'Criminelen installeerden Raspberry Pi's in banken voor netwerkaanval'

Criminelen hebben ten minste acht banken in Oost-Europa aangevallen door heimelijk hardware te installeren in vestigingen en zo toegang tot de netwerken te krijgen. Daarbij zouden ze tientallen miljoenen euro's buitgemaakt hebben.

Kaspersky Labs onderzocht de ict-aanvallen die plaatsvonden in 2017 en 2018 en heeft de aanvallen van de groepering DarkVishnya genoemd. De criminelen wisten hardware te plaatsen in de hoofd- of regionale kantoren van in ieder geval acht banken. Ze kregen toegang door zich voor te doen als koerier of sollicitant, waarna ze hardware op onopvallende plekken in bijvoorbeeld vergaderruimtes plaatsten.

Het ging daarbij om goedkope laptops, Raspberry Pi's en Bash Bunnies. Deze laatsten zijn usb-sticks die tools bevatten om aanvallen op afstand uit te kunnen voeren. Binnen de banknetwerken deden de apparaten zich voor als onbekende computer, externe usb-drive of toetsenbord.

De aanvallers maakten vervolgens via lte verbinding met de apparaten om de lokale netwerken van de banken te scannen. Zo probeerden ze onder andere logins te bemachtigen en details te verkrijgen over servers en workstations die gebruikt werden voor betalingen. Volgens Kaspersky gebruikten ze shellcode met lokale tcp-servers om firewalls te omzeilen. In het laatste stadium probeerden ze permanente toegang op afstand tot systemen te verkrijgen, met behulp van msfvenom.

Tafels met ingebouwde aansluitingen zijn door criminelen te gebruiken voor verborgen implants

Reacties (118)

[Cafe Del Mar]

Eigenlijk zou de titel moeten zijn: HQ van Oost Europese banken lek.
Of je nu met een RPI of een core-i7 laptop komt aandraven, alles wat niet "van eigen makelij" is, hoort op een soort guest network te connecteren en onmogelijk op het echte interne netwerk te verbinden.

[PageFault]

Dat is inderdaad wat ik bij elke klant aantref: je via ethernet geconnecteerd device heeft of alleen internet toegang of helemaal geen netwerk. Hooguit dat je met mac address spoofing iets zou kunnen bereiken, maar dan zou je de range al moeten weten, welke wordt toegestaan.

Verder kunnen veel devices op de klantennetwerken niet bij de (meeste) servers.

[GekkePrutser]

Als je het met 802.1x doet dan maakt het MAC adres ook niks meer uit (en dat is ook goed want dat is inderdaad heel makkelijk te spoofen). Dan moet je echt een certificaat stelen van een laptop. En een slim IDS merkt dan ook gelijk dat het op 2 plaatsen gelijk gebruikt wordt.

[Mr.Nash]

Ook dat is te omzeilen. Je hoeft maar toegang te hebben tot 1 dot1x authenticated apparaat en je kan met een hub meeliften op een poort dat opengezet is voor data verkeer.

[verstrooid_prof]

bij ons toch niet hoor..
als de switch 2 toestellen (macadressen) ziet zal de poort down gaan.

[Verwijderd]

Een HW implant kan een MiTM doen tussen de geauthenticeerde computer die op de implant hangt, en de rest van het netwerk dat achter de implant hangt.

In geval van die Raspberry Pi's is dat bv. door een bridge netwerk op te zetten tussen twee netwerkkaartjes (je ziet geen extra MAC adres)

[Reactie gewijzigd door Verwijderd op 25 juli 2024 02:14]

[SmokingSig]

Je hebt ook "dot1x based op MAC" (voorbeeld een PLC die geen certificaten ondersteund).

[GekkePrutser]

Maar die zullen vooral op industriele netwerken zitten, erg afgeschermd en gefilterd (meestal geen internet toegang ivm de noodzaak tot realtime verkeer).

[tweaknico]

Overdag kijken wat er aan MAC adressen wel toegang heeft en dan in de nacht die adressen gebruiken is ook een optie om deze horde te nemen,

[MSalters]

Dan moet je wel een netwerk hebben wat negeert dat een MAC adres van poort verandert. Toegegeven, dat is normaal met laptops.

[tweaknico]

De methode werkt primair voor wireless.
Voor wired is een plug nodig die in een netwerk kabel "zit" en die zal iets anders in elkaar moeten zitten en als transparent proxy moet kunnen werken, of als switch uitgevoerd moeten zijn met een monitor poort van twee kanten.
Zeker niet onmogelijk maar minder voor de hand liggend.

[mieJas]

En ook dat is "op te lossen". Je kan zodanig veel authentication request beginnen sturen, tot de switch het niet meer kan behappen en alles in VLAN 1 gooit. Je zou achterover vallen hoeveel bedrijven VLAN 1 gebruiken. Of de lokale switch flooden met een bepaald soort verkeer, waardoor dat ding in een fail-safe mode gaat en als hub gaat fungeren (aka, alle verkeer over alle poorten spuwen).

De scriptkid ga je waarschijnlijk tegehouden, maar de doorwinterde inbreker vindt uiteindelijk toch wel iets.

[killercow]

Dan is je switch lek, en moet je dat merk / versie niet gebruiken in guest-facing netwerken.
Dat er altijd wel iets gevonden kan worden is geen reden om je best niet te doen.

[InjecTioN]

Dat is inderdaad zeker waar. Het is de taak van de ICT-beheerders om alle hard- en software goed gepatched te houden. Daarnaast dient er dus ook alleen maar hard- en software beschikbaar te zijn die volledig supported is door zowel fabrikant als ICT-beheer.

Daaropvolgend kan als bedrijf zijnde een ISO27001 certificering (en dus ook naleving hiervan) erg goed helpen om de juiste procedures, navolging en constante ontwikkeling binnen een dergelijk bedrijf bij te benen. Dit blijft namelijk in constante ontwikkeling en zal steeds sneller blijven ontwikkelen.

Ik mag hopen dat een bank met zulke grote verantwoordelijkheden toch wel een aantal verschillende onafhankelijke ICT-engineers ingehuurd heeft om zowel network, als hardware, als software -security constant naar een hoger niveau te tillen. Wanneer zij allemaal goed hun werk doen, zal hun functie puur preventief zijn.

