Ataque Cibernético a TV Francesa TV5Monde

O Estado Islâmico (ISIS) reinvindicou a autoria de um ataque ocorrido ontem pela rede de TV "TV5Monde". O resultado foi a interrupção da transmissão da TV, além da retirada do ar do site e páginas de mídias sociais (Facebook, Twitter). Os atacantes também publicaram / "vazaram" documentos obtidos das redes impactadas pelo ataque.

Hoje algumas informações sobre o ataque começam a surgir em sites especializados em tecnologia, na França:

http://www.lemondeinformatique.fr/actualites/lire-les-dessous-de-la-cyberattaque-contre-tv5-monde-60798.html

Pelo descrito neste artigo:

1) Houve um contato inicial com um jornalista da rede interna da TV, através de Skype, e foram usadas as técnicas conhecidas de identificação de endereço IP interno / externo "Skype resolver" - exemplo: http://skypegrab.net/resolver.php

2) Após isto foram passadas URLs especialmente criadas para exploração de vulnerabilidades Java (Drive-By-Download) - não se sabe ainda se foi utilizado um "Exploit-Kit" ou criada uma página especial com as informações obtidas com a ação descrita no item "1"

3) o ataque descrito em "2" introduziu um worm em VBscript que tinha por objetivo encontrar os servidores responsáveis pela transmissão de programas de TV.

4) Os IPs que originaram os ataques são do Iraque e Algéria.

Outras fontes citam também passwords de fácil adivinhação / quebra como uma das causas que facilitaram os ataques:

"We learn in an interview with an official of the Russian computer that the security password of the main server hosting the websites and TV5monde’s data that the chain was “azerty12345.”" < lembrando que os teclados na França começam com "azerty" em vez de "qwerty"..

http://estpresse.com/tv5-monde-hacking-the-main-password/?lang=en

Parece realmente que eles não são muito cuidadosos com senhas:

"Hacked French network exposed its own passwords during TV interview"

http://arstechnica.com/security/2015/04/hacked-french-network-exposed-its-own-passwords-during-tv-interview/

PS: Estarei atualizando este post conforme novidades surjam novidades sobre o ataque.

Lista de Exploit Kits e CVEs correspondentes

Um curto post para iniciar 2015 aqui no blog e divulgar uma excelente planilha que lista diferentes Exploit Kits e as respectivas vulnerabilidades que eles exploram.

Os Exploit Kits cobertos são: Angler, Archie, Astrum, Bleeding Life, Dotkachef, CkVip, Fiesta, Flash, GongDa, Infinity, LightsOut, Magnitude, Neutrino, Niteris, Nuclear, Nuclear 3.x, NullHole, Rig, SedNit, Styx, SweetOrange - 15 no total.

Dentre as vulnerabilidades listadas (com seus respectivos CVEs) estão principalmente os culpados conhecidos: Java, Flash, Internet Explorer e Adobe Reader. As duas vulnerabilidades mais recentes exploradas por Exploit Kits listados são do Flash (CVE-20150310 e CVE-0311) - e ambas estão presentes no Angler Exploit Kit.

Post: http://contagiodata.blogspot.com/2014/12/exploit-kits-2014.html

Planilha: https://docs.google.com/spreadsheet/ccc?key=0AjvsQV3iSLa1dE9EVGhjeUhvQTNReko3c2xhTmphLUE
 

MEGAPOST: 13 novidades para começar 2013: Vulnerabilidades, Ferramentas, Conferencias e mais

Iniciamos o ano passado com um "Megapost", vamos manter a tradição em 2013 com com alguns assuntos para começar este ano com o pé direito!

Vulnerabilidades e Exploits:

• O Java começa muito mal o ano, com um 0day em ativa exploração e da Oracle para todas as versões do Java 7 (e 6.10+).  Desabilite (ou desinstale) o Java imediatamente do seu browser. Se você precisa dele (para usar o Internet Banking por exemplo), separe um browser específico para isto. Para usuários de Windows, as dicas presentes no artigo "A saga de se manter seguro usando Windows" continuam valendo. 

