Detectando FragAttacks: Visão Geral das Falhas de WiFi Recentemente Descobertas
Índice:
Mais uma vez, os profissionais de segurança devem se preparar e verificar seus estoques de café devido a um conjunto de vulnerabilidades recentemente identificadas no padrão Wi-Fi. Coletivamente chamadas de FragAttacks, essas falhas afetam quase todos os dispositivos habilitados para wireless e permitem que adversários tomem controle dos sistemas vulneráveis para interceptar informações secretas. Mathy Vanhoef, um especialista em segurança que revelou esses bugs surpreendentes, indica que literalmente todos os produtos Wi-Fi são afetados por pelo menos um problema, com a maioria deles vulnerável a várias falhas.
O que são FragAttacks?
FragAttacks, que significa frataques de fragmentação e agagregação, derivam do design inicial dos protocolos Wi-Fi e de várias falhas de configuração de programação introduzidas em dispositivos Wi-Fi. No total, pesquisadores de segurança identificaram 12 problemas que podem resultar na extração de dados sensíveis. Notavelmente, os bugs revelados impactam todos os protocolos modernos de segurança de Wi-Fi, incluindo a especificação WPA3 e WEP. Isso significa que algumas das vulnerabilidades identificadas foram introduzidas em 1997, afetando produtos wireless por mais de duas décadas.
A boa notícia é que problemas no design do protocolo são difíceis de explorar e não há evidências de que essas falhas já tenham sido utilizadas em campo. Ainda assim, há apenas três vulnerabilidades que afetam o próprio padrão Wi-Fi. Outros bugs provêm de falhas de programação que são muito triviais de utilizar.
Um artigo perspicaz de Mathy Vanhoef, um especialista experiente em segurança Wi-Fi, destaca pelo menos três cenários de exploração. Em primeiro lugar, adversários podem abusar das vulnerabilidades para obter os detalhes de login da vítima. Em segundo lugar, hackers podem explorar dispositivos expostos de Internet das Coisas (IoT) ativando e desativando uma tomada elétrica inteligente. Em terceiro lugar, as brechas de segurança poderiam ser abusadas para prosseguir com ataques sofisticados, incluindo aqueles visando controlar instalações desatualizadas de Windows 7 dentro de uma rede local.
Os pesquisadores acreditam que as falhas existentes no Wi-Fi podem ser exploradas para servir dois objetivos principais: roubar detalhes confidenciais e tomar controle de máquinas vulneráveis na rede privada de alguém. O segundo objetivo é mais ameaçador, mas provável, já que dispositivos de casas inteligentes e IoT frequentemente carecem de atualizações relevantes junto com defesas cibernéticas adequadas.
Detecção e Mitigação de FragAttacks
O conjunto de vulnerabilidades FragAttack foi divulgado publicamente após um período de embargo de nove meses usado pela Wi-Fi Alliance para modernizar seus padrões e diretrizes sob a supervisão do Industry Consortium for Advancement of Security on the Internet (ICASI). Além disso, a Aliança se uniu a importantes fornecedores de produtos Wi-Fi para lançar patches de firmware. O mais recentecomunicado do ICASIrevela uma visão abrangente das mitigações existentes e indica que nem todos os fornecedores lançaram as atualizações necessárias.Os usuários são instados a inspecionar os avisos existentes e atualizar seus dispositivos o mais rápido possível.
Para ajudar a comunidade de cibersegurança em seus esforços para combater os FragAttacks, a equipe da SOC Prime lançou uma regra de Sigma comunitária ajudando a detectar a presença de vulnerabilidades em sua rede. Este trecho de código é uma regra de palavra-chave simples que busca 12 possíveis CVEs associados ao FragAttack. Embora essa regra não detecte o comportamento do CVE em si, pode ser útil para alertar as equipes de SecOps sobre as ameaças que colocam em risco a infraestrutura organizacional.
https://tdm.socprime.com/tdm/info/0rQ9ZcuYHfvm/#sigma
A regra tem traduções para os seguintes idiomas:
SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, LogPoint, Humio, FireEye
EDR: SentinelOne
Assine o Threat Detection Marketplace, uma poderosa plataforma de Detecção como Código que ajuda os profissionais de segurança a aumentar suas capacidades de ciberdefesa e reduzir o tempo médio de detecção de ataques. Nossa biblioteca de conteúdo SOC agrega mais de 100K algoritmos de detecção e consultas de caças a ameaças mapeadas para os frameworks CVE e MITRE ATT&CK®. Interessado em monetizar suas habilidades de caça a ameaças? Participe do nosso programa Threat Bounty para criar seu próprio conteúdo de detecção e ganhar recompensas por sua contribuição!
