{"id":3066,"date":"2020-08-17T08:40:27","date_gmt":"2020-08-17T06:40:27","guid":{"rendered":"https:\/\/xopero.com\/blog\/?p=3066"},"modified":"2020-08-17T08:40:29","modified_gmt":"2020-08-17T06:40:29","slug":"podatnosc-w-teamviewer-find-my-mobile-z-problemami-revolte","status":"publish","type":"post","link":"https:\/\/xopero.com\/blog\/pl\/podatnosc-w-teamviewer-find-my-mobile-z-problemami-revolte\/","title":{"rendered":"Podatno\u015b\u0107 w TeamViewer \/ Find My Mobile z problemami \/ ReVoLTE"},"content":{"rendered":"\n

Je\u015bli u\u017cywasz TeamViewer, upewnij si\u0119, \u017ce korzystasz z jego najnowszej wersji. Naj\u015bwie\u017csze wydanie zawiera \u0142atk\u0119 usuwaj\u0105c\u0105 powa\u017cn\u0105 luk\u0119, kt\u00f3ra mog\u0142aby pozwoli\u0107 atakuj\u0105cym na kradzie\u017c has\u0142a systemowego i ostatecznie przej\u0119cie nad nim kontroli. Wi\u0119cej o luce CVE 2020-13699 przeczytasz poni\u017cej.<\/p>\n\n\n\n\n\n\n\n

<\/div>\n\n\n\n<\/a>\n\n\n

1. Powa\u017cna luka w TeamViewer dla Windows pozwala na \u0142amanie hase\u0142<\/strong><\/h2>\n\n\n

TeamViewer – popularne oprogramowanie wykorzystywane cz\u0119sto w pracy zdalnej – za\u0142ata\u0142o powa\u017cn\u0105 luk\u0119 (CVE-2020-13699, 8.8\/10) w swojej aplikacji dla systemu Windows. Wykorzystanie b\u0142\u0119du mog\u0142o pozwoli\u0107 nieuwierzytelnionym atakuj\u0105cym na zdalne wykonanie kodu lub z\u0142amanie hase\u0142 u\u017cytkownik\u00f3w.<\/p>\n\n\n\n

Problem tkwi w niepoprawnym korzystaniu z program\u00f3w obs\u0142ugi URI (ang. Uniform Resource Identifier) przez aplikacj\u0119 desktopow\u0105 na Windowsa. <\/p>\n\n\n\n

Uniform Resource Identifier<\/em><\/strong> (<\/em>URI<\/em><\/strong>, ang. Uniform Resource Identifier, t\u0142um. Ujednolicony Identyfikator Zasob\u00f3w) jest standardem internetowym umo\u017cliwiaj\u0105cym \u0142atw\u0105 identyfikacj\u0119 zasob\u00f3w w sieci – nazw (URN) lub adres\u00f3w (URL). URI mo\u017ce zosta\u0107 sklasyfikowane jako URL (ang. Uniform Resource Locator) lub URN (ang. Uniform Resource Name).<\/em><\/p>\n\n\n\n

Aplikacje musz\u0105 identyfikowa\u0107 URI witryn, kt\u00f3re b\u0119d\u0105 obs\u0142ugiwa\u0107. Poniewa\u017c jednak mog\u0105 odbiera\u0107 dane z niezaufanych \u017ar\u00f3de\u0142, warto\u015bci identyfikatora URI przekazywane do aplikacji mog\u0105 zawiera\u0107 z\u0142o\u015bliwe dane. W tym konkretnym przypadku warto\u015bci nie s\u0105 \u201ecytowane\u201d przez aplikacj\u0119. Oznacza to, \u017ce \u200b\u200bTeamViewer potraktuje je jako polecenia, a nie jako warto\u015bci wej\u015bciowe.<\/p>\n\n\n\n

Osoba atakuj\u0105ca mo\u017ce osadzi\u0107 z\u0142o\u015bliw\u0105 ramk\u0119 iframe w witrynie ze spreparowanym adresem URL, kt\u00f3ry uruchomi klienta pulpitu TeamViewer dla systemu Windows i zmusi go do otworzenia zdalnego udzia\u0142u SMB.<\/p>\n\n\n\n

Aby zainicjowa\u0107 atak, osoba atakuj\u0105ca mo\u017ce po prostu przekona\u0107 u\u017cytkownika TeamViewer do klikni\u0119cia spreparowanego adresu URL wykorzystuj\u0105c techniki znane z atak\u00f3w typu watering-hole.<\/p>\n\n\n\n

Gdy aplikacja TeamViewer zainicjuje zdalny udzia\u0142 SMB, system Windows nawi\u0105\u017ce po\u0142\u0105czenie za pomoc\u0105 NT LAN Manager (NTLM). NTLM u\u017cywa szyfrowanego protoko\u0142u do uwierzytelniania u\u017cytkownika bez u\u017cycia has\u0142a ani nawet jego skr\u00f3tu (hash). Po\u015bwiadczenia NTLM s\u0105 oparte na danych przechowywanych w bazie Managera kont zabezpiecze\u0144 lub bazie Active Directory. <\/p>\n\n\n\n

