Valse Windows CHKDSK steelt wachtwoorden
Een onderzoeker heeft een variant op de beruchte Evil Maid-aanval bedacht, die zich als een nepversie van de Windows CHKDSK-tool voordoet om zo het Windows-wachtwoord te stelen. CHKDSK is een programma dat naar fouten op de harde schijf zoekt en standaard onderdeel van Windows is. De Evil Maid keylogger werd eind 2009 ontwikkeld door de Poolse rootkit-expert Joanna Rutkowska en is bedoeld om de passphrase van een met TrueCrypt-versleutelde computer te stelen.
In het scenario is er een kwaadaardig kamermeisje dat Evil Maid op een USB-stick heeft staan. Ze start de laptop van het slachtoffer op vanaf de USB-stick. Vervolgens wordt de Evil Maid keylogger in de bootloader geinstalleerd. Het kamermeisje verlaat de kamer en wacht totdat het slachtoffer terugkomt.
Die start zijn laptop op en vult de passphrase in, die vervolgens door Evil Maid wordt opgeslagen. Zodra het slachtoffer de laptop verlaat, komt het kamermeisje weer terug en start de computer vanaf de USB-stick. Die leest vervolgens de opgeslagen passphrase uit zodat de aanvaller toegang tot het versleutelde systeem heeft.
CHKDSK
Beveiligingsonderzoeker Alex Web ontwikkelde een Evil Maid CHKDSK. Een 512-byte klein MBR-programma dat zich als Windows CHKDSK voordoet. Een aanvaller stopt een USB-stick met de valse CHKDSK in een computer en wacht totdat het slachtoffer de machine aanzet. De Evil Maid CHKDSK toont een melding op het scherm dat er iets mis met de harde schijf is en er een controle wordt uitgevoerd.
Daarna vraagt de tool de gebruiker om het wachtwoord, schrijft het wachtwoord naar de media waarvan is gestart, zorgt ervoor dat de media vervolgens niet is op te starten en laadt vervolgens Windows.
Web merkt op dat de Windows de gebruiker vraagt om de schijf te formatteren als die wordt aangesloten, of wanneer de gebruiker voor het eerst inlogt nadat het wachtwoord is opgeslagen. "Ik denk niet dat het als een serieuze tool te beschouwen valt voordat dit is opgelost." De onderzoeker zou echter elke byte van de Master Boot Record (MBR) hebben gebruikt. "De volgende versie zal waarschijnlijk geen 512 bytes zijn." Hieronder een videodemonstratie.
TrueCrypt is een bootloader, die naderhand opstart. Daar is deze aanval op gericht.
Veel mensen zien TrueCrypt als ultieme beveiliging, dus zullen waarschijnlijk alleen de TrueCrypt bootloader gebruiken.
Het is ook gebruiksvriendelijker aangezien je niet 2 maal een passphrase hoeft in te voeren.
Het maakt niet uit. Het bootwachtwoord staat op de stick. Als de laptop op schermbeveiliging staat kan ze er een firewire of pccard of thunderbolt apparaat instoppen om de screensaver uit te schakelen of het geheugen uit te lezen, ze kan ook de laptop domweg uitzetten. De boot-passphrase heeft ze dan al, dus opnieuw starten zal geen probleem zijn (tenzij het uitzetten het file system voldoende aan gort geholpen heeft). Het helpt wel (een beetje) als je je na het booten met een passphrase niet automatisch laat aanmelden aan Windows.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
