Hi, das heutige Intro ist ein bisschen anders, wie ihr es
vielleicht schon hört, bin ich gerade wieder im Auto von einem
Kundentermin nach Hause. Ich rede.
Über die Freisprechanlage natürlich.
Es ist super wichtig, die Augen auf der Straße zu haben, macht
keine anderen Dinge während dem Auto fahren und ich hatte gerade
eine super gute Idee für die heutige Podcast Episode.
Also macht es euch gemütlich und ich spiele jetzt hier etwas ein.
And not a when got cut today and's all in the papers
Teenager, arrested and Computer Crime scandal hacker arrested
after Bank camphering damn kids the all a like I'm a hacker and
or my world i meet it's govery today i found the computer and
I'm an haven and do a open to a world.
Rushing to the throne line like herwin to an at x vanes this is
it, this is ribalone, but this is IA world now the world of the
electron in the switch, the beauty of the board we like us
of a service already existing we have ping for what can be dirt
cheat if it was a rum by profitering glutance and you
call us criminals we explorer and you call us criminals we see
canfter knowledge and you call us criminals.
You Build atomic Bombs, you wage Wars You Merdot cheat in light
to us and try to make us believe it.
It's for all we're the criminals yes, i'm a criminal my crimis
that of curry osting my crimis that of jesing people, but what
they say and they think not what they like my crimis that of out
smarting you something that you'll never for you'd me for
i'm a hacker and this is my manifesto.
You my stop this end of it will it's you can't stop this all
have to all we're all a like that was ridden in a nineteen
eighty 6 and my name is the way also known as the mentor.
Mentor war Teil der berüchtigten Hackergruppe Reachan of Doom.
Sein Text wurde sogar so bekannt, dass er in
verschiedensten Filmen immer wieder auftaucht, wie zum
Beispiel? This is our world now the world
of the electron and the switch, the beauty of the Board.
Yes, I am a criminal my crime is that a curiosity, i am a hacker
and this is my man afasto right man afasto.
You may start me, but you can't stop is.
All i it's call cool, yeah, cool.
You take it's cool. Cool, it's a.
Cool, it's. Call me Bullshit.
Wahre Geschichten aus dem verborgenen Teil des
Darkschnitts Ich bin Red. Das ist Inside Darknet
hi, jetzt bin ich wieder am Hauptmikrofon für den Rest der
Episode. Ich hoffe ihr fandet die
Ausschnitte von dem Hackers Manifesto im Intro spannend.
Es kam sogar in Edward Snowdens Autobiografie vor.
In der heutigen Folge geht es aber nicht um Lloyd Blanking
Ship, also The Mentor von der Gruppe Legend of Doom, ich
dachte nur, ihr könntet das vielleicht interessant finden,
weil ich selbst die Ausschnitte auch super spannend fand,
sondern um einen Pen dester Freund von mir, mit dem habe ich
ein ziemlich großes, ziemlich langes, ziemlich cooles
Interview geführt. Über Pentesting bzw Red Team
Engagements also erzählt über Dinge, die er bei Pentests
gesehen hat und die vielleicht ein bisschen wild, spannend oder
lustig sind. Bevor wir da aber.
Gleich Reinhüpfen gibt es noch die News aus der Cyberbubble für
diese Woche. Die Neuigkeiten aus der
Cyberbon. Sind zum.
Ziel eines großangelegten Cyberangriffs.
Geworden. Noch nie gesehen?
Die Cyber Security Firma Gambit Security hat diese Woche ihre
investigative Arbeit und einen Report zu einem super spannenden
Cyberangriff zwischen Dezember 2025 und Jänner 2026
veröffentlicht. Also das Ganze ging über 2
Monate. Ein Fredactor hatte in diesem
Zeitraum die mexikanische Bundessteuerbehörde, das
nationale Wahlregistrierungsinstitut, das
Zivilstandsregister von Mexico City, 4 Landesregierungen und
ein Wasserversorgungsunternehmen kompromittiert.
Und es gab nur einen einzelnen Angreifer.
Es war keine Custom Malware, es war keine Zero Day, es war keine
Regierungshackergruppe und es war auch keine jahrelange
Vorbereitung, sondern es waren Cloud und Jet Gbt.
Es wurden insgesamt über. 150 Gigabyte.
Daten Exfiltriert darunter ein. 195.
Millionen Steuerdatensätze, Wählerregistrierungen und
Zugänge von Regierungsangestellten.
Aufgedeckt wurde das Ganze eben von der Security Firma Garbit
Security, mit der ich auch schon im Kontakt bin und zwar durch
Zufall. Die Firma ist von den ehemaligen
Geheimdienstlern der israelischen Armee gegründet
worden und sie haben neue Fred Hunting Techniken getestet, das
ist ein proaktiver Cyber Security Ansatz, den ich auch
selbst praktiziere und den wir auch bei unserer Firma haben,
bei denen wir aktiv und manuell nach versteckten Bedrohungen im
Netzwerk im Internet suchen, die automatisierte Security Systeme
umgehen dadurch. Dadurch kann man ganz oft
Angreifer frühzeitig identifizieren, bevor sie
Schaden anrichten oder eben, wie in diesem Fall, Angreifer
finden, von denen gar keiner wusste, dass sie überhaupt im
Netzwerk sind. Der Fred Intelligence Team ist
auf. Öffentlich zugängliche.
