Conficker.C: The end of the world

The world ends on the 1st of April: tomorrow. I advise you to stay with your families waiting for this moment. Or at least this is what most of the world security media thinks. Tomorrow Conficker.C is going to wake up and destroy the world!! Like it's said in some Conficker reports, this variant gets the system date through the function GetLocalTime (kernel32.dll) and checks if this is greater or equal than 1st of April 2009. If this condition is met, Conficker will generate a list of 50,000 domains. These domains are the result of the concatenation of one subdomain of 4 to 10 characters long - generated by an unknown algorithm - and one of the 116 TLD's hardcoded in the Conficker code:

ac, ae, ag, am, as, at, be, bo, bz, ca, cd, ch, cl, cn, co.cr, co.id, co.il, co.ke, co.kr, co.nz, co.ug, co.uk, co.vi, co.za, com.ag, com.ai, com.ar, com.bo, com.br, com.bs, com.co, com.do, com.fj, com.gh, com.gl, com.gt, com.hn, com.jm, com.ki, com.lc, com.mt, com.mx, com.ng, com.ni, com.pa, com.pe, com.pr, com.pt, com.py, com.sv, com.tr, com.tt, com.tw, com.ua, com.uy, com.ve, cx, cz, dj, dk, dm, ec, es, fm, fr, gd, gr, gs, gy, hk, hn, ht, hu, ie, im, in, ir, is, kn, kz, la, lc, li, lu, lv, ly, md, me, mn, ms, mu, mw, my, nf, nl, no, pe, pk, pl, ps, ro, ru, sc, sg, sh, sk, su, tc, tj, tl, tn, to, tw, us, vc, vn

From this huge list of domains Conficker selects only 500 and tries to resolve them querying the DNS server. Once it has finished, our friend rests for 24 hours and restarts this cycle again. The following image shows some of the requests that Conficker.C will carry out from tomorrow on, and that we've simulated in our lab:

None of the domains has been resolved till now, so this is what most people will see tomorrow, until the malware authors register some domains and put some kind of update module (digitally signed in order to avoid the installation of code from third parts) with new functionalities. Till that moment, Conficker.C will stay asleep, even on the 1st of April, waiting for orders. Our e-crime unit will keep on monitoring to be ready to new movements.

Jose Miguel Esparza
S21sec e-crime

¿Es la Seguridad un Desastre?

Después de el largo rato que me ha costado leer la crítica (PDF, Powerpoint) de Marcus J. Ranum, una persona con una larga e impresionante experiencia y sobre todo, imposible de contenerse a comentar las cosas que opina, me temo que lamentablemente tengo que estar de acuerdo con todo lo que expone, que basicamente se resume en la separación existente entre la Dirección de una empresa y la realidad de la Seguridad a la hora de analizar todos los riesgos cuando nos embarcamos en un nuevo proyecto.

Ranum pone como ejemplo la estrategia de la NASA (os recomiendo leer esta historia de Feynman, (con más detalle aquí) porque a muchos de vosotros os sonará vivir situaciones parecidas) y la separación que existe entre las expectativas de la Dirección y la realidad del asunto, o lo que es peor, entre el mundo de ciencia-ficción que se crea con la ayuda de las personas técnicas y su mensaje distorsionado, y la grave realidad que vivimos.

El problema a menudo reside en que la comunicación del mensaje no se hace con firmeza hacia arriba, con lo que para la Dirección es relativamente sencillo eludir cualquier tipo de comentario negativo que desaconseje el proyecto en cuestión (creo que, parece que, ...), con lo que ya no hace falta buscar un "comprador" para tu idea, sino que simplemente no hay razones claras y concisas que propongan la cancelación del proyecto. También es verdad que cuando sí que existen esas razones, es común buscar otro grupo al que le ilusione la idea para lanzarnos al ruedo (Ranum pone el ejemplo de que por ejemplo a Seguridad le parece mal, pero si se lo comenta a Marketing, le parece fabuloso).

Y aquí es donde entra en juego el Análisis de Riesgos, puesto que muchas veces se aceptan (no se eliminan o se mitigan) riesgos que son absolutamente innecesarios: poner el servidor donde guardo mis documentos confidenciales accesible por Internet es totalmente innecesario aunque luego ponga cortafuegos, IPS o todo lo que yo quiera. Muchas veces este riesgo va a ser aceptado por la Dirección, pero en el caso de desastre (en este caso robo de información), ¿quién va a responsabilizarse? Muchas veces el Análisis de Riesgos juega ese papel de "demonio" a la hora de intentar proteger nuestros activos: aceptar los riesgos no es tan bonito como parece.

La sensación es que es imposible ya reaccionar y que muchas de las decisiones que se tomaron en el pasado (incluso en la época de los 80) ya son imposibles de cambiar (y Ranum, de hecho, piensa así), pero en mi opinión, hay un atisbo de luz y puede que realmente no lleguen a ocurrir todas las desgracias que comenta, gracias principalmente a dos factores: la convergencia de Seguridad física y de la información, y el peso que gradualmente va ganando las decisiones en materia de Seguridad (ojo, por supuesto que sólo en muy pocos ámbitos). La incógnita que nos queda por despejar es saber si esas persona que están ganando peso en sus decisiones, a) tienen el sentido común necesario para no cometer los mismos errores, b) se rodea y confia en las personas que tiene a su alrededor para analizar con detalle todos los riesgos asociados.

Muchas veces decimos que el tiempo lo dirá, aunque en este caso ya lo estamos viendo, y por ahora lo que vemos es un futuro incierto con un pequeño atisbo de esperanza.

David Barroso

S21sec e-crime

El “modo seguro” de Windows no es tan seguro como parece

Todos los usuarios de Windows alguna vez hemos tenido que pasarnos por el “Modo a prueba de fallos de Windows”. Ya sea porque el equipo no se apagó correctamente, o porque tuvimos que acudir a este modo para solucionar algún problema de compatibilidad de hardware o incluso para deshacernos de un virus.

Se supone que esta opción es segura (por algo tiene el nombre “Safe Mode”) ya que en este modo se deshabilitan diversos servicios de Windows y se limita la ejecución de otros procesos que no son parte del sistema. Sin embargo, McAfee avisa en su blog que este modo no es tan seguro como aparenta.

De acuerdo con la empresa, cierto tipo de malware puede cargarse en el “modo seguro” modificando algunas entradas en el registro de Windows. En estos casos, es muy difícil para un usuario eliminar la amenaza manualmente, por lo que es necesario hacer uso de un antivirus que se encargue de esta tarea.

Así que a pesar de que su nombre indique otra cosa, este aviso de McAfee sólo es otro ejemplo de que nada es seguro. Para prevenir cualquier tipo de ataque, lo mejor es tener una aplicación de seguridad que siempre esté actualizada, y tomar todas las precauciones posibles a la hora de abrir el navegador web.


Iker Berriozabal
S21sec labs

Consejos para proteger tu intimidad en redes sociales

Las Redes Sociales son una forma de interacción social y uno de los servicios más demandados por los internautas. De hecho, más de la mitad de los internautas españoles están registrados en una red social según datos extraidos del estudio ‘Navegantes en la Red’ presentado el pasado mes por la AIMC. Hoy en día, las Redes Sociales, constituyen uno de los ejemplos de las aplicaciones más utilizadas en la denominada Web 2.0. y que está incrementando su uso día a día de forma vertiginosa.

Su valor como medio de comunicación es innegable, pero para poder disfrutar de todo lo que nos ofrecen sin arriesgar nuestra privacidad, es necesario adoptar determinadas medidas. Desde S21sec, te proponemos el decálogo para hacer uso de las redes sociales de forma segura:

1.- No indiques datos personales como tu dirección, trabajo o teléfono. Esta información puede facilitar tu búsqueda a personas ajenas a tu entorno y de las que no puedes conocer sus intenciones.

2.- Utiliza una contraseña compleja y difícil de adivinar para tu cuenta de usuario. Si otra persona llega a descubrirla podrá acceder completamente a toda la información que tengas almacenada y si lo desea suplantar tu identidad en la Red. Según un estudio de ENISA sobre riesgos en los mundos virtuales, el robo de identidad es el problema que más se lleva a cabo.

3.- Si decides incluir información sobre tus gustos, aficiones o preferencias ten en cuenta que puedes sufrir un bombardeo de publicidad no deseada relacionada con los datos suministrados.

4.- Algunas redes ofrecen la posibilidad de utilizar tu cuenta de correo electrónico para localizar a tus amigos basándose en tu lista de contactos. Ten en cuenta que, si aceptas esta opción, debes suministrar la contraseña de acceso a tu cuenta de correo, por lo que existe el riesgo de que puedan acceder también a tus mensajes.

