How-Tos – SWITCH Security-Blog

A file that wasn’t there

One of our minions (he was introduced in this blog entry a while ago) recently came to us asking for advice: he was about to automate yet another task, by using his Python-fu, and realized that he misses entries in the file system as well as in the registry.

Notably, he only sees this behaviour on 64bit-versions of the Windows operating system:

Windows Explorer (64bit) vs Python application (32bit) — Left: Windows Explorer (64bit) lists several folders and files. Right: Python application (32bit) only lists the folder Microsoft.

The left image shows the folder C:\Windows\System32\Tasks as seen in the Windows Explorer, the right image as seen in a simple 32bit-python application. Only the subfolder Microsoft is listed there. Something is amiss.

Below is the code to produce the right image, when executed in a 32bit-version of Python:

import glob, os
for pathfilename in glob.glob(r"C:\Windows\System32\Tasks\*"):
    print pathfilename

Continue reading “A file that wasn’t there”

IT-Security-Links #57

Why antivirus remains a useful approach to security — also if somewhat antiquated and ineffective (Brian Krebs).
The Core Infrastructure Initiative announced their first projects: The Steering Committee has prioritized Network Time Protocol, OpenSSH and OpenSSL (including a security audit) for the first round of funding.
GPG for Journalists: How Edward Snowden explained mail encryption to Glenn Greenwald – a historic video.
You don’t use Gmail because you don’t want to share your e-mails with Google? Fine, but what about your friends?
How to store user passwords safely: What are again the differences between Hashing and Encrypting?
How to detect Google Glass on the local wireless network (and deauthenticate them). A nice little script by Julian Oliver.
And nothing from the big-security-breach-with-stolen-user-information-department? Sure! Ebay. 128 Million users affected.

IT-Security-Links #55

Verizon published their 60-page “2014 Data Breach Investigations Report“. They identified nine patterns that together describe 92% of the confirmed data breaches they collected in 2013.
FireEye identified a new Internet Explorer (IE) zero-day exploit used in targeted attacks. In the meantime a fix is available from Microsoft, also for Windows XP.
What not to do in a Cyberattack: An article on How to keep calm and avoid common mistakes in an incident response operation.
ENISA Cyber Security Exercise: More than 400 Cyber security professionals from 29 countries and 200 organisations are involved in a biannual cyber exercise coordinated by the European Union Agency for Network and Information Security (ENISA).

German:

Der 30-seitige Jahresbericht zur Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken (PDF) ist online verfügbar. Inside-IT bericht darüber.
OpenDataCity hat eine Visualisierung der Kommunikations- und Standortdaten des schweizerischen Nationalrats und grünen Fraktionspräsidenten Balthasar Glättli erstellt.

IT-Security-Links #52

Microsoft released a Security Advisory this week to notify customers that opening an e-mail containing a crafted RTF file in Outlook may hand the computer to hackers. Microsoft provides a fix-it tool. Another option: Read your e-mail in plain text.
The Full Disclosure security mailing list has been shut down after 12 years and more than 91.500 posts …
…and reborn under new management after a few days! You need to manually subscribe if you wish to be a member.
Amazon Web Services (AWS) is urging developers using GitHub to ensure they haven’t inadvertently exposed their log-in credentials. A search on GitHub reveals thousands of results where code containing AWS secret keys. (How to remove sensitive data on GitHub.)
NTP DDoS Attacks: Since December 2013 there has been a dramatic rise in NTP traffic, much of it due to NTP amplification attacks. According to the Open NTP Version (Mode 6) Scanning Project, currently 4.6 million distinct IPs (IPv4) respond to a NTP Mode 6 query.
Operation Windigo: Hackers compromised more than 25.000 servers and used them for stealing SSH credentials, sending an average of 35 million spam messages on a daily basis and infecting visitors with malware. ESET published a 69-page paper (PDF) with details of the large and sophisticated operation.
Data Privacy: Is it an out of date concept or more important than ever?

German:

Die Digitale Gesellschaft Schweiz hat ihren Swiss Lawful Intercept Report 2014 veröffentlicht. Dieser dokumentiert die Überwachungsaktivitäten der Kantone und des Dienstes Überwachung Post- und Fernmeldeverkehr (ÜPF).

