Spesso non dipende da noi, a volte viene semplicemente scoperta una nuova vulnerabilità, non ne veniamo subito a conoscenza, quindi questa vulnerabilità viene sfruttata. Che sia di Apache o di altro non importa, a volte veniamo semplicemente colti alla sprovvista da quest'inconveniente. Tuttavia, anche se l'attaccante è già dentro, ci sono delle precauzioni che mitigano la sua presenza nel tuo network. Prese correttamente, queste mitigazioni potrebbero addirittura scoraggiarlo, e spingerlo ad abbandonare la missione.
Tuttavia in questo post le studieremo A CONTROSENSI, letteralmente (e in buona fede), partendo da Unix:
-> I sistemi Unix prendono molto seriamente i permessi e gli account correlati all'OS. Dato che alcuni amministratori sono frettolosi, spesso attribuiscono ai file importanti i permessi sbagliati. Se quindi ad esempio, io ottengo accesso illecito tramite l'user
-> Non controllare la cartella /tmp è un altra leggerezza. Il contenuto di questa cartella, estremamente accessibile, persino tramite l'user "nobody", è frequentemente presa di mira per l'installazione di cryptominer come Kinsing, XMRig ecc. Un qualsiasi tizio che pianifica di fare una botnet installerà al 100% roba qui dentro, dato che la cartella ha RWX permission. Una volta caricato il Kinsing, basta fare
-> Cancellare i malware ma non i processi infetti. Sì, perché Unix funziona in modo un po' diverso da Windows. Cancellando i file, non si terminano processi infetti. Puoi cancellare tutte le istanze di Kinsing che vuoi, l'attaccante potrebbe trollarti addirittura mostrandoti 10 file chiamati "Kinsing1", "Kinsing2" ecc. ma ciò che devi fare realmente, dopo averli cancellati tutti, è scrivere "ps" nel terminal, e terminare il processo connesso al malware, altrimenti rimarrà un processo infetto in esecuzione. Sicuramente alcuni malware smetteranno di funzionare correttamente dopo che il file sorgente viene eliminato, ma non accade sempre. Nel caso delle reverse shell, ad esempio, ho notato che il C2 rimane stabile anche dopo aver eliminato il file sorgente dal sistema infetto;
-> Eseguire troppe applicazioni coi permessi di root. Anche questa è una leggerezza, supponiamo ad esempio che lanciamo Openfire 4.4.2 (vulnerabile a CVE-2023-32315) coi permessi di root. Allora l'attaccante una volta che entra fa
->
Ora, passiamo a Windows. Fortunatamente, quest'OS non solo incorpora un bot noto come Microsoft Defender, che si preoccupa per noi della sicurezza (anche se non sempre rileva ogni malware), ma fa anche il rollup automatico degli update. Tuttavia, tuttavia, si è tutt'altro che al sicuro, quali leggerezze compie l'utente di Windows?
-> COPIE PIRATA. Persino in alcuni negozi di informatica, può capitare che ti caricano Windows pirata sul laptop, in alcuni casi spacciandotelo anche per una copia legacy. Sono state coperte numerose volte su Inforge, le falle lasciate esposte dalle copie pirata di Windows. Alcuni di voi se lo devono mettere in testa, non c'è niente da fare purtroppo, va accettato: Windows, non è un OS open source. Se non compri quest'OS dovrai sempre stare lì a fare 100 manovre per proteggere l'OS manualmente, e fanno in modo che sia anche molto noioso farlo manualmente. Con una copia pirata, il rischio di "hackeraggio" è alto, soprattutto se questa copia espone in WAN servizi notoriamente vulnerabili, come il Server Message Block.
-> Quello che si adagia sulla bamba: OK, ora ho Windows legacy, ho Defender, Avast, la VPN, a posto. Posso divertirmi ad aprire tutti gli allegati di qualunque mail mi arriva, o a navigare su qualunque sito e scaricare tutti i torrent che voglio, tanto non succede niente. Sei davvero sicuro che queste difese siano impossibili da sconfiggere?
