TeamQuest Blog

Komenda finger może zrobić Ci kuku

Komenda finger może zrobić Ci kuku

Marcin Sarna , 16.09.2020 r.

Polecenie „Finger” systemu Windows 10 może być wykorzystywane do kradzieży plików.

Niebezpieczne pliki Windows

Lista natywnych plików wykonywalnych w systemie Windows, które mogą pobierać lub uruchamiać złośliwy kod, stale rośnie. Ostatnio zgłoszono kolejny – finger.exe.

Takie pliki binarne są określane ciekawym angielskim zwrotem living-off-the-land (LoLBins) bowiem mogą pomóc atakującym w obejściu kontroli bezpieczeństwa w celu pobrania złośliwego oprogramowania bez wywoływania ostrzeżenia o bezpieczeństwie w systemie.

Finger jako C&C

Najnowszym odkryciem jest więc niepozorny finger.exe, polecenie dostarczane z systemem Windows do pobierania informacji o użytkownikach na zdalnych komputerach z uruchomioną usługą lub demonem Finger. Komunikacja odbywa się za pośrednictwem protokołu komunikacyjnego sieci Name/Finger.

Badacz bezpieczeństwa John Page odkrył, że to polecenie Microsoft Windows może jednak również działać jako narzędzie do pobierania plików i prowizoryczny serwer poleceń i kontroli, który może służyć do wysyłania poleceń i pozyskiwania danych.

Według niego polecenia command & control można zamaskować jako „zwykłe” zapytania finger, które jednak pobierają pliki i pozyskują dane, bez wykrywania przez program Windows Defender takiej anormalnej aktywności.

Szczegóły problemu

Jednym z problemów może być to, że port 79, używany przez protokół Finger, jest często blokowany w organizacjach. Jednak osoba atakująca z wystarczającymi uprawnieniami może ominąć to ograniczenie, używając protokołu Windows NetSh Portproxy, który działa jako port przekierowujący dla protokołu TCP. Ta metoda pozwala ominąć reguły zapory i komunikować się z serwerami przez niefiltrowane porty HTTP oraz HTTPS. W ten sposób zapytania Portproxy są dostarczane na adres IP komputera lokalnego, a następnie przekazywane do określonego hosta command & control.

Oczywiście samo używanie pliku finger.exe do pobierania plików ma swoje dalsze ograniczenia, ale nie jest to nic takiego czego nie można by obejść, ponieważ kodowanie pobieranych danych za pomocą Base64 wystarczy, aby uniknąć wykrycia.

Proof of concept

Page stworzył dwa skrypty proof-of-concept (PoC): DarkFinger.py dla serwera oraz DarkFinger-Agent.bat po stronie klienta i udostępnił je publicznie, aby zademonstrować zagrożenia jakie niesie ze sobą plik finger.exe.

W filmie pokazującym, jak działają skrypty, Page porównał swoją nowo odkrytą metodę z certutil.exe, kolejnym LoLBinem w systemie Windows wykorzystywanym do złośliwych celów. Jednak o ile Windows Defender zatrzymał aktywność certutil i zarejestrował zdarzenie, podczas gdy skrypt DarkFinger wykonał akcję nieprzerwanie na komputerze z systemem Windows 10.

Poczet psujów windowsowych

Raport Cisco Talos z zeszłego roku wymienił 13 LoLBinów w systemie Windows, ale badacze bezpieczeństwa znaleźli nowe pliki wykonywalne, które dopisali do tej niechlubnej listy. Jednym z ostatnich zgłoszeń jest nic innego jak program antywirusowy Windows Defender wbudowany w system Windows, który może pobierać dowolne pliki za pomocą argumentu wiersza polecenia -DownloadFile. Innym jest desktopimgdownldr.exe, plik wykonywalny obecny w katalogu system32 systemu Windows 10. Także zresztą Microsoft Teams może również pomóc osobie atakującej w odzyskaniu i uruchomieniu złośliwego oprogramowania ze zdalnej lokalizacji.

Najnowsze oferty pracy:

Polecane wpisy na blogu IT:

Szukasz pracownika IT?

Dostarczymy Ci najlepszych specjalistów z branży IT. Wyślij zapytanie

Wyrażam zgodę TeamQuest Sp. z o.o. na przetwarzanie moich danych osobowych w celu marketingu produktów i usług własnych TeamQuest, w tym na kontaktowanie się ze mną w formie połączenia telefonicznego lub środkami elektronicznymi.
Administratorem podanych przez Ciebie danych osobowych jest TeamQuest Sp. z o.o., z siedzibą w Warszawie (00-814), ul. Miedziana 3a/21, zwana dalej „Administratorem".
Jeśli masz jakiekolwiek pytania odnośnie przetwarzania przez nas Twoich danych, skontaktuj się z naszym Inspektorem Ochrony Danych (IOD). Do Twojej dyspozycji jest pod adresem e-mail: office@teamquest.pl.
W jakim celu i na jakiej podstawie będziemy wykorzystywać Twoje dane? Dowiedz się więcej