VGB POWERTECH 10 (2019)

Bedrohungslage Cyber-Security in der Energiewirtschaft: Insider-Betrachtungen 2019 VGB PowerTech 10 l 2019
Hierdurch wird das Gerät gezwungen,
sich durch Senden eines Deauthentification-Paketes
(deauth) erneut zu verbinden.
––
Lasse airodump -ng laufen, öffne ein
zweites Terminal und tippe dort ein:
aireplay -ng -0 2 -a [router bssid] -c
[client bssid] mon0
–0 ist ein Shortcut für den deauth mode
und die 2 ist die Anzahl der zu versendenden
deauth Pakete.
-a zeigt die SSID des Access Points
(Routers) an; ersetze [router bssid]
durch die BSSID des Ziel-Netzwerks, z.B.
00:14:BF:E0:E8:D5.
-c zeigt die BSSID des Clients an. Ersetze
[client bssid] durch die BSSID des verbundenen
Clients; diese findest du unter
„STATION“ aufgeführt.
Und mon0 meint einfach das Monitor Interface;
ändere es, wenn deins anders ist.
Ein vollständiger Befehl könnte wie folgt
aussehen:
aireplay -ng -0 2 -a 00:14:BF:E0:E8:D5
-c 4C:EB:42:59:DE:31 mon0
––
Nun wird Enter gedrückt. Man kann sehen,
wie aireplay -ng die Pakete verschickt,
und innerhalb von Augenblicken
sollte die entsprechende Nachricht
in der airodump-ng Anzeige zu sehen
sein:
––
Öffne ein weiteres, neues Terminal und
tippe folgenden Befehl ein:
aircrack -ng -a2 -b [router bssid] -w
[path to wordlist]
-a ist die Methode, die aircrack anwenden
wird, um den Handshake zu knacken,
2 ist die WPA-Methode.
-b steht für BSSID; ersetze [router bssid]
durch die BSSID des Ziel-Routers, z.B.
00:14:BF:E0:E8:D5.
-w steht für wordlist; ersetze [path to
wordlist] durch den Pfad zu einer Wordlist,
die du heruntergeladen hast. Vielleicht
hast du z.B. „wpa.txt“ im Stammverzeichnis
./root/Desktop/*.cap ist der
Pfad zur .cap Datei mit dem Passwort;
der *ist in Linux ein Platzhalter und angenommen,
dass es keine anderen .cap
Dateien auf deinem Desktop gibt, sollte
dies so wunderbar funktionieren.
Der vollständige Befehl würde dann so
aussehen:
aircrack -ng -a2 -b 00:14:BF:E0:E8:D5
-w /root/wpa.txt /root/Desktop/*.cap
––
Nun wird aircrack-ng das Knacken des
Passwortes starten. Das Passwort kann
allerdings nur dann gehackt werden,
wenn es sich in der ausgewählten Wordlist
befindet. In der Regel wird es aber
dort zu finden sein.
An dieser Stelle nochmals zum Schluss
der Hinweis, dass man dies nur im eigenen
Unternehmen im Rahmen der IT-Sicherheitsüberprüfung
nach ausdrücklicher Genehmigung
der obersten Leitung realisieren
darf. Alles andere stellt eine Straftat
dar.
Interessierte Leser werden sicherlich im
Rahmen der Lektüre die Internetseite tarnkappe.info
finden. Hier sei direkt darauf
verwiesen, dass diese Seite zwar interessante
Informationen für den interessierten
Leser bereithält. Gleichwohl muss natürlich
darauf verwiesen werden, dass nicht
alles, was dort (in der Theorie) beschrieben
wird auch praktisch ausprobiert werden
darf.
NSA-Hilfsmittel GHIDRA
Nichts wird kontroverser diskutiert als die
NSA. Seit WikiLeaks ist uns ein sehr mächtiges
NSA-Tool bekannt, welches von der
NSA auf der RSA Konferenz 2019 freigegeben
wurde, das NSA Hilfsmittel GHIDRA.
