A saga de se manter seguro usando Windows

[ 14/01/2010 - Update ]


Notícias recentes como o novo 0-day para IE utilizado na "Operação Aurora" Chinesa - que afetou mais de 30 empresas americanas (incluindo Google,Adobe,Yahoo, Symantec, Northrop Grumman, Dow Chemical e Juniper) - retomam o assunto de como se manter seguro usando o Windows.

Uma empresa possui uma "superfície de ataque" muito grande e precisa de se preocupar com diferentes iniciativas para tentar se defender deste tipo de abordagem avançada.


Como sugestão de abordagem para usuários finais, estou republicando uma lista de 7 dicas que considero eficientes para manter um sistema Windows Seguro (todas elas são gratuitas para uso não corporativo):


I - Instale um bom programa de verificação e correção de versões de aplicações windows (são elas, e não patches do S.O. as mais exploradas).

1. PSI Secunia - Personal Software Inspector - excelente e altamente recomendado programa gratuito (para uso não comercial) que resolve o problema de controle de versões e auxílio a upgrade de "programas problema" como os listados acima (não funciona com proxies)
   
2. Sumo - ferramenta freeware com o mesmo princípio, não tão boa, mas também eficiente - funciona com proxies.

II - Utilize um utilitário de "Sandbox" para navegar na Internet. Este tipo de programa consegue executar seu navegador (e outros programas) de forma isolada. Ele pode ter acesso aos recursos necessários do seu sistema operacional, mas não pode escrever nada nele, sem a sua permissão.

III - Por falar em navegador, procure estar com o seu sempre atualizado, e utilize um que corrija as vulnerabilidades rapidamente (sugiro o Firefox com a extensão NoScript! para controlar a execução de conteúdo ativo como Javascript/Java/etc..)

IV - Sempre verifique por novas atualizações Microsoft em http://www.windowsupdate.microsoft.com

V - Mantenha um bom Antivirus (como Avira , Nod32 e Kaspersky) sempre atualizado

VI - Utilize um bom Firewall Pessoal - sugiro o Comodo para XP ou o Firewall do próprio Vista ou 7 (bem configurado!)

VII - Não navegue na Internet com um usuário com privilégios de Administrador.

VIII - Conheça os Riscos Envolvidos no Uso da Internet e se mantenha bem informado (no link anterior você tem acesso à excelente cartilha de segurança do Cert.Br)




[ 13/01/2010 - Update ]


Conforme prometido - depois de meses de espera as correções (oito!) para o Adobe Reader foram liberadas - se você ainda insiste em utilizá-lo, fique ligado nas correções divulgadas. (Ou utilize o Foxit Reader que é mais rápido e seguro - ou seja, uma alternativa mais segura!)

[ 14/12/2009 - Update ]

Mais dois exploits ativos para o Adobe Reader. Correção sairá apenas em 12 de janeiro de 2010.

Mais Informações:

http://blogs.adobe.com/psirt/2009/12/security_advisory_apsa09-07_up.html

http://threatpost.com/en_us/node/2296

http://isc.sans.org/diary.html?storyid=7747

A melhor contramedida continua sendo desinstalar o Adobe Reader e usar outra alternativa mais segura!

[ 02/11/2009 - Update ]

A Microsoft acaba de divulgar a 7a versao do "Security Intelligence Report" - onde sao apresentadas as tendencias de codigos maliciosos, exploits e invasoes nos produtos Microsoft verificados no primeiro semestre deste ano.

[ 08/10/2009 - Update ]

Comprovando a tendência crescente de exploração de produtos Adobe - o PSIRT da empresa divulgou que há um novo 0day explorando instalações de adobe reader em Windows, Unix e Mac.

[ 11/03/2009 - Update ]

A Adobe finalmente liberou um update para a versão 9 do Adobe Reader que corrige as vulnerabilidades encontradas:

http://www.adobe.com/support/security/bulletins/apsb09-03.html

[ 03/03/2009 - Update ]

Com satisfação informo que este post foi publicado hoje no site da PC Magazine (UOL).

link: http://pcmag.uol.com.br/firewall

[ 25/02/2009 - Post Original ]

Usuários domésticos do Windows (XP ou Vista) estão acostumados à praticidade do "Windows Update" - que permite que novas atualizações de segurança dos seus sistemas operacionais sejam baixados e instalados automaticamente.

