Onderzoekers hacken Windows 10-host vanuit virtual machine
Onderzoekers van twee Chinese beveiligingsbedrijven zijn tijdens de jaarlijkse hackwedstrijd Pwn2Own in Vancouver er twee keer in geslaagd om een virtual machine met Windows 10 te hacken en in één keer ook het onderliggende Windows 10-hostsysteem volledig over te nemen.
Voor de eerste aanval koppelden onderzoekers van het Chinese beveiligingsbedrijf 360 Security verschillende kwetsbaarheden aan elkaar. De aanval begon met een onbekend beveiligingslek in Microsoft Edge. Vervolgens werd een onbekende kwetsbaarheid in de Windowskernel gebruikt en als laatste een onbekend lek in VMWare Workstation, de software die voor het aanmaken van de virtual machine werd gebruikt. Hierdoor wisten de onderzoekers uit de virtual machine te ontsnappen. Hoe lang de onderzoekers met hun onderzoek bezig zijn geweest wilden ze niet vertellen, maar de demonstratie nam 90 seconden in beslag. Voor hun werk ontvingen ze een beloning van 105.000 dollar.
De tweede aanval werd door het Chinese beveiligingsbedrijf Tencent Security uitgevoerd en had als doel om vanuit de virtual machine met het Windows 10-gastsysteem het onderliggende Windows 10-hostsysteem, waarop de virtualmachinesoftware draait, volledig over te nemen. Daarbij maakte het gast-systeem gebruik van een niet-beheerdersaccount. De onderzoekers gebruikten een onbekende kwetsbaarheid in de Windowskernel en twee onbekende lekken in VMware Workstation om het gastsysteem en uiteindelijk ook het hostsysteem over te nemen. De aanval werd bemoeilijkt doordat VMware Tools niet op het gastsysteem was geïnstalleerd. De hack leverde de onderzoekers 100.000 dollar op. De kwetsbaarheden zijn aan Microsoft en VMWare gerapporteerd zodat er beveiligingsupdates kunnen worden ontwikkeld.
But Device Guard and Credential Guard are the two standout security features of Windows 10 -- they protect the core kernel from malware and prevent attackers from remotely taking control of the machine. Device Guard and Credential Guard are intended for business systems and are available only in Windows 10 Enterprise and Windows 10 Education.
(http://www.infoworld.com/article/2984602/security/why-windows-10-is-the-most-secure-windows-ever.html)
Alhoewel Microsoft zelf dat natuurlijk niet zegt, die maken ervan dat alle Windows 10 versies de veiligste ooit zijn, in hun blog over de AU icm met ransomware:
"Combined with other significant security advances, such as Credential Guard, Windows Hello and others, we’ve made Windows 10 Anniversary Update the most secure Windows ever."
(https://blogs.windows.com/business/2016/11/11/defending-against-ransomware-with-windows-10-anniversary-update/)
Zit hier gewoon een hack tussen voor die aanpak.
Kijk naar de natuur de opvallendste items in een school vissen of een kudde worden vanuit de buitenkant het vaakst getroffen. Juist de eenvormigheid, het niet opvallen beschermt het meest tegen gerichte aanvallen.
Ik zou een kudde wildebeesten (grazers/koe) maar niet zo maar gaan aanvallen of benaderen.
sind bereits Flash, Edge, Safari, Windows, macOS und Linux geknackt worden
Über eine Schwachstelle der Hardware-Simulation von VMWare gelangten wir schließlich vom Gast- auf das Host-System
Ein solcher Hack hat weitreichende Konsequenzen, etwa für Rechenzentren. Auf demselben Server laufen von verschiedenen Klienten angelegte virtuelle Maschinen, die aus Datenschutzgründen jeweils nur Zugriff auf ihre eigenen Daten bekommen dürfen
Je bent (extra) kwetsbaar wanneer je Windows gebruikt (duh...) .....
Wat in de hack pwn2wn wezelijker is dat de vm sandbox er ook aan gegaan is. Het is de standaard om met minimale hardware zo veel mogelijk servers neer te zetten.
Elke 10 a 20 medewerkers een eigen vm met eigen applicatie lijkt gewoon te zijn.
Mag je van die sandbox scheiding met vm niet neer uitgaan van gegarandeerde scheiding dan kan je enkel nog voor colocatie gaan met een apart beheerders contract.