IT-Security-Links #50

The ICC Belgium published a 72-page Cyber Security Guide including a Security Self Assessment Questionnaire.
Have you heard about the Security Bloggers Network? It’s the largest collection of information security focused blogs and podcasts in the world with almost 300 different blogs and podcasts included. They offer one feed of all the sites. (Sub-feeds for specified categories are in the works.)
Mobile Malware: Ten Years of Mobile Malware – From Symbian Worm to Tor-Based Android Backdoor, an overview by Softpedia with a nice graph from Symantec. Also Kaspersky published an article on Mobile Malware Evolution.
On 20th February 2014 the Niklaus Wirth Birthday Symposium took place in Zurich. Slides and video recordings of the talks are freely available. We recommend Software Defenses Using Compiler Techniques, a talk about compiler-generated software diversity as a defense mechanism against cyber attacks.
Anatomy of a “goto fail” – Apple’s SSL bug explained, by Sophos.

IT-Security-Links #47

Internet of things and botnets: According to Proofpoint more than 750 000 phishing and spam e-mails have been launched from so called “Thingbots” including televisions and a fridge. Really? Arstechnica did an analysis of the report and is skeptical. “In any case: it could happen, and sooner or later it will.” (Bruce Schneier)
Win32/Sefnit: Despite you are not using Tor maybe your computer does. This blogpost from Microsoft explains how the Tor client service, added by Sefnit, is posing a risk to millions of machines. What you’ll learn also: Microsoft has the ability to remotely remove programs en masse from people’s computers.
By exploiting bugs in Google Chrome, malicious sites can activate your microphone, and listen in on anything said around your computer.
NSA “Dishfire” program: The NSA collects and analyses millions of SMS text messages daily and extracts location, contacts and financial transactions – ‘The Guardian’ wrote.
Surveillance & Misuse: ‘Die Zeit’ did an interview with Morgan Marquis-Boire, Security Engineer at Google and researcher at the Citizen Lab of the University of Toronto.
DDoS: Who is commandeering your hosting center? DDoS attacks being launched against business web sites and networks often originate within web hosting centers.
EncFS: Taylor Hornby published a report of an EncFS security audit.
Windows Forensics is the topic of Packetpushers Healthy Paranoia Show 21 – surveillance-free and EFF-approved 😉

VPN Traffic Leakage in Dualstack-Umgebungen

In einem aktuellen Internet-Draft (draft-ietf-opsec-vpn-leakages-02) beschreibt Fernando Gont Gefahren, die von VPN-Software ausgeht, welche nicht IPv6-fähig ist. Eine Zusammenfassung:

Führen Organisationen IPv6 auf ihren Client-Systemen ein, ist die bevorzugte Strategie in der Regel die, dass IPv6-Konnektivität zusätzlich zur bestehenden IPv4-Anbindung hergestellt wird (“Dual Stack”). Wenn diese Clients sich nun per VPN mit dem nächsten Office-Standort verbinden, sei es z.B. vom Home-Office oder Kunden aus, dann sollte die Verbindung über diese VPN-Schicht für eine verschlüsselte Datenübertragung sorgen.

Das Problem ist nun, dass heute nicht alle VPN-Clients IPv6-fähig und für das Dual-Stack-Szenario gerüstet sind. Sie kennen vereinfacht gesagt kein IPv6. Wenn nun eine VPN-Verbindung aufgebaut wird, kümmern sich diese VPN-Clients wie gewohnt um den IPv4-Traffic, z.B. indem sie die Default Route ändern um den Traffic in den VPN-Tunnel zu leiten. IPv6-Traffic wird aber weiterhin über die normalen IPv6-Routen geleitet und bleibt damit von der VPN-Verschlüsselung ausgenommen. Integrität und Vertraulichkeit der möglicherweise sensiblen Daten ist dadurch nicht mehr gewährleistet.

