RedPI - A Network Implant in your LAN

Albacete, 4, 5 y 6 de octubre de 2018 1
RedPI – A Network Implant in your
LAN

Whoami
Sergio Romero Redondo
(@trumanx)
Ingeniero en Informática de
Sistemas
Pentesting / Ethical Hacking desde
2010
Miembro del equipo de Hacking
Ético de Deloitte España
Albacete, 4, 5 y 6 de octubre de 2018

Escenario
Ejercicios de RedTeam
• Intrusión física
• Empleados descontentos
• Espionaje empresarial
Objetivos con mayor madurez en seguridad.
Entre 1K - 5K de empleados.
Múltiples sedes a nivel nacional
Ningún tipo de restricción por parte del cliente… (Casi)
Todo vale…

Objetivos
Conseguir acceso a la red interna.
Conseguir privilegios elevados en la red.
Pivotar a red interna de manera externa.
Uso de herramientas de “ataque”
No ser detectados por sistemas antivirus, IDS, etc.
Capacidades de exfiltración de información.

Challenge accepted

Necesidades - Checklist
Implant a nivel de red – Plug and Play.
Actúe cómo bridge transparente.
Permita acceso remoto.
Evasión de controles de acceso a la red.
Pueda permanecer oculto sin ser detectado.
Intrusión en alguna de las sedes para colocar el
dispositivo en la red.

Suposiciones y medidas a evadir
Siempre pensar en el peor escenario posible.
Medidas de protección de acceso a la red:
Port Security / NAC / 802.1.x
Sistemas de monitorización de hardware de red.
Proxys de Red.
Monitorización de fugas de información.
Firewalls que detecten conexiones inversas, etc.

Posibles controles de acceso a red
MAC Filtering/portecurity: filtrado basado en dirección
MAC
802.1.x-2001/802.1.x-2004: Autenticación del cliente
802.1.x-2010: Autenticación del cliente + cifrado capa 2
(Similar a WPA2)

Topología control de acceso a red

Evasión de los controles de acceso a red
Ataque
Duckwall:
MAC Filtering
802.1.x-2001
802.1.x-2004

Solución propuesta
Dispositivo con 2 tarjetas de red y un dongle Lte.
MitM entre un dispositivo legítimo y la red.
Evasión de controles de acceso 802.1.x y MAC filtering.
Conexión remota mediante canal secundario y VPN.
Exfiltración de información canal secundario y VPN.
Redirigir tráfico del atacante a la red interna a través de
VPN.
Ejecutar tareas de auditoría desde el propio dispositivo.

Elección de Hardware + Software
RaspberryPi3 Model B+ starter kit (60 €)
Dispositivo USB2Ethernet (17 €)
Dongle E3372 Lte/4G para la comunicación remota con el
dispositivo. (50 €)
Distribución Raspbian

Dominar el mundo!!

Configuración dongle Lte/4G
Tecnología highlink. No más configuración de Modem.
Deshabilitar el PIN de La SIM
Proveedor de Datos con cobertura en el área objetivo.
Cerciorarse que la tarjeta dispone de datos, hay limite,
se puede recargar, etc.
Establecer el identificador de la interfaz en base a la
dirección MAC

Configuración Interfaces de Red
Forzar el identificador de la interfaz en base a la dirección
MAC.

Configuración Interfaces de Red
Interfaz eth0 – Equipo legítimo
Interfaz eth1 – LAN
Configurar un interfaz virtual en modo bridge
transparente entre las 2 interfaces ethernet.
Captura y análisis del tráfico.
Evitar el envío de tramas desde el propio dispositivo.

Manteniendo la conectividad
Permitir el reenvío de tráfico 802.1.x, este tipo de tráfico
no se reenvía por defecto.
Forzar que el tráfico del bridge pueda ser gestionado por
iptables

Manteniendo la conectividad

Bridge transparente
Demo Time!

