13 sources of global cyber attack maps

13 sources of global cyber attack maps (some interactive):

1 - Cyber Threat Map by FireEye

2 - Cyber Warfare Real Time Map by Kaspersky

3 - Top Daily DDoS Attacks Worldwide by Google

4 - Security Tachometer by Deutche Telekom

5 - Cyberfeed Live Botnet Map by AnubisNetworks

6 - Real-time Web Monitor by Akamai

7 - IpViking Live Map by Norse

8 - Honeypots from the Honeynet Project

9 - Global Activity Maps by Arbor

10 - Global Botnet Threat Activity Map by Trend Micro

11 - DDoS Attacks by ShadowServer

12 - Internet Malicious Activity Maps by TeamCymru

13 - Globe and WorldMap by F-Secure

last update: 10/17/2014

Mais 10 Cutas e Boas

Algumas Curtas e Boas vindas de RSS Feeds e do Twitter:

• Técnicas de análises de artefatos gerados pela utilização do Facebook e do Google Plus foram divulgadas recentemente;

• Novo password cracker usando GPU, chamado Durandal, se diz mais rápido que o EDPR (já falamos sobre ele aqui);

• Depois das análises de ataques e defesas a marcapassos e outros dispositivos médicos que usam comunicações Wireless (veja mais aqui) - segue um caso de um pentester criativo pensando em como invadir os equipamentos usados em exames cardiológicos ("Exploits that can Kill");

• O blog JIIR publicou um guia para verificação de vulnerabilidades e incidentes envolvendo a sua empresa utilizando o Google como fonte de pesquisa;

• JailBreakMe.com está de volta com o "One-Click iOS Jailbreaking" para iPods, iPhones e iPads, explorando uma vulnerabilidade PDF - até que a Apple corrija a vulnerabilidade, quem faz JailBreak está mais seguro (pode instalar o pacote "PDF Patcher 2";

• Malwares que infectam a MBR (Master Boot Record) estão de volta - veja a Análise da Sophos sobre o Popureb (.pdf). E leia sobre o TDL4 no site da Kaspersky. (Vale a pena também ler uma comparação entre os dois no que tange à alteração da MBR). Para finalizar, dicas práticas para analisar um sistema com a MBR alterada podem ser lidas no post "MBR Analysis";

• Um paper recentemente publicado (.pdf) por uma série de Pesquisadores da Califórnia faz uma interessante análise da eficiência de técnicas utilizadas para fazer takedown (derrubada) de botnets. A conclusão: o bom e velho "Follow the Money" - inviabilizar o recebimento de dinheiro (3 bancos eram responsáveis por mais de 90% do movimento) é muito mais eficiente do que focar esforço em derrubada de domínios, sites web, servidores DNS, etc.. ;

• Em análise publicada sobre proliferação de código malicioso no ano de 2011 (.pdf), a BlueCoat afirma que hoje a maior fonte de infecção se dá através de "Search Engine Poisoning" (SEP);

• Para quem já está com preguiça de acompanhar os eventos #AntiSec - segue um bom resumo aqui;

• Ainda sobre o assunto "hacktivism" foram publicados alguns logs de chats do Bradley Manning (soldado norte-americano que foi a fonte de informação/vazamento inicial do Wikileaks);

10 Curtas de Carnaval

• A Enisa lançou um excelente material entitulado "Botnets, Measurement, Detection, Disinfection and Defence" - os times responsáveis por segurança de backbone dos ISPs brasileiros deveriam colocá-lo na cabeceira, para evitar que o Brasil continue figurando como o maior originador de spam (a maioria redirecionado via bot) do mundo.

• O Google Chrome está prestes a repetir a boa performance dos dois anos anteriores e sobreviver ao desafio anual "pwn2own" da conferência CanSecWest;

• O Internet Explorer 8 rodando em Windows 7 SP1, apesar dos propelados avanços no tocante a segurança, não sobreviveu ao primeiro dia da competição. O Safari foi outro que entregou os pontos rapidamente.

• Há dois dias muitos usuários do antivírus AVG estão reportando a incidência de falso-positivos em todos os arquivos PDF. Dada a prevalência de explorações neste formato, nem todos são falsos..

