Esteganografia na Folha de São Paulo para denunciar fraude em licitação de obra do metrô

Numa interessante utilização da técnica de esteganografia, o editor da Folha de São Paulo Online lançou mão desta arte de esconder mensagens dentro de outras para mostrar que era conhecido o vencedor de uma licitação para o Metrô de São Paulo 8 horas antes da divulgação oficial do resultado.

Veja a reportagem original com o texto escondido, falando da ópera Salomé, e a reportagem que mostra os trechos escondidos que denunciam que a licitação foi "dirigida".

Obrigado ao Marcelo Alves por garimpar esta....

Portal Brasileiro de Programação Segura Java

Aumentando o coro em prol da divulgação do novo portal de segurança para programação em Java de Lucas Ferreira.

Já utilizei suas referências em empresas que trabalhei e sempre temos que aplaudir iniciativas como estas de publicações de referências de tão alta qualidade sob licença Creative Commons ..

Seções:

• Validar os dados de entrada
• Proteger a aplicação web contra cross site scripting
• Evitar "command injection"
• Tratar corretamente todos os erros da aplicação
• Validar a origem das requisições
• Usar objetos imutáveis
• Limitar o acesso às variáveis, classes e métodos
• Tornar todos os métodos e classes “final”
• Não usar o escopo de pacote para proteger a classe contra acessos indesejados
• Impedir a clonagem dos objetos
• Usar classes não serializáveis
• Usar classes não desserializáveis
• Não armazenar informações confidenciais no código do programa
• Não comparar classes por nome
• Não usar classes internas (“inner class”)
• Usar os mecanismos de autenticação dos contêineres J2EE
• Usar sockets com criptografia SSL
• Proteger os arquivos criados
• Especificar o diretório onde serão criados os arquivos temporários
• Verificar condições de “overflow”, “underflow” e conversões de tipos numéricos
• Declarar as variáveis estáticas públicas como “final”
• Não armazenar vetores recebidos como parâmetros
• Apagar dados críticos da memória
• Controle de acesso em aplicações web
• Usar os mecanismos de tratamento de exceções
• Verificar métodos nativos (“native methods”)
• Validar unboxing para tipos primitivos

Brasileiro preso na Holanda por aluguel de botnet pode ser extraditado para os EUA

[ Update - 12/12/2009 ]

Depois de 16 meses do post original sobre o assunto, citando várias fontes da mídia especializada se referindo à prisão de um brasileiro acusado de intermediar um aluguel de computadores zumbis da "Shadow Botnet", recebi hoje um comentário anônimo no meu blog (de um IP oriundo da cidade de Taubaté - que já havia chegado ao blog via pesquisas no Google em outra oportunidade) afirmando - de forma bastante exaltada *e por isto não foi publicado na íntegra* - que o brasileiro é "inocente e já estaria no Brasil".

Não encontrei as "reportagens da BAND" que o anônimo citou em seu comentário como "ser a única que foi procurada para auxiliá-lo para provar ao Brasil e ao MUNDO, que ele foi vítima de uma armadilha" - mas informo que se receber um link ou outra referência verificável, publicarei assim que averiguar a fonte.

Voltando a analisar o assunto depois de quase 1 ano e meio, encontrei um detalhamento maior do desenrolar desta história na revista Geek http://www.geek.com.br/blogs/832697695/posts/10243-brasileiro-e-indiciado-por-shadow-botnet-o-rei-do-spam e Galileu http://revistagalileu.globo.com/Revista/Galileu/0,,EDR86914-7943,00.html

Para a Revisa Galileu, na oportunidade da reportagem de junho de 2009 - o brasileiro falou sobre o assunto. Como esta é a única defesa publicada que encontrei, estou a reproduzindo como complemento deste post de 1 ano e meio atrás - tire as suas conclusões:

* Qual era o seu trabalho no Brasil?
Leni de Abreu Neto: Eu trabalhava com o aluguel de servidores dedicados.

* Que negociação você fez na Holanda?
Leni: Intermediei a venda de um CD-ROM com um software, desenvolvido por um holandês, que tinha o código-fonte de uma botnet com 25 mil computadores. Ganhei 10 mil euros.

* Uma rede de "computadores-zumbis"?
Leni: Não, não. Essa botnet é diferente. Ela foi toda feita com download voluntário. Um programa mandava por MSN um link para download, mas sem vírus, sem invasão, sem ação de hacker. Tenho como provar que tudo foi feito dentro da lei.