Garantir que o Windows Update esteja em dia é bom, mas longe de ser suficiente para manter um computador rodando Windows seguro. O motivo principal é a crescente exploração de vulnerabilidades de "application helpers" em navegadores para infectar usuários - mesmo que estes estejam 100% up-to-date em suas atualizações de segurança Microsoft.

A própria Microsoft já deu este recado em 2008, quando publicou seu 5o Relatório de Inteligência em Segurança ou "Microsoft Security Intelligence Report volume 5 (January – June 2008)" - na página 35 deste documento (figuras 16 e 17) estão listadas as vulnerabilidades mais comumente exploradas através da navegação na Internet (XP e Vista).

No Windows XP, 57,7% das vulnerabilidades exploradas foram de aplicações não Microsoft (ou 3rd party). Os "programas problema" são: QuickTime, RealPlayer, Yahoo Toolbar, Winzip, Adobe Reader.

Já no Vista, este número é bem mais expressivo: 94,3% das vulnerabilidades mais exploradas não o foram por culpa da turma do Bill Gates. Os primeiros lugares: RealPlayer, QuickTime, PowerPlayer, AOL Toolbar.

Para aumentar o coro, a Bit9 lançou no final do ano passado um relatório chamado "The Dirty Dozen" - contendo as Aplicações vulneráveis mais frequentemente encontradas - considerando somente as que não podem ser atualizadas por soluções como Microsoft SMS e WSUS:

Ou seja, são exatamente aquelas que o usuário não sabe/consegue atualizar em casa e que tem dificuldades de se atualizar dentro de uma estrutura corporativa (por motivos de autenticação/proxy/etc..). Seguem os 5 primeiros "programas problema" da lista da Bit9:

1. Mozilla Firefox
2. Adobe Flash & Acrobat
3. Vmware (Player e Workstation)
4. Java
5. Apple Quicktime

Os softwares da Adobe (Flash Player e Acrobat Reader) são uma dor de cabeça à parte. Primeiro porque eles estão instalados em quase todos os computadores Windows, depois porque a Adobe não é das mais rápidas em lançar correções de segurança. Possivelmente você está com versões vulneráveis do Adobe Reader e do Adobe Flash Player (dentre outros) enquanto lê este post.

Na dúvida? Utilize este link da Secunia para verificar possíveis versões vulneráveis de programas instalados em seu computador.

Com relação ao Flash Player, o update com a correção está disponível, mas para o Adobe Reader simplesmente teremos que esperar mais 15 dias (enquando explorações através de arquivos PDF maliciosos estão acontecendo). Por enquanto, sobreviva de workarounds. Outra opção é instalar um patch não oficial que um consultor da SourceFire publicou.

Outras sugestões para se manter seguro online (utilizando o Windows):

I - Instale um bom programa de verificação de versões de aplicações windows:

1. PSI Secunia - Personal Software Inspector - excelente e altamente recomendado programa gratuito (para uso não comercial) que resolve o problema de controle de versões e auxílio a upgrade de "programas problema" como os listados acima (não funciona com proxies)
   
2. Sumo - ferramenta freeware com o mesmo princípio, não tão boa, mas também eficiente - funciona com proxies.

II - Utilize um utilitário de "Sandbox" para navegar na Internet. Este tipo de programa consegue executar seu navegador (e outros programas) de forma isolada. Ele pode ter acesso aos recursos necessários do seu sistema operacional, mas não pode escrever nada nele, sem a sua permissão.

III - Por falar em navegador, procure estar com o seu sempre atualizado, e utilize um que corrija as vulnerabilidades rapidamente (sugiro o Firefox com a extensão NoScript! para controlar a execução de conteúdo ativo como Javascript/Java/etc..)

IV - Sempre verifique por novas atualizações Microsoft em http://www.windowsupdate.microsoft.com

V - Mantenha um bom Antivirus (como Avira , Nod32 e Kaspersky) sempre atualizado

VI - Utilize um bom Firewall Pessoal - sugiro o Comodo para XP ou o Firewall do próprio Vista (bem configurado!)

VII - Não navegue na Internet com um usuário com privilégios de Administrador.