Door wie is altijd beweerd dat VM's veilig zouden zijn? Bij Tails waarschuwen ze zelfs expliciet voor de security issues bij virtualisatie:
Running Tails inside a virtual machine has various security implications. Depending on the host operating system and your security needs, running Tails in a virtual machine might be dangerous.
Schiet nou toch eens niet altijd meteen in de verdediging als er iets over jouw OS geschreven wordt en probeer niet meteen te ropen dat product X/Y/Z het zelfde of een vergelijkbaar probleem hebben.
We weten nou onderhand wel dat ieder OS zijn makken heeft en als er sprake is van een grote 'installed base' dat problemen vaker naar voren komen dan bij een OS wat zelden of nooit gebruikt wordt.
We weten nou onderhand wel dat ieder OS zijn makken heeft en als er sprake is van een grote 'installed base' dat problemen vaker naar voren komen dan bij een OS wat zelden of nooit gebruikt wordt.
Uitsteken van: erik van straaten:
Dr. Adrian Vollmer van SySS GmbH heeft afgelopen week een (m.i. interessant) document getiteld "Attacking RDP" geschreven, dat o.a. hier te vinden is: https://www.exploit-db.com/docs/41621.pdf.
Het omgaan met Privileged identity management is bijvoorbeeld een grote omissie met linux. Wat zie je dan https://technet.microsoft.com/en-us/windows-server-docs/security/securing-privileged-access/privileged-access-workstations Dan gaan alle Linux fans in de stress omdat de conceptuele uitleg van een vijand komt.
Die initiele setup analyse met wire-shark heb ik vaker gezien en ook zelf mogen ervaren. Het is een zwakte achilleshiel met vele gezichten. Kart je het aan dan is de interne projectleider niet in beeld en de externe leverancier wil er ook niets van weten.
Alleen als je Windows gebruikt... (Niet doen dus.)
Lol Linux is altijd veilig. Maar als je 38 keer op backspace drukt ben je binnen. :P.
Alleen als je Windows gebruikt... (Niet doen dus.)
Lol Linux is altijd veilig. Maar als je 38 keer op backspace drukt ben je binnen. :P.
Met fysieke toegang op een niet encrypted systeem en een wachtwoordloze bootloader i.c.m. met grub (default) heb je bijna helemaal gelijk, je hoefde maar 28x op backspace te gebruiken.
Waar heb je dat gelezen of gehoord dat Linux altijd veilig is, die claim zou ik ook wel eens willen zien?
Het omgaan met Privileged identity management is bijvoorbeeld een grote omissie met linux.
https://en.wikipedia.org/wiki/Security-Enhanced_Linux
met daaruit refs naart:
https://en.wikipedia.org/wiki/Role-based_access_control
https://en.wikipedia.org/wiki/Mandatory_access_control
https://en.wikipedia.org/wiki/Multilevel_security
https://en.wikipedia.org/wiki/Security-Enhanced_Linux
met daaruit refs naar:
https://en.wikipedia.org/wiki/Role-based_access_control
https://en.wikipedia.org/wiki/Mandatory_access_control
https://en.wikipedia.org/wiki/Multilevel_security
Ken ik lees ook even de cautions waar van toepassing. Vind nu eens een organisatie waar ze dat met aparte functionele keys en groepen voor de beheerders de tools (installatie / operatie /logging) en voor de business applicaties ingevuld hebben. Met 10-20 personen voor een server (virtueel) zet je zo op een veelvoud van functionele keys tov personen. Dan heb je het enkel nog over de functionele beschrijving dan moet je het nog implementeren beheren en bewaken.
Alleen dat aantal de omvang maakt het niet meer verkoopbaar.
De externe leveranciers willen er al helemaal niet aan, ze krijgen vaak wel het mandaat van intern management.
Uitvoerende en ondersteunende afdelingen zoals OS beheerders (jan Linux specialisten) gaan in de verzet modus.
Een auditor die dat ziet zal meteen noteren: teveel accounts onbeheersbaar, onbegrijpelijk te complex moet eenvoudiger (uh kun je niet root gebruiken, niemand die iets merkt).
Helaas de waarneming en ervaring in de praktijk. Nou kom op toon me de ideale vuurtoren implementatie ....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
