Mitternachtshacking

Bruce arbeitet für Microsoft und die bisherigen Vorträge von Microsoft-Mitarbeitern (insbesondere auch der von Bruce Dang auf dem 25C3) waren immer sehr durchwachsen. Man konnte gut erkennen, dass die zwar viel wissen aber nichts davon sagen dürfen. Insofern ging ich mit niedrigen Erwartungen in diesen Vortrag.

Microsoft hat das erste Sample eines Programmes das die LNK-Lücke ausnutzt von AV-TEST bekommen. Von dort wurde angefangen zu analysieren. Microsoft wusste damals nicht, dass mehrere Lücken ausgenutzt werden. Sie haben deshalb nur mit einer gerechnet und mussten in kurzer Zeit ~1MB Binärcode dekodieren und analysieren.

Bug 1: LNK-Files

• LNK Files contain a link to its target
• The shell needs to know what icon represents the target
• Control panel links can have dynamic icons
• Shell gets the icon by LoadLibrary() the target
• LoadLibrary() automatically executes DllMain() so attacker gets code execution in the context of explorer.exe

Fix is to check if the applet is registered before loading dynamic icons.

Und ganz toll, das haben die Microsoft-Entwickler innerhalb von einer Stunde rausgefunden, nachdem die Lücke jahrenlang übersehen wurde. Mein Gott sind die alle toll und werden die von Bruce gelobt. Man könnte fast meinen, Microsoft hat die besten Entwickler die alles sofort wissen und nie Fehler machen. Schon seltsam.

Bug 2: Task Scheduling (nur Vista/Win7)

• Scheduled Tasks werden in einem User-schreibbaren XML-File gespeichert
• Eine Prüfsumme des XML-Files wird (sicher) in der Registry gespeichert
• Der Hash-Alogrithmus zur Verifizierung der Integrität ist CRC32
• Kollisionen leicht zu erzeugen, User-Wechsel auf LocalSystem möglich

Fix: Algorithm was changed to SHA256

Bug 3: Keyboard Layout (nur WinXP)

• in win32k.sys
• ein Integer aus dem Layout-File wird für einen globalen Array im Kernel verwendet
• keine Prüfung des Integer-Werts, daher kann irgendwohin gesprungen werden

Fix: Prüfung des Integers

Bug 4: Spooler Subsystem

• entdeckt von Dan Kaminsky, der das Schadprogramm im Netzwerk laufen lies.
• es gibt zwei Spezialfälle in denen der Spooler nicht auf Gast-Rechte zurückfällt
• bekannte Problematik von Windows XP, absichtlich so programmiert
• der Print-Spooler erzeugt zwei Dateien mit LocalSystem-Rechten
• ein EXE-File, das ausgeführt werden soll
• ein MOF-File, das automatisch ausgeführt wird, wenn es in einem bestimmten Verzeichnis liegt

Fix: Rechtezuweisung überarbeiten

Und das Summary, die Leute die bei Microsoft arbeiten sind alle gaaaanz tolle Helden und arbeiten alle super zusammen und finden in Minuten alle Lücken die sie auch sofort fixen können. Naja, wenigstens war diesesmal nur der halbe Vortrag eine Marketingshow.

Dominik und Frank erklären die gängigen Angriffsszenarien gegen den neuen Personalausweis, insbesondere die Angriffe mit Schadprogrammen auf dem Client bei Verwendung eines Basislesers (d.h. PIN-Eingabe an der normalem PC-Tastatur) sowie Relay- bzw. Man-in-the-Middle-Angriffe bei der mittels virtueller Smartcard die Informationen der realen Smartcard an einen fremden Rechner relayed werden.

Ich denke den Vortrag sollte sich jeder Nutzer eines neuen Personalausweises anhören.

Fazit:

• Authentisierung mit nPA sicherer
  • Zugriff auf ein physisches Objekt notwendig
  • Starke Kryptographie
• Signatur mit nPA sicherer
  • Kommunikation zum Ausweis ist verschlüsselt
• Attraktives Angriffsziel
  • eSign und eID auf derselben Chipkarte
  • höherer Schaden bei Mißbrauch

Wichtigste Empfehlung: Vermeidung des Basislesers und öffentlicher Terminals, nur Nutzung von Standardleser und Komfortleser aus vertrauenswürdiger Quelle.

