A internet pode ser
um lugar muito hostil, especialmente para sistemas operacionais
antigos como o Windows XP. Neste post vamos dar uma olhada no ataque a
navegadores do Windows XP usando o BeEF, um conjunto de ferramentas
para ataque (Browser Exploitation Framework).
Tem
sido um longo tempo desde que fizemos um post sobre o BeEF, há cerca
de três anos, mas depois de passar por uma grande aplicação Web e a
segurança das classes XSS, percebemos que era hora de explorá-lo
novamente. Ficamos muito felizes por descobrir que uma tonelada de
novos recursos (os chamados comandos) foram adicionados ao BeEF desde a
última vez que o utilizamos, aumentando dramaticamente as suas
funcionalidades.
Muitos dos ataques
foram atribuídos ao BeEF, mas eles não funcionam mais contra o Windows
7 e com os navegadores mais recentes, mas parece que sistemas Windows
XP ainda são muito vulneráveis a maioria dos ataques aos navegadores,
mesmo quando são usados os navegadores mais recentes.
Então, vamos ver o que o BeEF pode fazer contra um sistema Windows XP.
Primeiramente iremos iniciar o Console de exploração do BeEF. No Kali, apenas abra um terminal e digite:
Isso
ira iniciar o servidor BeEF e mostrará o endereço web para abertura
da interface gráfica de usuário e algumas páginas de exemplo que
passível de serem usadas para a conexão aos navegadores:
Apenas navegue para o endereço 127.0.0.1:3000/ui/panel para visualisar a interface de usuário e logar com o nome de usuário e senha ‘beef’:
Deposi disso seremos apresentados ao painel de controle do BeEF:
Listado
sob a seção "Getting Started" veremos os links para duas páginas de
teste que podemos usar para brincar com os navegadores. Gostamos da
"versão Avançada" como ela se parece com uma página Web verdadeira.
Em
nosso sistema XP rodando a última versão do navegador Firefox, se
navegarmos para a página de demonstração "Maliciosa" que o BeEF criou,
veremos a seguinte tela:
A
página mostra um delicioso bife, e aparentemente não há nada de
errado. Mas o que é que este usuário não pode falar, é que esta página
contém um gancho. Um programa mal-intencionado que permite que um
intruso se conecte com o navegador e assumir total controle do
navegador.
Logo que o visitante
simplesmente visita a página, o gancho é definido. Observe que o
usuário não tem que executar qualquer coisa ou passar o mouse sobre
nada para que o ataque funcione. Basta visitar a página que irá
disparar o ataque.
Quando as máquinas estão conectadas, elas são exibidas no painel de controle do BeEF:
Usando
esses comandos, podemos coletar informações da vítima do navegador,
ou até mesmo mudar o que eles vêem. Por exemplo, se quisermos tentar
uma Engenharia Social neles pegaremos as suas credenciais do Facebook,
assim podemos ir para a guia de Social Engineering e clicar em “Pretty
Theft”. E depois em ‘Execute’.
Sobre o navegador da vítima uma janela pop-up será exibida:
Se o usuário preencher as credenciais dele, ela será logada, sendo exibida no painel de controle do BeEF:
E
assim mudar qualquer link da página em tempo real, sem o usuário
saber, para apontar para onde desejarmos que a vítima vá. Aqui está a
aparencia do código fonte da página web depois de mudarmos todos os
links dela para apontar para o site web do Dallas Cowboys:
É
claro que um invasor normalmente não irá enviá-lo para um site de
esportes local, provavelmente enviaria a um site que seria, digamos, a
uma página falsa do Amazon ou do Facebook.
É também possível enviar Javascript personalizados, ou mesmo ligá-lo com o Metasploit para se tentar obter um shell remoto.
Como podemos ver, um invasor poder ter o controle sobre o navegador pode ser muito ruim.
Os
ataques são codificados em cores para a demonstrar as chances de
funcionamento deles. Mas notamos que alguns ataques que foram marcados
em vermelho funcionam, enquanto alguns marcada de verde não.
Notamos
também que os novos navegadores parecem parar alguns dos ataques, mas
no XP ainda estavam bastante abertos o que depõe contra ele.
Tentamos estes ataques contra um Windows 7 e nada foi mostrado:
Um link foi criado, mas durou somente um ou dois segundos antes dele ser derrubado.
A
melhor medida contra este tipo de ataque é usar o SO Windows mais
recente e as versões dos navegadores mais recentes também. Se for
possível, atualizar ou substituir seus sistemas Windows XP,
especialmente se estiverem sendo usados on-line. A segurança básica do
Windows 7 e 8 é muito melhor do que a do WinXP. Finalmente, sempre
rode um script blocker como o "NoScript", e não clique em links ou
abra anexos de e-mails não solicitado e mensagens de mídia sociais
como.
