[Segurança] O ataque do Drone Hacker!

Segundo uma reportagem publicada no mês passado no jornal britânico The Register, um pesquisador de segurança chamado Greg Linhares relatou um caso ocorrido com uma empresa do ramo financeiro nos EUA, aonde dois drones foram utilizados para tentar invadir a empresa.

Segundo os relatos dos pesquisadores envolvidos, o incidente foi descoberto quando a empresa identificou atividades incomuns na página interna do Confluence (ferramenta de colaboração da Atlassian muito utilizada em empresas), originadas  de dentro da rede da empresa.

A equipe de segurança que respondeu ao incidente descobriu que o usuário associado ao endereço MAC que foi utilizado para obter acesso à rede wifi da empresa e ao Confluence estava, na verdade, logado da sua casa a vários quilômetros de distância do escritório - indicando que uma outra pessoa (ou dispositivo) estava tentando usar o endereço MAC desse usuário para acessar a rede wifi. Ou seja, já disparou um alerta aí: o usuário verdadeiro estava conectado remotamente ao mesmo tempo que alguém estava usando o endereço MAC dele para acessar a rede wifi dentro do escritório.

Para rastrear o sinal, os analistas de segurança usaram a ferramenta Fluke e, assim,. chegaram ao topo do prédio, onde encontraram uma versão modificada do drone Matrice 600 da DJI e outra versão modificada do drone Phantom, também produzido pela DJI. No Phantom estava acoplado um dispositivo Pineapple (da Hack5), enquanto o Matrice carregava uma caixa com um Raspberry Pi, um mini laptop, um modem 4G e outro dispositivo WiFi.

A investigação descobriu que o drone Phantom foi usado para interceptar a rede wifi e capturar as credenciais, que foram posteriormente incluídos nas ferramentas utilizadas no drone Matrice. Os drones foram usados para acessar a página interna do Confluence da empresa, com objetivo de acessar outros equipamentos e dispositivos na rede usando as credenciais armazenadas lá no Confluence.

A identidade do atacante não foi revelada.

A própria reportagem do The Register destaca que a ideia de usar drones domésticos para hackear foi apresentada anteriormente em algumas conferências de segurança como a Black Hat e Defcon em 2016 e, antes disso em 2013, o pesquisador de segurança Samy Kamkar demonstrou seu drone SkyJack, que usava um Raspberry Pi para controlar outros drones via Wi-Fi.

Para saber mais:

• How Wi-Fi spy drones snooped on financial firm (em inglês) (The Register)
• Drones tem sido usados na guerra da Rússia contra a Ucrânia: Novas táticas e tecnologias de guerra cibernética no conflito entre Rússia e Ucrânia (artigo aqui no blog)
• The Phantom Menace - Weaponising a consumer drone (artigo de 2015)

• Vídeo da palestra na Black Hat USA 2016: Drone Attacks on Industrial Wireless A New Front in Cyber Security

PS: Para dar crédito a quem merece, eu fiquei sabendo dessa história graças a Apura Cybersecurity Intelligence e o texto foi baseado na reportagem do The Register, com alguns ajustes meus.

[Segurança] KRACK: um novo ataque contra redes wireless

Hoje foi divulgado um ataque contra o protocolo WPA2 das redes wireless que tem assustado a comunidade de tecnologia e de segurança: o ataque KRACK (nome tirado de "Key Reinstallation Attack").

O ataque KRACK explora uma fragilidade no handshake do protocolo WPA2 (Wi-Fi Protected Access II), que é o processo usado para estabelecer uma chave de criptografia entre o dispositivo e o access point, e assim permite criptografar o tráfego na rede Wireless.

O ataque explora o handshake e a negociação de chaves no momento em que um dispositivo se conecta no ponto de acesso da rede, e consegue forçar o cliente a reutilizar uma chave de sessão mais antiga. Com isso, a criptografia usada pelo padrão WPA2 fica enfraquecida e o atacante tem acesso ao tráfego de rede:

"Decryption of packets is possible because a key reinstallation attack causes the transmit nonces (sometimes also called packet numbers or initialization vectors) to be reset to zero. As a result, the same encryption key is used with nonce values that have already been used in the past".

