miércoles, 18 de enero de 2012
STOP SOPA
Today, we are striking against censorship
Join the largest online protest in history: tell Congress to stop this bill now!
Join The Strike! and add this to your site
Fight For The Future may contact you about future campaigns. We will never share your email with anyone. Privacy Policy
Learn More:
Watch the video ·
American Censorship page ·
View the Infographic
Read SOPA on OpenCongress ·
Read PIPA on OpenCongress
The three most definitive articles on SOPA and PIPA: Free Speech, Problems, Security
Fight for the Future is a non-profit organization fighting for people's freedoms in a new digital age.
viernes, 17 de diciembre de 2010
Accesibilidad Vs. Vulnerabilidad WINDOWS 7
Comparto un artículo del blog de Security By Default, donde muestran la forma tan sencilla y practica de romper la seguridad de Windows 7 y Server 2008. Lo único que se requiere es acceso físico sobre la maquina y poder ejecutar un linux booteable desde una USB o un CD para realizar la modificación. La idea es usar los ejecutables que llaman la lupa o el teclado en pantalla y renombrar una copia de cmd.exe por estos ejecutables. Así cuando llamemos dicho programa ejecutaremos la línea de comandos.
Lo interesante del asunto es que el “cmd” se ejecuta con privilegios de sistema permitiendo crear usuarios a nuestro gusto y poder acceder a la maquina.
Juzguen ustedes mismos...
http://www.securitybydefault.com/2010/12/bienaventurados-los-que-no-ven-porque.html?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+SecurityByDefault+%28Security+By+Default%29
Lo interesante del asunto es que el “cmd” se ejecuta con privilegios de sistema permitiendo crear usuarios a nuestro gusto y poder acceder a la maquina.
Juzguen ustedes mismos...
http://www.securitybydefault.com/2010/12/bienaventurados-los-que-no-ven-porque.html?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+SecurityByDefault+%28Security+By+Default%29
miércoles, 1 de diciembre de 2010
Potential WikiLeaks Phishing Scams
US-CERT Current Activity
Potential WikiLeaks Phishing Scams
Original release date: December 1, 2010 at 5:42 pm
Last revised: December 1, 2010 at 5:42 pm
In the past, US-CERT has received reports of phishing scams and
malware campaigns related to topics that are of high-interest to the
U.S. Government or news media, such as the WikiLeaks website. Users'
systems have been compromised by receiving and accessing phishing
emails with subject lines that seem relevant to a high-interest
subject and appear to originate from a valid sender. US-CERT reminds
users to remain vigilant for potential malicious cyber activity
seeking to capitalize on interest in WikiLeaks. Users are advised to
exercise caution in handling any email with subject line, attachments,
or hyperlinks related to WikiLeaks, even if it appears to originate
from a trusted source.
US-CERT encourages users and administrators to use caution when
encountering these types of email messages and take the following
preventative measures to protect themselves from phishing scams and
malware campaigns:
* Do not follow unsolicited web links in email messages.
* Use caution when opening email attachments. Refer to the Using
Caution with Email Attachments Cyber Security Tip for more
information on safely handling email attachments.
* Maintain up-to-date antivirus software.
* Refer to the Recognizing and Avioding Email Scams (pdf) document
for more information on avoiding email scams.
* Refer to the Avoiding Social Engineering and Phishing Attacks
Cyber Security Tip for more information on social engineering
attacks.
Relevant Url(s):
http://www.us-cert.gov/cas/tips/ST04-014.html
http://www.us-cert.gov/reading_room/emailscams_0905.pdf
http://www.us-cert.gov/cas/tips/ST04-010.html
Potential WikiLeaks Phishing Scams
Original release date: December 1, 2010 at 5:42 pm
Last revised: December 1, 2010 at 5:42 pm
In the past, US-CERT has received reports of phishing scams and
malware campaigns related to topics that are of high-interest to the
U.S. Government or news media, such as the WikiLeaks website. Users'
systems have been compromised by receiving and accessing phishing
emails with subject lines that seem relevant to a high-interest
subject and appear to originate from a valid sender. US-CERT reminds
users to remain vigilant for potential malicious cyber activity
seeking to capitalize on interest in WikiLeaks. Users are advised to
exercise caution in handling any email with subject line, attachments,
or hyperlinks related to WikiLeaks, even if it appears to originate
from a trusted source.