Als bank zijnde verwacht ik maandelijkse audits op ICT-gebied, met pen-tests die door onafhankelijke partijen uitgevoerd worden, goede change-management, etc. Er zijn gewoon zoveel manieren waarmee het issue uit 't nieuwsbericht gesignaleerd kunnen worden... De Raspberry Pi's in het netwerk zijn daarom ook wel echte "rookie mistakes" te noemen. Als simpele eerste maatregel zou monitoring op nieuw ingeprikte hardware hierbij toch al wel een hele hoop af kunnen vangen, of in ieder geval signaleren.

[Verwijderd]

Het is een configuratie optie in een hoop switches. Het kunnen instellen van een fallback mechanisme.
Normaliter zou je idd configgen dat de switch stopt met doorgeven.

[mieJas]

Dat er altijd wel iets gevonden kan worden is geen reden om je best niet te doen.

Daar ga ik volledig mee akkoord. Ik wil enkel aangeven dat er altijd wel ergens een gaatje te vinden is. Met deze gedachte, sta je (of ik toch in ieder geval) bij elke aanpassing stil bij "wat als". Als één bepaalde laag faalt, heb je nog een aantal punten van defensie.

Ook banken maken de afweging of een investering (lees: vervangen van verouderd materiaal) de kosten waard is. Je kan er dus vanuit gaan dat er op elke laag toestellen zijn die verouderd of out-of-date zijn. Juist daardoor is er altijd wel een gaatje te vinden.

[Keypunchie]

Eigenlijk zou de titel moeten zijn: HQ van Oost Europese banken lek.

Die beveiliging kan beter, aan de ander kant mist het verhaal en de reactie een belangrijk punt:

De zwakke schakel lijkt hier niet eens zozeer de infrastructuur, hoewel dat strakker kan, maar eerder de authenticatie van medewerkers. Op zich is dit niet anders dan een vrij geavanceerde phishing als ik het goed lees. Of dat nou gebeurd met een "klik hier" mailtje, het jatten van een geeltje van een monitor of zoals hier, met rogue devices op het netwerk, dan zou je vervolgens maar weinig met die credentials moeten mogen/kunnen.

Als je een zeer groot bedrag X gaat overmaken, dan hoort daar eigenlijk een two-factor bij. Als je vele malen een klein bedrag Y overmaakt, dan hoort een fraude-detectie algoritme dat te spotten.

Wat ik denk ik vooral wil zeggen: Je veiligheid houdt niet op bij je perimeter en infra, je moet ook kijken hoeveel schade 'vertrouwde' systemen/gebruikers kunnen aanrichten en daarop auditing zetten.

[Reactie gewijzigd door Keypunchie op 25 juli 2024 02:14]

[Cergorach]

De zwakke schakel lijkt hier niet eens zozeer de infrastructuur, hoewel dat strakker kan, maar eerder de authenticatie van medewerkers.

^Dit, zoveel dit!^

~15 jaar geleden bij een dochter van een grote bank gewerkt en het hoofdkantoor in Amsterdam kwam je toen al niet gemakkelijk binnen als je geen uitgenodigde gast was en je uitnodiger je persoonlijk kwam ophalen. Echter is het niet zo heel moeilijk om een pasje te rollen van een medewerker die naar huis gaat.

Bij de dochters, welke significant kleiner waren, was de fysieke security minder, nog steeds pasjes om het pand binnen te komen, maar je kon een stuk gemakkelijker met andere medewerkers mee naar binnenlopen.

Maar dat maakt allemaal niet zoveel uit als je schoonmaakploegen niet bepaald worden doorgelicht of worden gecontroleerd bij dagelijks werk en toegang hadden tot bijna het hele pand.

En Mac adressen en security certificaten klinkt allemaal leuk, maar zodra je fysieke toegang heb tot het kantoorpand dan is ook dat vrij makkelijk op te lossen. Je zet een key logger tussen het USB/PS2 keyboard en een monitoring compute devices tussen de PC en de netwerkpoort in de muur, welke tijdens gebruik monitort en zodra de PC uit gaat als gespoofde PC functioneert. Dat is natuurlijk op te lossen door secured workstations met secured wallpatches te gebruiken en dan niet van die prutdingen met generieke cheapass slotjes die je met twee paperclips open krijgt. Echter kreeg de security officer van toen daar al een rolberoerte van toen ik dergelijke beveiligingsmaatregelen begon op te noemen en helemaal toen hij zich realiseerde hoeveel dat ging kosten...

Ik denk dat je bij de gemiddelde bank niet direct zoveel heb aan directe toegang tot bank servers, je zt vaak of met custom software of met iets als een AS400 en good luck met de hacker die daar genoeg kaas van heeft gegeten... Nee, dergelijke bank applicaties worden gebruikt door mensen met geen computerkennis, die nog steeds dingen moeten goedkeuren, leningen/hypotheken/investeringen, etc. Vaak gaat dat over meerdere mensen heen, maar als je de PCs van dergelijke mensen weet te herkennen, dan kan je leningen aanmaken en goedkeuren. Als je ook nog eens de persoon of afdeling weet te achterhalen wie die rechten uitdeelt en daar het userid/password van kan achterhalen, dan ben je al helemaal binnen.

2FA helpt daar zeer zeker bij om dergelijk tegen te gaan, 10-17 jaar geleden liep ik met een hele bos van die security tokens rond om verschillende lagen door te komen om userids aan te kunnen maken op bank systemen. Het hoofdkantoor had het wat dat betreft behoorlijk voor elkaar, de dochtermaatschappijen echter een stuk minder, geen 2FA voor veel eigen applicaties en al helemaal niet bij custom applicaties...

Ik kan me zo voorstellen dat kleinere banken hier veel meer last van hebben dan grotere banken.

