Evil Maid Attack - Ataque ao TrueCrypt Full Disk Encryption

Evil Maid Attack - Ataque da Camareira Malvada

Muitas vezes a consciência da insegurança é melhor do que a falsa sensação de segurança.

Como vocês sabem, a frequente atualização é um pré-requisito para qualquer profissional de Segurança da Informação. São tantas novidades, papers, apresentações, notícias e outras fontes de informação interessantes que nem sempre conseguimos testar e validar rapidamente todas as informações a que somos expostos diariamente. Por isto, muitos assuntos interessantes acabam ficando em um "TO DO" list guardado em algum lugar...

Um destes assuntos que estava encalhado há alguns meses (e que tive a oportunidade de conhecer / testar mais aprofundadamente durante o carnaval) foi o ataque à implementações de Criptografia de Discos - Full Disk Encryption) publicado pela Joanna Rutkowska em seu blog em Outubro do ano passado. O que me chamou a atenção foi a facilidade do ataque descrito. Como vocês verão abaixo, realmente é muito simples..

O próprio nome da técnica "Evil Maid Attack" - ou numa tradução livre "Ataque da Camareira Malvada" já é por si só interessante e indica claramente a necessidade de acesso físico ao computador (ou no mínimo ao disco) onde a tecnologia de Full Disk Encryption está sendo utilizada. Vale a pena ressaltar que outras implementações de FDE , além do TrueCrypt, também são vulneráveis ao mesmo ataque.

Antes de mais nada, vamos fazer uma breve introdução sobre a tecnologia de Full Disk Encryption - cada vez mais utilizada por empresas e pessoas preocupadas com as informações guardadas principalmente em computadores portáteis.

Segue a entrada da Wikipedia sobre o assunto (tradução livre minha):

O termo "full disk encryption" é usado quando todos os dados presentes em uma mídia digital são criptografados, incluindo o caso de programas que criptografam partições "bootáveis" de sistemas operacionais. Mas para funcionar eles precisam deixar o master boot record (MBR) - e portanto parte do disco - descriptografado. 

Vale também ressaltar que existem as tecnologias de hardware-based full disk encryption e hybrid full disk encryption que podem criptografar o disco inteiro de boot, incluindo a MBR.

O TrueCrypt é uma aplicação GPL que trabalha com os algorítimos AES-256, Serpent, e Twofish. Eles são fortes o suficiente para sobreviver à ataques de força bruta, mas E SE o atacante não estiver preocupado em fazer isto, e sim em obter a sua passphrase?

Isto posto, vamos à descrição e algumas fotos que fiz do ataque sendo executado em um notebook que possui a última versão do TrueCrypt com Full Disk Encryption instalado:

Primeira fase: um atacante tem acesso físico ao computador, insere o pendrive USB já contendo a imagem da ferramenta bootável e em cerca de um minuto, os 63 setores do disco são copiados para o pendrive e o o loader do TrueCrypt presente na MBR é infectado:

Segunda fase: Depois da utilização do computador pelo usuário, basta bootar o computador mais uma vez via USB e a informação que foi digitada pelo usuário - que já foi capturada pela alteração da função do TrueCrypt que pergunta pela passphrase: AskPassword( ) - é mostrada na tela, conforme pode ser visto abaixo:

Game Over.

Vale a pena ressltar que o atacante não precisa necessariamente ter acesso físico à máquina para efetuar a segunda fase - caso a implementação do ataque envie as informações via internet para o atacante, ao invés de salvar temporariamente a informação no disco atacado.

Algumas sugestões de mitigações - usar uma Ferramenta de Full Disk Encryption com suporte a chips TPM - Trusted Platform Module podem ser bypassadas por ataques mais sofisticados - como o que comentamos aqui aqui em junho de 2008: "Cold Boot Attack" - que é capaz de identificar e recuperar a chave criptográfica utilizada direto de um dump da memória RAM congelada. Para os mais paranóicos, o segredo é garantir que seu notebook não caia - nem mesmo temporariamente - em mãos erradas =)

O FAQ do TrueCrypt discorda da sugestão de mitigação acima:

