Hotmail e Skype - falhas de segurança e privacidade

Podemos dizer que esta semana não foi uma das melhores do ponto de vista da Segurança e Privacidade para os produtos online da Microsoft.


1) Hotmail:


Uma falha no processo de reset de senha no Hotmail foi descoberta em 6 de julho e informada à Microsoft no dia 20. Em resumo, o reset do hotmail utiliza um sistema de tokens que não são validados de forma adequada, o que permitiu que qualquer usuário pudesse resetar a senha de qualquer conta! 


Depois de muita divulgação da falha, incluindo vídeos no Youtube com o passo a passo necessário para resetar qualquer conta do Hotmail, a falha  foi corrigida ontem, sem muito estardalhaço por parte da Microsoft. 


Mais infomações: "Microsoft patches major Hotmail 0-day flaw after apparently widespread exploitation" - http://arstechnica.com/microsoft/news/2012/04/microsoft-patches-major-hotmail-0-day-flaw-after-apparently-widespread-exploitation.ars

2) Skype:


Sabemos que o Skype é uma aplicação P2P, mas o senso comum é que a não ser que você faça uma transferência de arquivo, um usuário não pode saber qual é o seu IP externo (e menos ainda o interno!).   



Um grupo de desenvolvedores responsável por uma versão "open-source" do Skype (http://skype-open-source.blogspot.com) divulgou ontem um "how to" de como instalar uma versão que foi disseminado no pastebin ("Skype user IP-address disclosure - http://pastebin.com/rBu4jDm8") e no twitter no dia de hoje. 



Pois bem - hoje um desenvolvedor russo pediu ajuda para testar um novo serviço online que ele estava testando, utilizando os dados já publicados anteriormente sobre a "vulnerabilidade": http://news.ycombinator.com/item?id=3899829


O resultado: o serviço está no ar, e funcionando: http://skype-ip-finder.tk/


O usuário do Skype deve estar logado no momento da query, e o resultado vai conter todos endereços IPs externos e internos de todos os dispositivos do usuário que estiverem logados no Skype, obtidos a partir do wrapper em python desenvolvido pelo russo "zhovner". 



Detalhes:

Perform obscure ip lookup for online skype account.Can find local and remote ip address.Based on deobfuscated Skypekit runtime that write clear debug log

Esta falha, somada a facilidade de buscar por um nome no diretório no Skype, deve ser considerada e usuários que pretendem omitir seu IP (e por consequência localização física) devem evitar utilizar o serviço até que haja uma correção por parte da Microsoft/Skype.

Posts relacionados:

• NSA paga Bilhões por "grampo" no Skype
• Skypeex - análise de dump de memória - chats do Skype
• Skype Chinês - Você está sendo vigiado... e suas conversas estão disponíveis na Internet!

IPhone e IPad guardam detalhes de localização #Privacidade #AppleGate #iOS #iPhoneTracker

Má "notícia" para a privacidade de usuários de dispositivos com o iOS (iPhones e iPads). Há pelo menos um ano seu gadget guarda automaticamente informações de localização sem sua permissão explícita do usuário (basta clicar em aceitar contribuir com "informações anônimas de uso para melhoria da qualidade do software" - o que a maior parte dos usuários acaba fazendo..)

A boa notícia sob o ponto de vista da investigação autorizada é que a informação chama atenção para a importância de se recuperar as várias informações presentes em dispositivos móveis, com ferramentas especializadas de Forense de dispositivos móveis (além obviamente dos dados presentes no iTunes de máquinas apreendidas rodando Windows ou Mac, veja abaixo o iPhoneTracker).

Atualmente nós da Techbiz Forense trabalhamos com 2 fabricantes de Mobile Forensics (estamos no momento testando em laboratório as funcionalidades de um terceiro player):

Cellebrite - UFED (US)
MicroSystemation - XRY (Suécia)

Vamos aos detalhamentos da história:

Notícia da "descoberta" "Iphone Location Fiasco":
http://radar.oreilly.com/2011/04/apple-location-tracking.html

#Caminho do .db sqlite3 contendo - muita - informação de localização (latitude,longitude) do usuário:
Library/Caches/locationd/consolidated.db

#Ferramenta para checar o seu dispositivo: (Para rodar na máquina MacOSX que roda o iTunes)
#Tool
http://petewarden.github.com/iPhoneTracker

