Avsnittet: 151 – Spear phishing och fallet Carbanak/Cobalt
Inspelat: 2021-01-28 (publicerat 2022-01-30)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Carbanak

Medan du lyssnar – Carbanak

Bra att komma ihåg med Carbanak är att både gruppen och verktyglådan de använder bär detta namn, så det inte uppstår förvirring när ni lyssnar på poddavsnittet.

7:42 – elaka bilder

Vi talar om JPG-sårbarheter och hur en bild kan innehålla skadlig kod och utlösas när man visar bilden i till exempel ett mailprogram. Jag minns att första gången jag hörde att det hittats i Windows och sedan använts på bred front var 2004.

9:42 – är Bankomat ett varumärke?

Helt riktigt, det är det givetvis. Jag hade inget problem att hitta informationen på varumarkesportal.se:

”All vår verksamhet och alla våra erbjudanden representeras av ett enda varumärke – Bankomat®. Under vårt varumärke samlas alla våra tjänster; uttag, insättning, uttag av utländsk valuta, kontoutdrag, överföringar samt ändring av PIN.”

På Engelska heter det ju själv maskinen ATM (Automatic Teller Machine).

14:20 – Verktygens spridning

Det är svårt att säga något generellt om hackergruppernas verktyg. Dessa håller många av dem för sig själva, men en del säljer dem faktiskt. Gissningsvis beror det på om de sysslar med att huvudsakligen använda dem själva eller sälja dem till andra hackare. Jag vill även nämna att dessa verktyg är specialiserade för en viss typ av verksamhet och inte är samma sort som du hittar i till exempel KaliLinux. När man tittar på dessa verktygslådor, går det att konstatera att standard verktyg som Mimikatz ofta används av grupperna som en del av deras verktygslåda. Både jag och Mattias inser att det är svårt att säga mycket om hur just Carbanak arbetar.

17:43 – Citrix escape

Det är vanligt att attackerare ger sig på hårt nedlåsta terminalservrar och sedan måste slå sig ut ur deras nedlåsningar. Tänk dig att en terminalserver eller en kioskmaskin förbjuder dig att öppna kommandoprompten, vilket är mycket vanligt.

Här är ett exempel på den vanligaste vägen hackare tar sig runt denna begränsning.

Om du använder ”Öppna fil”-dialogrutan, kan du gå ner i System32-katalogen trots att du inte ser enhetsbokstäverna.

Då kan du dra ftp.exe och släppa på någon av .dll-filerna (inte alla funkar, experimentera!). Då kommer du se att FTP-konsolen öppnas. I denna skriver du ! och trycker enter. Detta betyder, ”ge mig en kommandoprompt” och …

… Nu har vi en kommandoprompt. Det är givetvis möjligt att låss ner med Applocker, men även mot detta finns det vägar runt. Carbanak använde en annan, men liknande metod för att komma förbi nedlåsningen.

27:53 – Fibonacci

Här måste jag erkänna en felsägning. 2-4-8-16 är ett klassiskt exempel på en icke-linjär ökning. Men det är i sig inte en Fibonacci-serie. I en sådan genereras varje nytt nummer genom att addera de två föregående med varandra. Men poängen kvarstår givetvis.

28:19 Vika papper till månen

42 gånger är det rätta svaret, tydligen. Jag läste 50 på baksidan av ett mjölkpaket, men sen när är Arla en auktoritet på området matematik? Alltså om du viker ett vanligt ark av papper dubbelt, kan du efter 42 vikningar nå månen med höjden på det.

Nästa fråga: hur många änglar kan dansa på ett nålshuvud?

Länkar – Carbanak

• Nordlo
• Hur det gick till
• Övergripande skiss över attacken
• Hur gruppen försökt attackera Ryssland och Rumänien
• Ett exempel på en Windows sårbarhet från 2004 där en JPG-bild kan ”hacka maskinen”
• En av deras viktigaste verktyg heter ”Carbanak”, precis som gruppen
• Fibonacci sequence
• Vika papper till månen

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #151 – Spear phishing och fallet Carbanak/Cobalt dök först upp på IT-säkerhetspodden.

