21 gennaio Sirti S.p.A. VA/PT di: 3 reti pubbliche (indirizzi selezionati)‏ 3 reti private (indirizzi selezionati)‏ 7 (6) applicazioni web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 2 VA/PT da LAN Sirti

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 3 VA/PT da LAN Sirti

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 4 VA/PT da LAN Sirti

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 5 VA/PT da Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 6 VA/PT da Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 7 VA/PT da Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 8 Principali tipi di vulnerabilità Mancato aggiornamento di pacchetti software Hardening migliorabile dei servizi esposti Uso di credenziali deboli e/o di default Utilizzo di protocolli di rete in chiaro (in particolare Telnet, FTP ed HTTP) per l'accesso ad alcuni servizi

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 9 Possibili scenari Possibile uso di exploit di vulnerabilità note ma ancora prive di patch per la compromissione totale dei server privi di patch Possibilità di generare le password per l'accesso ai server semplicemente conoscendone il numero di inventario Accesso a 5 server, quattro dei quali con privilegi di amministrazione Possibilità di catturare credenziali facendo catture del traffico scambiato tra gli utenti di un servizio ed il servizio stesso quando viene utilizzato un protocollo non cifrato, per esempio il protocollo telnet per l'accesso ad AS400 (sistema in via di dismissione ma ancora in uso)‏ Possibilità di reindirizzare da remoto gli utenti verso siti arbitrari cambiando opportunamente l'associazione nome- indirizzo IP

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 10 Riassunto vulnerabilità LAN ed Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 11 Statistiche vulnerabilità

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 12 Vulnerabilità LAN ed Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 13 Vulnerabilità LAN ed Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 14 Vulnerabilità LAN ed Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 15 Giudizio VA/PT LAN DT-IT : sufficiente Ex-Sirti Sistemi MI: insufficiente Genova Bombrini- R&D Sistemi di segnalamento: critico

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 16 Giudizio VA/PT LAN DT-IT Sufficiente perché: - E' stato trovato il file con l'algoritmo usato per generare le password di amministrazione dei server - compromesso il server IAG2 + password complesse dominio MS () Su una scrivania è stato trovato un foglio con una password trascritta a penna + presenza di personal firewall sui PC del dominio

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 17 Giudizio VA/PT LAN ex-Sirti Sistemi MI Insufficiente perché: - L'unico server testato risultava non avere ancora una patch per almeno una vulnerabilità critica che avrebbe potuto permetterne la compromissione totale in quanto l'exploit è stato pubblicato

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 18 Giudizio VA/PT LAN Genova Bombrini – R&D Sistemi di segnalamento Critico perché: - i 3 server testati erano protetti da credenziali banali per l'amministratore e, in un caso, anche per il servizio MS-SQL che ha permesso la compromissione completa degli stessi e delle share di rete connesse ad essi e contenenti i documenti degli utenti

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 19 Evidenze raccolte va/pt da LAN

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 20 Evidenze raccolte va/pt da LAN

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 21 Evidenze raccolte va/pt da LAN

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 22 Evidenze raccolte va/pt da LAN '===================================================================== =================== Sub S29_GetAdminPw '===================================================================== =================== 'ToLog(" + Genera PW per account di amministrazione")‏ 'Dim tl(26), tln(26) 'Dim il1, il2, il3 'Dim nomeserver, numeroserver 'nomeserver = "SEEVSTO1" numeroserver = "" tl(1) = "A" tl(2) = "B" tl(3) = "C" tl(4) = "D" tl(5) = "E" tl(6) = "F" tl(7) = "G" tl(8) = "H" tl(9) = "I"

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 23 Evidenze raccolte va/pt da LAN (CANVAS)$dir Directory of Tue Sep 18 11:55: activity.log Mon Sep 10 11:09: adaptec Sun Feb 12 15:02: AUTOEXEC.BAT Mon Sep 24 16:08: boot.ini Wed Sep 24 18:53: certreq.2txt Sun Feb 12 15:02: CONFIG.SYS Mon Nov 24 17:08: Documents and Settings Tue Nov 13 08:20: drwtsn32.log Wed Oct 24 12:04: iag2.key Wed Sep 24 18:45: iag2_2007.pfx Thu Sep 25 15:21: iag2_2008.pfx Thu Sep 25 11:07: iag2_2008_certreq.txt Fri Sep 14 14:50: iis_logs Sun Feb 12 14:45: Inetpub Sun Feb 12 15:02: IO.SYS Mon Nov 24 16:31: ipconfig.txt Sun Feb 12 15:02: MSDOS.SYS Wed Dec 17 16:26: nc.log Fri Mar 25 13:00: NTDETECT.COM Fri Mar 25 13:00: ntldr Mon Nov 24 16:58: pagefile.sys Mon Sep 10 11:09: Program Files Mon Nov 24 17:31: prova.bat Mon Sep 10 11:16: RECYCLER Tue Oct 9 16:30: sirti_certreq.txt Sun Feb 12 15:08: System Volume Information Sun Feb 12 16:00: SystemReqTest.log Wed Nov 14 14:00: TEMP Mon Sep 10 11:31: WINDOWS Sun Feb 12 15:03: wmpub 20 File bytes 10 Dir

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 24 Evidenze raccolte va/pt da LAN

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 25 Evidenze raccolte va/pt da LAN

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 26 Evidenze raccolte va/pt da LAN

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 27 Giudizio VA/PT Internet DT-IT : Insufficiente Ex-Sirti Sistemi MI: Sufficiente Ex-Sirti Sistemi RM: Buono

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 28 Giudizio VA/PT da Internet DT-IT Insufficiente perché: - E' stata trovata una vulnerabilità in alcuni server DNS che potrebbe permettere ad un attaccante di reindirizzare gli utenti del DNS verso siti arbitrari modificando a piacere l'associazione tra nome e indirizzo IP + Facilmente risolvibile mediante aggiornamento

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 29 Giudizio VA/PT da Internet ex-Sirti Sistemi MI Sufficiente perché: - E' stato trovato un server web Apache che deve essere aggiornato - L'hardening di alcuni servizi va migliorato + Non sono state trovate altre vulnerabilità gravi

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 30 Giudizio VA/PT da Internet ex-Sirti Sistemi RM Buono perché: + Non sono state trovate vulnerabilità gravi

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 31 Giudizio VA/PT applicazioni web Buono, sia dall'interno che da Internet

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 32 Giudizio VA/PT applicazioni web Buono perché: + Non sono state rilevate vulnerabilità gravi o critiche - E' stato possibile ottenere il codice sorgente di una delle applicazioni ma probabilmente solo perché è stato installato su un server appositamente per poter svolgere la nostra analisi

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 33 Target VA/PT applicazioni web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 34 Riassunto vulnerabilità web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 35 Riassunto vulnerabilità web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 36 Riassunto vulnerabilità web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 37 Vulnerabilità web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 38 Distribuzione vulnerabilità

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 39 Evidenze applicazioni web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 40 Evidenze applicazioni web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 41 Evidenze applicazioni web

21 gennaio 2009 © 2009 Hacking Team All Rights Reserved 42 Possibili follow-up Simulazione di un utente generico di dominio Analisi degli applicativi web custom tramite analisi dell'applicazione su PDA