Online Security Tools (Malware, Sandboxes, Hash Checking, Cracking, DNSBL, SSL, BGP)

http://tinyurl.com/seconline

Online Security Tools (Malware, Sandboxes, Hash Checking, Cracking, DNSBL, SSL, BGP)

[ Last Update: 03/19/2015]

Some readers and friends convinced me recently to start posting some articles in english as well - to reach a wider audience. Lets start with a quick post containing a list of very useful online security tools. The services are very useful for incident responders, forensicators and security information practitioners. Enjoy:

Multiple AV Analysis:
http://www.virustotal.com
http://virusscan.jotti.org
http://virscan.org
http://scanner.novirusthanks.org

Sandboxes:
http://camas.comodo.com
http://www.threattracksecurity.com/resources/sandbox-malware-analysis.aspx
http://urlquery.net/
http://malwr.com
http://anubis.iseclab.org
http://mwanalysis.com
http://www.norman.com
http://www.sunbeltsoftware.com
http://www.threatexpert.com

PE File Analyzer:
http://pev.sf.net.


Document Analysis:
https://malwaretracker.com/doc.php
http://www.joedoc.org
https://www.vicheck.ca
http://wepawet.iseclab.org
http://jsunpack.jeek.org
http://www.adopstools.com/ (flash)
https://blog.honeynet.org.my/gallus/upload/about


WhiteLists/BlackLists Hash Checking:
http://fileadvisor.bit9.com
https://hash.cymru.com
http://isc.sans.edu/tools/hashsearch.html
http://bin-test.shadowserver.org
http://isc.sans.edu/tools/hashsearch.html
http://www.team-cymru.org/Services/MHR/
http://www.nsrl.nist.gov/
http://www.bit9.com/products/bit9-global-software-registry.php
https://www.owasp.org/index.php/OWASP_File_Hash_Repository

Cracking for WPA/WPA2, LM e NTLM:
https://www.cloudcracker.com

Other Hash Crackers Online (MD5,SHA1&256,LM,NTLM,MySQL):
http://www.objectif-securite.ch/
http://md5.thekaine.de/
http://hashcrack.ath.cx/onlinehashcrackers.htm

Multiple DNSBL Checking (Spam):
http://multirbl.valli.org
http://mxtoolbox.com

Network captures Analysis:
http://cloudshark.org
http://pcapr.net


SSL Testing:
https://www.ssllabs.com/ssldb/
http://www.serversniff.net/content.php?do=ssl


IPs/URLs Analysis:
http://trasir.com/
http://www.ipvoid.com
http://www.urlvoid.com
http://www.google.com/safebrowsing/diagnostic?site=example.com
http://www.unmaskparasites.com
http://www.hackerfantastic.com

Autonomous Systems and BGP Monitoring:
http://bgpmon.net
http://cyclops.cs.ucla.edu
http://maliciousnetworks.org

Combate a malware com inteligência no endpoint - VirusTotal e CarbonBlack

A Virustotal e CarbonBlack anunciaram mais uma parceria que proporciona um avanço significativo aos analistas de segurança e às empresas que precisam lidar com cada vez mais espécimes diferentes de códigos maliciosos, diariamente.

A Virustotal - empresa espanhola adquirida pelo Google há menos de um ano - é a líder mundial em análise de malwares concomitantemente em múltiplos motores de Anti-Vírus (44 para ser exato) - e é uma ferramenta conhecida de equipes de Segurança e Resposta a Incidentes há vários anos.

O CarbonBlack é uma ferramenta revolucionária de resposta a incidentes, que permite que empresas monitorem de 100 a 100.000 máquinas com um baixo investimento em hardware (um servidor a cada 10mil máquinas, sem utilização de appliances) e utilizando apenas um pequeno sensor nas máquinas monitoradas (processos, alterações em file-system, registro, conexões de rede, etc). Eu comecei a acompanhar e testar o desenvolvimento da CarbonBlack em 2011, quando através dos livros e posts de Harlan Carvey fui convencido de sua eficiência e da importância do investimento na preparação pré-incidentes nos endpoints.

O relacionamento entre as duas empresas se iniciou através de um plugin para a ferramenta da CarbonBlack, que permite que todos os processos executados em máquinas monitoradas pela solução sejam verificados pelo VirusTotal (44 anti-vírus). Mas isto é acessível  apenas às empresas que possuem a solução CarbonBlack instalada em seus computadores.