Conversation Logs mit Cloud gestoßen der Angreifer hat also
irgendwie mit AI die Fähigkeit, eine ganze Regierung zu hacken
hat. Hat aber seinen ganzen
Angriffspfad in Logs liegen lassen, die öffentlich waren und
jeder lesen konnte. Ich habe inzwischen alle Logs,
weil ich die natürlich für meinen eigenen Research auch
weiter verwende, die kann ich nicht einfach so sharen, aber
diese Logs zeigen genau wie der Angriff abgelaufen ist.
Man sieht seinen Eingaben, der Angreifer war definitiv nicht
neu in der Cyber Security Bubble.
Denn erkennt verschiedene. Wege hat dann Flow.
Verschiedene Techniken gegeben und.
Gesagt, Hey, führ das aus. Flo hat gesagt, Nein, kann ich
nicht, hat dann immer wieder weiter gefragt, bis es
irgendwann geklappt hat und hat dann verschiedenste Scans,
payloads und den ganzen Diebstahl der Daten
automatisiert. Wenn Cloud an die Grenzen
gestoßen ist, ist der Angreifer dann auf Chat Gbt gewechselt und
hat da dann Teile hin und her kopiert um so die ganzen
Infrastrukturen komplett zu hacken.
Da ich natürlich auch beim Pendasting immer am neuesten
Stand bin, habe ich das gegen meine eigenen Sachen wieder
gegen gecheckt, das ist jetzt da nichts Neues oder besonderes
drinnen, also all diese Sachen wären bei einem ganz normalen
Standard Pendast aufgefallen. Aber es war halt.
Komplett autonom. Es gab keine eigene Hacker
Infrastruktur dahinter, es gab nur 2 kommerzielle Ai Abos und
Robbing hat nach dem Bekanntwerden die Accounts
gesperrt und das Modell wieder an dem Ganzen angepasst.
Also bitte macht es nicht nach, es wird bessere Detections von
Cloud geben und sie werden euch super einfach über Cloud
identifizieren können. Aber das Ganze sollte uns
natürlich alle ein bisschen beschäftigen.
Ai. Angriffe sind nicht mehr
theoretisch. Ich hatte letzte Woche bei der
Microsoft einen Talk darüber. Ai wird gerade aktiv als
operatives Angriffsteam genutzt, es ist nicht nur noch
Unterstützung, es ist der Angriff selbst und laut Crowd
strikes. Global Fred Report 2. 1026 haben
Ai gestützte Angriffe im letzten Jahr um 89% zugenommen.
Das heißt, Angriffe werden schneller, Angriffe passieren
vielmehr oft. Und falls ihr immer noch.
Nicht eure Infrastruktur. Pentestet und ausreichend
sichert wird. Der ein oder andere.
Hacker irgendwann in euer Unternehmen einbrechen.
Ich war ja letzte Woche wie jede Woche inzwischen bei dem Kunden
vor Ort für einen internen Pentest.
Gefahren immer 2 Experten gleichzeitig zu einer Firma und
sehen sich die ganze Infrastruktur über 2 Tage oder
auch länger hinweg an. Und bei dieser Firma wo ich
letzte Woche war, das war so eines der seltenen Male, wo ich
als Pentester wieder rausgegangen bin und mir danach
gedacht habe okay, die haben Security wirklich ernst genommen
und auch richtig gemacht. Ich weiß, dass einige
Mitarbeiter und Mitarbeiterinnen von dieser Firma zuhören, also
Big Shoutout an euch. Trotzdem findet man immer etwas.
Es wird niemals einen Pentas geben, wo nicht irgendein
Finding drauf ist. Das meine ich jetzt gar nicht
super dramatisch, sondern es ist einfach die Realität, keine
Umgebung ist perfekt, weil am Ende so viele einzelne Teile
involviert sind und. Und von dieser sicheren.
Umgebung von dieser. Super gehärteten Firma springen
wir direkt in unser. Heutiges Interview mit Codec.
Der heute in seiner. Geschichte?
Ein bisschen das. Gegenteil aufzeigen wird auch
dieses Interview wurde im Englischen geführt mit einer Ai
ins Deutsche übersetzt und mit einer zweiten AI vertont.
Hi Codec, schön, dass du dir die Zeit genommen hast mit uns bei
Inside Darknet zu sprechen. Magst du ganz kurz erzählen, wer
du bist und was du machst? Und das Ganze vielleicht ohne zu
technisch zu werden? Hey Inside Darknet und an alle,
die zuhören. Ich bin bekannt unter dem alias
Kodak und bin Red Teamer, also sowas wie du ein Cyber Security
Experte der Cyberangriffe simuliert um Sicherheitslücken
oder auch fehlerhafte Security Prozesse aufzudecken.