VIII - Conheça os Riscos Envolvidos no Uso da Internet e se mantenha bem informado (no link anterior você tem acesso à excelente cartilha de segurança do Cert.Br)

Mais informações sobre Patches de Segurança da Adobe (Adobe Reader e Flash Player):

Adobe Flash Flaw Could Give Attackers Full Control
http://www.cio-today.com/story.xhtml?story_id=64910

Adobe Releases Security Bulletin for Flash Player
http://www.us-cert.gov/current/index.html#adobe_releases_security_bulletin_for2

Adobe Acrobat pdf 0-day exploit, No JavaScript needed!
http://isc.sans.org/diary.php?storyid=5926

Homemade PDF Patch Beats Adobe By Two Weeks
http://it.slashdot.org/article.pl?sid=09/02/24/0032201

Pirâmides e outros perigos no Twitter

Este post foi feito em conjunto com o Dr. Emerson Wendt - Delegado de Polícia Civil do Rio Grande do Sul, especializado em crimes digitais - que acrescentou valiosas informações do ponto de vista legal ao assunto.

O twitter - ou simplesmente TT - é um serviço de micro-messaging muito simples e revolucionário. Por sua simplicidade ele é usado por mais gente que outros sites de redes sociais. Devido à sua simplicidade e à grande utilização, são centenas os sites que "complementam" as funcionalidades do twitter.

Alguns exemplos são:

• sites usados para encurtar os tamanhos dos links (URLs) nos tweets e se ajustar ao limite de 140 caracteres, como o bit.ly, o tinyurl.com e o http://goo.gl/ (recentemente criado pelo Google)
sites que incluem papéis de parede em perfis como o twitrounds.com e o twitbacks.com
sites para inclusão de imagens nos tweets, como o twicpic.com e o img.ly

A lista é muito extensa e os tipos de serviços são vários, e, obviamente, oferecem risco - especialmente aos utilizadores menos prevenidos e/ou afoitos por novos seguidores nesse "processo de interação social".

Um serviço que está na moda e que consideramos muito arriscado são as chamadas "pirâmides do twitter" (exemplos: www.trtools.com.br, tweetterfollow.com, twittertrain.info). Estes sites são procurados para aumentar o número de seguidores, os chamados "followers".

Sabemos que vários problemas de segurança (relacionados com XSS - Cross Site Scripting, CSRF - Cross Site Request Forgery e com o processo de recuperação de senhas) já ocorreram com o twitter, mas nestes casos de serviços de terceiros relacionados ao twitter o elo mais fraco é o usuário, que está ansioso por usar um novo serviço ligado ao twitter. Por isso, é importante mencionar: esses serviços oferecidos pelos sites mencionados e outros não são ilegais!

Se você se cadastra em qualquer site, como os de pirâmide de seguidores ou nos demais serviços existentes, e fornece seu usuário e senha para poder usufruir dele, seus dados já não são mais só seus.

A partir deste momento, o responsável pelo site pode: a) fazer se passar por você e enviar twitter-spam; b) se passar por você para seus seguidores via mensagens diretas (DM); c) conectar-se a perfis não autorizados e influenciar negativamente sua reputação no serviço, pois a sua conta será considerada maliciosa e reportada ao TT, que pode suspendê-la.

Por isso, uma sugestão importante é: quando acessar esses scripts sites (são referenciados assim no TT) e se cadastrar, leia antes os "Termos de Uso" e a "Política de Privacidade", isso quando existirem. Caso não possuam, desconfie e opte por não se cadastrar.

Mas, então como você pode utilizar este tipo de serviço sem correr este risco? Existem serviços que utilizam métodos mais seguros, como o OAuth (e sua versão 2 recém lançada). Ele permite que sites executem este mesmo tipo de interação com a sua conta do twitter, mas fazendo a autenticação do seu usuário diretamente no twitter. Os benefícios são vários.

Para mais detalhes, visite http://apiwiki.twitter.com/OAuth-FAQ. Uma dica prática, busque os serviços que você mais gosta de usar no site twitoauth - ele lista os sites auxiliares do twitter que já utilizam o OAuth.