• A proteção e monitoração de redes privadas que estejam de alguma forma relacionadas à infra-estrutura crítica é uma realidade cada vez mais comum em diferentes países. A Inglaterra recentemente anunciou esta iniciativa e os Estados Unidos já se preparam para isto há anos.

• As duas botnets mais usadas pelo cibercrime (Zeus e SpyEye), estão efetuando ataques de DDoS nos sites que fornecem blacklists contendo seus servidores de comando e controle (C&C).

• Regulamentação na Europa obrigará sites a solicitar aprovação do usuário antes que informaçōes suas pessoais sejam registradas (deve impactar na forma como os cookies são usados, especialmente nas propagandas online)

• Uma padronização para as várias fases de testes de invasão foi lançada recentemente, trata-se da PTES - Penetration Testing Execution Standard

• Uma das ferramentas mais utilizadas para captura de tráfego de rede, o WireShark, foi recentemente atualizada devido a uma falha que mata (DoS) a aplicação em uma rede local - detalhes (incluindo módulo do Metasploit) aqui.

• A Verifone (líder em sistemas de pagamentos móveis) contra-ataca o crescimento do Square, o leitor de cartōes para iPhone - mostrando suas vulnerabilidades!

• Mais uma bomba na indústria de anti-vírus: análise feita pela NSS Labs mostra uma performance nada elogiável dos maiores players do mercado.

Medley: Forense USB e Shadow, Backtrack 4, Twitter+Bots e mais!

Não costumo fazer posts genéricos, mas tenho visto tanta coisa interessante, que preferi fazer um resumo de algumas novidades:

Seguem os links recomendados:

Forense Computacional:

• Passo a Passo para Forense de uso de PenDrives USB e Forense de uso de Discos USB para WinXP, Vista e Win7 (via SANS)
• Boas dicas de Análise Forense para Shadow Copies em Vista (via SANS)
• Entrevista com Harlan Carvey (autor do Windows Forensic Analysis) (via Help Net)
• Enscript para fazer Hash de Texto selecionado no Encase (via Lance Mueller)
• Entrevista com o Diretor de Forensics da KPMG sobre a evolução da Forense Corporativa (via BankInfoSecurity)

Resposta a Incidentes:

• Live CD BackTrack 4 Pre Release Disponível para Download (via Remote-Exploit)
• Utilização do Twitter como Comando e Controle de Bots/Trojan bancários (via Arbor)
• Questões de escalabilidade de soluções de Correlação de Logs / SIEM (via TaoSecurity)
• Preso mais uma vez Albert Gonzalez - hacker da TJX e Heartland (via Wired)
  

Telefônica sofre ataques de negação de serviço (DDOS)

Os usuários da Internet da Telefônica têm tido grandes dificuldades de navegação nesta última semana devido a ataques Distribuídos de Negação de Serviço (ou Distributed Denial of Service - DDOS) em sua infra-estrutura de resolução de nomes (DNS). A própria empresa divulgou hoje uma nota culpando “ações deliberadas e de origem externa" pela intermitência do serviço.

Não se trata de invasão, como anunciado em algumas fontes - a empresa divulgou que seus servidores de DNS sofreram 5 ataques de negação de serviço - conforme lista abaixo:

• 06 de abril, por volta de 22h15, com duração de 30 minutos;
• 07 de abril, por volta de 11h15, com duração de 3 horas e 45 minutos;
• 07 de abril, por volta de 17h45, com duração de 3 horas e 45 minutos;
• 08 de abril, por volta de 01h40, com duração de 10 minutos;
• 08 de abril, por volta de 21h00, com duração de 01 hora e 40 minutos

Ataques de DDOS têm sido utilizados por vândalos há muitos anos, e comumente são direcionados à sites (em fevereiro de 2000, hackers utilizando o Trinoo e o TFN tiraram do ar o Yahoo e a CNN). Em agosto de 2003, a Microsoft teve um problema grande de Negação de Serviço efetuado por mais de 1 milhão de máquinas infectadas com o Worm Blaster (pdf) em seu site Windowsupdate.com - que acabou sendo tirado do ar e substituído pelo windowsupdate.microsoft.com.

