Geçtiğimiz günlerde oyun oynarken yaşadığımız fakat bu yöntemi teknik olarak bildiğimiz için düşmediğimiz gayet güzel kurgulanmış bir oltalama saldırı örneğini sizlere göstereceğim. Son dönemde siber saldırganların hedefinde özellikle rekabetçi oyuncu toplulukları yer alıyor(Oyun içindeki pazar ile gerçek para kazanılabildiği için). CS2 (Counter-Strike 2) ekosisteminde popüler olan Faceit platformunu taklit eden yeni nesil bir oltalama (phishing) yöntemi, en dikkatli kullanıcıları bile hataya düşürebilecek kadar profesyonelce kurgulanmış.

Bugün, sıkça rastlanan ancak tespiti zor olan Browser-in-the-Browser (BitB) tekniğini bir vaka üzerinden inceleyeceğiz.

🔍 Saldırı Senaryosu: Güven Nasıl İnşa Ediliyor?

Süreç genellikle bir Discord sunucusu üzerinden başlıyor. Saldırganlar, bir “Faceit Status” veya “Tournament Bot” kullanarak kurbanın güvenini kazanıyor. Kurbandan, turnuvaya katılabilmesi veya hesabını doğrulaması için bir linke tıklaması isteniyor.

Burada kurgulanan sosyal mühendislik aşamaları şöyledir:

1. Bot Etkileşimi: Kurbanın kullanıcı adı ve seviyesi gibi genel bilgileri istenerek “resmi” bir süreç izlenimi veriliyor.
2. Sahte Landing Page: Linke tıklandığında, Faceit’in tasarım dilini (fontlar, renkler, Anti-Cheat logoları) birebir kopyalayan profesyonel bir web sitesi kurbanı karşılıyor.
3. Kritik Adım — OAuth Tuzağı: “Steam ile Doğrula” butonuna basıldığında karşımıza o meşhur Steam giriş penceresi çıkıyor.

❓ Browser-in-the-Browser (BitB) Nedir?

Geleneksel oltalama yöntemlerinde saldırganlar faceit-verify.com gibi sahte bir alan adı kullanır. Ancak BitB saldırısında, tarayıcı içinde tarayıcı simüle edilir.

Açılan Steam giriş penceresi aslında işletim sistemine ait bağımsız bir pencere değildir. Web sayfasının içine HTML ve CSS kullanılarak çizilmiş, adres çubuğundan kilit simgesine kadar her detayıyla sahte bir “görsel illüzyondur”. Kurban adres çubuğuna baktığında https://steamcommunity.com adresini ve geçerli SSL sertifikasını görür, ancak bu sadece bir resimden ibarettir.

Bu Saldırı Nasıl Tespit Edilir?

Görselde de net bir şekilde görüldüğü üzere, bu karmaşık saldırıyı tespit etmenin çok basit bir yolu vardır: Açılan küçük tarayıcıyı gerçek tarayıcınızın dışına sürükleyin.

• Sınırları Zorlayın: Eğer karşınıza çıkan Steam giriş penceresini, ana tarayıcı sekmenizin dışına (örneğin masaüstüne doğru) sürükleyemiyorsanız; o pencere ana tarayıcının sınırlarında hapsoluyor veya kesiliyorsa, bu bir BitB saldırısıdır. Gerçek bir pop-up penceresi tarayıcıdan bağımsız hareket eder.
• Karanlık Mod Testi: Tarayıcınız karanlık moddayken, oltalama sayfası aydınlık modda bir pencere simüle ediyorsa bu bir uyarı işaretidir.
• Parola Yöneticileri: Bitwarden veya Chrome’un kendi şifre yöneticisi gibi araçlar, bu sahte pencereleri tanımaz ve otomatik doldurma yapmaz. Eğer şifreniz otomatik gelmiyorsa durup düşünün.

Sonuç ve Korunma

Siber saldırganlar artık sadece teknik açıkları değil, görsel algılarımızı da manipüle ediyor. CS2 topluluğu ve Faceit kullanıcıları başta olmak üzere, tüm internet kullanıcılarının “güvenli bağlantı” simgesine (kilit simgesi) körü körüne güvenmemesi gerekiyor.

Siz de hiç bu tür bir saldırıyla karşılaştınız mı?

