Security Weekly 10-14/3/25

Un po' di news e analisi da leggere e una cernita di tre tool cyber con gli esempi di utilizzo: GPOddity, mailcat, JsRouteScan

Buon sabato e ben ritrovato caro cyber User!

In questa puntata:

• News della settimana;

• GPOddity

• mailcat

• JsRouteScan

NEWS CYBER

📌 Nuove Vulnerabilità e Exploit Analizzati

CVE-2025-21333: analisi di un Heap-based Buffer Overflow su Windows

Un'analisi approfondita del CVE-2025-21333, un buffer overflow nella gestione della memoria heap di Windows. Il report mostra le tecniche per sfruttare questa vulnerabilità e i potenziali impatti sulla sicurezza dei sistemi affetti.
🔗 Link: Windows heap-based buffer overflow analysis

Trigon: sviluppo di un exploit deterministico per iOS

Ricerca avanzata su una vulnerabilità nel kernel di iOS e lo sviluppo di un exploit affidabile per sfruttarla. Il report illustra il funzionamento della falla e le tecniche per eseguire codice arbitrario sul dispositivo.
🔗 Link: Trigon - Developing a deterministic kernel exploit for iOS

Storia delle NULL Pointer Dereferences su macOS

Un'analisi storica dell'evoluzione delle vulnerabilità NULL pointer dereference su macOS, con esempi pratici e il loro impatto sulla sicurezza del sistema.
🔗 Link: History of NULL Pointer Dereferences on macOS

Attacchi ai sistemi SAP AI e rischi di esposizione Cloud

Scoperta di vulnerabilità critiche nei sistemi SAP AI che potrebbero permettere ad attori malevoli di accedere ai dati sensibili dei clienti e compromettere l’infrastruttura cloud.
🔗 Link: SAP AI vulnerabilities expose customers’ cloud environments

Attacco ai moduli GitHub: migliaia di "Mod" e "Crack" che raccoglievano dati sensibili

Un'inchiesta dettagliata su come repository malevoli su GitHub abbiano distribuito software apparentemente legittimi per rubare dati agli utenti.
🔗 Link: Github scam investigation - Thousands of mods and cracks stealing your data

---

STRUMENTI APPROFONDITI

GPOddity: automazione degli attacchi ai GPO tramite NTLM relay

GPOddity è uno strumento sviluppato da Synacktiv per automatizzare gli attacchi ai Group Policy Objects (GPO) sfruttando il relaying NTLM e altre tecniche. Questo strumento facilita l'identificazione e lo sfruttamento delle vulnerabilità nei GPO all'interno degli ambienti Active Directory.

Installazione

È possibile installare GPOddity utilizzando pipx:

python3 -m pipx install git+https://github.com/synacktiv/GPOddity

In alternativa, è possibile clonare il repository e installare le dipendenze manualmente:

git clone https://github.com/synacktiv/GPOddity
cd GPOddity
python3 -m pip install -r requirements.txt

Utilizzo

Per visualizzare le opzioni disponibili:

python3 gpoddity.py --help

Esempio di esecuzione per enumerare i GPO vulnerabili:

python3 gpoddity.py --target <IP_TARGET> --username <USERNAME> --password <PASSWORD> --domain <DOMAIN>

Dettagli tecnici

GPOddity automatizza l'identificazione di GPO con permessi di scrittura deboli che possono essere sfruttati tramite attacchi di relaying NTLM. Lo strumento esegue le seguenti operazioni:

1. Enumerazione dei GPO

   • Recupera l'elenco dei GPO presenti nel dominio target.

2. Verifica dei Permessi

   • Analizza i permessi associati a ciascun GPO per identificare quelli con controlli di accesso discrezionali (DACL) configurati in modo insicuro.

3. Sfruttamento

   • Modifica i GPO vulnerabili per eseguire codice arbitrario sui sistemi che applicano tali policy.

---

mailcat: ricerca di indirizzi email tramite nickname

mailcat è uno strumento che consente di trovare indirizzi email esistenti a partire da un nickname, utilizzando metodi di verifica API/SMTP senza notificare l'utente. Supporta 37 provider, oltre 170 domini e più di 100 alias, rendendolo utile per attività di OSINT e ricognizione.

Installazione

Installare le dipendenze richieste:

pip3 install -r requirements.txt

Utilizzo

Eseguire lo script specificando il nickname:

./mailcat.py username

È consigliato eseguire lo script attraverso Tor o un proxy per mantenere l'anonimato:

./mailcat.py --tor username

Oppure utilizzando proxychains:

proxychains4 -q python3 mailcat.py username

Dettagli tecnici

mailcat utilizza diversi metodi per verificare l'esistenza di un indirizzo email associato a un determinato nickname:

1. Verifica SMTP

   • Stabilisce una connessione SMTP al server di posta del provider e utilizza il comando RCPT TO per verificare l'esistenza dell'indirizzo email senza inviare una email effettiva.

2. API pubbliche

   • Interroga le API pubbliche dei provider di posta elettronica (quando disponibili) per verificare la disponibilità di un determinato indirizzo email.

3. Pagine di recupero account

   • Utilizza le funzionalità di recupero account dei provider per determinare se un indirizzo email esiste.