Firmen beauftragen meine Firma, dass wir sie attackieren,
digital die Umgebungen, Netzwerke, Programme, aber auch
mit Social Engineering oder sogar physisch.
Aber das Ziel ist immer das Gleiche.
Wir versuchen Schwachstellen zu finden, bevor es jemand anderer
tut, Firmen beheben unsere Findings und sind nach jedem
Assessment um einiges sicherer als davor.
Und ja, ich kenne dich jetzt schon ein paar Jahre, weil wir
immer wieder mal gemeinsam an Capture The Flags gearbeitet
haben, also Hackerturniere, die wir in unserer Freizeit
bestreiten. Und ich habe super viele Sachen
zu Active Directory von dir gelernt.
Das stimmt, dafür habe ich von dir sehr viel über Social
Engineering gelernt und eben ziemlich coole Geschichten
gehört. Die heutige Geschichte kenne ich
selbst, aber ich fand sie so lustig, dass ich Codec gefragt
habe, ob er sie eben im Podcast präsentieren möchte.
Also fangen wir ganz von vorne an.
Codec ist eben Teil eines Red Teams von einer Firma in Zagreb,
Zagreb ist die Hauptstadt von Kroatien.
Ich mache das jetzt schon ein paar Jahre, aber einer meiner
spannendsten Kunden war in einem Hafen.
Zagreb liegt ja nicht direkt am Meer, also freue ich mich immer,
wenn ich an die Küste komme. Also wir haben diesen Neukunden
ein Betreiber von einem Hafen, mehr kann ich leider nicht
sagen, auf jeden Fall war es ein Blackbox Engagement.
Bei Blackbox, Engagements oder eben Blackbox Pentests haben die
Pentester innen keine Infos über die interne Infrastruktur oder
die Architektur. Also Sie wissen nicht, wie die
Firma von innen aussieht, sondern nur das, was sie selbst
finden können. Man geht also mit ganz ganz
wenig Info rein, normalerweise ist sowas eher selten, außer
eben bei kompletten. Red Team Engagements und die
macht man meistens, wenn man schon einige Pen Tests und
Security Audits davor hatte, weil sonst einfach ein bisschen
der Mehrwert verloren geht, wenn die Pen Tester innen nicht alle
Infos haben. Da könnten dann zum Beispiel
einfach Schwachstellen übersehen werden.
Der Security Leiter wollte wissen, ob wir auf das Gelände
kommen und was wir dort so anstellen könnten.
Physisch, aber auch in Bezug auf Computer.
Wir haben keine Informationen bekommen, nur wer unser
Auftraggeber ist und eine Adresse scope gab es nicht
wirklich, ausweise hatten wir keine.
Das Scope bei einem Pentest ist im Grunde die Definition von
diesem Pentest. Also was darf man angreifen, wo
darf man hinsehen, wie umfangreich ist es?
Aber der Auftraggeber hat eben Colweg und seiner Firma da sehr
viel Freiraum gegeben. Sie sollten einfach mal selbst
entscheiden und machen. Also.
Sind wir einfach mal hingefahren.
Kein großer Plan, kein Vorlauf, einfach schauen, was da ist und
was uns sofort aufgefallen ist. Tagsüber war so unglaublich viel
los auf dem Gelände, LK WS, Gabelstapler, Arbeiter in
verschiedenen Uniformen, containerfahrer, Zollbeamte,
irgendwelche Techniker mit werkzeugkoffern.
Ein Hafen ist per Definition ein Ort, an dem jeden Tag Hunderte
von Fremden ein und ausgehen. Und als Angreifer ist das
natürlich wunderbar, weil du dich sofort in dieser Masse
verlierst. Niemand schaut zweimal, wenn da
wieder ein neues Gesicht durch ein Tor kommt, weil jeden Tag
neue Gesichter kommen. Wir haben uns also erst mal
einfach umgeschaut, ein bisschen Rumspaziert getan, als würden
wir telefonieren, als würden wir irgendwas auf dem Handy
nachschauen. Plossible die Mobility.
Man macht nichts Verdächtiges, berührt nichts, betritt nichts.
Man ist einfach nur zufällig in der Nähe.
Wenn man dann angesprochen wird, sagt man, hey, ich suche nur
nach den Eingang oder ich habe mich verfahren und du gibst auch
dabei keinen Grund, misstrauisch zu sein in dieser ersten Runde
schaut man sich dann wirklich. Mal so alles an.
Wo sind die Zugänge? Welche Tore werden wie oft
benutzt? Wo ist Security, wo nicht, wo
hängen Kameras, welche Bereiche sind wirklich kontrolliert und
welche nur theoretisch gesperrt, weil zum Beispiel einfach nur
ein Schild dort hängt? Aber keiner wirklich dahin
sieht. Nach einer Weile war uns klar,
tagsüber ist zu viel Betrieb, also haben wir entschieden, wir
kommen abends wieder, wenn der Betrieb runtergefahren ist.