Pode existir crime a má utilização dos dados cadastrais dos usuários desses scripts sites? Dependendo do caso específico, sim. Já se discutiu bastante a questão da violação de correspondência, mas sabe-se que sem a edição de um artigo penal específico referenciado a violação de correspondência eletrônica não há crime (veja opinião neste sentido e sobre o Projeto de Lei 1704/07). 

Mas, então, qual crime? Como referimos, depende da situação específica, pois a forma de utilização ou de divulgação do conteúdo obtido por meio desse tipo de violação poderá constituir crime contra a honra, sem prejuízo da responsabilidade civil, violação de direitos autorais, falsidade ideológica (veja opinião a respeito, aqui e aqui) ou falsa identidade (veja opinião aqui). 

O importante é que se você acha que foi vítima de algum crime virtual pelo TT, siga as instruções e registre o fato na delegacia de polícia mais próxima!

Outras dicas importantes sobre o uso da internet de forma segura você pode encontrar na excelente cartilha do cert.br. Aliás, você também pode reportar os incidentes de segurança relacionados ao CERT pelo e-mail abuse@cert.br.

Autores:

Emerson Wendt, Delegado de Polícia Civil do Rio Grande do Sul e responsável pelo Blog do Emerson Wendt  [ http://www.emersonwendt.com.br/2010/01/piramides-e-outros-perigos-no-twitter.html ]

Sandro Süffert, Consultor em Segurança e Forense Computacional e responsável pelo Blog SSegurança

RAM Scraping, GPS router XSS, printer storage

Muitas vezes ao responder incidentes o que pode atrapalhar um CSIRT é exatamente o que a equipe já conhece , porque naturalmente termos a tendência de buscar entender um problema utilizando nossos conceitos prévios (ou pré-conceitos) que certamente podem cegar uma investigação de um incidente.

Sabemos que algumas técnicas utilizadas por atacantes surpreendem não necessariamente pela novidade ou elaboração técnica, mas por nos mostrar que muitas vezes podemos ser atacados de maneiras realmente criativas e inusitadas.

Vou apresentar brevemente 3 técnicas para ilustrar as afirmações acima - serve de exercício para imaginar como as suas iniciativas de segurança atuais (IPS, FW, DLP, Filtro de conteúdo, etc) seriam capazes de deter estes ataques:

1 - Ram Scraping:

O conceito é extremamente simples e todos que já efetuaram análise de dumps memória sabem exatamente do que se trata - por mais que as informações estejam criptografadas na rede, no banco de dados ou no sistema de arquivos, quando são manipuladas pelos programas/processos e memória RAM em vários momentos elas estarão em claro - e por isto mesmo podem ser capturadas pela técnica de RAM Scraping.

O assunto está em pauta devido ao uso em ataques muito bem sucedidos recentes em que foram capturados números de cartões de crédito e outros detalhes transacionais diretamente de sistemas utilizados em pontos de venda (POS) .

Mais informações aqui, aqui e aqui.

2 - Coordenadas GPS via exploração de falha XSS no roteador:

"É só um Cross Site Scripting..". Talvez você já tenha ouvido (ou pensado) isto durante a apresentação de resultados de um teste de segurança WEB. Pois no caso do roteador FiOS da Verizon (e talvez outros), o XSS permite que um atacante consiga determinar a localização física (coordenadas GPS) do usuário que estiver utilizando a rede em questão, utilizando o serviço "Google Location Service" e "Location-Aware" do Firefox.

Veja mais aqui (prova de conceito) e mais detalhes aqui e aqui.

3 - Usos inusitados das suas impressoras:

Este é a mais antiga das 3 abordagens, mas não deixa de impressionar - afinal, quem troca o password padrão das impressoras? O pessoal da Phenoelit pulicou há muitos , muitos anos atrás uma ferramenta que serve de " console" para conexão a impressoras HP - o que permite a um atacante uma miríade de coisas, inclusive guardar arquivos dentro do disco interno da impressora, ler os ultimos trabalhos enviados para ela e alterar configurações administrativas.

Mais informações aqui.

Estes 3 exemplos poderiam ser 30, 300 ou 3000. Somando a isto a nossa certeza da desvantagem natural da defesa contra o ataque (quem defende uma infra-estrutura complexa sabe que atacantes precisam apenas achar algumas poucas brechas para obter resultados não autorizados), teremos uma noção exata do porque apenas investimentos (de tempo, gente, fios de cabelo e dinheiro) em prevenção / detecção não são suficientes para assumir uma postura corporativa madura em segurança da informação.

