Ataque Cibernético a TV Francesa TV5Monde

O Estado Islâmico (ISIS) reinvindicou a autoria de um ataque ocorrido ontem pela rede de TV "TV5Monde". O resultado foi a interrupção da transmissão da TV, além da retirada do ar do site e páginas de mídias sociais (Facebook, Twitter). Os atacantes também publicaram / "vazaram" documentos obtidos das redes impactadas pelo ataque.

Hoje algumas informações sobre o ataque começam a surgir em sites especializados em tecnologia, na França:

http://www.lemondeinformatique.fr/actualites/lire-les-dessous-de-la-cyberattaque-contre-tv5-monde-60798.html

Pelo descrito neste artigo:

1) Houve um contato inicial com um jornalista da rede interna da TV, através de Skype, e foram usadas as técnicas conhecidas de identificação de endereço IP interno / externo "Skype resolver" - exemplo: http://skypegrab.net/resolver.php

2) Após isto foram passadas URLs especialmente criadas para exploração de vulnerabilidades Java (Drive-By-Download) - não se sabe ainda se foi utilizado um "Exploit-Kit" ou criada uma página especial com as informações obtidas com a ação descrita no item "1"

3) o ataque descrito em "2" introduziu um worm em VBscript que tinha por objetivo encontrar os servidores responsáveis pela transmissão de programas de TV.

4) Os IPs que originaram os ataques são do Iraque e Algéria.

Outras fontes citam também passwords de fácil adivinhação / quebra como uma das causas que facilitaram os ataques:

"We learn in an interview with an official of the Russian computer that the security password of the main server hosting the websites and TV5monde’s data that the chain was “azerty12345.”" < lembrando que os teclados na França começam com "azerty" em vez de "qwerty"..

http://estpresse.com/tv5-monde-hacking-the-main-password/?lang=en

Parece realmente que eles não são muito cuidadosos com senhas:

"Hacked French network exposed its own passwords during TV interview"

http://arstechnica.com/security/2015/04/hacked-french-network-exposed-its-own-passwords-during-tv-interview/

PS: Estarei atualizando este post conforme novidades surjam novidades sobre o ataque.

Metodologias de Resposta a Incidentes

O CERT do Banco Societe Generale, da França, publicou uma atualização em seu material de "Metodologias de Resposta a Incidentes". 

As metodologias são divididas em várias fases: Preparação, Identificação, Contenção, Remediação, Recuperação e Encerramento.

Existem metodologias para 15 tipos diferentes de incidentes, publicados sob a licença Creative Commons Attribution 3.0

• IRM-1 : Worm infection
• IRM-2 : Windows intrusion
• IRM-3 : Unix intrusion
• IRM-4 : Distributed Denial of Service
• IRM-5 : Malicious Network Behaviour
• IRM-6 : Website Defacement
• IRM-7 : Windows Malware Detection
• IRM-8 : Blackmail
• IRM-9 : Malware on smartphone
• IRM-10 : Social Engineering
• IRM-11 : Information Leakage
• IRM-12 : Insider Abuse
• IRM-13 : Phishing
• IRM-14 : Scam
• IRM-15 : Trademark Infringement

Link: http://cert.societegenerale.com/en/publications.html

MS08-067 - O Trojan está aí, e o uso em Bots e o Worm CHEGOU

UPDATE 26/11/2008:

Demorou um mês, mas o worm "Conficker" e os bots "IRCBot.BH" que exploram a vulnerabilidade descrita no MS08-067 já são uma realidade... (inclusive no Brasil)...

25/10/2008:

O Trojan Gimmiv.A já está explorando a vulnerabildade recentemente corrigida pela Microsoft no "Server Service" do Windows.

Interessante notar que o trojan Gimmiv. A permite execução remota de código (via RCP-DCOM - a la Blaster de cinco anos atrás ... de volta ao passado?) .

Algumas coisas que p que o Gimmiv.A pode fazer:

• Identificar e desabilitar Anti-Vírus (Trend Micro, Symantec, BitDefender, Rising, Kaspersky, Kingsoft, Microsoft One Care, Jiangmin)
• Roubar usuario e senha do MSN Messenger
  
• Roubar usuario e senha do Outlook Express
• Roubar password salvos do Internet Explorer
• Roubar Cookies com tokens de autenticação
  
• Baixar qualquer arquivo que o atacante indique.
  

É claro que em breve esta vulnerabildade será transformada em worm.. e é aí que reside o maior perigo..

A falha de desenvolvimento que proporciona a vulnerabilidade está na mesma área de código do MS06-040 - segundo decompilação da função "sub_5B86A51B" da lib netapi32.dll do XP SP3 feita por Alexander Sotirov.

A SourceFire disponibilizou assinaturas para detectar ataques relacionados: baixe aqui.

Caso você ainda não tenha feito patch em seus Windows (Workstations E Servers): dê uma olhada neste post no Blog do time SWI da Microsoft. Em resumo, para XP,2000 e 2003, o risco é de execução remota de código.. para Vista e 2008 é (só) Denial of Service.. Lembra daquelas janelinhas de crash do DCOM com o Blaster...

Enquanto você não conseguir "patchear"todas suas máquinas, ao menos tente habilitar o Firewall e desabilitar - quando possível, o compartilhamento de arquivos/impressoras.. Dê uma olhada no link da SWI nas outras opções de remediação.

O pessoal da Threat Expert analisou o Gimmiv.A e ele baixa arquivos dos seguintes sites (vale a pena bloquear acesso à eles via FW/Controle de Conteúdo):

• http://summertime.1gokurimu.com


• http://perlbody.t35.com


• http://doradora.atzend.com

No mais, é se certificar que as máquinas sob sua responsabildiade estejam com os PATCHES (para isto, use este plugin do NESSUS) e esperar que os Bots existentes passem a utilizar mais este vetor de exploração .. Afinal, além da análise de Sotirov, já existem exploits disponíveis no Milw0rm / SecurityFocus:

• http://www.milw0rm.com/exploits/6824
• http://milw0rm.com/sploits/2008-ms08-067.zip
• http://www.securityfocus.com/data/vulnerabilities/exploits/31874.zip