Credit: Cihan Aytunç Biçer’e bu saldırıyı keşfetmemizdeki katkılarından dolayı teşekkür ederim.

Reference: https://mrd0x.com/browser-in-the-browser-phishing-attack/

#CyberSecurity #Phishing #BitB #Infosec #SocialEngineering #CS2 #Faceit #RedTeaming #SiberGüvenlik

In this part of the topic, you will be guided on;

1. What is Honeypot?
2. Why do networks need it?
3. What type of Honeypot is right for the network?
4. Where should the Honeypot be located and how to isolate the Honeypot from the real network?
5. How to install and configure the Cowrie Software?

In Part 2, you will be learned:

1. How to install and integrate SIEM on your network?
2. How to analyze the Honeypot logs and create alarms for threats?

In Part 3, you will be learned:

1. How to install SOAR and integrate it with SIEM?
2. How to create playbooks to block the threat IoCs?
3. How to automate the blocking process with SOAR and a Firewall?

Summary of Purpose

This blog post aims to be a guide for you to understand what the Honeypot is, how to choose the best one to protect your network and understand your needs, implement a Honeypot in your network and configure it for your system to look realistic. Nowadays, Honeypots are complex and advanced systems. They provide useful pre-attack alerts and information on hacker methods.

1. What is Honeypot?

There is a lot of information and blog posts about what a honeypot is obviously. I don’t want to make this part long but I want to explain this subject in my own way shortly.

Imagine that you are planning to rob a museum, looking for a hidden security flaw to steal some valuable pieces. You are walking in the museum and inspecting the security systems silently. You are thinking of creating a strategy to go in, take the valuable piece and go out. Suddenly, you notice that there is a chance to disable all alarms with the default system password because you caught a moment for shoulder surfing. Everything is going perfectly for you, you are disabling it, you are not in a hurry, you are trying to unlock the lock. At that moment, cops are coming and the end of the story. You are going to jail and are charged with your acts.

The security system with a default password was fake. The default password is just to enable the alarm system, not to disable it. There is a secret password to disable it. If you are trying to disable it with the default password, it sends an alert to the security crew that something is going wrong. Yes, you got it, that was a Honeypot. A fake security vulnerability is prepared for intruders. A security system that secretly informs the security team while the attacker spends time with a fake vulnerability.

Of course, Honeypot is more than that but I think that example could make you imagine what the logical strategy behind this system is.

2. Why do networks need it?

There are different types of Honeypot Software. You can simulate many vulnerable services, such as SSH, FTP, vulnerable Apache servers, and many more. Some Honeypot systems can create IoCs and Signatures of malware activity.

The thing is, when your systems are hacked, your fake vulnerable systems will be damaged and you will be informed of that attack before the attacker starts attacking the real servers.

There is another advantage. You should be aware of the hacker's scanning and enumeration methods. You can analyse what types of attacks they are trying, what passwords they are using during brute force attacks, which IPs are used by attackers and which IPs you need to block on your systems.

Your system needs a pawn to sacrifice to stay secure and Honeypot is the right choice for that.

Now you know why you need a Honeypot. Let’s look at which Honeypot is suitable for your systems and how to analyse your needs.

3. What type of Honeypot is right for the network?

First of all, you need to think of your network structure. Remember, it needs to be realistic, you can not set an RDP Honeypot on the defense industry’s DMZ network because that is an amateur mistake to make for the defense industry’s network crew.

There is a GitHub repo that contains many types of Honeypot software below:

GitHub - paralax/awesome-honeypots: an awesome list of honeypot resources

You can check various types of Honeypots from here and choose one or a few of them. Just make sure they don't affect each other. We are going to use this Honeypot below:

GitHub - cowrie/cowrie: Cowrie SSH/Telnet Honeypot https://docs.cowrie.org/

We will choose Cowrie software because;

• It combines multiple service types in one Honeypot.
• It can send logs of the attacker’s activity to Splunk. This feature enables this Honeypot to be monitored easily.

It is important that we can send logs to Splunk for us because I have Splunk in my network and I want to monitor the attacker’s activity from there. Having multiple service types on this software is an advantage, maybe I want to change the vulnerable service one day or maybe I want to set up a few Honeypots that run different services and manage them from one centre.