• O patch está disponível no site da Oracle (quatro meses depois do conhecimento da vulnerabilidade pela empresa).
• Ainda em dúvida? Saiba que o Java é responsável por mais de metade (56%) de todos os ataques relacionados à softwares vulneráveis. 
• Os exploits que se aproveitam da falha já estão presentes em vários Exploit Kits e também está disponível no Metasploit Framework. 
• A melhor análise sobre os exploits disponível até o momento é da Immunity (PDF). 
• Um artigo recente da Kaspersky divulgou que servidores comprometidos (incluindo .br), estão redirecionando vítimas para instalações do exploit kit BlackHole.
• A Apple bloqueiou o Java no OSX e o Firefox está bloqueando o plugin. 
• Artigo relacionado - Exploit Kits e o Seu Java 

• O serviço "Shodan" - já mencionado por aqui - incluiu recentemente a varredura da porta 445/tcp (NetBios/SMB). Mais de trezentos mil hosts com este serviço disponível na internet já foram avistados pela ferramenta. 

• O Framework de desenvolvimento Ruby in Rails possui falhas críticas que estão sendo exploradas ativamente.  Uma versão contendo correções foi lançada ontem.

• Exploits de "prova de conceito" (PoC) foram divulgados recentemente.
• A Imperva publicou um artigo contendo alguns updates e melhores práticas para proteger suas aplicações que utilizam o framework. 
• O Metasploit Framework publicou um update de segurança para ele mesmo
• Uma rápida pesquisa com o Shodan (citado acima) mostra uma dezenas de milhares de sites vulneráveis. Patch now..

Ferramentas:

• A Verizon Security - responsável pelo melhor framework de métricas para Resposta a Incidentes e de ótimos relatórios sobre data breaches, publicou há poucos dias o módulo (transform package)  Malformity  "Your Malware and Malicious Infrastructure OSINT Assistant". Baseado na excelente ferramenta de OSINT (Open Source Intelligence) Maltego.

• O Malformity inclui "transforms" (ou seja, operações que podem ser feitas por objetos presentes nos gráficos do Maltego) de três serviços interessantes para análise de malware: Malwr, ThreatExpert, and ViCheck - Para saber mais sobre estes e outros serviços online para profissionais de segurança veja nosso post "SegOnline - Sites Ferramentas de Segurança"
• Existe também um módulo do Maltego focado em pentests, chamado Sploitego (lançado durante a Defcon 20).

• VmXray - Navegue, visualize e salve o conteúdo de discos virtuais usando apenas o seu browser (HTML5).

• Disk image formats: Raw, VMWare single and multi-file VMDKs, QEMU/KVM QCOW2 , Virtualbox VDI, ISO.
• Filesystems: ext2, ext3, ext4, FAT, NTFS.
• Volume managers: Linux LVM  

• A versão 2.14 do melhor framework open-source para Forense Computacional (SIFT), está disponível para download.

Conferências:

• A 29a edição de uma das melhores conferências de segurança do mundo (CCC) acabou há pouco e finalmente todo material está disponível online em http://ftp.ccc.de/congress/2012/. Meu destaque vai para as seguintes - imperdíveis - palestras:

• "Your Cisco phone is listening to you" (Youtube); 
• "Scada StrangeLove -How I Learned to Start Worrying and Love Nuclear Plants" (Youtube);
• "The Tor Software Ecosystem" (MP4); 

• Workshop on Real-World Cryptography - Stanford University, Jan., 9-11, 2013

• Slides: https://crypto.stanford.edu/RealWorldCrypto/program.php

• Em 2012, estivemos envolvidos na elaboração diversos Desafios Forenses, alguns online e a maioria em conferências como o Campus Party (SP e Recife) e o ICCyber (Brasília). Em breve, a Apura vai estar presente na CampusParty 2013, palestrando e também promovendo o Desafio Forense juntamente com o Team Cymru, por convite do CERT.BR. 