Daar komt ook nog eens bij dat de IT op het hoofdkantoor zo een georganiseerde bende was dat er niets gedocumenteerd was en als je dan twee maanden bezig was geweest om procedures uit te stippelen, documenteren, af te spreken en succesvol te testen dan was er een maand later weer van alles gewijzigd zonder dit door te geven of dat een leidinggevende wist hoe het nu liep. Je procedures konden dan weer de prullenbak in en kon je overnieuw beginnen. Voordeel hiervan is dat een externe zonder werkende systeem credentials, 2FA en bekend als medewerker hier nooit wegwijs in zou kunnen geraken.

Voordeel van die 'vervelende' losse security tokens (RSA) is dat het niet op een smartphone staat die relatief eenvoudig te hacken is.

@Florisl Toch altijd weer leuk dat mensen bij andere organisaties zich herkennen in de wanorde... Maar zorgwekkender dat er meer banken in Amsterdam zijn die dergelijke issues hebben.

[Reactie gewijzigd door Cergorach op 25 juli 2024 02:14]

[Florisl]

Ik heb een vermoeden dat dit om de KAS Bank gaat...

[oef!]

In Nederland gebeurt het nog redelijk vaak, al neemt het af, dat je als externe je mobiel/laptop met een bedrijfsnetwerk koppelt.

Wi-Fi is daarbij in mijn ervaring beter gesegmenteerd, ethernet is al een stuk opener.

Edit: ik heb geen beeld van security bij banken maar ik kan me voorstellen dat ze het beter geregeld hebben.

[Reactie gewijzigd door oef! op 25 juli 2024 02:14]

[cruysen]

Ik kom bij industriële netwerken steeds vaker MAC based adressering tegen. Dus als daar een onbekende apparaat aangesloten wordt, gaat de poort uit. (voor bepaalde tijd)
Dit is naar mijn mening wel veilig, maar wel gruwelijk irritant als je aan het installeren of vervangen bent. Je kunt dan dus niet zonder de hulp van een netwerkbeheerder werken.

[dasiro]

in zulke situaties wil je juist niet dat mensen op zichzelf dingen in je netwerk steken. Ofwel vul je mooi een hardware replacement document in waar je aangeeft welke hardware er vervangen wordt of bij komt met dan oa de correcte MAC-adressen use case en geef je een maintenance window op.

[Cergorach]

Ik kom bij industriële netwerken steeds vaker MAC based adressering tegen.

Hoeveel werk is het om even een dergelijk device los te koppelen van het netwerk, MAC adres uitlezen, deze te spoofen op een laptopje of NUC? Als je dat doet met een niet essentieel device precies voor het weekend of net voor bv. de kerstvakanties of zomer vakanties, hoelang denk je dat het duurt voordat iemand er achter komt dat er wat aan de hand is? Dit deden we al 15 jaar gelden met een laptopje met wat interessante software er op, puur om te laten zien dat het kon. En dan hebben we het niet eens over systeembeheerders die simpele ww gebruiken voor admin accounts, zoals bv. Welkom01...

maar wel gruwelijk irritant als je aan het installeren of vervangen bent. Je kunt dan dus niet zonder de hulp van een netwerkbeheerder werken.

En hier heb je exact de essentie van waarom het zo vaak niet wordt geïmplementeerd, security kost meer stappen, dat maakt het irritant voor gebruikers/beheerders of nog erger, voor directie... Niet alleen zit je met kosten voor de beveiligingssystemen en procedures, maar het kost de medewerkers meer tijd, meer punten waar het mis kan gaan en heb je ook meer support/beheer nodig (dus meer terugkomende kosten). Dat maakt beveiliging niet populair voor bedrijven.

[cruysen]

Klopt, door met een simpel 2 port routertje of PC'tje ertussen te zetten zou je dit binnen enkele seconden er iets tussen kunnen zetten. (MAC uitlezen en automatisch spoofen naar andere poort, data throuput en je bent binnen)
Maar voor de hobby hackers en 'zomaar inpluggen en inloggen op een netwerk' is dit al een goede stap. (en volgens mij ook niet moeilijk om in te stellen)

En dat het meer tijd kost om er mee te werken is voor mij ook geen bezwaar. Als je het van te voren weet hoeft dat ook niet veel tijd te kosten. Mits de systeembeheerder te bereiken is. (Spreek helaas uit ervaring dat dat ooit uren kan duren voordat die reageert bij een fabrieksinstallatie. b.v. bij een externe beheerder/ of buiten werktijd.)

Maar voor kantoor/financiële instanties is dit wel het minimale wat ingesteld moet zijn naar mijn mening.

[Reactie gewijzigd door cruysen op 25 juli 2024 02:14]

[Robby517]

Even een belletje naar de receptie om wat cijfertjes te achterhalen en het is ook snel gedaan met de MAC whitelist. Dat blijft gewoon geen security oplossing, het houdt hoogstens de prutsers tegen.

[batjes]

Alleen kan je per poort een uniek MAC adres koppelen. Het MAC adres van de receptioniste heb je dan toch niets aan.
En bij een duplicaat MAC adres krijg je andere leuke problemen in je netwerk.

[Verwijderd]

ifconfig eth0 hw ether 01:02:03:04:05:06

Zo, ik heb nu een ander MAC adres.

[Verwijderd]

Eén van de security opties die banken gebruiken is het AD in het interne netwerk. zolang je aangemeld bent op het AD kan je je werk doen. probeer je jouw werkstation met administrator in te loggen, kan gewoon, dan vervalt je ad connectie en kan je niets meer op het intranet, en dus ook niet internet en kan je ook je werk niet meer doen.
En alleen met security en systeembeheerder samen kan je weer het netwerk op. Uiteraard na uitleg waarom je dat gedaan hebt. Geen correcte uitleg-> exit. en aangifte, Want je hebt getekend voor de beveiliging en je hebt verplicht een cursus gevolgd.( week of zes dagelijks minimaal een uur plus examen)
Dus "ik wist het niet" gaat niet op:-)

[trisje]

Met bring your own device policy, wodt dit juist minder lijkt me. ook steeds meer met flex werk plekken wordt dit steeds lastiger. je kan met WIFI ook veel met certificaten regelen. Geen certificaat ander Vlan. Helemaal geen netwerk access op poortjes ben ik wel is tegen gekomen. naar mijn idee is dat over gereguleerd netwerk geneuzel. Als iemand kwaad wil kan die dat ook op een bestaande netwerk computer doen. Zeker als je af en te gasten in je bedrijf ontvangt, nee helaas u heeft geen internet hier, kan tegen woordig echt niet meer.