W scenariuszu ataku atakuj\u0105cy mog\u0105 wykorzysta\u0107 zestawy narz\u0119dzi typu Responder, przechwytywa\u0107 sesje uwierzytelniania w sieci wewn\u0119trznej oraz hashe hase\u0142, kt\u00f3re \u0142amane s\u0105 z u\u017cyciem atak\u00f3w typu brute-force i przekaza\u0107 je do maszyny docelowej, co daje to im dost\u0119p do urz\u0105dze\u0144 ofiary. <\/p>\n\n\n\n

Na szcz\u0119\u015bcie dla u\u017cytkownik\u00f3w atak jest trudny do przeprowadzenia i wymaga interakcji u\u017cytkownika.<\/p>\n\n\n\n

Podatne s\u0105 wersje TeamViewer wcze\u015bniejsze ni\u017c 15.8.3. B\u0142\u0105d dotyczy r\u00f3wnie\u017c: teamviewer10, teamviewer8, teamviewerapi, tvchat1, tvcontrol1, tvfiletransfer1, tvjoinv8, tvpresent1, tvsendfile1, tvsqcustomer1, tvsqsupport1, tvvvidepport1 i tvvvidepport1.<\/p>\n\n\n\n

Problem zosta\u0142 rozwi\u0105zany w wersjach 8.0.258861, 9.0.258860, 10.0.258873, 11.0.258870, 12.0.258869, 13.2.36220, 14.2.56676, 14.7.48350 i 15.8.3.<\/p>\n\n\n\n

\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n

<\/div>\n\n\n\n<\/a>\n\n\n

2. Find My Mobile<\/em> z licznymi b\u0142\u0119dami, kt\u00f3re nara\u017caj\u0105 u\u017cytkownik\u00f3w na pods\u0142uchiwanie i utrat\u0119 danych<\/strong><\/h2>\n\n\n

Find My Mobile to jedna z preinstalowanych aplikacji dost\u0119pna na wi\u0119kszo\u015bci popularnych modeli smartphon\u00f3w marki Samsung. Jednak jest z ni\u0105 kilka problem\u00f3w. Z powodu licznych luk w zabezpieczeniach, atakuj\u0105cy s\u0105 w stanie \u015bledzi\u0107 czasie rzeczywistym lokalizacj\u0119 ofiar, monitorowa\u0107 ich rozmowy, czyta\u0107 wiadomo\u015bci, a nawet usuwa\u0107 dane przechowywane na telefonie. To ca\u0142kiem spory zakres mo\u017cliwo\u015bci. Niepokoj\u0105ce jest r\u00f3wnie\u017c to, \u017ce sam atak jest stosunkowo prosty w przeprowadzeniu. Za\u015b jak wida\u0107, konsekwencje dla u\u017cytkownik\u00f3w s\u0105 bardzo powa\u017cne. Zaczynaj\u0105c od odci\u0119cia od us\u0142ug poprzez trwa\u0142\u0105 blokad\u0119 telefonu, poprzez utrat\u0119 danych po\u0142\u0105czon\u0105 z przywr\u00f3ceniem ustawie\u0144 fabrycznych, po wspomniane ju\u017c wcze\u015bniej \u015bledzenie lokalizacji i dost\u0119p do po\u0142\u0105cze\u0144 oraz wiadomo\u015bci.<\/p>\n\n\n\n

\u0141\u0105cznie aplikacja posada cztery podatno\u015bci \u2013 w tym jedn\u0105 pozwalaj\u0105c\u0105 przeprowadza\u0107 atak typu man-in-the-disk. Z powodu luk w zabezpieczeniach aplikacja weryfikuje, czy na karcie SD nie znajduje si\u0119 okre\u015blony plik (\u201e\/mnt\/sdcard\/fmm.prop\u201d) w celu za\u0142adowania URL („mg.URL”), W dalszym kroku tworzy ona plik, kt\u00f3ry nast\u0119pnie mo\u017ce zosta\u0107 u\u017cyty przez atakuj\u0105cych do przechwytywania komunikacji z serwerem. Poprzez wskazanie adresu URL MG na serwer kontrolowany przez atakuj\u0105cych i wymuszenie rejestracji, mog\u0105 oni uzyska\u0107 wiele informacji na temat u\u017cytkownika: adres IP i lokalizacj\u0119 urz\u0105dzenia, IMEI, mark\u0119 urz\u0105dzenia, poziom API, aplikacje do tworzenia kopii zapasowych i du\u017co wi\u0119cej informacji.<\/p>\n\n\n\n

