Autore: dmzware

NTLM reflection vulnerability, di nuovo!

CVE-2025-33073 è una vulnerabilità sfruttabile da remoto (RCE) se sul target (sistemi Windows) è attivo il servizio SMB sprovvisto di firma digitale nei domini AD (Active Directory) on-premises in cui il sysadmin ha lasciato le impostazioni di default (diciamo il 99% dei casi?🤑😱😈).

Perché dovresti preoccupartene se non hai ancora aggiornato Windows? Poiché sfruttando questa vulnerabilità, un attacker riuscirebbe a fare privilege escalation (permette di ottenere i permessi da SYSTEM partendo da un account con pochi privilegi) in poco tempo sulla maggior parte di host Windows sprovvisti di firme SMB.

Per agevolare il rilevamento dell’exploit è possibile utilizzare la seguente query KQL progettata per identificare richieste DNS sospette, ossia con informazioni di destinazione potenzialmente indicative dello sfruttamento di CVE-2025-33073

Link di approfondimento:
– Link1
– Link2 (PoC originale, pubblicata il 14-giugno-2025)
– Link3 (PoC di approfondimento)

Sessioni Windows anomale, un tool FOSS per rilevarle da remoto

Ti sei mai chiesto come rilevare eventuali sessioni utente sospette o insolite sui computer del tuo dominio Windows? FindUnusualSessions è un tool di enumerazione delle sessioni remote che sfrutta il protocollo Windows RPC per agevolare il rilevamento di anomalie relative agli utenti connessi alle tue reti.

🛠️ Funzionalità principali:
✅ segnala utenti di dominio esterni insoliti o inusuali che potrebbero costituire un sintomo di movimenti laterali o compromissioni non ancora individuate dai tuoi XDR/EDR
✅ utilizza RPC per interrogare da remoto i dispositivi Windows

OpenSSL e crittografia post-quantum

Manca poco (8 aprile 2025) al rilascio di un innovativo software gratuito per applicare crittografia moderna: OpenSSL 3.5.

Per la prima volta un’intera gamma di applicazioni, inclusi i web server, saranno in grado di utilizzare PQC (Post Quantum Cryptography) e quindi di migliorare la Cybersecurity del settore nonché dei servizi erogati. OpenSSL è la libreria globalmente più utilizzata per cifrare file e stream, e appunto dalla versione 3.5 supporterà la sostituzione del protocollo crittografico ECDH con ML-KEM nonché degli algoritmi RSA ed ECDSA con ML-DSA.

L’integrazione più interessante per lo scambio di chiavi sarà quella di poter utilizzare un metodo ibrido, come ML-KEM-X25519, il quale utilizza sia X25519 (con curve ellittiche) che ML-KEM per creare la chiave. Dalla versione 3.5 in avanti ci sarà anche la possibilità di applicare metodi di firma digitale ibridi, come ML-DSA-Ed25519.

Ulteriori informazioni disponibili su:
– Link1
– Link2
– Link3

Catturare flussi AV da webcam senza hackerarle

📸 E se qualcuno potesse ricostruire le trasmissioni in realtime della tua webcam senza neanche hackerarla?
In un recente studio congiunto pubblicato da due università americane e un’università cinese, i ricercatori hanno scoperto EM Eye, una vulnerabilità legata allo spettro elettromagnetico che consentirebbe un attacco side-channel in grado di permettere la ricostruzione di flussi di immagini ad alta qualità da telecamere integrate avendo a disposizione solo un’antenna, un SDR e un notebook, senza dover accedere fisicamente al dispositivo!
💥 Gli esperimenti dimostrano che gli attacker possono tecnicamente catturare attraverso i muri il segnale digitale da oltre 2 metri di distanza, riuscendo ad esempio a spiare le fotografie degli smartphone, delle dashcam, finanche immagini trasmesse dalle telecamere di sicurezza IoT.
🔍 Lo studio rivela come dalle emissioni EM involontarie generate dalle proiezione di immagini digitali trapelino informazioni visive, consentendo potenzialmente un’intera nuova classe di attacchi in stile TEMPEST. La buona notizia? Il documento propone anche contromisure a basso costo per mitigare questa minaccia informatica.
📢 Una lettura obbligata per tutti i professionisti della sicurezza informatica, i progettisti di hardware ed i sostenitori della Privacy, poiché gli attacchi a livello fisico sono tra i più insidiosi da contrastare.