GHIDRA ist eine Open-Source „Software
Reverse Engine (SRE)“ Die Aufgabe des
quelloffenen und kostenlosen Programmes
ist es, Schwachstellen in Software zu finden,
damit Programme sicherer werden
und weniger oder im Idealfall keine Sicherheitslücken
enthalten. Zu diesem Zweck
kann Ghidra ausführbare Programme (Executables)
zerlegen, um sie anschließend
auf kritische Fehler hin zu analysieren.
Die Homepage von GHIDRA lautet:
https://ghidra-sre.org/
Das in Java und C++ geschriebene Programm
kann direkt downgeloadet werden
unter:
https://ghidra-sre.org/ghidra_9.1-BETA_
DEV_20190923.zip
Natürlich kann man das Programm auch
von einem deutschen Server downloaden.
Als Beispiel wäre hier zu nennen:
https://www.heise.de/download/product/ghidra
Dass GHIDRA gerade für die Energiewirtschaft
wie geschaffen ist kann man daran
erkennen, dass derzeit folgende Architekturen
unterstützt werden:
––
16, 32 und 64 bit x86
––
ARM und AARCH64
––
PowerPC 32/64 und PowerPC VLE
––
MIPS 16/32/64
––
MicroMIPS
––
Motorola 68xxx
––
Java / DEX Bytecode
––
PA-RISC
––
PIC 12/16/17/18/24
––
Sparc 32/64
––
CR 16C
––
Z80
––
6502
––
8051
––
MSP430
––
AVR8
––
AVR32
Die Vergangenheit hat uns natürlich gelernt,
dass man sich bei der NSA niemals in
Sachen Backdoors sicher sein kann. Aber
deshalb gibt es auch Sandboxes, die hier
ganz hilfreich sind.
Katastrophales
Patchmanagement
44.000 unsichere VPN Server:
Am 26.08.2019 14:06 verbreitete das Notfallteam
des Bundesamtes für Sicherheit in
der Informationstechnik (BSI) CERT-Bund
auf Twitter folgende Warnmeldung:
„Eine kritische Schwachstelle in der weit
verbreiteten VPN Lösung Pulse Connect Secure
wird von Angreifern aktiv ausgenutzt,
um VPN Server zu kompromittieren.
Quelle: https://t.co/zN9A3h8d2M
Kombinieren Angreifer zwei Sicherheitslücken
(CVE-2019-11510, CVE-2019-11539)
in Pulse Connect Secure könnten sie unter
Umständen Server kompromittieren und
die Kontrolle übernehmen. Durch das Ausnutzen
einer als kritisch eingestuften
Schwachstelle mit Höchstwertung (CVSS
Score V3 10 von 10) bekommen Angreifer
unter Umständen Zugriff auf Log-in-Daten.
Damit ausgerüstet ist es vorstellbar, dass sie
eigenen Code auf Servern ausführen und so
in VPN-Verbindungen eindringen könnten.
Wir reden hier von über 44.000 betroffenen
Servern. Schauen wir uns an dieser
Stelle einmal an, welche Länder mit wie
vielen VPN Servern am 26.08.2019 betroffen
waren (Ta b e l l e 2 die Top 10):
Tab. 2. 44.000 unsichere VPN-Server,
Länderübersicht.
Nr. Land Betroffene Server:
1 USA 5.010
2 Japan 1.511
3 Großbritannien 830
4 Deutschland 789
5 Frankreich 626
6 Niederlande 420
7 Israel 406
8 Schweiz 307
9 Kanada 296
10 Südkorea 281
Bis heute ist dieses Problem nur rudimentär
gelöst. Was für ein riesiges Sicherheitsproblem
sich dahinter verbirgt, wird oftmals
verkannt.
Die unberücksichtigten Hinweise des
US-Departments CISA des Homeland
Security Ministeriums
Die besten Ergebnisse über Sicherheitsanforderungen
finden sich im US-Department
CISA, wobei die Warnmeldungen
downzuloaden sind unter: us-cert.gov
Es finden sich hier
––
Konkrete Hinweise in Sachen SCADA-
Systeme, die 2019 viel geringer ausfallen
als in den Jahren 2016 und 2017:
ICS-ALERT 19-228-01:
Mitsubishi Electric Europe B.V. smart
RTU and INEA ME-RTU (Update A)
40