Atakuj\u0105cy wykorzystuj\u0105 r\u00f3wnie\u017c \u0142a\u0144cuch exploit\u00f3w do przekierowania polece\u0144 wysy\u0142anych z aplikacji Find My Mobile na serwery Samsunga na inny serwer, znajduj\u0105cy si\u0119 pod kontrol\u0105 atakuj\u0105cych i wykonywania niebezpiecznych polece\u0144. A teraz naprawd\u0119 interesuj\u0105ca rzecz. Serwer przest\u0119pc\u00f3w przesy\u0142a r\u00f3wnie\u017c \u017c\u0105danie do legalnego serwera Samsung\u2019a\u2026 i pobiera odpowiedzi w kt\u00f3re nast\u0119pnie wstrzykuje w\u0142asne polecenia. To w\u0142a\u015bnie w ten spos\u00f3b hakerzy mog\u0105 \u015bledzi\u0107 lokalizacj\u0119 urz\u0105dzenia, przechwytywa\u0107 dane po\u0142\u0105cze\u0144 i wiadomo\u015bci tekstowe w celu szpiegowania, blokowa\u0107 telefon w celu zap\u0142acenia okupu i usuwa\u0107 wszystkie dane poprzez przywr\u00f3cenie ustawie\u0144 fabrycznych.<\/p>\n\n\n\n

Na atak podatne s\u0105 nieza\u0142atane smartphony Samsung Galaxy S7, S8, S9 i p\u00f3\u017aniejsze.<\/p>\n\n\n\n

\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n

<\/div>\n\n\n\n<\/a>\n\n\n

3. Atak ReVoLTE umo\u017cliwia pods\u0142uchiwanie zaszyfrowanych po\u0142\u0105cze\u0144 i rozm\u00f3w LTE<\/strong><\/h2>\n\n\n

Niemieccy naukowcy natrafili na luk\u0119 w protokole Voice over LTE (VoLTE), kt\u00f3ra mo\u017ce pos\u0142u\u017cy\u0107 do odszyfrowania zabezpieczonych po\u0142\u0105cze\u0144 4G. Sama luka to tylko cz\u0119\u015b\u0107 wi\u0119kszego problemu. Okazuje si\u0119, \u017ce atak jest mo\u017cliwy, poniewa\u017c operatorzy telefonii kom\u00f3rkowej cz\u0119sto u\u017cywaj\u0105 tego samego klucza szyfruj\u0105cego do zabezpieczenia wielu po\u0142\u0105cze\u0144 4G, kt\u00f3re odbywaj\u0105 si\u0119 za po\u015brednictwem tej samej stacji bazowej (mobilnej wie\u017cy kom\u00f3rkowej).<\/p>\n\n\n\n

Obecnie powszechnie stosowan\u0105 wersj\u0105 standard\u00f3w telefonii kom\u00f3rkowej jest 4G – potocznie nazywany Long Term Evolution (LTE). Voice over LTE (VoLTE) to jeden z wielu protoko\u0142\u00f3w, kt\u00f3re sk\u0142adaj\u0105 si\u0119 na wi\u0119kszy mobilny standard LTE \/ 4G. Standard VoLTE domy\u015blnie obs\u0142uguje szyfrowane po\u0142\u0105czenia. Dla ka\u017cdego po\u0142\u0105czenia operatorzy kom\u00f3rkowi musz\u0105 \u2013 lub w tym kontek\u015bcie \u201epowinni\u201d – wybra\u0107 indywidualny klucz szyfruj\u0105cy (szyfrowanie strumieniowe), aby zabezpieczy\u0107 dane po\u0142\u0105czenie. Szyfr strumieniowy powinien by\u0107 unikalny dla ka\u017cdego wywo\u0142ania\/po\u0142\u0105czenia. Ale jak ju\u017c wspomnieli\u015bmy we wst\u0119pie \u2013 wielu operator\u00f3w nie przestrzega tych wymaga\u0144.<\/p>\n\n\n

Na czym polego atak ReVoLTE<\/strong><\/h6>\n\n\n

Przyjrzyjmy si\u0119 jak mo\u017ce wygl\u0105da\u0107 taki atak w praktyce. Atakuj\u0105cy musi najpierw nagra\u0107 rozmow\u0119 mi\u0119dzy dwoma u\u017cytkownikami 4G prowadzonej przy u\u017cyciu podatnej na ataki wie\u017cy mobilnej. Jednak komunikacja jest oczywi\u015bcie zaszyfrowana. Jeszcze\u2026 Wystarczy, \u017ce atakuj\u0105cy zadzwoni do jednej z ofiar i nagra swoj\u0105 z ni\u0105 rozmow\u0119.<\/p>\n\n\n\n

Wa\u017cne jest jednak aby wykona\u0142 po\u0142\u0105czenie z pomoc\u0105 tej samej stacji bazowej. Chodzi o to, aby jego po\u0142\u0105czenie tak\u017ce zosta\u0142o zaszyfrowane z pomoc\u0105 tego samego klucza. Im d\u0142u\u017cej atakuj\u0105cy rozmawia z ofiar\u0105, tym wi\u0119cej tre\u015bci z poprzedniej rozmowy jest w stanie odszyfrowa\u0107.<\/p>\n\n\n\n

Demo ataku ReVoLTE poni\u017cej:<\/p>\n\n\n\n

\n