No caso do ataque ocorrido com a Telefônica, o objetivo não é tirar um site do ar, mas tirar a capacidade dos usuários que utilizam a Telefônica de resolver endereços na internet (DNS). Normalmente existem motivações como vingança, vandalismo ou extorsão por trás deste tipo de ataques, que hoje em dia são perpetrados com a utilização de partes de botnets.

A característica do serviço DNS (por usar UDP) facilita o spoofing de endereços IP, e infelizmente muitas redes não possuem controle bem feito de egress e ingress filtering (rfc 3704 ).

Um problema adicional quando o alvo de DDOS são servidores de DNS é que são possíveis ataques com amplificação (pdf) em servidores DNS recursivos. Isto ocorreu nos DNS Root Servers em 2002 e 2007 (quando o atacante manda apenas alguns bytes e o server responde sempre com muitos dados).

Na nota, a Telefônica informa que "adota todos os procedimentos conhecidos para detecção e proteção contra esse tipo de ação e minimização e correção dos seus efeitos".

Dentre as defesas mais comuns contra DDOS, algumas aplicáveis neste cenário são:

• Reverse Path Filtering ( prevenção de spoofing)
  
• Syn Proxy (para economizar a tabela de conexões do alvo)
• Legitimate IP Address Matching (pode ser útil restringir o acesso à clientes)
  
• Source Rate Limiting (se você possui memória a vontade)
  

Em 2007, tive a oportunidade de revisar um paper interessante publicado pelo CERT.BR chamado "Recomendações para Evitar o Abuso de Servidores DNS Recursivos Abertos" (última revisão pdf: fev/2009).

O problema é mundial, e a Telefônica apenas foi o último alvo. Os provedores de acesso e empresas de backbone precisam se preocupar com uma série de detalhes para evitar serem vítimas e/ou culpados por ataques de DDOS spoofados. Os filtros necessários para bloquear endereços reconhecidamente responsáveis pelos ataques precisam ser dinâmicos, pois a grande maioria dos bots estão em ADSLs com DHCP. Além disto, nem sempre há uma separação adequada de redes entre usuários residenciais e empresas o que dificulta uma atualização ou adaptação das tabelas de roteamento durante os ataques.

Aqui você acha uma excelente relação de referências de mitigações, implicações legais, papers e tudo relacionado a ataques de DDOS.

Para os usuários da Telefônica (e demais) eu recomendo o serviço OpenDNS.com - que além de possuir uma resolução de nomes muito rápida, têm algumas funções de segurança como bloqueio de sites de Phishing e sites de ataques conhecidos como o Conficker - e certamente possui uma maior resiliência à ataques de DDOS. Siga o link acima para mais informações, ou utilize os seguintes servidores de DNS: 208.67.220.220 e 208.67.222.222 .

Mais notícias sobre o ataque sofrido pela Telefônica:

http://computerworld.uol.com.br/seguranca/2009/04/09/telefonica-diz-que-acoes-externas-causaram-pane-do-speedy/

http://g1.globo.com/Noticias/Tecnologia/0,,MUL1079950-6174,00-ATAQUES+DE+HACKERS+CAUSAM+PROBLEMAS+NO+SPEEDY+DIZ+TELEFONICA.html

http://oglobo.globo.com/sp/mat/2009/04/09/ataques-de-hackers-afetam-conexao-internet-pela-telefonica-em-sao-paulo-755211040.asp

http://www.estadao.com.br/noticias/cidades,acao-de-hackers-prejudicou-servico-de-internet-diz-telefonica,352565,0.htm

BluePill - Ataques à BIOS e Bots em Modems Linux

Alguns colegas e leitores (obrigado Lincoln, Marcelo e Otávio) me enviaram links sobre dois "novos" vetores de ataques bastante comentados nos últimos dias pela comunidade de segurança:

1) ataques e rootkits que agem na BIOS; e

2) bots que infectam modems Linux

Ambos os vetores têm um alcance e escalabilidade potencialmente pequenos, porém são interessantes do ponto de vista da inovação, pois nos tiram do lugar comum de ataques envolvendo buffer overflows em executáveis de arquitetura x86 para windows ou linux, vulnerabilidades em browsers /plugins e engenharia social.

