Equation APT #Kaspersky #NSA

1) Notícia em português: http://g1.globo.com/tecnologia/noticia/2015/02/supervirus-equation-e-capaz-de-infectar-hardware-do-disco-rigido.html

"A fabricante de antivírus russa Kaspersky Lab divulgou detalhes técnicos de uma série de ataques batizada pela empresa de "Equation". Especialistas da companhia chamaram os códigos usados pelos ataques de "a Estrela da Morte da galáxia dos malwares", em referência à arma da série "Guerra nas estrelas" capaz de destruir planetas.

As informações foram publicadas nesta segunda-feira (16), junto de uma palestra sobre os ataques apresentada no Security Analyst Summit (SAS), um evento promovido pela Kaspersky Lab que ocorre em Cancun, no México.

O Equation engloba uma série de programas de espionagem usados para roubar informações de instituições financeiras, governamentais e militares, além de atacar organizações de setores como comunicação, pesquisa nuclear, nanotecnologia e empresas de segurança envolvidas no desenvolvimento de criptografia.

Os códigos foram usados apenas contra alvos específicos de espionagem. Os países mais atacados são o Irã, a Rússia e o Paquistão, o Afeganistão, a Índia, a China, a Síria e Mali. No Brasil, uma organização do setor de aeronáutica teria sido invadida pelos espiões. A Kaspersky Lab estima que há pelo menos 500 vítimas do Equation no mundo.

Um dos componentes das pragas do grupo, chamado de "nls_933w.dll", é capaz de reprogramar o firmware de discos rígidos. O firmware é o software que controla a operação básica do disco, o que significa que o vírus infecta o próprio disco rígido, não apenas os dados nele armazenados. O firmware também controla sua própria memória, por isso o único meio garantido de remover o vírus é retirando e reprogramando fisicamente o chip do disco, o que nem sempre é possível sem danificar o hardware.

Ataques contra hardware são dificultados pelas diferenças entre fabricantes, mas isso não impediu os programadores do Equation. O "nls_933w.dll" consegue funcionar em equipamentos de mais de uma dúzia" de marcas, incluindo Seagate, Western Digital, Samsung, Toshiba, Maxtor e IBM. Apesar de a função estar presente, ela foi raramente usada, segundo a Kaspersky Lab.

Nos casos em que o disco rígido foi alterado, o vírus ganhou acesso a compartimentos de armazenamento "secretos" que não são removidos pela formatação, garantindo a permanência do código espião no sistema infectado."

(...)

2) O setor aeroespacial brasileiro  - a confirmar - foi uma das vítimas conhecidas. Trata-se da principal "suite" de ataque da NSA, capaz - entre outras coisas - de infectar firmware de dezenas de fabricantes de HD, inclusive, para sobrevive a formatações..

3) Blog Post inicial da Kaspersky - sobre o tema: http://securelist.com/blog/research/68750/equation-the-death-star-of-malware-galaxy/

4) Report Técnico (incluindo os IoCs - indicators of compromise) da Kaspersky: https://securelist.com/files/2015/02/Equation_group_questions_and_answers.pdf

5) Outras assinaturas Yara relacionadas a campanha: http://pastebin.com/P0Fb9DPb - não divulgados pelas Kaspersky

6) Samples (espécimes para análise): Cuidado! https://www.dropbox.com/s/latggdox9s3xv4t/Equation_x86_x64.zip?dl=0 - não divulgados pelas Kaspersky

7) Alguns exploits utilizados pelo "Equation" foram também usados pelo Stuxnet depois (ao menos 4 "0days" na lista): 

• Windows Kernel EoP exploit used in Stuxnet 2009 (atempsvc.ocx) fixed with MS09-025. (CVE unknown).
• TTF exploit fixed with MS12-034 (possibly CVE-2012-0159).
• TTF exploit fixed with MS13-081 (possibly CVE-2013-3894).
• LNK vulnerability as used by Stuxnet. (CVE-2010-2568).
• CVE-2013-3918 (Internet Explorer).
• CVE-2012-1723 (Java).
• CVE-2012-4681 (Java).

8) O ponto mais crítico / novo / interessante do relatório está na descrição módulo de persistência em firmwares de mais de uma dezena de fabricantes de HD. O conhecimento do código fonte destes firmwares pelo governo americano facilita este tipo de funcionalidade. Isto se dá possivelmente se a requerimentos como os previstos no NIST FIPS 140 Cryptographic Module Validation Program (CMVP)." (veja o slide 20) "source review" - além de outras possíveis alternativas - mais intrusivas. 

Descrição deste módulo:

"The plugin supports two main functions: reprogramming the HDD firmware with a custom payload from the EQUATION group, and providing an API into a set of hidden sectors (or data storage) of the hard drive"

(...)

