Работа в Стамбуле

Метка: BGP MiTM

Calgary Internet Exchange розгортає перші сервери маршрутизації з фільтрацією ASPA

Calgary Internet Exchange (YYCIX) із захопленням повідомляє про розгортання перших у світі серверів маршрутизації з фільтрацією ASPA на загальнодоступній одноранговій мережі. Сервери маршрутизації YYCIX відкидають маршрути BGP, недійсні за ASPA, щоб захистити багатосторонні вузли.

ASPA (Autonomous System Provider Authorization) — це безкоштовна технологія на основі RPKI для виявлення та пом’якшення витоків маршруту BGP. ASPA дає змогу власникам ідентифікаторів автономної системи безпечно авторизувати одну чи декілька інших автономних систем як своїх провайдерів висхідного зв’язку, у свою чергу дозволяючи перевіряючим сторонам (ISP та IXP) використовувати цю криптографічно перевірену інформацію для автоматичного припинення поширення неймовірних шляхів BGP через глобальну маршрутизацію Інтернету. система.

ASPA доповнює інші механізми безпеки та безпеки маршрутизації: RPKI-ROV допомагає захиститися від помилок введення з клавіатури товстим пальцем, BGPsec допомагає встановити надійні гарантії автентичності та цілісності повідомлень BGP, і, нарешті, ASPA допомагає зупинити витоки маршрутів. Ключем до безтурботної роботи з маршрутизації буде використання всіх трьох у тандемі.

Специфікація ASPA знаходиться в активній розробці як вільнодоступний відкритий стандарт через процес спільної Інженерної робочої групи Інтернету (IETF). Волонтери YYCIX взяли на себе провідну роль як перші користувачі (або «клієнти-маяки»), щоб створити середовище, в якому реальні відгуки можна надати розробникам OpenBGPD і авторам специфікації ASPA в робочій групі SIDROPS. Ми сподіваємося, що багато постачальників і операторів приймуть ASPA в найближчі роки.

YYCIX Internet Exchange Community Ltd

YYCIX зареєстровано як некомерційну корпорацію, звільнену від податків, яка діє на волонтерських засадах, у третьому за величиною муніципалітеті Канади. YYCIX забезпечує

Мешканці Альберти мають прямий доступ до локального Інтернет-контенту та допомагають збільшити швидкість передачі Інтернет-зв’язку між компаніями Альберти, друзями, сусідами та членами родини. https://www.yycix.ca/

OpenBGPD і RPKI-клієнт

RPLI-клієнт — це вільно використовувана та безпечна реалізація RPKI для перевіряючих сторін для полегшення перевірки оголошень BGP. Програма запитує глобальну систему репозиторію RPKI, перевіряє всі криптографічні підписи та виводить перевірені дані у форматах конфігурації, придатних для OpenBGPD і StayRTR. https://www.rpki-client.org/

OpenBGPD — це безкоштовна реалізація протоколу прикордонного шлюзу IETF, яка підходить для провайдерів Інтернету та IXP. OpenBGPD дозволяє використовувати звичайні машини як маршрутизатори або маршрутні сервери, які обмінюються маршрутами з іншими системами. ASPA-фільтрацію в OpenBGPD було розроблено за підтримки Міністерства економіки та кліматичних заходів Німеччини Суверенного технічного фонду та Фонду підтримки серверів маршрутів (RSSF — https://www.rssf.nl/) https://www.openbgpd .org/

OpenBGPD і rpki-клієнт є частиною проекту OpenBSD; і працювати на різноманітних операційних системах, таких як Debian, Ubuntu, Alpine, CentOS, Fedora, FreeBSD, Red Hat і, звичайно, OpenBSD!

02.11.2024
Криптовалютные мосты по прежнему уязвимы
Технология MPLS (Multi-Protocol Label Switching) широко используется для повышения производительности сетей связи и обеспечения надежной маршрутизации IP трафика. Однако, несмотря на свою эффективность, она также может быть уязвимой к различным типам внешних воздействий, включая сценарии типа «Человек посередине» (Man-in-the-Middle, MiTM).

Сейчас мы рассмотрим как нарушитель может использовать методы MiTM-нападения на MPLS и какие риски это несет. Внешние воздействия mitm на сеть IP MPLS гораздо менее заметны, нежели реализация bgp hijacking с использованием сценариев bgp spoofing в гобальных сетях маршрутизации транзитного трафика.

Как работает MPLS MiTM?

