Combate a malware com inteligência no endpoint - VirusTotal e CarbonBlack

A Virustotal e CarbonBlack anunciaram mais uma parceria que proporciona um avanço significativo aos analistas de segurança e às empresas que precisam lidar com cada vez mais espécimes diferentes de códigos maliciosos, diariamente.

A Virustotal - empresa espanhola adquirida pelo Google há menos de um ano - é a líder mundial em análise de malwares concomitantemente em múltiplos motores de Anti-Vírus (44 para ser exato) - e é uma ferramenta conhecida de equipes de Segurança e Resposta a Incidentes há vários anos.

O CarbonBlack é uma ferramenta revolucionária de resposta a incidentes, que permite que empresas monitorem de 100 a 100.000 máquinas com um baixo investimento em hardware (um servidor a cada 10mil máquinas, sem utilização de appliances) e utilizando apenas um pequeno sensor nas máquinas monitoradas (processos, alterações em file-system, registro, conexões de rede, etc). Eu comecei a acompanhar e testar o desenvolvimento da CarbonBlack em 2011, quando através dos livros e posts de Harlan Carvey fui convencido de sua eficiência e da importância do investimento na preparação pré-incidentes nos endpoints.

O relacionamento entre as duas empresas se iniciou através de um plugin para a ferramenta da CarbonBlack, que permite que todos os processos executados em máquinas monitoradas pela solução sejam verificados pelo VirusTotal (44 anti-vírus). Mas isto é acessível  apenas às empresas que possuem a solução CarbonBlack instalada em seus computadores.

Hoje foi anunciada uma parceria que provê dados da cadeia de execução de binários (especialmente malwares), através de uma nova seção acessível nas análises do VirusTotal, chamada "Relationships". Como o CarbonBlack controla quais foram os processos responsáveis pela criação de novos binários no sistema (ou a execução de binários já existentes), situações muito comuns como a exploração de aplicações vulneráveis (Java, Adobe Reader, Browsers, etc) e ataques com vários estágio (exemplo: dropper -> downloader -> backdoor) podem ser investigados de forma rápida e centralizada. 

Alguns outros benefícios imediatos da parceria para os clientes de ambas empresas são os seguintes:

• Feedback em tempo real da comunidade VirusTotal  sobre novos binários executados na empresa;
• Update em tempo real de binários suspeitos assim que as diferentes empresas de Anti-Vírus respondem às novas ameaças;
• A capacidade de visualizar o relacionamento entre binários para se preparar ,detecar e responder a ataques envolvendo malwares (mesmo os não identificados pela principal ferramenta de AV da organização);
• Notificação avançada de novos ataques 0day.

Mais informações:

• Veja mais detalhes sobre o CarbonBlack no site da Apura CyberSecurity Intelligence
• Mais informações sobre a nova funcionalidade do VirusTotal no site da CarbonBlack
• Veja outros sites como o VirusTotal no post "Sites-Ferramentas de Segurança"

Shameless Plug - A Apura é representante exclusiva da CarbonBlack no Brasil.

Sequestro de dados e extorsão - da Rússia para o Brasil (RansomWare)

[ Update - 21/01/2011 ]

Os malwares da categoria RansomWare existem desde 1989 mas continuam a se multiplicar... Algumas versōes são um tiro no pé dos autores. Como este caso abaixo.

A variante Trojan.Bootlock teve sua análise recentemente postada no blog da Symantec. O post mostra a tela que, mas não mostra o processo de "recuperação" dos dados através da obtenção da passphrase "que inclui mais de 16 símbolos" para descriptografar a máquina afetada.

O "pedido de resgate" pode ser visto nesta captura de tela. Note o nome utilizado: "RBN Encryptor" - possivelmente faz referência a uma antiga denominação de um grupo de cribercrime Russo (Russian Business Network).

O problema é que neste caso específico, como só a MBR (Master Boot Record) foi "criptografada", ou seja - qualquer um que procurar pelo assunto na internet perceberá que não é necessário pagar os US$ 100 cobrados pelos criminosos, e é possível restaurar o disco com qualquer ferramenta de Recovery de MBR como a da própria Symantec..

Os sistemas utilizados para receber o pagamentos são versões underground do Paypal [Ukash e Paysafecard].

O FAQ da quadrilha é muito interessante também, veja a primeira resposta:

Q: How can you assure me to provide the right password once it is pais? (sic)

A: We need not to cheat on you. Once you purchase a payment voucher..

Hmm.. Será? =)

[ Post Original - 03/05/2009 ]

A Linha Defensiva divulgou ontem a análise de um código malicioso que depois de se instalar, impede o acesso à aplicações e documentos (word, excel, powerpoint, msn, calc, adobe reader, meus documentos, paint, gerenciador de tarefas, etc.. ) do computador infectado - este tipo de código malicioso tem sido chamado de "ransomware".

A idéia de "sequestrar" os dados de um computador é antiga, e o Fábio nos remete ao vírus "Aids Info Disk", de 1989 - que alterava o Autoexec.bat das máquinas e criptografava os dados, requisitando um "resgate" de 378 dólares. Análise técnica (da época) aqui.