Lo script supporta una vasta gamma di provider, tra cui Gmail, Yandex, Protonmail, iCloud, Mail.ru, Rambler e Tutanota.

Esempio di codice

Di seguito è riportato un esempio semplificato di come mailcat verifica l'esistenza di un indirizzo email utilizzando il protocollo SMTP:

import smtplib

def verify_email_smtp(email):
    domain = email.split('@')[1]
    mx_record = get_mx_record(domain)
    if not mx_record:
        return False

    server = smtplib.SMTP(mx_record)
    server.set_debuglevel(0)
    server.helo()
    server.mail('test@example.com')
    code, message = server.rcpt(email)
    server.quit()

    if code == 250:
        return True
    else:
        return False

def get_mx_record(domain):
    # Funzione per ottenere il record MX del dominio
    # Implementazione omessa per brevità
    pass

Questo codice stabilisce una connessione SMTP al server di posta del dominio dell'email target e utilizza il comando RCPT TO per verificare l'esistenza dell'indirizzo.

---

JsRouteScan: plugin Burp Suite per la scansione delle route JS

Analizziamo in dettaglio JsRouteScan, un plugin per Burp Suite sviluppato in Java, che utilizza espressioni regolari per individuare potenziali percorsi (route) nelle risposte delle applicazioni web. Questo strumento migliora l'efficacia dei test di sicurezza applicativa attraverso la scansione passiva e il rilevamento ricorsivo delle directory.

Installazione

Per installare JsRouteScan in Burp Suite:

1. Scaricare il file JAR del plugin dal repository GitHub ufficiale:

   github.com

2. In Burp Suite, navigare su Extender > Extensions > Add.

3. Selezionare il file JAR scaricato e cliccare su Next per caricare il plugin.

Configurazione

Al primo caricamento, JsRouteScan genera un file config.yaml nella directory .config/JsRouteScan/ dell'utente. Questo file contiene:

• Regexs: lista di espressioni regolari per individuare potenziali percorsi nelle risposte.

• ExRouteRegexs: espressioni regolari per escludere determinati percorsi dalla scansione.

• ExSuffix: lista di suffissi da escludere; le risposte con questi suffissi non verranno analizzate.

Utilizzo

JsRouteScan offre diverse funzionalità attraverso i suoi pannelli di configurazione:

• Config Panel

  • PassiveStart: avvia la scansione passiva; tutti i percorsi individuati verranno richiesti utilizzando il percorso radice specificato in Passive Scan Path.

  • CarryHead: include le intestazioni originali nelle richieste generate dal plugin.

  • Thread Pools Number: numero di thread nel pool per la scansione.

  • Request Method: metodo HTTP da utilizzare (GET o POST).

  • Passive Scan Path: percorso radice per la scansione passiva (predefinito: /).

• ReqDisplay Panel:

  • Scan Root Path: specifica il percorso radice per la scansione attiva.

  • Scan: avvia la scansione dei percorsi individuati nel percorso specificato.

  • Recursion-Scan: esegue una scansione ricorsiva, testando ogni livello di directory del sito.

  • SetHead: imposta le intestazioni HTTP personalizzate per il sito corrente; richiede l'attivazione di CarryHead.

• Scan Panel

  visualizza le richieste e i risultati della scansione. Questo pannello non si aggiorna automaticamente; è necessario utilizzare l'opzione Refresh per aggiornare i dati.

Dettagli tecnici

JsRouteScan opera attraverso una scansione passiva delle risposte HTTP, utilizzando espressioni regolari definite dall'utente per individuare potenziali percorsi. Una volta identificati, il plugin può:

• Eseguire richieste HTTP ai percorsi individuati per verificare la loro validità.

• Effettuare scansioni ricorsive, testando i percorsi su ogni livello di directory del sito, migliorando la copertura dei test di sicurezza.

Esempio di configurazione delle espressioni regolari

Nel file config.yaml, è possibile definire espressioni regolari per individuare percorsi nelle risposte. Ad esempio:

Regexs:
  - '\/api\/v[0-9]+\/[a-zA-Z]+'
  - '\/[a-zA-Z]+\/[0-9]+\/details'

JsRouteScan è uno strumento potente per i professionisti della sicurezza che utilizzano Burp Suite, offrendo funzionalità avanzate per l'individuazione e la verifica dei percorsi all'interno delle applicazioni web.

---

Anche quest'oggi abbiamo concluso, ti ringrazio per il tempo e l'attenzione che mi hai dedicato, augurandoti buon fine settimana, ti rimando al mio blog e alla prossima settimana per un nuovo appuntamento con NINAsec.

Il network

Con questo piccolo schema riepilogo in breve i punti di riferimento che alimento con i miei contenuti, su diversi fronti, quasi quotidianamente.

• Ransomfeed.it - piattaforma di monitoraggio ransomware, realtime;

• inSicurezzaDigitale.com - blog di sicurezza informatica con approfondimenti tematici;

• SecureBulletin.com - news internazionali su cyber security, analisi e frodi;

• Spcnet.it - notizie geek;

• ilGlobale.it - note politiche e di economia, di rilevanza internazionale;

• Ziobudda.org - notizie Linux, open source e software libero, segnalabili e commentabili (socialnews).

• NewsDF - il raccoglitore di tutto questo, con un suo feed RSS generale, per non perdere niente di quello che pubblico.