"The main function to reflash the HDD firmware receives an external payload, which can be compressed by LZMA. The disk is targeted by a specific serial number and reprogrammed by a series of ATA commands. For example, in the case of Seagate drives, we see a chain of commands: “FLUSH CACHE” (E7) → “DOWNLOAD MICROCODE” (92) → “IDENTIFY DEVICE” (EC) → WRITE “LOG EXT” (3F). Depending on the reflashing request, there might be some unclear data manipulations written to the drive using “WRITE LOG EXT” (3F). For WD drives, there is a sub-routine searching for ARM NOP opcodes in read data, and then used further in following writes. Overall, the plugin uses a lot of undocumented, vendor-specific ATA commands, for the drives mentioned above as well as all the others"

Lista de Dispositivos suportados:

• “WDC WD”, <Western Digital Technologies Inc> additional vendor specific checks used
• “ST”, “Maxtor STM”, “SEAGATE ST”, <Seagate Technology>
• “SAMSUNG”, <SAMSUNG ELECTRONICS CO., LTD.>
• “WDC WD”, <Western Digital Technologies, Inc.> additional vendor specific checks used
• <HGST a Western Digital Company>, “IC”, “IBM”, “Hitachi”, “HTS”, “HTE”,“HDS”, “HDT”, “ExcelStor”
• “Max”, “Maxtor STM”
• <MICRON TECHNOLOGY, INC.>, “C300”, “M4”
• <HGST a Western Digital Company>, <TOSHIBA CORPORATION>
• “OCZ”, “OWC”, “Corsair”, “Mushkin” additional vendor specific checks used
• <Samsung Electronics Co., Ltd., Storage System Division>, <SeagateTechnology>, <SAMSUNG ELECTRONICS CO., LTD.> +additional checks
• <TOSHIBA CORPORATION COMPUTER DIVISION>, “TOSHIBA M” +checks
• <Seagate Technology>, “ST”

9) Mapa da vítimas identificadas:

10) Número de vítimas: cerca de 2000 por mês (estimativa baseada em um contador encontrado pela Kaspersky em uma das campanhas do "Equation").

Mais informações:

• Ars Technica: http://arstechnica.com/security/2015/02/how-omnipotent-hackers-tied-to-the-nsa-hid-for-14-years-and-were-found-at-last/
• Bruce Schneier: https://www.schneier.com/blog/archives/2015/02/the_equation_gr.html
• An analysis of reported Equation Group IP ranges and domains: http://blog.dynamoo.com/2015/02/an-analysis-of-reported-equation-group.html
• Surprise! America Already Has a Manhattan Project for Developing Cyber Attacks: http://www.wired.com/2015/02/americas-cyber-espionage-project-isnt-defense-waging-war/

Combate a malware com inteligência no endpoint - VirusTotal e CarbonBlack

A Virustotal e CarbonBlack anunciaram mais uma parceria que proporciona um avanço significativo aos analistas de segurança e às empresas que precisam lidar com cada vez mais espécimes diferentes de códigos maliciosos, diariamente.

A Virustotal - empresa espanhola adquirida pelo Google há menos de um ano - é a líder mundial em análise de malwares concomitantemente em múltiplos motores de Anti-Vírus (44 para ser exato) - e é uma ferramenta conhecida de equipes de Segurança e Resposta a Incidentes há vários anos.

O CarbonBlack é uma ferramenta revolucionária de resposta a incidentes, que permite que empresas monitorem de 100 a 100.000 máquinas com um baixo investimento em hardware (um servidor a cada 10mil máquinas, sem utilização de appliances) e utilizando apenas um pequeno sensor nas máquinas monitoradas (processos, alterações em file-system, registro, conexões de rede, etc). Eu comecei a acompanhar e testar o desenvolvimento da CarbonBlack em 2011, quando através dos livros e posts de Harlan Carvey fui convencido de sua eficiência e da importância do investimento na preparação pré-incidentes nos endpoints.

O relacionamento entre as duas empresas se iniciou através de um plugin para a ferramenta da CarbonBlack, que permite que todos os processos executados em máquinas monitoradas pela solução sejam verificados pelo VirusTotal (44 anti-vírus). Mas isto é acessível  apenas às empresas que possuem a solução CarbonBlack instalada em seus computadores.

Hoje foi anunciada uma parceria que provê dados da cadeia de execução de binários (especialmente malwares), através de uma nova seção acessível nas análises do VirusTotal, chamada "Relationships". Como o CarbonBlack controla quais foram os processos responsáveis pela criação de novos binários no sistema (ou a execução de binários já existentes), situações muito comuns como a exploração de aplicações vulneráveis (Java, Adobe Reader, Browsers, etc) e ataques com vários estágio (exemplo: dropper -> downloader -> backdoor) podem ser investigados de forma rápida e centralizada. 

Alguns outros benefícios imediatos da parceria para os clientes de ambas empresas são os seguintes:

• Feedback em tempo real da comunidade VirusTotal  sobre novos binários executados na empresa;
• Update em tempo real de binários suspeitos assim que as diferentes empresas de Anti-Vírus respondem às novas ameaças;
• A capacidade de visualizar o relacionamento entre binários para se preparar ,detecar e responder a ataques envolvendo malwares (mesmo os não identificados pela principal ferramenta de AV da organização);
• Notificação avançada de novos ataques 0day.