5.- No incluyas datos bancarios o de tus tarjetas de crédito. Si deseas realizar una compra o efectuar un pago por Internet verifica y utiliza los medios de pago seguros habituales. (conexión https:, Verified by visa, tarjeta prepago, …)

6.- No des nunca información sobre tu situación laboral, familiar o futuros planes y viajes. Con esta información alguien puede saber que tú o tu familía estaréis ausentes del domicilio y facilitar así un posible robo.

7.- Cuando subas fotos o videos ten en cuenta que algunas redes sociales obligan a aceptar la cesión de la gestión de ese material, por lo que tu privacidad puede verse gravemente afectada.

8.- No publiques fotos comprometedoras sin restringir quiénes serán las personas que tendrán acceso a las mismas.

9.- No confíes siempre en todo lo que encuentras en la red, y en especial en las opiniones que puedas encontrar sobre temas “comprometidos” ya que no tienes garantía de su veracidad y puede tratarse de un cebo para captar tu interés y tratar de ganar tu confianza.

10.- Antes de añadir un nuevo contacto a tu lista de amigos trata de informarte bien sobre él y valora si debes incluirlo o no preguntando a tu grupo de amigos más cercano y de tu confianza.

Tomar este tipo de medidas básicas hace que podamos evitarnos muchos problemas de privacidad.

Mi ordenador está limpio pero .... ¿y mi router?

Todos estamos de acuerdo en que las botnets son una de las grandes amenazas hoy en día en internet y que es necesario concienciar de este problemaa los usuarios finales, para que mantengan políticas de seguridad que eviten que sus equipos puedan ser comprometidos.

No obstante, nuestro ordenador no es lo único que debemos mantener a salvo de las infecciones. A principios de este año, Terry Baume publicó un interesante estudio sobre el PSYBot, un bot diseñado para routers DSL con sistema operativo embebido basado en Linux. En concreto el modem Netcomm NB5 es vulnerable a este bot, pero otros muchos dispositivos, en particular dispositivos basados en procesadores MIPS, con interfaces de administración ssh, telnet o web situados en una DMZ y con un usuario y contraseña débiles, pueden ser vulnerables a este bot.

Desde el estudio realizado por Terry Baume, la versión del bot ha evolucionado y también hay indicios de que una botnet de estas características ha sido utilizada para realizar ataques DDoS.

Éste parece ser el primer bot diseñado para dispositivos embebidos, pero, pese a que el bot está diseñado para realizar ataques DoS coordinados a través de un canal IRC, realmente asusta las posibilidades que puede ofrecer la infección de este tipo de dispositivos. El router, tiene una posición privilegiada desde la que el software malicioso, podría redirigir el tráfico o alterar los resultados del DNS, para, por ejemplo, realizar ataques de phising de forma transparente al usuario.

Y tú, ¿has cambiado las claves por defecto de tu router?

Guzmán Santafé
S21sec labs

All your emails belong to me

Hace tiempo comentábamos uno de los problemas de utilizar cuentas de correo tipo webmail. Pues bien, 4 meses después, se ha descubierto una vulnerabilidad que afecta a la mayor parte de los webmails de ISPs europeos con el problema que comentamos.

Más de 40 millones de cuentas de correo pudieron verse comprometidas por esta vulnerabilidad ya corregida.

El peligro de esta vulnerabilidad era crítico debido a tres factores:

• facilidad de llevarlo a cabo
• la víctima en ningún momento era consciente de que sus correos estaban siendo redirigidos
• la gran difusión y uso de webmails

El atacante sólo necesitaba enviar un correo a su víctima con una petición HTTP especialmente modificada y tan pronto como la víctima abría el correo (sin ningúna otra acción) la característica de reenvío se configuraba automáticamente con el destino elegido.

Esta vulnerabilidad estaba basada en los tan conocidos e infravalorados ataques XSS y CSRF. (versión en castellano)

Video demostrativo.

Emilio Casbas
S21sec labs

Bajando las temperaturas. (I)

Como era de esperar, era cuestión de tiempo, los ordenadores se han convertido en importantes herramientas dentro de las casas de una gran parte de la población. Si bien es cierto que en muchos casos, es sólo cuestión de consumismo o moda, los equipos han de estar operativos para cualquier uso.

Dado esta expansión, su proyección de cara al futuro, y lo que dice sentido común, se genera un movimiento por el que bastantes padres quieren dar formación a sus hijos cuanto antes en este tema -son el futuro-.

Hace años, que en escuelas de primaria y guarderías, se están dando clases de iniciación y sensibilización con las nuevas tecnologías, de hecho ha tenido tanto éxito, que se rebajó el límite inferior de edades desde los 5-6 años a los 4 años. Lo cual es, a nivel subjetivo, bastante bueno ya que como he comentado, nuestro futuro son nuestros hijos y cuanto antes conozcan la tecnología, antes se adaptarán a ella y podrán sacarle partido.

Este planteamiento presenta problemas al llevarlo a la práctica, el mantenimiento y control que se necesitan sobre esos terminales. Si bien es cierto, que hay ordenadores diseñados especificamente para esas edades, la idea es que trabajen con equipos convencionales. Lo cual da un poco de miedo porque... bueno... ya se sabe cómo son los niños.

Este pequeño problema se puede solucionar de varias formas, la primera de ellas que, aunque generaría más puestos de trabajo, no sería desde luego la mejor en cuanto a optimización de recursos, sería aumentando la plantilla del departamento de sistemas para que gestionen los equipos y sus posibles problemas. Otra solución podría ser trabajar sobre sistemas “no reales”.

Por sistemas “no reales” no me refiero a sistemas imaginarios y menos empezar a recordar las clases de matemáticas (:-P). Dentro de este nombre me gustaría englobar a los sistemas virtualizados y sistemas congelados.

El hecho de trabajar con sistemas virtualizados nos permite, por norma general, realizar una captura del sistema -snapshot- y así poder empezar a trabajar a partir de ese punto estable. Este sistema sin embargo, necesita grandes requerimientos de hardware.

Es en los sistemas virtualizados donde aparecen mayores problemas a la hora de hacer persistente la información, aunque siempre podremos trabajar con unidades de red para hacer almacenar la información o mapear discos físicos de la máquina.

Afortunadamente, existe otra opción que es la de congelar los sistemas, con esto obtenemos algo similar a los snapshots de las virtualizaciones. Dentro de la congelación, disponemos de diversas herramientas tanto de software como de hardware. Las herramientas por hardware suelen ser dispositivos o tarjetas PCI que mientras que están conectadas, dejan al equipo en su estado congelado -configuración estática de software-.

Tienen sus pros y sus contras, posiblemente un niño no pueda o quizás sí, pero un usuario adulto si es consciente de ello, puede quitar la tarjeta y atacar directamente al equipo, aunque deberían tener algunas medidas de seguridad más.

La idea es conseguir un sistema operativo al gusto del consumidor, una vez que esté actualizado, configurado y operativo, se congela y de esa forma, cada vez que el equipo se reinicie, volverá a su estado de congelación, todas las modificaciones que se le hayan hecho desaparecerán.

Evidentemente esto puede resultar contraproducente si no se establecen ciertas características básicas como el tener algún dispositivo de almacenamiento accesible, ya sea en la propia máquina o en algún dispositivo de red, actualizaciones del sistema, etc.

Por norma general, el software de congelación, permite el mantener particiones, discos o zonas de disco “descongeladas” donde la información si se puede almacenar de forma persistente.

A parte de los sistemas anteriormente citados (virtualización y congelación), hay más opciones, como las de montar imágenes de disco o sistema, sistemas de recuperación, etc. La opción por defecto que nos traen los sistemas Microsoft de puntos de restauración, para algunos equipos y en algunos casos podría venir bien, pero la restauración no recupera el estado completo del equipo y es más lenta que los sistemas de los que se habla aquí.

Algunos de nuestros hijos se encontrarán de mayores lo que han vivido en la guardería, esto es posible gracias a que en algunas universidades utilicen redes con equipos congelados o con sistemas de cargado de imágenes de sistemas. Es en este tipo de entornos, donde se obtiene mucho partido ya que suelen tener bastantes equipos para controlar y suelen disponer de almacenamiento en red.

La cuestión es que esto se puede hacer aplicable a cualquier empresa/institución en la que trabajen con un número elevado de terminales. De esta forma, se optimizan los gastos de mantenimiento, tiempos de recuperación, se evitan infecciones, instalaciones fallidas o restos de instalaciones anteriores y una gran cantidad de problemas que de por sí, no son realmente importantes, pero son los que a la larga van deteriorando los sistemas operativos.

Al fin y al cabo, a quien no le gusta la idea de no tener que preocuparse por el mal funcionamiento del ordenador de fulanito, menganito y zutanito.

¿Y a tí? ¿te interesaría bajarlas?

Juan Manuel Sanesteban

S21sec labs

Atacando a S21secbank

Desde que esto de las botnets de alquiler y los troyanos bancarios están al alcance de todos parece que el phishing se ha quedado como el hermano pequeño del crimen online. A fin de cuentas, ¿quién quiere limitarse a capturar credenciales bancarias cuando puede controlar un ejército de máquinas zombi y sentirse como una especie de supervillano tecnológico? Al final, los datos robados van a ir a parar al mismo sitio, pero admitámoslo, ser un botmaster es mucho más cool.

