あうとぷっと

いんぷっとの整理とあうとぷっとの場

Today's Security Summary(2017/5/30)

Security Summary

この記事なに？

2017/5/30に集めた記事の中で、日本語でまとめておこうと思う記事についてまとめています。

海外の記事に目を通してると気付くこともあると思うので、動向を探る上でもやって無意味ではないかなと。

主に、注目すべきと感じたものを対象にピックアップしますが、日本語訳や理解がおかしい点があるかもしれないため、詳細はリンク先まで目を通すことをおススメします。

Shadow BrokersによるMonthly Dump Serviceの詳細が明らかに！

Shadow Brokersのツイートで、月額サービスの詳細がまとめられました。

  • (Q) どうやったらDump Serviceを受けられるの？

  • (A) 100ZEC(Zcash)を払ってね！諸々の処理が終わったら、7月1日から17日までメールにリンクとパスワードを送るよ！

  • (Q) 次のDump Dataは何？

  • (A) まだとくに決まってないよ。

ちなみに、100ZECは、およそ24,000USD、つまり300万円弱ですね。

引き続き動向は見ておきたい事象です。

E-mail Security GatewayをバイパスしてメールサーバにMalicious Fileを送信する手法

Split Tunnel SMTP Exploitに関する手法が説明されていました。

Split Tunnel SMTP Exploit Explained

図も合わせて読んだ方が分かりやすいですね(メモ放棄)

  • 公開情報からメールサーバの構成を推測
  • MXレコードを特定していってE-mail Encryption Applianceを特定
  • WHOISから攻撃対象のメールアドレスを決定
  • E-mail Security Gatewayへ送ると、スパム判定されることを確認
  • E-mail Encryption Applianceへ送ると、正常にメール送信することを確認

攻撃者が頑張って公開されてるメールボックスを見つけ出せる状況にあれば、ゲートウェイを回避して狙ったメールサーバに送ることが可能になるんじゃないか？と理解しました。

外部の攻撃者がどこの情報まで入手することが可能なのか、公開情報の範疇を理解することは重要かもしれません。

Innoveraから公開されたMobile Pentestingに関する資料

Mobileに対するPentestingに関する資料が公開されていました。

Innovera Mobile Pentesting

Androidアプリに対してPentestingする方法が詳しく書かれています。(訳せない、トルコ語？)

Android-InsecureBankv2に対して攻撃を試行しているようです。

Androidに対して一般的に使うツールからPentesting用のツールまで、幅広く紹介されています。

AndroBug Frameworkを利用したり、MobSFを使ったPentestingは面白そうですね。

Androidの診断を行ってみたい方はぜひ目を通してみてください。(トルコ語だけど。)

終わり

とりあえず、気になった記事について目を通してコメントしてみた。

なんか読みにくいよなー、何かいい方法ないかな。

これから気になった記事にコメント残して紹介できたらなと思ってます。