#Ports para Linux/Cygwin e Windows

#ScreenShot da ferramenta:
http://radar.oreilly.com/assets_c/2011/04/DC%20and%20NY.html

#Melhor recomendação de contramedidas até o momento:
http://singe.za.net/blog/archives/1029-Quick-note-on-the-iPhone-Location-Tracking-Disclosure.html (@singe)

#Untrackerd: Aplicação para evitar o registro - para dispositivos desbloqueados (jailbroken):

http://thenextweb.com/apple/2011/04/21/worried-about-iphone-tracking-jailbreak-utility-untrackerd-will-fix-that-for-you/

#Como desabilitar o registro de localidades em um Iphone bloqueado:

http://seclists.org/fulldisclosure/2011/Apr/408

#Pontos levantados por Alex Levison (Perito Forense co-autor do livro iOS Forensic Analysis (review)

https://alexlevinson.wordpress.com/2011/04/21/3-major-issues-with-the-latest-iphone-tracking-discovery/ (@alexlevinson)

1) o dado existe, mas não há evidências que a Apple esteja coletando os dados *a confirmar*

2) este arquivo "escondido" não é novo ou secreto

h-cells.plist = Pre iOS 4
consolidated.db = iOS 4+

3) a "descoberta" é uma informação conhecida por analistas forenses há algum tempo e foi divulgada meses atrás (paper)

#Melhor "resumo da ópera, até o momento":
http://www.f-secure.com/weblog/archives/00002145.html (@mikkohypponen)

Interessante o argumento que a Apple quer construir uma base própria de geo-localização usando SSIDs Wireless assim como o Google Street View (veja nosso post sobre o assunto aqui) e o SkyHook fizeram.

#Vídeo mostrando queries sqlite3 no consolidated.db e desmistificando o assunto (só uma observação, antes dos comandos "select", recomendo configurar ".mode line" para facilitar a compreensão dos dados):

http://securitytube.net/video/1774

#Comando para extrair os dados via sqlite3
$ sqlite3 -header " select Latitude, Longitude, datetime( Timestamp/60/60/24 + julianday('2001-01-01'),'localtime') as date from CellLocation "

#Outros links para acontecimentos recentes relacionados a mobilidade + privacidade:
#Ferramenta de visualização de geolocalização (twitter, foursquare, exif de imagens postadas online)
Cree.py: http://ilektrojohn.github.com/creepy/
Download (python): https://github.com/ilektrojohn/creepy/commits/master/creepy/cree.py

#Antes que usuários de Android possam se gabar de vantagens de privacidade, veio o Android-LocDump
Android-LocDump: https://github.com/packetlss/android-locdump

#O MetaSploit Framerwork já tem um plugin para extração destes dados (e outros do backup do iTunes) remotamente em Win e Mac:
https://dev.metasploit.com/redmine/projects/framework/repository/revisions/12425/entry/modules/post/multi/gather/apple_ios_backup.rb

#Na alemanha, um político ligado à Privacidade solicitou as informações de localização do seu celular (de agosto de 2009 a fevereiro de 2010), veja o resultado abaixo:
http://futurejournalismproject.org/post/4110478285/tracking-cell-phones
http://www.zeit.de/datenschutz/malte-spitz-vorratsdaten (vídeo interativo)

Inscreva-se no RSS Feed e receba atualizações automáticas

Inscreva-se no RSS Feed e receba atualizações automáticas

Skypeex - análise de dump de memória - chats do Skype

Já comentamos em algumas oportunidades aqui no blog a importância e o crescente interesse pelo processo de dump e posterior análise de memória RAM em máquinas investigadas em casos de resposta a incidentes e crimes envolvendo alta tecnologia.

Nesta linha, Nick Furneaux lançou na semana passada uma interessante ferramenta em python para busca de comunicações de Instant Messaging feitas com o Skype em dumps de memória.


Me impressionou a quantidade de mensagens antigas (possivelmente vindas do histórico armazenado de até 30 dias do skype) estavam presentes ainda na RAM de dois computadores analisados em meu laboratório...

Passos Necessários:

1) Instalar o Python na máquina de análise;

1) Na máquina alvo, fazer o dump de memória com uma das muitas ferramentas disponíveis:

C:\> win64dd /m 0 /r /f F:\physmem.bin

2) Executar um comando strings (linux ou windows) no dump criado:

c:\> strings physmem.bin > physmem-strings.txt

3) Rodar a ferramenta skypeex.py, e digitar o caminho do arquivo gerado no passo 2.

