Rogue WPAD server attack

4

Oggi ho incontrato qualcosa che non ho mai visto prima di prima mano. Il nostro IDS ha bloccato alcuni tentativi di traffico in uscita da 5 server senza accesso WAN. Questo traffico stava portando a un indirizzo inattivo che ospita un file wpad.dat inesistente. 208.91.197.132/wpad.dat è l'indirizzo e il file.

Questi dispositivi non utilizzano DHCP e pertanto non è stato possibile accedere a una registrazione errata. Il DNS utilizzato da questi dispositivi sembra non protetto. L'unica cosa rimasta, e ciò che prevedo, è che WPAD si basa sulla trasmissione NetBIOS per trovare un server WPAD, che quindi sta inoltrando all'indirizzo sopra indicato.

I tentativi di blocco IDS sono iniziati 2 giorni fa, circa ogni ora, e i registri dei blocchi IDS erano perfettamente compatibili con le richieste http WSUS in uscita.

Non esiste alcuna infezione per le definizioni degli host interessati.

Qualche idea? A questo punto, credo che un dispositivo sia entrato nella rete e WPAD lo abbia rilevato.

No, non stiamo eseguendo IE 5.0:)

    
posta MildotPhil 21.02.2015 - 09:55
fonte

1 risposta

2

attacco WPAD è un attacco comune tecnica tra penetration tester (e attacker) solitamente eseguita sul segmento di rete in cui è possibile trovare workstation. L'attacco WPAD ai server potrebbe avere senso, ma non è comune. Per esempio. può esserci un meccanismo di aggiornamento automatico che scarica regolarmente qualcosa da internet. Ma come hai detto, i tuoi server non avevano accesso alla WAN.

E sì, lo scenario più probabile è che ci fosse un dispositivo sulla rete che rispondeva alle richieste WPAD. In futuro segui le best practice e registra entrambi il nome host WPAD nel tuo server DNS locale, e nel frattempo disabilita "Autodetect proxy settings" su macchine client e server.

    
risposta data 18.08.2015 - 12:31
fonte

Leggi altre domande sui tag