Vamos detalhar um pouco as duas novidades:

Vetor (1) ataques e rootkits que agem na BIOS;

Há mais de 10 anos atrás o temido vírus "Chernobyl" sobrescrevia parte da BIOS, deixando o computador inutilizável (aliás, o que motivou as BIOS com proteção de escrita - que está sendo "bypassada" agora).

Ainda no campo dos ataques ao "Basic Input Ouput System" (1), há mais de três anos (pdf 1, pdf 2, pdf 3 ) alguns pesquisadores de segurança (Loïc Duflot, John Heasman, Joanna Rutkowska, Rafal Wojtczuk e Greg Hoglund - autor do mais famoso livro sobre Rootkits) alertam sobre a viabilidade de exploits e rootkits na BIOS (persistentes à formatação/wipe do HD).

Recentemente os poloneses Joanna Rutkowska (que introduziu o conceito de "BluePill") e Rafal Wojtczuk- da InvisibleThings - publicaram mais um paper (pdf 1) / (pdf 2) demonstrando - com código de prova de conceito - um ataque à memória SMRAM via cache-poisoning em CPUs Intel - dois exploits foram desenvolvidos, um para fazer o dump e o outro para execução arbitrária de código, ambos na memória "protegida" SMRAM , durante a operação do SMM - System Management Mode.

A dificuldade na exploração da vulnerabilidade descrita se deve à necessidade de chegar à memória SMRAM a partir de acesso a registradores específicos para o modelo do processador (daí a necessidade de ser root/administrador ou possuir acesso físico à máquina). Uma boa descrição deste ataque foi feita recentemente no blog "Microsoft Malware Protection Center".

Os argentinos Anibal Sacco e Afredo Ortega (da empresa Core Security - fabricante do ótimo software de PenTest "Core Impact") fizeram uma apresentação há poucos dias (pdf) na conferência Consecwest chamada "Persistent BIOS Infection", na qual são detalhados os métodos de persistência de códigos maliciosos, e são apresentados backdoors stealths em nível de BIOS (por isto independentes de sistema operacional).

Os exemplos que foram demonstrados pelos hermanos são a modificação do shadow em Unix (ou seja, mudança de senha de qualquer usuário, inclusive root) e injeção de código em binários windows - tudo isto é executado a partir de recursos disponíveis ao backdoor rodando na BIOS (shellcodes em 16 bits).

Outro detalhe interessante: como as máquinas virtuais também tem BIOS, foram demonstradas técnicas para infectar múltiplas máquinas virtuais (atenção administradores de VMWare Servers) .

Alguma água vai rolar ainda sobre este tópico - segundo a MMPC, a Intel já sabia destas vulnerabilidades e inclusive a documentou no data sheet de um chipset vulnerável (5100 MCH): "The chipset/platform cannot protect against processors who attempt to illegally access SMM space that is modified in another processor's cache".


Vetor (2): bots que infectam modems MIPS e outros rodando Linux

Para um hacker, invadir computadores isoladamente não é a única abordagem possível de se controlar máquinas remotamente. Como já colocamos anteriormente em duas ocasiões, pode ser mais proveitoso para um atacante ter controle de um roteador que é responsável por distribuir IPs (DHCP) em uma rede, resolver nomes de sites (DNS), etc..

Nos nossos post "linkados" acima, descrevemos o código malicioso ZLOB ou DNSChanger - que depois de infectar uma máquina Windows, direciona seus esforçous de invasão (força bruta de senhas padrão) em roteadores no IP registrado como gateway desta máquina infectada.

Já no caso do PsyB0t - personagem das notícias recentes sobre a botnet rodando em modems Linux (como o Netcomm NB5 ADS, openwrt e dd-wrt), a infecção ocorre de modem linux a modem linux.