[Cergorach]

Met bring your own device policy, wodt dit juist minder lijkt me.

Banken is een van die organtisaties waar ik byod niet snel zie gebeuren op de afdelingen die het betalingsverkeer regelen. Marketing misschien wel, maar voor de rest absoluut niet.

[trisje]

Zeker er zijn natuurlijk altijd afdelingen die extra beveiligd moeten zijn, maar ik had het meer over het algemeen in bedrijfs netwerken. een sterk paswoord en informatie aan de werknemer draagt meer bij aan algemene veiligheid dan alles pot dicht gooien. Zeker als bedrijven ook met de cloud werken.

[Cafe Del Mar]

BYOD is geen probleem, maar niet op het netwerk, wel op een afgesloten netwerk (smartphone, tablet).
BYOD om te werken (laptop), dat zal via Citrix zijn dan.

[Reactie gewijzigd door Cafe Del Mar op 25 juli 2024 02:14]

[Verwijderd]

Een raspberry Pi is mooi klein, goedkoop en eenvoudig van energie te voorzien, dus de titel is prima.

Een aantal core i7 laptops installeren in banken is al wat lastiger omdat die nogal opvallen in jaszakken en in vergaderruimtes, ze kosten veel geld... ik (en jij ook) kan nog wel meer redenen bedenken waarom juist kleine goedkope apparaatjes zoals de Raspberry Pi prima geschikt zijn voor deze taak.

[Batiatus]

Lijkt wel een scene uit Mr. Robot.
Wel benieuwd naar de maatregelen van de banken. Het afvangen van credentials zou je toch moeten kunnen counteren door 2FA te gebruiken, met bijvoorbeeld tokens. Zeker in de bankenwereld lijkt me dat toch wel het minste wat je mag verwachten om in te loggen op kritieke voorzieningen.

[lucatoni]

Als ervaringsdeskundige is dat ook zeker het geval bij de bank waar ik werkzaam bent. Maar vergeet niet, uiteindelijk is de mens de zwakke schakel. Helaas zijn er nog steeds (interne) awareness acties nodig om te borgen dat tokens mee naar huis / achter slot en grendel moeten liggen, dat wachtwoorden niet als txt bestandje moeten worden opgeslagen (of sticky notes). Kortom: nog werk aan de winkel

[84hannes]

Het afvangen van credentials zou je toch moeten kunnen counteren door 2FA te gebruiken, met bijvoorbeeld tokens.

Als je gebruik maakt van versleutelde verbindingen en veiligheidscertificaten dan zou er toch überhaupt niets af te vangen zijn op het netwerk?
USB-keys (e.g. keyloggers) zijn een ander verhaal. Wellicht moeten besturingssystemen toch wat minder makkelijk nieuwe hardware accepteren, hoewel ik niet zou weten hoe je je OS er van kunt overtuigen dat je een nieuwe muis en toetsenbord hebt, als je dat niet met diezelfde invoerapparatuur mag bevestigen.

[Keypunchie]

Wellicht moeten besturingssystemen toch wat minder makkelijk nieuwe hardware accepteren, hoewel ik niet zou weten hoe je je OS er van kunt overtuigen dat je een nieuwe muis en toetsenbord hebt, als je dat niet met diezelfde invoerapparatuur mag bevestigen.

Ook toetsenborden en muizen (of eigenlijk alle usb-apparatne) van certificaten voorzien.

Heb je ook een secure chipje nodig, maar zou in theorie moeten kunnen. Maakt het in ieder geval voor jan-met-de-pet lastig om een usb-stick van malware te voorzien.

Het nadeel is dat voor APT's, die je eerder associeert met gemanipuleerde toetsenborden, het waarschijnlijk wel een te nemen barriere zal zijn.

[Reactie gewijzigd door Keypunchie op 25 juli 2024 02:14]

[84hannes]

Ook toetsenborden en muizen van certificaten voorzien.

offtopic:
En dan? Toetsenborden van een onbekend merk niet accepteren, zodat je een Logitech-toetsenbord nodig hebt om het certificaat van je B-merk toetsenbord te installeren? En waar komt dat certificaat vandaan? Een gecertificeerde USB-stick?

Toch ben ik bang dat we die kant op zullen moeten. USB-communicatie zou in mijn ogen ook versleuteld moeten zijn, zodat een USB-hub er ofwel niets mee kan, of zelf een gecertificeerd moet zijn.

[Reactie gewijzigd door 84hannes op 25 juli 2024 02:14]

[Keypunchie]

Er zal mogelijk iets aan de standaarden moeten worden gedaan, een USB-secure ofzo, maar dan inderdaad zie ik het me als volgt voort: jij zal een 'device CA'-public certificate in een truststore moeten opnemen op je PC's. Je leverancier zal met de device CA-private key de certificaten van apparaten voor jou bestemd moeten ondertekenen.

Ik kan me voorstellen dat voor consumenten er inderdaad gewoon een generieke 'Logitech' is, maar dat XYZ bank met zijn leverancier een klant-specifiek CA afspreekt. Logitech4XYZ CA. Met behulp van policies zorg je dat alle generieke device-CA's uit de truststore verdwijnen, en alleen Logitech4XYZ overblijft (en/of andere leveranciers). Voor nu is dit allemaal puur theoretisch en de implementatie zijn genoeg knappe koppen voor die het werkbaar zullen maken, het gaat er meer om dat PKI ook in principe voor authenticeren van randapparatuur kan.

[Verwijderd]

Dan loop je met een bullshit verhaal naar binnen en jat je een muis en toetsenbord.

[Keypunchie]

Maar hoe ga je daar vervolgens de firmware van aanpassen. Een impliciete aanname was idd. dat die dan ook gesigned is.

[MSalters]

En die bevat geen private key. Bescherming op basis van public-key cryptography (inclusief certificaten) is vrij standaard, hier hoef je het wiel niet opnieuw voor uit te vinden. De private key blijft in de fabriek, de public key staat op de bank-PC's, de certificaten staan op de USB hardware.

