Som du ser är vår webbplats inte anpassad för äldre webbläsare. Vi rekommenderar att du uppgraderar till en nyare webbläsare.

Uppdaterad | Publicerad - Lösenord, angreppssätt, Sårbarhet

Lösenordshash åtkomlig från låst dator

Känd inbyggd sårbarhet utnyttjas via USB-porten.

Den 6 september presenterades ett sätt att komma åt lösenordshashen på en låst dator. Metoden bygger på att en konfigurationsfil kan pekas ut med WPAD genom DHCP och att denna utpekning har prioritet över DNS.

Det nya angreppssättet är att använda USB-porten på en fysiskt tillgänglig låst dator, istället för att göra intrång i det befintliga nätverket.

Som förberedelse installeras en DHCP-server på en liten dator med USB-kontakt, t.ex USB Armory, Hak5 Turtle eller Raspberry Pi Zero som konfigureras att upptäckas som nätverkskort.

När USB-kontakten sätts i den låsta datorn laddas drivrutiner automatiskt, ett nätgränssnitt sätts upp och blir datorns förstahandsval för nätverkstrafik. Befintliga processer på den låsta datorn genererar trafik som innehåller den inloggade användarens lösenordshash. Trafiken sparas på USB-minnet som kan plockas ut igen för att få fram lösenordet ur lösenordshashen på en kraftfullare plattform.

För att motverka angrepp som dessa:

  • Använd långt lösenord som inte endast är enkla kombinationer av ord.
  • Logga ut istället för att låsa datorn.
  • Ha datorn avstängd när du riskerar att förlora den - på resande fot till exempel.

Förslag på administrativa åtgärder

Länk till den ursprungliga presentationen, 6 september
https://room362.com/post/2016/snagging-creds-from-locked-machines/

Djupare förklaring och länkar till mer information:
https://isc.sans.edu/forums/diary/Collecting+Users+Credentials+from+Locked+Devices/21461/