Continue reading “VPN Traffic Leakage in Dualstack-Umgebungen”

Pretty bad Privacy – Wer nicht verschlüsselt…

Als der Amerikaner Phil Zimmermann 1991 die erste Version seines Programms ‘Pretty good Privacy’ (PGP) herausbrachte, war es sein Ziel, dass Bürger und Bürgerbewegungen, sei es in den USA oder ausserhalb, Nachrichten so austauschen können, dass diese sicher vor dem Zugriff durch Geheimdienste sind.

Mehr als 20 Jahre später ist dies nun durch PRISM und Co. mehr denn je zu einem aktuellem Thema geworden.

Damals – 1991 – herrschten Exportbeschränkungen für Kryptosysteme mit einer Schlüssellänge von mehr als 40 Bit. Daher wurde der PGP-Programmcode nach einigem Hin und Her 1995 als über 900 Seiten starkes Buch herausgegeben (“PGP Source Code and Internals”), womit der Export legal wurde. Jenseits der US-amerikanischen Grenzen machten sich dann Dutzende Freiwille daran, den Quellcode aus dem Buch wieder abzutippen und zum lauffähigen Programm zu kompilieren. Continue reading “Pretty bad Privacy – Wer nicht verschlüsselt…”

IPv6 für (Security-)Manager – Teil 4: Loslegen, aber sicher!

Warum IPv6 ein IT-Management-Thema ist, wie das Big Picture der IPv6-Integration aussehen kann und welche möglichen Treiber es gibt, das haben wir uns in den vergangenen 3 Teilen dieser Serie angeschaut. In diesem Teil möchte ich nun anhand von 5 Punkten aufzeigen, wie Sie das Thema IPv6-Integration in Ihrer Organisation sicher auf den Weg bringen können:

1. Operativen Betrieb absichern – IPv6 ist bereits da!

Als aller erstes sollten Sie das latente Risiko durch existierende Dual-Stack-Rechner in Ihrer IT-Umgebung einschätzen: Alle modernen Betriebssysteme sind IPv6-enabled und können mittels Autokonfiguration “von aussen” konfiguriert werden. Damit stehen einem potenziellen Angreifer einige IPv6-spezifische Attacken zur Verfügung, ohne dass Sie jemals IPv6 bewusst konfiguriert und ausgerollt haben. Auf den Systemen wird durch die Autokonfiguration ausserdem “eine zweite Tür geöffnet”, für die bestehende Sicherungsmechanismen (beispielsweise IP-basierende ACLs) unter Umständen nicht greifen. Continue reading “IPv6 für (Security-)Manager – Teil 4: Loslegen, aber sicher!”

Was kommt nach DNS Response Rate Limiting?

Werden autoritative DNS-Server über reflektierende DNS-Angriffe missbraucht, zum Beispiel um in einem Distributed Denial of Service (DDoS) Angriff ein Zielsystem zu überlasten, so ist eine der vorgeschlagenen Massnahmen DNS Response Rate Limiting (DNS RRL) zu aktivieren.

SWITCH hat auf diesem Blog bereits in früheren Posts über DNS Angriffe und Massnahmen berichtet. In diesem Artikel möchten wir unsere neusten Beobachtungen im Betrieb von DNS RRL teilen und zeigen, dass es Anzeichen gibt, dass die Angreifer die Schwächen von DNS RRL ausnutzen um weiterhin ihre Angriffe durchführen zu können.

Stärken und Schwächen von DNS RRL
Für viele autoritative DNS Serverbetreiber war DNS RRL eine ersehnte Lösung um die Serverlast und vor allem die ausgehende Serverbandbreite aufgrund von reflektierenden DNS-Angriffen einzuschränken. DNS RRL lässt für einen IP-Adressbereich nur eine bestimmte Anzahl identische DNS Antworten zu. Wird der konfigurierte Schwellwert überschritten, verwirft DNS RRL zum einen die DNS-Antwort. Für einen anderen Teil der Antworten wird das “Truncated”-Bit (TC) in der Antwort gesetzt, damit wird der DNS Resolver aufgefordert, die Anfrage noch einmal über TCP zu stellen. Da bei reflektierenden DNS-Angriffen die Quelladresse gefälscht wird, kommt nie eine Verbindung über TCP zu Stande. Im Gegensatz zu Firewall-Regeln hat der DNS RRL Ansatz den Vorteil, dass bei einem leicht geänderten Angriffs-Pattern (z.B. Query-Name ändert) die implementierten Firewall-Regeln nicht angepasst werden müssen. Kurz, DNS RRL ist sehr effektiv gegenüber Angriffen, bei denen DNS-Anfragen gesendet werden, welche in identischen Antworten resultierten.
Continue reading “Was kommt nach DNS Response Rate Limiting?”