US-CERT encourages users and administrators to use caution when
encountering these types of email messages and take the following
preventative measures to protect themselves from phishing scams and
malware campaigns:
* Do not follow unsolicited web links in email messages.
* Use caution when opening email attachments. Refer to the Using
Caution with Email Attachments Cyber Security Tip for more
information on safely handling email attachments.
* Maintain up-to-date antivirus software.
* Refer to the Recognizing and Avioding Email Scams (pdf) document
for more information on avoiding email scams.
* Refer to the Avoiding Social Engineering and Phishing Attacks
Cyber Security Tip for more information on social engineering
attacks.
Relevant Url(s):
http://www.us-cert.gov/cas/tips/ST04-014.html
http://www.us-cert.gov/reading_room/emailscams_0905.pdf
http://www.us-cert.gov/cas/tips/ST04-010.html
martes, 30 de noviembre de 2010
¿Vuelve el ransomware?
El ransomware es un tipo de troyano que, de vez en cuando, asoma al
mundo del malware. Esta semana hemos visto un espécimen que nos ha
llamado la atención porque utiliza criptografía asimétrica para cifrar
los archivos del usuario y pedir así un rescate por ellos. Veamos cómo
funciona exactamente y qué fallos y aciertos ha cometido su autor.
1.- El troyano (empaquetado con UPX) contiene en su interior una clave
pública del atacante, un archivo BMP (el fondo de pantalla) y el texto
del mensaje.
2.- Utilizando las APIs criptográficas de Windows, genera un par de
claves públicas y privadas (las llamaremos A y B) usando el protocolo
RSA.
3.- Cifra con su clave pública una de las claves (pongamos A) generadas
en el paso 2, lo que daría A'. Este paso es interesante, porque así
evita que alguien con conocimientos aplique el proceso inverso de
cifrado.
4.- En este punto el troyano crea un hilo y comienza a realizar
dos tareas en paralelo. Por un lado muestra el mensaje de texto
(concatenando en el texto la clave A') y cambia el fondo de pantalla
y por otro comienza a cifrar. Esto es un grave error por parte del
atacante, puesto que mientras muestra el mensaje de alerta, ya está
cifrando entre bambalinas los archivos. La víctima, una vez visualizado
el mensaje, solo tiene que identificar y matar el proceso. Así salvará
la mayor parte de sus ficheros. Lo ideal (desde el punto de vista del
atacante) hubiese sido primero cifrarlo todo y luego avisar a la
víctima. El troyano no se ejecutará de nuevo en el sistema.
5.- El troyano busca en todas las unidades, ficheros con estas
extensiones: jpg, .jpeg, .psd, .cdr, .dwg, .max, .mov, .m2v, .3gp, .doc,
.docx, .xls, .xlsx, .ppt, .pptx, .rar, .zip, .mdb, .mp3, .cer, .p12,
.pfx, .kwm, .pwm, .txt, .pdf, .avi, .flv, .lnk, .bmp, .1cd, .md, .mdf,
.dbf, .mdb, .odt, .vob, .ifo, .mpeg, .mpg, .doc, .docx, .xls, y.xlsx.
Cifra con la otra clave B generada en el paso 2 y en bloques la mitad
del tamaño de cada archivo. Suponemos que por eficiencia (es un proceso
que consume recursos). Es interesante destacar que los archivos son
sobrescritos (hace que los originales no puedan recuperarse). Antes de
cifrar cada archivo, debe comprobar que no se llame HOW TO DECRYPT
FILES.txt o el nombre aleatorio que pone al BMP que usa como fondo de
pantalla. Si es así, no los cifra. Esta es una comprobación que se podía
haber ahorrado si creara estos archivos después del cifrado y no antes,
como hemos mencionado.
6.- Borra la clave B con la que ha cifrado los archivos. Ahora, será
necesario que el atacante descifre A' con su clave privada. Con esto el
atacante obtendrá A, necesaria para descifrar lo que ha sido cifrado con
B.
7.- El troyano crea un bat temporal para borrarse.
En el mensaje se advierte a la víctima de que después de un tiempo los
ficheros cifrados serán borrados. Esto no es cierto, no está programado
en el código.
Si alguien queda infectado y no cuenta con copia de seguridad de sus
ficheros puede perderlos definitivamente. Solo queda, como hemos
apuntado, detectar la infección (por el mensaje que aparece y el cambio
de fondo de escritorio) y matar el proceso o apagar el sistema. Un
usuario con conocimientos de ingeniería inversa podría depurar el
proceso mientras está cifrando e intentar rescatar de la memoria la
clave B, pero es complejo (y se debe ser rápido). Nunca se debe realizar
el pago.
