Onderzoekers van F-Secure heeft een indrukwekkende nieuwe aanval opgericht, gebruik te maken van HP-printers als een onvoorziene aanval oppervlak. printing Shellz (PDF) is een one-click-aanval, waarbij alleen het bezoeken van een kwaadaardige webpagina is voldoende om een shell te krijgen evenals reverse proxy geïnstalleerd om een printer op het exact hetzelfde netwerk. De onderstaande demo maakt gebruik van een cross-site printing (XSP) aanval op de kwaadaardige afdruktaak naar de printer te sturen zonder enige vorm van verdere interacties.
De kwetsbaarheid gebruikt om een voet tussen de deur te krijgen is in precies hoe type 2 lettergrootte kunt ontleed. De charstrings gebruikt in deze tekenstijl beschrijvingen zijn in wezen beetje klein programma’s van hun eigen, die worden uitgevoerd op de printer om elk teken in het lettertype definiëren. Het mag dan ook geen verrassing dat de tolken voor deze bits programma’s, die obscure evenals snel vergeten, zijn vol van schetsmatig code evenals kwetsbaarheden. De HP printer ze te maken hebben is geen uitzondering, maar ook hier de tonnen operator is de boosdoener. Deze opdracht is officieel geëlimineerd uit de type 2-specificatie, waarschijnlijk als gevolg van de veiligheid problemen die het vertegenwoordigt, maar oudere parsers kunnen nog hebben ondersteuning voor het. ton is iets meer dan een memcpy (), maar ook omdat de parser de argumenten niet goed valideert, dit maakt het mogelijk voor willekeurige geheugen overschrijven. De gekozen om een functie pointer van nog een functie te overschrijven onderzoekers hen de mogelijkheid om naar een soort code apparaat ze zouden kunnen vinden. met oordeelkundige gebruik van de functie longjmp (), kunnen ze een vals stack, evenals sprong rechtstreeks bouwen, wat resulteert in het uitvoeren van willekeurige code.
Er is nogal een lange sectie over precies hoe ze reverse engineered firmware-update dataformaat van de printer, om te bepalen welke ontwerpen zijn nog steeds kwetsbaar voor de aanval. Het [bleek] een onnodige afleiding, als extractietool reeds beschikbaar. laat dit een les voor ons allen zijn, maken gebruik van een browse motor voor kosten uur doet het werk van iemand anders misschien al evenals gepubliceerd hebben gedaan. De laatste gedachte van hun onderzoek was dat 38 verschillende HP-printers waren kwetsbaar voor de aanval. Updates beschikbaar zijn, evenals de omstandigheden van dit beveiligingslek maakt uitbuiting waarschijnlijker. Ten eerste, de beoordeling hier is vrij goed, evenals men zou verwachten dat de exploit snel voldoende door de betrokken partijen opnieuw worden gemaakt. Ten tweede, het bijwerken van de printer firmware wordt over het algemeen nogal een karwei, dus het is waarschijnlijk dat ongepatchte gadget alomtegenwoordig zal zijn voor vele jaren te komen.
ms-officecmd
Uitvoering van externe code exploits zijn soms erg moeilijk, maar ook dan is er gevallen zoals MS-officecmd. Dit is nog een extra exemplaar van OS verkeerd gebruik van URI’s. [Fabian Bräunlein] en [Lukas Euler] zochten met de URI-handlers in Windows 10, evenals ontdekte de ms-officecmd regeling. Een beetje van het controleren van blootgelegd dat het plan verwachte JSON argumenten, die echt raakte ze opgewonden, omdat het impliciet complexiteit.
