Exploit Kits e o seu Java

[ Update: 10/01/2013 ]

• O Java começa muito mal o ano, com um 0day em ativa exploração e sem patch da Oracle para todas as versões do Java 7 (e 6.10+).  Desabilite (ou desinstale) o Java imediatamente do seu browser. Se você precisa dele (para usar o Internet Banking por exemplo), separe um browser específico para isto. Para usuários de Windows, as dicas presentes no artigo "A saga de se manter seguro usando Windows" continuam valendo. 

• O patch está disponível no site da Oracle (em 13/01/2013 - quatro meses depois do conhecimento da vulnerabilidade pela empresa).
• Ainda em dúvida? Saiba que o Java é responsável por mais de metade (56%) de todos os ataques relacionados à softwares vulneráveis. 

• Os exploits que se aproveitam da falha já estão presentes em vários Exploit Kits e também está disponível no Metasploit Framework. 
• A melhor análise sobre os exploits disponível até o momento é da Immunity (PDF). 
• Um artigo recente da Kaspersky divulgou que servidores comprometidos (incluindo .br), estão redirecionando vítimas para instalações do exploit kit BlackHole.
• A Apple bloqueiou o Java no OSX e o Firefox está bloqueando o plugin. 

[ Update: 30/08/2012 ]

A Oracle lançou um patch "out-of-band" e corrigiu a vulnerabilidade do Java. Não perca tempo e atualize-se agora: http://www.oracle.com/technetwork/java/javase/downloads/index-jsp-138363.html

Se você administra uma rede com muitos endpoints, comece logo para não se arrepender depois, o número de ataques utilizando esta falha está crescendo exponencialmente.

[ Update: 27/08/2012 ]

O Java continua sendo um dos maiores vilões da segurança dos endpoints na atualidade. A falha publicada ontem afeta as versões do Java 7 (do update 0 até o 6). 

Se você não precisa do Java, desabilite o plugin/extensão relacionada, e a ative apenas para acessar os sites que necessitam dele habilitado para funcionar. Uma alternativa de fácil utilização para  o Firefox é o NoScript. Nas versões mais recentes do Chrome a execução do Java é autorizada por sessão ou site, o que é uma boa medida de segurança.

Para verificar se a versão do Java que você usa neste browser está vulnerável, acesse este link: http://www.isjavaexploitable.com/. Para verificar o estado de correção de vulnerabilidades de todas as suas aplicações windows, use este link: http://secunia.com/products/consumer/osi/online/

Seguem os passos publicados pelo US-CERT sobre como desabilitar o plugin do Java em diferentes navegadores:

• Apple Safari: How to disable the Java web plug-in in Safari

• Mozilla Firefox: How to turn off Java applets

• Google Chrome: See the "Disable specific plug-ins" section of the Chrome Plug-ins documentation.

• Microsoft Internet Explorer: Change the value of the UseJava2IExplorer registry key to 0. Depending on the versions of Windows and the Java plug-in, the key can be found in these locations:

• HKLM\Software\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

• HKLM\Software\Wow6432Node\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

• The Java Control Panel (javacpl.exe) does not reliably configure the Java plug-in for Internet Explorer. Instead of editing the registry, it is possible to run javacpl.exe as Administrator, navigate to the Advanced tab, Default Java for browsers, and use the space bar to de-select the Microsoft Internet Explorer option.

O exploit kit Blackhole já está explorando a falha, como de costume (ver updates mais antigos abaixo). O famoso e gratuito toolkit de exploração Metasploit também foi atualizado com o ataque.

Vale lembrar que além de usuários Windows, a ameaça também afeta usuários de MacOS e Linux. Vai ser uma semana de trabalho fácil para os pentesters. Uma interessante análise do uso deste tipo de exploit pode ser vista em "Oracle Java 0day and the Myth of a Targeted Attack"

O caso é também de interesse para mostrar como um "0day" (que é chamado assim por todos que AINDA não tinham conhecimento da vulnerabilidade - o que não inclui um grupo seleto de compradores deste mercado) rapidamente se torna disponível aos "blackhats" (BlackHole) e "gray"/"white-hats" (Metasploit).

As velhas dicas contidas em "A saga de se manter seguro usando Windows" continuam valendo, especialmente no tocante ao controle da atualização dos programas (patch management). O Secunia PSI continua sendo uma boa opção.

