Mais 10 Cutas e Boas

Algumas Curtas e Boas vindas de RSS Feeds e do Twitter:

• Técnicas de análises de artefatos gerados pela utilização do Facebook e do Google Plus foram divulgadas recentemente;

• Novo password cracker usando GPU, chamado Durandal, se diz mais rápido que o EDPR (já falamos sobre ele aqui);

• Depois das análises de ataques e defesas a marcapassos e outros dispositivos médicos que usam comunicações Wireless (veja mais aqui) - segue um caso de um pentester criativo pensando em como invadir os equipamentos usados em exames cardiológicos ("Exploits that can Kill");

• O blog JIIR publicou um guia para verificação de vulnerabilidades e incidentes envolvendo a sua empresa utilizando o Google como fonte de pesquisa;

• JailBreakMe.com está de volta com o "One-Click iOS Jailbreaking" para iPods, iPhones e iPads, explorando uma vulnerabilidade PDF - até que a Apple corrija a vulnerabilidade, quem faz JailBreak está mais seguro (pode instalar o pacote "PDF Patcher 2";

• Malwares que infectam a MBR (Master Boot Record) estão de volta - veja a Análise da Sophos sobre o Popureb (.pdf). E leia sobre o TDL4 no site da Kaspersky. (Vale a pena também ler uma comparação entre os dois no que tange à alteração da MBR). Para finalizar, dicas práticas para analisar um sistema com a MBR alterada podem ser lidas no post "MBR Analysis";

• Um paper recentemente publicado (.pdf) por uma série de Pesquisadores da Califórnia faz uma interessante análise da eficiência de técnicas utilizadas para fazer takedown (derrubada) de botnets. A conclusão: o bom e velho "Follow the Money" - inviabilizar o recebimento de dinheiro (3 bancos eram responsáveis por mais de 90% do movimento) é muito mais eficiente do que focar esforço em derrubada de domínios, sites web, servidores DNS, etc.. ;

• Em análise publicada sobre proliferação de código malicioso no ano de 2011 (.pdf), a BlueCoat afirma que hoje a maior fonte de infecção se dá através de "Search Engine Poisoning" (SEP);

• Para quem já está com preguiça de acompanhar os eventos #AntiSec - segue um bom resumo aqui;

• Ainda sobre o assunto "hacktivism" foram publicados alguns logs de chats do Bradley Manning (soldado norte-americano que foi a fonte de informação/vazamento inicial do Wikileaks);

IPhone e IPad guardam detalhes de localização #Privacidade #AppleGate #iOS #iPhoneTracker

Má "notícia" para a privacidade de usuários de dispositivos com o iOS (iPhones e iPads). Há pelo menos um ano seu gadget guarda automaticamente informações de localização sem sua permissão explícita do usuário (basta clicar em aceitar contribuir com "informações anônimas de uso para melhoria da qualidade do software" - o que a maior parte dos usuários acaba fazendo..)

A boa notícia sob o ponto de vista da investigação autorizada é que a informação chama atenção para a importância de se recuperar as várias informações presentes em dispositivos móveis, com ferramentas especializadas de Forense de dispositivos móveis (além obviamente dos dados presentes no iTunes de máquinas apreendidas rodando Windows ou Mac, veja abaixo o iPhoneTracker).

Atualmente nós da Techbiz Forense trabalhamos com 2 fabricantes de Mobile Forensics (estamos no momento testando em laboratório as funcionalidades de um terceiro player):

Cellebrite - UFED (US)
MicroSystemation - XRY (Suécia)

Vamos aos detalhamentos da história:

Notícia da "descoberta" "Iphone Location Fiasco":
http://radar.oreilly.com/2011/04/apple-location-tracking.html

#Caminho do .db sqlite3 contendo - muita - informação de localização (latitude,longitude) do usuário:
Library/Caches/locationd/consolidated.db

#Ferramenta para checar o seu dispositivo: (Para rodar na máquina MacOSX que roda o iTunes)
#Tool
http://petewarden.github.com/iPhoneTracker

#Ports para Linux/Cygwin e Windows

#ScreenShot da ferramenta:
http://radar.oreilly.com/assets_c/2011/04/DC%20and%20NY.html

#Melhor recomendação de contramedidas até o momento:
http://singe.za.net/blog/archives/1029-Quick-note-on-the-iPhone-Location-Tracking-Disclosure.html (@singe)

#Untrackerd: Aplicação para evitar o registro - para dispositivos desbloqueados (jailbroken):

http://thenextweb.com/apple/2011/04/21/worried-about-iphone-tracking-jailbreak-utility-untrackerd-will-fix-that-for-you/

#Como desabilitar o registro de localidades em um Iphone bloqueado:

http://seclists.org/fulldisclosure/2011/Apr/408

#Pontos levantados por Alex Levison (Perito Forense co-autor do livro iOS Forensic Analysis (review)

https://alexlevinson.wordpress.com/2011/04/21/3-major-issues-with-the-latest-iphone-tracking-discovery/ (@alexlevinson)

1) o dado existe, mas não há evidências que a Apple esteja coletando os dados *a confirmar*

2) este arquivo "escondido" não é novo ou secreto

h-cells.plist = Pre iOS 4
consolidated.db = iOS 4+

3) a "descoberta" é uma informação conhecida por analistas forenses há algum tempo e foi divulgada meses atrás (paper)

#Melhor "resumo da ópera, até o momento":
http://www.f-secure.com/weblog/archives/00002145.html (@mikkohypponen)

Interessante o argumento que a Apple quer construir uma base própria de geo-localização usando SSIDs Wireless assim como o Google Street View (veja nosso post sobre o assunto aqui) e o SkyHook fizeram.

#Vídeo mostrando queries sqlite3 no consolidated.db e desmistificando o assunto (só uma observação, antes dos comandos "select", recomendo configurar ".mode line" para facilitar a compreensão dos dados):

http://securitytube.net/video/1774

#Comando para extrair os dados via sqlite3
$ sqlite3 -header " select Latitude, Longitude, datetime( Timestamp/60/60/24 + julianday('2001-01-01'),'localtime') as date from CellLocation "

#Outros links para acontecimentos recentes relacionados a mobilidade + privacidade:
#Ferramenta de visualização de geolocalização (twitter, foursquare, exif de imagens postadas online)
Cree.py: http://ilektrojohn.github.com/creepy/
Download (python): https://github.com/ilektrojohn/creepy/commits/master/creepy/cree.py

#Antes que usuários de Android possam se gabar de vantagens de privacidade, veio o Android-LocDump
Android-LocDump: https://github.com/packetlss/android-locdump

#O MetaSploit Framerwork já tem um plugin para extração destes dados (e outros do backup do iTunes) remotamente em Win e Mac:
https://dev.metasploit.com/redmine/projects/framework/repository/revisions/12425/entry/modules/post/multi/gather/apple_ios_backup.rb

#Na alemanha, um político ligado à Privacidade solicitou as informações de localização do seu celular (de agosto de 2009 a fevereiro de 2010), veja o resultado abaixo:
http://futurejournalismproject.org/post/4110478285/tracking-cell-phones
http://www.zeit.de/datenschutz/malte-spitz-vorratsdaten (vídeo interativo)

Inscreva-se no RSS Feed e receba atualizações automáticas

Inscreva-se no RSS Feed e receba atualizações automáticas