Tor-node ontdekt die malware aan downloads toevoegt
Een beveiligingsonderzoeker heeft een Tor-exitnode ontdekt die actief malware aan downloads toevoegt. De aanval is mogelijk doordat veel bedrijven en softwareontwikkelaars geen downloads via SSL/TLS aanbieden waardoor een aanvaller de downloads kan manipuleren, zegt onderzoeker Josh Pitts.
Tijdens de DerbyCon conferentie dit jaar gaf Pitts een presentatie over het binary patching framework dat hij zelf had ontwikkeld. Via BDF zou een aanvaller die zich tussen de gebruiker en het internet bevindt downloads kunnen aanpassen, ook als ze van een digitale handtekening zijn voorzien. Via het framework kon Pitts de handtekening verwijderen. Ook liet de onderzoeker weten dat deze aanvalstechniek waarschijnlijk al werd gebruikt, maar had hiervoor nog geen concreet bewijs, tot nu.
Pitts besloot naar het Tor-netwerk te kijken als mogelijke plek waar downloads werden aangepast. Het Tor-netwerk is uit verschillende relays opgebouwd, ook wel nodes genoemd. Dit maakt het zeer lastig om de identiteit van gebruikers te achterhalen. De laatste node die een verzoek van een Tor-gebruiker naar het internet doorstuurt is de exitnode. Pitts ontwikkelde een speciaal programma om te controleren of exitnodes geen downloads aanpassen.
Van de 1110 exitnodes die hij analyseerde bleek er één actief downloads van Tor-gebruikers van malware te voorzien. "Deze exitnode was zeer actief", merkt Pitts op. Hoewel hij slechts één kwaadaardige node aantrof, wil dat niet zeggen dat er niet meer zijn. "Ik heb ze misschien niet allemaal gevonden of ze wachten om een bepaalde selectie van bestanden aan te passen." Het Tor Project, dat op het Tor-netwerk toeziet, is inmiddels over de node ingelicht.
Advies
Tor-gebruikers en andere internetgebruikers, met name in landen waar geen internetvrijheid is, krijgen het advies van Pitts om voorzichtig met gedownloade bestanden te zijn. Daarnaast zouden gebruikers de handtekening en hash van een download moeten controleren voordat ze die openen en uitvoeren. Als laatste spoort de onderzoeker bedrijven en softwareontwikkelaars aan om ervoor te zorgen dat gebruikers veilig software kunnen downloaden door downloads via HTTPS aan te bieden.
Te overwegen voor de kleinere software downloads is altijd 2x downloaden van verschillende nodes (tussendoor identity verversen) en deze downloads vergelijken en controleren (geen geschikte aanpak grote GB iso's als Tails).
Tussendoor en voor je de download start kan/zou je eerst een node opzoeken die snel genoeg is (er zitten er tussen hoor van enkele tot honderden kb's/s) en wat jou betreft in een land staat dat 'meer te vertrouwen is'.
Ga, om gegevens over de exitnode te vinden, voor je downloadt naar bijvoorbeeld
https://check.torproject.org/
Your IP address appears to be: 00.00.00.00.00'
Please refer to the Tor website for further information about using Tor safely. You are now free to browse the Internet anonymously. For more information about this exit relay, see: Atlas.
Klik op de Atlas link voor de meer specifiek exitnode informatie.
Duurt soms even, als het blijft hangen ververs dan de pagina.
Hier zie je dan de opgegeven bandwijdte MB/s (die soms veel hoger is dan dat er staat, soms ook aanmerkelijk lager), land en prestatie grafiekjes om een beetje een idee te krijgen of het een stabiele node is.
Dan download starten of je identity verversen op zoek naar een andere betere/snellere/betrouwbaardere node.
Denk eraan dat Tor elke 10 minuten van node wisselt, probeer snelheid en grootte van het bestand te matchen en binnen die 10 minuten te houden, anders springt het tussentijds wellicht naar een andere veel tragere of minder betrouwbare node.
Tot slot haal je de gedownloade bestanden door een virusscanner, je vergelijkt de bestandsgroottes en als het kan de opgegeven signature / Sha controleren.
Een download kan je natuurlijk ook gewoon via je reguliere verbinding binnenhalen, dat is meestal een stuk sneller.
Maar dat zou dan weer het privacy idee onderuit halen, je/jij weet het wel, die hele normale menselijke legale reden waarom je de Torbrowser gebruikt (maar sommige napraat reaguurdertjes in de reageer kolommen hier maar niet willen/kunnen snappen).