Outras informações interessantes publicadas hoje sobre o assunto:

• Primeiro post sobre o assunto, da FireEye: 
• Zero-Day Season is not over yet
• Entrada da vulnerabilidade no US-CERT:
• Oracle Java 7 Security Manager Bypass Vulnerability
• Dicas de como desabilitar o java no seu browser:
•  Disable Java In Your Browser To Avoid A Nasty New Malware-Spreading Attack
• Patch não oficial:
• Java 7 0-Day vulnerability information and mitigation
• Detalhes técnicos:
• Details of New Java Exploit Emerge
• Java Facepalm: SunToolkit.getField Vulnerability
• Java 7 ClassFinder Restricted Package Bypass

[ Update: 19/03/2012 ]

A vulnerabilidade JAVA CVE-2011-3544 continua exercendo um papel fundamental em diferentes campanhas de ataque analisadas recentemente - segue uma breve compilação de cases abaixo.  (obrigado ao Alberto Fabiano pela dica de alguns links):

1 - F-Secure: Mac Malware at the Moment
http://www.f-secure.com/weblog/archives/00002330.html 

2 - ESet: Drive-by FTP: a new view of CVE-2011-3544
http://blog.eset.com/2012/03/17/drive-by-ftp-a-new-view-of-cve-2011-3544 


3 - TrendMicro: NGOs Targeted with Backdoors
http://blog.trendmicro.com/human-rights-organizations-possible-new-targets/

4 - GFI: Online Criminals Bank on Skype Vouchers to Spread Exploit
http://www.gfi.com/blog/online-criminals-bank-on-skype-vouchers-to-spread-exploit/ 

5 - ThreatPost: Rare RAM-Based Malware Attacks Visitors of Russian Information Sites
http://threatpost.com/en_us/blogs/rare-ram-based-malware-attacks-visitors-russian-information-sites-031912

6 - Mac OS X exploit and Trojan horse monitoring users via webcam
http://news.drweb.com/show/?i=2262&lng=en&c=5

7 - SecureList: A unique 'fileless' bot attacks news site visitors
http://www.securelist.com/en/blog/687/A_unique_fileless_bot_attacks_news_site_visitors


[ Update: 28/12/2011 ]

Como imaginado o CVE 2011-3544 já é desde ontem o principal vetor entre as infecções "drive-by-download" no Brasil.

Uma imagem vale mais do que mil palavras:

Fonte: Assolini da Kaspersky via Twitter [1, 2]

[ Update: 01/12/2011 ]

Java.. um mal desnescesário?

I) Problemas com o Java, mais uma vez:

Alguns "exploit kits" já continham o exploit "Java Rhino" (CVE 2011-3544) e o nível de sucesso de sua execução em diferentes versões de S.O. e browsers é bem alto - veja um exemplo de console do exploit kit "BlackHole" (imagem)

Pra piorar a situação, ontem foi disponibilizado para qualquer um baixar (projeto metasploit) um módulo de exploração desta vulnerabilidade Java (ou seja: cross-platform & cross-browser).

Código (Metasploit - Ruby): http://dev.metasploit.com/redmine/projects/framework/repository/revisions/f26f6da74b4e6d87d2c59034b85dfb1ae0d1b1d7/entry/modules/exploits/multi/browser/java_rhino.rb

Mas, vulnerabilidades são descobertas a todo minuto, exploits são escritos a toda hora, porque dar destaque a esta específica? Continue lendo.. 

Logo que saiu, eu testei em Linux, Mac e Windows 7 - funcionou em todos sem exceção (Firefox, Chrome, IE, Safari)! 

Como vocês podem ver no post original (de 02 Agosto) abaixo, a elevação de privilégios explorando vulnerabilidades Java é bem mais simples de ser obtida e esta é uma mina de ouro para ataques de Drive-by Download, entre outros..

A coisa é mais complicada ainda porque o usuário não precisa interagir em absolutamente nada durante o processo de exploração da vulnerabilidade. Some a isto a realidade da dificuldade de manter todas as instalações de JAVA "up-to-date" em uma empresa, e você tem um cenário bem negro pra lidar..

II) Cenário provável nos próximos dias:

Quanto tempo até que grande portais e provedores redirecionem [WEB ou DNS invadido ou envenenado] milhares de usuários de internet banking (ou até hotmail.com, google.com como aconteceu recentemente) pruma página com um Drive-By Download (iframe invisível no site, por exemplo) com este exploit Java - multi-browser e multi-plataforma?