Avsnittet heter #99 – Hur man blir hackad med David Jacoby
Det spelades in 2020-11-01 och lades ut 2020-11-08.
Deltagare: Erik Zalitis och Mattias Jadesköld
Detta avsnitt är ett samarbete med SIG Security.
Show notes skrivna av Erik Zalitis.

Någon vitsig typ föreslog att vi skulle byta titeln till ”Hur man blir hackad AV David Jacoby”. Och det vore onekligen en roligare rubrik. Så till avsnittet…

Jag startade Rodecastern några minuter i fyra söndagen den 1 november 2020 efter att ha fått kontakt med David som sprang runt i sitt hus med sitt headset på. Vi kom att prata i 90 minuter, men någonstans måste man ju dra en gräns, så avsnittet är knappt 60 minuter. Bland det bortklippta i detta videosamtal finns när jag fick se Davids alla Amigor, C64or och Ataris som fanns i källaren. Han har också ett antal BBS:er som man kan ”ringa” till via telnet också.. Otroligt häftigt.

Snacket kom dock att handla om hans jobb som ”evangelist” och jag försökte ta reda på om det är teknikerroll som också gör dig till en säljare. Det håller inte David med om, utan påpekar att han istället vill prata om säkerhetsproblem och lösningar med en publik som inte vill ha en djup teknisk beskrivning, utan snarare en aha-upplevelse.

David håller inte heller riktigt med om att han är ett varumärke själv. Men hans evangelism sätter faktiskt både honom och hans arbetsgivare, Kaspersky, på kartan. Han har synts i TV-program, hörts i poddar och uttalats sig offentligt i IT-säkerhetsfrågor. Det är vad evangelismen innebär i stora drag, eller vad han ser som en viktig del av den.

Här är attacktyperna vi diskuterade och som David rankade efter hur allvarliga de är just nu:

• Phishing.
• Attachment (skadlig kod i bilagor).
• Sårbarheter (Buffertöverskrivningar).
• Fake-antivirus och uppdateringar.
• Social engineering.
• DoS (Denial of service).
• XSS, CSRF (session hijacking).

Två frågor som han ställde till mig var:

• Hur mycket får jag köpa din Facebook-sida för?
• Hur tror du pass blir stulna?

Ska inte avslöja något om svaren, men de är väldigt intressanta och visar hur hackare tänker och hur annorlunda det är mot andra personer.

Errata

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om något vi sagt.

Länkar

Davids arbetsgivare, Kaspersky:
https://www.kaspersky.se/

Vårt förra avsnitt med honom:
https://www.itsakerhetspodden.se/podcast/46-david-jacoby/

Presentation av honom hos Kaspersky:
https://www.kaspersky.se/about/team/david-jacoby

En riktig jobbigt typ att ge hemelektronik till är han också:
https://www.expressen.se/nyheter/david-jacoby-hackade-sin-hemelektronik/

Allt detta gjordes möjligt att SIG Security:
https://www.sigsecurity.org/

Davids hemsida för de som inte är helt fast i sociala medias garn:
http://www.davidjacoby.se/

Inlägget Show Notes för #99 – Hur blir man hackad med David Jacoby dök först upp på IT-säkerhetspodden.

Vi verkar just nu vara fast i att prata nuet och allt det bär med sig. Detta kommer nog pågå ett tag, så låt oss se vad som händer i IT-säkerhetsvärlden just nu när vi är mitt i andra veckan i April 2020.

Först är det väl bra att kolla på våra tidigare poddar och bloggar om ämnet:

• (Podd) Att jobba hemifrån (2020-03-20)
• (Blogg) Status i Corona-tider (2020-04-01)
• (Podd) Attackerarna som utnyttjar krisen. (2020-04-05)

Vad händer just nu

Söker du på scam? Förbered dig på att bli lurad!