Hoje foi anunciada uma parceria que provê dados da cadeia de execução de binários (especialmente malwares), através de uma nova seção acessível nas análises do VirusTotal, chamada "Relationships". Como o CarbonBlack controla quais foram os processos responsáveis pela criação de novos binários no sistema (ou a execução de binários já existentes), situações muito comuns como a exploração de aplicações vulneráveis (Java, Adobe Reader, Browsers, etc) e ataques com vários estágio (exemplo: dropper -> downloader -> backdoor) podem ser investigados de forma rápida e centralizada. 

Alguns outros benefícios imediatos da parceria para os clientes de ambas empresas são os seguintes:

• Feedback em tempo real da comunidade VirusTotal  sobre novos binários executados na empresa;
• Update em tempo real de binários suspeitos assim que as diferentes empresas de Anti-Vírus respondem às novas ameaças;
• A capacidade de visualizar o relacionamento entre binários para se preparar ,detecar e responder a ataques envolvendo malwares (mesmo os não identificados pela principal ferramenta de AV da organização);
• Notificação avançada de novos ataques 0day.

Mais informações:

• Veja mais detalhes sobre o CarbonBlack no site da Apura CyberSecurity Intelligence
• Mais informações sobre a nova funcionalidade do VirusTotal no site da CarbonBlack
• Veja outros sites como o VirusTotal no post "Sites-Ferramentas de Segurança"

Shameless Plug - A Apura é representante exclusiva da CarbonBlack no Brasil.

10 Curtas de Carnaval

• A Enisa lançou um excelente material entitulado "Botnets, Measurement, Detection, Disinfection and Defence" - os times responsáveis por segurança de backbone dos ISPs brasileiros deveriam colocá-lo na cabeceira, para evitar que o Brasil continue figurando como o maior originador de spam (a maioria redirecionado via bot) do mundo.

• O Google Chrome está prestes a repetir a boa performance dos dois anos anteriores e sobreviver ao desafio anual "pwn2own" da conferência CanSecWest;

• O Internet Explorer 8 rodando em Windows 7 SP1, apesar dos propelados avanços no tocante a segurança, não sobreviveu ao primeiro dia da competição. O Safari foi outro que entregou os pontos rapidamente.

• Há dois dias muitos usuários do antivírus AVG estão reportando a incidência de falso-positivos em todos os arquivos PDF. Dada a prevalência de explorações neste formato, nem todos são falsos..

• A proteção e monitoração de redes privadas que estejam de alguma forma relacionadas à infra-estrutura crítica é uma realidade cada vez mais comum em diferentes países. A Inglaterra recentemente anunciou esta iniciativa e os Estados Unidos já se preparam para isto há anos.

• As duas botnets mais usadas pelo cibercrime (Zeus e SpyEye), estão efetuando ataques de DDoS nos sites que fornecem blacklists contendo seus servidores de comando e controle (C&C).

• Regulamentação na Europa obrigará sites a solicitar aprovação do usuário antes que informaçōes suas pessoais sejam registradas (deve impactar na forma como os cookies são usados, especialmente nas propagandas online)

• Uma padronização para as várias fases de testes de invasão foi lançada recentemente, trata-se da PTES - Penetration Testing Execution Standard

• Uma das ferramentas mais utilizadas para captura de tráfego de rede, o WireShark, foi recentemente atualizada devido a uma falha que mata (DoS) a aplicação em uma rede local - detalhes (incluindo módulo do Metasploit) aqui.

• A Verifone (líder em sistemas de pagamentos móveis) contra-ataca o crescimento do Square, o leitor de cartōes para iPhone - mostrando suas vulnerabilidades!

• Mais uma bomba na indústria de anti-vírus: análise feita pela NSS Labs mostra uma performance nada elogiável dos maiores players do mercado.

Falso Positivo em AntiVírus da Mcafee faz estrago

Estamos mais do que acostumados com falso-negativos por parte de anti-vírus, mas quando o problema são os falso-positivos, o estrago pode ser maior.

Como todos sabem, a indústria de AV está investindo cada vez mais em novas tecnologias de análise heurística, pois blacklisting não é suficiente. Mas e quando alguém "erra a mão" e binários normais de sistema do windows são identificados como ameaça?

Foi o que aconteceu hoje com o update DAT 5664 da Mcafee. Mais informações aqui, aqui e aqui. Blue Screen of Death (BSOD) pra todo lado... Tome cuidado, caso você use (ou seja responsável) por anti-vírus da Mcafee, teste este DAT com cuidado antes de aplicá-lo em seu ePO.