Em dezembro de 2008 o pesquisador australiano Terry Baume descobriu a botnet, e uma primeira análise (pdf) do Psyb0t 2.5L foi feita por ele em janeiro deste ano. Uma vulnerabilidade em várias revisões deste modem permitiu que o criador utilizasse exploits para invadir os modems - quando isto não é possível, a botnet tenta senhas padrão (a la ZLOB) para tentar acesso à interface administrativa dos modems.

Falando em história mais uma vez e em exploração de vulnerabilidades de modems: em 2001 o pesquisador Tsutomu Shimomura (sim aquele que prendeu o Kevin Mitnick) - achou e divulgou uma falha no modem ADSL Speed Touch Pro da Alcatel - esta falha não foi corrigida em modems distribuídos em vários países, e juntando ao enredo a famosa prática da "senha padrão" - acabou ocasionando a invasão em massa de modems na Itália (2001) e no Brasil (2003), por exemplo.

Adequando o ataque à realidade de hoje, voltamos à botnet PsyB0t - a primeira a ter como alvo modems ADSL e roteadores - já possui mais de 100 mil modems linux zumbis, é controlada via IRC e já está sendo utilizada para ataques de DDOS (um dos ataques que mais repercutiu foi ao site DRONEBL (ainda sob ataque) - que possui um serviço de listagem para bloqueio (DNSBL) de botnets e possivelmente está atrapalhando o seu crescimento). O ataque tem sido chamado de "Network BluePill" - por sua característica Stealth (as máquinas da rede que confiam no Gateway estão completamente à mercê).

É o primeiro caso de uma botnet tão bem sucedida em Linux, e o primeiro caso de uma botnet em "embedded devices". Certamente é preocupante, e pode ficar pior (nada como um bom FUD) - se somarmos este tipo de ataque (usando senhas default em modems/routers) a DNS Rebinding - veja descrição e video de 2008 no site do Dan Kaminsky.

Percebe-se pelas várias análises já publicadas que o PsyBot é um malware perigoso e bem desenvolvido :

• contém shellcode para vários devices de arquitetura mipsel (mips little-endian)
  
• não está atacando computadores ou servidores
  
• utiliza múltiplas estratégias de exploração de modems, incluindo força-bruta de senhas
  
• extrai / rouba usuários e senhas através de deep packet inspection
• varre por servidores com phpMyAdmin e MySQL vulneráveis e os ataca
• faz o modem se juntar a uma botnet via protocolo IRC, porta tcp 5050.
• desabilita o acesso à interface administrativa do modem (SSH, Telnet, and HTTP) - o que dificulta sua remoção, pois a conexão continua a funcionar, mas você perde a habilidade de configurar o seu router (pode ser um indicativo de que você está infectado).

Para garantir sua segurança - tome estes cuidados com seu modem/router (adsl/cabo):

1. troque a senha padrão da interface de administração do modem;
   
2. se certifique que ela não está aberta para a Internet; e
3. faça um upgrade de firmware para a última versão.

Conclusões:

É verdade que a grande maioria dos ataques a que estamos expostos são perpetrados explorando falhas simples como engenharia social e utilização de exploits públicos para vulnerabilidades antigas, porém os dois vetores de ataques que descrevemos nos lembram da importância do conceito de segurança em profundidade. Se você puder escolher, utilize placas-mãe não vulneráveis aos ataques de BIOS (veja a lista aqui) e upgrade de firmware e configuração segura de modems de banda larga [ADSL/Cabo]).

Os vetores de ataques descritos não são prevalentes, porém são viáveis e tem um perigoso componente stealth. Este tipo abordagem permite ao atacante um controle de posições privilegiadas (seja no router, seja na BIOS) e como não atuam na camada de sistema operacional dos computadores da rede, podem permanecer sem detecção por muito tempo.

É claro que uma "percepção situacional" apurada e atualizada é fundamental para nos defendermos de novos ataques e de adversários bem preparados, pois a pesquisa de ontem que virou a prova de conceito de hoje pode se transformar no ataque que você pode sofrer ou terá que analisar amanhã...