Wenn weniger Leute da sind, wenn die Energie auf dem Gelände eine
andere ist. Und abends war das Gelände wie
ausgewechselt. Weniger Licht, weniger Bewegung,
weniger Lärm, Gabelstapler weg, nur noch ein paar vereinzelte
Mitarbeiter, die ihre Schicht beenden, und wir haben den
Zugangspunkt genommen, den wir tagsüber als Schwächsten
identifiziert hatten, ein Seitentor, weit genug vom
Haupteingang entfernt, um nicht im direkten Blickfeld der
Security am Eingang zu liegen, und das nach unserem Eindruck
nicht aktiv überwacht wurde, kein.
Kein Sicherheitsmann in der Nähe, aber eine Kamera, die wir
erst danach bemerkten und ein Tor, das wie wir beim
Näherkommen gesehen haben, nur angelehnt war und nicht wirklich
ins Schloss gefallen war. Also geht Codec hindurch, trotz
der Kamera, die sie erst später bemerken.
Langsam und ohne Eile. Fast so, als ob sie jeden Tag da
durchgehen. Bei physischen Pentests und
Assessments ist es super wichtig, dass man immer so
wirkt, als darf man hier sein und nicht als Wärme dieser.
Einbrecher. Kein Zögern, kein umschauen,
kein nervöses Tempo. Authoritive presents heißt das
ganze, die Wahrscheinlichkeit ist viel niedriger, dass dich
das Sicherheitspersonal das 200 Meter entfernt steht, dich nicht
aufhalten wird, wenn du mit festen Schritten und einem
klaren Ziel vor den Augen in irgendeine Richtung gehst.
Das Personal wird dich aber eher aufhalten, wenn du so in jede
Richtung schaust, ganz nervös bist, nicht wirklich weißt, wo
du hin bist. Also sind wir rein und dann
haben wir uns systematisch durch das Gelände bewegt.
Lagerbereiche zuerst, weil die meistens am wenigsten beleuchtet
sind und am wenigsten überwacht werden nach Betriebsschluss und
das erste interessante Finding kam sehr schnell,
Vorhängeschlösser überall, Vorhängeschlösser an
Containertüren an Lagertoren, an kleinen dequalen, Nebengebäuden
und. Und ich meine das nicht als
Kritik, weil Vorhängeschlösser für sich keine schlechte Idee
sind. Aber die konkreten Schlösser,
die da hingen, das waren diese billigen 5€ Dinge aus dem
Baumarkt, kein Markenprodukt, kein Sicherheitsschloss, einfach
das günstigste was man bestellen kann, das öffnest du mit dem
richtigen Werkzeug in Sekunden lautlos, ohne Spuren zu
hinterlassen. Wir haben das an mehreren
Containern gemacht, reingeschaut, fotografiert,
schloss wieder zu. Nichts dramatisch Wertvolles
drin, soweit wir das beurteilen konnten, aber der Punkt für den
Report war, wir konnten das tun, ohne dass irgendetwas ausgelöst
hat. Kein Sensor, kein Alarm und
natürlich auch keine Reaktion von irgendwem.
Die Security war auch nicht wirklich unterwegs hier.
Also sind sie von Container zu Container und dann irgendwann
weiter zu den Gebäuden. Und dann habe ich was bemerkt,
was man sicher wirklich nicht erwartet.
Es gab so einen komplett dunklen Nebeneingang zu einem der
Verwaltungsgebäude. Wahrscheinlich war das irgendwie
so, der Raucherbereich auch, und hier war die Tür nicht
zugesperrt. Wir haben leicht dagegen
gedrückt und die Tür ist aufgegangen.
Der Raucherbereich vom Verwaltungsgebäude.
War nicht. Zugesperrt.
Ich habe das auch schon ganz oft bei meinen Engagements gesehen.
Raucherbereiche werden irgendwie immer ein bisschen
vernachlässigt, also Get Codec in das.
Gebäude. In einem Flur mit ein paar Büros
rechts und links alles dunkel, bis auf die kleinen grünen
Notausgangslichter an der Decke. Wir haben Taschenlampen
genommen, kleine Taktiklampen, nichts, das von weitem auffällt
und sind langsam weiter gegangen, Türen gecheckt, manche
offen, manche zu. Wir haben Fotos gemacht,
Netzwerkdosen, die offen zugänglich auf dem Flur sitzen,
Dokumente, die offen auf Schreibtischen liegen, ein
Konferenzzimmer mit Whiteboard, Notizen, die eindeutig interne
Netzwerkarchitektur zeigen. Das alles ist Gold für einen
Angreifer, weil du damit anfängst, ein Bild zu bauen.