Blog Posts de Destaque:

• A Mandiant publicou um post muito interessante mostrando um passo a passo de uma abordagem de carving de arquivos .RAR (recuperação de arquivos apagados). Conceitos importantes em forense computacional, como assinatura de arquivos (headers), recuperação de dados da memória a partir do pagefile.sys (como pode ser visto no nosso material de forense de memória), Shellbags, Recuperação de histórico de navegação e arquivos prefetch no windows.

• Ótima lista de referências para Forense no novo Windows 8 compiladas pelo David Nides

• A cobertura do Brian Krebs sobre a prisão do bx1 - um dos vários botmasters que utilizam o trojan Zeus - vale a leitura, especialmente depois da mídia brasileira cobrir o assunto com erros significativos. O argelino nunca esteve em uma lista "TOP 10" do FBI !

Notícia:

• A União Européia inaugurou recentemente um Centro Unificado de Combate ao Cibercrime.
• O chefe do novo centro, disse que irá focar os esforços em grupos criminais que roubam dinheiro da população. 
• Um bom artigo sobre as funções do novo EC3 (European Cyber Crime Center) via threatmetrix.

Exploit Kits e o seu Java

[ Update: 10/01/2013 ]

• O Java começa muito mal o ano, com um 0day em ativa exploração e sem patch da Oracle para todas as versões do Java 7 (e 6.10+).  Desabilite (ou desinstale) o Java imediatamente do seu browser. Se você precisa dele (para usar o Internet Banking por exemplo), separe um browser específico para isto. Para usuários de Windows, as dicas presentes no artigo "A saga de se manter seguro usando Windows" continuam valendo. 

• O patch está disponível no site da Oracle (em 13/01/2013 - quatro meses depois do conhecimento da vulnerabilidade pela empresa).
• Ainda em dúvida? Saiba que o Java é responsável por mais de metade (56%) de todos os ataques relacionados à softwares vulneráveis. 

• Os exploits que se aproveitam da falha já estão presentes em vários Exploit Kits e também está disponível no Metasploit Framework. 
• A melhor análise sobre os exploits disponível até o momento é da Immunity (PDF). 
• Um artigo recente da Kaspersky divulgou que servidores comprometidos (incluindo .br), estão redirecionando vítimas para instalações do exploit kit BlackHole.
• A Apple bloqueiou o Java no OSX e o Firefox está bloqueando o plugin. 

[ Update: 30/08/2012 ]

A Oracle lançou um patch "out-of-band" e corrigiu a vulnerabilidade do Java. Não perca tempo e atualize-se agora: http://www.oracle.com/technetwork/java/javase/downloads/index-jsp-138363.html

Se você administra uma rede com muitos endpoints, comece logo para não se arrepender depois, o número de ataques utilizando esta falha está crescendo exponencialmente.

[ Update: 27/08/2012 ]

O Java continua sendo um dos maiores vilões da segurança dos endpoints na atualidade. A falha publicada ontem afeta as versões do Java 7 (do update 0 até o 6). 

Se você não precisa do Java, desabilite o plugin/extensão relacionada, e a ative apenas para acessar os sites que necessitam dele habilitado para funcionar. Uma alternativa de fácil utilização para  o Firefox é o NoScript. Nas versões mais recentes do Chrome a execução do Java é autorizada por sessão ou site, o que é uma boa medida de segurança.

Para verificar se a versão do Java que você usa neste browser está vulnerável, acesse este link: http://www.isjavaexploitable.com/. Para verificar o estado de correção de vulnerabilidades de todas as suas aplicações windows, use este link: http://secunia.com/products/consumer/osi/online/

Seguem os passos publicados pelo US-CERT sobre como desabilitar o plugin do Java em diferentes navegadores:

• Apple Safari: How to disable the Java web plug-in in Safari

• Mozilla Firefox: How to turn off Java applets

• Google Chrome: See the "Disable specific plug-ins" section of the Chrome Plug-ins documentation.