BBC aluga botnet para Spam e DDOS

Os canais tradicionais de comunicação tem dado cada vez mais atenção à questões relacionadas à segurança na internet. Um exemplo foi a ação protagonizada pelo blogger de segurança Brian Krebs, do Washington Post em novembro de 2008, que desembocou na desativação de uma infra-estrutura construída para prática de cyber-crime - especialmente SPAM (McColo) - esta ação derrubou o nível de spam mundial em quase 33%, diminuindo sensivelmente o volume de spam mundial por um tempo considerável.

Hoje, a rede de TV inglesa BBC nos brinda com a divulgação de um experimento arriscado que foi recentemente praticado com o objetivo de expor a maneira que os spams chegam às caixas postais dos usuários, demonstrar a facilidade de efetuar ataques de phishing e negação de serviço na internet.

A intenção era chamar a atenção dos usuários para o perigo e gerar conscientização, mas muitos especialistas têm se oposto aos métodos utilizados e alguns levantam questões éticas e legais (Computer Misuse Act) do experimento.

O que eles fizeram: arrendaram uma parte de uma botnet em um forum underground (22 mil computadores) e a utilizaram para envio de spam para duas caixas previamente criadas (hotmail e gmail) para demonstrar a facilidade do uso, além disto eles também (com conhecimento da empresa) fizeram um ataque de DDOS (negação de serviço distribuído) em um site backup da PrevX (apenas 60 máquinas foram necessárias para derrubar o site). Para complicar, a BBC trocou o fundo de tela (desktop) das máquinas envolvidas - mais detalhes aqui. Ao final do experimento, a BBC desinstalou o botnet das máquinas envolvidas.

Mais informações:

http://blogs.zdnet.com/security/?p=2868

http://www.theinquirer.net/inquirer/news/387/1051387/the-bbc-hacked

http://www.pogowasright.org/article.php?story=20090312080107414

http://www.h-online.com/security/The-BBC-acquired-a-botnet-but-was-it-legal--/news/112834/from/rss

http://www.out-law.com/default.aspx?page=9863

http://www.virusbtn.com/news/2009/03_12.xml?rss

Brasileiro preso na Holanda por aluguel de botnet pode ser extraditado para os EUA

[ Update - 12/12/2009 ]

Depois de 16 meses do post original sobre o assunto, citando várias fontes da mídia especializada se referindo à prisão de um brasileiro acusado de intermediar um aluguel de computadores zumbis da "Shadow Botnet", recebi hoje um comentário anônimo no meu blog (de um IP oriundo da cidade de Taubaté - que já havia chegado ao blog via pesquisas no Google em outra oportunidade) afirmando - de forma bastante exaltada *e por isto não foi publicado na íntegra* - que o brasileiro é "inocente e já estaria no Brasil".

Não encontrei as "reportagens da BAND" que o anônimo citou em seu comentário como "ser a única que foi procurada para auxiliá-lo para provar ao Brasil e ao MUNDO, que ele foi vítima de uma armadilha" - mas informo que se receber um link ou outra referência verificável, publicarei assim que averiguar a fonte.

Voltando a analisar o assunto depois de quase 1 ano e meio, encontrei um detalhamento maior do desenrolar desta história na revista Geek http://www.geek.com.br/blogs/832697695/posts/10243-brasileiro-e-indiciado-por-shadow-botnet-o-rei-do-spam e Galileu http://revistagalileu.globo.com/Revista/Galileu/0,,EDR86914-7943,00.html

Para a Revisa Galileu, na oportunidade da reportagem de junho de 2009 - o brasileiro falou sobre o assunto. Como esta é a única defesa publicada que encontrei, estou a reproduzindo como complemento deste post de 1 ano e meio atrás - tire as suas conclusões:

* Qual era o seu trabalho no Brasil?
Leni de Abreu Neto: Eu trabalhava com o aluguel de servidores dedicados.

* Que negociação você fez na Holanda?
Leni: Intermediei a venda de um CD-ROM com um software, desenvolvido por um holandês, que tinha o código-fonte de uma botnet com 25 mil computadores. Ganhei 10 mil euros.

