Protocollo IPv6. I rischi nella rete con mitm6 e ntlmrelayx

Antonio Sagliocca : 8 Febbraio 2023 07:02

Il protocollo IPv6, la versione dell’“Internet Protocol” successiva alla IPv4, sta prendendo piede, ma mentre nelle reti pubbliche viene configurato ed utilizzato, in quelle interne le aziende faticano ad adottarlo. Tale nuovo protocollo Internet è sorto per sopperire alla diminuzione e, in futuro alla mancanza, di indirizzi IP versione IPv4 e apporta, al contempo, nuovi servizi, migliorando la configurazione e la gestione delle reti.

Gli indirizzi IPv4 sono indirizzi a 32 bit (es. 192.168.1.23) e sono oltre quattro miliardi, mentre gli indirizzi IPv6 sono indirizzi più lunghi, a 128 bit (es. 2001:0db8:0000:ffff:0000:0000:0345:ffff), e ne sono pertanto possibili circa 340 trilioni di trilioni di trilioni.

Nelle reti Microsoft, da Windows Vista in poi, IPv6 è abilitato di default, tanto sui sistemi client che in quelli Server. Inoltre il protocollo IPv6 ha una priorità maggiore rispetto al protocollo precedente. Ciò significa che i computer Windows, sia in fase di avvio, che periodicamente, cercheranno prima una rete IPv6 a cui collegarsi e qualora questa non sia disponibile si collegheranno alla tradizionale IPv4.

CALL FOR SPONSOR - Sponsorizza la Graphic Novel Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?  Conosci il nostro corso sul cybersecurity awareness a fumetti?  Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.  Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Durante la mia attività di penetration tester mi sono accorto che molti Amministratori di sistema lasciano abilitato di default il protocollo IPv6 sui sistemi ma non lo configurano, prediligendo quello IPv4, senza però conoscere le conseguenze, in termini di sicurezza, che ciò comporta.

Del resto, di come abusare delle reti IPv6 se ne parlava già nel 2011, quando Alex Waters dell’istituto Infosec illustrava SLAAC (Stateless Address Auto Configuration), un attacco Man-in-the Middle che permette lo sniffing del traffico delle macchine compromesse.

Questo è un attacco di non facile implementazione, molto rumoroso e destabilizzante per la rete perché richiede alcuni pacchetti e servizi esterni per funzionare e prevede la creazione di una rete overlay IPv6 sulla IPv4 esistente, che impatta su tutti i dispositivi presenti sulla rete. Dopo SLAAC i metodi e i tool per abusare delle reti IPv6 progredirono.

E’ infatti di qualche anno fa il toolkit “THC-IPV6 Attack” entrato nella distribuzione Kali Linux come strumento per testare i punti deboli del protocollo IPv6 e ICMPv6, e che ha rappresentato una fonte di ispirazione per mitm6, un tool facile da configurare che attacca in modo selettivo gli host e che illustrerò in questo articolo.

Il problema fondamentale è che in una rete in cui il protocollo IPv6 è abilitato ma non configurato, un attaccante può agire come router ed assegnare alla vittima un indirizzo IPv6 e soprattutto un indirizzo DNS IPv6. Peraltro, nel momento dell’avvio, ma anche ogni circa 30 minuti, i computer windows richiederanno nella rete una configurazione IPv6. E riceveranno quella che il router dell’attaccante (che funge da server DHCPv6) fornirà loro.

Sarà proprio l’indirizzo del Server DNS IPv6, assegnato alla vittima, che permetterà l’attacco, perchè l’indirizzo DNS IPv6 (controllato dall’attaccante) sarà preferito rispetto all’indirizzo DNS IPv4 e di conseguenza ogni query DNS della vittima sarà ricevuta dall’attaccante che la sfrutterà a proprio vantaggio falsificando le risposte.

Grazie ad altri protocolli legittimi di Windows, poi, l’attaccante riuscirebbe ad ottenere e inoltrare l’HASH delle credenziali dell’utente (Domain User o Domain Admin) a vari servizi all’interno della rete oppure al Domain Controller tentando l’autenticazione verso LDAPS. Pertanto, sfruttando questa tecnica e, senza necessità di conoscere alcuna credenziale, sarà possibile per l’attaccante recuperare le informazioni di ogni utente, computer, gruppo e policy del dominio, aggiungere un oggetto utente di dominio o computer, da lui controllati, nell’ Active Directory dell’azienda target e creare le condizioni per ulteriori pericolosi e gravi attacchi, come la compromissione di macchine del dominio.

Al seguente link di Hackerhood illustrerò come avviene questo attacco:

Antonio Sagliocca
Ethical Hacker e Formatore, con 18 anni di esperienza, di cui 8 nelle Investigazioni private, e diverse certificazioni internazionali, ha una grande passione nella Sicurezza Offensiva e la fortuna di lavorare in tale ambito. Socio CLUSIT e OSINTITALIA, scrive su alcune riviste online ed è relatore a eventi pubblici di sensibilizzazione. Ha scritto, inoltre, alcuni capitoli di volumi universitari e una pubblicazione scientifica

Lista degli articoli