Aun así, los ataques de phishing gozan de buena salud y de hecho vemos que su calidad ha mejorado con el tiempo, reforzando el punto crítico: mantener la confianza de la víctima.

Así, nos encontramos con que los detalles del fraude ahora están mucho más cuidados, empleando spam sin faltas de ortografía, ataques personalizados (seguid usando el Facebook...) y, por supuesto, URLs que imiten lo mejor posible la del sitio legítimo.

Para lograr esto último los phishers emplean varias estrategias; si la web legítima es

http:// s21bank.com/login.html

y la web falsa está ubicada en un servidor comprometido, la dirección resultante será del tipo:

http:// dominiolegitimo.com/s21bank.com/login.html

lo cual no resulta muy convincente. Para solucionarlo uno de los trucos habituales es ofuscar parte de la URL:

http://dominiolegitimo.com/s21bank.com/login.html

http://1152575587/s21bank.com/login.html

Este truco suele aparecer en ataques procedente de China y Brasil, y aunque efectivamente oculta el dominio hackeado, tampoco es la panacea. Particularmente me parece más depurada la técnica que usan los phishers rumanos, consistente en comprar dominios de aspecto "neutro" (empleando para ello credenciales robadas) y construir un subdominio que imita al dominio original. Es decir, si el delincuente ha adquirido autenticacion.tk, la dirección del site malicioso sería:

http:// s21bank.autenticacion.tk/login.htm

lo que no está nada mal ;)

Pero todavía hay un sistema más efectivo para engañar a nuestras potenciales víctimas:

https://www.s21bank.com/login.htm
https://www.s2lbank.com/login.htm

en un primer vistazo parecen iguales, pero no lo son. La idea es sencilla: comprar dominios similares a los legítimos. Las posibilidades son casi infinitas; desde modificar levemente el nombre original, añadiendo números o letras (ss21bank, s31bank), hasta crear uno claramente diferente pero que parezca pertenecer a la entidad:

clientess21bank.com
obrasocial-s21bank.com
login-s21bank.com

originalidad al poder...

De esta forma se consiguen URLs muy creíbles con altas posibilidad de engañar a un ojo poco atento; afortunadamente esta técnica puede prevenirse con bastante éxito. En la unidad de e-crime mantenemos un servicio de detección de este tipo de ataques que podemos resumir en los siguientes pasos:

1. Consulta diaria a gran número de registradores de todos los dominios adquiridos en las últimas 24 horas.
   
   
2. Filtrado automático de los que sean coincidentes en alguna medida con los de nuestros clientes.
   
   
3. Monitorización de estos dominios por si se activan con un phishing mediante la búsqueda de patrones coincidentes con los de la web original.

Mediante este método actualmente tenemos en vigilancia continua más de 30.000 dominios sospechosos, y la cifra aumenta cada día. Además, no solo permite detectar activación de sites fraudulentos, sino también anticiparse a ellos, pues en ocasiones detectamos la compra simultánea de multitud de dominios (a veces más de 100) similares al de una entidad bancaria, lo cual es síntoma de que se acerca una semana de trabajo fuerte ;).

Javier Barrios
S21sec e-crime

Seminario permanente Grandes Retos de Seguridad y Defensa en el Mundo de Hoy

La semana pasada tuvimos el placer de participar en una mesa redonda en la Universidad Rey Juan Carlos dentro del seminario permanente "Grandes Retos de Seguridad y Defensa en el Mundo de Hoy", dentro del marco de colaboración entre la URJC y el CESEDEN.

El objetivo de la sesión era ofrecer nuestra visión sobre las Amenazas y Vulnerabilidades de las Tecnologías de la Información y Comunicación, cosa harto difícil puesto que necesitaríamos muchas sesiones como esta para poder intentar exponer nuestra visión de Gestión de la Seguridad con un mínimo de detalle.

Lo que resulta realmente interesante es el hecho de que las Fuerzas Armadas son conscientes de que las amenazas tecnológicas constituyen unos de los Grandes Retos de Seguridad y Defensa en la actualidad, y que lejanos quedaron los tiempos en el que la Defensa Nacional se dividía en tierra, mar y aire. Ahora tenemos un nuevo frente en el que tenemos que empezar de cero, un nuevo frente donde muchos aspectos de defensa y ataque relacionados con los otros tres no tienen mucho sentido (aunque otros son perfectamente extrapolables), y con una característica muy importante: es el único frente que ha sido creado por el hombre.

David Barroso

S21sec e-crime

IPv6 Security II

The last blog about IPv6 security introduced the most significant feature from the new communication protocol - the enlarged address space. Before concentrating on what is mostly referred as IPsec this post will give some information about the main features coming with IPv6.

Simplified Header
The basic IPv6 header has a fixed length of 40bytes and contains less information than in IPv4. Additional information can be added in a chain of next headers which are processed optionally. This reduces the load on routers and is mainly an improvement to gain speed.

Stateless Address/Router Configuration
Especially administrators will like the automatic address and router configuration of IPv6. Hosts generate their own (EUI-64) address without the need of DHCP, automatically ask for a router in the local network and receive DNS information to have full connectivity. This is really done by ICMPv6 which owns much more responsibility than its parent ICMPv4.

Multicast/Anycast
Multicast is a mandatory and integrated part of IPv6 - handled by ICMPv6. It is also a replacement for Broadcast which doesn't exist in IPv6 anymore.
Anycast is introduced as a load balancing and redundancy mechanism. It stands like Multicast for a group of hosts which can be reached at one address - the difference is that only the first host from the Anycast group will answer (seen from the routing hierarchy).

Mobile IPv6
The idea behind Mobile IPv6 is that you can be in any part of the world (which means a reconfiguration of your network settings), but your existing connections will be maintained automatically. This is done by extra features of IPv6/ICMPv6 which need additional configuration.

Jumbograms
Jumbograms are introduced to allow payloads bigger than 64k in one packet. This is surely an adaption to the increase of traffic/bandwidth in the Internet and also to improve speed and response times.

Before diving into the main security features coming with the new protocol ; the next post will show how the security of IPv6 is affected by these main improvements.

IPv6 info from wikipedia

Clemens Kurtenbach
S21sec e-crime

Huyendo de la Red (II)

En el post anterior hablaba de que podemos implementar nuestros propios protocolos de red para crearnos nuestros propios clientes/servidores y poder huir de la red, tan pública, tan anónima, resumiendo tan "cotilla". Hablamos de usar los protocolos UDPLite y TFTP. Hoy vamos a implementar un cliente y un servidor para esta red, para poder empezar a usarla.

En realidad no vamos a desarrollar nada nuevo, esta ya inventado, desarrollado e implementado un cliente/servidor de TFTP bajo udp y vamos a ver qué modificaciones hacen falta. Vamos a usar uno con licencia BSD y que funciona de maravilla en FreeBSD 7. Primero tendremos que obtenerlo y descomprimirlo. El código está dividido en 2 partes, una libexec que contiene la librería TFTP y la otra el cliente/servidor en sí.

Así que vamos a ver que cambios hay que hacerle para que empezar a huir. La parte de la librería no hay que tocar para nada, solo esta el manejo de TFTP. Los cambios en el cliente/servidor son mínimos, solo hay que cambiar "udp" por "udplite" y IPPROTO_UDP por IPPROTO_UDPLITE al abrir los sockets y para ello modificamos la línea 289 de main.c

hints.ai_protocol = IPPROTO_UDP; -> hints.ai_protocol = IPPROTO_UDPLITE;

y las 90 y 189 de tftp.c

se = getservbyname("tftp", "udp"); -> se = getservbyname("tftp", "udplite");

Esto de forma automática seleccionará udplite en vez de udp. No hay que hacer ningún cambio más.

Os adjunto el código para aquellos interesados en mirarlo, usarlo o en portarlo a sistemas propietarios o modificarlo y usarlo en cosas más oscuras....

En el siguiente post veremos como sacar provecho de esta red, poniendo un gateway/proxy en nuestro ordenador que envíe/reciba el tráfico TCP/HTTP de un navegador web y lo transforme a UDPLite/TFTP de nuestra red. Asi podremos usar nuestros navegadores y herramientas de internet sin mucho problema.

[1] http://blog.s21sec.com/2009/02/huyendo-de-la-red-i.html
[2] http://www.mavetju.org/download/freebsd-tftp-1.0.tar.gz
[3] http://www.s21sec.com/descargas/tftp.zip

Eduardo Morrás
S21sec e-crime

Soy una herramienta gratuita: ¡Dame tus datos!

Este tipo de compañías existen desde hace unos pocos años, pero recientemente tuve noticia de su existencia. Y, pese a que todavía no realizan su actividad en España, no daré nombres.