La primera muestra que tenemos en Virustotal data del 25 de noviembre.
Era detectada por firmas por 5 motores. La última está siendo detectada
por 24 motores. El país de donde provienen la mayoría de las muestras es
Alemania.
Fuente: Hispasec
mundo del malware. Esta semana hemos visto un espécimen que nos ha
llamado la atención porque utiliza criptografía asimétrica para cifrar
los archivos del usuario y pedir así un rescate por ellos. Veamos cómo
funciona exactamente y qué fallos y aciertos ha cometido su autor.
1.- El troyano (empaquetado con UPX) contiene en su interior una clave
pública del atacante, un archivo BMP (el fondo de pantalla) y el texto
del mensaje.
2.- Utilizando las APIs criptográficas de Windows, genera un par de
claves públicas y privadas (las llamaremos A y B) usando el protocolo
RSA.
3.- Cifra con su clave pública una de las claves (pongamos A) generadas
en el paso 2, lo que daría A'. Este paso es interesante, porque así
evita que alguien con conocimientos aplique el proceso inverso de
cifrado.
4.- En este punto el troyano crea un hilo y comienza a realizar
dos tareas en paralelo. Por un lado muestra el mensaje de texto
(concatenando en el texto la clave A') y cambia el fondo de pantalla
y por otro comienza a cifrar. Esto es un grave error por parte del
atacante, puesto que mientras muestra el mensaje de alerta, ya está
cifrando entre bambalinas los archivos. La víctima, una vez visualizado
el mensaje, solo tiene que identificar y matar el proceso. Así salvará
la mayor parte de sus ficheros. Lo ideal (desde el punto de vista del
atacante) hubiese sido primero cifrarlo todo y luego avisar a la
víctima. El troyano no se ejecutará de nuevo en el sistema.
5.- El troyano busca en todas las unidades, ficheros con estas
extensiones: jpg, .jpeg, .psd, .cdr, .dwg, .max, .mov, .m2v, .3gp, .doc,
.docx, .xls, .xlsx, .ppt, .pptx, .rar, .zip, .mdb, .mp3, .cer, .p12,
.pfx, .kwm, .pwm, .txt, .pdf, .avi, .flv, .lnk, .bmp, .1cd, .md, .mdf,
.dbf, .mdb, .odt, .vob, .ifo, .mpeg, .mpg, .doc, .docx, .xls, y.xlsx.
Cifra con la otra clave B generada en el paso 2 y en bloques la mitad
del tamaño de cada archivo. Suponemos que por eficiencia (es un proceso
que consume recursos). Es interesante destacar que los archivos son
sobrescritos (hace que los originales no puedan recuperarse). Antes de
cifrar cada archivo, debe comprobar que no se llame HOW TO DECRYPT
FILES.txt o el nombre aleatorio que pone al BMP que usa como fondo de
pantalla. Si es así, no los cifra. Esta es una comprobación que se podía
haber ahorrado si creara estos archivos después del cifrado y no antes,
como hemos mencionado.
6.- Borra la clave B con la que ha cifrado los archivos. Ahora, será
necesario que el atacante descifre A' con su clave privada. Con esto el
atacante obtendrá A, necesaria para descifrar lo que ha sido cifrado con
B.
7.- El troyano crea un bat temporal para borrarse.
En el mensaje se advierte a la víctima de que después de un tiempo los
ficheros cifrados serán borrados. Esto no es cierto, no está programado
en el código.
Si alguien queda infectado y no cuenta con copia de seguridad de sus
ficheros puede perderlos definitivamente. Solo queda, como hemos
apuntado, detectar la infección (por el mensaje que aparece y el cambio
de fondo de escritorio) y matar el proceso o apagar el sistema. Un
usuario con conocimientos de ingeniería inversa podría depurar el
proceso mientras está cifrando e intentar rescatar de la memoria la
clave B, pero es complejo (y se debe ser rápido). Nunca se debe realizar
el pago.
La primera muestra que tenemos en Virustotal data del 25 de noviembre.
Era detectada por firmas por 5 motores. La última está siendo detectada
por 24 motores. El país de donde provienen la mayoría de las muestras es
Alemania.
Fuente: Hispasec
Suscribirse a:
Comentarios (Atom)