Offen bleiben die rechtlichen Implikationen. Ist die Nutzung der eID bereits ein rechtssicherer Identitätsnachweis der anstelle einer digitalen Signatur genutzt werden kann? Wenn ein Händler die eID ausliest, muß dann der Eigentümer des Ausweises den Mißbrauch nachweisen weil die eID gleiche Rechtswirksamkeit wie die digitale Signatur erhält? Die Betreiber von Online-Shops fordern das bereits.

Meine persönliche Meinung ist ja, in den nächsten 3-5 Jahren kristallisiert sich heraus, was da passiert und bis dahin werde ich mit meinem noch länger gültigen alten Ausweis einfach die Füße still halten. Einen neuen Ausweis kann ich ja immer noch beantragen wenn es Sinn für mich macht

So, van Hauser (Marc Heuse) kenne ich von seinem letzten IPv6-Vortrag und die Entwicklung bei THC beobachte ich auch kontinuierlich. Insofern werde ich da vermutlich erst zur Hälfte reinzoomen und solange was über den neuen Personalausweis anhören.

Der Vortrag wiederholt die alten Angriffe von 2005 und bringt dann ein paar neue Sachen, mit denen man sich z.B. alle Windows 2008/7/Vista-Rechner lahmlegen lassen, die IPv6 aktiviert haben. Sehr schön ist die Übersicht der Möglichkeiten, IPv6-Netze doch irgendwie zu scannen und die Analyse seiner Scan-Ergebnisse. Die meisten Angriffe z.B. gegen die Autoconfiguration oder Multicast setzen jedoch schonmal Zugang zum lokalen Netzwerk voraus.

Das neueste Tool läßt sich von Marcs Firma herunterladen: http://www.mh-sec.de/downloads/thc-ipv6-1.4.tar.gz Und es soll im Januar 2011 ein paar neue Webseiten geben: http://www.ipv6security.info und http://www.ipv6hacking.info.

Ok, iButtons waren mir jetzt neu. Beim ersten Lesen des Fahrplans hab ich ja gedacht, das ist wieder mal irgendwas wo jemand mit dem iPhone rumspielt. Also eher langweilig. Statt dessen war das hier ein extrem cooler Vortrag. Christian hat gezeigt, wie man iButtons, also in ein rundes Metallgehäuse zusammen mit einer Batterie eingelegte Chips angreifen kann.

Das erste Hindernis bei einem Angriff ist, an den Chip im Gehäuse ranzukommen. Wenn man das Gehäuse einfach öffnet geht die Stromversorgung des SRAMs verloren und die Daten sind weg. Aber man kann das Gehäuse mit etwas Aufwand und feinmechanischen Kenntnissen auffräsen und mit einem gekühlten Chip (der bei Stromverlust die Daten noch ca. 0,5 Sekunden erhält) die Stromversorgung wieder herstellen. Der ausgebaute Chip wird dann an eine von ihnen entwickelte Hardware angeschlossen, die gezielt bestimmte Fault-Angriffe ausführt und so auf den Schlüssel kommt:

Die angewandten Tricks sind schon vom allerfeinsten. Ich habe am Anfang leider nur mit einem halben Ohr hingehört aber den Vortrag höre ich mir garantiert nochmal an. Da stecken soviele Ideen und Verknüpfungen drin, das ist extrem genial gelöst. Ganz ehrlich, das dürfte der beste Hacking-Vortrag des ganzen CCC werden

Passend zum vorherigen Vortrag über Feature-Phones geht es direkt mit etwas mehr Smartphone-Inhalt von Ilja van Sprundel weiter. Ilja erklärt erstmal detailliert das SMS-PDU Format. Auch hier will ich nicht drauf eingehen sondern auf den Vortragsstream verweisen, wenn das jemand im Detail wissen will. Danach folgen weitere Formate wie MMS, WAP, etc.:

Ansonsten bringt der Vortrag wenig wirklich neue Erkenntnisse. Ja, der iPhone-Browser ist ein Alptraum, was Funktionen und Möglichkeiten angeht, weil die kaum alle sicher zu bekommen sind. Ja, Office Formate und PDF sind ein zweiter Alptraum. Das kennt man ja schon vom Blackberry. Der damalige Vortrag von FX (Call to arms, some provided) hatte im Gegensatz zu Iljas Vortrag wenigstens noch ein paar konkrete Angriffspunkte enthalten.