Son herramientas que ofrecen servicios gratuitos de gestión financiera personal. Permiten agregar la información de las diferentes instituciones financieras de un usuario, incluyendo tarjetas de crédito, inversiones, créditos y balances.

Quienes las han probado, hablan muy bien de ellas. Herramientas que permiten llevar un seguimiento mucho más intuitivo y valioso de cual es el estado de tus cuentas, que informan sobre tus pautas de gasto e incluso te proporcionan ideas sobre cómo gestionar mejor tu dinero. De hecho, es una de sus fuentes de ingresos. Algunos de los "consejos" que ofrecen son servicios de pago, aunque también los hay gratuitos.

La agregación se consigue, normalmente, debido a pactos con entidades externas, que son quienes se comunican con las diferentes entidades financieras. Sin almacenar nada, dicen.

Porque ese es su gran "pero": te piden tus contraseñas bancarias.

¿Te la juegas?

Presentan diversos argumentos a favor de su seguridad, como son:

• No almacena tus datos, sólo los envía a las entidades necesarias. Por lo que nadie en la compañía, ni tampoco un hipotético atacante, podría obtener esa información.
• El registro es anónimo (sólo requieren un email válido).
• Utilizan conexiones SSL.
• Las herramientas sólo leen información bancaria, no permiten mover dinero en ningún sentido.
• Disponen de un servicio de alertas.

Sin embargo, cualquiera con un conocimiento mínimo en seguridad (o sencillamente con sentido común) sabe que añadir un eslabón en la cadena supone también un elemento más que puede fallar. Como se suele decir, "la cadena es tan fuerte como el más débil de sus eslabones".

En cualquier caso, se me ocurre una reflexión segunda. Si con todo el dinero que invierten los bancos en la banca online, con todos los beneficios que les reporta (tanto en reducción de costes, como en satisfacción del cliente) y con todos los años que llevan dedicándose a ello... ¿cómo es que todavía ninguno ofrezca servicios similares a sus clientes?

¿Será que, como en cualquier negocio asentado y estable, la innovación tiene que venir "de fuera"?

Luis Tarrafeta
S21sec labs

De churrascos y vulnerabilidades

A raíz de un artículo publicado por SANS en el cual, debido a una combinación de vulnerabilidades que permiten comprometer completamente un equipo, se cuestionan los mecanismos de protección que cada día nos resguardan de posibles ataques.

Es habitual que debido a diferentes factores, como el desconocimiento de métodos de programación segura o la falta de procesos de calidad del software, se encuentren vulnerabilidades a la gran mayoría de desarrollos. El debate surge cuando aquellos elementos que se suponen deben protegernos de que un fallo de programación se convierta en algo más, y permita escalar privilegios hasta comprometer completamente un equipo, no funcionan.

Desde hace tiempo se conoce una vulnerabilidad en los sistemas Windows denominada “Token kidnapping” por la cual si se consigue ejecutar código bajo cualquier servicio de Windows, puedes también ejecutar código bajo otro usuario, incluso SYSTEM. Aquí se encuentra el advisory de la vulnerabilidad.

Churrasco es la prueba de concepto del exploit creado y publicado por Cesar Cerrudo que explota esta vulnerabilidad desde Octubre de 2008.

Viendo que Microsoft aún no ha publicado una solución al respecto, Bojan Zdrnja de SANS comprobó si alguno de los antivirus del mercado reconocería el exploit como código malicioso, y para ello utilizó el servicio de VirusTotal. El resultado muestra como ningún antivirus es capaz de reconocer el binario.

Por tanto, después de 6 meses desde la publicación de la vulnerabilidad y de las herramientas que la explotan, ni las actualizaciones del sistema operativo, ni los antivirus son capaces de protegernos.

Una vez más surgen las mismas dudas respecto a la eficacia de los sistemas de seguridad actuales y cuales serían las posibles soluciones a adoptar.

Jonathan Barajas

S21sec, Auditoría

BBC y su botnet: la caja de Pandora

No se puede comentar mucho más de lo escrito durante estos días sobre el experimento de la BBC en usar una botnet en vivo para demostrar de dónde viene el SPAM. De hecho, Larry Seltzer lo resume bastante bien en su artículo en Eweek.

Como si fuera un programa de cámara oculta extrema, reporteros de la BBC junto a una empresa del país mostraron a sus telespectadores lo fácil que es tener una botnet y que consecuencias se pueden tener en lo relativo al envío de SPAM. Hasta aquí perfecto, puesto que el problema de las botnets (The Silent Threat) es algo de lo que hay que concienciar antes de que sea demasiado tarde.

El problema es cuando las máquinas usadas en la botnet, son máquinas de personas totalmente ajenas al experimento, y en la mayoría de los casos, que ignoran lo que están haciendo sus máquinas (bueno, ¡realmente cambiaron el fondo de pantalla de forma educada para avisarles del tema!!). Es decir, que es delito que una persona tenga una botnet para enviar SPAM, pero no es delito que la BBC lo haga. ¿No está la BBC situando un peligroso precedente para que otras personas se puedan escudar en el 'es que es para hacer el bien'? Mal también para la empresa de seguridad que le ayudó, puesto que sabía desde el primer momento que mucha gente iba a estar en contra, no sólo por ser ilegal, sino por ser poco ético.

Mucho más fácil hubiera sido si en vez de usar una botnet real, hubiera hecho una botnet con todos los ordenadores de sus empleados (en el trabajo y en casa), donde los empleados hubieran aceptado voluntariamente que se usaran sus máquinas para este programa de televisión, ¡pero nunca usando máquinas ajenas!

Es el mismo argumento que siempre se ha usado cuando alguna persona hacía una intrusión en una máquina por curiosidad, o por poner un FTP de Warez o por algo parecido, pero sin hacer daño real a la máquina. El afectado (comprometido) siempre puede decir que es verdad que los daños que ha realizado a su máquina es cero, pero para estar seguro de ello se ha tenido que gastar X dinero contratando a una empresa especializada que pudiera comprobar los pasos del atacante (o simplemente reinstalando la máquina y todos sus datos). Si yo hubiera formado parte del experimento de la BBC, ¿cómo puedo estar seguro de que no me ha dejado nada instalado, no me ha robado información o no me va a denunciar mi ISP por enviar SPAM? Al final el que juega con fuego se quema.

David Barroso

S21sec e-crime

Espionaje industrial 2.0

En esta ocasión me gustaría hablaros de lo que en mi opinión podría ser una posible forma de espionaje industrial apoyada en la Web 2.0 y el Cloud Computing, en donde se sacaría provecho del espíritu abierto y altruista que la constituye y permite la obtención de datos interesantes de una forma silenciosa y sin la necesidad de colaboración de un insider.

Como ya se ha comentado en el blog, la mayoría de las veces que una empresa sufre espionaje industrial, este se debe a la fuga de información -voluntaria o involuntaria- desde el interior de la organización, con unas consecuencias normalmente nefastas.

Esta información, una vez ha abandonado el perímetro de la compañía, puede ser difundida a los competidores interesados sin que ésta pueda hacer nada para evitarlo -siempre y cuando no disponga de sistemas DLP y/o DRM-. Pero bueno, hablamos de una versión electrónica de algo que se lleva haciendo desde la revolución industrial. El papel, aunque dificilmente trazable, genera un sentimiento de propiedad y responsabilidad en aquellos empleados responsables que lo custodian y acceden a él. Por otro lado, con el equivalente digital del soporte papel, esa responsabilidad hacia la información intangible se suele diluir, muchas veces por una confianza en los sistemas de información, o por simple desconocimiento de las consecuencias de ciertas acciones que se toman.

Estos temas, bastante recurrentes en los medios de comunicación -aunque lo que salga a la luz se trate de la punta de un iceberg- afectan al core del negocio de muchas empresas a diario, y en ciertos casos debido a ello han de cesar su actividad.

Pero ¿qué pasa con la información de contexto? ¿qué pasa con esos rastros que quedan en la Web 2.0? Estaríamos hablando de algo así como el equivalente empresarial de la recopilación de perfiles. Aunque parezca extraño, se puede tratar de un problema serio, que se encuentra mucho más a mano para competidores en entornos PYME.

Se trata ni más ni menos de hacer "Vigilancia Tecnológica" -espionaje industrial- de la Vigilancia Tecnológica del competidor, para así sacar información de contexto valiosa de cara a anticipar próximas acciones por su parte. No se contará con información directa, pero sí con una conducta de la que extrapolar las principales preocupaciones e intereses del competidor. Además, y dado que en 2012 China ocupara el
primer puesto a nivel mundial en cuanto a generación de patentes, la agudeza del ingenio en los mercados, centros tecnológicos y universidades occidentales jugarán un papel clave para sobrevivir a la presión del progreso tecnológico/industrual -y por ende, económico- de los emergentes mercados orientales.

