IP adresy Gmailu jsou na blacklistu SORBS DNSBL

foldy

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #60 kdy: 11. 02. 2017, 16:25:05 »

Pročpak bych ti jinak psal že je potřeba nahrát obsah na web infikovaného odesílatele A hm ?
Protože jste si to vymyslel, hm? Zatím jste ani nedokázal napsat, kdo je to vlastně ten A a jaké služby mu poskytuje jeho provider. Když A odesílá faktury, je to asi účetní nějaké firmy. Provider té účetní – no dobře, asi jste tím myslel firemní IT. Napadením účtu účetní získá útočník zároveň možnost upravovat web – aha, takže účetní dělá zároveň na půl úvazku webmastera. Máte to fakt dobře promyšlené.

Já chápu že tvoje verze útočníka se bude snažit psát nějaké exploity do prohlížeče.
To vychází z vašeho tvrzení „pošle url link s odkazem na exploit“. Takže jste asi nemyslel exploit na webový prohlížeč. OK, takže útočník „pošle URL link s odkazem na exploit“, přičemž to URL se nebude otvírat ve webovém prohlížeči. V jakém programu se tedy to URL otevře? A když se to URL nebude otvírat ve webovém prohlížeči, k čemu je tedy dobré nahrávat exploit na webový server?

No a rozdíl mezí tvou verzí omezeného útočníka a úspešným útokem je v detailu, který jsi naprosto ignoroval a je potřeba k úspěšné kompromitaci MUA potřeba.
Ve vašem příkladu už útočník (neřešme jak) získal možnost posílat jménem uživatele A e-maily a přenastavit mu poštovní filtry. Co by získal ještě větší kompromitací MUA?

A je již ukradený účet dejme tomu třeba zelinář na t-online.de, B v jejichž struktuře je neinfikovaný uživatel používající konkrétní verzi outlooku na konkrétních widlích se kterým A komunikuje a je u jiného providera. Na webu A je nahrán skript připravený pro ten konkrétní email, protože zelináři mají super top zabezpečené weby že ano... A pošle email B, který obsahuje ten link, no a věřte nebo ne, nemusí nikdo nic otvírat a zjistíte hash toho hesla... Rozšifrovat konkrétní hash případně rovnou heslo. Hash samozdřejmě není nerálné rozlousknout, zvláště konkrétní typy že ano... Podmínkou je to aby ten připravený skript ležel na doméně odesílatele. Kompromitací MUA B získáte hlavně heslo a to nejkratší možnou cestou na jeden email a jeden request. Čili úspěšný útok na sledování druhé schránky většinou vyžaduje 1 email a jeden IP přístup pro nastavení těch pravidel na mailserveru providera. To je dost malá stopa a smyslem je co nejmenší šance na odhalení. Zbytek je většinou už nudný, často bývají takto sledovány 3-4 schránky z domény A i B po dlouhou dobu, při jedné investigaci jsem viděl i půl roku. Pak se pošle nějaká faktura nebo serie faktur, počká se až se zaplatí a v závislosti na infiltraci do obou firem se na ně provede nějaký krycí útok, kterého si všimnou a řeší ho a současně s ním je celkem běžné že zaheslují účetní systémy, mažou zálohy z NASů apod. Než to nějací admini obnovíí z pásek a zprovozní a dojde k nějaké kontrole u A i B tak uběhnou 2 měsíce, prachy fuč, účty zrušené a prachy vyprané. Zelinář (A) o nic nepřišel B má velký problém. Zelinář nic moc u sebe nezmění a neřeší to, protože o nic nepřišel a za pár let je použit k jinému útoku, už jsem viděl konkrétně u t-onlinu, pak jsou provideři, kterým když předáte všechny data a sdělíte problém s návrhem konkrétního řešení tak ani neodpoví a jejich klient také nic neřeší protože u něj škoda nevznikla. Takový provider je pak na permaban u nás, viz kundenserver.de, ale i mnoho dalších.
Proč tomu zamezí v počáteční fázy IP blokace sorbsu jsem již psal. Do větších detailů se nepouštím schválně, jednak takové kvantum dat není pro forum a jednak se takovéto informace nepouštějí do veřejného internetu, aby jsme samozdřejmě někoho nenaváděli a nedávaly mu zdarma návody aby nás příště obešel...
Tenhle stav trvá již stabilně 6 let. Nikdo to neřeší a v DE za poslední rok vyčíslily škody na podobných útocích na 200mil eur za rok 2015. Jen za leden identifikovaných 5 takových pokusů na našich 40tis doménách.