At the end of it, we have chosen our Honeypot that has these features above. It is time to set up your Honeypot but to where? How can we set up a vulnerable machine without affecting our network during an attack? How to keep our network secure by isolating the Honeypot from the real network?

4. Where should the Honeypot be located and how to isolate the Honeypot from the real network?

When you are setting up a Honeypot in your network, you don’t want it to be vulnerable. It must be fake, limited and isolated from your real network. Otherwise, it won’t be a security system 😀. All we want is to trick the outside and inside threat actors. It could be possible that we can detect the infected machine that is trying to do lateral movement. In this way, we also catch a malware that infects our network.

As you can see in Figure 1, we have deployed two Honeypots. The important subject here is why. Why do we have two Honeypots and why is one of them inside the network? The outside one is for distracting intruders and alerting the SOC Team if an attack is happening from outside. The inside one is for detecting an insider threat movement. There could be a hacker or malware inside that is not trapped by an outside one. This hacker could be trapped by an inside one. More traps mean more mice are caught, right?

We need these hackers to reach Honeypots but these Honeypots should not be reaching the real network. If they can, maybe hackers could do too.

Here is what you can do to locate your Honeypot systems.

• Honeypots should be isolated from real networks.
• You can locate your Honeypots behind firewalls.
• Firewall rules should be configured to allow the packets to go to Honeypots but block the packets coming from the Honeypot to the real network.
• If you are using Honeypots to send logs to your SIEM product, such as Splunk, you need to allow the Honeypots to send logs to the SIEM on a specific port. This means you should use the whitelisting method for these operations.

Now, we know how to locate our Honeypots in our network. It is time to see how to install the Cowrie.

5. How to install and configure the Cowrie Software

Now, we have two different installation options:

1. Install with Docker
2. Install with local files on the host directly

I will be using the first Docker option because it is easy to deploy. You don’t have to struggle with dependencies. Just edit the config file and deploy Cowrie.

Note: After setting up the operating system, it is essential to install an SSH server on a different port. Source.

So, let’s start by installing Docker on Ubuntu Server following this source.

1. After installing Docker, we can create the etc directory in the home directory for creating Cowrie config files to customize our installation.

janberkb@honeypot:~$ mkdir /home/janberkb/etc
janberkb@honeypot:~$ cd /home/janberkb/etc

2. Download the config and userdb files from GitHub and change the names to activate the configs that you made.

janberkb@honeypot:~/etc$ wget https://github.com/cowrie/cowrie/blob/main/etc/cowrie.cfg.dist
janberkb@honeypot:~/etc$ wget https://github.com/cowrie/cowrie/blob/main/etc/userdb.example
janberkb@honeypot:~/etc$ cp ./cowrie.cfg.dist ./cowrie.cfg
janberkb@honeypot:~/etc$ mv ./userdb.example ./userdb.txt

3. Edit the userdb.txt and set a user to use it while logging in via SSH. I did this, for example.

# Example userdb.txt
# This file may be copied to etc/userdb.txt.
# If etc/userdb.txt is not present, built-in defaults will be used.
#
# ':' separated fields, file is processed line for line
# processing will stop on first match
#
# Field #1 contains the username
# Field #2 is currently unused
# Field #3 contains the password
# '*' for any username or password
# '!' at the start of a password will not grant this password access
# '/' can be used to write a regular expression
#
root:x:123456

Now I can connect to the honeypot using this credential. “root” for username, “123456" for password.

4. Edit the “cowrie.cfg” file to change the port on which Honeypot’s SSH service will run and some customizing processes. Change the fields that are shown below.

# for customizing the honeypot and improving the realism.
# Edit it under Honeypot section.
hostname = SP008BYS01
# SSH Version as printed by "ssh -V" in shell emulation
# Edit it under SHELL section.
ssh_version = OpenSSH_7.9p1, OpenSSL 1.1.1a  20 Nov 2023
# Set the SSH port for honeypot.
# Edit it under SSH section of file.
listen_endpoints = tcp:22:interface=0.0.0.0

5. Run the Docker command to run the honeypot on port 22.

janberkb@honeypot:~/etc$ cd
janberkb@honeypot:~$ sudo docker run -p 22:22 - mount type=bind,source=./etc,target=/cowrie/cowrie-git/etc cowrie/cowrie

Let’s try to connect it via SSH with the credentials that we set.