Zodra ze ontdekten de juiste JSON stijl voor de URI-regeling, gingen ze op zoek naar een methode om het te misbruiken. Het lek ontdekten ze introduceert teams met de –gpu-launcher vlag. Deze vlag maakt opgeven van een willekeurige applicatie te draaien op het opstarten. gebruik te maken van Chromium-afgeleide browsers, is er een pop-up vraagt toestemming om de URI uit te voeren. Aan de andere kant, traditie rand evenals IE11 in staat een commando Javascript klik () om de link te activeren evenals telefoongesprek de URI zonder individuele interactie. Microsoft nam een kijkje op de bug rapport, evenals sloot hem zeggen: “Helaas is het rapport blijkt af te hangen van social engineering te bereiken, die niet de betekenis van een beveiligingsprobleem zou voldoen.” Gelukkig dat misverstand snel uit de weg geruimd, maar de eerste patch het probleem niet herstellen, evenals Microsoft betaalde 10% van wat de kwetsbaarheid moet de moeite waard zijn geweest. De zero-click kwetsbaarheid is vastgesteld, maar het is nog steeds zo goed eenvoudig om commando’s te injecteren in het veld URI.
AI Ontdekt raar TLS Certificaten
NCC groep mist uiteraard de grote oude dagen, toen TLS-encryptie algemeen bedoeld webverkeer geldig was. OK, het was misschien nooit zo eenvoudig. Hoe dan ook, [Margit Hazenbroek] opgemerkt dat malware soms haar activiteiten binnen TLS verbergt, maar als je echt kijken naar de TLS-certificaat in gebruik is, heeft de neiging vreemd te kijken. Het voorbeeld gegeven van de Ryuk ransomware is een geweldig – de organisatie staat afgebeeld “lol”. Het is heel duidelijk voor een mens dat dit vreemd, maar het is niet precies praktisch om elk certificaat gebruikt op uw netwerk te inspecteren.
We hebben wel een tool die in staat zijn om een geautomatiseerde test te doen voor weirdness, machine learning. Als we voldoende goede voorbeelden van geldige certificaten en twijfelachtige te kunnen bieden, kan een AI ontwerp te kunnenFlag Twijfelachtige Certs in echte tijd. Met behulp van halve ruimte-bomen, een slimme methode om de vreemdheid van een geleverde voorbeeld te classificeren. NCC-groep heeft succes gehad bij beproevingen, maar ook heeft het concept in hun SECOPS-centra ingezet. Met de beschikbaarheid van open source ML-frameworks stopt extreem beetje elk type van ons van het opnieuw implementeren van het concept zelf of het gebruik van AI voor andere, soortgelijke taken.
Meer NPM-boosaardigheid
De stroom Rotton NPM-bundels lijkt niet te verminderen, maar nog 17 meer werden geëlimineerd uit de repository. De meesten van hen zijn het typotypo’s van de tuin dat we eerder hebben gezien. Ten minste één is het gebruik van de verwarringaanval van de afhankelijkheid, waar de kwaadwillende bundel de exact dezelfde als een eigen pakket wordt genoemd, in de hoop dat het doelwerkgereedschap van het doelwit de kwaadwillende versie zal pakken in plaats van hun eigen persoonlijke pakket. Evenzo fascinerend is dat een aantal van deze kwaadwillende bundels proberen om onfeilbare tokens te nemen, terwijl velen gewoon sfeervariabelen grijpen, in de hoop geheimen te ontdekken.
Luchtgaten
En ten slotte, als je je kicks krijgt van het lezen van malware van hoge complexiteit, evenals je waarschijnlijk wel dat je hier hebt om deze kolom te lezen, dan waardeert je ESET’s 15-jarige samenvatting van het springen van de lucht-kloof. Er is geen van de hypothetische tovenarij die je mag verwachten van APT-groepen. Wat er in het wild heeft ontdekt, gebruikt de nul USB-sleutel om de sprong te maken. Terwijl Stuxnet absoluut de beroemdste was, was het niet het allereerste die zo’n malware-programma werd ingezet. Het overzicht is geweldig, evenals dient als herinnering dat de gemakkelijkste apparaten, de USB-drive, zo effectief kan zijn.