their enterprise, used that older algorithm and provided certificates with the ability to sign code, thus permitting code to be signed as if it came from Microsoft."

http://blogs.technet.com/b/msrc/archive/2012/06/03/microsoft-releases-security-advisory-2718704.aspx?Redirected=true

גילוי זה יוצר קשר דומה בין Stuxnet לבין Flame להסתרת הרכיבים.

Stuxnet השתמש בחתימת הרכיבים שלו על ידי חתימה של Realtek Semiconductor Corp

http://blogs.technet.com/b/mmpc/archive/2010/07/16/the-stuxnet-sting.aspx

אני מעריך שככל שיעבור הזמן נגלה פרטים נוספים מעניינים 

לינק לכתבה ב - Mako:

http://www.mako.co.il/news-military/security/Article-b1242f81e47b731018.htm&sCh=31750a2610f26110&pId=786102762

וירוס הלהבה

ראיון שלי בערוץ 2 בנושא וירוס הלהבה בתוכנית של שש עם עודד בן עמי

Twitter Here I Come

Twitter Thank You for adding me to the White Hat Security, from the 17 people that found security bugs in 2012 four are from my team.

i feel like a proud father. 

http://twitter.com/about/security

הופעת אורח חדשות ערוץ 2

בעקבות פנייה של ערוץ 2 נתבקשנו לבחון האם האתר משתמש ב - SSL.
להלן הלינק לכתבה:
כתבה בחדשות ערוץ 2 

הערה: חשוב לציין כי גולן טלקום יישמו את המלצות האבטחה באופן מהיר.