Hacking Team Hack

[~thc]

Interessant - speziell im Bereich VMWare: Kapitel 9 (Crossed Cables):

http://pastebin.com/raw/0SNSvyjJ

Wenn die Angaben stimmen, dann hat Phineas in einem öffentlich zugänglichen Embedded Device (Router, VPN, SPAM Filter) einen 0day ausgenutzt, um sich Zugang zum lokalen Netz zu verschaffen.

Dabei ermittelte er/sie per Portscan offene iSCSI-Ports (Synologys).

Er/Sie hat per lsadump aus

- der LSA (SYSTEM und SAM im Dateisystem) eines Exchange-Servers in
-- einer VHD eines Windows Server Backups im
--- Dateisystem eines WSB-Volumes in
---- einer VMDK eines virtuellen Servers im
----- Datastore eines ESX auf
------ einem iSCSI-Volume

das Passwort eines Blackberry Enterprise Server Admins (besadmin) extrahiert.


- Storage offen im LAN
- iSCSI ohne Einschränkung (Masking/Authentication)
- Synologys erlauben per Default keine konkurrierenden Zugriffe mehrerer Initiatoren - das waren also vermutlich halb vergessene, auf irgendeinem ungenutzten iSCSI-Volume herumliegende Backups
- unverschlüsselte Backups

[Virtuozzi]

liest sich sehr spannend

krank, dass diese vermeintlichen profis exchange und synology appliances verwenden und dies noch ohne Maskierung/auth.