Wie ist die Firma strukturiert, wie denken die Leute dort über
Sicherheit, welche Systeme gibt es, wie sieht die interne
Landschaft aus. Und während Codex so durch das
Gebäude geht, hört er plötzlich stimmen.
Nicht laut, nicht direkt. Die Stimmen kommen von draußen
und sie wurden. Schnell.
Lauter als ihm liebest. Es waren mehrere Personen auf
dem Kiesweg außen an der Gebäudewand und dann Licht,
nicht ein Licht, mehrere Taschenlampen von verschiedenen
Richtungen gleichzeitig und in dem Moment weißt du sofort ohne
Nachdenken zu müssen, das ist nicht ein einzelner Wachmann,
der seinen Rundgang macht, das. Das ist eine koordinierte
Reaktion auf etwas. Es war die Polizei, und jetzt
ist der Moment, in dem man die richtige Entscheidung treffen
muss und die richtige Entscheidung ist, nicht
wegzulaufen. Ich weiß, dass das instinktiv
falsch klingt, weil alles in dir schreit, dass du weg musst.
Aber wenn du wegläufst, bist du ab diesem Moment ein Einbrecher
auf der Flucht, egal was danach kommt, egal was du sagst, egal
welche Dokumente du dabei hast. Wenn.
Wenn du ruhig rauskommst, Hände hoch, Autorisierung bereits in
der Hand, bevor sie dich ansprechen, dann bist du ein Pen
Tester der seinen Job macht. Das ist der Unterschied zwischen
einem unangenehmen Abend und echten Problemen.
Wir sind also langsam Richtung Ausgang, haben laut auf
kroatisch gesagt, dass wir rauskommen und haben sofort die
Permission to Attack hergezeigt, das ist das Dokument, das in
dieser Situation dein Leben ist. Es belegt wer du bist, wen du
vertrittst, was du hier machst. Und es hat eine Telefonnummer
drauf. Von jemandem beim Auftraggeber,
der das alles bestätigen kann. Die Polizei ist dann im ersten
Moment mal ruhig, nimmt das Dokument von Codec und hat die
ganze Permission Project mal durchgelesen.
Codec hat mir auch gesagt, dass er gesehen hat, dass sie das
ernst nehmen und dass sie die Situation dann eigentlich
relativ schnell einordnen konnten, also dass er nicht
wirklich ein Angreifer war, aber ein Dokument alleine ist
natürlich jetzt auch nicht die Lösung für alles und sie
brauchten natürlich die Bestätigung.
In diesem Fall die telefonische Bestätigung von diesem Security
Chef, der auf dem Dokument oben steht bei sich.
Wir hätten sie da einfach angerufen und er hätte dann
sagen sollen, ja die sind von uns, die dürfen das und genau
das versucht die Polizei dann auch und ruft an es klingelt,
keiner hebt ab, es war halt mitten in der Nacht, der
Security Chef hat geschlafen. Wir wurden also danach in ein
kleines Wachbüro am Gelände gebracht. 4 Stühle, ein Tisch,
eine Schreibtischlampe, das Summen irgendeiner alten
Klimaanlage und da saßen wir, die Beamten, wir und die Stille
und was keiner in diesem Moment wusste, der Auftraggeber würde
auch nicht aufwachen, denn er hatte auf seinem iphone eine
Funktion aktiv, die damals noch ziemlich neu war.
Im Schlafmodus muss ein Anruf zweimal innerhalb kurzer Zeit
kommen, um wirklich durchzugehen.
Die Beamten haben einmal angerufen, aufgelegt, gewartet,
der Security Chef schläft also und weiß auch nichts von dem
Anruf und wir sitzen in dem Büro.
Das ist eine Situation, die ich ehrlich gesagt nie vergessen
werde. Du hast alles richtig gemacht,
den Vertrag, das autorisierungsschreiben, Du hast
sofort kooperiert, du hast professionell reagiert und
trotzdem sitzt du um 15:30 Uhr morgens in einem Wachbüro in
einem kroatischen Hafen und kannst gar nichts tun, weil der
eine Mensch, der das in 2 Sätzen klären könnte, auf der anderen
Seite seines Telefons schläft. Die Beamten waren in Ordnung,
sie haben uns nicht schlecht behandelt, aber sie konnten uns
eben auch nicht gehen lassen, solange die Bestätigung
ausstand. Also haben wir gewartet,
irgendwann hat jemand Kaffee geholt, irgendwann hat jemand
leise kroatisches Radio angemacht.
Und so ging es dann ein bisschen im Morgengrauen, wo sich dann
auch der Ansprechpartner beziehungsweise der Security
Chef meldet. Endlich. 2. 2 Minuten später war
alles klar. Er hat bestätigt, hat sich
entschuldigt, hat alles erklärt und auch geklärt.
Wir haben unsere Daten ja schon abgegeben, sie hatten alles von
uns, als konnten wir gehen, wir sind raus in die Morgensonne,
haben uns kurz angeschaut, das erste was mein Kollege sagte,
war nie wieder Red Teaming in diesem Hafen.