I am checking the IP of my Honeypot server.

Connecting the server via SSH.

6. Conclusion

We have installed SSH Honeypot running on port 22 on our Honeypot server. When we export the Virtual Machine and import the Honeypot on our Network VLANs, we can trap the attackers and detect the suspected movements.

In Part 2, We‘ll be doing:

1. Install Splunk SIEM on our network.
2. Configure the Cowrie to send logs to Splunk SIEM.
3. Parse the logs sent by Cowrie and set up alerts for any attack activity directed towards the honeypot.

Please contact me if you have any feedback on this blog post.

Please check the Linktree page for details of how to contact me.

Bu yazıda inceleyeceğimiz araç WSUS Server’dan güncelleme çeken bir bilgisayara gerekli güncelleme yerine sahte bir güncelleme dosyası göndermemizi ve istediğimiz komutu yetkili kullanıcı olarak çalıştırmamızı sağlar.

Çok kullanıcılı şirketler internet trafiği sıkıntısı çekmemek adına güncellemeleri Microsoft Sunucularından kendi güncelleme sunucularına çekerek tek bir indirme ile iç ağda belki de binlerce cihaza güncellemeyi sağlayabilir.

10.000 tane bilgisayarın Windows güncellemelerini Microsoft sunucularından ayrı ayrı indirdiğini bir hayal edin.

• WSUS Server: Windows Server üzerinde Windows Update Center’dan gerekli updateleri kendi üstüne indirerek yapıdaki diğer cihazlara bu updateleri iletmekle görevli yapıdır.
• Pywsus: Kendine gelen güncelleme isteğine sahte güncelleme yöntemi ile cevap vererek istediğimiz bir komutu NT AUTHORITY\SYSTEM hakları ile çalıştırmamızı sağlar.

Deneme yapmak için gereken Lab ortam bilgileri aşağıda belirtilmiştir:

• Saldırgan Sistem: Kali Linux 2021.2
• Hedef Sistem: Windows 10 1909
• Bettercap: Kali Terminalde “sudo apt install bettercap” komutu ile yükleyebilirsiniz.
• Pywsus Kali Terminalde “git clone https://github.com/GoSecure/pywsus.git" komutu ile github’dan programı indirebilir veya github linkinden zip dosyası olarak indirip kullanabilirsiniz. Sonrasında yine link üzerindeki installation kısmının altındaki gereksinimleri uygulayarak uygulamamızı hazır hale getiriyoruz.

Gerçekleştirilecek saldırı senaryosu:

Bu saldırı senaryosunda ağ üzerinden erişilebilen Windows 10 makinenin WSUS Server’dan güncelleme yükleme isteği sırasında trafiği kendi makinemize yönlendirerek ve sahte bir güncellemeyi araya sokarak hedef sistemimize yetkili kullanıcı olarak erişmeye çalışacağız, bunun için öncelikle ortadaki adam olup trafiğe müdahale edebilmemiz gerekiyor.

Uygulama:

Öncelikle saldırıda kullanacağımız Bettercap aracını Kali Linux’e yüklüyoruz.

Yükleme gerçekleştikten sonra gerekli olan diğer aracımızı yani Pywsus aracını yüklüyoruz. Bunun için öncelikle masaüstüne geliyoruz ki dosyamızı masaüstüne indirelim.

Sonra git clone komutu ile aracımızı github’dan indiriyoruz.

Klasör indikten sonra klasörün içine gidiyorum komut satırında ve sırası ile aşağıdaki komutları çalıştırıyorum.

Öncelikle işlemlere başlamadan önce Windows cihazımızı network üzerinde gördüğümüzden ve erişimimiz olduğundan emin oluyoruz ama zaten bizim senaryomuzda biz ağa sızdık ve Windows cihaza erişiyoruz ve WSUS serveri tespit edilmiş durumda, bu işlemler farklı bir yazının konusu olduğu için buraya girmiyoruz ve bu senaryodan devam ediyoruz, amacımız karşı makinede admin yetkisi ile komut çalıştırmak.

Öncelikle Bettercap ile bağlantı yapmak için hazırlıklarımızı yapıyoruz ve aşağıdaki bilgileri bir metin editöründe satır satır yazıp WSUS.cap olarak kaydediyoruz.

