Transkrypcja i źródła
Kto Office’a makrem dziabie
Ten nicienie znajdzie w schabie
A kto luki szuka w Cisco
Wsiąknie w rytm italo disco.
Witam w 16. odcinku cyklicznej audycji random:press. Dzisiejszy podcast trochę krótszy, bo czas na przygotowania do odcinka zjadły poprawki kompatybilności z nową wersją generatora stron statycznych, który służy do produkowania zawartości strony WWW randomseed.pl.
No więc zaczynamy, a dzisiaj usłyszymy o:
- wymierzonych w Excela atakach bazujących na Power Query;
- automatycznym tłumaczeniu form fonetycznych z użyciem sztucznej inteligencji;
- krytycznych usterkach w oprogramowaniu Cisco Data Center Network Manager;
- kampanii inwigilacyjnej wymierzonej w systemy operatorów telefonii komórkowej;
- wykorzystywaniu funkcji AlwaysInstallElevated w systemach Windows do rozszerzania uprawnień.
1.45
„Mimecast Threat Center discovered a weakness in the Microsoft Excel tool that allows embedding malicious payloads remotely”, Mimecast Threat Center
Zespół Mimecast Threat Center chwali się w swej witrynie nowym wektorem ataków wymierzonych w popularny arkusz kalkulacyjny Excel. Wykorzystuje on mechanizm Power Query, a rezultatem jego przeprowadzenia jest osadzenie i uruchomienie w arkuszu stosu Dynamic Data Exchange (DDE), aby z jego pomocą zdalnie kontrolować działanie aplikacji.
Power Query to narzędzie pozwalające użytkownikowi integrować arkusze z różnymi źródłami danych, np. z dokumentami tekstowymi, bazami danych, innymi arkszami czy nawet zawartością stron WWW. Taka integracja może być jednorazowa (wtedy dane są wczytywane ze źródła i kopiowane do arkusza) lub dynamiczna (dane są aktualizowane na przykład przy każdorazowym otwieraniu dokumentu Excela).
Okazuje się, że funkcje Power Query sięgają jeszcze dalej, niż opisywane wczytywanie danych. Pozwalają na wykonywanie poleceń, które pochodzą z odpowiednio spreparowanego źródła danych. Łącząc to z innymi rodzajami ataków, można pobrać i uruchomić dowolny kod w systemie użytkownika, czyli w praktyce np. wirusa czy backdoora.
Wygląda to tak, że w jakiejś zewnętrznej lokalizacji dostępnej z użyciem protokołu HTTP umieszcza się plik wykonywalny z exploitem (to tak zwany ładunek, ang. payload), a następnie wywołuje się skrypt PowerShell w celu pobrania i uruchomienia niebzpiecznej zawartości.
Specjaliści, którzy poinformowali o odkryciu, opracowali też dodatkowe sposoby przełamywania zabezpieczeń, np. obchodzenie konieczności podwójnego klikania, aby zatwierdzić automatyczne wykonanie polecenia czy zapobieganie wykryciu przez zapory sieciowe (przez umiejętne manipulowanie nagłówkami HTTP).
Microsoft opublikował poradnik, w którym zawarto sposoby ustawiania preferencji zabezpieczeń, aby zapobiegać tego rodzeju atakom w pakiecie Office.
4.00
„Google’s AI can now translate your speech while keeping your voice”, MIT Technology Review
Serwis MIT Technology Review informuje, że zespół Google’a zajmujący się sztuczną inteligencją przedstawił komputerowo wymodelowaną sieć neuronową, która pomaga tworzyć „odciski głosu” (ang. voiceprints) na podstawie załadowanych próbek, a następnie korzystać z takiego wzorca, aby dokonywać syntezy mowy.
Czy to znaczy, że niedługo każdy będzie mógł nagrać własny głos, a następnie przeczytać go, jako ktoś zupełnie inny, na przykład: „Tomasz Knapik”?
Póki co efekty nie są rewelacyjne, ale obrany kierunek wydaje się dobry. Badacze w prototypie użyli mechanizmu do tłumaczenia w taki sposób, że gdy odczytuje on tłumaczone kwestie, wyjściowy, syntetyzowany głos przypomina w barwie i tonie nagraną próbkę pochodzącą od konkrentej osoby.
Na tym jednak nie koniec nowinek, bo okazuje się, że sam proces tłumaczenia różni się od tego, do którego jesteśmy przyzwyczajeni. Zamiast z zamianą mowy na tekst i vice versa mamy tam do czynienia z bezpośrednim przekształcaniem strumienia fonetycznego z jednego języka na drugi!
Dokładniej rzecz ujmując, Translatotron – bo tak nazwano prototypowy system – składa się z trzech głównych składników: pierwszy z użyciem sztucznej sieci neuronowej dokonuje transformacji częstotliwościowej dźwięku w czasie, aby zmienić język wejściowy na wyjściowy; drugi syntetyzuje dźwięk na podstawie wcześniej uzyskanych danych wyjściowych; trzeci modyfikuje cyfrowy zapis akustyczny tak, aby brzmiał podobnie do wejściowego.
To nowatorskie podejście przypomina trochę znane od dobrych kilku lat rozpoznawanie znaczenia tekstów przez sieć neuronową na podstawie nie zdekodowanego zapisu alfabetycznego, lecz sekwencji glifów analizowanych linia po linii.