Minha opinião: não demora e vai ser feio.. =/

III)  Para os que só acreditam vendo: 

Vídeo 1) Original: www.youtube.com/watch?v=4xI9USYl8P0 (IE / XP)

Vídeo 2) Armitage: www.youtube.com/watch?v=cXctDpaNIjw (Firefox, Internet Explorer, Safari - Windows, MacOS X, Linux)

IV) O que você pode fazer quanto a isto?

Segundo a Microsoft, o cliente Java hoje é responsável por praticamente a metade das explorações a máquina Windows. Ou seja, antes de mais nada - avalie se você realmente precisa do Java.. assim como do Adobe Reader.. =) Pelo altíssimo grau de exploração de ambos, seriam "um mal desnecessário"?

Se você é usuário Linux ou Mac - tenha certeza de sempre fazer update das aplicações assim que as correções são lançadas.

Mas - como garantir que você tem as últimas versões do Java e de outros aplicativos no(s) seu(s) computador(es) Windows?

Software (já recomendado aqui várias vezes): 

Secunia PSI - http://secunia.com/vulnerability_scanning/personal/

Se você acha que não precisa, faça o teste online e veja quantas aplicações você vulneráveis (apenas aguardando a exploração..) no seguinte link:

OSI (Online): http://secunia.com/vulnerability_scanning/online/

Mais informações:

• http://www.oracle.com/technetwork/topics/security/javacpuoct2011-443431.html
• http://eromang.zataz.com/2011/11/30/cve-2011-3544-java-applet-rhino-script-engine-metasploit-demo/
• http://krebsonsecurity.com/2011/11/public-java-exploit-amps-up-threat-level/
• http://allthingsd.com/20111202/why-today-is-a-very-good-day-to-update-java-on-your-computer/
• http://www.darkreading.com/vulnerability-management/167901026/security/attacks-breaches/232200604/the-dark-side-of-java.html
• https://community.rapid7.com/community/metasploit/blog/2011/11/30/test-results-for-javarhino

[ Post Original: 02/08/2011 ]

Entre 2009 e 2010 eu publiquei e atualizei um artigo entitulado "A saga de se manter seguro usando Windows", contendo dicas para usuários finais (usando ferramentas gratuitas).

As dicas da época continuam valendo - assim como a recomendação do Secunia para facilitar a aplicação dos patches necessários - porém infelizmente a facilidade de exploração de aplicações vulneráveis não deixa de ficar maior a cada ano..

Hoje são tantos os exploit kits disponíveis no mercado que análises comparativas como a publicada pela Kaspersky recentemente não chegam a ser novidade, mas alguns detalhes merecem destaque:

Os exploit kits mais famosos (BlackHole, NeoSploit, Phoenix, Incognito e Eleonore) objetivam atingir usuários com uma série de exploits sucessivos durante a sua navegação (em um ataque conhecido como Drive-by Download), e por isto exploram principalmente vulnerabilidades de navegadores e seus plugins. São exploradas vulnerabilidades do IE, Firefox, Chrome, Flash e Java, por exemplo. Porém as vulnerabilidades do JAVA são as mais utilizadas nos exploit kits.. Mas, por que?

Confiram o caminho necessário para exploração de cada aplicação a partir da imagem abaixo (publicada no artigo da Kaspersky linkado acima): está esclarecida a preferência por vulnerabilidades no JAVA?  

E o seu Java, está atualizado? Confira aqui no site da Secunia.

Com a melhoria na proteção de execução em memória no Windows, principalmente com as "barreiras" DEP e ALSR - o atacante tem mais trabalho para conseguir executar instruções maliciosas a partir de um processos em execução que possuam estas proteções. Para um detalhamento de como estes bypasses funcionam, sugiro um artigo do Ronaldo do blog "Crimes Cinernéticos".

CiberGuerra e CiberEspionagem: O uso de ferramentas de invasão por Nações e Governos

Recentemente estive palestrando sobre CiberGuerra e CiberEspionagem no Campus Party Recife, e fiquei surpreso ao final da apresentação ao receber mais de 20 perguntas da audiência sobre este tema.

O assunto chama cada vez mais atenção da mídia e consequentemente do público. Infelizmente, em geral a cobertura feita pela mídia (mesmo a especializada) é movida pela técnica de "FUD" (Fear Uncertainty and Doubt) dos fabricantes de tecnologia de segurança da informação, como empresas de anti-vírus.