An sich wäre das ein gutes Ende für die Story, aber das Auto von
Uwe Underground kommt noch nicht.
Also geht die Geschichte noch ein bisschen weiter, denn Codec
und sein Kollege wurden noch mal angefragt, bei genau dem
gleichen Hafen. Der Auftraggeber hat die
Ergebnisse des ersten Engagements ausgewertet.
Was wir gefunden haben, wie weit wir gekommen sind, was das im
Klartext bedeutet, und hat dann den richtigen Schluss gezogen
und. Und das ist eigentlich der
Schritt, den viele Firmen nicht machen, weil er unangenehm ist.
Du hast gerade erfahren, dass jemand nachts durch dein Gelände
spaziert ist, Container geöffnet hat, ein Gebäude betreten hat.
Das tut weh und viele Firmen reagieren dann damit, dass sie
die offensichtlichsten Löcher stopfen und denken, das war es,
aber das war nicht dieser Auftraggeber, er wollte Security
richtig machen, er wollte einen zweiten Einsatz, diesmal
breiter, physisch und digital zusammen, er wollte wissen, was.
Was passiert, wenn jemand nicht nur über den Zaun kommt, sondern
auch durch externe Angriffe? Wie weit kommt man, wenn man
beides kombiniert, und das ist eigentlich die interessanteste
Frage beim Red Teaming, weil die Antwort fast immer lautet, viel
weiter als man denkt, weil physische und digitale Security
fast immer von verschiedenen Teams verantwortet werden, mit
verschiedenen Budgets, verschiedenen Prioritäten und
genau an der Schnittstelle zwischen den beiden entstehen
die Lücken. Also startet Codec und seine
Firma ein zweites Right Team. Engagement wieder beim gleichen
Hafen. Ich bin mir ziemlich sicher,
dass sie diesmal aber sichergestellt haben, dass der
Security Chef erreichbar ist. Wie habt ihr diesmal angefangen?
Wir haben ein paar Kollegen, die richtig gut mit externen
Angriffsflächen sind. Also was ist vom Internet aus
sichtbar? Jedes Unternehmen hinterlässt im
Internet Spuren. Systeme, die nach draußen
exponiert sind, Dienste, die erreichbar sein müssen, damit
der Betrieb funktioniert, manchmal aber auch Systeme, die
aus Versehen erreichbar sind oder die vergessen worden sind.
Normalerweise machst du unter anderem Scans der öffentlichen
Adressen des Unternehmens, schaust, welche Ports offen
sind, welche Dienste dahinter laufen, welche Versionsnummern
sichtbar sind und aus den Versionsnummern kannst du oft
direkt ablesen, ob es bekannte Schwachstellen gibt, weil die
öffentlich dokumentiert sind. Und sehr schnell, wirklich sehr
schnell. Das hat keine Stunde gedauert.
Hat jemand etwas gefunden, das mich auch nach Jahren in diesem
Job noch überrascht hat? Es gab ein Webinterface, ein
normales browserbasiertes Interface, erreichbar über eine
Standard URL, er hat es über Google gefunden, auf den letzten
Seiten mit bestimmten Parametern und genau dieses Interface war
das Remote Verwaltungssystem für die Mitarbeiterausweise des
Hafens. Also das System, das steuert,
wer eine Zutrittskarte bekommt, welche Bereiche auf dieser Karte
freigeschaltet sind, wer wann durch welche Tür darf.
Das ist im Grunde das digitale Fundament der gesamten
physischen Zutrittskontrolle. Und noch viel Stemmer, ohne
Login, ohne Authentifizierung, keine Passwortabfrage, kein VPN,
keine Beschränkungen. Sobald man den Link konnte,
konnte man ausweise für diesen Hafen erstellen Welt.
Wobei ich hier als kleinen Sidefact auch was sehr ähnliches
schon selbst gefunden habe. Ich darf natürlich nicht sagen,
wo oder wie, aber. Es ist.
Gar nicht so selten, wie man glaubt.
Sobald man den Link findet, und das ist eine Frage von Minuten,
das ist kein hochspezialisiertes Wissen, steht das Interface
offen und damit konnte jeder sich selbst eine
Mitarbeiterkarte anlegen, mit Zugriffsrechte auf bestimmte
Bereiche und aus diesen Datensätzen werden die
physischen Zutrittskarten konfiguriert und programmiert.
Das haben wir dann natürlich auch gemacht.
Wir haben uns Einträge angelegt mit Zugriffsrechten auf die
Bereiche, die wir testen wollten, und dann leere RFID
Karten bespielt. Das Ganze kann man über einem
Boxmarkt 3 zum Beispiel machen. Das ist einfach so ein kleines
Hardware Tool sieht aus wie eine Festplatte wo man zutrittskarten
auslesen und auch bespiegeln kann, kostet jetzt nicht extrem
viel zwischen 100 bis 300,00€ ist Open Source und die
Rohkarten selbst, also die leeren RFID Karten kosten ein
paar Cent das Stück, die bestellt man dann einfach online
50 Stück für 10,00€ oder was auch immer und die sind dann
auch immer wieder weiter verwendbar.