O handshake (veja abaixo) acontece logo no início de uma conexão a uma rede Wi-Fi, quando um cliente quer se conectar a uma rede wireless protegida. O handshake de 4 vias é usado para confirmar que o cliente e o access point possuem as credenciais corretas (por exemplo, a senha pré-compartilhada da rede que utilizamos na maioria dos casos) e também negocia a chave de criptografia que será usada para criptografar todo o tráfego subseqüente.

Há um vídeo no Youtube mostrando o ataque em ação, contra um smartphone Android:

No vídeo acima, os pesquisadores levantam um access point falso, com o mesmo nome da rede da vítima (mas em outro canal) e forçam o dispositivo a se conectar no access point falso, para poderem capturar os pacotes da rede entre a vítima e o access pointo verdadeiro, fazendo um ataque "Man in the Middle" (MITH). Neste momento, eles podem manipular mensagens para o cliente e atacar o processo de handshake.

Portanto, o ataque KRACK exige que o atacante tenha acesso local na rede wireless, levante um hotspot falso, estabeleça uma conexão Man-in-the-Middle e ataque o handshake do WPA de cada dispositivo conectado em sua rede (se você tiver 10 computadores, tem que realizar o ataque 10 vezes). Isso não é complexo e em breve teremos ferramentas para fazer isso de forma automatizada. E não e tão difícil ter acesso a uma rede wireless, pense num cara numa van ao lado do seu escritório ou, mais fácil, um computador da empresa com malware.

O ataque funciona contra o protocolo WPA1 e o WPA2, e contra qualquer conjunto de cifras que esteja sendo usado (WPA-TKIP, AES-CCMP e GCMP).

O KRACK  permite que os atacantes manipulem a chave de criptografia utilizada na rede e, assim, desencriptem os pacotes trafegando pela rede Wi-Fi. A senha da rede Wi-Fi não é exposta. Mesmo assim, o ataque permite capturar todos os pacotes de rede, e assim ter acesso a todas as comunicações dos usuários (exceto acessos criptografados, como SSL, VPN, SSH, etc), além de injetar pacotes na rede wireless da vítima.

Embora haja notícias de fabricantes trabalhando em correções para o ataque, também há quem diga que o problema é bem complexo pois a fragilidade reside no próprio padrão Wi-Fi, e não nas implementações ou em qualquer produto específico. Assim, qualquer implementação existente do WPA2 provavelmente é afetada, e a lista de equipamentos vulneráveis é grande: Android, Linux, Apple, Windows, OpenBSD, MediaTek, Linksys, etc.

Segundo os pesquisadores, esse ataque é excepcionalmente devastador contra equipamentos rodando Linux e Android versão 6.0 ou superior, pois eles podem ser enganados para reinstalar uma chave de criptografia com valor totalmente zero.

O assustador, neste ataque, é que o WPA2 é o padrão atual de segurança para as redes wireless, e é amplamente utilizado por praticamente todo mundo.

Já estão surgindo correções e assinaturas contra o ataque:

• Alerta para IDS
• Lista de atualizações e patches já disponíveis para diversos fabricantes

A Wi-Fi Alliance criou uma ferramenta para detectar se o seu dispositivo está vulnerável ao ataque KRACK, mas ela está disponível apenas para menbros da Wi-Fi Alliance :(

Para saber mais:

• Pesquisa original: "Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2"
• Site https://www.krackattacks.com
• Aviso do CERT: "CERT/CC Reports WPA2 Vulnerabilities" (VU#228519)
• Hotsite da Wi-Fi Alliance
• "KRACK For Dummies" no site Motherboard
• Ótimo paper do Noinson Caio com o passo a passo da instalação de um ambiente para testar o ataque KRACK
• CVEs relacionados:
• CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the four-way handshake
• CVE-2017-13078: Reinstallation of the group key (GTK) in the four-way handshake
• CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the four-way handshake
• CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake
• CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake
• CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
• CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
• CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake
• CVE-2017-13087: reinstallation of the group key (GTK) while processing a Wireless Network Management (WNM) Sleep Mode Response frame
• CVE-2017-13088: reinstallation of the integrity group key (IGTK) while processing a Wireless Network Management (WNM) Sleep Mode Response frame.

