Antonio Sagliocca : 8 Febbraio 2023 07:02
Il protocollo IPv6, la versione dell’“Internet Protocol” successiva alla IPv4, sta prendendo piede, ma mentre nelle reti pubbliche viene configurato ed utilizzato, in quelle interne le aziende faticano ad adottarlo. Tale nuovo protocollo Internet è sorto per sopperire alla diminuzione e, in futuro alla mancanza, di indirizzi IP versione IPv4 e apporta, al contempo, nuovi servizi, migliorando la configurazione e la gestione delle reti.
Gli indirizzi IPv4 sono indirizzi a 32 bit (es. 192.168.1.23) e sono oltre quattro miliardi, mentre gli indirizzi IPv6 sono indirizzi più lunghi, a 128 bit (es. 2001:0db8:0000:ffff:0000:0000:0345:ffff), e ne sono pertanto possibili circa 340 trilioni di trilioni di trilioni.
Nelle reti Microsoft, da Windows Vista in poi, IPv6 è abilitato di default, tanto sui sistemi client che in quelli Server. Inoltre il protocollo IPv6 ha una priorità maggiore rispetto al protocollo precedente. Ciò significa che i computer Windows, sia in fase di avvio, che periodicamente, cercheranno prima una rete IPv6 a cui collegarsi e qualora questa non sia disponibile si collegheranno alla tradizionale IPv4.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Durante la mia attività di penetration tester mi sono accorto che molti Amministratori di sistema lasciano abilitato di default il protocollo IPv6 sui sistemi ma non lo configurano, prediligendo quello IPv4, senza però conoscere le conseguenze, in termini di sicurezza, che ciò comporta.
Del resto, di come abusare delle reti IPv6 se ne parlava già nel 2011, quando Alex Waters dell’istituto Infosec illustrava SLAAC (Stateless Address Auto Configuration), un attacco Man-in-the Middle che permette lo sniffing del traffico delle macchine compromesse.
Questo è un attacco di non facile implementazione, molto rumoroso e destabilizzante per la rete perché richiede alcuni pacchetti e servizi esterni per funzionare e prevede la creazione di una rete overlay IPv6 sulla IPv4 esistente, che impatta su tutti i dispositivi presenti sulla rete. Dopo SLAAC i metodi e i tool per abusare delle reti IPv6 progredirono.
E’ infatti di qualche anno fa il toolkit “THC-IPV6 Attack” entrato nella distribuzione Kali Linux come strumento per testare i punti deboli del protocollo IPv6 e ICMPv6, e che ha rappresentato una fonte di ispirazione per mitm6, un tool facile da configurare che attacca in modo selettivo gli host e che illustrerò in questo articolo.
Il problema fondamentale è che in una rete in cui il protocollo IPv6 è abilitato ma non configurato, un attaccante può agire come router ed assegnare alla vittima un indirizzo IPv6 e soprattutto un indirizzo DNS IPv6. Peraltro, nel momento dell’avvio, ma anche ogni circa 30 minuti, i computer windows richiederanno nella rete una configurazione IPv6. E riceveranno quella che il router dell’attaccante (che funge da server DHCPv6) fornirà loro.
Sarà proprio l’indirizzo del Server DNS IPv6, assegnato alla vittima, che permetterà l’attacco, perchè l’indirizzo DNS IPv6 (controllato dall’attaccante) sarà preferito rispetto all’indirizzo DNS IPv4 e di conseguenza ogni query DNS della vittima sarà ricevuta dall’attaccante che la sfrutterà a proprio vantaggio falsificando le risposte.
Grazie ad altri protocolli legittimi di Windows, poi, l’attaccante riuscirebbe ad ottenere e inoltrare l’HASH delle credenziali dell’utente (Domain User o Domain Admin) a vari servizi all’interno della rete oppure al Domain Controller tentando l’autenticazione verso LDAPS. Pertanto, sfruttando questa tecnica e, senza necessità di conoscere alcuna credenziale, sarà possibile per l’attaccante recuperare le informazioni di ogni utente, computer, gruppo e policy del dominio, aggiungere un oggetto utente di dominio o computer, da lui controllati, nell’ Active Directory dell’azienda target e creare le condizioni per ulteriori pericolosi e gravi attacchi, come la compromissione di macchine del dominio.
Al seguente link di Hackerhood illustrerò come avviene questo attacco:
Antonio SaglioccaTrend Micro ha rilevato un attacco mirato ai settori governativo e aeronautico in Medio Oriente, utilizzando un nuovo ransomware chiamato Charon. Gli aggressori hanno utilizzato una complessa catena d...
Diversi prodotti di sicurezza Fortinet, tra cui FortiOS, FortiProxy e FortiPAM, sono interessati da una vulnerabilità di evasione dell’autenticazione di alta gravità. La falla, monito...
Agosto Patch Tuesday: Microsoft rilascia aggiornamenti sicurezza che fixano 107 vulnerabilità nei prodotti del suo ecosistema. L’aggiornamento include correzioni per 90 vulnerabilità,...
29.000 server Exchange sono vulnerabili al CVE-2025-53786, che consente agli aggressori di muoversi all’interno degli ambienti cloud Microsoft, portando potenzialmente alla compromissione compl...
Come era prevedibile, il famigerato bug scoperto su WinRar, viene ora sfruttato attivamente dai malintenzionati su larga scala, vista la diffusione e la popolarità del software. Gli esperti di ES...