MPLS MiTM — это тип внешнего воздействия на сети электросвязи, при котором нарушитель перехватывает трафик, проходящий через сеть IP MPLS, и тайно изменяет или просматривает его. Сеть IP MPLS работает путем присвоения меток (labels) каждому пакету данных, что значительно упрощает маршрутизацию в больших сетях. Нарушитель может вмешаться в процесс назначения этих меток и перенаправить нужный ему трафик через свой узел, что и является конечной точкой реализации любого MiTM сценария.

Что можно получить, применяя MiTM MPLS

Подмена меток. Нарушитель может внедриться в маршрут и подменить метки MPLS, чтобы трафик шел через его криптомост, сервер или маршрутизатор.

Перехват данных. После перенаправления трафика нарушитель может перехватывать пакеты, анализировать их, а затем передавать дальше, чтобы не вызывать подозрений.

Модификация трафика. В некоторых случаях нарушитель может модифицировать данные — изменять содержимое пакетов, что может привести к повреждению данных или утечке конфиденциальной информации, утечке зазкрытых ключей и проведению нелегальных транзакций в сети bitcoin или etherium.

Возможные сценарии реализации MPLS MiTM

Воздействие на LDP (Attacking on LDP). Протокол LDP отвечает за распространение меток между соседними маршрутизаторами в MPLS-сети. Каждый маршрутизатор использует LDP для назначения и передачи меток, которые указывают маршрут, по которому должен быть передан пакет данных. В процессе обмена метками LDP создает сессии между маршрутизаторами и поддерживает актуальные таблицы меток. В данном примере нарушитель при помощи Loki подключается к соседним маршрутизаторам, осуществляющим обмен метками, включается в цепочку обмена метками, и перехватывает трафик, направляя его через свои устройства. Для успешной реализации воздействия необходимо подключиться в сеть, к которой целевые маршрутизаторы сами подключены непосредственно.

Воздействие на ядро сети MPLS (Attacking mpls provider edge). Пример показывает как можно вбросить в сеть MPLS-VPN маршрутную информацию. Требуется предварительное конфигурирование bgp-маршрутизатора для установления сессии и взаимодействия с инструментом Loki.

Воздействие на маршрутизатор BGP (Practical mitm bgp attack against backbone router). После установления соединения с bgp-роутером инструмент Loki запускает фоновый поток, который отправляет пакеты поддержки активности keepalive для поддержания соединения с этим маршрутизатором bgp установленным и актуальности опубликованных маршрутов. Требуется предварительная настройка маршрутизатора bgp для установлении сессии с инструментом Loki.

Переклейка меток на лету (BGP hijacking from within the Carrier or Cloud Service). Инструмент Loki можно использовать для перемаркировки пакетов с тегами 802.1Q на лету. Как только нарушитель оказывается подключеным к сети в порт коммутатора на пути следования трафика, все увиденные соединения 802.1Q отображаются в модуле dot1q инструмента. Чтобы переклеить метку при передаче между двумя хостами, её просто нужно выбрать в меню и заполнить большинство полей для правила замены.

Получение доступа к устройтсвам в зоне IP/MPLS

MPLS — мощная технология для эффективной маршрутизации, однако она также уязвима для атак MITM. Для получения доступа к одному из устройств сети MPLS необходимо использовать комплексный подход, включающий bruteforce методы, сканирование сетей, а также комбинированные методы внедрения устройтсв в сети облачных провайдеров (How Can an Attacker Get into the Traffic Path?).

В связи с этим в криптовалютных системах разработчики криптомостов должны уделять больше внимания безопасной разработке смарт-контрактов и криптографических алгоритмов. Однако, даже многоуровневая защита сетевой инфраструктуры не играет в настоящее время никакой существенной роли, даже с использованием распределённых систем проверки транзакций, если нарушитель захочет воспользоваться методами mpls mitm, что значительно усложяет в настоящее время жизнь биткойнерам, эфирщикам и другим криптовалютчикам. Скачать инструмент Loki для mpls MiTM можно в блоге Insinuator.
16.10.2024
Как найти реального процессора крипты

Своего первого реального партёра по процессингу крипты, который показал мне как можно использовать сценарий bgp spoofing и реализовывать bgp hijacking для mitm на майнинг и мутить процессинг в крипте при помощи подмены маршрута в зоне bgp, я нашел случайно, когда еще трудился в Укртелекоме сменным инженером, немного подрабатывая настраивая сетевое оборудование налево, но потом этот человек отошел от дел в связи со слишком уж скользкой ситуацией в данной сфере, и я решил поискать партнера на форумах типа Darkmoney, разместив рекламу на трёх электронных досках объявлений. Честно говоря поначалу даже был готов сразу закинуть 10.000 долларов в Гарант, но потом призадумался, а стоит ли?

