Μια ανάλυση του exploit BENIGNCERTAIN που υπήρχε στα δεδομένα που διέρρευσαν οι Shadow Brokers αποκαλύπτει ότι το Equation Group, μια ομάδα που συνδέεται με την NSA, είχε την ικανότητα να παραβιάσει firewalls PIX της Cisco και να αποκτήσει ιδιωτικά κλειδιά RSA από VPN, αλλά και άλλες ευαίσθητες λεπτομέρειες.
Κατά τη διάρκεια του Σαββατοκύριακου, οι Shadow Brokers διέθεσαν online αρκετά εργαλεία που έκλεψαν από ένα server που χρησιμοποιούσε το Equation Group.
Οι hackers διαθέτουν αυτά τα δεδομένα σε πλειοδότες σε μια δημοπρασία που πραγματοποιούν με Bitcoins.
Μεταξύ αυτών των exploits είναι και τα EPICBANANA, JETPLOW και EXTRABACON, που στοχεύουν συσκευές Cisco ASA. Άλλα exploits όπως το ESCALATEPLOWMAN στοχεύει WatchGuard firewalls, ενώ το EGREGIOUSBLUNDER στοχεύει συσκευές Fortinet.
Ο Mustafa Al-Bassam, γνωστός και ως tFlow, συν-ιδρυτής του hacking group LulzSec, τώρα πια είναι ένας νόμιμος White Hat ερευνητής, φέρεται να εξέτασε το expliot BENIGNCERTAIN.
Ανακάλυψε ότι το BENIGNCERTAIN στοχεύει το hardware της Cisco PIX εκδόσεις 5.2 (9) έως και 6,3 (4), και χρησιμοποιεί τρία αρχεία σε ένα exploitation chain που εξετάζει την μνήμη της συσκευής χρησιμοποιώντας πακέτα του Internet Key Exchange (IKE).
Μπορεί να κλέψει τα κλειδιά η NSA;
“Το memory dump μπορεί στη συνέχεια να αναλυθεί για να εξαγάγετε ένα ιδιωτικό κλειδί RSA και άλλες ευαίσθητες πληροφορίες διαμόρφωσης,” αναφέρει ο Al-Bassam στην ανάλυσή του.
Παρακάτω φαίνεται πώς μοιάζει το memory dump.
RSA private key structure at offset 0x%04x, size 0x%x bytes:
*** Found probable RSA private key ***
RSA public key structure at offset 0x%04x, size 0x%x bytes:
*** Found probable RSA public key ***
RSA key structure at offset 0x%04x, size 0x%x bytes:
RSA keys were generated at %s
VPN group structure at offset 0x%04x, size 0x%x bytes
Split-tunnel ACL: 0x%08x %s
Idle-time: 0x%08x [%d seconds]
Max-time: 0x%08x [%d %s]
PFS: 0x%08x %s
Clear-client-cfg: 0x%08x %s
User-idle-timeout: 0x%08x [%d seconds]
Authen. server: 0x%08x %s
Secure-unit-auth: 0x%08x %s
User authen.: 0x%08x %s
Device pass-thru: 0x%08x %s