The only thing that TPM is almost guaranteed to provide is a false sense of security (even the name itself, "Trusted Platform Module", is misleading and creates a false sense of security). As for real security, TPM is actually redundant (and implementing redundant features is usually a way to create so-called bloatware). Features like this are sometimes referred to as security theater

Para os que usam tecnologias de Full Disk Encryption TrueCrypt / PGP / BitLocker / etc, repito a primeira fase do post: Muitas vezes a consciência da insegurança é melhor do que a falsa sensação de segurança. Resumindo: se um atacante sofisticado teve acesso físico ao seu computador - possivelmente ele não é só seu daí em diante... Por isto a única mitigação garantida é uma excelente segurança física.

Esta contribuição tratá benefícios em investigações envolvendo computadores em que o suspeito esteja usando Full Disk Encryption – mediante obviamente uma autorização judicial diferenciada de 'busca e apreensão' de computadores  - o que certamente aumentará substancialmente a qualidade das informações disponíveis durante o processo de aquisição/coleta de evidências.

Mais detalhes sobre o ataque e sobre a ferramenta: veja o post da Joanna. Para os interessados, o código fonte do infector está disponível.

Medley - BH, ShmooCon, e mais novidades...

Como já aconteceu outras vezes por aqui, no momento são tantos e tão diversos os temas interessantes a discutir no blog que preferi publicar uma lista com as referências de dez dentre os mais recentes assuntos do mundo da segurança da informação:

1 - Caso você ainda não tenha tido a oportunidade - antes de mais nada - vale a pena conferir os materiais e resumos publicados das principais conferências de segurança que aconteceram no recentemente: Black Hat e ShmooCon.

Como material de destaque destas conferências, recomendo os seguintes links:

• Exploiting Lawful Intercept to Wiretap the Internet [ PDF | PPT | VIDEO | AUDIO ]  
• Hacking the Smartcard Chip [ PPT ]  
• Blackberry Mobile Spyware – The Monkey Steals the Berries [ PDF | DEMO | CODE ]
• DIY Hard Drive Diagnostics: Understanding a Broken Drive [ PDF ]
• OpenBTS - open source unix Base Transceiver Station [ SITE ]

2 - Fingerprint de browsers EFF:

O projeto Panopticlic da Eletronic Frountier Foundation  mostra como é simples identificar unicamente um computador a partir da detecção do navegador utilizado, plugins, cookies, fontes instaladas, etc. - para testar o seu agora, clique aqui. São óbvios os desdobramentos do ponto de vista da privacidade e da identificação de acessos em investigações envolvendo navegação na internet.

3 - Hackers Roubam Milhões em créditos de carbono:

Um bom exemplo de como qualquer negociação efetuada online está sujeita à ação dos cibercriminosos, foi divulgada recentemente pelo Jornal alemão Der Spiegel e pela Revista Wired um esquema envolvendo hackers que roubaram milhões de dólares em créditos de carbono.

Na reportagem é citada um caso similar de exploração de sistemas governamentais que ocorreu no Brasil em 2008 - quando madeireiras e hackers inventaram o ciberdesmatamento - ação investigada pelo Ministério Público Federal do Pará.

4 - Cuidado no Antivírus que você confia - experimento de revista alemã e da Kaspersky envolvendo um falso vírus comprova que vários (14 !) anti-vírus se basearam em resultados do VirusTotal para adicionar vacinas à seus Anti-Vírus. Para mais detalhes sobre minhas recomendações para manter uma máquina Windows segura, veja o tópico "A saga de se manter seguro usando Windows".

5 - Ataque na implementação de Chip + Senha utilizada em Cartões de Crédito / Débito [ PDF | Site]

Um boa descrição está na tradução feita pelo ThreatPost: "Nos últimos cinco anos, milhares de usuários de cartões foram roubados e tiveram seus cartões usados por criminosos. Os bancos muitas vezes dizem a eles que a senha foi usada, então a culpa é dos clientes. Entanto, nós mostramos que é fácil de usar um cartão sem conhecer a senha - e o recibo diz que a operação foi "verificada pelo PIN", mesmo que não tenha sido "

6 - Nova lista CWE/Sans dos 25 mais importantes erros de programação

Cross-site Scripting, SQL Injection, Classic Buffer Overflow, CSRF, e etc.. 

