ChainOfFools AKA CurveBall AKA CVE-2020-0601

Coleção de recursos do CVE-2020-0601 (#ChainOfFools | #CurveBall)

Geral

Um resumo do aviso da NSA afirma.

A NSA descobriu uma vulnerabilidade crítica (CVE-2020-0601) afetando a funcionalidade criptográfica do Microsoft Windows®1. A vulnerabilidade de validação de certificados permite que um invasor prejudique a forma como o Windows verifica a confiança criptográfica e pode permitir a execução remota de código. A vulnerabilidade afeta o Windows 10 e o Windows Server 2016/2019, bem como aplicativos que dependem do Windows para a funcionalidade de confiança. A exploração da vulnerabilidade permite que invasores burlem conexões de rede confiáveis e entreguem código executável parecendo entidades legitimamente confiáveis. Exemplos onde a validação de confiança pode ser impactada incluem:

• Conexões HTTPS
• Arquivos e e-mails assinados
• Código executável assinado executado como processos em modo de usuário

Blogs e Explicações

Demonstração passo a passo e PoC da Kudelski Security

• https://research.kudelskisecurity.com/2020/01/15/cve-2020-0601-the-chainoffools-attack-explained-with-poc/

Blog aprofundado de Ken Whyte

• https://blog.lessonslearned.org/chain-of-fools/

Discussão no Hacker News

• https://news.ycombinator.com/item?id=22048619

Comentário de Tal Be'ery

• https://medium.com/zengo/win10-crypto-vulnerability-cheating-in-elliptic-curve-billiards-2-69b45f2dcab6

Provas de Conceito

PoC em Python da Kudelski Security

• https://github.com/kudelskisecurity/chainoffools

PoC em Ruby do Ollypwn

• https://github.com/ollypwn/cve-2020-0601

Exemplo de certificado falso do GitHub para MitM ou phishing

• https://twitter.com/saleemrash1d/status/1217495681230954506

Exemplo de malware assinado reduzindo detecções de antivírus

• https://twitter.com/RedDrip7/status/1217771072180801537

Detecções

Terceiro blog do CurveBall de Tal Be'ery descrevendo detecções de rede com Wireshark

• https://medium.com/zengo/hitting-a-curveball-like-a-pro-129c1dca427c

A Microsoft lançou uma mensagem de log de eventos quando uma exploração suspeita é tentada através da função CveEventWrite

• https://docs.microsoft.com/en-us/windows/win32/api/securitybaseapi/nf-securitybaseapi-cveeventwrite

Matt Graeber produziu um one-liner do PowerShell para detecção EDR no host

Get-WinEvent -FilterHashtable @{ LogName = 'Application'; Id = 1; ProviderName = 'Microsoft-Windows-Audit-CVE' } | select -Property * -ExcludeProperty MachineName, UserId

Uma regra Sigma SIEM de Florian Roth para uso em múltiplas ferramentas SIEM e baseada no log de eventos da Microsoft

Uma detecção de 0xxon para a ferramenta de monitoramento de rede Zeekurity para alertar quando geradores ECC personalizados são observados em certificados

• https://twitter.com/0xxon/status/1217288808443441152
• https://github.com/0xxon/cve-2020-0601

Avisos

• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601
• https://www.cisecurity.org/advisory/a-vulnerability-in-the-microsoft-cryptographic-library-crypt32dll-could-allow-for-remote-code-execution_2020-005/
• https://www.us-cert.gov/ncas/alerts/aa20-014a
• https://www.cisa.gov/blog/2020/01/14/windows-vulnerabilities-require-immediate-attention
• https://kb.cert.org/vuls/id/849224/
• https://cyber.dhs.gov/ed/20-02/
• https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF