"PWNEANDO A LO NSA"

"Uso y explicacion de Eternal-blue y Double-Pulsar"

 hace dias me he encontrado con una noticia bastante buena y es que las herramientas con las que la mayor agencia de seguridad del mundo entre comillas llamemosle asi, han sufrido lo que parece ser una de las mayores filtraciones, pues las herramientas y los exploits de los que hablaba snowden hace y algunos años atras se han revelado,  por fin su codigo fuente y todo para probar a lo nsa! :V XD LOL.
y como si fuera poco los afectados han sido los de siempre ya te imaginaras de quien, sii,  el tio bill gates y su empresita chunga microsoft.
y es que la querida agencia de seguridad nacional espiaba o mejor dicho nos espiaba a todos haciendo uso de lo que comunmente en seguridad le llamamos "in the wild o exploits in the wild" para llamarle ala seguridad o alas intrusiones no autorizadas aun no detectadas por el fabricante o reportada como 0day en la comunidad cibernetica.
la vulnerabilidad es la tipica crasheo y secuestro de una libreria dll que es cambiada por otra libreria dll para hacer creer que se esta usando la libreria legitima cuando en realidad se esta mandando llamar una libreria  falsificada y modificada previamente backdorizada,
los sistemas afectados que hacen uso de tal libreria son los siguientes:
mas adelante analizaremos el metodo de "secuestro dll o hijacking de librerias dll"  investigando a profundidad mediante el process explorer ,  asi como profundizaremos en el protocolo de comparticion de archivos vulnerable gracias al cual la nsa pudo colarse en vuestros ordenadores, dicho fallo del protocolo propietario de microsoft smb consistia en enviar al mismo muchos paquetes crafteados o rotos,  segun desde la web oficial de microsoft nos dicen que una de las soluciones mas "fiables" sease desactivar la funcion smb si no la estamos utilizando en un momento.
muchas  compañias tienen activado este tipo de funciones para crear y configurar carpetas compartidas.
la anterior imagen muestra el ataque que es conocido como secuestro de librerias DLL , las aplicaciones que son terminan .exe jalan por asi decirlo ciertos parametros que necesitan para acceder al nucleo central del sistema operativo mejor conocido como kernel y asi acceder a sus funciones principales en modo kernel ya que en modo usuario solo podria acceder a ciertos codigos de ejecucion que no pueden escribir en el sistema operativo.




podemos ver que en efecto las estaciones victima en realidad son extremadamente vulnerables al hacer el barrido o escaneo rapido de la herramienta metasploit  ahora lo que falta es solo  proceder con lo siguiente,  puedes seguir por dos vias o vectores de ataque,  una es inmediatamente  atacar los hosts vulnerables es decir proseguir atacando con todo y explotando el fallo de seguridad,  otra es ir recogiendo como analisis de informacion  cuales hosts son potencialmente vulnerables dentro del marco de investigacion en donde nos encontramos e investigar apropiadamente si existen ciber seguridad de perimetro.

ahora vamos analizar cual es la tecnica que hace que este fallo de seguridad sea posible, veamos el concepto de dll hijacking o el secuestro de librerias dll dentro de los sistemas operativos.

como se nos dice  en el texto sub-titulo,  es un secuestro lo que se hace es se interpone o se solapa mediante un PPID es decir un proceso padre, un proceso padre es aquel que tiene varios procesos hijos o child process sobre el esto puede ser por ejemplo el explorador de windows ,  que como es un proceso padre que puede  tener procesos hijos como por ejemplo la barra de tareas dentro del explorador,  administrador de tareas,  widgets del clima, entre otros.

ahora vemos que con una herramienta muy util llamada process explorer podemos ver y analizar que procesos son los que han sido suplantados o han sido secuestrados haciendose pasar por un proceso padre o hijo e inyectando codigo potencialmente malicioso y peligroso,   podemos ver mediante esta herramienta que procesos se estan cargando on the fly  y que funciones mismas esta llamando inclusive podremos analizar que conexiones en caso de que ese proceso este llamando hilos de ejecucion o threads o que este conectando hacia otro lado de la red , podremos ver las conexiones activas o si en un momento u otro cargo otro proceso  y hacia donde se esta conectando su flujo de informacion.

vemos que mediante otra mini-utilidad que trae esta herramienta analizamos mediante filtros regmatch las librerias predeterminadas que se estan cargando en el proceso,  ademas algo muy sospechoso es que hay muchos procesos hijos que dependen del proceso padre, esto es ciertamente sospechoso hasta cierto punto ya que vemos que no es necesario jalas mas hilos de ejecucion de los necesarios del proceso  lo que hace esto muy sospechoso,  ademas podremos ver si lo que esta corriendo esta firmado o autofirmado si no es asi entonces estamos ante un dll malicioso o procesos maliciosos



REFERENCIAS, IMAGENES Y ENLACES TECNICOS:
http://securityxploded.com/dllhijackauditor.php
https://en.wikipedia.org/wiki/DoublePulsar
https://es.wikipedia.org/wiki/EternalBlue
https://es.wikipedia.org/wiki/Server_Message_Block
http://cfile2.uf.tistory.com/image/196CE31C4C9D3F6044C902

HERRAMIENTA PROCESS EXPLORER
 

         "MANIPULANDO DLL'S"

      "HERRAMIENTA RAILGUN"

           "POST-EXPLOTACION"

una vez ya hemos llegado a penetrar el sistema que ya hemos encontrado los fallos de seguridad y explotarlos por cuenta propia ya sea con ayuda manual de algun exploit que hayamos programado o de forma automatizada mediante la base de datos exploit.db y con la herramienta metasploit.

 require 'msf/core'
 require 'socket'
 
 class MetasploitModule < Msf::auxiliary
 
 include Msf::Exploit::Capture
 include Msf::Exploit::Remote::Tcp
 include Msf::Exploit::EXE
 
 
 def initialize(info={}) 
        super update_info(info, 
         'name' => 'ejemplo-modulo-personalizado',
         'Description' =>  'hola mundo en modulo personalizado',
         'License' =>  'Msf License'
        
        ))
        
        register_options( 
         Opt::RPORT (6000),
         ], self.class)
         deregister_options('RHOST')
         
  end 
  
  
  
 

    client . railgun . NOMBRE_DDL . FUNCION . {PARAMETROS_FUNCION}
    >>client.railgun.add_dll(‘nombre_dll’)
    >> client.railgun.kernel32.GetCurrentProcessId => {“GetLastError”=>0, “return”=>996}
    
    La API de windows es muy extensa y es imposible abarcar la cantidad de invocaciones que se puede llevar a cabo desde Railgun, sin embargo se intentará indicar el uso de algunas que son muy útiles

Determinando si el usuario actual tiene privilegios de administrador.

>> status = client.railgun.shell32.IsUserAnAdmin() => {“GetLastError”=>0, “return”=>true}
>>

?> printf (“El usuario es admin? %s”,status[‘return’])

El usuario es admin? true

    

lo anteior estamos invicando  a una dll que de antemano deberiamos conocer su funcionamiento y conocer al lenguaje de programacion ruby para poder invicar dll y sus propios metodos ademas de sus funciones nativas para saber exactamente donde realmente estamos inyectando  nuestro codigo en el sistema.

con el interprete interactivo de ruby el IRB podemos hacer muchas cosas interesantes como desactivar el firewall el defender de windows y otros muchos detallitos que nos pueden hacer mantener el acceso mediante largos periodos de tiempo en el lugar atacado.

sin mas me despido y que tengan una linda semana.

happy hacking.

:)