Pronto.

Mais Detalhes em: http://nickfurneaux.blogspot.com/2010/03/skype-chat-carver-from-ram-skypeex.html

Download: http://csitraining.co.uk/skypex.aspx

O autor da ferramenta recomenda o uso do windd para efetuar o dump de memória - para mais opções veja o primeiro post relacionado abaixo.

Posts relacionados:

• Forense de Memória - Uma comparação de Ferramentas Disponíveis
• Pdgmail: nova ferramenta para Forense de Memória do GMAIL (Out/2008)
• Pdymail - Forense de Memória para o Yahoo Mail (Jan/2009)
• Outros posts sobre análise forense de memória
• Outros posts sobre skype

pdymail - Forense de Memória para o Yahoo Mail

Em outubro eu postei sobre o pdgmail, uma ferramenta desenvolvida em python e disponibilizada por Jeff Bryner, que auxilia em muito a análise de dumps de memória de browsers por informações relacionadas ao uso do Gmail.

Pois bem, o mesmo autor publicou hoje o pdymail, uma ferramenta análoga para a nova interface do Yahoo! Mail, que como o Gmail utiliza JSON/AJAX/XML para manter várias informações em memória e deixa poucos vestígios de seu uso em disco.

O mais importante é definir antecipadamente a forma que você coletará o dump de memória (full ou do processo do browser em execução) - depois disto feito - o uso do pdymail é bastante simples (em linux ou cygwin):

$ strings -el pid1234.dump| ./pdymail -f -

Trocando em miúdos, este tipo de ferramenta é muito útil na fase de análise de investigações que envolvam interfaces modernas de WebMail como o Gmail e o Yahoo! Mail, pois não será muito útil utilizar o processo tradicional de vasculhar o disco por artefatos de Webmail (incluindo espaço não alocado/arquivos deletados).

Uma informação adicional, o dump terá informações úteis desde que o browser tenha sido utilizado anteriormente (naquela execução) para acesso a interface do Yahoo! Mail / Gmail. Ou seja, não é necessário que o usuário esteja logado do Webmail no momento do dump.

pdgmail: nova ferramenta para Forense de Memória do GMAIL

O Gmail é o webmail que mais incomoda um analista forense em uma investigação em que os vestígios do
uso do Webmail é requerida - isto cada vez mais será coisa do passado. Baseado no recente artigo de John McCash, Jeff Bryner acaba de lançar uma ferramenta em python para interpretar a saída do dump de memória (toda memória física ou do processo do browser utilizado - qualquer browser, qualquer sistema operacional) e provê como ouput as seguintes informações sobre o gmail:

* Contatos
* Registros de Acesso (IPs)
* Nomes de conta do Gmail
* Cabeçalhos de mensagens
* Corpo das mensagens

Acredito ser um excelente "extra" para investigações envolvendo utilização de Gmail - especialmente
porque os vestígios deixados em disco pelo Gmail são insuficientes e cada vez mais ele é usado sobre
HTTPS..

Mais informações aqui.

Atente para este parágrafo:

"I used the pd dump tool from www.trapkit.de, available here, and tested against my meager
GMail account, Windows XP, 2000, IE 6, IE 7 and Firefox 3. In all cases I was able to retrieve
contact data, last login times and IP addresses, basic email headers and email bodies. Even if
the browser was ‘logged out’ of GMail, they all still retained this data. Even for messages that
were not opened, contacts that weren’t used. Simply loading up the GMail UI loads all this data
in the memory image."

Verifiquei que realmente os dados continuam disponíveis em memória mesmo depois do usuário
efetuar logoff tanto para o Firefox no linux e Internet Explorer e Firefox no Windows .

O procedimento é simples:

No Linux:

1) ./pd -p > browser.dump
2) strings -el browser.dump | pdgmail > output.gmail

No Windows:

1) .pd.exe -p > browser.dump
2) strings -el browser.dump | pdgmail > output.gmail

Urls:

PD: http://www.trapkit.de/research/forensic/pd/index.html
PDGMAIL: http://www.jeffbryner.com/code/pdgmail - ta com problemas no momento mas dá pra pegar via cache do google:
http://209.85.173.104/search?q=cache:crZARiCZN5IJ:www.jeffbryner.com/code/pdgmail

* o PDGMAIL requer o interpretador do PYTHON instalado.. (no linux já vem, para windows: http://www.python.org/download/windows/)