-> Affidare l'infrastruttura a personale tecnico con poca esperienza. Per carità, allora, io sono una persona empatica. Fossi un boss non farei mai un ragionamento narcisista, del tipo "Voglio SUBITO gente qualificata, se scopro che sono circondato da idioti li licenzio e poi denuncio chi li ha selezionati per farli venire qua", io Sono FAVOREVOLISSIMO alla presenza di NABBI nella mia azienda, MA, MA a patto che prima stiano fermi ad osservare come lavorano i "migliori", o aver verificato in ogni modo possibile che acquisiscano la mano al mestiere, anche tramite dei mini-corsi.
-> Fino al 2077, EVVIVA Windows 7. Capisco che aggiornare i sistemi costi, ma almeno quelli che lavorano in WAN andranno aggiornati, per forza. Purtroppo ogni 10 anni, Microsoft taglia le gambe ai vecchi sistemi. Windows 7 ad esempio, ha raggiunto l'EOL nel 2020. Per il momento può ancora essere usato decentemente, ma qualora saltasse fuori una nuova CVE di IIS o SMB, non sarà rilasciato alcun update da Microsoft. Parimenti, tutti i programmi famosi come Mozilla o Chrome smetteranno di supportare quest'OS, forzandoci a prendere autonomamente delle mitigazioni dai nuovi exploit, cosa non sempre fattibile fra l'altro. Almeno nel 2030 tutte le copie di Windows 7 dovranno essere aggiornate a Windows 10/11.
-> Il cheater. Una categoria di utente di cui avevo parlato in un vecchio thread. Non importa quanto sia sicuro Windows, quest'utente disattiva ogni AV e ogni protezione a costo di scaricare ed eseguire (anche come Admin se gli viene chiesto) HWID spoofers, unlockers, KMS e programmini che riciclano codici usati per app e videogiochi. Inutile dire, che con questa condotta prima o poi si cade nella truffa.
Tuttavia in questo post le studieremo A CONTROSENSI, letteralmente (e in buona fede), partendo da Unix:
-> I sistemi Unix prendono molto seriamente i permessi e gli account correlati all'OS. Dato che alcuni amministratori sono frettolosi, spesso attribuiscono ai file importanti i permessi sbagliati. Se quindi ad esempio, io ottengo accesso illecito tramite l'user
www-data e i file in /home hanno ricevuto chmod 777 da root, non ho neanche bisogno di fare privesc;-> Non controllare la cartella /tmp è un altra leggerezza. Il contenuto di questa cartella, estremamente accessibile, persino tramite l'user "nobody", è frequentemente presa di mira per l'installazione di cryptominer come Kinsing, XMRig ecc. Un qualsiasi tizio che pianifica di fare una botnet installerà al 100% roba qui dentro, dato che la cartella ha RWX permission. Una volta caricato il Kinsing, basta fare
chmod +x e si vola;-> Cancellare i malware ma non i processi infetti. Sì, perché Unix funziona in modo un po' diverso da Windows. Cancellando i file, non si terminano processi infetti. Puoi cancellare tutte le istanze di Kinsing che vuoi, l'attaccante potrebbe trollarti addirittura mostrandoti 10 file chiamati "Kinsing1", "Kinsing2" ecc. ma ciò che devi fare realmente, dopo averli cancellati tutti, è scrivere "ps" nel terminal, e terminare il processo connesso al malware, altrimenti rimarrà un processo infetto in esecuzione. Sicuramente alcuni malware smetteranno di funzionare correttamente dopo che il file sorgente viene eliminato, ma non accade sempre. Nel caso delle reverse shell, ad esempio, ho notato che il C2 rimane stabile anche dopo aver eliminato il file sorgente dal sistema infetto;
-> Eseguire troppe applicazioni coi permessi di root. Anche questa è una leggerezza, supponiamo ad esempio che lanciamo Openfire 4.4.2 (vulnerabile a CVE-2023-32315) coi permessi di root. Allora l'attaccante una volta che entra fa
whoami e si ritrova come root, senza aver fatto privesc.->
sudo apt update && get upgrade -y è un comando sconosciuto ad alcuni amministratori. Unix, richiede il tocco dell'utente per aggiornarsi e risolvere le vulnerabilità, da solo non lo farà. Mai.Ora, passiamo a Windows. Fortunatamente, quest'OS non solo incorpora un bot noto come Microsoft Defender, che si preoccupa per noi della sicurezza (anche se non sempre rileva ogni malware), ma fa anche il rollup automatico degli update. Tuttavia, tuttavia, si è tutt'altro che al sicuro, quali leggerezze compie l'utente di Windows?