Pequeñas PYMEs que no cuentan con muchos recursos económicos para la compra de caras licencias de productos de minería de texto, pero que se han querido subir al barco de la Vigilancia Tecnológica por los buenos frutos que ésta da y las ayudas ofrecidas, utilizan servicios de compartición de favoritos como Del.icio.us, lectores RSS online como Google Reader o conversores, procesadores y aglutinadores de fuentes semiestructuradas/estucturadas de información en bruto. Este tipo de herramientas online suelen tener un acceso gratuito con la opción de crear perfiles, y estan diseñadas con la filosofía de compartir con otros navegantes aquella información que pueda resultar de interés. Sin embargo, un mal uso de estas funcionalidades podría llegar a hacer públicos parte de estos datos, que podrían considerarse como estratégicos, y cada vez de mayor valor según se va generando un boceto de patrones de búsqueda y áreas de interés de la compañía espiada.

Por ello, en entornos empresariales en los que se lleven a cabo importantes proyectos como el de una VT, este tipo de servicios Web 2.0 han de ser utilizados con suma cautela y siendo totalmente conscientes de las consecuencias de un mal uso de estas. Si el presupuesto lo permite, es mejor contar con sistemas ubicados en el interior de la organización, aunque esto implique algo de programación para crear una herramienta con funcionalidades similares a las online, en las que se pueda difundir la información contextual crítica con unas mínimas garantías de seguridad.

Álvaro Ramón
S21sec labs

¿Seguridad Analógica?

Tal día como hoy, pero hace 20 años surgió internet tal cual la conocemos hoy, bueno por lo menos así lo comunican en este enlace, aunque en realidad se refieren al archi-conocido como "www". Internet, como tal nació allá por los maravillosos años 60's, concretamente en 1969.

Internet ha supuesto una revolución en la cantidad de información y servicios disponibles, hasta aquí nada nuevo. También es cierto que donde hay oportunidades y dinero hay gente que quiere aprovecharse de ello y comienza el "cibercrimen".

Desde este blog y desde otros muchos se está intentando concienciar a las personas de los peligros que tiene internet y en general las comunicaciones digitales. Es cierto que tienen sus riesgos y cada día se publica noticias que podrían poner los pelos de punta a más de una persona. Por ejemplo en esta noticia se comenta el un gran número de usuarios utilizan la misma contraseña para todo, en esta otra que las contraseñas utilizadas en phpbb no son todo lo "seguras" que debieran.

Pero todo esto en ¿qué se resume?, muy sencillo, las comunicaciones tienen sus riesgos y el uso de la tecnología también, pero a su vez ofrecen grandes avances y un aumento de la productividad.

Pero volviendo al tema del título de este post, el otro día hablando y tratando de "evangelizar" a un amigo sobre los riesgos de esta era digital, comentaba, ¿ves? por eso sigo yendo a la ventanilla del banco, no uso las tarjetas de crédito y por supuesto no estoy conectado a internet. Claro, así nadie podrá utilizar tu ordenador dentro de una red zombi de ordenadores ni robarte las contraseñas, etc. Pero esta vida analógica también tiene sus riesgos. ¿No existen los atracos a personas? ¿a las entidades financieras? ¿quién no ha oído hablar del escándalo Madoff?

Muchas personas se sienten inseguras por falta de conocimiento. Me gustaría poner un ejemplo sencillo, si tu viajas a una país, ciudad, región cuya cultura, costumbres no conoces, tendrás cuidado al visitarla, de intentar informarte con anterioridad, de no meterte sólo en determinadas regiones por el peligro que pueda conllevar y en caso de duda de llevar un guía que te ayude. Internet es lo mismo, aplicando sentido común, y poniendo un poco de cuidado, no todo es tan peligroso.

José María Arce Guillén
S21sec e-crime

Parcheo de equipos finales VS parcheo de infraestructura crítica

nick@machine:~$ nslookup www.vulnerable.com
nick@machine:~$ telnet ip.resul.tan.te 80
Trying ip.resul.tan.te...
Connected to ip.resul.tan.te.
Escape character is '^]'.

GET / HTTP/1.0
Host:www.victima.com

Pulsar dos intros.

Si lo siguiente que vemos es algo como:

HTTP/1.1 200 OK
Date: Thu, 12 Mar 2009 08:37:36 GMT
Server: squid/2.X.StableX
Content-Type: text/html
Content-Length: 3308

Nuestra infraestructura es susceptible de ser abusada al ser capaz de traspasar las políticas del SOP. Consulta los detalles de las diferentes arquitecturas afectadas en el paper de Robert Auger "Socket Capable Browser Plugins Result in Transparent Proxy Abuse".

Mientras todos los que pertenecemos al campo de IT estamos completamente concienciados de la necesidad de parchear los equipos finales de usuario y servidores, en parte aprendiendo del pasado, con gusanos históricos de amplia propagación en equipos finales. La realidad es que parchear o solucionar vulnerabilidades como la anterior que afecta a una infraestructura completa de red, genera un miedo racional. Si un parche falla en un equipo de usuario, sólo ese equipo se verá afectado. Si un parche falla en un firewall, toda la conectividad de los equipos de esa red se verán afectados.

Existen soluciones como bitácora horizon para actualizaciones automáticas en equipos finales mostrando su efectividad con amenazas actuales. Pero las actualizaciones automáticas en infraestructuras de red son casi inexistentes, en grandes clientes el firmware puede estar adaptado a sus dispositivos, y las arquitecturas de red varían de un entorno a otro.

Probar las consecuencias de un parche o modificación en infraestructura crítica de una manera ágil con métodos similares a probarlo en equipos de escritorio es casi inimaginable. Necesitaríamos replicar todos esos sistemas simplemente para tener un entorno de pruebas, opción poco viable en tiempos de crisis actuales, e incluso en tiempos normales.

Vulnerabilidades del año pasado como la del DNS o BGP, pusieron de manifiesto la criticidad de los departamentos de IT en mantener a salvo sus infraestructuras críticas en un entorno controlado sin afectar a la continuidad del negocio.

Esto demuestra que las grandes infraestructuras de sistemas y redes no pueden ser mantenidas de una forma automática y fiable como lo son los equipos de usuario finales, dejando así la infraestructura más crítica de los negocios un tanto alejada de las buenas prácticas de seguridad, confiando en que no seremos nosotros quién a través de los medios, comprobemos cómo nuestros sistemas han sido utilizados para llevar a cabo uno de los últimos ataques másivos en diferentes servicios de Internet.

Emilio Casbas
S21sec labs

Jumpin' Jack Flash

Es un hecho consumado que los objetos Flash forman parte ya de Internet. Muchos de los detractores que hace años nos tirabamos de los pelos cuando veíamos una página con Flash (y no la podíamos ver con el lynx/links/elinks o renegabamos de su formato cerrado) hemos ido poco a poco aceptando la incursión de Flash en nuestra navegación diaria, y reconociendo muchas de las ventajas que tiene, aunque a la vez sufriendo sus desventajas.

Independientemente de ello, hoy está presente como plugin en el 95% de los navegadores de todos los sistemas operativos (Linux, Windows, MacOSX, Solaris, Wii, ...) y es activamente explotado por varios kits de infección en muchas de las millones de páginas web que actualmente intentan infectar a sus visitantes, puesto que durante sus casi 13 años de vida, han existido más de 40 vulnerabilidades (37 en sus versiones 9.x y 5 en sus versiones 10.x). Actualmente la última versión para todos los sistemas operativos es la 10.0.22.87, todas las anteriores tienen vulnerabilidades.

Algunas veces hemos comentado en este blog el problema que existe muchas veces en las que actualizamos el sistema operativo, pero nos olvidamos de actualizar muchas aplicaciones que residen en él (Office, Winamp, Quicktime, ...) y es el caso muchas veces de Flash. 

Para poder argumentar esta desaconsejada práctica, hemos realizado un muestreo entre usuarios de Windows y de Linux de diferentes empresas para conocer de primera mano la realidad; en el caso de Windows, tan sólo un 23% de los usuarios tienen actualizada la versión de Flash, estando un 21% de los usuarios usando aún versiones 9.x. En el caso de Linux, sólo un 14% utiliza la última versión, mientras que un 77% aún utilizan la versión 9.x.

El descontrol puede ser aún mayor si tenemos varios navegadores instalados en el sistema, puesto que es probable que tengamos versiones diferentes de Flash en cada uno de ellos.

Si estás interesado en saber qué versión de Flash tienes instalada en tu sistema, una forma fácil es conectándose a la web de que Adobe tiene para ese fin.

David Barroso 

S21sec e-crime

Y si no, te devolvemos el dinero

Hace ya un par de semanas, Matthew Dempsky descubrió una vulnerabilidad en djbdns, uno de los servidores de DNS más seguros y conocidos (seguramente el más utilizado después de BIND).

