29 Maj 2023 - Blog Post # 853
Zyxel CVE-2023-28771
Hen over den sidste uges tid er Zyxel sårbarheder blevet
udnyttet meget hårdt. Mange er på denne konto røget grundet
upatchet firmware, på for åbne systemer der ikke er opsat efter best
pratice, (Kommer jeg lige tilbage til) som i virkeligheden er en
default "fejl" konfiguration i servicegrupper, som Zyxel faktisk
laver.
POC er allerede frigivet
Er man ikke patchet (firmware opdateret) allerede nu, eller bruger sikre
opsætninger, så har man helt sikkert allerede en hacket firewall.
CVE numre: Man skal bruge
V4.73(AAKZ.2)C0 - 2023/05/24
CVE-2023-33009
CVE-2023-33010
V4.73(AAKZ.1)C0 - 2023/04/17
CVE-2022-38547
CVE-2023-22913
CVE-2023-22914
CVE-2023-22915
CVE-2023-22918
CVE-2023-27990
CVE-2023-27991
CVE-2023-28771
Stor kritik herfra til Zyxel
Ved ikke hvorfor Zyxel syntes det er en god ide, at alle deres
firewalls altid kommer med default adgang til Web-interfacet på
outside WAN siden (Hele verden). Her er der også ting som ike, gre
og et par andre ting og det er defalut adgang til for hele verden.
Det ligger som standard i deres servicegrupper hvor man skal ind og
fjerne det. Her burde det være noget der skulle tilvælges og ikke
fravælges. Troede efterhånden at ingen gjorde det her mere. MEN det
har betydet at Zyxel rent faktisk selv har gjort så RIGTIG mange af
deres kunder er blevet hacket.
Generalle anbefalinger.
Noget jeg altid har været modstander af er TLS/VPN adgange, såfremt
det giver angang til et web-interface hvor brugerne skal logge ind.
Netop i Zyxel er det tilfældet. Her bør man kun bruge VPN klienter
og ikke have noget stående åbent med mindre det er opsat i "point to
point" til noget man virkelig stoler på. Man kan også bruge L2TP
over IPSec, med certifikater på. Så behøver man ikke VPN klienter
men kan bruge Iphone, Windows osv.
Mange har også den opfattelse af at disse adgange altid skal stå
åben for hele verden. Vil man have det her så, opsæt VPN adgange så
det kun bliver eks DK ip adresser der kan logge ind, eller det
bedste er altid "point to point"
I mine øjne er det simpelthen dårligt admin adrbejde af værste
skuffe, når det er åbent til hele verden og især web-interface til
en firewall som står åbent. Få dem fjernet....... DET SKAL IKKE STÅ
ÅBENT.
En anden general ting jeg tit støder på, er åbne adgang til eks
firewalls fra alle lokale ip adresser på LAN siden. Det er heller
ikke noget der skal være åbent. Her skal man lave IP firewall regler
der kun tillader adgang fra bestemte admin IP adresser. Alle fra
alle LAN's skal ikke have adgang, det vil kun gå galt.
En sidste ting er Wireless. Man skal idag ikke kun
have 1 wireless LAN som mange stadig gør. Mange Zyxell firewall
kommer med 2 Wireless LAN's (2 radioer) man kan opsætte. I dag skal
man min have 3 forskelllige Wireless LAN's -> Wi-Fi, guest
Wi-Fi, og et IoT network. Set evnt
NSA Releases Best Practices For Securing Your Home Network Så
bare kom igang her også, for det gælder også for store og små
virksomheder. Og bruger man Zyxell USGW så bør man hente sig et par
wireless bokse mere.
Automatisk firmware opdateringer
Alle Zyxel firewalls undersøtter, at man kan sætte den til automatisk
at opdaterer sin firmware. Brug det. Mange gør ikke og giver
konsulent huse penge for at patche. Det er ikke nødvendigt. Zyxel
firewall kan gøre det selv og det virker. Desuden får man jævnligt
rebooet sit udstyr som også er med til at beskytte imod mange former
for malware, der eks kun køre i memory. Set evnt
NSA Releases Best Practices For Securing Your Home Network
Download:
CSI_BEST_PRACTICES_FOR_SECURING_YOUR_HOME_NETWORK.PDF
Er Zyxel Zywall en dårlig firewall ?
Nej basalt set ikke. Men sørg for de her grundregler bare altid er
på plads. Zyxel er lige så gode som alle de andre til at få patchet
deres ting. Brugerne er det store problem og lidt dårlige defaulte
servicegrupper i Zyxel Zywall's. Dårligt admin arbejde kan generalt
gøre det bedste systeme til en dårlige ting.
IDS regler frigivet
Jeg har for første gang frigivet en bunke af 6 forskellige IDS
regler, der faktisk spotter hele kæden af events der er set derude
indtil nu. Det er omskrevet IDS regler fra åbne kilder, så det hele
bare passer ned i SNORT og virker.
Lige nu ser jeg faktisk scaninger efter sårbarheden på UDP port 500.
Det kører lystingt og kommer fra manage forskellige ip
adresser........Men ingen danske ip adresser ser jeg scanne.
27 Maj 2023 - Blog Post # 853
PikaBOT malware
En ny trussel man skal begynde at være lidt vågen overfor
er
PikaBot. Det bliver brugt flittigt og man skal nok være en smule
vågen her. Jeg har analyceret 3 forskellige kampanger og har fundet
en fin metode til at identificere når PikaBot henter payloads som
eks Cobalt
Strike. Den benytter faktisk en teknik der gør det ret svært for
eks SNORT at validere det 100% sikkert via mere generiske teknikker.
Det er dog lykkedes, men denne gang må jeg tilstå at jeg ikke syntes
det er den bedste IDS regel jeg har lavet, men det er simpelt hen
fordi at prce ikke lige opfører sig som jeg kunne tænke mig i SNORT.
Her er Suricata faktisk langt bedre end SNORT (Sagde jeg lige
det)...SNORT 3 der er det ret nemt.
Man kan læse lidt mere om PikaBot her
IDS Rule Frigivet
Der kan være falske positiver. Dog er det en Flow_Bit rule, hvilket
typisk altid gør IDS rules langt mindre udsat for falske positiver.
Det er også den måde jeg altid selv foretrækker at skrive IDS regler
på.
Happy hunting...
NF IDS Rules
10 Latest Updates
Zyxel ZyWALL
PikaBot Trojan
Reverse Shell Without TTY
ELF executable download
MIPS extn file
MooBOT / Mirai
WPAD.DK
CCleaner Anti-Forensic
SL Remote tool
RedLine Stealer
Download