Daar heb je niet eens een nieuwe USB-standaard voor nodig. USB descriptors zijn free-form genoeg om dit vandaag al te implementeren.

[Verwijderd]

Ik weet dat er al banken zijn die toetsenborden hebben met een uitlezer voor een ID kaart die de bank uitgeeft voor zijn medewerkers incl foto.
Twee factor controle, dus iets weten en iets hebben. Maar dan moet je eerst binnen zien te komen. ID kaart met foto ...
Word het meteen lastiger om die met een usb stickje te vervangen.

[thomasmoors]

Niet te moeilijk denken: dan installeren ze gewoon een hardwarematige logger, die zich exact voordoet als het bestaande toetsenbord.

[Verwijderd]

Moet je wel eerst binnen zien te komen. Al eens geprobeerd?

[Verwijderd]

Dat is echt niet zo moeilijk. Bij een bank over het algemeen wel wat lastiger, maar bij de meeste toko's loop je zo naar binnen.

[Verwijderd]

Heb je duidelijk nog niet geprobeerd. We hebben het over echte kantoren, en niet over lokale filialen. Want daar valt niet zoveel te halen, net als die pin automaten uit de muur trekken. Ik snap het niet, max een paar ton. Voor welk risico?

[Verwijderd]

Ik ben dan ook geen pen-tester. Maar ik weet genoeg om ergens binnen te komen.

[Verwijderd]

Oh ja vertel dan eens...

http://nl.tinypic.com/r/2hfmn20/9

[Reactie gewijzigd door Verwijderd op 25 juli 2024 02:14]

[thomasmoors]

De aanval uit het artikel en uit de comment gaan er toch ook van uit dat er fysieke toegang is?

[Verwijderd]

Encryptie is soms te "downgraden" via een man-in-the-middle. Anderzijds kan je helemaal als proxy gaan acteren en alles decrypten en weer opnieuw encrypten. Maar het zou inderdaad wel een extra barrière opwerpen voor de criminelen.

Dat werkt echter alleen voor de machines die jij beheerd. Er zullen genoeg apparaten zijn die aangesloten worden met interessante gegevens (wachtwoorden) die niet meedraaien in de zwaar beveiligde communicatie.

USB keys zijn eenvoudig te blokkeren maar keyboard en muis is heel lastig. Je zou dan standaard hardware moeten hebben met een unieke hardware code en enkel deze moeten toestaan. Maar dan werkt dit weer alleen op de hardware die jij beheerd (met alle beheerkosten vandien).

[Carharttguy]

Encryptie is soms te "downgraden" via een man-in-the-middle. Anderzijds kan je helemaal als proxy gaan acteren en alles decrypten en weer opnieuw encrypten. Maar het zou inderdaad wel een extra barrière opwerpen voor de criminelen.

Dan komen je certificaten niet overeen, dat zou dus niet mogen werken.

[Verwijderd]

Ligt aan de configuratie. Er is genoeg apparatuur (zo in te stellen) dat zelfs ongeldige certificaten gewoon geaccepteerd worden. Voorbeeld is VPN tunnels tussen vestigingen met self-signed certificaten.

[P-e-t-j-e]

USB keys zijn eenvoudig te blokkeren maar keyboard en muis is heel lastig. Je zou dan standaard hardware moeten hebben met een unieke hardware code en enkel deze moeten toestaan. Maar dan werkt dit weer alleen op de hardware die jij beheerd (met alle beheerkosten vandien).

Kun je niet gewoon plug&play uitschakelen? Zonder hardware detectie geen nieuwe hardware installeren? En de gebruiker uiteraard geen local admin rechten geven

En als alles faalt.... ps2 muisje en toetsenbordje en usb uitschakelen/met een puntbektangetje bewerken...

[Batiatus]

Als je gebruik maakt van versleutelde verbindingen en veiligheidscertificaten dan zou er toch überhaupt niets af te vangen zijn op het netwerk?

Het voordoen met een ongeldig certificaat kan alsnog (https doorgestreept) aangezien het dan op de gebruiker aankomt en die gewoon zijn werk wil doen en de melding doorklikt. Heb je mogelijk nog steeds een versleutelde verbinding, maar dan met de aanvaller.
Keyloggers zijn een ander verhaal inderdaad. Ik heb wel eens omgevingen gezien waarin randapparatuur wordt gewhitelist, hoe effectief dat is durf ik niet te zeggen.

[Reactie gewijzigd door Batiatus op 25 juli 2024 02:14]

[N8w8]

Misschien is een touchscreen tobo op een tablet wel iets, waarbij na elke aanslag de positie van het tobo op het scherm random verspringt (tegen vingerafdrukken volgen).
En dan versleutelt de tablet de invoer met de public key van een auth server, die vervolgens toegang regelt.
's Nachts tablets in de kluis.
Dat lijkt me moeilijk te loggen, dan moet je er echt een camera op zetten, of softwarematig (waarbij gewone tobo's evengoed verliezen).
Maar goed, dat is wel wat ingewikkelder dan een USB gevalletje van €10.

[Verwijderd]

Onder linux USBGUARD gebruiken en expliciet USB devices toegang geven/whitelisten.
(Wel zorgen dat je je toetsenbord gewhitelist hebt voordat je de service up gooit )

(Natuurlijk kan een tussen-device (keylogger) wel gewoon alle karakteristieken van het echte device overnemen.)

[Reactie gewijzigd door Verwijderd op 25 juli 2024 02:14]

[sarcast]

Denk dat het feit dat het in Oost Europa plaatsvond meespeelt.

Al zie ik bij de gemiddelde bank in NL ook alleen maar studintikoos volk achter de balie staan. Vaak met meer interesse in de muziek dan de klanten, laat staan beveiliging.
Kwestie van tijd denk ik voor zoiets ook hier gebeurt (of al is gebeurd en niet openbaar is gemaakt).

[Verwijderd]

Lijkt wel een scene uit Mr. Robot.
Niet om de serie de grond in te trappen maar dit is gewoon een normale hack..
Het is een beetje roepen als een vliegtuig neerstort, het lijkt wel een scene uit Lost.

