Hacker derruba site do CCOO e compartilha detalhes exclusivos sobre como ele fez isso!

,

Ontem, o portal do sindicato Comisiones Obreras (CCOO) foi alvo de um ataque cibernético que o desativou, enchendo-o de mensagens críticas contra os “sindicatos governamentais”. Ainda hoje, quando o usuário tenta acessar o site, vê apenas o logotipo do CCOO e a seguinte mensagem:

“Em manutenção: O site solicitado, ccoo.es, está em manutenção e não está disponível (sic) neste momento.”

Após o ataque, o CCOO emitiu um comunicado relatando a situação e anunciando que estava trabalhando para resolver os danos causados ​​pelo ataque informático. A organização sindical também confirmou que seu departamento de TI estava trabalhando duro para restaurar a segurança da sua rede.

Mas a novidade deste ataque não reside na mera’vandalização’de um site, mas no facto de o próprio hacker (que usa’Farlopa’como nome de guerra) inicialmente ter ligado ao seu site… que inclui um post — intitulado"Prato virtual de frutos do mar no servidor Workers’Commissions"-em que a vulnerabilidade da qual ele se aproveitou e as etapas que ele tomou são relatadas para completar o hack.

“Já faz um tempo que não tentei fazer root em um servidor e, quando vi a aparência desleixada do portal de membros do CCOO, não resisti em fazer alguns testes. […] À primeira vista, a página afiliate.ccoo.es consiste num formulário de dados pessoais para processar a filiação sindical”.

Uma olhada em… Como solicitar o CERTIFICADO DIGITAL de PESSOA SINGULAR ao FNMT

Detectando o ponto fraco

Nosso protagonista decidiu realizar alguns testes para avaliar a segurança da plataforma… observando que a URL do site incluía nomes de arquivos como parâmetros, sugerindo que poderia haver uma vulnerabilidade de passagem de diretório. A tentativa fazer uso da rota /proc/ sem sucesso para injetar código , mas essa tentativa permitiu que ele listasse dados sobre o servidor.

Após uma análise mais aprofundada, ele percebeu que os caminhos na URL tinham uma letra’E’na frente deles. “Pensando que poderia ser um volume montado,” experimentou letras diferentes , descobrindo que a letra’D'**** permitiu que ele acessasse arquivos PHP em modo texto, sem que eles fossem processados. Isso lhe deu uma compreensão básica de como o arquivo ‘coco.php’ funcionava.

Ele então identificou um uploader de arquivo no formulário de adesão que armazenava uploads em um local específico, e aproveitou-se disso para carregar um arquivo que continha código , para executá-lo a partir do mencionado coco.php.

Neste site Esses sites são uma mina de ouro para aprender sobre segurança cibernética e hacking gratuitamente: é assim que TryHackMe e Hack The Box funcionam

Concluindo o acesso ao sistema

Ao fazer o upload do arquivo e preencher o formulário, ele conseguiu acessar o caminho do arquivo carregado e executar comandos no sistema como usuário ‘www-data’. Mas nosso hacker não parou por aí: ele continuou sua pesquisa e encontrou dados de autenticação de bancos de dados em vários arquivos de configuração. Ele usou essas credenciais para acessar os bancos de dados e exportar todas as suas informações.

O mais surpreendente foi que, após obter acesso ao banco de dados, encontrou uma senha em texto simples associada a uma conta root (contas de administrador em sistemas baseados em Unix). Quando ele tentou fazer login com essa senha, ele conseguiu.

No entanto, ele observou que também poderia ter conseguido aumentar os privilégios explorando uma vulnerabilidade conhecida (CVE-2017-7533). devido ao sistema desatualizado.

Após garantir que obteve controle do sistema, o pesquisador modificou a página inicial. Como resultado, cerca de 50 subdomínios ccoo.es (principalmente federações regionais) Eles começaram a mostrar seu novo arquivo de índice (que continha mensagens expressando seu desejo de ter uma"organização de classe que defendesse o interesses dos trabalhadores").

0

Nesta plataforma, certos indivíduos foram apanhados por investigadores através de uma tática enganosa que envolvia monitorizar as suas atividades durante mais de cem horas num ambiente atraente concebido especificamente para os atrair.

1

*️⃣ Link da fonte:

inclui uma postagem , vulnerabilidade de passagem de diretório,