Das. Das Entscheidende ist dann, ob
das Zugangssystem auf der anderen Seite die Karte wirklich
validiert oder nicht. Und das ist ein fundamentales
Architekturproblem, das weit verbreitet ist.
Viele Zutrittskontrollsysteme, gerade ältere oder günstigere,
prüfen eine Karte nur darauf, ob das Format stimmt und ob die
Kodierung korrekt ist. Die Fragen nicht bei einem
zentralen Server nach, ob diese spezifische Karte überhaupt in
einer autorisierten aktuellen Whitelist steht.
Wenn du die Kodierungslogik verstehst, oder?
Und bei vielen dieser Systeme ist sie dokumentiert, weil die
Hersteller Integration mit anderen Systemen ermöglichen
wollen. Dann kannst du Karten bauen, die
das Lesegerät als valide erkennt, ohne Insiderwissen,
einfach weil die Prüflogik auf Kartenebene zu schwach ist.
Also haben Sie sich Berechtigungen erstellt und
falsche Karten bespielt und sind dann wieder zu diesem Hafen.
Wir haben unsere falschen Karten an mehreren Zugangspunkten
getestet. Alle haben die Karten
durchgelassen und akzeptiert. Das war wirklich lustig.
Ich weiß noch, wie mein Partner und ich von Tür zu Tür gingen
und immer dieses super Satisfied piepsen vom Schloss kam.
Also sind wir weiter und weiter und irgendwann standen wir in
einem Bürobereich im Inneren eines Gebäudes am Hafen in einem
Bereich, der eigentlich nur für autorisiertes Personal
zugänglich sein sollte. Und was wir da gesehen haben,
war in gewisser Hinsicht fast noch verrückter als der Zugang
selbst. Die Monitore liefen nicht alle,
aber mehrere Bildschirme, die leuchteten.
Aktive Sessions, kein Sperrbildschirm, Mitarbeiter,
die einfach aufgestanden und gegangen sind, ohne ihre Rechner
zu sperren und die Bildschirme haben sich selbst auch nicht
automatisch gesperrt. In einem Hafen, wo auf diesen
Rechnern frachtverwaltungssoftware läuft,
wo Schiffsbewegungen und Containerinhalte und Kundendaten
offen auf dem Bildschirm stehen, da ist das ein erhebliches
Problem. Wir haben dokumentiert, was
sichtbar war, haben Fotos gemacht und haben sogar
Zugangsdaten gesehen, die jemand auf einem Notizzettel neben die
Tastatur geklebt hatte. Also haben Sie sich an ein Gerät
gesetzt, das Ungesperrt war, und haben einfach mal versucht, so
viele Informationen wie möglich herauszubekommen und dann
begonnen, das Netzwerk zu innummerieren, damit sie sich
mit lateralem Movement durch das ganze Netzwerk von Computer zu
Computer bewegen. Können.
Und dann fängt das an, was wirklich Zeit und Geduld
braucht. Lateral Movement Man kommt von
dem Endgerät auf irgendeinen Remote Desktop Server.
Dort prüft man, welche neuen Pfade es im Netzwerk gibt.
Welche anderen Server sind erreichbar, welche Dienste
laufen, dort gibt es gecashte, Zugangsdaten,
Konfigurationsdateien mit Passwörtern, irgendwelche
Vertrauensbeziehungen zwischen Systemen, die du ausnutzen
kannst. Du baust dir Stück für Stück ein
Bild von der internen Infrastruktur und du testest
jeden Weg, der sich dir bietet. Manchmal läuft ein Weg ins
Leere, dann probierst du den nächsten, du springst von System
zu System, immer tiefer, immer weiter, immer mit dem Ziel,
entweder an höhere Privilegien zu kommen oder an Daten, die
zeigen, wie kritisch der Zugriff wär.
Und genau das machen Sie dann auch über die nächsten Stunden
hinweg. Die gängigen Schwachstellen zum
Domänenadmin gab es nicht. Aber wir fanden einen weiteren
RDS Server mit der kompletten HR Software des Hafens,
Personalabteilung, Mitarbeiterverwaltung komplette
Stammdaten. Wir haben also versucht uns
einzuloggen mit dem Standardpasswort des
Softwareherstellers. Das Passwort das Gesetz ist,
wenn die Software zum ersten Mal installiert wird und das
erschreckend oft nie geändert wird, weil irgendwann der
Techniker, der das gemacht hat, die Firma gewechselt hat oder
weil es in der Dokumentation stand, dass man es ändern soll
und irgendjemand hat gedacht, das machen wir nächste Woche.
Und nächste Woche ist nie gekommen.
Also konnte Codec sich mit dem Standardpasswort in der Hr
Software dieser Mitarbeiterverwaltungssoftware
direkt einloggen mit natürlich atmenberechtigungen.