OT/ICS testing lab

Testare il livello di sicurezza informatica di architetture e sistemi OT (Operational Technology, ossia l’informatica e l’elettronica che hanno a che fare con gli impianti industriali) risulta estremamente più complicato rispetto al testing dei tradizionali sistemi ICT, poiché non esistono molti simulatori OT flessibili e gratuiti.

Senza gli strumenti e gli ambienti di testing più appropriati, già solo nel settore ICT risulta oneroso:
– analizzare le API più critiche e monitorarne minuziosamente chiamate e risposte tramite SIEM
– selezionare in maniera oculata gli eventi di sicurezza informatica, analizzarli, custodire e garantire l’integrità dei log di Microsoft Windows
– analizzare in tempo reale gli eventi di switch Cisco
– gestire scrupolosamente i Syslog di sistemi Linux/Unix
– monitorare gli eventi di firewall, IDS/IPS, access point, proxy, sistemi Radius e quant’altro
– ricreare le configurazioni dei sistemi in produzione

Per il settore OT 🪖, il discorso si complica giacché:
– non è così scontato avere a disposizione un ambiente di test fisico comprensivo di tutti i componenti (presenti invece in produzione) che è necessario testare e monitorare
– hai i pezzi di ricambio completi?
– gli apparati e i sistemi usati nel mondo industriale sono costosi, spesso carenti di connettività tradizionale e complicati da installare localmente
– anche avendo budget, una copia speculare dell’hardware in produzione non è sempre disponibile per i test (chi paga se i nostri penetration test o vulnerability assessment dovessero inavvertitamente causare danni fisici agli impianti o agli operai che li utilizzano?)

💡 Pochi giorni fa è stato lanciato Labshock, un laboratorio virtuale ICS gratuito.
Molti utenti lo hanno installato, e dopo svariati test non hanno riscontrato (almeno per il momento) bug critici.

🟢 Cos’è Labshock?
È un laboratorio virtuale per l’apprendimento di sistemi ICS e OT. Costituito da una piattaforma versatile sia per la configurazione che per il testing avanzato, emula sistemi ICS consentendo di:
– mettere in pratica tecniche di rilevamento e risposta ad attacchi informatici industriali
– configurare PLC
– apprendere meglio le reti e i sistemi ICS
– esplorare sistemi SCADA
– emulare PLC multivendor
– effettuare in sicurezza il pentesting e il monitoraggio di sistemi OT
– creare e testare regole di correlazione per minacce informatiche industriali usando SIEM OT

🌟 Requisiti tecnici:
[RAM] SCADA 150 MB, PLC 80 MB, router 1 MB
[CPU] occorre limitare individualmente le risorse per ogni servizio
[HDD] piccolo come un singolo file di un film o di una VM

Sei interessato a formazione o a simulare scenari di breach attraverso LabShock? Contattami!

Letture e risorse di approfondimento:
– Link1
– Link2
– Link3
– canale Discord del progettista
– Link5

Ricostruire i logon/logoff con LogonTracer

LogonTracer è uno di quegli strumenti Open Source che non dovrebbe mai mancare nell’arsenale di chi s’occupa di Incident Response e/o di Digital Forensics (DFIR)

Questo software analizza gli eventi correlati agli accessi (logon andati a buon fine), associa gli hostname (e/o gli indirizzi IP) e gli account correlati visualizzandoli in un grafico schematico: in questo modo è possibile vedere in quale account si verifica il tentativo di accesso, e quale host viene utilizzato. È davvero utile per controllare rapidamente gli account compromessi in contesti Microsoft AD (Active Directory) aziendali.