Evadiendo 802.1.X
Suplantar MAC/IP de dispositivo legítimo (Necesitamos
MAC e IP del dispositivo legítimo)
Reenvío de tramas al Gateway de la red (Necesitamos la
MAC del Gateway de la red)
Poder discernir el tráfico de vuelta que va dirigida a
nuestro dispositivo o al equipo suplantado(Source
NAT)

Evadiendo 802.1.X – Datos para
suplantación
Elección de SRC MAC, SRC IP y DST MAC
Analizando tráfico de la red en la interfaz eth0:
Ordenadores corporativos:
Tráfico HTTP, HTTPS, LDAP, Kerberos, SMB
Otro equipamiento de red:
Tráfico SNMP, Jetdirect, Line Printer Daemon /Line Printer
Remote …

Suplantación en capa 2
Indicar una IP y una MAC ficticia a la interfaz bridge
Modificar la dirección MAC de origen de todos los frames
ethernet salientes del dispositivo, por la MAC del equipo
suplantado (Source NAT)

Suplantación en capa 3
Modificar IP de origen de todos los paquetes salientes de
la interfaz bridge por la IP del equipo legítimo.

Enrutando el tráfico del dispositivo
Gateway por defecto la puerta de enlace red 4G o VPN.
Redirigir tráfico a redes privadas a través del Gateway
del bridge.
Modificar la tabla ARP vinculando la dirección IP del
Gateway del bridge y la dirección MAC del Gateway
legítimo de la red

Ocultando el dispositivo en la red
Evitar el envío de tramas desde el dispositivo
Suplantar el equipo legítimo en capa 2 y capa 3
¡¡Bypass de 802.1.x!!

Evasión 802.1.x
Demo Time!

Conectividad exterior y VPN

Lab Testing
Realizar una primera prueba en entorno de laboratorio
similar:
• Caída de interfaces
• Problemas con el dongle Lte
• Orden de inicio de interfaces,
VPN, DHCP dongle, etc.

Solución a los problemas
Comprobar el estado de interfaces y
servicios.
Inicio de interfaces y servicios en el
orden correcto.
Easy way à bash & crontab

#!/bin/bash

Acceso Físico
Elaborar un Plan de acceso
• Estudio previo de las sedes
• Sedes en edificios compartidos
• Sedes de menor tamaño
• Estudio del entorno
• Accesos secundarios
• Tailgatting

Pasando desapercibido

Colocando el dispositivo en la red
Dispositivo de red
NO implementan 802.1.x o NAC
SI implementan portsecurity, filtrado de MAC, etc.
Podemos terminar en la VLAN de impresoras
Localización del dispositivo a suplantar.
Ordenadores corporativos
Mayor control de acceso a red (NAC, 802.1.x, portsecurity)
Mayor alcance en la red

Colocando el dispositivo en la red

Acceso externo
Podemos redirigir el tráfico a través de VPN.
Accedemos a ssh y ejecución de herramientas de ataque.
¿En que red me encuentro?
¿A quién estoy suplantando?
¿Posibles objetivos?
Analizar el tráfico de la interfaz bridge

Herramientas en el dispositivo
nmap
responder
impacket
crackmapexec
pth toolkit
empire
Powershell frameworks
Metasploit

Futuras versiones
Mecanismo de cifrado de disco.
Mecanismo de carga de la configuración.
Botón del pánico.
Implementar Bypass de 802.1.x-2010
Interceptar comunicaciones de otros sistemas VoIP,
Terminales inaccesibles, PoS, Dispositivos IoT

Referencias
https://www.defcon.org/images/defcon-19/dc-19-presentations/Duckwall/DEFCON-19-
Duckwall-Bridge-Too-Far.pdf
https://hackinparis.com/data/slides/2017/2017_Legrand_Valerian_802.1x_Network_Access_Co
ntrol_and_Bypass_Techniques.pdf
https://github.com/mubix/8021xbridge
http://www.willhackforsushi.com/presentations/PEAP_Shmoocon2008_Wright_Antoniewicz.pdf
https://media.defcon.org/DEF%20CON%2026/DEF%20CON%2026%20presentations/Gabriel%
20Ryan/DEFCON-26-Gabriel-Ryan-Owning-the-LAN-in-2018-WP.pdf

Agradecimientos
@navajanegra_ab
@Team
@neosysforensics
@d_pit
@B0ken
@mrEll0
@dav3t
@lain_kenshi
@h4ng3r
@VPortal
@n33bur
@platix
@idleSn00py

Preguntas

RedPI - A Network Implant in your LAN

Recommandé

Recommandé

Contenu connexe

Similaire à RedPI - A Network Implant in your LAN

Similaire à RedPI - A Network Implant in your LAN (20)

Dernier

Dernier (10)

RedPI - A Network Implant in your LAN