* Você afirma que toda pessoa que fez o download para que seu computador fosse controlado à distância sabia disso?
Leni: Claro. Só se ela for analfabeta para não saber. Quem faz a instalação é o Windows. Mesmo que a pessoa por MSN tenha passado o link como sendo, por exemplo, a foto de uma mulher pelada, quando ela clicar o Windows vai avisar que é um programa e perguntar pelo menos duas vezes se a pessoa quer a instalação. Quem mandou o programa pode ter mentido, mas mentir não é crime.

* Se era tudo dentro da lei, por que o programa foi negociado pessoalmente, com dinheiro vivo?
Leni: Porque o Ronnie me induziu a trabalhar diferente da maneira com que geralmente eu trabalho. Eu receberia o depósito em conta e mandaria o software por e-mail. Na última hora, ele me entregou o dinheiro e pediu para fazer a negociação. Fiz como um favor para o Ronnie. Foi uma armação da polícia.

* Como é a sua vida hoje?
Leni: Como você acha que é? Na cela em frente, está um cara que matou a esposa. Trato todo mundo com educação para que não venham me matar. Esse lugar não tem nada a ver comigo. Nunca cometi nenhum crime.

[ Post Original - 22/08/2008 ]

Os acordos internacionais e cooperação entre as polícias especializadas no combate ao cyber-crime começaram a mostrar resultados neste ano.

Foi anunciada ontem a prisão do brasileiro Leni de Abreu Neto, de Taubaté-SP, ocorrida no final de julho, depois da cooperação entre a Polícia Federal Brasileira (Cyber Crimes), o Federal Bureau of Investigations (FBI - Cyber Squad Unit of New Orleans) e a Unidade de Combate a crimes de Alta Tecnologia da Holanda (Nederlandse High-Tech Crime Unit). A operação foi batizada como "Conexão Holanda" pela Polícia Federal brasileira.

Além dos brasileiro estão envolvidos os criadores da botnet - que se disseminava principalmente por MSN - que são dois irmãos holandeses - um com 16 e outro com 19 anos (Nordin Nasiri) que serão processados em seu país de origem.

Dentre as atividades investigadas, foi divulgado que o brasileiro fez um acordo com o holandês Nasiri há 4 meses atrás para atuar como negociador do aluguel da botnet a terceiros - para envio de SPAM, o que segundo levantamentos pode ter rendido cerca de R$ 70 mil em apenas uma negociação.

Se condenado, Leni de Abreu Neto pode pegar até cinco anos de cadeia, mais três de condicional, aém de ter de pagar uma multa de até U$ 250 mil dependendo dos prejuízos causados.

Leni está preso na Holanda e pode ser extraditado para os Estados Unidos, onde está sendo acusado de "conspiração para causar dano a computadores" por um juri federal no estado americano da Luisiana.

OpenVas - fork GPL Free do Nessus

Foi anunciada ontem a primeira versão estável do OpenVas - Fork Gratuito e GPL do famoso scanner de vulnerabilidade "Nessus", que trocou seu licenciamento para um modelo comercial.

Assim como o Nessus, o OpenVas possui um componente server e outro client, e inclui uma lista gratuita de plugins para os testes de vulnerabilidade.

China e EUA: Quer privacidade? Desligue e Tire a bateria do seu celular...

Na semana passada escrevi sobre a monitoração da Internet Chinesa nos jogos olímpicos. Hoje o pessoal da belsec chama atenção para esta entrevista de Joel Brenner (executivo de contra-inteligência do governo americano) que vai mais longe: segundo ele, o governo chinês (e outros, certamente), pode ligar seu telefone e ativar o microfone enquanto você pensa que ele está desligado:

Mr. BRENNER: The public security services in China can turn your telephone on and activate its microphone when you think it's off.

Mr. ORR: If the phone's in my pocket and it's off, you're saying an outside force, an outside agent can turn it on.

Mr. BRENNER: Yeah.

Mr. ORR: And listen to what I'm doing?

Mr. BRENNER: That is what I'm saying.

Mr. ORR: And my BlackBerry.

Mr. BRENNER: Same thing.

Presos os hackers responsáveis pelos maiores roubos de números de cartões de crédito (incluindo TJX)

Depois de 3 anos da intrusão inicial e 1 ano e meio da divulgação do incidente pela TJX, o Departamento de Justiça americano divulgou que em conjunto com forças da lei de vários países foram presas 11 pessoas, entre elas 3 americanos, um estoniano, 3 ucranianos, um chinês e um bielorusso (incluindo um informante do serviço secreto americano).