И ко мне начал обращаться народ обращается разных категорий…

1. Дебильная школота, которая что-то любит повтирать про свою серьезность и просит закинуть 10.000 USDT им на Coinbase или Huobi в качестве аванса.

2. Реальные мэны, которые льют сразу большую сумму в крипте и просят организовать им вывод в фиат по SWIFT без разговоров про гарантии и прочую шнягу, но после того, как им отдаёшь нал или отбиваешь MT103, они сразу пропадают, суть данных действий я так и не понял, зачем пропадать, если всё прошло итак гладко?

3. Мутные личности, берущие реквизиты криптокошелька и очень долго что-то пытающиеся залить в USDT, в итоге пропадают, хорошо если еще криптокошелёк после всех этих проделок с процессингом в крипте остаётся жив и не вносится в стоп листы криптовалютных бирж и обменников.

4. Серьезные судя по общению цисководы, очень долго насилуют мозг спрашивая про отзывы и сумму которую я смогу закинуть в Гарант, после того, как им предлагаю первыми закинуть Гаранту его комиссию, так как в случае их исчезновения я попадаю на комиссию, сразу сваливаются, стуча копытами или кричат что я кидала, так как отказываюсь от работы с их Гарантом.

5. Самые адекватные те, кто льет небольшую проверочную сумму и потом уже начинают лить в крипте серьезные деньги с жирных криптовалютных кошельков BitCoin или Etherium, но таких, к сожалению, попадается очень мало.

Итог моей работы в паблике: вложения примерно — 150.000 долларов США, которые с трудом окупились из за убитых фирм и банковских счетов, пластиковых карт, и учёток на криптобиржах и обменниках, которые продавцы лочат через 2 месяца после продажи, и прочих прелестей. Если люди обращаются по рекламе — тут уже не отличишь нормальных от ненормальных, для тех, кто обратился в первый раз, есть гостевой криптокошелёк, без привязки к биржам и другим сервисам, реквизиты которого даю всем подряд, на который можно лить крипту из любой помойки, а проверенным людям — уже потом предоставляю новые реки чистого криптокошелька, гостевой корпоративный счёт желательно постоянно проверять на работоспособность перед зачислением о отправкой на него денег с обменника или криптобиржи.

Найти сейчас грамотного человека, кто будет реально лить хорошие суммы в крипте стабильно вполне возможно, но для этого его нужно чем-либо заинтересовать, чтобы он согласился работать именно с тобой и ни с кем другим. Вы наверное сами всё хорошо знаете, что предложение обнала грязной крипты с выводом в фиат в сотни раз превышает число реальных людей, умеющих лить крипту через интернет с использованием техник mitm майнинга по сценарию bgp spoofing с реализацией bgp hijacking, которые ищут себе грамотных обнальных партнёров по обмену грязной крипты на фиат.

Однако, серьезных людей, которые кое-что понимает про bgp в криптоканалах, всегда можно заинтересовать своими хорошими связями в телекоммуникационной среде среде, умением решать любые скользкие вопросы в том или ином небольшом или скажем совсем скромном банке (а как вам уже наверное стало понятно, что ни один серьёзный процессор крипты не будет связываться с публичным банком), либо может пригодиться ваш предыдущий опыт работы в крупной телекоммуникационной компании, как это было в моём случае.

Можно также попытаться сработать с грамотным человеком, предоставив ему данные телеметрии OSS FM/PM системы какого-нибудь крупного телекоммуникационного холдинга, включая распечатку IP/MPLS сообществ — это значительно упростит или даже ускорит реализацию той или иной схемы процессинга крипты через mitm с майнинга и реализации bgp hijacking по сценарию bgp spoofing. С этой задачей вполне может справиться любой социализированный дроп, работающией сетевым инженером в такой крупной компании, маргинальные дропы для такой работы не годятся.

Хочу добавить, что все серьёзные люди, занимающиеся процессингом крипты после всем известных нам событий уехали за границу года три тому назад, и работают от туда, а работать с теми, кто остался по выводу крипты в рублевом пространстве — сплошной нудняк. Новичку без связей в банковской или телекоммуникационной среде влиться в эту тему просто нереально, если только не надеяться на чудо.