La vulnerabilidad aparece por la posibilidad de comprimir paquetes DNS muy largos, sustituyendo el sufijo de un nombre de dominio por un número que indica la posición relativa de ese sufijo dentro del paquete. El formato pone un límite,que consiste en que ese sufijo al que hacemos referencia no puede estar a más de 16384 (2^14) bytes de distancia. En este caso el software de D. J. Bernstein no tenía en cuenta esa limitación (aunque curiosamente aparecía mencionada en el código).

En realidad hay muy pocos casos de posibles afectados, ya que tienen que darse varias circunstancias. El administrador debe usar tinydns y axfrdns para realizar las transferencias de zonas y permite a un tercero añadir entradas a alguna de las zonas que sirve. Gracias a la vulnerabilidad, este podría modificar entradas a su antojo en el servidor, no solo las de su zona. La vulnerabilidad está resuelta y se recomienda actualizar a la última versión a todos los que se encuentren en la situación indicada.

Este caso de vulnerabilidad tiene una peculiaridad que la ha convertido en noticia. El autor D. J. Bernstein se comprometió a dar 1000$ a quien encontrara una vulnerabilidad y así ha sido. Hay que decir que es la primera vez que sucede desde que se comprometiera a ello hace 10 años y que djbdns se puede conseguir gratuitamente, lo cual es algo digno de mención.

Este compromiso no es algo habitual, sino más bien todo lo contrario. Normalmente el autor de un software concreto se dedica a parchear las vulnerabilidades que puedan aparecer lo antes posible, pero no tiene ninguna penalización por ello como en este caso, que además es software gratuito, lo que hace esto más excepcional aún.

¿Y qué sucede con el software de pago?¿Qué sucedería si las compañías tomaran algún tipo de responsabilidad sobre sus errores? Compensar directamente a los clientes sería casi imposible, especialmente en el caso de software que se utiliza en millones de ordenadores. Como alternativa, se podrían realizar descuentos sobre otros productos como compensación, lo que podría resultar beneficioso para ambas partes. La otra opción es la del caso expuesto. Premiar a la persona que ha descubierto la vulnerabilidad. Esto es algo que de alguna manera ya existe, solo que no es la compañía de software la que paga. De ser así habría una motivación extra a la hora de intentar hacer un producto lo más seguro posible. Otra posible estrategia es ofrecer un servicio de seguro que compense al usuario en caso de daños achacables a errores en el software.

Por otra parte, se podría argumentar que los errores son algo inevitable y el usuario asume que puede suceder. Además, algunas compañías podrían verse afectadas e incluso desaparecer por circunstancias que en parte están fuera de su control.

En vuestra opinión, ¿Creeis que sería adecuado algún tipo de compensación? ¿Cuál sería la mejor forma de establecer esta compensación? ¿Mejoraría la calidad del software o haría que algunas compañías desaparecieran?

Patxi Astiz
S21sec labs

Informe de Cibercrimen 2008

Desde que S21sec empezó a ofrecer su servicio de lucha contra el fraude, en el año 2004, tanto las amenazas existentes como el servicio de lucha contra el fraude han ido evolucionando vertiginosamente, de tal forma que las amenazas a las que nos enfrentamos hoy poco tienen que ver con aquellas de 2004.

Una de las peores consecuencias de la profesionalización del fraude en Internet ha sido la implicación de las bandas organizadas de crimen tradicional en todos los delitos de Internet en los que se pueda sacar algún beneficio económico.

Este desembarco de organizaciones perfectamente jerarquizadas y estructuradas (en contraposición con los atacantes de principios del siglo XXI) ha supuesto un cambio fulgurante en la manera en que nos tenemos que enfrentar a estas nuevas amenazas. Hoy en día, la eterna carrera del gato y el ratón es más real que nunca, con el agravante de que ambos cuentan con todos los recursos y la tecnología necesaria para hacer cada vez más difícil el transcurso de la carrera.

Así comienza el informe sobre Cibercrimen 2008 que se ha realizado desde S21sec e-crime, con el objetivo de resumir y comentar los hitos más imporantes durante 2008 en lo referente al Cibercrimen. El índice del informe es el siguiente:

• Prólogo
• Resumen de incidentes de fraude
• Visión global del cibercrimen
• Las vulnerabilidades más explotadas durante 2008
• Tendencias y predecciones 2009

El informe se puede descargar desde la página web de S21sec, esperamos que lo disfrutéis.

S21sec e-crime

Conficker.C más peligroso que los anteriores

Desde el pasado Jueves 5 de Marzo, en S21sec estamos trabajando 24 horas al día de forma literal, para paliar los efectos de Conficker.C, la nueva variante más agresiva del gusano, que no ha empezado a ser detectada por la mayoría de las casas antivirus hasta el día de ayer. En esta ocasión, la rápida actuación del equipo 24x7 de S21sec creando una vacuna de esta nueva mutación y desplegando la vacuna en todos los equipos gracias a Bitacora Horizon pudo contener esta amenaza (que había paralizado varios procesos de negocio) en un tiempo récord.

Hemos hablado en varias ocasiones del gusano Conficker, que está afectando a pequeñas, medianas y grandes empresas de forma bastante dañina en sus procesos de negocio (comparable a las secuelas de Blaster en el verano de 2003) y a día de hoy con esta nueva variante se demuestra, una vez más, la profesionalización de las personas que están detras de esta amenaza.

Esta mutación contiene multitud de protecciones para hacer más difícil el análisis, desde las típicas protecciones anti-debugging clásicas, a comprobaciones más avanzadas para intentar ser analizado mediante ingenieria inversa. Además, cuando se encuentra en ejecución en una máquina infectada, elimina cualquier proceso que se inicie en el sistema que pudiera afectar o perjudicar su ejecución (como ejemplos los procesos que comenta Symantec, pero en la práctica cualquier nuevo wizard de instalación o cualquier herramienta que le "moleste").

Desde el punto de vista técnico, esta nueva variante funciona de forma parecida, creando un servicio en la máquina infectada con nombre aleatorio (en minúsculas y de seis caracteres), copiando el nombre y descripción del servicio de algún servicio de la máquina para pasar desapercibido, y enganchando el servicio bajo Netsvc (svchost.exe) utilizando para ello una librería que reside en C:\Windows\System32 con los atributos necesarios para que esté de forma oculta (simplemente atributos del sistema operativo, sin utilizar ningún tipo de rootkit).

Una forma sencilla de detectar cuál es el servicio malicioso dentro de la máquina, es ver cuál de ellos tiene en su entrada de registro propiedades de lectura y escritura sólo para SYSTEM, con lo que cualquier usuario que, por ejemplo con el regedit, revise el registro, no podrá acceder al contenido de la clave. Por defecto, y de forma general, no existen muchos servicios que instalen la clave de registro con estas características, con lo que detectar un servicio así es síntoma claro de una posible infección de Conficker.

Es necesario recalcar que aún cuando tengamos el parche instalado (MS08-67), podemos ser infectados puesto que la capacidad del gusano de reproducirse es bastante avanzada, ya sea a través de discos USB, unidades compartidas o simplemente recibiendo el gusano por correo y ejecutándolo.

Aunque la comunidad de seguridad está intentando luchar contra esta fría y calculada amenaza, ya sea registrando dominios a los que el gusano se puede conectar para ser controlado, u ofreciendo cuantiosas recompensas, Conficker sigue haciendo de las suyas. Por mucho que registremos todos los posibles dominios no estamos más que poniendo un parche temporal y no estamos enfrentándonos al problema.

Desde el SOC de S21sec se está ayudando activamente a todo tipo de empresas para la gestión de este tipo de incidentes, con lo que si necesita cualquier ayuda, no dude en contactar con nosotros.

David Barroso

S21sec e-crime

Hishing: Realidad y Ficción (II)

La OMR ha recaudado suficientes fondos en los últimos años como para montar una pequeña infraestructura dedicada al mal. La estructura montada comenzó al crear un usuario en algunas empresas de compra-venta por Internet.

Se encargan de la venta de dispositivos de almacenamiento flash USB, a los que previamente han infectado con keyloggers, troyanos, spyware,... Estos dispositivos infectan el ordenador al insertar el dispositivo, como se puede observar en este enlace.

Dos razones llevan a esta forma de "trabajar": por un lado la facilidad de vender estos dispositivos en Internet, sabiendo que los compradores quieren un dispositivo de este estilo lo más barato posible sin preocuparse de razones de seguridad, y por otro la facilidad de mantener la identidad oculta para poder desaparecer de manera más efectiva.

Han montado una botnet de tal magnitud que sobrepasa cualquier expectativa creada por la OMR. Información bancaria y envío de spam se llevan la palma en este aspecto, generando una cantidad de información muy valiosa para su venta o alquiler.

Y aunque en un principio parecía que el negocio se venía abajo, han conseguido expandir su red de bots mediante infecciones a través de spam con distintas variantes, como se ha hecho con otras botnets, creando la botnet más prestigiosa (si se puede nombrar así) en el mercado.

La policía anda tras sus pasos, y ha alertado a las empresas de seguridad informática, que están empleando las medidas necesarias para atajar el problema, y de este modo encerrar a los autores de esta infección masiva.