Este post tem o objetivo de listar resumidamente os tipos de ferramentas conhecidas que tem sido utilizadas por Nações (CiberGuerra, CiberEspionagem) e Governos (em apoio ao Sistema Judiciário) em ações relacionadas à CiberGuerra e CiberEspionagem.

I) "Nation-State Designed":

Uma coisa importante a perceber é que uma vez montado um framework (ou obtido de fontes conhecidas) é fácil recompilar e fazer "novos" trojans. No caso dos casos mais recentes, o "Gauss" possui rotinas de decriptação similares ao "Flame" e ambos por sua vez contém a mesma rotina de infecção USB que o "Stuxnet". Ou seja, O "Gauss" está mais pra irmão do "Flame" e primo do "Stuxnet", que por sua vez tem como irmão o "Duqu". Todos eles fazem parte do mesmo projeto / framework americano chamado "Olympic Games". Diferentes compilações dos mesmo framework, que rendem às empresas de anti-vírus bastante publicidade quanto são descobertas.

II) Trojans para investigações online

Usados para investigações policiais em alguns países e normalmente autorizados judicialmente. Nada impede que sejam utilizados fora deste contexto ou países, pelos seus autores ou detentores de seu código.

Alguns exemplos são o CIPAV (US/FBI) e o Bundestrojaner (Alemanha)

Mais detalhes sobre este ítem neste post: http://sseguranca.blogspot.com.br/2009/04/cipav-fbi-utiliza-spyware-em.html

III) "Closed Market" Penetration Tools & Exploits:

Existem diversas ferramentas mais "comerciais" (apesar de teoricamente seu acesso ser restrito à governos com uma lista negra de países a quem não se vende). Como exemplo podemos citar as vendidas pela italiana HackingTeam e pela inglesa Gamma - que recentemente teve seu "FinFisher" identificado em cerca de 10 países:

https://community.rapid7.com/community/infosec/blog/2012/08/08/finfisher

Há também empresas como a francesa VUPEN, que vendem exploits para vulnerabilidades 0-day, somente para governos.

IV) Commercial Frameworks:

Existem vários frameworks comerciais de pentest como o argentino Core Impact e os americanos Metasploit Pro da Rapid7 e Immunity Canvas. Neles uma infinidade de exploits podem ser utilizados para atacar sua própria infra-estrutura, ou a dos outros..

V) Open Source Frameworks:

Vale a pena ressaltar que em geral as redes (governamentais, educationais e comerciais) não requerem tanta sofisticação para serem invadidas, e o uso de ferramentas amplamente conhecidas com exploits públicos e técnicas simples de Spear Phishing são suficientes para invadir mesmo infra-estruturas críticas (como exemplo recente veja a notícia do possível ataque "ThunderStruck" com o Metasploit Framework na agência nuclear iraniana).

http://www.f-secure.com/weblog/archives/00002403.html

Computer Security Incident Handling Guide - NIST SP 800-61 Revision 2

Uma notícia curta mas extremamente relevante para quem está procurando informações para formação ou melhoria de processos internos de times de Resposta a Incidentes de Segurança (CSIRTs - Computer Security Incident Response Teams).

O NIST (National Institute of Standards and Technology) norteamericano divulgou há poucos dias a segunda revisão do "Computer Security Incident Handling Guide", Special Publication n. 800-61"

No documento são cobertos pontos importantes como a Organização do time, incluindo a definição de eventos e incidentes, o planejamento e processos e procedimentos necessários, modelos de times, tipos de serviços oferecidos por CSIRTs.

Também são abordados aspectos práticos do tratamento de incidentes de segurança são tratados, como a preparação, prevenção, detecção, vetores de ataque, sinais da ocorrência de incidentes e sua análise, documentação, priorização e notificação.

Além disto, o documento traz informações a respeito da contenção, erradicação e recuperação de incidentes de segurança, incluindo um checklist e dicas de coordenação dos incidentes com outros times de resposta a incidentes.

Caso você tenha se interessado, o documento pode ser baixado diretamente no site do NIST - Computer Security Incident Handling Guide", Special Publication n. 800-61.

Artigos relacionados:

• Material de Treinamento para equipes de Resposta a Incidentes e Forense Computacional (ENISA)
• Preparação de equipes na área de Cybersecurity (CERT)