Lol Phirae

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #61 kdy: 11. 02. 2017, 17:14:24 »
Do větších detailů se nepouštím schválně, jednak takové kvantum dat není pro forum a jednak se takovéto informace nepouštějí do veřejného internetu, aby jsme samozdřejmě někoho nenaváděli a nedávaly mu zdarma návody aby nás příště obešel...


Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #62 kdy: 11. 02. 2017, 17:40:50 »
A je již ukradený účet dejme tomu třeba zelinář na t-online.de […]  Na webu A je nahrán skript připravený pro ten konkrétní email, protože zelináři mají super top zabezpečené weby že ano...
Takže osoba A má u jednoho poskytovatele e-mailový účet, někde jinde hostuje webové stránky, které si spravuje nejspíš sama, takže zabezpečení nic moc. Dejme tomu, že ten e-mailový účet je zelinář@gmail.com, web provozuje na zelinář.webnode.cz. Útočník nějak (neřešme jak) zjistí heslo k e-mailu zelinář@gmail.com, a dotyčný uživatel A má v tom e-mailu uložené aktuální heslo do administrace webu, takže se útočník dostane i tam. GMail je velký poskytovatel a podepisuje e-mail DKIM, takže jsou tak podepsané i e-maily A. OK, tohle zatím dává smysl.

B v jejichž struktuře je neinfikovaný uživatel používající konkrétní verzi outlooku na konkrétních widlích se kterým A komunikuje a je u jiného providera.
B je tedy asi nějaká firma, která má nějaké zaměstnance, používají Windows a Outlook. S některým zaměstnancem firmy B běžně komunikuje osoba A.

A pošle email B, který obsahuje ten link, no a věřte nebo ne, nemusí nikdo nic otvírat a zjistíte hash toho hesla...
„Hash toho hesla“? Jakého hesla? „Toho“ je zájmeno, zájmena se používají místo (podstatných) jmen („za jméno“), tedy odkazují na něco, co bylo již dříve zmíněno. O žádném hashi hesla nebyla řeč. Jediné heslo, o kterém byla řeč, bylo heslo uživatele A. A to už útočník zná – pokud mermomocí chce znát jeho hash, může si ho spočítat.

Pokud útočník poslal jenom odkaz v e-mailu, na ten odkaz (webovou stránku) nikdo nepřistoupí do té doby, než na ten odkaz někdo neklikne a odkaz neotevře ve webovém prohlížeči. Takže žádné „nikdo nemusí nic otvírat“. Jediné, co by se mohlo v poštovním klientovi otevřít z webu „samo“, by byl například obrázek vložený do e-mailu (což pořád vyžaduje alespoň otevření toho e-mailu, ale to není pro útočníka překážka). To pak ale ten e-mail neobsahuje link, ale obrázek vložený odkazem, což je něco jiného. A hlavně je v takovém případě zbytečné, aby se útočník crcal s napadáním webového serveru, když může ten obrázek normálně vložit přímo do e-mailu.

Ano, je možné, že například knihovna pro zobrazení obrázků měla chybu, která umožňovala spuštění kódu (v tomto případě v kontextu poštovního klienta) a firma B měla neaktualizované verze Outlooku.

Rozšifrovat konkrétní hash
Víte, co je hash? Hash je jednocestná funkce, která množinu nekonečně mnoha vstupů mapuje na konečnou množinu výstupů. Jednoduchá hashovací funkce (ne kryptografická) je například taková, která z textu vezme jen poslední písmeno. Takže mapuje „a“ → „a“, „ab“ → „b“, „aba“ → „a“ atd. Když budete mít hash „a“, jak ho chcete „rozšifrovat“? Jak zjistíte, zda na vstupu bylo „a“, „aa“, „aba“, „abrakadabra“ nebo cokoli jiného končícího na „a“? Hash nemůžete rozšifrovat. Můžete nanejvýš najít nějaký vstup, který vede na konkrétní hash.