Mais informações:

• Veja mais detalhes sobre o CarbonBlack no site da Apura CyberSecurity Intelligence
• Mais informações sobre a nova funcionalidade do VirusTotal no site da CarbonBlack
• Veja outros sites como o VirusTotal no post "Sites-Ferramentas de Segurança"

Shameless Plug - A Apura é representante exclusiva da CarbonBlack no Brasil.

Fases de um Ataque: Stealth

[ 17/02/2009 - Update: ]

O Bruce Schneier se pronunciou sobre o tema, baseado também no caso da Logic Bomb da Fannie Mae. (Obrigado ao Marcelo e Lucas pelo link).

[ 12/02/2009 - Update: ]

O blog sobre forensics do Sans Institute publicou um artigo sobre "Logic Bombs", citando o caso da Fannie Mae, dentre outros, vale a pena conferir. Eles também fizeram algumas colocações interessantes para evitar ser vítima deste tipo de ataque - resumindo:

- Conheça, controle e revise os acessos aos seus sistemas de informação
- Utilize o princípio do mínimo privilégio - como base para a distribuição de acessos.
- Garanta que a revogação de privilégios seja um processo rápido e automatizado.
- Leve a sério ameaças de empregados insatisfeitos

Eu acrescentaria à esta lista:

- Monitore e audite os acessos administrativos ( não conte com a sorte =)

[ 03/02/2009 ]

Em 1998 um artigo de Alan Boulanger chamado "Catapults and Grappling Hooks, The Tools and Techniques of Information Warfare" apresentou uma divisão até então inédita das fases comumente utilizadas durante um ataque computacional. São elas: 1. reconnaissance, 2. probe, 3. toehold, 4. advancement, 5. stealth, 6. listening post, and 7. takeover.

Cada uma das fases descritas é proporcionada ou auxiliada pela fase anterior e de forma direta ou indireta prepara o atacante para a execução da próxima.

Onze anos depois, as fases conceituais não mudaram muito, mas certamente a motivação dos atacantes e a importância das diferentes fases para que estes alcancem seus objetivos são sempre variáveis.

Neste post pretendo apresentar três casos em que a fase stealth de ataques publicamente conhecidos foi fundamental, deixando claro os perigos inerentes ao não reconhecimento tempestivo das fases anteriores, o que acarreta invariavelmente em grandes perdas financeiras diante de atacantes bem preparados e motivados.

1) Em 2005, um ataque extremamente sofisticado culminou no escândalo com roteiro de filme - incluindo suicídio de um engenheiro envolvido na trama - ocorrido com a operadora GSM grega Vodafone-Panafon. A bem executada fase stealth do ataque permitiu que os perpetradores grampeassem o celular de mais de 100 figuras públicas da Grécia durante vários meses.

2) A HeartLand - empresa que recentemente divulgou ser vítima de um ataque stealth elaborado que possibilitou o maior vazamento de dados de cartão de créditos da história, ocorrido em 2008 - precisou de 3 equipes de investigação e mais de 2 meses depois de um alerta da Visa para descobrir que o sniffer responsável pela captura dos dados estava escondido em espaço não alocado do disco de seus servidores.

3) Na Fannie Mae - empresa de hipotecas sob administração do governo americano desde setembro de 2008 - um ex-administrador de sistemas contratado implantou em 4000 de seus servidores UNIX uma bomba relógio que iria remover o acesso dos demais administradores e apagar (wipe) vários terabytes de dados críticos da empresa, em 31/01/2009. Por sorte, o plano foi descoberto antes porque o esforço stealth deste atacante interno foi baixo, ele apenas incluiu várias linhas em branco dos scripts de manutenção dos servidores antes de digitar seus comandos maliciosos. Se a mesma sofisticação dos casos 1) e 2) tivesse sido utilizada, o impacto seria altíssimo.

Ladrão que rouba de ladrão - versão online.

Hoje o blog "Zero Day" da ZDNet publicou um artigo interessante sobre as técnicas utilizadas pelos fabricantes de kits de malware/phishing (como o Pinch, Rock , DIY e Zeus) para explorar os phishers script kiddies que utilizam estes kits prontos para efetuar seus golpes.

Segundo análise de Dancho Danchev, de 30% a 40% dos kits possuem backdoors que permitem aos seus criadores ou distribuidores obterem as informações confidenciais (logins de acesso, credenciais bancárias roubadas, capturas de tela) dos golpes sendo efetuados pelos phishers novatos que adquiriram o kit...

Além disto, existem vulnerabilidades conhecidas em alguns kits que permitem que outros fraudadores se aproveitem e tenham acesso não autorizado em uma "operação" em andamento por outro grupo de phishers..

Ladrão que rouba de ladrão...