Mitternachtshacking

Aus einer Mail an die Full-Disclosure Mailing-Liste:

„Southwest Airlines has a class of ticket called ‚Business Select‘. This
ticket typically allows you to board the plane first, and because SWA
doesn’t have assigned seating means you have your pick of the seats on
the plane. But there is quite an additional benefit.

You also get a free drink ticket. But they seem to have forgotten
something in the implementation of this: Being your drink coupon is
issued to you when you print your boarding pass. It’s also printed
whenever you *reprint* your boarding pass!

So if you feel like getting drunk on your flight, just print seven or
eight boarding passes, and you’ll have a good flight. I tried this a
couple of weeks ago on a flight from San Diego to Kansas City, and I had
myself 4 free drinks no problem.“

Nice 🙂

Soso, böööööööse Hacker Einbrecher haben Brigitte „Ich hab sowieso von gar nichts Ahnung“ Zypries zwei Laptops geklaut. Vermutlich vielleicht um darauf den Bürgertrojaner zu installieren. Aber da kann ja nichts passieren:

1. hat die Zypries sowieso keine wichtigen Daten auf ihren Rechner, denn dafür müsste man in erster Linie erstmal wichtige Daten haben
2. ist der Laptop garantiert super gesichert, vermutlich mit einem Windows-Passwort das wie die Katze der Justizministerin heißt
3. war Ernst & Young nicht in der Nähe

Also alles ganz harmlos. Es gibt nichts zu sehen. Bitte gehen Sie weiter.

Nachtrag:

Heise betitelt mit „Heimliche Offline-Durchsuchung bei der Justizministerin„. Die Polizei hat bisher keine offizielle Erklärung herausgegeben. Gerüchteweise konnten Spuren eines Rollstuhlfahrers am Tatort gesichert werden. Man hört auch, das Berliner LKA soll zur Überprüfung eines gewissen Herrn Wolfgang S. um den vom CCC gesicherten Fingerabdruck gebeten haben.

Der rumänische Künstler Alex Dragulescu hat Schadprogramme grafisch dargestellt:

„Malwarez is a series of visualization of worms, viruses, trojans and spyware code. For each piece of disassembled code, API calls, memory addresses and subroutines are tracked and analyzed. Their frequency, density and grouping are mapped to the inputs of an algorithm that grows a virtual 3D entity. Therefore the patterns and rhythms found in the data drive the configuration of the artificial organism.“

Sehr schön … ich erinnere mich an etwas ähnliches von Zynamics (früher Sabre Security) die 2006 einen Forschungspreis für die graphentheoretische Auswertung von Schadprogrammen mit Bindiff bekommen haben und so unbekannte aber ähnliche Trojaner erkennen können.

(via Washington Post)

Bei manchen Security Testern frage ich mich ja wirklich: denken die noch selbst oder lassen die die Tools denken und wenn die Tools keine vernünftige Aussage machen, dann rufen wir Mami um Hilfe?

Hier ist wieder so ein Beispiel. Der Autor SkyOut beispielsweise schlägt eine coole Technik vor, um Nikto zu täuschen: ErrorDocument redirects.

Die Kurzusammenfassung lautet in etwa, man verwende

ErrorDocument 400 http://example.com
ErrorDocument 401 http://example.com
ErrorDocument 403 http://example.com
ErrorDocument 404 http://example.com
ErrorDocument 405 http://example.com
ErrorDocument 500 http://example.com

und schon liefert Nikto einen Haufen False Positives:

"+ /admin/config.php - Redirects to http://example.com/ , PHP Config file
may contain database IDs and passwords."

SkyOut schreibt dazu:

„This will be annoying and means a lot of work to filter out, what is wrong and what is interesting. […] Summarizing this we could say, that Nikto is useless or let’s say, it is not that automatic as it was before our changes because now the user does have to do A LOT of work by him- or herself.“

Stimmt: grep -v „Redirects to http://example.com/“ Ich gebe zu, das ist krass viel eigene Arbeit.