• Microsoft Internet Explorer: Change the value of the UseJava2IExplorer registry key to 0. Depending on the versions of Windows and the Java plug-in, the key can be found in these locations:

• HKLM\Software\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

• HKLM\Software\Wow6432Node\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

• The Java Control Panel (javacpl.exe) does not reliably configure the Java plug-in for Internet Explorer. Instead of editing the registry, it is possible to run javacpl.exe as Administrator, navigate to the Advanced tab, Default Java for browsers, and use the space bar to de-select the Microsoft Internet Explorer option.

O exploit kit Blackhole já está explorando a falha, como de costume (ver updates mais antigos abaixo). O famoso e gratuito toolkit de exploração Metasploit também foi atualizado com o ataque.

Vale lembrar que além de usuários Windows, a ameaça também afeta usuários de MacOS e Linux. Vai ser uma semana de trabalho fácil para os pentesters. Uma interessante análise do uso deste tipo de exploit pode ser vista em "Oracle Java 0day and the Myth of a Targeted Attack"

O caso é também de interesse para mostrar como um "0day" (que é chamado assim por todos que AINDA não tinham conhecimento da vulnerabilidade - o que não inclui um grupo seleto de compradores deste mercado) rapidamente se torna disponível aos "blackhats" (BlackHole) e "gray"/"white-hats" (Metasploit).

As velhas dicas contidas em "A saga de se manter seguro usando Windows" continuam valendo, especialmente no tocante ao controle da atualização dos programas (patch management). O Secunia PSI continua sendo uma boa opção.

Outras informações interessantes publicadas hoje sobre o assunto:

• Primeiro post sobre o assunto, da FireEye: 
• Zero-Day Season is not over yet
• Entrada da vulnerabilidade no US-CERT:
• Oracle Java 7 Security Manager Bypass Vulnerability
• Dicas de como desabilitar o java no seu browser:
•  Disable Java In Your Browser To Avoid A Nasty New Malware-Spreading Attack
• Patch não oficial:
• Java 7 0-Day vulnerability information and mitigation
• Detalhes técnicos:
• Details of New Java Exploit Emerge
• Java Facepalm: SunToolkit.getField Vulnerability
• Java 7 ClassFinder Restricted Package Bypass

[ Update: 19/03/2012 ]

A vulnerabilidade JAVA CVE-2011-3544 continua exercendo um papel fundamental em diferentes campanhas de ataque analisadas recentemente - segue uma breve compilação de cases abaixo.  (obrigado ao Alberto Fabiano pela dica de alguns links):

1 - F-Secure: Mac Malware at the Moment
http://www.f-secure.com/weblog/archives/00002330.html 

2 - ESet: Drive-by FTP: a new view of CVE-2011-3544
http://blog.eset.com/2012/03/17/drive-by-ftp-a-new-view-of-cve-2011-3544 


3 - TrendMicro: NGOs Targeted with Backdoors
http://blog.trendmicro.com/human-rights-organizations-possible-new-targets/

4 - GFI: Online Criminals Bank on Skype Vouchers to Spread Exploit
http://www.gfi.com/blog/online-criminals-bank-on-skype-vouchers-to-spread-exploit/ 

5 - ThreatPost: Rare RAM-Based Malware Attacks Visitors of Russian Information Sites
http://threatpost.com/en_us/blogs/rare-ram-based-malware-attacks-visitors-russian-information-sites-031912

6 - Mac OS X exploit and Trojan horse monitoring users via webcam
http://news.drweb.com/show/?i=2262&lng=en&c=5

7 - SecureList: A unique 'fileless' bot attacks news site visitors
http://www.securelist.com/en/blog/687/A_unique_fileless_bot_attacks_news_site_visitors


[ Update: 28/12/2011 ]

Como imaginado o CVE 2011-3544 já é desde ontem o principal vetor entre as infecções "drive-by-download" no Brasil.

