Testreihe Security-Tools, Teil 5: Hacking-Werkzeuge
Kenne deinen Gegner
Fortsetzung des Artikels von Teil 1
Angriffe im LAN
Zu den klassischen Angriffsmethoden innerhalb eines LANs zählen MITM-Attacken, bei denen der Hacker die Datenübertragungen zwischen zwei angegriffenen Systemen per ARP-Spoofing über ein von ihm kontrolliertes System umleitet, das den Traffic mitschneidet. Ein beliebtes Tool ist Ettercap, das eine grafische Oberfläche für die Konfiguration der ARP-Spoofing-Angriffe bietet und weitere Funktionen wie DNS-Spoofing oder DoS-Attacken (Denial of Service) unterstützt.
Für den Test starteten wir Ettercap auf dem Kali-Notebook und führten in der grafischen Konsole des Tools zunächst einen Host-Scan aus, um die IP- und MAC-Informationen der aktiven Systeme im Testnetz zu ermitteln. Ettercap zeigte acht IP-Adressen und die zugehörigen MAC-Adressen an. Im nächsten Schritt konfigurierten wir die Gateway-IP unseres DSL-Routers als erstes Target und die IP-Adresse eines Windows-Servers als zweites. Per Klick auf ARP Poisoning starteten wir nun den Angriff, und der gesamte Datenverkehr des Windows-Servers wurde über das Ettercap-System umgeleitet und aufgezeichnet. Nachdem wir die Attacke gestoppt hatten, konnten wir die erfassten Datenpakete mit Wireshark auswerten.
Um ein Unternehmensnetz vor MITM-Angriffen zu schützen, lässt sich zum Beispiel eine Netzwerkzugangskontrolle mit 802.1X-Authentifizierung implementieren. Dadurch erhalten unbekannte Geräte, die sich nicht authentifizieren können, keinen Zugriff auf das Netz. Helfen können auch EDR-Lösungen (Endpoint Detection and Response), wie wir sie in LANline 8/2022 getestet haben. Sie erkennen Veränderungen im ARP-Cache und alarmieren den Administrator.
WLAN-Hacking
Im WLAN sind Schutzmechanismen besonders wichtig, da hier prinzipiell alle WLAN-Systeme, die sich innerhalb der Funkreichweite des Senders befinden, die übertragenen Daten empfangen und aufzeichnen können. Auch für WLANs gibt es zahlreiche Hacking-Tools, mit denen sich die per Funk übertragenen Datenpakete aufzeichnen lassen. Wir verwendeten die Aircrack-Toolsuite auf dem Kali-Notebook.
Im ersten Schritt führt der Angreifer einen Scan durch, um herauszufinden, welche WLANs in der Umgebung vorhanden sind. Der Befehl airodump-ng wlan0 startet die WLAN-Karte mit den für das Hacking benötigten Treibern. Im Terminalfenster erscheint nun eine Tabelle mit den gefundenen Access Points (APs) sowie zugehörigen SSIDs, MAC-Adressen und aktuell genutzten WLAN-Channels. Damit kann der Angreifer jedes der gefundenen Funksysteme gezielt abfragen und den verwendeten Verschlüsselungstyp auslesen, in unserem Fall WPA2. Dann startet er die Aufzeichnung des Funkverkehrs, um die WLAN-Anmeldedaten abzufangen. Sobald sich ein Client mit dem AP verbindet, erscheint im Terminalfenster der Hinweis, dass ein WPA-Handshake stattgefunden hat. Der Hacker stoppt nun die Aufzeichnung und versucht per Wörterbuchattacke den abgehörten WPA-Passwort-Hash zu cracken. Hierfür verwendet er das in der Suite enthaltene Tool Aircrack, das einen Wörterbuchabgleich durchführt. Bei relativ einfachen Passwörtern stehen die Chancen nicht schlecht, dass dies funktioniert.
Für den Schutz von WLANs empfiehlt sich ebenfalls der Einsatz einer 802.1X-Authentifizierung und von EDR-Lösungen, um Angriffe möglichst frühzeitig zu erkennen. Des Weiteren gibt es Spezialwerkzeuge zum Aufspüren sogenannter Rogue APs (unerwünschter Access Points), die sich mit dem Firmen-WLAN verbinden wollen.
VoIP-Gespräche abhören
Gelingt es einem Angreifer, die Kontrolle über einen Rechner im Unternehmensnetz zu erlangen, kann er per MITM-Attacke die Datenströme von VoIP-Gesprächen mitschneiden. Dann kann er die Voice-Pakete zum Beispiel mit dem RTP-Modul von Wireshark in Audiodateien umwandeln und so die Gesprächsinhalte abhören. Im Test verwendeten wir eine VM mit einer Soft-PBX-Anlage und zwei weitere VMs, auf denen ein VoIP-Client lief. Um ein Gespräch abzuhören, starteten wir mit Ettercap einen MITM-Angriff, indem wir die zwei VoIP-Clients als Target 1 und 2 konfigurierten. Dann führten wir zwischen den beiden Clients ein VoIP-Gespräch, das wir mit Wireshark mitschnitten. Als der Anruf beendet war, klickten wir in Wire- shark im Telephony-Menü auf den Eintrag RTP-Streams. Wir markierten die zwei hier angezeigten Streams und klickten auf die Schaltfläche Analyze. Wireshark listet die einzelnen Datenpakete der VoIP-Konversation auf und kann sie als Audiodatei speichern. Damit konvertierten wir die Sprachpakete der VoIP-Kommunikation in eine Audiodatei, die den Gesprächsinhalt gut verständlich wiedergab.
Um das Abhören von VoIP-Gesprächen zu erschweren, sollte ein Unternehmen den Sprachdatenverkehr verschlüsseln. Zudem empfiehlt sich auch hier der Einsatz einer 802.1x-Authentifizierungslösung, damit nicht autorisierte IT-Systeme keinen Zugang zum Unternehmens-LAN erhalten.
Wer weiß, wie Angreifer vorgehen, kann besser beurteilen, welche Maßnahmen das eigene Unternehmensnetz vor Attacken schützen. Auch wenn es keine hundertprozentige Sicherheit gibt, lässt sich mit gezielten Schutzmaßnahmen der Aufwand für Angreifer deutlich erhöhen. Zu den wichtigsten Maßnahmen zählt nach wie vor, alle IT-Komponenten immer auf dem aktuellsten Patch-Level zu halten, damit Angriffe auf altbekannte Schwachstellen keine Aussicht auf Erfolg haben.
- Kenne deinen Gegner
- Angriffe im LAN
Lesen Sie mehr zum Thema