Schade, die bisherigen Vorträge von Ilja fand ich etwas informativer und spannender.

Collin Mulliner und Nico Golde arbeiten im T-Labs der TU-Berlin und berichten über die Sicherheitsprobleme von Feature-Phones (das sind halb-intelligente Telefone, etwas weniger intelligent als Smartphones) mit SMS. Nur 16% aller Telefone sind Smartphones aber praktisch alle Mobiltelefone sind heute Feature-Phones die SMS unterstützen. Diese Telefone gibt es mit praktischen allen Verträgen umsonst weil sie günstig sind und sie sind auch im Rest der Welt weit verbreitet. Es gibt Standardsoftware für diese Telefone und ein gefundener Fehler funktioniert auf sehr vielen Geräten. Die meistverbreiteten Hersteller sind Nokia, Samsung, SonyEricsson, LH, Motorola und Micromax (in Indien). Die Telefone wurden gebraucht auf eBay organisiert und hatten oft noch vertrauliche Daten im Speicher.

SMS kann unzählige Funktionen wie FlashSMS, VCard, MMS, Multipart-SMS, …. viele dieser Funktionen sind kaum gebräuchlich und der unterstützende Programmcode kann deshalb leicht bisher unentdeckte Fehler enthalten. Ein Fehler in einem einfachen Feature-Phone mit nur einem Prozessor erlaubt die Kontrolle über das Telefon und SMS ist ein echter Remote-Bug, einfach eine SMS wegschicken und fertig.

Das Problem bei der Analyse ist allerdings, es gibt keinen Debugger, es gibt kein öffentliches SDK, JTAG (Reverse Engineering) ist nicht lustig bei 10+ verschiedenen Telefonen, man muß echt Arbeit investieren. Die Lösung für die TU war deshalb, ein eigenes privates GSM-Netz aufzubauen. Das hat den Vorteil, dass SMS umsonst sind und kein Netzbetreiber Zugriff auf die SMS mit 0-Day-Exploits bekommt. In diesem eigenen GSM-Netz hat man außerdem komplette Kontrolle über alle Geräte und Logfiles. Zum Glück gibt es mit OpenBSC, OpenBTS, nanoBTS (3500,- Euro Basisstation) und OsmocomBB OpenSource-Software für den Betrieb von GSM-Equipment.

Das SMS-PDU-Format ist erstaunlich komplex. Auf die Details möchte ich hier nicht eingehen. Dafür gibt es diesen Screenshot aus dem Vortrag:

Beispielsweise sind folgende Geräte betroffen:

Oder:

Fazit: gegen alle Telefone waren Denial-of-Service Angriffe mit relativ einfachen SMS möglich. Von Reboot des Geräts über Abschalten bis zum kompletten Freeze ist alles dabei. Weil einige Telefone bereits Crashen bevor der Empfang der SMS dem Netz gegenüber bestätigt wird, kann über wiederholte Auslieferungsversuche ein Telefon dauerhaft aus dem Netz gehalten werden. Über die konkreten Auswirkungen eines verbreiteten DoS-Angriffs auf Mobiltelefone muß noch diskutiert werden. Möglicherweise kann man Netzbetreiber oder Hersteller erpressen.

Die Verschlüsselung von Skype wurde mittels Reverse Engineering aufgedeckt. Auf Details müssen wir noch etwas warten. Die gibt es erst auf dem 27C3 im Dezember in Berlin. Als Basis dient ein recht gewöhnlicher RC4, den Skype ein wenig angepasst hat.

Und jetzt gehen direkt die gegenseitigen Vorwürfe los. Skype wirft O’Neil vor, durch seine Veröffentlichung sei das Spam-Aufkommen massiv angestiegen. O’Neil wiederum behauptet, erst das gestiegene Spam-Aufkommen habe ihn zur Veröffentlichung veranlasst, damit Sicherheitsforscher sich mit der Thematik beschäftigen können.

Und ich sage weiterhin: Finger weg von Skype!

Symantec ist irgendwie auch eine lustige Firma.

