Abo
  • Services:

Shodan + Metasploit: Autosploit macht Hacken kinderleicht und gefährlich

Automatisiertes Hacken, fast wie im Film: Das soll mit Autosploit möglich sein. Doch das neue Python-Skript birgt vor allem für unerfahrene Nutzer Gefahren.

Artikel veröffentlicht am ,
Autosploit lädt automatisch Metersploit-Module.
Autosploit lädt automatisch Metersploit-Module. (Bild: Github.com/Screenshot)

Ein neues Werkzeug zum automatischen Ausnutzen von Sicherheitslücken sorgt derzeit für Diskussionen unter Sicherheitsforschern. Unter dem Benutzernamen NullArray ist auf Github das Tool Autosploit erschienen, das die IoT-Suchmaschine Shodan mit dem Metasploit-Framework verbinden soll. Damit können Sicherheitslücken automatisch ausgenutzt werden. Nach Angaben des Autors liegt der Fokus darauf, Code auf den übernommenen Geräten ausführen zu können ("remote code execution", RCE), Reverse-Shells oder Meterpreter-Sitzungen.

Stellenmarkt
  1. Ultima (Deutschland) GmbH, Münster
  2. Jetter AG, Ludwigsburg

Nutzer der Software können eine Shodan-Suche starten und eine bestimmte Plattform in den Blick nehmen, also etwa Apache oder die Internet Information Services von Microsoft. Ein weiterer Befehl startet dann die automatischen Angriffe. Dabei soll das Skript automatisch die richtigen Metasploit-Module heraussuchen. Letztlich werden hier bekannte Auffindungs- und Angriffsszenarien mit einem Python-Skript kombiniert. Das könnte - ähnlich wie der umstrittene Bricker-Bot - dazu führen, dass mehr unsichere IoT-Geräte aus dem Netz genommen werden, auch wenn der Einsatz entsprechender Software natürlich illegal ist.

Unerfahrene Nutzer bringen sich in Gefahr

Das könnte auch das größte Problem des Skripts sein. Weil weder Metasploit konfiguriert werden muss noch erweiterte IT-Kenntnisse notwendig sind, könnten unerfahrene Nutzer nach dem Einsatz von Autosploit Probleme bekommen, wenn sie ihre normale Internetverbindung verwenden oder sich nicht anderweitig tarnen. Ähnliche Probleme hatte es in der Vergangenheit nach dem Einsatz der Low-Orbit-Ion-Cannon (Loic) und Anonymous-Aktivismus gegeben.

Zahlreiche Sicherheitsforscher und Technik-Journalisten kommentieren die Veröffentlichung von Autosploit daher kritisch. Der größte Unterschied zu Metasploit dürfte sein, dass das Werkzeug in der Regel von professionellen Pentestern in kontrollierten Umgebungen eingesetzt wird - obwohl der Missbrauch der Angriffsmodule natürlich grundsätzlich möglich ist und auch praktiziert wird.

Es gibt ein namensgleiches Tool von OWASP, dieses hat mit dem kürzlich veröffentlichten Autosploit bis auf den Namen aber nichts gemein.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie
  2. (-67%) 16,49€
  3. 59,99€ mit Vorbesteller-Preisgarantie
  4. 14,99€

Rufus20 02. Feb 2018

Zum lernen musst du das Script nicht einsetzen. Dafür ist der Source Code da.

i1798577 01. Feb 2018

mach->macht


Folgen Sie uns
       


Hasselblad X1D und Fujifilm GFX 50S - Test

Im analogen Zeitalter waren Mittelformatkameras meist recht klobige Geräte, die vor allem Profis Vorteile boten. Einige davon sind im Zeitalter der Digitalfotografie obsolet. In Sachen Bildqualität sind Mittelformatkameras aber immer noch ganz weit vorn, wie wir beim Test der Fujifilm GFX 50S und Hasselblad X1D herausgefunden haben.

Hasselblad X1D und Fujifilm GFX 50S - Test Video aufrufen
IT-Jobs: Achtung! Agiler Coach gesucht?
IT-Jobs
Achtung! Agiler Coach gesucht?

Überall werden sie gesucht, um den digitalen Wandel voranzutreiben: agile Coaches. In den Jobbeschreibungen warten spannende Aufgaben, jedoch müssen Bewerber aufpassen, dass sie die richtigen Fragen stellen, wenn sie etwas bewegen möchten.
Von Marvin Engel

  1. Studitemps Einige Studierende verdienen in der IT unter Mindestlohn
  2. SAP-Berater Der coolste Job nach Tourismusmanager und Bierbrauer
  3. Digital Office Index 2018 Jeder zweite Beschäftigte sitzt am Computer

Threadripper 2990WX und 2950X im Test: Viel hilft nicht immer viel
Threadripper 2990WX und 2950X im Test
Viel hilft nicht immer viel

Für Workstations: AMDs Threadripper 2990WX mit 32 Kernen schlägt Intels ähnlich teure 18-Core-CPU klar und der günstigere Threadripper 2950X hält noch mit. Für das Ryzen-Topmodell muss aber die Software angepasst sein und sie darf nicht zu viel Datentransferrate benötigen.
Ein Test von Marc Sauter

  1. 32-Kern-CPU Threadripper 2990WX läuft mit Radeons besser
  2. Threadripper 2990WX AMDs 32-Kerner kostet weniger als Intels 18-Kerner
  3. Zhongshan Subor Z+ AMD baut SoC mit PS4-Pro-Leistung für chinesische Konsole

Russische Agenten angeklagt: Mit Bitcoin und CCleaner gegen Hillary Clinton
Russische Agenten angeklagt
Mit Bitcoin und CCleaner gegen Hillary Clinton

Die US-Justiz hat zwölf russische Agenten wegen des Hacks im US-Präsidentschaftswahlkampf angeklagt. Die Anklageschrift nennt viele technische Details und erhebt auch Vorwürfe gegen das Enthüllungsportal Wikileaks.

  1. Fancy Bear Microsoft verhindert neue Phishing-Angriffe auf US-Politiker
  2. Nach Gipfeltreffen Trump glaubt Putin mehr als US-Geheimdiensten
  3. US Space Force Planlos im Weltraum

    •  /