[gitaarwerk]

Ik moest hier precies aan denken! Mr. Robot heeft best prima voorbeelden en jargon gebruikt in de serie. Is eens wat anders dan 12 firewalls die eruit zien als een aflevering van Johnny Quest

[Chuk]

Een behoorlijk Mr. Robot gehalte dit. Moet je toch wel veel lef voor hebben.

[Dostar]

Ik moest inderdaad gelijk aan Mr. Robot denken... wat een geweldige serie blijft dat toch.
Verder vraag ik me af in hoeverre dit soort stappen mogelijk zijn bij een West Europese bank, zoals verschil in beveiliging etc.

[Qwerty-273]

Mwa, erg aanwezig. Een security team van een bekende NLse bank loopt regelmatig bug catch rondes, en komen dan vaak toch dingen tegen (onbekende usb stick met malware, afluister apparatuur, en verschillende kleine netwerk scanners/sniffers). En dat is dus op kantoor plekken waar over het algemeen alleen (semi-)gescreende mensen mogen komen.

[Dostar]

In hoeverre is het dan wenselijk om USB poorten simpelweg uit te schakelen op systemen voor gebruikers binnen de bank? Werk zelf op een school waar mensen hun USB stick vanuit thuis meenamen om leuke kinderfoto's gratis af te komen drukken (vaak ook lekker vol malware, omdat ze thuis op elke "u heeft gewonnen" banner klikken). Kortom, eigenlijk hebben ze de USB poorten nooit nodig, behalve voor privé gebruik.
Erger nog was dat de leerkrachten ook alle rechten hadden binnen hun Windows omgeving en sommigen zelfs doodleuk poker en andere casino spelletjes hadden geïnstalleerd, om zo de taakuren door te kunnen komen.

[trisje]

Als je een goede virus scanner hebt geinstalleerd, hoeft een maleware dingetje op een usb niet een probleem te zijn. Ik kan me voorstellen dat op scholen men graag USB stick gebruikt voor dingen mee naar huis te nemen of van huis naar werk. Of je moet als school bv office 365 hebben. Zodat alles op een online drive kan worden gezet. al kan dat natuurlijk net als een usb ook een risico zijn. vandaar uit kan de mailware ook aankomen. USB poorten afsluiten om dat je vind dat ze niet hun prive spul mogen printen. is naar mijn idee over gestrest en overgereguleerd. Computers moeten er ziojn om je te dienen niet om muren te bouwen.

[Dostar]

Betreft de goede antivirus: Ze gebruiken de standaard anti virus uit Windows (kostenplaatje). Tevens hoe duur een anti virus ook is, lopen nieuwe virussen meestal voor op virus definities van je scanner en niet andersom. Dus waterdicht is de oplossing niet, al is een betaald pakket meestal wel beter dan de gratis scanners.

Betreft Office 365, zijn ze aan bezig, alleen zijn veel mensen nog steeds niet gewend aan computers, laat staan cloud computing... dus meeste zullen toch hun oude gewende manieren gebruiken.
Er lopen teveel digibeten rond in het onderwijs, maar ook bij bijvoorbeeld gemeentes of banken.

Betreft privé zaken... er is een reden dat privé en werk meestal gescheiden zijn en het op kosten van de school printen van baby foto's wat vaak gebeurd, lijkt me niet geheel wenselijk. Beter nog, U als belastingbetaler draait indirect op voor elke baby foto die geprint wordt.

[TheVMaster]

Er is tegenwoordig weinig meer mis met de standaard Windows Defender (die standaard in Windows zit). Eventueel kun je een virusscanner nog aanvullen met een ATP Pakket (Windows Defender ATP bv.). Als je zaken (zoals zero-days) niet op voorhand kunt pakken, dan moet je natuurlijk de schade zo beperkt mogelijk houden.

[trisje]

niets is water dicht, ook een compleet dicht gestopte onbruikbare pc niet.

In het bedrijfs leven is het echt niet anders hoor. Maar mensen zijn niet dom, dus wat opleiding in klasjes over hoe men het kan gebruiken, brengt de meeste al op weg.

Is het niet zo dat het niet uw taak is mensen daar op te wijzen, dus dat is niet van belang. ik vind ook niet erg dat belasting geld op gaat aan dat soort dingen. Bij een bedrijf betaal ik ook de kofiie en de fruit mandjes van het personeel, plus de prive printjes. Daar hoor ik ook niemand over.
Ik als belastingbetaler, (wat ik overigens niet doe :-) geneuzel vind ik altijd zo onzin uitspraak. Er zijn veel betere manieren om op te besparen, maar dat willen en kunnen de mensen zelf niet.

[freekvandeven]

In West Europese banken kan dit ook(waarschijnlijk niet allemaal) als je goed genoeg bent. Deloitte wordt nog wel eens ingehuurd om zo'n bank te auditen(hacken) en die moeten dan een transactie maken van ongeveer 10 miljoen euro. Deze ethische hackers zijn de beste ter wereld en ik vraag me af of het ze ooit niet gelukt is om ergens binnen te komen.

[SpiceWorm]

Heb je een bron/journalistiek stuk voor dat verhaal? Of komt het uit eerste / tweede hand? Ik ben wel benieuwd.

[freekvandeven]

ik heb dat zelf gehoord van iemand die bij deloitte werkt, ik weet niet welke bank het was maar het was ze gelukt om 10 miljoen over te maken naar een afgesproken rekening. En ze hebben met hun ctf team 5 keer gewonnen dus ik verwacht dat ze bij andere (nederlandse) banken kunnen inbreken.

[theduke1989]

Ik had gewerkt voor Centric, en die weer voor Dell werkte. En dell levered vaak de Dell laptops aan de Rabobank. Maar wanneer ik een scherm(en) / laptop etc moest vervangen. Moest ik me altijd melden bij de balie om me vervolgens te identificeren of ik echt van Centric ben. Ik denk dat het in Nederland dus wel OK is. Maar in het oosten van Europa niet. Al betwijfel ik of het network uberhaupt goed is.

[bosskiss]

als je solliciteert op een functie als schoonmaker. Je zonder al te veel problemen aangenomen wordt. Als je je daarna voordoet als IT'er met een schoonmaak badge niemand 2x naar je kijkt.

