blueteamsteve/cve-2020-0601Lista curada de recursos sobre CVE-2020-0601
Colección de recursos sobre CVE-2020-0601 (#ChainOfFools | #CurveBall)
Un resumen del aviso de la NSA indica.
La NSA ha descubierto una vulnerabilidad crítica (CVE-2020-0601) que afecta la funcionalidad criptográfica de Microsoft Windows®. La vulnerabilidad de validación de certificados permite a un atacante socavar la forma en que Windows verifica la confianza criptográfica y puede habilitar la ejecución remota de código. La vulnerabilidad afecta a Windows 10 y Windows Server 2016/2019, así como a las aplicaciones que dependen de Windows para la funcionalidad de confianza. La explotación de la vulnerabilidad permite a los atacantes derrotar las conexiones de red confiables y entregar código ejecutable mientras aparentan ser entidades legítimamente confiables. Ejemplos donde la validación de confianza puede verse afectada incluyen:
- Conexiones HTTPS
- Archivos y correos electrónicos firmados
- Código ejecutable firmado ejecutado como procesos en modo usuario
Demostración detallada y PoC de Kudelski Security
Blog en profundidad de Ken Whyte
Discusión en Hacker News
Comentario de Tal Be'ery
PoC en Python de Kudelski Security
PoC en Ruby de Ollypwn
Ejemplo de certificado falso de GitHub para MitM o phishing
Ejemplo de malware firmado reduciendo detecciones de AV
Tercer blog sobre CurveBall de Tal Be'ery describiendo detecciones de red con Wireshark
Microsoft ha publicado un mensaje de registro de eventos cuando se sospecha un intento de explotación a través de la función CveEventWrite
Matt Graeber ha creado un oneliner de PowerShell para detección EDR en el host
Get-WinEvent -FilterHashtable @{ LogName = 'Application'; Id = 1; ProviderName = 'Microsoft-Windows-Audit-CVE' } | select -Property * -ExcludeProperty MachineName, UserId
Una regla Sigma SIEM de Florian Roth para usar en múltiples herramientas SIEM y basada en el registro de eventos de Microsoft
Una detección de 0xxon para la herramienta de monitoreo de red Zeekurity que alerta cuando se observan generadores ECC personalizados dentro de certificados