Onderwerp: Help! Onze server verzend Spam

Oorspronkelijk geplaatst door The-BosS

Wifi in hotels valt onder de noemer hotspots, je moet er vanuit gaan dat je geen enkele wifi access point mag betrouwen buiten je eigen beheerde dingen en dus best altijd via een vpn connectie maakt. Zo zijn er ook nog tal van tools en hardware beschikbaar die gewoon antwoorden op alle wifi request en zeggen dat ze dit netwerk zijn, als jij uit gebruiksgemak autoconnect hebt aanstaan connecteerd je device dus ook automatisch op deze access points en kunnen hackers ook je verbindingen onderscheppen.

Ik twijfel toch wel een beetje aan al die 'hacker via wifi' verhalen qua risico profiel.
Ten eerste moet de vraag zijn 'meekijken met verkeer - so what ' . Oftewel, ook zonder VPN _zou_ verkeer al veilig moeten verlopen via SSL ,SSH/SFTP/SCP , IMAPS e.d. Dwz : zorg dat al je diensten/toegang een veilige methode bieden.
Dat moet gewoon _altijd_ zo gaan, zonder nadenken over 'zit ik misschien in of achter een hostile netwerk' .

Maar verder, wifi bekijken wil zeggen een persoon (of minimaal device) binnen pakweg een tiental meters .
_zo_ veel geïnteresseerde mensen zitten er echt niet continu op je hotel verdieping, in al die starbucks etc etc.
Mensen met enige technische kennis vinden is voldoende lastig dat ik niet zo hard geloof dat ze in elk hotel, starbucks en mcdonalds zomaar loslopen.
Natuurlijk _kan_ het, maar als kans op 'waar is het account geoogst' staat 'sniffer/man in the middle via publieke wifi' bij mij behoorlijk laag.

Als het account/password op de site simpel genoeg is en er geen anti-dictionary attack voorziening is lijkt dat me dat het meest voor de hand liggen;
Met dicht in de buurt een trojan op de laptop (eerder geïnstalleerd via een drive by download dan via 'mitm wifi' ) die gewoon alles aan accounts,passwords e.d. oogst .

TS doet er dan ook verstandig aan om z'n laptop (en feitelijk alle systemen vanaf waar de site wel eens benaderd is) heel grondig onder handen te nemen om het risico van een trojan verder uit te sluiten.

Eens met bovenstaande. Ik denk ook dat het overgrote deel gewoon word binnen gelepeld via een bruteforce/dictionary of een trojan.

Oorspronkelijk geplaatst door visser

Ik twijfel toch wel een beetje aan al die 'hacker via wifi' verhalen qua risico profiel.
Ten eerste moet de vraag zijn 'meekijken met verkeer - so what ' . Oftewel, ook zonder VPN _zou_ verkeer al veilig moeten verlopen via SSL ,SSH/SFTP/SCP , IMAPS e.d. Dwz : zorg dat al je diensten/toegang een veilige methode bieden.
Dat moet gewoon _altijd_ zo gaan, zonder nadenken over 'zit ik misschien in of achter een hostile netwerk' .

Maar verder, wifi bekijken wil zeggen een persoon (of minimaal device) binnen pakweg een tiental meters .
_zo_ veel geïnteresseerde mensen zitten er echt niet continu op je hotel verdieping, in al die starbucks etc etc.
Mensen met enige technische kennis vinden is voldoende lastig dat ik niet zo hard geloof dat ze in elk hotel, starbucks en mcdonalds zomaar loslopen.
Natuurlijk _kan_ het, maar als kans op 'waar is het account geoogst' staat 'sniffer/man in the middle via publieke wifi' bij mij behoorlijk laag.

Ik kan je uit ervaring vertellen dat als ik die methode in de zomer toepas ik duizenden devices per dag (week: afhankelijk van de toeristen) zie passeren in de log files, van iphones, ipads, ..., android tot blackberry waar 80% gewoon verbinding probeert te maken over een onbeveiligde imap of pop3. En ja dan moet je toevallig maar even passeren lang iemand die hier slechte bedoelingen mee heeft. En die pakweg binnen tiental meters klopt ook niet echt, ik heb bijvoorbeeld sterker signaal 3 winkels verder dan de access point in die winkel zelf, niet iedereen heeft maar een 3dbi of 5dbi antenne .

@The-BosS denk je echt dat er elke dag duizenden mensen jouw WiFi passeren? Dan zouden al die mensen handmatig jouw WiFi moeten aanvinken. En ja, of dat zin heeft voor die 10 seconden dat je langs het 'singnaal loopt'? Denk niet dat mensen voor 10 seconden een WiFi verbinding gaan opzetten.

Oorspronkelijk geplaatst door vDyl

@The-BosS denk je echt dat er elke dag duizenden mensen jouw WiFi passeren?

Moet je eens voor de lol in de trein je sniffer aanzetten... het zal je verbazen wat je allemaal tegenkomt.