Eles foram os responsáveis pelo maior roubo de números de cartão de crédito da história da internet: o da empresa americana TJX (que foi um grande motivador para a criação do padrão/auditoria "PCI - Payment Card Industry Data Security Standard") .

O total de cartões de crédito afetados pela quadrilha somente na TJX chega a mais de 40 milhões (cerca de 12 milhões de MasterCards e 25 milhões de cartões Visa) . Sem dúvida trata-se do maior caso de roubo de identidades já descoberto/divulgado.

Interessante notar que a empresa TJX divulgou que percebeu que haviam sido roubados números de cartões de crédito em janeiro de 2007, mas investigações indicaram que as primeiras intrusões ocorreram no ano de 2005. Algumas prisões já haviam ocorrido em 2007, mas todas relacionadas aos receptadores dos dados, desta vez foram presos os responsáveis pelas invasões e distribuição dos números de cartões de crédito.

A informação confirma que redes wireless de várias empresas (TJX, BJ’s Wholesale Club, OfficeMax, Boston Market, Barnes & Noble, Sports Authority, Forever 21 e DSW) foram inicialmente exploradas pelos hackers que depois conseguiram se infiltrar nos sistemas internos das empresas. Veja a anatomia do ataque à TJX.

Os perpetradores posteriormente venderam ou gravaram os números de cartões de crédito para saques em ATM's em uma rede de distribuição que envolvia os seguintes países: Ucrania, Bielorussia, Estonia, China, Philipinas e Tailandia.

Falha no protocolo DNS descoberta / patches

2008-08-06 - Atualização:

Finalmente, a apresentação na BlackHat:

http://www.doxpara.com/DMK_BO2K8.ppt


2008-07-26 - Atualização:

Melhoria das Regras para IDS (Snort):

http://www.emergingthreats.net/cgi-bin/cvsweb.cgi/sigs/CURRENT_EVENTS/CURRENT_DNS_Poisoning?rev=1.20;content-type=text%2Fplain

#by many very smart people
# This may be a high load sig. Take time and seriously consider
# that your dns_servers var is set as narrowly as possible
alert udp any 53 -> $DNS_SERVERS any (msg:"ET CURRENT_EVENTS Excessive DNS Responses with 1 or more RR's (100+ in 10 seconds) - possible Cache Poisoning Attempt"; byte_test:2,>,0,6; byte_test:2,>,0,10; threshold: type both, track by_src, count 100, seconds 10; classtype:bad-unknown; sid:2008446; rev:8;)

#this will catch large numbers of nxdomain replies, a sign that someone may be trying to poison you
#alert udp any 53 -> $HOME_NET any (msg:"ET CURRENT_EVENTS Excessive NXDOMAIN responses - Possible DNS Poisoning Attempt Backscatter"; byte_test:1,&,128,2; byte_test:1,&,1,3; byte_test:1,&,2,3; threshold: type both, track by_src, count 100, seconds 10; classtype:bad-unknown; sid:2008470; rev:2;)
#by Greg Martin at Econet
alert udp any 53 -> $HOME_NET any (msg:"ET CURRENT_EVENTS DNS Query Responses with 3 RR's set (50+ in 2 seconds) - possible NS RR Cache Poisoning Attempt"; content: "|85 00 00 01 00 01 00 01|"; offset: 2; within: 8; threshold: type both, track by_src,count 50, seconds 2; classtype:bad-unknown; reference:url,infosec20.blogspot.com/2008/07/kaminsky-dns-cache-poisoning-poc.html; sid:2008447; rev:4;)
alert udp any 53 -> $HOME_NET any (msg:"ET CURRENT_EVENTS DNS Query Responses with 3 RR's set (50+ in 2 seconds) - possible A RR Cache Poisoning Attempt"; content: "|81 80 00 01 00 01 00 01|"; offset: 2; within: 8; threshold: type both, track by_src, count 50, seconds 2; classtype:bad-unknown; reference:url,infosec20.blogspot.com/2008/07/kaminsky-dns-cache-poisoning-poc.html; sid:2008475; rev:1;)

2008-07-24 - Atualização:

Exploits disponíveis.

E adivinhe? Quase 4.000 DNS's (Mais de 50% dos grandes servidores DNS brasileiros) estão vulneráveis no momento - segundo o registro.br (via Caprino).

2008-07-22 - Atualização:

Patch Now. Detalhes sobre a vulnerabilidade DNS descrita abaixo vazaram.