Notas:

- esta historia está basada en hechos ficticios, aunque los enlaces pertenecen a noticias reales que enlazadas pudieran crear una historia similar.
- la venta de hardware infectado o hishing no es habitual, aunque empieza a ser considerado como método de infección.
- estos casos están pensados para infecciones en máquinas Windows.


Miguel López-Negrete
S21sec labs

Ocultando información en un PDF

Vamos a hacer un pequeño descanso de acciones en PDFs (que por aquí ya me miran mal) para hacer una mención a los filtros que se pueden aplicar a los objetos stream de los documentos. Un objeto stream está definido por un diccionario seguido del contenido propiamente dicho, entre las palabras 'stream' y 'endstream'. En ese diccionario es donde se pueden definir algunas de las propiedades del stream, como por ejemplo, su tamaño, los filtros que hay que aplicar para decodificarlo/descomprimirlo o el nombre del archivo externo en caso de que el contenido del stream se encuentre en un archivo aparte.

Como supondréis, una forma de ocultar información dentro del PDF es aplicar a ésta uno o varios filtros para que al menos esos datos no sean visualmente identificables, dificultando así el acceso al contenido real. Ésta es una de las técnicas que nos podemos encontrar cuando echamos un vistazo a un PDF que explote una de las últimas vulnerabilidades, por ejemplo.

Existen dos tipos de filtros: los filtros ASCII, que decodifican un texto ASCII obteniendo datos en binario, y los filtros de descompresión, que, como su nombre indica, decodifican datos previamente comprimidos con cierto algoritmo. El filtro que se aplica más comúnmente es el FlateDecode, que se encarga de obtener los datos comprimidos con el método zlib/deflate, y éste suele emplearse sólo, es decir, sin ninguna codificación antes o después. Si os encontráis con un stream de este tipo lo primero que debéis hacer para obtener el contenido real es aislar el stream en un archivo aparte, entendiendo por stream los datos que van justo después de la palabra 'stream', sin tener en cuenta los caracteres de salto de línea y retorno de carro, hasta el carácter inmediatamente anterior a la palabra 'endstream', también sin tener en cuenta los mencionados caracteres. Una vez hecho esto necesitaremos la librería zlib y el lenguaje de programación de nuestra elección para programarnos en un momento la descompresión del stream, y obtener rápidamente el contenido. En Python, bastaría con unas pocas líneas para conseguirlo:


Los filtros no se usan normalmente para ocultar información, sino que son habituales a la hora de crear un PDF, con el objetivo de ahorrar espacio o evitar caracteres binarios en el archivo, por ejemplo. Hay muchos filtros aparte del comentado, que podréis encontrar detallados en la sección 3.3 de la especificación 1.7 del formato PDF.

A modo de práctica, por si os aburrís, os paso este PDF, a ver si demostráis lo fácil que es...;)


Jose Miguel Esparza
S21sec e-crime

Convergencia vs. Integración

El pasado día 4 de marzo tuve la oportunidad de asistir a las III Jornadas del ciclo Empresa y Seguridad que se dedicaron a la Convergencia de Seguridad Física y Lógica organizadas por la Fundación ESYS.

Como sabéis, en S21sec hemos apostado por un concepto que hemos denominado "seguridad integral" en el que venimos trabajando desde hace casi 2 años y que nos ha llevado a cambiar muchas cosas y, entre ellas, la mentalidad.

De todas formas, este no era el asunto. El tema era aportar nuestro granito de arena para que, entre todos, nos aclaremos de lo que estamos hablando: La convergencia de la función de Seguridad.

Básicamente, nosotros entendemos que la convergencia supone que dos áreas que antes eran disjuntas como la seguridad física y la lógica (aunque este término no nos gusta mucho, preferimos "informática" o de la información... ¿qué pasa? ¿qué los otros no son lógicos?) trabajen de forma coordinada, con objetivos comunes y con medios, recursos, presupuestos compartidos.

Y esto excede de lo que podríamos llamar integración de funciones, que no sería nada más que ponerlas juntas en el organigrama, compartiendo solo el "Jefe".

La confusión se origina, a nuestro entender, porque antes, de la seguridad de los bienes y las personas solo se ocupaba la seguridad física y de la seguridad de la información, solo se ocupaba la seguridad informática. Pues bien, en el siglo XXI, en la Edad del Conocimiento, resulta que para proteger adecuadamente los bienes y las personas también tenemos que aplicar medidas típicas de seguridad informática (vigilancia digital, protección de infraestructuras críticas tipo SCADA que pueden ocasionar daños a las personas en caso de fallos o del ciber-terrorismo) y para proteger la información también tenemos que aplicar medidas físicas (hay hasta un apartado en la ISO 27002 para seguridad física y medioambiental y otra para seguridad de las personas).

Otra posible fuente de confusión se origina en la circunstancia de que a algunos controles utilizados para la seguridad física se le apliquen tecnologías de la información para automatizarlos y mejorar su eficiencia. En este sentido, es lógico que a dichos sistemas haya que aplicarles medidas de seguridad informática, pero en el mismo sentido que se aplican a los sistemas que soportan los procesos productivos de la organización. Esto tampoco es convergencia para nosotros.

En definitiva, entendemos por convergencia que se establezca una única estrategia de seguridad (para proteger personas, bienes e información) que se implante de forma coordinada (en medios y recursos) por personas que, evidentemente, pueden ser más especialistas en un área o en otra, pero que en cualquier caso, tienen objetivos comunes.

Esperamos haber ayudado un poquito en este tema

Antonio Ramos

Director de UMSS - Unified Management Security Services

honeyclient, AKA: ir a buscarla

En el ámbito de la detección de malware (en el que yo no es que me mueva cómodo que digamos, aunque los que tengo sentados detrás sí) existen principalmente dos maneras de encontrarse con el demonio. La primera de todas, aceptada "by default" por omisión es la de esperar a que venga. Antes o después llamará a nuestra puerta disfrazado con un traje de pdf, en forma de archivo binario que promete enseñarnos cosas que nunca hemos visto (claro, porque no estamos infectados todavía), en forma de programa indispensable que nos permite averiguar si nuestros (antes) "amigos" nos han bloqueado en el messenger o cualquiera de las muchas caras a la que ya nos tiene acostumbrados. Por omisión también podemos encontrarnos de casualidad, a medio caballo entre las dos formas el hecho de que antes o después podemos acabar conectándonos a algún sitio en el que confiamos, (ejemplo, images.google.com) y que en algunos casos podría estar envenenado con algún tipo de vodka ruso que además de no tener sabor, nos va a dar un buen dolor de cabeza. La segunda forma, apta solo para aquellos que realmente quieran ver la oscuridad del lado oscuro, consiste en, literalmente, "ir a buscarlo". Las razones pueden ser diversas, pero sobre todo se da una circunstancia que no debe pasarse por alto, típica frase de madre y dicho popular: "cuando uno busca, encuentra". Pero ¿buscar qué?, porque claro, esto no es el "monkey Island", donde puedes ir guardando todo lo que encuentras sabiendo que antes o después te va a hacer falta. Esto es el mundo real, lo que estás buscando puede ser peligroso, morder no morderá, pero igual borrar algo sí, y en realidad, al final, el mejor resultado que todos podríamos esperar es que no se encontrase nada.

Resumen de la evolución del malware

Como breve resumen de la evolución del malware, se ha pasado de la creación de bichitos en algunos casos divertidos (no todos, en otros es muy difícil distinguir si lo que el troyano lleva dentro es código o ego puro) a la automatización de la infección controlada por 'ciber' bandas organizadas con ánimo de lucro (el consuelo es que si algún español se apunta a una de estas, cuando decida hacer copia de los datos deberá al menos pagar el canon). En un corto espacio de tiempo se ha pasado del "servicio" (host) al "usuario" como objetivo, de atacar al "servidor" a meterse con el programa "cliente" (será cierto eso de que de tanto decirlo se ha convertido en el usuario en el eslabón más débil, o ya lo era y les ha costado darse cuenta).
Y ahora, en un arrebato nostálgico se han mezclado las dos, y se vuelven a comprometer los servidores, aunque esta vez el fin real es el de atacar a los clientes que acceden a ellos. Ya no esperan que nos infectemos, nos "buscan la boca".

Herramientas de detección

Hasta hace no mucho principalmente se contaban aquellas que de forma local, analizaban cualquier tipo de información que pasa por el disco o la red en busca de patrones conocidos. La detección heurística no ofrece un grado de fiabilidad suficiente para considerarlo solución única, y los antivirus se han convertido en un proceso reactivo: hasta que no se identifica previamente no se detecta. Con el tiempo han ido apareciendo diferentes herramientas que permiten, mediante un criterio de confianza, determinar si el código puede o no ser malicioso, y como la valoración final siempre la hace la persona que analiza el informe, las hay de mil tipos y que ofrecen datos totalmente diferentes. Al final todas se han convertido en el "plan de los enanos para hacernos millonarios robando calzoncillos" (South park):

1. ejecuta este programa
2. 
   