Nei grafici generati da LogonTracer ogni indirizzo IP, così come ogni hostname, viene rappresentato da un nodo avente delle connessioni (che rappresentano l’ID dell’evento) all’altro nodo (utente). LogonTracer consente quindi di filtrare, cercare ed esportare risultati, visualizzare la cronologia, e molte altre funzionalità.

Utilizza anche PageRank, il modello Hidden Markov e ChangeFinder per rilevare host ed account dannosi analizzando l’Event Viewer.

È anche possibile visualizzare i registri eventi in ordine cronologico:

Valido strumento da affiancare all’utilizzo di un SIEM (attenzione: da affiancare, non con cui sostituire!), puoi scaricarlo gratuitamente dalla pagina ufficiale del tool.

🔴 Attenzione: rammenta di abilitare l’audit su ogni workstation su cui desideri analizzare le attività di accesso (Audit Credential Validation, Audit Kerberos Authentication Service, Audit Kerberos Service Ticket Operations, Audit Logon, Audit Special Logon, Logoff)

Active Directory penetration testing, un ottimo lab gratuito.

Vero, ci sono già HackTheBox, i lab e le certificazioni del SANS Institute, così come le certificazioni e i lab di OffSec… indubbiamente ottimi lab per esercitarsi col penetration testing in ambito Microsoft, ma hanno un loro costo, e soprattutto una loro scadenza.

Se invece vuoi farti un po’ le ossa gratuitamente, puoi usare GOAD: un laboratorio virtualizzato (giunto alla versione 3 (v3) nel momento in cui sto scrivendo) comprensivo di svariati scenari Active Directory (domini e foreste, piccole, medie, grandi realtà ecc..) volutamente vulnerabili.

Scenario GOAD comprensivo di 5 VM, 2 foreste e 3 domini (full goad lab) volutamente vulnerabili ad attacchi informatici

Link al progetto e alla documentazione.

Writeup disponibili (lista in aggiornamento):
– https://xbz0n.sh/blog/adcs-complete-attack-reference (compromissione di ADCS!)
– https://mayfly277.github.io/categories/goad/ (ciclo di 14 lezioni)
– libro sul penetration testing di Active Directory che si avvale di GOAD

Tool specifici per il testing della sicurezza di ADCS:
– LockSmith
– Intune
– ESC5

NIS2 – Iscrizione delle organizzazioni

Inizia oggi, 1 dicembre 2024, il periodo (che terminerà il 28 febbraio 2025) per iscrivere le organizzazioni soggette alla direttiva NIS2, pubbliche e private, sulla piattaforma messa a disposizione dall’Agenzia per la Cybersecurity Nazionale. La registrazione in questione è quella prevista dal primo comma dell’art. 7, D.Lgs. 138/2024. Nonostante in tale norma sia specificato che la registrazione può essere effettuata dal 01 gennaio al 28 febbraio di ogni anno successivo all’entrata in vigore della direttiva NIS2, in fase di prima applicazione è previsto che la registrazione possa avvenire a partire dalla data di pubblicazione della piattaforma (art. 42, comma 3, D.Lgs. 138/24) ergo dal 1 dicembre 2024.

Per associare il punto di contatto al soggetto è necessario indicare:
– per le pubbliche amministrazioni, il codice IPA
– per i soggetti pubblici e privati, il codice fiscale.
Il punto di contatto dovrà caricare il titolo giuridico che lo abilita ad operare per conto del soggetto nel contesto NIS (a meno che non sia il rappresentante legale o un procuratore generale). Il processo di censimento del punto di contatto e l’associazione al soggetto NIS si conclude con l’invio di un link di richiesta di convalida al domicilio digitale del soggetto stesso. La dichiarazione che il punto di contatto dovrà compilare è suddivisa in 4 sezioni:
– contesto
– caratterizzazione
– tipologie di soggetto
– autovalutazione

Dopo aver compilato la dichiarazione, il punto di contatto dovrà prendere visione del riepilogo delle informazioni fornite, accettare le clausole di responsabilità e trasmettere la dichiarazione all’Agenzia. Una copia della dichiarazione verrà inviata al domicilio digitale del soggetto.

Buona iscrizione a tutti!