* Uma rede de "computadores-zumbis"?
Leni: Não, não. Essa botnet é diferente. Ela foi toda feita com download voluntário. Um programa mandava por MSN um link para download, mas sem vírus, sem invasão, sem ação de hacker. Tenho como provar que tudo foi feito dentro da lei.

* Você afirma que toda pessoa que fez o download para que seu computador fosse controlado à distância sabia disso?
Leni: Claro. Só se ela for analfabeta para não saber. Quem faz a instalação é o Windows. Mesmo que a pessoa por MSN tenha passado o link como sendo, por exemplo, a foto de uma mulher pelada, quando ela clicar o Windows vai avisar que é um programa e perguntar pelo menos duas vezes se a pessoa quer a instalação. Quem mandou o programa pode ter mentido, mas mentir não é crime.

* Se era tudo dentro da lei, por que o programa foi negociado pessoalmente, com dinheiro vivo?
Leni: Porque o Ronnie me induziu a trabalhar diferente da maneira com que geralmente eu trabalho. Eu receberia o depósito em conta e mandaria o software por e-mail. Na última hora, ele me entregou o dinheiro e pediu para fazer a negociação. Fiz como um favor para o Ronnie. Foi uma armação da polícia.

* Como é a sua vida hoje?
Leni: Como você acha que é? Na cela em frente, está um cara que matou a esposa. Trato todo mundo com educação para que não venham me matar. Esse lugar não tem nada a ver comigo. Nunca cometi nenhum crime.

[ Post Original - 22/08/2008 ]

Os acordos internacionais e cooperação entre as polícias especializadas no combate ao cyber-crime começaram a mostrar resultados neste ano.

Foi anunciada ontem a prisão do brasileiro Leni de Abreu Neto, de Taubaté-SP, ocorrida no final de julho, depois da cooperação entre a Polícia Federal Brasileira (Cyber Crimes), o Federal Bureau of Investigations (FBI - Cyber Squad Unit of New Orleans) e a Unidade de Combate a crimes de Alta Tecnologia da Holanda (Nederlandse High-Tech Crime Unit). A operação foi batizada como "Conexão Holanda" pela Polícia Federal brasileira.

Além dos brasileiro estão envolvidos os criadores da botnet - que se disseminava principalmente por MSN - que são dois irmãos holandeses - um com 16 e outro com 19 anos (Nordin Nasiri) que serão processados em seu país de origem.

Dentre as atividades investigadas, foi divulgado que o brasileiro fez um acordo com o holandês Nasiri há 4 meses atrás para atuar como negociador do aluguel da botnet a terceiros - para envio de SPAM, o que segundo levantamentos pode ter rendido cerca de R$ 70 mil em apenas uma negociação.

Se condenado, Leni de Abreu Neto pode pegar até cinco anos de cadeia, mais três de condicional, aém de ter de pagar uma multa de até U$ 250 mil dependendo dos prejuízos causados.

Leni está preso na Holanda e pode ser extraditado para os Estados Unidos, onde está sendo acusado de "conspiração para causar dano a computadores" por um juri federal no estado americano da Luisiana.

Botnets + 'Fast-Flux': alta disponibilidade para os hackers

O Ed Skoudis publicou um interessante artigo sobre as redes Fast-Flux, e como os hackers - especialmente os que conduzem ataques de phishing/ distribuição de malware - configuram suas BotNets para utilizar Round Robin DNS. A técnica é utilizada desde 2006 e tem se popularizado pela sua efetividade - o Storm Worm a utiliza.

Uma rede Fast-Flux possui, além dos Bots já configurados com Proxies ou redirecionadores TCP , servidores DNS registrados em redes maliciosas ou mal administradas (que demoram a atender as solicitações de bloqueio), utilizando um DNS TTL bem baixo (às vezes menor que 5 minutos). Nestes DNS Servers são atualizados frequentemente em Round Robin a lista de bots servindo de redirecionadores para as páginas contendo phishing/malwares disponibilizados.

O objetivo é manter a infra-estrutura de bots (máquinas 'zumbis', já infectadas) em alta disponibilidade: sempre servindo ao propósito de propagar os malwares ou páginas de Phishing ativas, dificultando ao máximo o seu bloqueio ou remoção.