-> COPIE PIRATA. Persino in alcuni negozi di informatica, può capitare che ti caricano Windows pirata sul laptop, in alcuni casi spacciandotelo anche per una copia legacy. Sono state coperte numerose volte su Inforge, le falle lasciate esposte dalle copie pirata di Windows. Alcuni di voi se lo devono mettere in testa, non c'è niente da fare purtroppo, va accettato: Windows, non è un OS open source. Se non compri quest'OS dovrai sempre stare lì a fare 100 manovre per proteggere l'OS manualmente, e fanno in modo che sia anche molto noioso farlo manualmente. Con una copia pirata, il rischio di "hackeraggio" è alto, soprattutto se questa copia espone in WAN servizi notoriamente vulnerabili, come il Server Message Block.
-> Quello che si adagia sulla bamba: OK, ora ho Windows legacy, ho Defender, Avast, la VPN, a posto. Posso divertirmi ad aprire tutti gli allegati di qualunque mail mi arriva, o a navigare su qualunque sito e scaricare tutti i torrent che voglio, tanto non succede niente. Sei davvero sicuro che queste difese siano impossibili da sconfiggere?
-> Affidare l'infrastruttura a personale tecnico con poca esperienza. Per carità, allora, io sono una persona empatica. Fossi un boss non farei mai un ragionamento narcisista, del tipo "Voglio SUBITO gente qualificata, se scopro che sono circondato da idioti li licenzio e poi denuncio chi li ha selezionati per farli venire qua", io Sono FAVOREVOLISSIMO alla presenza di NABBI nella mia azienda, MA, MA a patto che prima stiano fermi ad osservare come lavorano i "migliori", o aver verificato in ogni modo possibile che acquisiscano la mano al mestiere, anche tramite dei mini-corsi.
-> Fino al 2077, EVVIVA Windows 7. Capisco che aggiornare i sistemi costi, ma almeno quelli che lavorano in WAN andranno aggiornati, per forza. Purtroppo ogni 10 anni, Microsoft taglia le gambe ai vecchi sistemi. Windows 7 ad esempio, ha raggiunto l'EOL nel 2020. Per il momento può ancora essere usato decentemente, ma qualora saltasse fuori una nuova CVE di IIS o SMB, non sarà rilasciato alcun update da Microsoft. Parimenti, tutti i programmi famosi come Mozilla o Chrome smetteranno di supportare quest'OS, forzandoci a prendere autonomamente delle mitigazioni dai nuovi exploit, cosa non sempre fattibile fra l'altro. Almeno nel 2030 tutte le copie di Windows 7 dovranno essere aggiornate a Windows 10/11.
-> Il cheater. Una categoria di utente di cui avevo parlato in un vecchio thread. Non importa quanto sia sicuro Windows, quest'utente disattiva ogni AV e ogni protezione a costo di scaricare ed eseguire (anche come Admin se gli viene chiesto) HWID spoofers, unlockers, KMS e programmini che riciclano codici usati per app e videogiochi. Inutile dire, che con questa condotta prima o poi si cade nella truffa.