Dus, soms beter eerst je nodes checken bij sommige handelingen
Ben overigens benieuwd of je een deze zaken ook zullen opvallen.
Nl. en Fr. lijken doorgaans het meeste exitnode-verkeer naar zich toe te trekken, boven Duitsland bijvoorbeeld, dat bepaald geen kleintje is met aantallen beschikbare nodes.
Hoe kan dat?
Wel eens afgevraagd hoe dat zit met de Nl' Chandler' exitnodes, het zijn er iets van 27 (!), gehost door Snel.com .
Waarom bieden zij maar liefst 27 nodes aan, met welk belang? Namens anderen?
Welke ene (speciale) klant of klanten zitten daar dan werkelijk achter?
Door het aanbieden van vele nodes kan het voorkomen dat je met 6 a 7 keer vernieuwen van je identity op deze Chandler nodes aanbieder blijft 'hangen' (is dat alleen puur statistisch toeval?).
Wel erg handig als je download net buiten die tien minuten valt.
Wat te denken van de voorkomende combinatie dat de Torbrowser je ook nog een standaard startup connectie toebedeelt (1 van de drie) waar snel.com tussen zit?
Begin en eindpunt via dezelfde aanbieder, zeer handig als bekende lak aan privacy derden 60/70 minuten met je mee willen tuurgluren .
Chandler nodes, enige twijfels onterecht?
Hoe zit het wel?
Wie het weet mag het zeggen.
Steeds meer downloads kun je via https downloaden, maar default links zijn vaak http. Enkele voorbeelden, beide werken:
http://download.macromedia.com/pub/flashplayer/current/support/install_flash_player.exe
https://download.macromedia.com/pub/flashplayer/current/support/install_flash_player.exe
http://didierstevens.com/files/software/AnalyzePESig_V0_0_0_3.zip
https://didierstevens.com/files/software/AnalyzePESig_V0_0_0_3.zip
Didier Stevens geeft je overigens duidelijk een keuze, zie http://blog.didierstevens.com/programs/authenticode-tools/.
In zijn presentatie (https://www.youtube.com/watch?v=LjUN9MACaTs, Redactie geeft de http link) laat hij zien dat zijn tool, BDFProxy (https://github.com/secretsquirrel/BDFProxy) probleemloos Authenticode signatures van executables verwijdert.
Precies om die reden wijst hij op het risico van het downloaden van http://live.sysinternals.com/; in zijn presentatie laat hij zien dat hij, on the fly, de digitale handtekeningen van o.a. tcpview en Process Explorer verwijdert (dat geeft minder "lawaai" dan de handtekening laten zitten, die ongeldig zou worden door zijn on-the-fly-binary-patching).
De praktijk is sowieso dat de meeste gebruikers niet checken of zo'n digitale handtekening aanwezig is, en dat is de reden waarom Joshua Pitts pleit voor downloads uitsluitend via https, zoals bijv. GitHub.
Echter, de weinigen die wel Authenticode signatures checken, zullen, na zo'n BDFProxy aanval, zien dat het tabblad "Digitale Handtekeningen" in bestandseigenschappen ontbreekt. Aangezien dat (helaas) bij veel downloads het geval is, zullen er maar weinigen zijn die op zo'n moment eerst verder onderzoek doen voordat ze het programma starten.
Tor-gebruikers en andere internetgebruikers, met name in landen waar geen internetvrijheid is, krijgen het advies van Pitts om voorzichtig met gedownloade bestanden te zijn. Daarnaast zouden gebruikers de handtekening en hash van een download moeten controleren voordat ze die openen en uitvoeren. Als laatste spoort de onderzoeker bedrijven en softwareontwikkelaars aan om ervoor te zorgen dat gebruikers, door het gebruik van SSL/TLS en digitale handtekeningen, veilig software kunnen downloaden.
Dat is toch echt iets anders dan waar Pitts mee concludeert (onderstrepen door mij):
Companies and developers need to make the conscious decision to host binaries via SSL/TLS, whether or not the binaries are signed. All people, but especially those in countries hostile to “Internet freedom,” as well as those using Tor anywhere, should be wary of downloading binaries hosted in the clear—and all users should have a way of checking hashes and signatures out of band prior to executing the binary.