Para verificar rapidamente se um DNS Server está vulnerável - (/dev/random):

Teste no Site do Dan Kaminski

ou

“dig +short porttest.dns-oarc.net TXT ”

Resposta Com patch:

$ dig +short porttest.dns-oarc.net TXT
z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net.
"88.191.254.6 is GOOD: 26 queries in 3.9 seconds from 26 ports with std dev 19554.27"

Resposta SEM PATCH:

$ dig +short porttest.dns-oarc.net TXT
z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net.
"212.35.96.66 is POOR: 35 queries in 4.3 seconds from 1 ports with std dev 0.00"

Mãos à obra!


2008-07-07:

Dan Kaminski é um ninja do TCP/IP que já contribuiu com a comunidade de segurança com seu memorável "Paketto Keiretsu" e uma interessantíssima análise de eventos como o RootKit da Sony.

Hoje foi divulgado que em março deste ano ele descobriu uma vulnerabilidade que facilita muito ataques de cache poisoning - utilizando birthday attacks no protocolo DNS - que afeta tanto servidores quanto clientes DNS. Veja o resumo executivo da descoberta.

Múltiplos fabricantes trabalharam em conjunto para solucionar o problema em suas implementações e um advisory do CERT foi publicado (.DOC) .

Para verificar se o seu DNS está vulnerável, teste-o no site do Dan Kaminski: doxpara.com

Há também uma entrevista interessante com o Dan Kaminsky sobre o tema.

Simplificando, apesar da especificação do protocolo DNS definir um campo de 16 bits para o campo "transaction" do cabeçalho - adivinhe... não é o que as implementações fazem (utilizam bem menos bits para isto). As soluções são expostas no .DOC acima.

Segundo o Dan Kaminsky, maiores detalhes técnicos serão expostos em 6 de Agosto, na DEFCON.

De cá pra lá, é bom ficar de olho para correções disponíveis do(s) fabricante(s) de DNS que você utiliza.

update (2008-07-08): Assinaturas de IDS para detecção (parcial) dos ataques descritos: http://www.snort.org/vrt/docs/ruleset_changelogs/changes-2008-07-08.html

NIST: Performance Measurement Guide for Information Security

Foi publicada a alguns dias uma excelente referência sobre métricas aplicadas à Segurança da Informação:

http://csrc.nist.gov/publications/nistpubs/800-55-Rev1/SP800-55-rev1.pdf

Especialmente útil para empresas que utilizam o framework 800-53 do NIST como referência, mas de grande valor para qualquer um que busca medir a eficiência das ações de segurança.

Outras excelentes referências relacionadas à métricas em Segurança são o livro (Security Metrics, Replacing-Fear, Uncertainty and Doubt ) e o blog de Andrew Jaquith.

Ladrão que rouba de ladrão - versão online.

Hoje o blog "Zero Day" da ZDNet publicou um artigo interessante sobre as técnicas utilizadas pelos fabricantes de kits de malware/phishing (como o Pinch, Rock , DIY e Zeus) para explorar os phishers script kiddies que utilizam estes kits prontos para efetuar seus golpes.

Segundo análise de Dancho Danchev, de 30% a 40% dos kits possuem backdoors que permitem aos seus criadores ou distribuidores obterem as informações confidenciais (logins de acesso, credenciais bancárias roubadas, capturas de tela) dos golpes sendo efetuados pelos phishers novatos que adquiriram o kit...

Além disto, existem vulnerabilidades conhecidas em alguns kits que permitem que outros fraudadores se aproveitem e tenham acesso não autorizado em uma "operação" em andamento por outro grupo de phishers..

Ladrão que rouba de ladrão...

China força hotéis a instalar software de monitoração do uso de internet

2008-08-02 - Atualização:

Oficiais Chineses concordaram em aliviar um pouco para os jornalistas o bloqueio feito no uso da Internet na China durante os jogos olímpicos.. Será que vão aliviar o monitoramento também? Difícil...

2008-07-31:

É de conhecimento público que a china monitora / censura / bloqueia as ações de seus cidadãos na Internet.

Agora, com a proximidade das olimpíadas, hotéis de redes internacionais também estão sendo forçados a instalar software de monitoração das atividades da internet, segundo o International Herald Tribune

Jornalistas já estão sendo avisados/treinados para usar Criptografia para fugir na espionagem chinesa (outra alternativa é pagar caro e ser monitorado com certeza na vila olímpica) .. Veja Vídeo no Youtube