[Zwarte_os]

Je was mij net voor. Zodra je als facilitair binnenkomt kijkt niemand naar je om.

[Verwijderd]

Nope bij banken word je gescreend en zelfs nog iets meer door security in de gaten gehouden. De meeste banken hebben intern ook op strategische plekken camera's hangen.
Zeg maar bij elke in en uitgang waar geen fysieke security aanwezig is. Vergeet niet dat ze 'enige' ervaring hebben.

[Cergorach]

Dan is dat in de afgelopen 10 jaar behoorlijk veranderd, hoewel ik niet geloof dat in de kantoorruimtes zelf beveiligingscamera's hangen. Ik geloof nooit dat de medewerkers dat zouden accepteren of dat het geaccepteerd wordt door de beveiliging, want je zou op die manier kunnen meekijken met passwords intypen of vertrouwelijke gegevens meekijken.

Worden tegenwoordig de schoonmakers behoorlijk doorgelicht? 10-17 jaar geleden echt niet bij dochtermaatschappijen, daar zaten in mijn ervaring redelijk wat illegalen bij en waren er vaker nieuwe gezichten dan dat juridische zaken mensen kon (laten) 'doorlichten'...

[Cafe Del Mar]

Nou prima. Dan ben je dus fysiek in het gebouw.
Laptop request, access request is telkens met uw eigen userID en met het userID van uw manager die de bevoogdheid heeft om dat aan te vragen. Daarenboven is er nog een check of het wel nodig/normaal/wenselijk is dat deze of gene persoon toegang krijgt tot dat systeem, ongeacht manager approval. De owner van het systeem moet het nog aanvaarden ook. Dat lijkt geweldig bureaucratisch, maar zorgt wel voor een segregation of duty die fratsen zoals in het artikel beschreven, moet voorkomen.
Dat systeem is prima, maar niet waterdicht voor social engineering. Maar dan is het probleem of het lek niet van technische, maar van menselijke aard.
Als de schoonmaakploeg dus een RPI'tje verstopt, zal die nog steeds userID+pw+badge nodig hebben, en als je die zaken hebt, zie ik niet in waarom je het via een RPI zou doen en niet gewoon ergens aan een desk (flex desk, free seating, weet je wel) zou gaan zitten.

[xleeuwx]

Dan nog? Als je dan 5 rpi mee had kon je niet naar binnen?

Sterker nog, als jij een stagiair mee had mocht hij niet naar binnen?

[Verwijderd]

Nee, alles moest van te voren aangemeld zijn en controleerbaar. Inclusief de stagiair :-)

Eerste de beste keer dat er ook maar iets verdachts was kwam je bij de bank nooit meer binnen, want detachering.
En dan mocht je blij zijn dat jou detacheerder jou ook niet meteen op straat zet.

[itsalex]

Hoe kan je een toetsenbord van het netwerk afhouden? Als je PC deze ziet in je USB poort dan heeft die al toegang en dan is het probleem er al. Het enige wat je kan doen is zoals vroeger PS/2 toetsenborden gebruiken aangezien deze volgens mij geen data door kan laten lopen netals PS/2 muizen. Dus wat dat betreft is USB zwak te noemen. USB is al jaren een zorgelijk punt omdat je zoveel ermee kan doen, van maken tot breken (kijk maar naar de USB stick die een overschot aan energie kunnen geven/boost waardoor je poort meteen stuk is). Je kan het volgens mij wel restricten in de bios bij zakelijke apparatuur maar volledig tegenhouden nee.
Als je achter een printer of tussen een netwerkkabel en printer/pc of ander apparaat een draadloos wifi punt met verborgen netwerk/LTE/bluetooth zou doen en deze gaat mac clonen van andere apparaat dan kan je wel mac beveiliging hebben maar dan heeft het nog geen zin.
Ik denk persoonlijk dat je wel tegen alles kan wapenen maar dat ze altijd wel wat vinden om het te omzeilen.

[Tetraquark]

sinds jaar en dag kun je je netwerk scannen op type (USB)devices dat verbonden zijn aan je werkstations. Je kunt bijvoorbeeld alleen goedgekeurde USB-storage laten verbinden met je werkstations. Bij veel bedrijven mag je alleen USB-sticks met versleuteling gebruiken. (die uitgegeven zijn en in beheer zijn van het bedrijf zelf)
Dat dit lastig is, natuurlijk, maar onmogelijk? nope
Ook certificated verbinden aan USB-devices is mogelijk.
Ja dit kan ook met BYOD omgevingen (zelfs nog makkelijker).

Ik denk persoonlijk dat je wel tegen alles kan wapenen maar dat ze altijd wel wat vinden om het te omzeilen.

je kunt natuurlijk altijd wel op je rug gaan liggen en je overgeven.

trouwens poort management lijkt me ten grondslag te liggen aan dit probleem. Een beetje volwassen bedrijf is elke (fysieke) netwerkpoort gekoppeld aan een bekend device.

[Reactie gewijzigd door Tetraquark op 25 juli 2024 02:14]

[Verwijderd]

USB poorten blokkeren is geen probleem, software tooltjes genoeg. En anders fysiek verwijderen. draadje / knip :-) neem maar een ps2 kb muis. Werkt gewoon nog.

Een systeembeheerder nooit blij met lege netwerk aansluitingen, Worden daarom ook altijd uitgeschakeld ( patch kabel eruit).

En dubbele mac adressen worden altijd gespot net als dubbele ip adressen. En security gaat dan ALTIJD even kijken op lokatie :-) Zijn wel een monteurs geweest die problemen kregen, omdat ze niet bij de bank aangemeld waren.

Zie ook mijn antwoord aan @oef! BTW vaak is het eigen personeel het grootste beveiligings-probleem.

[Cergorach]

Er zijn al 20+ jaar PS/2 keyloggers die ook nog eens data bursts over wireless heen gooien, dus PS/2 is echt geen super secure oplossing. Zoals andere al aangeven, zijn er andere oplossingen voor USB, maar ook hier is omheen te komen met creativiteit en fysieke toegang tot hardware.