Uma imagem vale mais do que mil palavras:

Fonte: Assolini da Kaspersky via Twitter [1, 2]

[ Update: 01/12/2011 ]

Java.. um mal desnescesário?

I) Problemas com o Java, mais uma vez:

Alguns "exploit kits" já continham o exploit "Java Rhino" (CVE 2011-3544) e o nível de sucesso de sua execução em diferentes versões de S.O. e browsers é bem alto - veja um exemplo de console do exploit kit "BlackHole" (imagem)

Pra piorar a situação, ontem foi disponibilizado para qualquer um baixar (projeto metasploit) um módulo de exploração desta vulnerabilidade Java (ou seja: cross-platform & cross-browser).

Código (Metasploit - Ruby): http://dev.metasploit.com/redmine/projects/framework/repository/revisions/f26f6da74b4e6d87d2c59034b85dfb1ae0d1b1d7/entry/modules/exploits/multi/browser/java_rhino.rb

Mas, vulnerabilidades são descobertas a todo minuto, exploits são escritos a toda hora, porque dar destaque a esta específica? Continue lendo.. 

Logo que saiu, eu testei em Linux, Mac e Windows 7 - funcionou em todos sem exceção (Firefox, Chrome, IE, Safari)! 

Como vocês podem ver no post original (de 02 Agosto) abaixo, a elevação de privilégios explorando vulnerabilidades Java é bem mais simples de ser obtida e esta é uma mina de ouro para ataques de Drive-by Download, entre outros..

A coisa é mais complicada ainda porque o usuário não precisa interagir em absolutamente nada durante o processo de exploração da vulnerabilidade. Some a isto a realidade da dificuldade de manter todas as instalações de JAVA "up-to-date" em uma empresa, e você tem um cenário bem negro pra lidar..

II) Cenário provável nos próximos dias:

Quanto tempo até que grande portais e provedores redirecionem [WEB ou DNS invadido ou envenenado] milhares de usuários de internet banking (ou até hotmail.com, google.com como aconteceu recentemente) pruma página com um Drive-By Download (iframe invisível no site, por exemplo) com este exploit Java - multi-browser e multi-plataforma?

Minha opinião: não demora e vai ser feio.. =/

III)  Para os que só acreditam vendo: 

Vídeo 1) Original: www.youtube.com/watch?v=4xI9USYl8P0 (IE / XP)

Vídeo 2) Armitage: www.youtube.com/watch?v=cXctDpaNIjw (Firefox, Internet Explorer, Safari - Windows, MacOS X, Linux)

IV) O que você pode fazer quanto a isto?

Segundo a Microsoft, o cliente Java hoje é responsável por praticamente a metade das explorações a máquina Windows. Ou seja, antes de mais nada - avalie se você realmente precisa do Java.. assim como do Adobe Reader.. =) Pelo altíssimo grau de exploração de ambos, seriam "um mal desnecessário"?

Se você é usuário Linux ou Mac - tenha certeza de sempre fazer update das aplicações assim que as correções são lançadas.

Mas - como garantir que você tem as últimas versões do Java e de outros aplicativos no(s) seu(s) computador(es) Windows?

