Social Engineering gegen Admins

Kerio hatte zum Zeitpunkt der ersten Untersuchung nach Angaben von René Freingruber von SEC Consult bislang nur eine Anfälligkeit für Cross-Site-Scripting (XSS-Lücke) und die SQL-Injektion geschlossen, die Anfälligkeit für Remote Code Execution besteht nach wie vor. Das Team suchte daher nach einer neuen Möglichkeit, diese Sicherheitslücke über das Internet auszunutzen.

Der Angriff richtet sich gegen die Administrationsoberfläche der Softwaresuite und dort gegen Administrator-Accounts. Um einen erfolgreichen Angriff durchzuführen, wird zunächst die interne IP-Adresse der Firewall benötigt. Dazu stellen die Forscher mehrere Angriffsvektoren vor, unter anderem einen IP Adress Leak durch WebRTC, E-Mail-Header, falsch konfigurierte DNS-Server oder andere Information-Disclosure-Sicherheitslücken. Auch Social Engineering sei möglich.

Im nächsten Schritt soll dann überprüft werden, ob die Firewall tatsächlich unter der angegebenen Adresse läuft. Wegen der Same-Origin-Policy (SOP) können die Hacker ihren Angriffscode nicht direkt ausführen, weil diese die Ausführung von Code blockiert, wenn dieser von einer anderen Quelle stammt. Stattdessen laden sie den Code über einen anderen Kanal (Side-Channel-Angriff), um die SOP zu umgehen. Dazu wird der HTML-Code der eigenen Anfrage um den Wert "'KerioIP KerioIP ':4081/ ':4081/ nonauth nonauth nonauth/gfx /kerio_logo.gif " ergänzt. Wenn Kerio Control auf der entsprechenden IP läuft, wird die Callback-Funktion Kerio_not_alive ausgeführt.

Bash-Skript öffnet Remote-Shell

Nach einem erfolgreichen Exploit kann dann der eigentliche Angriff durchgeführt werden: In der Administrationsoberfläche lassen sich neue Firmware-Images einspielen. Die vom Nutzer angegebenen Images werden nicht auf eine gültige Signatur überprüft. Außerdem enthalten die Images ein Bash-Skript, das vom Angreifer manipuliert werden kann. Über dieses Bash-Skript kann der Angreifer dann eine Remote-Shell öffnen und weitere Angriffe ausführen.

Wer Kontrolle über die Administrationsoberfläche hat, kann natürlich ohnehin großen Einfluss auf das System nehmen. Trotzdem ist dies ein valider Angriffsvektor für einen professionellen Angreifer, der versucht, Nutzerdaten über Social Engineering zu gewinnen.

Die NSA macht verschiedenen Berichten zufolge genau das. Zahlreiche große Hacks in den vergangenen Jahren gingen auf Social Engineering zurück, seien es iCloud-Angriffe gegen Prominente oder Clintons Berater John Podesta.