Oorspronkelijk geplaatst door The-BosS

Ik kan je uit ervaring vertellen dat als ik die methode in de zomer toepas ik duizenden devices per dag (week: afhankelijk van de toeristen) zie passeren in de log files, van iphones, ipads, ..., android tot blackberry waar 80% gewoon verbinding probeert te maken over een onbeveiligde imap of pop3. En ja dan moet je toevallig maar even passeren lang iemand die hier slechte bedoelingen mee heeft. En die pakweg binnen tiental meters klopt ook niet echt, ik heb bijvoorbeeld sterker signaal 3 winkels verder dan de access point in die winkel zelf, niet iedereen heeft maar een 3dbi of 5dbi antenne .

tiental of honderdtal meters, wat is het verschil. Wifi sniffende nerds zijn zeldzaam, trojans en login probers zijn dat niet.

Het is gewoon niet de grootste bron van hacks/password verliezen, ook al is het voor techneuten misschien een simpele, of fraaie, of spannende bron, of de manier die _zij_ zouden kiezen. In de fysieke wereld is lockpicking ook niet de methode van de meeste inbraken.
En in volgorde van rendement / risico raad ik TS dus _eerst_ aan om dictionary attacks op de site (lockout en lang/lastig password) en eventuele bots/trojans op de client PC(s) aan te pakken.
Het aanpassen wifi gedrag / risico (vpn, encrypted protocollen) is prima, vooral óók doen, maar eerst zorgen dat de endpoints (site en client PCs) [weer] vertrouwd kunnen worden.

Lijkt me toch sterk. Mijn nieuwe labtop is slechts twee maanden oud en tot nu toe slechts gebruikt in een hotel te Tunesië (dat dan weer wel :-).

En voorzien van firewall, virus scanners etc. Kan natuurlijk maar het lijkt me sterk dat er nu al een trojan in zit. De telefoon (alleen voor email gebruikt) is iets meer dan een half jaar oud.

Die Spam attack blijft bizar. Misschien toch het wachtwoord te simpel? Moet er toch iets op het internet rondwaren dat op zoek is naar zwakke wachtwoorden of zo....

Toevallig het wachtwoord op andere locaties gebruikt (eventueel icm je email adres, dat hoeft niet eens)? En ja er zijn constant systemen aan het scannen om binnen te komen en te gaan spammen.

Oorspronkelijk geplaatst door visser

Wifi sniffende nerds zijn zeldzaam

Je moet meer out of the box denken. Het gaat er om dat besmette Windows en Android systemen die op dat netwerk aanwezig zijn, continu staan te sniffen. Omdat de meeste access providers de smtp poort tegenwoordig dicht hebben staan kunnen die niet meer direct rechtstreeks spam versturen. Daarom dat de criminelen het password op een server nodig hebben om via die omweg spam te kunnen versturen.

Dat kan dus in de straat gebeuren, in de trein, in het hotel in Tunesië. Maar ook op het werk, waar misschien de PC in de postkamer staat te sniffen...

Klanten of gebruikers van je server die geen SSL gebruiken met het inloggen op de email accounts geven op die manier het wachtwoord weg.

Oorspronkelijk geplaatst door t.bloo

Je moet meer out of the box denken. Het gaat er om dat besmette Windows en Android systemen die op dat netwerk aanwezig zijn, continu staan te sniffen. Omdat de meeste access providers de smtp poort tegenwoordig dicht hebben staan kunnen die niet meer direct rechtstreeks spam versturen. Daarom dat de criminelen het password op een server nodig hebben om via die omweg spam te kunnen versturen.

Dat kan dus in de straat gebeuren, in de trein, in het hotel in Tunesië. Maar ook op het werk, waar misschien de PC in de postkamer staat te sniffen...

Klanten of gebruikers van je server die geen SSL gebruiken met het inloggen op de email accounts geven op die manier het wachtwoord weg.

Heb je data _dat_ dit *gebruikelijk* is (trojaned devices die wifi sniffen), niet slechts dat het _mogelijk_ is ?

Met een klein google rondje vind ik wel genoeg trojan beschrijvingen met keyboard logging/password oogstende payload, maar weinig meer dan theorie ('het zou kunnen') voor wifi sniffende payload.

Met dingen zoals airsnarf kun je al ver komen door even een wireless hotspot met de index page van je hotel te lanceren. Kun je gewoon met in de lobby gaan zitten.
Maar landen waar 'IT beheerders' in 5 sterren hotels nog steeds maar een paar dollar/euro verdienen zijn ook al snel geneigd om voor een paar centen een tcpdump te verkopen, hoor

Oorspronkelijk geplaatst door vDyl

@The-BosS denk je echt dat er elke dag duizenden mensen jouw WiFi passeren? Dan zouden al die mensen handmatig jouw WiFi moeten aanvinken. En ja, of dat zin heeft voor die 10 seconden dat je langs het 'singnaal loopt'? Denk niet dat mensen voor 10 seconden een WiFi verbinding gaan opzetten.

