12 Oktober 2024 - Blog Post # 868
LOTS - "Living off trusted sites"
Domæner som mange benytter har mange virksomheder og IT-Sikkerheds
folk det med at få whitelistet i mange forskellige sikkerheds
systemer. Det er langt fra nyt. Det kan være støj i logs, langsomme
systemer, optimeret AV scanninger, tilpasset EDR systemer, der
sender for mange logs, DNS opslag der støjer osv osv.... Men faktum
er at mange af disse forskellige tjenester hvor der kan hostes
filer, kode hvor download / upload er mulig, de har og vil altid
blive udnyttet i forbindelse med forskellige attacktyper, til
Payloads, Data-X-fil, Phishing, C&C osv... Det er en stor
udfordring især når man benytter sig af Cloud tjenester som eks O365
løsninger, hvor alle virksomheder i bund og grund bliver den samme
virksomhed.
Microsoft er selv kommet med at advarsel om stigende attacks
hvor denne type sites bliver benyttet. Metodikken der ofte bliver
benyttet kan være svær for mange at opdage. Selv metodikken de
beskriver her syntes jeg er "smukt" udført og kan være meget svær at
opdage og de fleste vil sikkert aldrig bliver opdaget. Jeg udførste
selv et par test med at inficerere en host via Sharepoint med en exe
fil og en inficeret DOCX fil. EXE filen bliver forsøgt stoppet på
mange måder men DOCX filen ryger lige igennem.
Eksempler på nogen udnyttet sites.
Bare lige for at komme med et par eksempler som tit bliver udnyttet
det kunne være Sharepoint, Dropbox, OneDrive, Google drive,
forskellige Office sites, Facebook, Meta, Slack, Telegram osv osv
listen er lang. For at få et indblik i hvilke sites der kan være
tale om, så kan man tage et kig på
lots-project.
Listen er slet ikke komplet i mine øjne og der mangler sites som er
lige så meget udnyttet som ikke er med på listen. Det er lidt i
forlængelse af eks
LOLBAS
og LOLdrivers.
Teknikker/metodikker som i virkeligheden er helt fantastiske til
attacks, da de sjældent kræver bagdøre og ny malware. Kort sagt man
benytter sig bare af det der er tilgængeligt på systemerne i
forvejen og som sjældet rejser nogen sikkerheds flag og i mange
tilfælde er whitelistet.
LOLBAS, LOTS, og Loldrivers.
Dette er alle ting man kan tune sin Sysmon detection til at kunne
opdage uden de helt store problemer. Netop detection af LOLBAS,
LOLdrivers og LOTS er noget jeg har haft indsamlet meget længe i min
egen config af Sysmon. Dog vil jeg sige at LOTS har fået mere
opmærksomhed nu end tidligere. Det gør at man får de rigtige logs
indsamlet. Der hvor selve detection / alert delen skal laves er ofte
på et SIEM system, der kan overvåge disse kontinuerligt op imod eks
MISP, Virustotal data og anden form for relevant data.
Metodikkerne
Selve udnyttelsen at disse metodikker, er noget der i
højere og højere grad er er fokus på fra APT aktører. Der udkommer
mange TI reports hvor man kan se at det er tilfældet. Det er helt
almindelig ting de bare udnytter.
I en modernet hacker verden er det faktisk ikke "så svært" at få
adgang til systemer især når der ikke bliver benyttet 2FA på alle
systemer og der benyttes åbne porte der udstiller en bagved liggende
web-server. Det ser vi desvære hver eneste dag. Desuden har vi alt
for meget trust til mange af disse kendte sites generalt, som nok er
den største sikkerheds risiko. Så alle der eks bruger O365, der
truster man jo allerede alle de sites som Microsoft tilbyder igennem
deres løsning. Det her er ikke for at slå løs på Microsoft og O365
det kan være alle mulige andre ting også, se bare hvor lang liste
med LOTS site er og hvor mangelfuld den samtidigt også kan være.
Et par gode råd
En par ting mange overser er brugen af TLS/SSL VPN løsninger, hvor
man udstiller et web-Interface til brug for log-on til VPN.
Udfordringen er at web-serveren ligger på samme boks og basalt set
exponerer den bagved liggende web-server til brug for Log-on i
forbindelse med VPN adgangen, men ofte er det web-server delen der
er en sårbarhed i og når så et exploit bliver frigivet er det oftes
web-serveren delen der så giver adgangen for en attacker.
Men vi ser jo også en kæmpe stigning i "low and slow bruteforce
attacks" imod alle systemer hvor der kan forsøges at blive
logget ind. Disse attacks kører i døgndrift derude. Jeg har selv
afdækket
BIMP-BotNettet, som gør netop dette. Så generalt set er mange
servises langt fra sikret godt nok udadtil. Antallet af afdækket
Botnets der laver bruteforce attacks bliver også flere og flere. Det
er derfor vigtigere nu end nogen siden før at få lukket åbne
servises ned. Netop Microsoft seneste advarsel beskriver netop en
bruger konto der giver adgang. Så min henvisning til VPN og
web-interfaces går i virkeligheden på at man nok ikke længere bør
benyttes sig af denne type adgange hvor der ligger en web-server og
udstiller en log-on promt der giver adgang til ens virksomhed. Nye
alternativer bør blive undersøgt.
Happy hunting.....
SNORT
NF IDS Rules
Latest Updates
CUPS DDOS Attack
Test rules update
Radius servers
Kerio Crash FTP
Kerio crash Domain
Zendesk Crypto
mining
Download
Suricata
NF IDS Rules
3 Latest Updates
BIMP-BotNet
Remcos-RAT
IOT-Password Attacks
Download
Sysmon
Config
Latest Updates
Version 15.15 Config 55
Download