Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Antonio Sagliocca : 8 Febbraio 2023 07:02
Il protocollo IPv6, la versione dell’“Internet Protocol” successiva alla IPv4, sta prendendo piede, ma mentre nelle reti pubbliche viene configurato ed utilizzato, in quelle interne le aziende faticano ad adottarlo. Tale nuovo protocollo Internet è sorto per sopperire alla diminuzione e, in futuro alla mancanza, di indirizzi IP versione IPv4 e apporta, al contempo, nuovi servizi, migliorando la configurazione e la gestione delle reti.
Gli indirizzi IPv4 sono indirizzi a 32 bit (es. 192.168.1.23) e sono oltre quattro miliardi, mentre gli indirizzi IPv6 sono indirizzi più lunghi, a 128 bit (es. 2001:0db8:0000:ffff:0000:0000:0345:ffff), e ne sono pertanto possibili circa 340 trilioni di trilioni di trilioni.
Nelle reti Microsoft, da Windows Vista in poi, IPv6 è abilitato di default, tanto sui sistemi client che in quelli Server. Inoltre il protocollo IPv6 ha una priorità maggiore rispetto al protocollo precedente. Ciò significa che i computer Windows, sia in fase di avvio, che periodicamente, cercheranno prima una rete IPv6 a cui collegarsi e qualora questa non sia disponibile si collegheranno alla tradizionale IPv4.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Durante la mia attività di penetration tester mi sono accorto che molti Amministratori di sistema lasciano abilitato di default il protocollo IPv6 sui sistemi ma non lo configurano, prediligendo quello IPv4, senza però conoscere le conseguenze, in termini di sicurezza, che ciò comporta.
Del resto, di come abusare delle reti IPv6 se ne parlava già nel 2011, quando Alex Waters dell’istituto Infosec illustrava SLAAC (Stateless Address Auto Configuration), un attacco Man-in-the Middle che permette lo sniffing del traffico delle macchine compromesse.
Questo è un attacco di non facile implementazione, molto rumoroso e destabilizzante per la rete perché richiede alcuni pacchetti e servizi esterni per funzionare e prevede la creazione di una rete overlay IPv6 sulla IPv4 esistente, che impatta su tutti i dispositivi presenti sulla rete. Dopo SLAAC i metodi e i tool per abusare delle reti IPv6 progredirono.
E’ infatti di qualche anno fa il toolkit “THC-IPV6 Attack” entrato nella distribuzione Kali Linux come strumento per testare i punti deboli del protocollo IPv6 e ICMPv6, e che ha rappresentato una fonte di ispirazione per mitm6, un tool facile da configurare che attacca in modo selettivo gli host e che illustrerò in questo articolo.
Il problema fondamentale è che in una rete in cui il protocollo IPv6 è abilitato ma non configurato, un attaccante può agire come router ed assegnare alla vittima un indirizzo IPv6 e soprattutto un indirizzo DNS IPv6. Peraltro, nel momento dell’avvio, ma anche ogni circa 30 minuti, i computer windows richiederanno nella rete una configurazione IPv6. E riceveranno quella che il router dell’attaccante (che funge da server DHCPv6) fornirà loro.
Sarà proprio l’indirizzo del Server DNS IPv6, assegnato alla vittima, che permetterà l’attacco, perchè l’indirizzo DNS IPv6 (controllato dall’attaccante) sarà preferito rispetto all’indirizzo DNS IPv4 e di conseguenza ogni query DNS della vittima sarà ricevuta dall’attaccante che la sfrutterà a proprio vantaggio falsificando le risposte.
Grazie ad altri protocolli legittimi di Windows, poi, l’attaccante riuscirebbe ad ottenere e inoltrare l’HASH delle credenziali dell’utente (Domain User o Domain Admin) a vari servizi all’interno della rete oppure al Domain Controller tentando l’autenticazione verso LDAPS. Pertanto, sfruttando questa tecnica e, senza necessità di conoscere alcuna credenziale, sarà possibile per l’attaccante recuperare le informazioni di ogni utente, computer, gruppo e policy del dominio, aggiungere un oggetto utente di dominio o computer, da lui controllati, nell’ Active Directory dell’azienda target e creare le condizioni per ulteriori pericolosi e gravi attacchi, come la compromissione di macchine del dominio.
Al seguente link di Hackerhood illustrerò come avviene questo attacco:
Antonio SaglioccaIl report DarkMirror Q1 2025 di DarkLab, il laboratorio di Cyber Threat Intelligence di Red Hot Cyber, offre un’analisi dettagliata dell’evoluzione del ransomware in Italia e nel mondo. ...
Lo sviluppo di supercomputer per l’intelligenza artificiale sta entrando in una nuova orbita: in termini di scala, costi e consumi energetici e infrastrutture e megaprogetti. Uno studio condott...
Il 25 Aprile, data simbolo della Liberazione italiana dal fascismo, ci ricorda il valore della libertà, conquistata con il sacrificio di partigiani e combattenti. In un’era dominata dal di...
In un mondo dove ogni giorno si registrano migliaia di attacchi informatici, molte aziende continuano a sottovalutare l’importanza della cybersecurity, affidandosi a “sedicenti esperti&#...
AI, AI e ancora AI. E sembra che l’intelligenza artificiale giorno dopo giorno ci porti innovazioni sia come difesa ma soprattutto, come attacco. L’intelligenza artificiale è gi...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
