mboost-dp1

remora.ca

Forskere laver botnet ved hjælp af JavaScript

- Via Dark Reading - , redigeret af Net_Srak

Forskere fra sikkerhedsfirmaet, Informatica64, viste ved sikkerhedskonferencen Black Hat, at det var muligt at lave et botnet ved hjælp af JavaScript.

Chema Alonso oprettede sammen med en kollega en anonym proxyserver og publicerede dens IP-adresse på et passende forum. På en dag havde mere end 4.000 computere forbundet sig til proxyserveren, hvor Chema Alonso og kollegaen havde konfigureret proxyserveren til at erstatte den forbundne computeres JavaScript cache med deres egen JavaScript cache.

Derved kunne Chema Alonso og kollegaen via deres JavaScript Trojan, indsamle data om cookies og legitimationsoplysninger. Blandt de 4.000 computere var der blandt andet svindlere der udgav sig for at være det Britiske Immigrationskontor, en mand der udgav sig for at være en kvinde og en anden svindler der solgte ikke-eksisterende hunde. De kunne også lave et botnet.

Forskerne kunne også få adgang til data krypteret via SSL, hvorved de kunne målrette hackerangreb mod bestemte hjemmesider.

Chema Alonso mener at dette viser hvor simpelt det er, og at det sandsynligvis bruges af andre, til at aflytte kommunikation.

Chema Alonso, Informatica64 skrev:

If we were able to collect that amount of data in only one day doing nothing, two small JavaScript files, how many governments are doing the same on the Internet? How many intelligence agencies are doing the same on the Internet?

For brugere af proxyserver anbefaler Chema Alonso, at man kun bruger proxyservere man stoler på, og at man regelmæssigt renser sin cache.





Gå til bund
Gravatar #1 - Tore
31. jul. 2012 13:35
Bare lige for at forstå en ting, er de forundret over hvor dumme folk er på Internettet, eller er de forundret over hvor lidt sikkerhed der er for den enkelte netizen?

Internettet er det vilde vesten, og alle kan jo nærmest smide en ledning op og aflytte telegrafen, eller læse brevene fra the pony express.
Gravatar #2 - Cruiser
31. jul. 2012 15:14
Kan godt lide at hans aflytnings skrækscenarie, ikke er banditter eller organiseret kriminalitet af nogen art, men efterretnings organer og regeringer.
Gravatar #3 - silashansen
1. aug. 2012 05:28
Jeg kan ikke lige se hvordan det har noget med et botnet at gøre?
Gravatar #4 - Makey
1. aug. 2012 06:13
Det er et botnet forstået på den måde at de enkelte klienter selv, gennem hans java-trojan, sender data til deres server.

Nej umiddelbart er det ikke et 'typisk botnet' som kan bruges til DDoS eller lignende. Resultatet til gengæld er måske dog endnu bedre i netop denne case hvor jeg du velsagtens får adgang til alle mulige typer af logins til folks emails hvorfra du så højst sandsynligt kan få adgang til alt hvad de ellers har af online logins.
Gravatar #5 - PraetorianGuard
1. aug. 2012 08:07
Dejligt at vide at vores NemID kan bruges som en angrebsvector BARE fordi at de baserer det på Java >.<
Gravatar #6 - Mnc
1. aug. 2012 08:10
Java != JavaScript

Det burde folk sgu da vide på newz.
Gravatar #7 - silashansen
1. aug. 2012 12:31
I stedet for overhovedet at bringe ordet "botnet" i spil vil jeg hellere kalde det for en variation af et MITM attack.

Blot fordi du har adgang til at afvikle javascript på en tilfældig computer, så er du stadig forhindret af XSS mekanismer i browseren som blokerer kontakt til andet end det domæne som brugeren p.t. besøger.
Gravatar #8 - reefermadness  
1. aug. 2012 13:07
#7 - I teorien kunne anti-XSS omgås ved f.eks at få den omtalte "proxy-server" til at lytte/gemme alle requests til en given ressource (f.eks et POST til save-super-secret-trojan-stuff.html, uanset hvilken server du forespørger, eftersom requesten også går gennem proxy)

#5 - Du er dum at høre på, sæt dig dog ind i tingene istedet for at bashe.. Ja man kunne måske godt have implementeret et nemid uden brug af java, men alternativet vil være potentielt usikkert, da sikkerheden ville være op til den enkelte browser, desuden er java godt på den måde at du får besked, hvis det ikke er den rigtige nemid applet du bruger (f.eks hvis en laver en der ligner på en prik), det ville du ikke gøre hvis de havde brugt en "smart" HTML / JS / IFRAMED-SHIT / Oauth / whatever løsning
Gravatar #9 - stekkurms
1. aug. 2012 18:13
Blandt de 4.000 computere var der blandt andet svindlere der udgav sig for at være det Britiske Immigrationskontor, en mand der udgav sig for at være en kvinde og en anden svindler der solgte ikke-eksisterende hunde. De kunne også lave et botnet.
Er jeg den eneste der synes at de sætninger overhovedet ikke hænger sammen? Men jeg er alligevel lidt imponeret over at de vha. javascript er i stand til at afgøre køn på en bruger. Og hvilken funktion i javascript bruger man til at finde ud af om hunde eksisterer?

&nbsp; &nbsp; &nbsp; (8) skrev:
Ja man kunne måske godt have implementeret et nemid uden brug af java, men alternativet vil være potentielt usikkert, da sikkerheden ville være op til den enkelte browser
Hvis der er et sikkerhedshul i browseren kan du jo ikke fjerne det ved at tilføje flere komponenter. Det åbner kun mulighed for flere sikkerhedshuller.

&nbsp; &nbsp; &nbsp; (8) skrev:
desuden er java godt på den måde at du får besked, hvis det ikke er den rigtige nemid applet du bruger
Nej. Det du får er en advarsel den første gang du bruger NemID fordi deres applet vil have så mange rettigheder. Når først du har sagt ja til det har du givet Danid kontrol over din computer (med så mange privilegier som din browser har).

Det har to konsekvenser. For det første er det ikke længere kun NemID der er i farezonen. Angreb kan nu også potentielt overtage din computer. For det andet kan en anden applet undgå at vise en advarsel ved ikke at bede om privilegier.

Hvordan ser du forskel på om du ingen advarsel får, fordi du allerede har godkendt appletten før, og om du ingen advarsel får, fordi du kører en anden applet, der ikke vil have privilegier?
Gravatar #10 - arne_v
2. aug. 2012 00:28
silashansen (7) skrev:
Blot fordi du har adgang til at afvikle javascript på en tilfældig computer, så er du stadig forhindret af XSS mekanismer i browseren som blokerer kontakt til andet end det domæne som brugeren p.t. besøger.


Snakker du om same origin policy som siger at JS kun kan tale med den server den er hentet fra?

XSS er en exploit type som p.g.a. manglende checks server sider kan få udført JS hos andre.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login