DNS Vuln + "Evilgrade" = Pandemônio em updates de aplicações em todos os computadores da sua rede.

[ Update: 08/12/2011 ]


Algumas empresas já foram ou ainda são famosas por não responder adequadamente (e tempestivamente) a vulnerabilidades (não só "0-days", mas também as identificadas há anos e publicamente conhecidas e exploradas).

A Microsoft ainda está neste grupo, porém cada vez mais nos mostra que melhorou sua postura em relação a segurança. Já a Oracle/Sun e a Adobe são duas empresas que estão na maioria dos computadores do mundo (Java, Adobe Reader e Flash) e que infelizmente não tem tido uma resposta rápida o bastante..


Um exemplo é que o caso que ocorreu há quase 5 anos e que discutimos aqui no post original abaixo, que envolve o "Evilgrade" - depois de muito tempo, a Apple corrigiu em novembro deste ano as falhas que permitiam ataques no processo de atualização  do Itunes, por exemplo..

Já a Oracle/Sun... Ontem, o pessoal da Infobyte publicou em seu blog um post chamado "Pwning Java update process 2007-Today".

Resumindo: a Apple demorou mas a Oracle/Sun não corrigiu adequadamente a falha e ficou por isto.. Ou seja, além das falhas recentes como a CVE 2011/3544 - Java Rhino - o processo de atualização do Java continua vulnerável (5 anos!) ao "Evilgrade (Evil + Upgrade)' - mais detalhes no post original abaixo:


[ Post Original: 08/08/2008 ]

O que pode ser pior que seus usuários internos terem as aplicações windows desatualizadas? Que tal eles atualizarem com um executável escolhido por um hacker?

Alerta: Um dos ataques mais perigosos utilizando a vulnerabilidade DNS descoberta por Dan Kaminski está detalhado (inclusive em vídeo.)

No final de 2007, os argentinos da Infobyte lançaram o "Evilgrade" - FrameWork a la Metasploit que facilita muito ataques que objetivam instalar códigos malicisosos através da falsificação (spoofing DHCP, ARP ou DNS) - dos updates de aplicações como Java, Winamp, Winzip, OpenOffice, Itunes, Mac OS X ...

Agora, para piorar a situação, um vídeo com detalhes - comando a comando - da utilização do módulo do Metasploit de exploração da DNS Vuln (auxiliary/spoof/dns/bailiwiked+host) + Evilgrade para executar este ataque foi disponibilizado: http://www.infobyte.com.ar/demo/evilgrade.htm

Caso você (ou quem deveria) não tenha atualizado seus servidores DNS's internos, corra... é um ataque de simples execução com as ferramentas descritas e com potencial destrutivo de grande alcance (todas as máquinas servidas por este DNS interno) e o atacante pode escolher o que rodar, enganando o usuário que estará "atualizando" seus aplicativos...

Além de garantir que o DNS utilizado pelas estações e servidores sujeitos à updates sob sua responsabilidade estão atualizados, são sugeridas algumas outras contramedidas contra este tipo de ataque de spoofing de updates:

• Use ferramentas de controle de aplicações como o NSI da Secunia e plataformas de distribuição de software para instalação de updates, bloqueando as URLs de update vulneráveis ao ataque
• Utilize tecnologias de segurança em LAN como 802.1x / port security
• Use entradas ARP estáticas - especialmente para gateways

Mais info: aqui, aqui e aqui.