Ich versteh’s manchmal echt nicht. Penetrationstests sind ein wenig mehr als nur automatische Tools wie Nmap, Nessus, Nikto, LANguard und Co. zu starten, aus der Ausgabe ein PDF zu machen und  an den Kunden zu schicken. Natürlich steckt die meiste Arbeit in der Auswertung aber genauso gibt es bessere Tools als Nikto und mit ein wenig Kenntnissen von grep und awk (ich empfehle das Buch Unix Power Tools!) hat man den Schrott ruck-zuck ausgefiltert. Seufz.

Naja, coole Domainnamen (Smash the Stack) und leet Kapitelnummern (0x01) garantieren halt noch keinen brauchbaren Inhalt.

Nur ein Link: http://exploitsearch.com/ … ausprobieren.

Meine Freundin kam neulich wieder an: „Ein Arbeitskollege hat mir auf einen USB-Stick das Spiel Blocks 5 kopiert, das habe ich mir gerade installiert“. Mein spontane Antwort: „Guter Trick! Wenn ich Dir Schadprogramme unterjubeln wollte würde ich das genauso machen!“. Da hat sie erst einmal gestutzt.

Wenn schon Symantec behauptet, die Old School VXer-Szene wäre am Sterben (und die verdienen mit den Virenscannern ja ihr Geld), dann muss es schließlich ernst sein. Ok, für die Virenscannerhersteller nicht wirklich, die Viren werden hat jetzt von kommerziellen Unternehmen wie dem Russian Business Network entwickelt. Virtuelle Schutzgelderpressung ist schließlich viel bequemer als reale. Man muss nicht raus in den harten kalten russischen Winter.

Aber was das RBN kann, können wir im Kleinen doch auch. Schadprogramme auf USB-Sticks sind nichts neues und dieses Spiel vom Arbeitskollegen bietet sich doch geradezu an.

1. Man nehme ein Open Source Spiel, das so interessant und gut programmiert ist, dass sich ein paar Leute wirklich dafür interessieren. Das Blocks 5 von David Scherfgen ist beispielsweise so ein Spiel und hat mich auch erst auf die Idee gebracht. Das fertige Programm findet man hier, den Source Code hier.
2. Man suche sich ein paar passende Schadroutinen, z.B. aus dem Source Code von Phatbot und binde sie in den Source Code des Spiels ein. Phatbot hat wirklich eine eindrucksvolle Liste von Kommandos und Funktionen und der Source Code ist so 2004 oder 2005 im Internet aufgetaucht (ja, ich habe eine Kopie, nein, ich gebe sie nicht raus).
3. Man erzähle den Kollegen, Freunden, etc. welches coole neue Spiel man im Internet gefunden hat und das ja ganz kostenlos ist (für Lamer).
4. Man setze eine Webseite auf, die diverse Spiele deren Source Code frei verfügbar ist, zum kostenlosen Download anbietet. Natürlich ist prinzipiell jedes der Spiele mit Schadroutinen infiziert aber der kluge Hacker erlaubt den Download mit Schadroutine nur einmal pro Tag von einer IP-Adresse und liefert sonst das harmlose Programm aus und an IP-Adressen von Virenscanner-Herstellern wird natürlich grundsätzlich nur das harmlose Programm ausgeliefert (für Profis).

Hmm, Google liefert 37 Millionen Suchergebnisse für „free game download„. Wahrscheinlich bin ich nicht der erste, der auf diese Idee gekommen ist.