8 - Report: PDF maliciosos são responsáveis por 80% de todos os exploits em 2009 


Minha recomendação: Se você usa Windows, além de NÃO UTILIZAR o Internet Explorer - evite a todo custo o Adobe Reader - desinstale-o e use o FoxIt.


9 - Da vulnerabilidade à fraude: Este excelente artigo da SecurityNinja do Reino Unido detalha o caminho vulnerabilidades exploradas->dados não autorizados->dinheiro comumente seguido pelo cibercrime moderno, incluindo detelhes do underground onde são negociados.

10 - Sans Institute (@johullrich) inaugura o HashSearch - ferramenta para verificação de hashes MD5/SHA1 a partir do hash ou do nome do arquivo - com cadastro de 39.944.023 hashes criptográficos registrados pelo NIST National Software reference Library. Vale a pena conferir.

Fornecimento de informações no combate ao cibercrime – investigação em redes corporativas

Uma situação interessante ocorre durante uma investigação policial, quando nos deparamos - através de respostas dos provedores de serviços de internet (PSI) ou de conteúdo (PSC) - que o endereço IP do computador usado para cometimento do delito está alocado para uma empresa, universidade ou outro órgão que possui uma rede de computadores administrada internamente.

São diversas as ocasiões em que contatamos, com a devida ordem judicial, o suposto administrador da rede responsável e fomos informados que não  haveria como repassar a informação correta de qual computador e/ou usuário partiu o acesso criminoso. Às vezes sequer a empresa tem um administrador de rede, - terceirizando os serviços - o que torna o trabalho, resguardado pelo sigilo, ainda mais difícil.

Embora possa a empresa - leia-se "setor jurídico" - pensar que em alguns casos não há obrigatoriedade de fornecimento destes dados às autoridades, esse atendimento às determinações judiciais é necessário. O exemplo das diversas regulamentações nos EUA - como a da indústria de cartão de crédito (PCI - Payment Card Industry), a de empresas com ações na bolsa americana (SOX - Sarbanes Oxley), dentre outras - forçaram empresas brasileiras a se preparar adequadamente para este tipo de solicitação, também atendendo aos ditames da CF/88 e leis esparsas, principalmente a Lei 9.296/96, que trata dentre outros assuntos dos dados telemáticos. Nesta situação, a responsabilidade de prestar informações passa a ser dos executivos das empresas, que investem pesadamente para se adequar a esta nova realidade - que acaba refletindo em melhorias de segurança nos departamentos de T.I.

Uma abordagem simples e comumente adotada é a implementação de servidores centralizados para armazenagem de registros importantes (ou logs). Em muitas empresas com uma maior maturidade de segurança este sistema evolui naturalmente para soluções mais avançadas de correlação de eventos de segurança (SIEM/SEM) ou similares.

Uma preocupação e pré-requisito básico  para a correta utilização de tais tecnologias é a utilização um servidor central de tempo (NTP) corporativo, que possibilita que todas os computadores e sistemas da empresa estejam sincronizados no horário oficial de Brasília - evitando assim enganos na atribuição de responsabilidade de delitos quando estes registros são fornecidos à polícia e/ou à justiça para serem utilizados durante uma investigação. Por existirem várias configurações no formato de resguardo de logs, o importante é que quando esses dados sejam repassados às autoridades haja um tutorial específico de leitura e/ou que eles venham adaptados para fácil leitura.

Nestas empresas mais maduras - seja por necessidade de adequação à regulamentações específicas, seja por maturidade da disciplina "segurança da informação" - existem mais recursos humanos e de tecnologias disponíveis e normalmente é muito fácil conseguir os registros de acesso e identificar a máquina utilizada. Munidos destas informações, dos logs de acesso e de conteúdo e/ou, ainda, das imagens do sistema fechado de circuito de TV, em inúmeros casos é possível encontrar o autor do delito. 