IT-Security-Links #29

DEF CON 21, Black Hat 2013 and the NSA: We need some time apart – DEF CON founder Jeff Moss has asked federal agents not to attend this year’s DEF CON. At the same time the Director of the NSA, General Keith Alexander, will talk at Black Hat USA 2013.
Android Security: Last week we reported about a vulnerability that allows to modify a legitimate, digitally signed Android application (.APK-File) without breaking the app’s cryptographic signature. In the meantime Google released a fix to OEMs. But only a few have released the patch to customers yet. A proof of concept exploit code is there, released by Pau Oliva Fora. And yes, there’s also a “Master key” Security Scanner App available from Bluebox to test if your device is vulnerable.
PRISM: How Microsoft collaborates with the NSA. An article in ‘The Guardian’ which is worth reading (not only) for Hotmail, Outlook.com, SkyDrive and Skype users.
DDoS: To provide insights on the latest DDoS threats – and effective mitigation strategies – Information Security Media Group has launched a DDoS Resource Center.
Windows 7 Reinstall-How-to: Your PC has become infected with malware? You don’t know how to correctly reinstall your system, and reduce the risk of becoming reinfected at the same time? Have a look at the new How-to from EBAS. (Available in 4 languages.)

IT-Security-Links #24

HITB2013AMS: Videos from Day 1 of the the Security Conference ‘Hack in the box’ are now available on youtube.
FIRST: The first security podcasts of the 25th Annual FIRST Conference podcast series can be downloaded.
Want to improve the security of your SSH private key files? Here’s how it works.
Brian Krebs on a Denial-of-service-for-hire-Service with FBI backdoor.
Read in the NY Times Online how sales experts sell hacker services at a trade show in China.
Twitter now provides two-step authentication: Read how you can activate it and if it makes sense.
Kaspersky released information on IT Threat Evolution in Q1/2013.

Jekyll or Hyde? Better browse securely

A Guest Article by Stefan Lüders.*

Surfing the web is like walking London in 1886. Usually you meet nice and lovely Dr. Jekyll, interact with him, and all fine, cosy and perfect. But in other circumstances, during the night, you might hit on evil and malicious Mr. Hyde. He just wants your money and your secrets, or abuse you. As in the novel by Stevenson, the good and the bad web pages can be very close together. Continue reading “Jekyll or Hyde? Better browse securely”

IT-Security-Links #18

U.S. banking institutions are now in the fifth week of distributed-denial-of-service attacks. Read the Lessons learned on bankinfosecurity.com
A more or less new malware called “Darkleech” infected thousands of Apache servers. The attackers retain control of the servers they infect by replacing the SSH daemon with a modified one. Read in the sucuri.net blog how to identify the infection.
Advanced Persistent Threats get more advanced, persistent and threatening. At least according to John Leyden who reviewed FireEye’s latest advanced threat report.
Even security professionals have bad password security habits. That’s the result of a survey done at RSA Conference 2013.

German:

Der SWITCH-CERT Security- und Privacy-Report (PDF) für März ist zum kostenlosen Download verfügbar.
Wie man USB-Sticks mit TrueCrypt verschlüsselt, dazu gibt es auf botfrei.de eine neue Anleitung.

IPv6 Security und Hacking – Vortrag beim Swiss IPv6 Council

Im Rahmen einer neuen Tech-Event-Reihe, die das Swiss IPv6 Council in Kooperation mit Digicomp durchführt, hatte ich am vergangenen Montag die Gelegenheit, das Thema “IPv6 Security und Hacking” vorzustellen. Mit rund 70 Teilnehmern stiess auch diese zweite Veranstaltung der Reihe auf reges Interesse.