27.09.2024
BGP спуфинг и опустошение криптомоста

Как bgp атаки с подменой маршрута ставят под угрозу криптовалютные системы

BGP спуфинг и уязвимости криптомостов — это серьёзные проблемы, с которыми сталкивается современная интернет-инфраструктура и криптоиндустрия. Как мне рассказал один хороший знакомый, ему недавно удалось таки успешно осуществить вброс маршрута обхода криптоканала при помощи bgp sppofing и bgp hijacking, используя недостатки WiFi-инфраструктуры, которые, наверняка, присутствуют с сетях провайдеров и твоего города тоже.

Что такое BGP и причём тут криптовалютный обменник?

Протокол граничного шлюза (BGP) — это ключевая технология, обеспечивающая маршрутизацию данных между различными сетями в интернете. Он определяет, какие маршруты между сетями предпочтительнее, и помогает направлять трафик через сложную систему соединений. Однако BGP не имеет механизмов аутентификации, что делает его уязвимым для различного рода нарушителей.

BGP спуфинг

BGP спуфинг — это тип нарушений сетевой связанности, при которой нарушитель вбрасывает в сеть информацию, предназначаемую BGP роутеру, чтобы перехватить или изменить маршруты интернет-трафика. Нарушители могут «объявлять» о существовании маршрутов, которые на самом деле не принадлежат их сети. Это позволяет осуществлять mitm на майнинг, процессинг крипты, перехватывать данные транзакций и закрытых ключей, перенаправлять трафик на свои крипто каналы или мосты или вообще блокировать доступ к определённым ресурсам.

Такой подход может привести к потере данных о проведённых транзакциях, компрометации конфиденциальной информации, а также использованию сети для несанкционированной деятельности. Например, нарушитель может перенаправлять трафик от пользователей, желающих получить доступ к финансовым платформам, что позволяет проводить процессинг крипты, перехватывая транзакции.

Казалось бы, сбылась твоя мечта, и теперь ты, сидя во Вкусно и Точка, вкушая третий филе о фиш можешь легко и непринужденно копаться через беспроводное соединение в опроной сети местного или магистрального телекома, расположенного через дорогу? Что ж, такое вполне возможно, потому как безопасность такого провайдера, а значит и подключенных к нему криптоканалов и крипто мостов оставляет желать лучшего.

Слушаем сеть и качаем крипту

Итак, не теряя времени, можно запустить WireShark и начать мониторить периметр. Среди пакетов сразу можно увидеть SSL-рукопожатие на сайте провайдера…

К слову, как происходит авторизация соединения: сначала клиент коннектится к незащищенной WEP/WPA-точке, затем обращается браузером на любой сайт в Сети и редиректится на страницу авторизации. Там он вводит логин и пароль учётной записи, пополняемой путем отправки SMS-сообщения на специальный номер, и после этого, по всей видимости, на роутере создается правило, позволяющее выходить в интернет.

Так вот, после зашифрованной SSL-авторизации можно увидеть совершенно незакриптованные пароли от ВКонтакте и почты, крипто кошельков, внутреннего портала провайдера, слегка заXOR’енные пароли социальных сетей (которые легко вскрываются тем же Ufasoft Sniffer или InterCepter’ом), данные о транзакциях криптовалюты, BGP UPDATE пакеты, HELLO пакеты сервиса OSPF, и неприличные ссылки, ведущие на порносайты (совсем уже никого не стесняются современные инженеры электросвязи… :). Зная IP и MAC-адреса, фигурирующие в периметре (а они узнаются анализом ARP-сообщений), можно легко их проспуфить.

Итак, с помощью хорошей программы по смене МАС-адресов «MACChange» (или вручную, это уже кто как любит) изменим адрес своего беспроводного адаптера на известный нам МАС сотрудника телекома.

Не забудем присвоить себе его же IP адрес тоже. Затем попробуем подключиться к сети. О чудо, оказывается, сеть провайдера допускает как DHCP, так и Static адресацию. И, таким образом, можно наслаждаться и начинать деать вброс BGP UPDATE пакетов обновления маршрутной информации в магистральную сеть провайдера, потому как всё адреса роутеров и пароли bgp-сессии для этого уже были получены, кода мы использовали WireShark.

От себя хочу добавить, что вместо WireShark для получения паролей открывающих доступ в сеть телекоммуникационного провайдера многие грамотные люди предпочитают пользоваться пакетом Aircrack-NG, он очень удобный и содержит серию различных утилит для работы с беспроводными сетями.