Gerekli ayarlamalarımızı yaptıktan sonra artık bettercap aracımızı çalıştırıp hedef ip mizden çıkan 8530 portunu kullanan bütün istekleri kendimize yönlendirelim.

• -iface parametresi ile bizim hedef makineye eriştiğimiz interfaceyi seçiyoruz, eğer bilmiyorsak bunu “ifconfig” komutu ile internet bilgilerimizi listeleyerek görebiliriz.
• -caplet parametresi ile gerekli ayarları ve komutları çekeceğimiz dosyayı belirliyoruz ki bu dosya bizim az önce hazırladığımız dosya.

Daha sonra indirip hazırlığını yaptığımız programı çalıştırıyoruz ve gelecek güncelleme isteklerini dinlemesi için bekletiyoruz.

python3 pywsus.py -H 10.0.2.6 -p 8530 -e PsExec64.exe -c '/accepteula /s cmd.exe /c "whoami > C:\\poc.txt" '

Eğer hedefimiz biz bu şekilde dinlerken update yapmaya çalışırsa komut olarak yazdığımız cmd.exe’de çalıştırılacak whoami komutu C disk’in içerisinde poc.txt adında bir dosyaya yazdırılacak.

Güncelleme isteği geldiği zaman programımız güncelleme cevabı dönerek aksiyon aldı ve istediğimiz fonksiyonu yerine getirdi. Şimdi hedef makinemizi kontrol edelim bakalım neler olmuş.

Komutu hangi kullanıcı hakları ile çalıştırdığımızı da poc.txt içinden görebiliyoruz.

Dolayısıyla buradan şunu anlıyoruz ki biz cmd.exe yi çalıştırıp whoami komutunu girip çalıştırdığımızda biz bu komutu nt authority\system olarak çalıştırıyoruz ki bu kullanıcı admin yetkilerine sahip bir kullanıcıdır. (aslinda “nt authority\system” ne bir kullanici, ne de bir gruptur. Security ID ismidir, servis hesaplarinin yetkilendirilmesi icin kullanilir, SID i baska kullanicilara veya servis hesaplarina eklenebilir ornegin. Gorev yoneticisinde “SYSTEM” olarak gorunur).

Yapabileceğimiz bir diğer şey ise tabii sisteme erişmeye çalışmak olacaktır ki bunu da komutta küçük bir değişiklik yaparak cmd.exe üzerinden powershell.exe’yi çalıştırmasını söyleriz, ardından whoami komutu çalıştırdığımız kısımda da buradan bulabileceğimiz powershell reverse shell komutlarını kendi IP adresimize göre düzenleyip çalıştırarak ve ardından belirlediğimiz portu netcat ile dinleyerek sisteme erişim sağlayabiliriz, sonrasında yapacaklarınız hayal gücünüze kalmış.

Originally published at http://github.com

Content

• Introduction
• Lab Installation Guide
• Simulation Workflow
• Conclusion

Introduction

I decided to set up a local virtual lab to try phishing techniques and create a scenario about it. So I started to research email scams because phishing over websites and credential harvesting has one goal; take the credential, send it back to me and save this information to the file. I found some tools for sending mail using SMTP. Let’s set up the local lab.

Lab Installation Guide

Requirements

• Kali Linux,
• Windows 10 device for receiving mail and hMailServer installed as SMTP Server,
• PHP installed on your Kali,
• Gophish installed on your Kali,

Installation

1. Kali Linux Bare Metal Installation: https://www.kali.org/docs/installation/hard-disk-install/
2. Kali Linux Guest VM Installation: https://www.kali.org/docs/virtualization/install-virtualbox-guest-vm/
3. Windows 10 Installation: https://www.groovypost.com/howto/windows-10-install-virtualbox/
4. Install “hMailServer”: https://medium.com/@coffmans/setup-your-own-simple-smtp-server-how-to-c9159cfc7934

Actually, in a real scenario, we just need an SMTP Server for sending mail but we are going to see how the mail comes. So we need to set up an entire mail system including IMAP.

When we set the “hMailServer” we can open the mailbox using Outlook or the Mail app Microsoft:

Create a domain and account like the installation document shows you and when open Outlook, just type the account that you created.

After that, you need to choose IMAP from here.