Hash samozdřejmě není nerálné rozlousknout, zvláště konkrétní typy že ano...
I jen hloupé osolené SHA-1 nerozlousknete, pokud nejste NSA nebo pokud uživatel neměl slabé heslo.

Podmínkou je to aby ten připravený skript ležel na doméně odesílatele.
Doména odesílatele je v tomto případě gmail.com, a o tom, že by na webu (pokud jste tím „skript ležel na doméně“ myslel web) gmail.com měl útočník nějaký svůj skript nebyla řeč. Navíc jste nenapsal, proč by to mělo být podmínkou. Jestli to měla být podmínka toho, aby se obrázek v e-mailu zobrazil, pak je to dost nepravděpodobné – zobrazení obrázků v poštovním klientovi se buď kompletně vypíná nebo zapíná, zobrazení obrázků pouze z webu se shodnou doménou, jako je doména adresy odesílatele, se nepoužívá. Protože to vypínání obrázků neslouží jako obrana přes exploity v obrázcích, ale jako obrana před sledováním přečtení e-mailu. A jak už jsem napsal, pokud potřebujete do poštovního klienta dostat ten správný obrázek, je nejjednodušší vložit ho přímo do e-mailu, a nemusíte řešit žádné web servery ani domény.

Kompromitací MUA B získáte hlavně heslo
Tím, že jste spustil kód v Outlooku, jste ani zdaleka nezískal heslo uživatele. Zase tak hloupé ty programy nejsou, že by si jen tak pro nic za nic držely heslo uživatele v paměti.

Čili úspěšný útok na sledování druhé schránky
K úspěšnému útoku na sledování e-mailové schránky ve firmě B máte ještě daleko, zatím jste jenom spustil svůj kód v kontextu Outlooku. Ale dobře, dejme tomu že ten kód nastavil pravidla pro přesměrování e-mailů.

Zbytek je většinou už nudný
Hlavně jste ale popsal jiný útok, než dříve, a hlavně k tomu útoku nebyl potřeba kompromitovaný účet uživatele A a útoku by nijak nezabránilo, pokud by firma B používala na svém poštovním serveru blacklist. Potřeba k tomu bylo jediné – nezáplatovaný Outlook a poslat uživateli z firmy B e-mail se správným obrázkem. Všimněte si, že účet uživatele A k tomu vůbec nebyl potřeba – útočník mohl uživateli z firmy B poslat e-mail přímo. Šlo jen o to, aby se uživateli zobrazil alespoň náhled.

Zatím jsme se tedy dostali k tomu, že na uživatele firmy byl proveden úspěšný útok, kterému by firma B předešla, pokud by místo hloupostí typu SORBS aktualizovala Outlook.

Pak se pošle nějaká faktura nebo serie faktur
Tím se vracíte ke svému prvnímu popisu útoku, nicméně to nijak nenavazuje na tento váš popis útoku. Leda že by se útočník vykašlal na exploitování firmy B, konečně by využil to, že má přístupové údaje k poštovnímu účtu uživatele A, a pokud A pravidelně posílá firmě B faktury, poslal by útočník svou upravenou fakturu. Pokud by se ve firmě B spoléhali na to, že faktura je pravá, když přišla ze správného e-mailu, měli by problém. Ovšem SORBS by tomuhle útoku taky nijak nezabránil. A pro útočníka by bylo jednodušší najít si nějakého dodavatele, který nepoužívá DKIM ani SPF a poslat fakturu přímo. Pokud ve firmě B důvěřují e-mailu bez elektronického podpisu, nebudou rozlišovat, jestli byl server ověřen přes DKIM nebo SPF (zvlášť když Outlook tu informaci ani nezobrazuje).


když předáte všechny data a sdělíte problém s návrhem konkrétního řešení tak ani neodpoví
Jestli jste jim psal stejným stylem, jako píšete tady, tak to vyhodnotili jako nigerijský spam.

Proč tomu zamezí v počáteční fázy IP blokace sorbsu jsem již psal.
Tomu, co jste popsal, SORBS nijak nezamezí. Zamezilo by tomu, kdybyste používali aktualizovaný Outlook.