Recentemente a idéia foi revisitada (desde 2005 até hoje) por criadores de malware russos responsáveis pelo GPCODE, que em sua última versão (.AK) exige 300 dólares de resgate para que o usuário possa voltar a ter acesso aos documentos que foram criptografados com uma chave RSA de 1024 bits.

A versão brasileira funciona de uma maneira similar à versão russa, mas não informa ao usuário que os dados foram "sequestrados". Se o usuário tenta acessar um dos objetos bloqueados pelo malware, uma mensagem falsa de erro do Windows é apresentada e é oferecida a instalação de um falso programa de segurança chamado "Byte Clark" (cuidado ao acessar o site a seguir: www.byteclark.com.br) - ele - adivinhe - é único que corrige o falso bug apresentado na imagem acima ("Windows Versão 4817.3812 32 bytes").

Até o momento a maneira de propagação do malware é via email: a vítima recebe uma mensagem com o assunto: "Olá, estou te enviando meu convite de formatura com local, data e hora", e um arquivo .PPT anexo que inicia a infecção da máquina do usuário vítima.

No site da falsa empresa de segurança, há informações sobre o pagamento para o resgate dos dados sequestrados (ou melhor, para a correção do erro "Windows Versão 4817.3812 32 bytes"). Pasmem de novo: é informada uma conta válida da Caixa Econômica Federal:

Favorecido: Rodolfo Esteves B. da S.
Agência: 0233 OP: 013 Conta: 00002369-7

Nas informações de whois do registro.br, o responsável pelo domínio é o Sr. "Luiz Trojahn". Curioso nome...

No caso de 1989, o inglês responsável foi preso rapidamente. Esperamos que as autoridades brasileiras consigam prender o copy-cat brazuca o mais rápido possível.

Update (05/05/2009):

O Fábio nos informou que: "O malware impede o acesso aos softwares listados através de um GetActiveWindow, identificando o processo que está rodando e dando o comando para fechá-lo. Ele não aplica nenhuma criptografia ou wipe nos arquivos do usuário, como faria um ransomware mais avançado. Ele se instala na inicialização e impede o acesso ao registro e ao gerenciador de tarefas para dificultar a remoção.

Encaminhamos denúncia a Polícia Federal, CERT e registro.br sobre o incidente para que tomem as providências cabíveis".

Análises do ransomware brasileiro:

• http://dekne.wordpress.com/2009/05/12/explaining-brazilian-ransomware/
• http://www.threatexpert.com/report.aspx?md5=50024b0baf7e5027d0809579a507e40a
• http://www.linhadefensiva.org/2009/05/antivirus-fraudulento-brasileiro-sequestra-sistema/
• http://www.virustotal.com/analisis/96413db831cebed443db592ce5d5570f

Inscreva-se no RSS Feed e receba atualizações automáticas

10 Curtas: Zeus SpyEye C2C Android IPhone StuxNet China Renault

Segue um resumo de dez links para assuntos interessantes que aconteceram na última semana:

• Zeus+SpyEye: Os toolkits de exploração mais bem sucedidos (Zeus e SpyEye) agora podem ser comprados em ToolKit combinado - infelizmente significa mais poder nas mãos dos criminosos com menos investimento.. (US$300-800);

• RH2.5: Outro Toolkit Malicioso - chamado RH2.5 - está sendo vendido por valores ainda inferiores, e com um Marketing "seja um WhiteHat fazendo o que os BlackHats podem fazer".. não colou;

• patch2poc: Análise interessante mostrando que assim que saem correções de segurança (patches), é muito rápido desenvolver códigos funcionais (proof of concept) para exploração das vulnerabilidades;

• Sumiço: O especialista em segurança Dancho Danchev (especialista em "Contra-Ciber-Inteligência", e BlackHat SEO) está desaparecido há vários meses. As circunstâncias do sumiço do especialista em seu próprio país (Bulgária) são desconhecidas;

• C2C: Falha no site do Ministério do Trabalho permite a criminosos a obtenção de dados como Nome Completo, Data de Nascimento, Filiação e Endereço+CEP - a partir apenas do CPF. No dia de ontem avisei aos envolvidos na investigação que o serviço é revendido há mais de um mês no modelo "C2C" - Criminal 2 Criminal por Phishers. E tem sido usado para envio de phishings personalizados a clientes de bancos;

• VA vs PT: The Evolving Role of Vulnerability Assessment and Penetration Testing in Web Application Security <= tem espaço pra todo mundo?

• Virus Android e Iphone: Excelente abordagem do tema no Quora <= Muito marketing foi feito recentemente dizendo que o IPhone era mais seguro.. Discussão interessante mostrando que às vezes Security é diferente de Safety;

• StuxNet: Mais uma ótima análise - desta vez sumarizando o assunto - do maior especialista no assunto - Ralph Langner.

• Investimento em Segurança: Interessante análise de Gunnar Peterson a distribuição de investimentos em segurança (infraestrutura vence os demais domínios) : What is it you would say that you do here?

• China: A China está novamente envolvida em um escândalo de espionagem, desta vez envolvendo a montadora francesa Renault.