Pillole di #penetrationtest

Molti che utilizzano nmap, quando pensano all'host discovery, pensando ad un traffico ICMP.

Attenendosi al manuale, altri sanno inoltre che ICMP viene integrato con TCP SYN alla porta 443 e TCP ACK alla porta 80 per sopperire all'eventuale negazione del traffico ICMP da parte di sistemi di difesa.

Tutto giusto, tranne il fatto che questo comportamento di "default" di nmap (ossia senza opzioni specificate) non è quello che nmap compie realmente in una rete locale: sebbene posto nel mezzo di un più ampio discorso, il manuale indica invero qualcosa di più, ma che spesso sfugge l'attenzione del lettore.

All'interno di una rete locale, per scelta di efficienza, nmap applica di "default" l'ARP/Neighbor Discovery, ossia usa il solo protocollo ARP (richiede chi possiede il dato IP, e la risposta ARP gli è più che sufficiente): questo indipendentemente da quale opzione -P* si espliciti per scegliere una tipologia di traffico ICMP.

Unico modo per generare un "ping sweep" (ICMP) in rete locale con nmap è applicare l'opzione --disable-arp-ping (inversa della -PR che è dunque il vero default in una rete locale).

Pillole di #analisiforense
Le 6 fasi di Analisi Forense.
Identificazione(Identification) e Conservazione(Preservation) : è necessaria per rilevare e scovare cosa è effettivamente qual’è il target utile ai fini dell’indagine e, fermare o impedire qualsiasi attività che possa danneggiare la raccolta di informazioni digitali.
Acquisizione(Collection): le informazioni vengono duplicate in maniera fedele all’originale. Gli obiettivi di questa fase sono: acquisire il maggior numero di dati, rendere l’attività di acquisizione ripetibile e limitare i tempi di inattività di server “importanti”.
Analisi(Analisys): Si evidenziano i dati con contenuto informativo importante per l’indagine. Il processo di analisi viene documentato. I dati vengono visualizzati, si individuano le parole chiave, vengono decompressi gli archivi. I dati vengono poi acquisiti e decifrati per essere inseriti in una timeline.
Valutazione(Validation): In questo passaggio i dati evidenziati in fase di analisi vengono interpretati per sostenere le proprie tesi (sia a favore che a sfavore).
Adattamento(Interpretation): Il registro viene adattato in base all’interlocutore per essere di facile comprensione al ricevente finale, sia quest’ultimo tecnico o giurista.
Presentazione(Documentation and Reporting): L’analisi è conclusa. Viene documentato cosa è stato fatto, come è stato fatto, cosa è emerso e che significato hanno i dati rinvenuti.

• Può memorizzare metadati arbitrari.
• L'immagine può essere compressa con un livello di compressione elevato.
• L'immagine risultante può essere crittografata.
• L'immagine risultante può essere tagliata in pezzi più piccoli per adattarli su media o filesystem che non possono contenere file di grandi dimensioni.

Pillole di Malware Analysis

I protection Ring

I #malware possono essere classificati dividendoli per tipologia (#Trojan, #Ransomware, #AdWare etc...), per comportamento (rubare informazioni, negare un servizio, prosciugare le risorse di un host etc...) e per privilegi.

In questa piccola pillola vi voglio parlare di questo tipo di classificazione.

La CPU intel è stata progettata per lavorare su 4 differenti #Ring, da Ring 0 (privilegi più alti) a Ring 3 (privilegi più bassi). Il codice che lavora al ring più basso necessita di privilegi maggiori.

#Windows lavora solo su due ring: 0 e 3!

A Ring 3 lavora qualsiasi programma in User Mode, mentre un programma in Kernel Mode lavora a Ring 0. Capite al volo che un #RootKit lavora a Ring 0 e generalmente per poter operare su questo ring esegue tecniche di privilege escalation.

Vi sono però altri ring poco conosciuti: Ring -1, Ring -2 e Ring -3.

Il Ring -1 lavora su sistemi virtualizzati a livello dell'#Hypervisor. Naturalmente un malware operante a questo livello si trova sotto il SO host e quindi ha privilegi maggiori del Ring 0.

In Ring -2 lavora il software di sistema al boot del device quando ancora non è stato attivato il protected mode dalla CPU e gli indirizzamenti di memoria sono reali e non virtuali

E il Ring -3?

Per semplicità diciamo che a questo Ring lavora il firmware! (altrimenti dovrei spiegarvi l'Intel Management Engine, ma se vi interessa lo farò in un'altra pillola ;-))

Tipici malware che lavorano a Ring -3 sono quelli che infettano i dispositivi #IoT!