Auf der einen Seite weiß ich nie, wie man den Laden eigentlich aussprechen soll. “Sümantek” oder “Simantek” oder “Seimantek” oder wie sonst? Auf der anderen Seite weiß ich nicht, womit die eigentlich ihr Geld verdienen. Security kann es jedenfalls nicht sein. Ok, Symantec hat da einen sogenannten Virenscanner im Angebot. Der bei uns intern “die gelbe Gefahr” heißt. Und angeblich soll der so viele Ressourcen benötigen, dass man alleine deshalb vor Viren und Schadprogrammen geschützt ist, weil man mit dem Rechner eh nicht mehr arbeiten kann. Aus dem Firewall-Markt (SGS, kennt die noch jemand?) hat sich Symantec auch verabschiedet, vermutlich weil die Software-Firma keine Hardware-Logistik stemmen wollte oder konnte. Statt dessen wird halt zugekauft, erst SecurityFocus (platt), dann PGP (mal sehen), jetzt Verisign (oh Gott). Der aktuelle tolle Marketingslogan von Symantec: “The last word in online trust” würde ich jetzt ganz spontan mit “die letzten, denen ich online vertraue” übersetzen.

Gründe dafür gibt es jedenfalls genug. Beispielsweise das von Symantec zur WM 2010 gestartete Portal 2010NetThreats, in dem Besucher kommentieren konnten und praktisch jeder Link in den Kommentaren zu Spam und anderen potentiellen Malware-Seiten zeigt.

Aber vielleicht haben wir das auch einfach nur falsch verstanden und 2010NetThreats ist eine Seite bei der die Bösen im Internet ihre Malware-Seiten registrieren können, damit die nächste Version des Norton 360% CPU-Auslastung Virenscanners sie auch zuverlässig erkennt.Wer weiß das schon.

Microsoft beispielsweise. Erst mault der Softwarehersteller ständig über Full Disclosure, d.h. wenn Sicherheitslücken komplett für jeden zugänglich veröffentlicht werden (weil die bösen Hacker die Informationen ja auch lesen können), jetzt mault der Softwarehersteller über “Null Disclosure”, d.h. über Firmen die auf gefundenen Sicherheitslücken sitzenbleiben und Details nur gegen bares rausrücken.

Tja liebes Microsoft. Wer auf soviel Cash sitzt wie ihr muß vielleicht selbst mal ein vernünftiges Bounty-Programm (”Prämien für gefundene Sicherheitslücken”) aufsetzen. Dann klappt es auch wieder mit dem “Responsible Disclosure”, d.h. außer dem Hersteller erfährt sonst niemand von der Lücke. Denn ganz ehrlich, Fehlersuche ist harte Arbeit geworden. Die Zeiten als man mit einem billigen selbstgebastelten Fuzzer noch wahre Exploitorgien finden konnte sind lange vorbei. Viele dieser Tests machen die Softwarehersteller inzwischen selbst.

Ob der Weg von VUPEN allerdings richtig ist, erst nach Lücken zu suchen und dann den Softwareanbieter unter Druck zu setzen entweder er zahlt oder die Lücken werden anderweitig veröffentlicht, muß ich allerdings bezweifeln. Und da kann ich wiederum Microsoft gut verstehen, die sich in diesem Fall vermutlich direkt erpresst vorkommen und fürchten für umfangreiche weitere Erpressungen die Tür zu öffnen.

Auf jeden Fall bleibt es spannend.

Eine Studie des Antivirensoftware-Herstellers Avast hat ergeben, dass die meisten Webseiten die versuchen, Benutzer mit Schadprogrammen zu infizieren ganz normale Webseiten und keine obskuren Adult- oder Hacker-Seiten sind. Angeblich kommen 99% der Angriffe von eigentlich legitimen aber infizierten Webseiten:

“HTML files from sub-domain blackberry.vodafone.co.uk still contain malicious code at the time of writing but point to a site containing the attack payload site that has been pulled offline.”

Ich kann mir das gut vorstellen. Immerhin gibt es in vielen Unternehmen URL-Filter die bestimmte Seiten generell blockieren. Dazu gehören eben viele Adult- und Hacker-Seiten. Die Zielgruppe wäre deshalb recht gering wenn sich die Angreifer nur auf solche Seiten stürzen würden. Viel lukrativer sind doch infizierte Werbeserver wie erst vor einigen Monaten wieder bei Holtzbrinck passiert. Damit erwischt man auf einen Schlag tausende nichtsahnender Anwender und hat (weil u.a. genug Firmen noch den Internet Explorer 6 einsetzen) auch eine gute Ergebnisquote.