Myślę, że w dłuższej i szerszej perspektywie taka technologia może zmienić kształt branż, w których korzysta się z ludzkiego głosu. Może więc za jakiś czas podcasty generował będzie za mnie jakiś skrypt…
6.20
„Cisco Data Center Network Manager Arbitrary File Upload and Remote Code Execution Vulnerability”, Cisco
„Cisco Data Center Network Manager Authentication Bypass Vulnerability”, Cisco
Uwaga administratorzy urządzeń sieciowych i żwawi wizażyści infrastruktur! Dwie krytyczne usterki bezpieczeństwa w oprogramowaniu Cisco Data Center Network Manager już za rogiem.
Pierwsza zlokalizowana jest w webowym interfejsie administracyjnym i pozwala potencjalnemu, zdalnemu napastnikowi na wprowadzenie do urządzenia dowolnych plików. Intruz nie musi być uwierzytelniony, żeby atak się powiódł, a przyczyną problemu jest niedopatrzenie w module kontroli dostępu. Następstwem umieszczenia dowolnych plików może być nadpisywanie systemowych zbiorów, włączając w to przemycanie i wykonywanie dowolnego kodu.
Druga podatność na zagrożenie bezpieczeństwa w tym samym oprogramowaniu spowodowana jest usterką w tym samym komponencie i pozwala potencjalnemu, zdalnemu napastnikowi na obejście mechanizmów uwierzytelniania i zlecenie wykonania działań, które wymagają administracyjnego poziomu dostępu. Przyczyną tej luki jest błąd w zarządzaniu sesjami użytkowników, a intruz może wykorzystać ją do rozszerzenia uprawnień, czyli uzyskania wszechmogącego poziomu zarządzania oprogramowaniem, a więc i podlegającymi mu urządzeniami sieciowymi.
Firma Cisco wydała już odpowiednie aktualizacje, które warto jak najszybciej zainstalować, ponieważ nie istnieją skuteczne obejścia wspomnianych problemów.
7.48
„What the cell…? Telcos around the world were so severely pwned, they didn’t notice the hackers setting up VPN points”, The Register
„Hackers are stealing years of call records from hacked cell networks”, TechCrunch
Ogólnoświatowa kampania ataków wymierzona w operatorów telefonii komórkowej zbiera obfite żniwo. Napastnikom udało się w ciągu dwóch ostatnich lat zinfiltrować infrastruktury telekomunikacyjne przynajmniej dziesięciu dużych telekomów operujących w różnych miejscach świata. Co ważne, ta operacja szpiegowska nadal trwa.
O procederze informuje The Register i serwis TechCrunch, które powołują się na trudniącą się cybernetycznym kontrwywiadem firmę Cybereason z USA. Nadała ona kampanii nazwę Operation Soft Cell.
Napastnicy, gdy tylko udawało im się przeniknąć do infrastruktur operatorskich, instalowali tam – poza backdoorami – własne usługi VPN, dzięki którym w prosty sposób mogli zacierać ślady na poziomie sieciowym i uzyskiwać bezpośredni dostęp do wewnętrznych podsieci. Większość z tego typu usług nie została przez lata wykryta przez personel techniczny telekomów.
Celem ataków było przede wszystkim ciągłe pozyskiwanie dostępu do historii połączeń abonentów i lokalizacji ich urządzeń. Aby maskować działania, intruzi dokonywali połączeń tylko wtedy, gdy to konieczne. Czasem wstrzymywali aktywność na czas kilku miesięcy, żeby następnie połączyć się i pobrać zebrane raporty.
Jeżeli chodzi o punkty wejścia, to napastnicy przełamywali zabezpieczenia popularnych usług sieciowych, np. serwera Microsoft IIS, aby – po wejściu do systemu operacyjnego – prowadzić dalszy rekonesans. Smakowitym kąskiem były dla atakujących serwery usług katalogowych, na bazie których funkcjonowały mechanizmy uwierzytelniania (jak np. Active Directory czy eDirectory). Tam zakładali sobie odpowiednio uprawnione konta.
Sprawa jest rozwojowa, postaram się informować o napływających informacjach dotyczących wymienionych kwestii. Warto jednak zapamiętać, że bezpieczeństwo informacyjne bazujące na zaufaniu nie zawsze popłaca.
9.57
„Windows Privilege Escalation Via AlwaysInstallElevated Technique”, HacknPentest
W serwisie HacknPentest możemy znaleźć ciekawy sposób ataków rozszerzania uprawnień w systemach Windows. AlwaysInstallElevated jest funkcją tych OS-ów, która intruuje je, że każdy użytkownik może instalować pakiety oprogramowania w formacie MSI, a na czas tej operacji uprawnienia zostaną podniesione do administracyjnego poziomu. Przydaje się to szczególnie w domowych instalacjach czy niewielkich środowiskach biurowych.
Jak nietrudno się domyślić AlwaysInstallelevated trzeba najpierw włączyć – w fabrycznej konfiguracji systemu Windows opcja ta jest wyłączona ze względów bezpieczeństwa. Opublikowany przez specjalistów z HacknPentest samouczek zawiera sposoby na jej ręczne bądź automatyczne włączenie. Gdy użytkownika da się wmanewrować w uruchomienie trojana, który tego dokona, albo gdy trafi się na system, w którym administrator wcześniej dokonał zmiany ustawienia, można prostym, domowym sposobem użyć tego trybu instalacji do rozszerzania uprawnień i wykonywania dowolnego kodu.
Oczywiście nie jest to jakiś nowatorski, samodzielny atak wykorzystujący nową podatność na występowanie błędu bezpieczeństwa, ale pokazuje – ilustrując to przykładami w PowerShellu – jeszcze jedną ścieżkę „awansu” ze zwykłego użytkownika do administratora.
To już wszystko w tym wydaniu random:pressu. Życzę trochę niższych temperatur i do usłyszenia za tydzień.
A custodianem dzisiejszego odcinka ponownie był Adam Ch.
Pozdrawiam!