Onderzoeker exfiltreert data via kleurwaarden van pixels
Een onderzoeker van het Britse securitybedrijf Pen Test Partners heeft een manier gevonden om data van een gecompromitteerd systeem via de kleurwaarden van pixels te exfiltreren. Volgens onderzoeker Alan Monie kunnen protocollen om op afstand toegang tot machines te krijgen, zoals RDP, soms zo zijn ingesteld dat het niet mogelijk is om bestanden te kopiëren.
Andere protocollen bieden niet eens de mogelijkheid om bestanden uit te wisselen. Het is echter mogelijk om de kleurwaarden van pixels te gebruiken voor het encoderen van data. Op deze manier is het mogelijk om op de gecompromitteerde machine het scherm met allerlei pixels te laten knipperen, terwijl de machine van de aanvaller deze informatie opslaat en vervolgens de data reconstrueert. In theorie zou er bij een beeldscherm met 1920×1080 pixels en 24- bit kleuren bijna 6MB aan data kunnen worden geëncodeerd.
Het RDP-protocol bleek de kleurinformatie echter niet nauwkeurig door te sturen, waardoor de geëncodeerde data beschadigd raakte. Monie besloot hierop enkele aanpassingen door te voeren en met compressiefouten rekening te houden. Zo slaagde hij erin om 3MB aan data in een aantal seconden te exfiltreren. De onderzoeker heeft de tool waarmee hij de test uitvoerde via GitHub beschikbaar gemaakt. Hieronder een video waarin het exfiltreren van de data wordt gedemonstreerd.
Video - Encoding data in pixel colour values for data exfiltration. Bron: YouTube
Het zou 10x nuttiger zijn mocht het een VBS / PowerShell script zijn.
Het zou 10x nuttiger zijn mocht het een VBS / PowerShell script zijn.
In de blog entry beschrijft hij dat data/een tool _op_ een systeem krijgen vaak makkelijk genoeg is (hij noemt een rubber ducky en tools als autohotkey).
Het eerst wat ik dacht is "hetzelfde als QR printen, maar dan ook in kleur" , en dat is precies wat hij doet (en beschrijft - het idee om een QR te printen was er ook al).
Deze methode heeft alleen een wat hogere bandbreedte .
[het on screen printen van base64 zou ook werken, met waarschijnlijk een nog lagere bandbreedte )
Al met al heel weinig bijzonders.
Het is niet of dit een nieuw concept is, ofzo.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