Das war so ein bisschen wie der Heilige Gral für Codec, alle
wichtigen personenbezogenen Daten standen ihm offen.
Echte Namen, echte Mitarbeiternummern Abteilung und
in dem Moment schließt sich der Kreis auf eine Art, die wirklich
beunruhigend ist, mit. Wir hatten zu Beginn des
Engagements über das Unauthentifizierte
Ausweisverwaltungssystem Phantomidentitäten angelegt,
also erfundene Mitarbeiterdatensätze, aus denen
wir dann Karten gebaut haben. Das hat funktioniert, wir sind
damit durch Türen gekommen, wir standen in Büros vor laufenden
Monitoren, aber eine Phantomidentität hat immer ein
Restrisiko, irgendjemand kennt den Namen nicht und sieht im
System nach, ob du wirklich hier arbeitest.
Jetzt hatten wir echte Identitäten, echte Namen von
echten Menschen, die im System stehen, deren Ausweis niemals
hinterfragt werden würde, weil er real ist und weil die Person
real ist, aber noch besser, wir konnten uns einfach selbst als
neue Mitarbeiter hinzufügen. Eintrittsdatum heute,
Hausverwaltung. Du bist nicht mehr ein Phantom
Benutzer, der irgendwann vielleicht auffällt.
Du bist eine reale Person in jedem Verzeichnis und du hast
einen Grund in jedem Bereich zu sein.
Das ist die vollständige Angriffskette von Anfang bis
Ende du sitzt irgendwo, findest ein System ohne Login, du legst
dir eine Identität an und programmierst eine Karte, dann
brichst du ein, findest eine Hr Software mit Standardpasswort
Extrahierst echte Mitarbeiterdaten, erstellst neue
Nutzer du du hast die komplette Firma oder eben einen Hafen
übernommen. Kein Schritt in dieser Kette war
besonders komplex, kein Schritt erforderte spezialisiertes
Wissen, das nicht öffentlich zugänglich und lernbar ist.
Das Erschreckende an guten Angriffsketten ist fast immer,
wie banal die einzelnen Schwachstellen sind.
Richtig Welt. Wie hat der Auftragsgeber auf
das Ganze reagiert? Nicht überrascht im Sinne von,
das ist ja unglaublich, wie ist das möglich, eher so eine stille
Ernüchterung. Er hatte Sicherheitsmaßnahmen,
er hatte Zugangskontrolle, er hatte einen Zaun und Kameras und
Wachpersonal. Und dann sitzt du dem Mann
gegenüber und erklärst ihm Schritt für Schritt, wie du
trotzdem von zu Hause aus an echte Mitarbeiterdaten gekommen
bist und wie du damit durch seine Tür gegangen bist und wie
du vor dem Computer seiner Mitarbeiter gesessen bist.
Nach dem Report hat der Auftraggeber einiges geändert.
Das Ausweisverwaltungssystem hat jetzt eine Authentifizierung und
ist nicht mehr aus dem Internet erreichbar, die
Zutrittskontrolle validiert Karten, das Human Resources
System hat ein vernünftiges Passwort und ist besser
segmentiert und sie machen jetzt regelmäßige Assessments, weil
der Auftraggeber am Ende verstanden hat, dass das keine
einmalige Übung ist. Infrastruktur verändert sich,
neue Systeme kommen rein, neue Mitarbeiter kommen.
Neue Anbieter was heute sauber ist, ist in einem Jahr
vielleicht eine offene Flanke. Das ist kein Pessimismus, das
ist einfach die Realität von komplexen Umgebungen.
Kolek vielen lieben Dank für diese super spannende Folge.
Danke, dass du dir Zeit genommen hast, das alles so gut
aufzubereiten. Vielleicht hört man sich ja noch
mal bei Inside Darknet, wenn du noch so ein allerletztes
Learning für die Zuhörerinnen hättest, was wäre das?
Ich sage das jetzt seit Jahren. Der beste Moment für einen Pen
Test ist, bevor etwas passiert, danach ist er trotzdem wichtig,
aber der Schaden ist schon da, wenn eine Firma die Security
ernst nimmt, dann testet sie nicht einmal und hört auf, die
testen jedes Jahr verschiedenste Komponenten, weil sie wissen,
dass sich ihre Umgebung verändert und dass jede
Veränderung neue Lücken bringt. Die sichersten Firmen die ich
gesehen habe, testen fast monatlich neue Anbindungen und
Applikationen wir. Wer nur einmal testet, hat eine
Momentaufnahme. Wer regelmäßig testet, findet
die Lücken, bevor es jemand anderer tut und dieser jemand
anderer, der testet auch regelmäßig, nur ohne Vertrag aus
dem Darknet. Only or just exployed me to get
your canitation. Spof me and just row me, then I
Clay Kind you Infiltration Fish me and just breach me make me on
the fixation, Clown me and just was me me like thugs and
reputation.