Vi pratade redan förra veckan om hur det sprids reklamannonser för Bitcoin trick, som kan göra dig rik, men som bara är en fasad för att lura av dig pengar och givetvis inte är något Bill Gates försöker erbjuda dig. Men tänk om du ser en sådan reklam och tänker ”jag ska kolla om detta är fejk”. När du googlar på namnet på företaget eller siten och lägger till ordet ”scam” efter det i sökningen, får du ofta upp en gransknings-site som första resultat. Denna utger sig för att undersöka bedrägerier och listar just den siten du sökte på och berättar glatt att den ABSOLUT INTE är skadlig eller ett bedrägeri. Gissa vem som skapat denna gransknings-site? Kan det vara samma gäng som försöker lura av dig dina pengar? Det är vad jag skulle satsa på, men inte på deras site om jag säger så…

Zoom blir en allt större katastrof

Bråket om kommunikationslösningen Zoom blir allt mer absurt. Förutom många sårbarheter som kan sätta användarna i risk, har företaget bakom programmet ljugit och påstått att trafiken krypteras mellan datorerna som kommunicerar utan att någon centralt system dekryptera det, när det inte stämmer alls. Sen har de dessutom hanterat situationen på ett mycket tveksamt sätt. Jag kan bara säga att jag anser att Zoom är en mycket osäker produkt där tillverkaren inte inger något förtroende och trafiken kan avlyssnas av Zoom själva.

MSB kommer med ett antal rekommendationer för den som vill köra Zoom. Själv har jag bara en rekommendation: använd inte Zoom överhuvdtaget. Cert.se är alldeles för snälla.

Släpp dårarna fria – det är vår

På allehanda kanaler sprids saker som är rent nonsens med en enorm fart. Idag tittade jag på ett YouTube-klipp där en kvinna pratar om att Vaccinet mot Corona kommer med chip som kontrollerar dina chakras på ett negativt sätt… Du blir tydligen en robot… Zoonade ut mentalt innan jag fick klart för mig exakt hur hennes teorier fungerade. Ni vet det, men i skrivande stund finns inget vaccin mot SARS-CoV-2 som ger dig Covid19, alltså det vi i dagligt tal kallar Corona-viruset.

Underrättelsenverksamheter ökar

Booz Allen Hamilton, en privat säkerhetskonsult som anlitas av USAs myndigheter anser att de nu kan förutspå kommande cyberattacker från Ryssland. Det kan de nog, tills GRU ändrar sin taktik.

Någon hackergrupp på ”den Koreanska halvön” (Nord eller Syd undrar undertecknad?) har hackat Kinesiska myndigehter via sårbarhet i en VPN-lösning. Säkerhetsfirman Qihoo 360 tror de försökte tar reda på hur Kina hanterar Coronakrisen.

Motmedel mot Corona-phishing

Siten coronavirusphishing.com gör det möjligt att söka på mail och lära sig hur bedragarna arbetar. Tyvärr presenterar de mailen som bilder, vilket gör det lite svårare att arbeta med, men ändå värt att kolla på.

Framtiden, mörk eller ljus?

Bruce Scheiner tror vi går mot ännu mer övervskning i svallvågorna av viruset. Kanske en större än efter World Trade Center-attacken.

Näst sist vill jag bjuda på några korta berättelser från Stockholm i dessa tider som jag skrivit under de senaste veckorna. De är personliga och handlar inte om IT-säkerhet, men om detta intresserar er, finns de här…

Jag vill avsluta med att beklaga att ölstorten ”Corona Beer” inte säljer så bra just nu och deras fabrik i Mexico står still… Livet är inte rättvist.

Mvh

Erik Zalitis

Inlägget Fortsatt status i Corona-tider dök först upp på IT-säkerhetspodden.