PS: Assim que tiver mais notícias irei atualizar esse post.
PS/2: Post atualizado em 15/10, 1am

[Segurança] Roteadores sob suspeita

A recente história do backdoor encontrado nos roteadores D-Link assustou muita gente, mas não representa a primeira nem a última vez em que são descobertas vulnerabilidades nos roteadores domésticos, expondo seus usuários a riscos desnecessários. Justo eles, que estão presentes hoje em dia em milhões de lares e pequenas empresas.

Veja outros exemplos recentes:

• No caso recém alardeado dos roteadores D-Link, basta acessar a interface web do roteador tendo definido, em seu browser, a identificação do agente do seu navegador como sendo "xmlset_roodkcableoj28840ybtide" (sem aspas - note que, lido de trás para frente, isso diz "escrito por 048882 joel backdoor"). Ao fazer isso, você pode acessar a interface web sem qualquer tipo de autenticação, podendo visualizar e alterar as configurações do equipamento.
• Os roteadores wireless da Tenda podem ser explorados através de um simples pacote UDP, pois possuem um backdoor que permite executar comandos como administrador
• Os roteadores wireless da Netgear podem ser explorados para comandar o equipamento via sua interface web sem autenticação ou para forçar um buffer overflow que irá executar comandos localmente.
• Em Janeiro deste ano a Rapid7 divulgou que falhas na implementação do protocolo UPnP (Universal Plug and Play) afetavam milhares de dispositivos como roteadores, impressoras, servidores de mídia, câmeras IP, SmartTVs, entre outros. Vulnerabilidades no Portable UPnP SDK e no MiniUPnP permitiriam a atacantes abrir um shell de comandos no sistema vulnerável, realizar ataques de negação de serviço (DDoS) e de execução de código remoto. Equipamentos da Belkin, Cisco, Netgear, D-Link e Asus estariam vulneráveis.

E o que isso significa? Que os roteadores wi-fi e roteadores domésticos pode ser explorados por governos ou ciber criminosos, podendo ser reconfigurados para controlar e redirecionar os acessos dos usuários.

E isso não é ficção científica: em 2012 o Fabio Assolini, da Kaspersky, divulgou que um cibre criminoso Brasileiro conseguiu invadir 4.5 milhões de roteadores DSL explorando uma vulnerabilidade em alguns fabricantes, e usava os modens invadidos para redirecionar as vitimas para sites falsos alterando a configuração de DNS dos modens.

[Segurança] Reportagem sobre segurança na rede WiFi doméstica

Fiquei contente ao ver que o Jornal da Globo fez uma reportagem muito caprichada sobre a importância das empresas e dos usuários domésticos tomarem cuidado com a segurança de suas redes wireless.

A reportagem "Aprenda como se proteger dos hackers", que foi ao ar nesta quinta-feira, dia 18/02, mostrou como as redes wireless são vulneráveis e deu dicas sobre o que um usuário, que tenha uma rede sem fio em casa, pode fazer para se proteger de invasões.

"Quem mora em apartamento sabe muito bem: dá para pegar uma caroninha na internet sem-fio do vizinho sem pagar nada. Redes abertas ou que usam padrões de segurança antigos são um perigo".

A reportagem explica o que é uma rede wireless (WiFi) e, para ilustrar o risco de invasão, usa como exemplo a rede de uma pequena farmácia em Agudos, no interior de São Paulo. Em menos de 5 minutos, o meu colega Filipe Balestra (um dos organizadores da H2HC) consegue entrar na rede da farmácia. A equipe da TV Globo consultou colegas experientes no mercado. Além do Filipe, em seguida a reportagem entrevistou o Ghassan e o Daniel Garcia, ambos da CISCO, que falam um pouco sobre como funciona a segurança em redes sem fio. Para finalizar, ninguém menos que o Dr. Mariano, delegado da 4ª Delegacia de Crimes por Meios Eletrônicos de São Paulo, lembra que o Brasil ainda não possui uma legislação específica que auxilie no combate a crimes por meios eletrônicos.