Do větších detailů se nepouštím schválně, jednak takové kvantum dat není pro forum a jednak se takovéto informace nepouštějí do veřejného internetu, aby jsme samozdřejmě někoho nenaváděli a nedávaly mu zdarma návody aby nás příště obešel...
Vy se nepouštíte ani do menších detailů. Tentokrát jste alespoň popsal osoby a obsazení, to je pokrok. Ale proveditelný útok jste zase nepopsal, protože si různě protiřečíte a píšete nesmysly jako „rozšifrovat hash“, přičemž žádný hash nemáte a hash nejde rozšifrovat.

Rozhodně se nemusíte bát, že by vás někdo obešel, protože zatím jste žádný použitelný útok nepopsal.

Lol Phirae

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #63 kdy: 11. 02. 2017, 18:10:30 »
když předáte všechny data a sdělíte problém s návrhem konkrétního řešení tak ani neodpoví
Jestli jste jim psal stejným stylem, jako píšete tady, tak to vyhodnotili jako nigerijský spam.

 ;D ;D ;D ;D ;D ;D  :D :D :D :D :D :D

foldy

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #64 kdy: 12. 02. 2017, 00:22:05 »
Filip Jirsák :
Jak jsem psal to byl poslední komentář dále se mi s vámi už nechce ztrácet čas. Vše bylo vysvětleno, to že se bavím o hash a vy o salt hash , které ty mailové klienty nepoužívají je prostě přesně váš styl překrucovat překrucovat, napadat ok. Snad s tím daleko dojdete, ale beze mě :D


Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #65 kdy: 12. 02. 2017, 09:25:57 »
to že se bavím o hash a vy o salt hash
Děkuji za definitivní důkaz, že sice používáte odborné termíny, ale vůbec netušíte, co znamenají. U vašich předchozích komentářů bylo potřeba přeci jen nějakých znalostí, aby to člověk odhalil, ale co je hash snad ví každý v téhle diskusi (až na vás, samozřejmě).

foldy

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #66 kdy: 13. 02. 2017, 00:04:18 »
to že se bavím o hash a vy o salt hash
Děkuji za definitivní důkaz, že sice používáte odborné termíny, ale vůbec netušíte, co znamenají. U vašich předchozích komentářů bylo potřeba přeci jen nějakých znalostí, aby to člověk odhalil, ale co je hash snad ví každý v téhle diskusi (až na vás, samozřejmě).

Důkaz :D jako vám? Jste si vědom toho že vám nemusím nic dokazovat a vzhledem k vašemu stylu komunikce ani strácet s vámi čas ? No a já volím nestrácet. Bavte se.

Lol Phirae

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #67 kdy: 13. 02. 2017, 00:23:17 »
vzhledem k vašemu stylu komunikce


JmJ

  • ****
  • 324
    • Zobrazit profil
Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #68 kdy: 13. 02. 2017, 08:56:29 »
Me by jen zajimalo, jak cela tahle diskuse pomohla zodpovedet otazku tazatele. Rekl bych, ze z 90% nijak. Hadata se o nesmyslech, pisete nesmysly a chovate se jako banda fracku. A toz tak.

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #69 kdy: 13. 02. 2017, 09:52:51 »
Me by jen zajimalo, jak cela tahle diskuse pomohla zodpovedet otazku tazatele. Rekl bych, ze z 90% nijak. Hadata se o nesmyslech, pisete nesmysly a chovate se jako banda fracku. A toz tak.
Otázka žadatele byla zodpovězena hned v první odpovědi. Google má dost serverů, takže když příjemce jednou odmítne komunikaci kvůli IP adrese klienta, příště vyjde odesílání na nějaký jiný server a ten e-mail doručí. Každopádně problém je na straně příjemce, takže jediné možné řešení je řešit to s příjemcem.

Hfhchjc

Re:IP adresy Gmailu jsou na blacklistu SORBS DNSBL
« Odpověď #70 kdy: 13. 02. 2017, 17:19:27 »
Me by jen zajimalo, jak cela tahle diskuse pomohla zodpovedet otazku tazatele. Rekl bych, ze z 90% nijak. Hadata se o nesmyslech, pisete nesmysly a chovate se jako banda fracku. A toz tak.
Ostatne jako jakakoliv jina diskuze na root. Zbyva jen doplnit, ze dobry programator vydelal prez 100k a pracuje v homeoffice aby mohl tvorit. A ze lopata dela za 50k.