Криптомосты и их уязвимости

Криптомосты (cross-chain bridges) — это специальные приложения, позволяющие обменивать активы между различными блокчейнами. Например, если пользователь хочет обменять Bitcoin на Ethereum, криптомосты обеспечивают возможность такой транзакции, сохраняя функциональность блокчейнов. Однако из-за своей сложной структуры они становятся целью для нарушителя.

Криптомосты взаимодействуют с несколькими блокчейнами, и если один из них уязвим, это может поставить под угрозу всю систему. Основные инциденты с криптомостами связаны с перехватом транзакций, взломом смарт-контрактов и использованием уязвимостей в криптографических алгоритмах. Недавние случаи показывают, что были украдены миллионы долларов в крипте, используя уязвимости криптомостов, что делает этот вопрос особенно актуальным для пользователей и разработчиков.

Как BGP спуфинг угрожает криптомостам?

BGP спуфинг может оказаться серьёзной угрозой для криптомостов. Один из сценариев заключается в том, что нарушитель может перенаправить трафик между криптомостами, перехватывая ключевые данные, такие как криптографические ключи или транзакционные записи. Это позволяет несанкционированно изменять или отменять транзакции.

Более того, BGP hijacking может затронуть серверы, которые обеспечивают поддержку криптомостов. Например, если нарушитель получает доступ к серверам, обрабатывающим транзакции, он может подменить данные, создавая ложные транзакции или даже полностью опустошить криптомост, что приведёт к серьёзным финансовым потерям.

Примерно именно так и льют крипту через mitm с майнинга или обменников при помощи bgp spoofing и bgp hijacking в настоящее время.

24.09.2024
Перехват BGP-сессии опустошил кошельки легальных пользователей MyEtherWallet.com

Один пока никому не известный специалист по процессингу btc и eth, используя протокол BGP и сценарии bgp spoofing вместе с реализацией bgp hijacking, успешно перенаправил трафик DNS-сервиса Amazon Route 53 на свой сервер в России и на несколько часов подменял настоящий сайт MyEtherWallet.com с реализацией web-кошелька криптовалюты Ethereum.

На подготовленном нарушителем клоне сайта MyEtherWallet была организована фишинг-атака, которая позволила за два часа угнать 215 ETH (около 137 тысяч долларов) на кошельки дропов.

Подстановка фиктивного маршрута была осуществлена от имени крупного американского интернет-провайдера eNet AS10297 в Колумбусе штат Огайо. После перехвата BGP-сессии и BGP-анонса все пиры eNet, среди которых такие крупнейшие операторы, как Level3, Hurricane Electric, Cogent и NTT, стали заворачивать трафик к Amazon Route 53 по заданному атакующими маршруту. Из-за фиктивного анонса BGP запросы к 5 подсетям /24 Amazon (около 1300 IP-адресов) в течение двух часов перенаправлялись на подконтрольный нарушителю сервер, размещённый в датацентре провайдера Equinix в Чикаго, на котором была организована MiTM-атака по подмене ответов DNS.

Через подмену параметров DNS пользователи MyEtherWallet.com перенаправлялись на поддельный сайт, на котором использовался самоподписанный HTTPS-сертификат, для которого браузеры выдают предупреждение о проблемах с защищённым соединением, что не помешало в ходе грубого фишинга слить около 137 тысяч долларов на кошельки дропов (в случае аутентификации на фишинговом сайте у пользователя списывались все средства с кошелька). Примечательно, что нарушитель или как его ещё можно назвать дроповодом, оказался очень состоятельным человеком — на одном ETH-кошельке, на который в ходе атаки перенаправлялись переводы, в настоящее время находится 24276 ETH, что составляет более 15 млн долларов США.

Достоверно известно, что в ходе атаки была осуществлена подмена DNS для сайта MyEtherWallet.com, тем не менее могли пострадать и другие клиенты сервиса Amazon Route 53. По мнению некоторых исследователей безопасности, получение доступа к BGP-маршрутизатору крупного ISP и наличие ресурсов для обработки огромного DNS-трафика может свидетельствовать, что атака не ограничилась только MyEtherWallet (в пользу данной гипотезы также говорит непрекращающийся поток переводов на используемый в атаке ETH-кошелёк).

По другим предположениям, имел место лишь тестовый эксперимент перед проведением более массированных атак.

24.09.2024