Esempi di intrusioni reali...

1. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 1
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
free advertising >free advertising >
http://creativecommons.org/licenses/by-sa/2.0/it/deed.ithttp://creativecommons.org/licenses/by-sa/2.0/it/deed.it
Client side attacks, covert channels, social
networks, .. - come cambiano gli attacchi e quanto
sono efficiaci le misure di sicurezza tradizionali
(firewall, IPS, IDS, DPS, PDS, ..)?
Esempi di intrusioni reali..Esempi di intrusioni reali..
relatore: Igor Falcomatàrelatore: Igor Falcomatà
SMAU 2010 – seminari AIPSI
25 ott 10 - Milano

2. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 2
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
about:about:
aka “koba”aka “koba”
• attività professionale:
•analisi delle vulnerabilità e
penetration testing
•security consulting
•formazione
• altro:
•sikurezza.org
•(Er|bz)lug
Relatore:Relatore:
Igor FalcomatàIgor Falcomatà
Chief Technical OfficerChief Technical Officer
ifalcomata@enforcer.itifalcomata@enforcer.it

3. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 3
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
One-Click-ExploitOne-Click-Exploit
(sperando che Ama*on non reclami i diritti)(sperando che Ama*on non reclami i diritti)

4. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 4
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Just click to launch..Just click to launch..
..the good ole Internet Exploder....the good ole Internet Exploder..
(Click)

5. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 5
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Meanwhile, back at the ranch..Meanwhile, back at the ranch..
..a cowboy sitting in the dark....a cowboy sitting in the dark..

6. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 6
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Game OverGame Over
thnxs/credits: unknow +hdm@metasploit.comthnxs/credits: unknow +hdm@metasploit.com

7. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 7
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Instant ReplayInstant Replay
0wn1ng the Enterprise 2.00wn1ng the Enterprise 2.0
Mr. Malicious 2.0

8. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 8
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attaccoVettore di attacco
3rd
party

9. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 9
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: link verso sito maliciousVettore di attacco: link verso sito malicious
3rd
party
• semplici:
•chat
•e-mail
•link su social network
• un po' meno semplici:
•MiTM / dns spoofing / ..
•malicious code in sito legittimo
•..

10. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 10
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: identificabile?Vettore di attacco: identificabile?
3rd
party
• semplici:
•chat
•e-mail
•link su social network
• un po' meno semplici:
•MiTM / dns spoofing / ..
•malicious code in sito legittimo
•..
• firewall: improbabile
• antivirus: improbabile
• IDS/IPS: improbabile
• DPS: N/A
• PDS: uh?

11. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 11
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: connessione http(s)Vettore di attacco: connessione http(s)
3rd
party
www.malicious.com

12. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 12
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: connessione http(s)Vettore di attacco: connessione http(s)
3rd
party
www.malicious.com
• NB:
•connessione verso l'esterno
•probabilmente in https
•sito malicious non catalogato
• oppure:
•modifica in-line del traffico da
un sito legittimo (vedi MiTM)

13. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 13
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: identificabile?Vettore di attacco: identificabile?
3rd
party
www.malicious.com
• NB:
•connessione verso l'esterno
•anche in https
•sito malicious non catalogato
• e anche:
•modifica del traffico in-line
• firewall: improbabile
• antivirus: improbabile
• IDS/IPS: improbabile
• DPS: N/A
• PDS: uh?

14. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 14
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: exploitVettore di attacco: exploit
3rd
party
www.malicious.com

15. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 15
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: exploitVettore di attacco: exploit
3rd
party
www.malicious.com
• Microsoft IE mshtml.dll Use-After-Free
Arbitrary Code Execution (Aurora) :
•CVE: 2010-0249
•Microsoft Bullettin: MS10-002
•OSVDB: 61697
• NB:
•0 day vs google, adobe, ...
•ancora effettivo in molti casi..

16. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 16
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
http://osvdb.org/show/osvdb/61697http://osvdb.org/show/osvdb/61697
3rd
party
www.malicious.com
• Microsoft IE mshtml.dll Use-After-Free
Arbitrary Code Execution (Aurora) :
•CVE: 2010-0249
•Microsoft Bullettin: MS10-002
•OSVDB: 61697
• NB:
•0 day vs google, adobe, ...
•ancora effettivo in molti casi..

17. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 17
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: identificabile?Vettore di attacco: identificabile?
3rd
party
www.malicious.com
• Microsoft IE mshtml.dll Use-After-Free
Arbitrary Code Execution (Aurora) :
•CVE: 2010-0249
•Microsoft Bullettin: MS10-002
•OSVDB: 61697
• NB:
•0 day vs google, adobe, ...
•ancora effettivo in molti casi..
• firewall: improbabile
• antivirus: potrebbe
• IDS/IPS: dovrebbe (SSL?!)
• DPS: IE6 out of support :)
• PDS: uh?

18. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 18
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
http://www.sans.org/newsletters/newsbites/newsbites.php?vol=12&issue=21http://www.sans.org/newsletters/newsbites/newsbites.php?vol=12&issue=21
3rd
party
www.malicious.com
• Microsoft IE mshtml.dll Use-After-Free
Arbitrary Code Execution (Aurora) :
•CVE: 2010-0249
•Microsoft Bullettin: MS10-002
•OSVDB: 61697
• NB:
•0 day vs google, adobe, ...
•ancora effettivo in molti casi..
• firewall: improbabile
• antivirus: potrebbe
• IDS/IPS: dovrebbe (SSL?!)
• DPS: IE6 out of support :)
• PDS: uh?

19. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 19
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: covert channelVettore di attacco: covert channel
3rd
party

20. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 20
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: covert channelVettore di attacco: covert channel
3rd
party
• praticamente qualsiasi tipo di
traffico:
•dns
•http(s)
•chat (msn, irc, skype, ..)
•piccione viaggiatore? (rfc1149)
•..

21. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 21
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
Instant ReplayInstant Replay
Vettore di attacco: covert channelVettore di attacco: covert channel
3rd
party
• praticamente qualsiasi tipo di
traffico:
•dns
•http(s)
•chat (msn, irc, skype, ..)
•piccione viaggiatore? (rfc1149)
•..
• firewall: improbabile
• antivirus: improbabile
• IDS/IPS: improbabile
• DPS: N/A
• PDS: uh?

22. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 22
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Solo IE6?Solo IE6?
http://secunia.com/advisories/http://secunia.com/advisories/

23. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 23
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Solo IE6?Solo IE6?
http://secunia.com/advisories/http://secunia.com/advisories/

24. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 24
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Complessità dell'attacco?Complessità dell'attacco?
YEAH, piece of cake!YEAH, piece of cake!

25. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 25
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Per i più pigri..Per i più pigri..
http://www.secmaniac.com/download/http://www.secmaniac.com/download/

26. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 26
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Bonus Track #1Bonus Track #1
Adobe CoolType SING Table "uniqueName" Stack b0f (CVE-2010-2883)Adobe CoolType SING Table "uniqueName" Stack b0f (CVE-2010-2883)

27. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 27
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Bonus Track #1Bonus Track #1
Il file (scansione a/v) viene identificato..Il file (scansione a/v) viene identificato..

28. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 28
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Bonus Track #1Bonus Track #1
ma NON quando aperto tramite plug-in IE..ma NON quando aperto tramite plug-in IE..

29. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 29
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Bonus Track #2Bonus Track #2
Custom backdoor.. (meterpreter payload)Custom backdoor.. (meterpreter payload)

30. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 30
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Bonus Track #2Bonus Track #2
Custom backdoor.. (reverse tcp payload)Custom backdoor.. (reverse tcp payload)

31. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 31
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
Bonus Track #2Bonus Track #2
Custom backdoor.. (reverse tcp payload)Custom backdoor.. (reverse tcp payload)

32. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 32
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
in conclusione..in conclusione..
(come mitigare il rischio)(come mitigare il rischio)
• least privilege
•user != administrator
•sandboxing (chrome, adobe?, ..)
•non c'è/non si rompe..
• patch management
•win/distro update
•3rd
party sofware?
•patch assessment..
• (H)IPS/end point security/..

33. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 33
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
qualche link..qualche link..
Metasploit, SET, Fast-Track & Co.:Metasploit, SET, Fast-Track & Co.:
http://www.metasploit.com/
http://www.offensive-security.com/metasploit-unleashed/Client_Side_Attacks
http://www.offensive-security.com/metasploit-unleashed/Client_Side_Exploits
http://www.offensive-security.com/metasploit-unleashed/Mass_Client_Attack
http://blog.0x0e.org/2010/10/17/364/
http://flexi-train.blogspot.com/2010/05/client-side-attack-by-using-evil-pdf.html
http://www.darkreading.com/blog/archives/2009/09/anatomy_of_a_cl.html
http://www.secmaniac.com/download/
http://www.enterprisenetworkingplanet.com/netsecur/article.php/3869906/Automat
e-Pen-Testing-with-Fast-Track-Client-Side-Attacks.htm
http://exploit.co.il/hacking/client-side-attack-using-evil-java-applets/
http://www.freedomcoder.com.ar/2010/07/09/client-side-penetration-testing-with-
esearchy-emaily

34. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 34
Esempi di intrusioni reali all'epoca del web 2.0 – SMAU 2010 – seminari AIPSI – 25 nov 09 – Milano
free advertising >free advertising >
http://creativecommons.org/licenses/by-sa/2.0/it/deed.ithttp://creativecommons.org/licenses/by-sa/2.0/it/deed.it
SMAU 2010 – seminari AIPSI
25 ott 10 - Milano
Carenata o 5 porte?
Basta che sia 2.0 ..
(Domande?)(Domande?)