3. decidimos si es malware

(el punto 2, al igual que en plan original, es todo un misterio, lo mismo se registran las llamadas al registro, que se analiza el tráfico de red, que se mira lo que pasa por el disco duro, etcétera.).

Evidentemente, el resultado final depende del criterio de valoración humano para determinar lo sospechoso de las acciones realizadas por el 'posible malware'. A mayor experiencia de la persona, mayor fiabilidad. Una vez identificado el malware, es posible eso sí, automatizar completamente el proceso de monitorización para comprobar su evolución.

Honeypot -> Honeyclient

En aquellos lejanos tiempos en que el objetivo de las huestes del mal era el servidor, casi todo el mundo se dió cuenta de la posible utilidad de los honeypots (abstenerse detractores, entre los que me incluyo). Antes o después, con el cambio de objetivos y la búsqueda del compromiso al software cliente se veía venir la llegada del cliente automático que permite detectar algún tipo de ataque. Aunque estos existían ya en forma de scripts o fuzzers que miraban (más bien picoteaban) aquí y allí en busca de algo de javascript que llevarse a la boca, ya es posible descargarse la herramienta definitiva (ahora, lo que es ahora.. más bien lleva desde el 2006, pero nadie le hace caso), el "busca bocas" por antonomasia, "aquel que llama a las puertas del infierno", el honeyclient.

"Y ahora, permítanme sin más, presentarle a la herramienta" (fukowski):


Honeyclient

Honeyclient es, según la propia web ( http://www.honeyclient.org/trac ), un host dedicado e instrumentado (como mola este conjunto de palabras) para acceder a servicios remotos y comprobar si estos servicios se comportan de alguna manera de forma maliciosa. Específicamente (textualmente), honyclient puede detectar de forma proactiva exploits de aplicaciones cliente no conocidos.

Básicamente está formada por varios componentes que funcionan en un entorno virtual y que se conectan a una lista de URL indicadas por el usuario. Aunque es posible extender el agente a que utilice cualquier otro servicio, en principio la web sigue siendo el entorno más considerado (popularidad de clientes, probabilidad de infección, etcétera.).

Su ciclo de funcionamiento implica la visita de un destino programado (no es complicado modificarlo para que vaya a su aire buscando camorra), y la comprobación posterior de su integridad, analizando cambios en disco, registro, etcétera. . En caso de que se haya producido una modificación en el host (normal, hemos ido a buscarlo y nos han dado), este se congela y se crea un nuevo entorno virtual para acceder a la siguiente URL.
La idea es buena, la implementación IMHO también lo es: está hecho en Perl, aunque el interfaz web es ruby-on-rails y es GPL, así que muchos de los frikazos del python van a poder disfrutar instalándola-probándola-borrándola. Ah, ¿he dicho que tiene un interfaz web?

Otras herramientas

La verdad es que teniendo un interfaz web, cualquier otra cosa parece un juguete. Está claro que "La herramienta", apadrinada por Mitre y con colaboraciones de Symantec podría estar un poco 'condicionada' a los requerimientos de sus creadores, por eso, si queréis probar otras (alguno es un simple script, otros son máquinas virtuales a las que les puedes meter in binario y devuelve un informe) os dejo una lista a continuación, aunque no debéis olvidar que honeyclient dispone de un interfaz web que permite ver las urls que han realizado algún tipo de acción en el host, así como recuperar las maquinas virtuales supuestamente comprometidas, todo un lujo en el año 2009!

https://projects.honeynet.org/capture-hpc/
http://analysis.seclab.tuwien.ac.at/index.php
http://www.threatexpert.com/
http://nepenthes.mwcollect.org/
http://www.csrrt.org.lu/wiki/index.php/Malware/fiw
http://www.cwsandbox.org/
http://www.norman.com/microsites/nsic/
http://www.norman.com/microsites/malwareanalyzer/
http://labs.idefense.com/software/malcode.php
http://www.cs.vu.nl/~herbertb/misc/shelia/
http://en.wikipedia.org/wiki/Client_honeypot_/_honeyclient
https://projects.honeynet.org/honeyc
http://www.xnos.org/security/overview.html
http://www.spybye.org/
http://monkeyspider.sourceforge.net/

Al final resulta que hay unas cuantas, y muchas de ellas son windows-friendly (next, next, reboot,next., reinstall). Lo que falta es tener ganas, corazón y razones para ejecutarlas, sabiendo lo que vas a encontrar, ya que según otro dicho popular que también es frase de madre donde las haya: "el que juega con fuego...".

Iñaki López
S21Sec Labs

Sistemas bioinspirados

Los sistemas bioinspirados son aquellos que están basados en el comportamiento y la forma de actuar de ciertos sistemas biológicos. Qué mejor forma de resolver problemas que fijándonos en animales o sistemas que llevan siglos evolucionando. Estos sistemas han formado un revulsivo dentro de la IA (Inteligencia Artificial) debido a que son capaces de minimizar el tiempo de computación de ciertos problemas matemáticos complejos tales como el problema del Viajante (Travelling Salesman Problem) o el de la cena de Filósofos.

Los principales algoritmos bioinspirados existentes son los mostrados a continuación:

• Redes Neuronales: Sistemas basados en el comportamiento de las neuronas cerebrales para resolver problemas de optimización.
• Algoritmos genéticos o Modelos evolutivos: Modelos basados en la imitación de los seres vivos para la correcta adaptación con su entorno.
• Colmena de Abejas: Centrado en el comportamiento de las abejas para la recolección de nectar.
• Colonia de Hormigas: Centrado en el comportamiento de las hormigas a la hora de buscar comida.

Es el algoritmo basado en la colonia de hormigas el que más ha llamado mi atención estos últimos días. Este algoritmo, como ya he mencionado, se centra en el comportamiento de las hormigas para encontrar comida. Las hormigas, a la hora de buscar comida se dispersan, en un primer instante, de una forma totalmente aleatoria. Cuando una hormiga o varias hormigas alcanzan la comida, el resto de la colonia sigue su camino gracias al llamado “rastro de feromonas ”. El camino menos costoso hasta la comida seguido por las hormigas es el que mayor rastro de feromonas obtenga.

Este algoritmo, como podemos deducir de la explicación anterior, está basado en la resolución del camino más corto entre dos puntos. Como ya sabemos, los algoritmos más usados hoy en día para la resolución de este problema son el algoritmo de Dijkstra y el de A*. La diferencia entre estos algoritmos y el de la colonia de hormigas es que los primeros alcanzan la solución mediante una búsqueda en serie (mirando un determinado camino hasta que no se puede avanzar) mientras que el algoritmo bioinspirado lo hace de una forma paralela (las hormigas toman varios caminos hasta que obtienen la convergencia, es decir, el camino final por el que camina toda la colonia).

Este algoritmo, al igual que los algoritmos de redes neuronales o colmena de abejas siguen la siguiente estructura:

• Estado Inicial: Inicialización de los vectores para el correcto funcionamiento del algoritmo.
• Ecuación Auto-regresiva: Como estos modelos están basados en la minimización del gradiente, la ecuación auto-regresiva es la que nos indicará cuánto nos tenemos que mover para alcanzar el siguiente estado.
• Actualización de Estado: Basándonos en la ecuación auto-regresiva y en el estado actual, la actualización del estado nos marca el nuevo estado al que pasamos para la siguiente iteración del algoritmo.
• Finalización del Algoritmo: Estos algoritmos suelen finalizar cuando sobrepasamos un número concreto de iteraciones o cuando el error queda minimizado un valor épsilon.

Llegados a este punto os preguntaréis qué llamo mi atención por este tipo de algoritmos. El caso es que estos modelos matemáticos se están usando en campos de la seguridad informática y la gestión de redes tales como:

• Sistemas de Detección de Intrusiones(IDS, Intrusion Detection Sistems): La aplicación de dicho algoritmo se centra en el seguimiento paralelo de las conexiones efectuada por los usuarios (tanto internos como externos) dentro de la red y notificando alarmas cuando se incumplan ciertas reglas (se introduzcan por ciertos caminos privilegiados).
• Enrutado de Paquetes de forma dinámica: Como ya sabemos dentro de Internet los paquetes se enrutan de una forma dinámica. Este tipo de algoritmos es capaz de encontrar el mejor camino entre dos puntos basándose en ciertas métricas como coste, tiempo, distancia...
• Spanning Tree: La metodología Spanning Tree se centra en el bloqueo de caminos redundantes dentro de una red. Estos algoritmos también han sido usados para bloquear el camino menos óptimo dentro de una red.

Conforme vayamos aprendiendo más sobre los mecanismos de la naturaleza, irán apareciendo un mayor número de sistemas bioinspirados.

Aitor Corchero Rodríguez
S21sec labs