Dito isto, fica claro que uma reação bem executada deve gerar feedback de alta qualidade (famosa "análise post-mortem") para os processos de prevenção e detecção, para que a postura de segurança seja adequada à realidade dos ataques realmente sofridos pela corporação.

RegRipper & NIST Forensic Challenge

Para quem não conhece, o RegRipper é um excelente programa desenvolvido em Perl por Harlan Carvey - que também é escritor de um dos livros listados recentemente em outro post.

Pois bem, recentemente o próprio Carvey divulgou que um analista (Paul Stutz) ao trabalhar no caso forense de hacking do CFReDS / NIST utilizou o script rip.pl e publicou os procedimentos utilizados em um documento online.

Gostaria de ressaltar a praticidade e velocidade da utilização desta excelente ferramenta com alguns exemplos de comandos simples executados para responder perguntas comuns em qualquer análise forense:

• Qual versão do sistema operacional do sistema analisado?

$ ./rip.pl -r /Volumes/Untitled/WINDOWS/system32/config/software -p winver

Launching winver v.20081210
ProductName = Microsoft Windows XP
InstallDate = Thu Aug 19 22:48:27 2004

• Qual é o TimeZone (Fuso Horário) do sistema?

$ ./rip.pl -r /Volumes/Untitled/WINDOWS/system32/config/system -p timezone

Launching timezone v.20080324
TimeZoneInformation key
ControlSet001\Control\TimeZoneInformation
LastWrite Time Thu Aug 19 17:20:02 2004 (UTC)
DaylightName -> Central Daylight Time
StandardName -> Central Standard Time
Bias -> 300 (6 hours)
ActiveTimeBias -> 360 (5 hours)

• Quais são os usuários registrados no sistema?
  

$ rip.pl -r evidence/registry/SAM -p samparse | grep Username

Launching samparse v.20080415
Username: Administrator [500]
Username: Guest [501]
Username: HelpAssistant [1000]
Username: SUPPORT_388945a0 [1002]
Username: Mr. Evil [1003]

Para muitos outros exemplos como os apresentados acima, recomendo a leitura do PDF.

01/01/2010 - OISF Suricata, Into The Boxes, Visa OTP e Classificação de Ameaças do WASC

2010 está movimentado! Seguem algumas novidades interessantes do primeiro dia do ano:

• A "Open Information Security Foundation" acaba de lançar a primeiríssima versão pública do SURICATA - um novo conceito em IDS open source que pretende revolucionar o mercado! O meu grande amigo e ex-colega de trabalho Breno Silva Pinto trabalha ativamente como desenvolvedor do projeto OISF - que é fundado pelo DHS americano. Entre as funcionalidades do Suricata, estão: Multi-Threading
  Automatic Protocol Detection (HTTP,TLS,FTP, and SMB). HTTP Gzip Decompression, Standard Input Methods, Unified2 Compatibility, Flow Variables e HTTP Logging Module.

• Harlan Carvey e Don Weber lançaram um Magazine Online chamado Into the Boxes (pdf) sobre Forense e Resposta a Incidentes - os assuntos tratados nesta edição são: 1 - a chave de registro UserAssist e suas mudanças no Win 7 e 2008 R2 (incluindo link para download da ferramenta User Asssit do Diddlier Stevens); 2 - Análise de Memória usando o utilitário crash no Linux RedHat; Dicas como não jogar fora o adaptador SATA->USB daquele seu disco externo antigo; cuidados ao usar o FTK Imager; Entrevista sobre PCI com o Carvey.

• Nova geração de cartões VISA terá KeyPad, LCD e gerador de 'one time password' - Falando em PCI, tecnologia similar já é usada na Holanda há anos e deve diminuir sensivelmente a fraude online para os portadores deste tipo de cartão.

• A versão 2.0 do Threat Classification do WASC (Web Application Security Consortium) foi publicada - até o momento objetivo estão classificados 33 categorias de ataques como Cross-Site Scripting, Buffer Overflow, Remote File Inclusion e 15 vulnerabilidades como Improper Input Handling e Information Leakage - que podem levar ao comprometimento de um site, seus dados e seus usuários.