Software (já recomendado aqui várias vezes): 

Secunia PSI - http://secunia.com/vulnerability_scanning/personal/

Se você acha que não precisa, faça o teste online e veja quantas aplicações você vulneráveis (apenas aguardando a exploração..) no seguinte link:

OSI (Online): http://secunia.com/vulnerability_scanning/online/

Mais informações:

• http://www.oracle.com/technetwork/topics/security/javacpuoct2011-443431.html
• http://eromang.zataz.com/2011/11/30/cve-2011-3544-java-applet-rhino-script-engine-metasploit-demo/
• http://krebsonsecurity.com/2011/11/public-java-exploit-amps-up-threat-level/
• http://allthingsd.com/20111202/why-today-is-a-very-good-day-to-update-java-on-your-computer/
• http://www.darkreading.com/vulnerability-management/167901026/security/attacks-breaches/232200604/the-dark-side-of-java.html
• https://community.rapid7.com/community/metasploit/blog/2011/11/30/test-results-for-javarhino

[ Post Original: 02/08/2011 ]

Entre 2009 e 2010 eu publiquei e atualizei um artigo entitulado "A saga de se manter seguro usando Windows", contendo dicas para usuários finais (usando ferramentas gratuitas).

As dicas da época continuam valendo - assim como a recomendação do Secunia para facilitar a aplicação dos patches necessários - porém infelizmente a facilidade de exploração de aplicações vulneráveis não deixa de ficar maior a cada ano..

Hoje são tantos os exploit kits disponíveis no mercado que análises comparativas como a publicada pela Kaspersky recentemente não chegam a ser novidade, mas alguns detalhes merecem destaque:

Os exploit kits mais famosos (BlackHole, NeoSploit, Phoenix, Incognito e Eleonore) objetivam atingir usuários com uma série de exploits sucessivos durante a sua navegação (em um ataque conhecido como Drive-by Download), e por isto exploram principalmente vulnerabilidades de navegadores e seus plugins. São exploradas vulnerabilidades do IE, Firefox, Chrome, Flash e Java, por exemplo. Porém as vulnerabilidades do JAVA são as mais utilizadas nos exploit kits.. Mas, por que?

Confiram o caminho necessário para exploração de cada aplicação a partir da imagem abaixo (publicada no artigo da Kaspersky linkado acima): está esclarecida a preferência por vulnerabilidades no JAVA?  

E o seu Java, está atualizado? Confira aqui no site da Secunia.

Com a melhoria na proteção de execução em memória no Windows, principalmente com as "barreiras" DEP e ALSR - o atacante tem mais trabalho para conseguir executar instruções maliciosas a partir de um processos em execução que possuam estas proteções. Para um detalhamento de como estes bypasses funcionam, sugiro um artigo do Ronaldo do blog "Crimes Cinernéticos".

Portal Brasileiro de Programação Segura Java

Aumentando o coro em prol da divulgação do novo portal de segurança para programação em Java de Lucas Ferreira.

Já utilizei suas referências em empresas que trabalhei e sempre temos que aplaudir iniciativas como estas de publicações de referências de tão alta qualidade sob licença Creative Commons ..

Seções:

• Validar os dados de entrada
• Proteger a aplicação web contra cross site scripting
• Evitar "command injection"
• Tratar corretamente todos os erros da aplicação
• Validar a origem das requisições
• Usar objetos imutáveis
• Limitar o acesso às variáveis, classes e métodos
• Tornar todos os métodos e classes “final”
• Não usar o escopo de pacote para proteger a classe contra acessos indesejados
• Impedir a clonagem dos objetos
• Usar classes não serializáveis
• Usar classes não desserializáveis
• Não armazenar informações confidenciais no código do programa
• Não comparar classes por nome
• Não usar classes internas (“inner class”)
• Usar os mecanismos de autenticação dos contêineres J2EE
• Usar sockets com criptografia SSL
• Proteger os arquivos criados
• Especificar o diretório onde serão criados os arquivos temporários
• Verificar condições de “overflow”, “underflow” e conversões de tipos numéricos
• Declarar as variáveis estáticas públicas como “final”
• Não armazenar vetores recebidos como parâmetros
• Apagar dados críticos da memória
• Controle de acesso em aplicações web
• Usar os mecanismos de tratamento de exceções
• Verificar métodos nativos (“native methods”)
• Validar unboxing para tipos primitivos