Fill these server fields with the IP of your Windows machine because hMailServer is installed and working on this machine. It needs to go there and send and receive mail from that server.

Type the password of the user and voilà :) You have a mailbox. Now you can send and receive mail locally.

Now we need to send spoofed mail so we need a tool called Gophish, I gave the installation link above when you install Gophish on your Kali Linux everything will be perfect and we are going to be ready to go.

💡 Troubleshooting Tips: If your Outlook doesn’t connect to your mailbox you need to permit these ports from Windows Firewall Advanced Settings Inbound Rules (25, 110, 143)

Download the latest Gophish release and extract it from the archive.

Go to the folder that you have extracted on the command line and set permission to the executable file.

Now you can run the executable file.

It opens a user interface on 127.0.0.1:3333 and a phishing server at 0.0.0.0:80 and it gives us the one-time admin password for the admin interface.

Login with that one-time password to the admin account and set a new password.

Because we will use our phishing website, we need to change the port of gophish landing page from 80 to 8080

Open the config.json file with the text editor.

Change the listen_url value under phish_server from 0.0.0.0:80 to 0.0.0.0:8080

We are doing this because we need to share our phishing website from port 80 and there should be no service on port 80.

Simulation Workflow

This is the most important part, we are going to see the workflow of our scenario. Let’s quickly check;

We have a Windows 10 machine which is the victim’s computer but remember this is a simulation and we need an SMTP Server We are using this victim’s machine as a Mail Server and we installed “hMailServer” on this machine.

We have a Kali Linux machine for hacking of course :) We installed php on this because it will publish our phishing website for other users and catch the POST request. We have gophish installed on Kali too and gophish is a tool to create mail phishing simulations as you can guess.

Now I am ready to create my mail template as HTML.

We are going to attack Instagram and we need a mail like “New login to your account, if it is not you, you can secure your account from this link”. So I am using the mail from my mailbox :)

It is Turkish mail but it is saying “You have a login from the device new, You can ignore this mail if it was you, if you don’t do that you can secure your account from here.” and something like that.

Open your developer tool and choose the mail content.

Right-click on this element and copy it as HTML.

Go to Gophish’s e-mail template tab and create a new e-mail template.

Paste this HTML code to HTML here, We just need to change text values maybe pictures and it depends on your skills. You need to put a link here for a phishing website. We are simulating so I have changed my Windows host file and added “www.instegram-secure-your-account-6wf35.com.tr". You can add files to your mail if you want.

I am running this website on my local network so I wrote my Kali’s ip because I will stream my website on it.

Save all of these settings and turn back to gophish settings.

Go to Sending Profiles and create a new profile.

Enter the mail address that you want to show to the victim and you need to type your SMTP server address and username password if there is but in our lab, we don’t have a username password.

After all of this tiredness, you just need to create a user group add users to it and create a campaign.

💡 You need to create a landing page too but we are not going to use it you need to leave it blank. If you don’t create an empty landing page gophish is not working on the campaign step.

Send a test mail and see what is going on :)

Now, we can send spoofed mail. It is time to prepare our phishing website.

I am going to do it an easy way and find a phishing website tool, we can use their templates of course. I will install Nexphish for this but I will just take its template.

As you can see there are hidden folders, The “.Modules” folder has a lot of website templates and “login.php” files. When I inspected those files a little bit I noticed that they are just sending user credentials with POST protocol and saving them in the “usernames.txt” file in the existing folder.

Now we need to open our console here and publish this website with the code below.

Now we can access this website from Windows machines if we are in the same network.

Remember we typed something in the “hosts” file on the Windows machine, that was Kali’s IP and the website link of our website.

Let’s start the campaign and see if this phishing works.

This panel shows you all the things about the campaign.

Hey! We have received a mail from security@mail.inst(e)gram.com :)

When we click the link.

When we enter our credentials (Not the real ones) it redirects us to a real Instagram page. We can check the “usernames.txt” file in the website folder and see the credentials.

Conclusion

If you have recieved a mail like this and you need to change your password, open the browser and change your password manually, not with sent link and the most important thing, use two factor authentication. Two factor authentication is so hard to brake, of course nothing is impossible but you need to becareful and take as many precautions as you can.

💡 I am waiting for your feedback about this blog post, please let me know If I have a mistake. Feel free to pull requests.

Originally published at http://github.com