In der IT-Presse ist das Thema noch gar nicht so richtig angekommen, dafür wird es z.B. hier ein wenig diskutiert:

Das neue Flagschiff der Flugzeugflotte von Boeing, der Dreamliner 787 scheint die Bordkommunikation nicht sauber zu trennen. Insbesondere die Datenkommunikation der Steuersignale (fly by wire) und die Kommunikation der Passagiere die Wireless im Internet surfen ist nicht komplett getrennt sondern erfolgt teilweise über die gleichen Datenleitungen. Auch wenn da vermutlich VLANs für eine Trennung sorgen sollen, so ganz sauber ist das eigentlich nicht (Tipp: DoS-Angriff) und für derart kritische IT-Komponente auch nicht akzeptabel. So schreibt die Süddeutsche Zeitung:

„So ernst nimmt die amerikanische Flugsicherheitsbehörde Federal Aviation Authority (FAA) diese mögliche Bedrohung, dass sie dem neuen Flaggschiff in der Flotte des Flugzeugbauers Boeing die Zulassung verweigert hat, solange die Firma keine zusätzlichen Sicherheiten in die Bordcomputer einbaut, die Passagieren zur Verfügung stehen.“

So schlimm wird es natürlich nicht kommen. Boeing sind die möglichen Gefahren durchaus bewußt und ein paar zusätzliche Glasfaserleitungen werden schon noch irgendwo Platz finden.

Interessant ist für mich eigentlich die Frage: Wer hat mit welchen Vorstellungen das ursprüngliche Design entwickelt? War das einer dieser Ingenieure, die uns schon WEP (von der IEEE) beschert haben? Wie kann man überhaupt auf die Idee kommen, Flight-Control und Flight-Entertainment über die gleichen Kabel abzuwickeln? Kann man da ein paar Kilo Glasfaserleitungen einsparen? Und warum werden keine IT-Security Spezialisten von Anfang an in die Planung mit einbezogen? Rennen doch genug selbsternannte Schaumschläger in den USA rum.

Fazit: Wenn Ihr irgendwann mal in einem Projekt was planen müßt, das stark auf IT setzt, egal ob das ein Flugzeug, ein Auto, eine Webapplikation oder ein Turnschuh mit MP3-Player ist … fragt irgendwann zwischendrin auch mal jemanden, der sich damit auskennt.

Auch der Originalartikel des Seattle Post-Intelligencer liefert leider keine genaueren Hinweise, wer das ursprünglich verbockt hat.

In Großbritannien hat es mit Jeremy Clarkson den richtigen erwischt:

Der Moderator der Fernsehsendung „Top Gear“ behauptete in einem Beitrag in der Zeitung Sun, der Verlust von 25 Millionen Datensätzen sei Kinderkram und die ganze Aufregung nicht wert. Konsequenterweise veröffentlichte er als Beweis im gleichen Artikel seine eigenen Daten mit der Behauptung, das schlimmste was passieren könnte wäre, dass jemand Geld einzahlen würde.

Wenige Tage später und 500 Pfund ärmer musste er zugeben, dass seine Behauptungen nicht der Realität entsprachen. Sein Fazit:

„Contrary to what I said at the time, we must go after the idiots who lost the discs and stick cocktail sticks in their eyes until they beg for mercy“

Ich hoffe, ein paar Idioten merken dann endlich auch einmal was. Der CCC hat ja Fingerabdrücke von Hr. Schäuble, die bitte publizieren weil ist ja angeblich alles gar nicht so schlimm. Ich habe ein paar spannende Tatorte wo ich diese Abdrücke gerne hinterlassen würde.

(via The Register)

SANS hat im Reading Room einen hervorragenden Artikel zu VoIP Security zusammengestellt. Aus dem Inhaltsverzeichnis:

1. Introduction
2. Security vulnerabilities transitioning from POTS to VoIP
3. Real Time Protocol (RTP)
4. Asterisk and Inter-Asterisk Exchange (IAX)
5. Session Initiation Protocol (SIP)
6. Skype
7. Cisco VoIP
8. Conclusion

insgesamt 125 Seiten. Ich habe den Text bisher nur kurz überflogen, sieht aber sehr detailliert und fundiert aus. Ein echtes must-read. Nur einen neuen moderneren Font könnte sich SANS mal aussuchen …

(via SIPVicious)

So öffnet man ein Kensington Lock, McGyver-Style 😉

Ich bin begeistert!