Mijn advies als je Windows executable bestanden downloadt, vooral als je systeembeheerder bent (ik ga ervan uit dat je geen Tor gebruikt, maar als je dat doet dan geldt dit advies ook):
1) Controleer altijd of een digitale handtekening aanwezig is. Zo ja: controleer of hier niks vreemds mee is.
2) Altijd verstandig, maar zeker als een digitale handtekening ontbreekt: scan op de download VT (https://www.virustotal.com/).
3) Als het bestand nog niet eerder op VT is aangeboden, is dat al reden voor ongerustheid. Die ongerustheid is mogelijk onterecht als het om een relatief onbekend bestand gaat, of om een heel nieuw bestand. Houd er terdege rekening mee dat eventuele geïnjecteerde malware door geen enkele virusscanner op VT herkend hoeft te worden, vooral niet als het om een relatief nieuw bestand (nieuwe versie) gaat! In zo'n geval kan het heel verstandig zijn om de download niet te starten, enkele dagen te wachten en het dan nogmaals te laten scannen. Nb. VT scant behoorlijk agressief en kan false positives geven.
4) Zorg dat je een tool hebt om cryptografische hashes mee te berekenen. In https://www.security.nl/posting/401468/sha256+onder+Windows+zonder+tools geef ik tips voor als je in een kip-ei situatie zit, d.w.z. nog geen hash-tool hebt, er zojuist een gedownload hebt maar daarvan niet een hash kunt uitrekenen.
Een voorbeeld van zo'n tool is "#HashTool", download vanaf http://www.digitalvolcano.co.uk/hash.html (met dank aan cluc-cluc voor de tip in voornoemde security.nl pagina!). Helaas kun je de installer niet via https downloaden, maar de installer is wel voorzien van een Authenticode signature (als die ontbreekt na download, is er iets goed mis).
Gegevens over de digitale handtekening en hashes van de installer (http://www.digitalvolcano.co.uk/download/MD5Hash_setup.exe) vind je in https://www.virustotal.com/en/file/afedbc9ff0a559ccde694c1de263d74f055f668a01b311f0a4630aad5402e3ce/analysis/ onder respectievelijk de tabs "File Detail" en "Additional Information".
5) Regelmatig worden MD5 (of SHA1) hashes bij downloads van bestanden getoond (op dezelfde server of zelfs pagina). Houd er rekening mee dat een MitM aanvaller beide kan vervalsen als je die via http ontvangt. Op vergelijkbare wijze kan een PGP signature worden vervalst, namelijk als je de binary, de binary.asc en public key file van de signer van dezelfde site downloadt. Vandaar dat Joshua Pitts aanraadt om signatures out of band te checken; hier is vaak wel enige creativiteit voor nodig.
Nb. Houd er ook rekening mee dat de downloadsite zelf gecompromitteerd kan zijn (het hoeft niet om een MitM aanval tussen de webserver en jouw PC te gaan). Om die reden zijn digitale handtekeningen veel betrouwbaarder dan gepubliceerde hashes op dezelfde site (mits de ondertekenaar die binaries niet op diezelfde site ondertekent, en zijn private key ook ergens op die server staat; dit is echter niet gebruikelijk).
Na zelf de MD5 hash van een binary te hebben berekend, kun je daarop Googlen. Als dat (bijna) niets oplevert, of juist gebruikers die problemen melden, heb je wellicht iets anders gedownload dan jouw bedoeling was.
P.S. #1: Niet alleen Joshua Pitt houdt zich bezig met dit soort on-the-fly backdoor-injection in binaries. Uit http://s3.documentcloud.org/documents/810501/769-gamma-group-product-list-finfisher.pdf:
P.S. #2: Als jij programma's voor download beschikbaar stelt, en overweegt om dat via https te gaan doen, dan heb je misschien iets aan mijn artikel van afgelopen vrijdag: https://www.security.nl/posting/406474/Website+naar+https%3F+%28voorbeeld%3A+Tweakers_net%29. Want Joshua Pitt hier aankaart heeft alles te maken met wat ik onder "V2) Integriteit van geboden informatie" beschijft in mijn artikel.
P.S. #3: ik ken nu meerdere manieren om Authenticode signatures te manipuleren. Als er voldoende belangstelling voor bestaat wil ik daar wel een keer een artikel over schrijven (maar alleen als dat wat meer aandacht/reacties krijgt dan mijn artikel van vrijdag ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