[MSalters]

Hoe kan je een toetsenbord van het netwerk afhouden? Als je PC deze ziet in je USB poort dan heeft die al toegang en dan is het probleem er al. Het enige wat je kan doen is zoals vroeger PS/2 toetsenborden gebruiken aangezien deze volgens mij geen data door kan laten lopen net als PS/2 muizen.

Een USB toetsenbord kan exact hetzelfde als een PS/2 toetsenbord: toets-data naar de PC sturen.

Dus wat dat betreft is USB zwak te noemen. USB is al jaren een zorgelijk punt omdat je zoveel ermee kan doen, van maken tot breken (kijk maar naar de USB stick die een overschot aan energie kunnen geven/boost waardoor je poort meteen stuk is).

Dat is niet specifiek aan USB. Dat geldt ook voor HDMI en zelfs de 240V ingang. Zet op een willekeurige pport 10.000 volt, er komt rook uit. USB is gespecificeerd om ongelukjes te voorkomen, zoals -5V input in plaats van +5V.

[Verwijderd]

Er is software dat op basis van de fingerprint van de USB apparaten besluit wel of niet de driver in te schakelen voor dat device. Dus er is wel degelijk een eerste linie mogelijk.

[vincentjanv]

Inderdaad, bij een fruitige bank hier in BE zijn alle apparaten gewhitelist op MAC-adres bij ethernet + interne wifi. BYOD-netwerk ook met MAC-whitelisting + username/pswd. Dus denk dat het in BE al moeilijk wordt voor zo'n situaties.

[Keypunchie]

MAC spoofen is alleen niet zo heel moeilijk. Vooral een administratieve rompslomp. Je kunt beter op een iets hoger niveau apparaten authenticeren, op basis van bepaalde policies waarbij je meerdere gegevens combineert.

[Reactie gewijzigd door Keypunchie op 25 juli 2024 02:14]

[Verwijderd]

Precies. MAC spoofen is een kwestie van wat social engineering. Je moet op een of andere manier het gebouw binnen komen en aldaar je voordoen ala iemand van IT of bijv. MSFT. Lulverhaaltje bij een medewerker over uitrollen van updates ofzo zodat je even een ipconfig kan bekijken. Daarna kan je ergens een gespoofed apparaat plaatsen waar je maar wil.

[Verwijderd]

Meeste apparaten hebben een sticker met het MAC adres.
Fototje van de sticker van een MFP of informatiezuil oid, en je kunt verder.

[MSalters]

MAC spoofing is niet moeilijk. Dat is het punt ook niet. De eerste laag van beveiliging is bedoeld om de workload van het security-team te verminderen. Bij een MAC issue kun je de "gewone" IT-ers er op af sturen. Als die twee medewerkers vinden die van bureau geruild zijn, geen probleem. Komen ze echter een Raspberry Pi tegen, dan wordt het tijd voor escalatie.

[Keypunchie]

Het kan. Ook ken ik bedrijven waar ze niet gebruikte ethernetpoorten in een ruimte deactiveren op de switch, ook vanuit security oogpunt.

Mij komt dat altijd wat meer over als 'security theater' dan echt effectief. Met als nadeel dat ook de complexiteit van je beheer vergroot en 'false positives' door gebrekkige administratie. Dus of het echt de workload verminderd, of dat je vooral je team traint om meldingen te negeren. Ikzelf zou er niet voor kiezen, maar ik ben een dilettant en geen SME op dit gebied.

[LankHoar]

Zowel in het T.net artikel, het bron artikel en andere artikelen zie ik niet om welke banken het gaat (het blijft bij "at least eight banks". Waar zou ik deze informatie kunnen vinden? Wil graag weten of één van de banken waar ik een rekening heb er ook bij tussen zit.

[Neus]

Was een klant van Unipol zakelijke verzekeringen en bankzaken hier in Italie. Had tijdens een meeting om contracten te tekenen mijn laptop meegenomen om bepaalde documenten te laten bekijken en kwam een WiFi access point tegen, zonder beveiliging; een D-link. Kreeg daardoor meteen toegang tot het netwerk.

Mijn adviseur was even met een andere klant bezig en heb toen voor de grap een netwerk scan gedaan (ben tenslotte een IT-er) en kwam van alles tegen; van servers tot printers, desktops en Raspberry Pi's voor de informatiezuilen. Netjes mijn documenten via AirPrint geprint op de dichtstbijzijnde printer. Toen ik de adviseur liet zien dat alles 'open stond' vertelde hij mij doodleuk dat een collega een router van huis mee had genomen zodat ie makkelijker met zijn WiFi apparatuur op het netwerk kon, omdat de zakelijke WiFi elke week van wachtwoord veranderende.

Spullen gepakt en weg gegaan; laat mijn geld & gegevens niet achter bij dit soort prutsers.

[Verwijderd]

Hoe was het ook weer, kalf put dempen.
Overal hetzelfde. net als met backups. Er moet eerst wat fout gaan voor ze er geld aan uitgeven, want dan pas weten ze hoe belangrijk hun ict is.

[blorf]

In het kort hebben ze daar dus gewoon een gammel amateur wifi-netwerk...

[mjz2cool]

Nee hoor, dit heeft helemaal niks met wifi te maken. Ik denk dat het wifi netwerk vaak zelfs nog veiliger is ingericht dan het bedraadde netwerk.

[blorf]

Wat er dan over blijft is dat Kaspersky heeft bevestigd dat ongewenst fysieke toegang tot een netwerk een risico is...

[mjz2cool]

Dat was het probleem ook, ze hebben bepaalde apparaten verstopt waarmee ze op afstand verbinding kunnen maken.

[S4NDERR]

Mr Robot in real life!

[himlims_]

veel van de 'acties en evenementen' uit Mr.Robot zijn gebaseerd op waargebeurde hacks of gebeurtenissen

[Cergorach]

veel van de 'acties en evenementen' uit Mr.Robot zijn gebaseerd op waargebeurde hacks of gebeurtenissen

Wat! Geen Matrix achtige tekens over het scherm heen als er 'gehackt' wordt? I'm truly disappointed! ;-)

[himlims_]

nope, ssh/metaspoid etc. legit shit