Wie zegt dat die personen mijn wifi moeten aanklikken, blijkbaar ken je het concept niet van deauth attacks samen met jasager en karma. Om het even simpel uit te leggen, iedereen zet in zijn device auto login aan op zijn wifi/ap uit gebruiksgemak. De attack vector in deze is dat de hacker/payload eerst een deauth attack uitvoert op de devices binnen zijn range (als dit al nodig zou zijn). Hierdoor wordt het target device dus van een bestaand punt gesmeten en maakt het terug connectie met het meest gebruikte/eerste in zijn lijst, meestal is dat dus zijn eigen wifi/ap. Nu is het zo dat jasager/karma gewoon op alle auth request JA antwoord in de zin van ik ben die AP je krijgt toegang (ongeacht of die WPA/WEP/... gebruikt), en wat doet een smartphone/laptop/ipad/... als die ziet dat er wifi verbinding is. Juist ja proberen e-mails en andere zaken binnen te halen, voila Man In The Middle attack zonder dat je er iets moet voor doen. En in die paar seconden dat ze passeren kun je nog eens automatisch payloads naar hun devices sturen.

En wat betreft die duizenden is zeker geen zever, vraag maar even aan bvb Kris (IT-worX) waar ik woon en dan snap je het wel. Drukke winkelstraat op 50 meter van het strand, met een hotel op de hoek, meerdere restaurants, cafe's, tea-rooms en dan nog vlak onder me een groot warenhuis. Bevolking buiten het seizoen 10.000 inwoners, in het seizoen 85.000 . En met mijn antenne heb ik bereik over de volledige blok, zoals ik dus al eerder zei heb ik betere ontvangst bij de bakker dan dan de bakker met zijn eigen linksys heeft. Ga maar eens na hoeveel mensen om brood/taartjes/... gaan of komen winkelen vlak onder me.

Even voor de duidelijk, als ik dit doe dan is het als proof of concept en dus niet met slechte bedoelingen, ik heb trouwens ook meerdere hotspot en daar zie ik zelf meer dan 90% van de mensen gewoon onbeveiligd surfen, e-mailen, ....

Tis dan ook geen huis/tuin/keuken antennetje dat je daar staan hebt ook hé Maar inderdaad, je woont in een immens drukke buurt zeker in de vakantieperiodes als iedereen "een weekendje naar zee" gaat!

Ook ik heb bij diverse mensen een Meraki geinstalleerd met zowel een privaat SSID, een trusted SSID en een public SSID. Telkens andere netwerksettings (firewall, ...) en maxima snelheden. En ook hier zie ik dagelijks mensen onbeveiligd inloggen

Oja : Private SSID = voor de bewoners van het huis/appartement, trusted SSID = WPA2 pass voor als vrienden op bezoek komen, public SSID = een 5mbit down/1mbit up verbindingetje voor passanten

Bij mij thuis zie ik bvb voor de maand januari de volgende cijfers:
Trusted : 29 aanmeldingen - 4.2GB down, 872MB up
Public : 1820 aanmeldingen - 22GB down, 1.44GB up

Vandaag was er carnaval in Merelbeke en de stoet staat te wachten voor mijn deur op het vertreksein (zowel de reclamestoet als de carnavalstoet zelf). Meer dan 400 aanmeldingen reeds vandaag!

De meeste die het public netwerk gebruiken, zijn mensen die in het bushokje staan te wachten (vrij druk bushokje) waar ze volop bereik hebben. Ik zie dan ook vooral smartphones aangemeld en af en toe eens een iPod of tabet. Aan de andere kant van mijn appartement (staat ook een hotspot) is er een kleine publieke parking voor een 20-tal auto's (carpooling projecten etc), dus daar zullen er ook wel connecties zijn.

Oorspronkelijk geplaatst door systemdeveloper

Met dingen zoals airsnarf kun je al ver komen door even een wireless hotspot met de index page van je hotel te lanceren. Kun je gewoon met in de lobby gaan zitten.
Maar landen waar 'IT beheerders' in 5 sterren hotels nog steeds maar een paar dollar/euro verdienen zijn ook al snel geneigd om voor een paar centen een tcpdump te verkopen, hoor

De keren dat ik in een hotel wifi gebruikte was ik al erg blij geweest als daar een beheerder had _gezeten_, laat staan één die voldoende capabel was om tcpdump te kennen.

Oorspronkelijk geplaatst door visser

De keren dat ik in een hotel wifi gebruikte was ik al erg blij geweest als daar een beheerder had _gezeten_, laat staan één die voldoende capabel was om tcpdump te kennen.

En dat is nu juist het probleem... want er is altijd wel iemand die het 'regelt' maar er is vaak niemand die er veranwoordelijk voor is of er naar omkijkt