De uma forma geral, a reportagem concentra a dica no uso do protocolo WPA2 pela rede wireless. Isto deve ser configurado no roteador (access-point) e no micro do usuário. Também devo lembrar que uma dica simples e fundamental consiste em manter sempre todos os sistemas atualizados, incluindo os computadores e até mesmo os roteadores wireless que o usuário possuir (neste caso, envolve a atualização do firmware do dispositivo, o que infelizmente não é algo tão simples para o usuário final quanto é utilizar o "Windows Update" em seu computador, por exemplo).

Uma boa referência adicional para este assunto é a Cartilha de Segurança para Internet do Cert.br. Ela tem um capítulo específico com dicas de segurança para redes de banda larga e redes sem fio.

[Segurança] Gripe WiFi

O portal ars technica publicou recentemente um artigo interessante entitulado "WiFi flu: viral router attack could hit whole cities" onde apresenta o trabalho de alguns pesquisadores da Universidade de Indiana (veja o texto original, em PDF, "WiFi Epidemiology: Can Your Neighbors’ Router Make Yours Sick?") que simularam a possibilidade de um verme atacar access points WiFi e qual seria o impacto desta ameaça.

De acordo com o estudo, um ataque direcionado aos roteadores wireless e que se espalhasse através deles poderia rapidamente e facilmente se propagar por toda uma cidade. Os pesquisadores utilizaram dados reais sobre a cobertura WiFi em 7 cidades americanas e criaram um modelo matemático para simular a infecção causada por um suposto malware que se propagaria de roteador wireless a roteador wireless através de falhas simples (acesso remoto através de exploração de redes protegidas por protocolo WEP e roteadores utilizando senhas de acesso facilmente descobertas - senhas default ou descobertas através de ataque de dicionário).

Os cenários de infecção obtidos para as cidades analisadas (Chicago, Boston, New York, San Fransisco Bay area, Seattle, e Indiana do Norte e do Sul) mostram que uma infecção inicial em um pequeno número de roteadores WiFi pode atingir milhares de dispositivos em uma semana, com a maioria sendo atingida nas primeiras 24 horas. Em uma epidemia hipotética em Chicago, por exemplo, o código malicioso rapidamente se propagaria nas redes WiFi nas primeiras horas, tomando controle de aproximadamente 37% dos routers após 2 semanas.

O artigo, embora teórico, mostra como uma ameaça deste tipo pode causar um grande impacto. Embora ainda não tenhamos tido notícias de algo similar, este tipo de situação já vem sendo previsto por diversos especialistas. A infecção de um roteador wireless ocorre quando um código malicioso, especialmente criado para este fim, utiliza um roteador (ou outro tipo de dispositivo WiFi) previamente infectado para se comunicar com um outro sistema vulnerável, através de sua interface administrativa pelo canal wireless. Este acesso entre os dispositivos pode ser facilitado por alguma falha de configuração (como uso de senhas fracas) ou vulnerabilidades conhecidas. Uma vez que o malware estabelece o acesso administrativo, ele faria o upload de seu código no firmware do roteador (um processo simples, que leva poucos minutos).

Este tipo de ameaça já foi apresentado na Defcon 14, em agosto de 2006, pela equipe do Church Of WiFi (na palestra "New Wireless Fun From the Church Of WiFi"). Na ocasião, eles apresentaram um bug real nos roteadores wireless de um grande fabricante e como, teoricamente, isto poderia ser utilizado por um código malicioso.

As duas melhores formas de se prevenir contra este tipo de ameaça continuam sendo o uso de criptografia nas redes wireless (WEP e WPA, principalmente esta última) e o uso de senhas fortes para controle de acesso (tanto no acesso dos usuários a rede quanto no acesso administrativo aos equipamentos).