Porém, pelas próprias características de conectividade da Internet, há um grande impacto negativo no processo investigativo quando não existem quaisquer dados ou informações disponíveis a respeito do uso de computadores em uma rede corporativa. Muitas vezes este problema acaba levando ao fechamento de investigações importantes - e em outros casos pode ser necessário reiniciá-la, utilizando outras técnicas (até porque o “ser humano é um animal de hábitos” e, espera-se, deve cometer algum erro na sua sequência criminosa).

Dito isto, é fundamental que tanto os administradores de sistemas quanto os advogados responsáveis pelo setor jurídico da empresa, agindo de acordo com uma política de uso aceitável adequada, resguardem corretamente os registros (logs) necessários ao correto repasse de informações solicitadas pelas autoridades. Agindo assim estará garantido o resguardo da empresa, pois pode ocorrer de ser ela acionada civilmente para a recomposição de danos, quando, então, poderá chamar ao processo o “colaborador criminoso”, eximindo-se da reparação civil.

Exemplos de registros importantes a se resguardar em uma rede corporativa:

- Registros de conexões VPN - que podem atribuir o IP externo responsável pelo acesso feito através da rede corporativa.

- Registros de servidores de Proxy - que podem indicar o usuário, endereço interno e computador responsável por acesso a sites externos à empresa.

- Registros de atribuição de endereços IP dinâmicos (DHCP) - que podem indicar o hostname que possuia um IP interno em uma data e hora específicas.

- Registros de utilização de sistemas de mensagens que possam ser utilizados para cometimento de delitos. Exemplos: Fórum, Wiki, Listserv.

- Outros possíveis exemplos são os logs de WINS (resolução Windows), NAT (tradução de endereços), FIREWALL (filtro de pacotes) e Active Directory.
 
Coincidentemente - logo após a publicação deste post - o Anton Chuvakin publicou em seu ótimo blog uma hierarquia de maturidade quanto ao registro e processamento de logs de segurança - conforme pode ser visto no gráfico reproduzido no início deste artigo - vale a pena conferir.

Para empresas que lidam com registros que são base usual de solicitações judiciais, como grandes provedores de acesso e conteúdo - e também instituições financeiras –existem soluções corporativas como a Centera-Compliace-Plus, da EMC, que utiliza discos com a tecnologia WORM (Write Once Read Many) para garantir a integridade das informações guardadas e para facilitar a cadeia de custódia dos dados que são fornecidos à Justiça / Polícia.

Do ponto de vista normativo e regulatório, serve como modelo de  referência o projeto de lei de cibercrimes que tramita (há dez anos!) no Congresso Nacional - que em seu estágio atual, propõe:

Art. 22. O responsável pelo provimento de acesso a rede de computadores mundial, comercial ou do setor público é obrigado a:

I – manter em ambiente controlado e de segurança, pelo prazo de três anos, com o objetivo de provimento de investigação pública formalizada, os dados de endereçamento eletrônico da origem, hora, data e a referência GMT da conexão efetuada por meio de rede de computadores e fornecê-los exclusivamente à autoridade investigatória mediante prévia requisição judicial;

II – preservar imediatamente, após requisição judicial, outras informações requisitadas em curso de investigação, respondendo civil e penalmente pela sua absoluta confidencialidade e inviolabilidade;

III – informar, de maneira sigilosa, à autoridade competente, denúncia que tenha recebido e que contenha indícios da prática de crime sujeito a acionamento penal público incondicionado, cuja perpetração haja ocorrido no âmbito da rede de computadores sob sua responsabilidade.

§ 1º Os dados de que cuida o inciso I deste artigo, as condições de segurança de sua guarda, a auditoria à qual serão submetidos e a autoridade competente responsável pela auditoria, serão definidos nos termos de regulamento.

§ 2º O responsável citado no caput deste artigo, independentemente do ressarcimento por perdas e danos ao lesado, estará sujeito ao pagamento de multa variável de R$ 2.000,00 (dois mil reais) a R$ 100.000,00 (cem mil reais) a cada requisição, aplicada em dobro em caso de reincidência, que será imposta pela autoridade judicial desatendida, considerando-se a natureza, a gravidade e o prejuízo resultante da infração, assegurada a oportunidade de ampla defesa e contraditório.

§ 3º Os recursos financeiros resultantes do recolhimento das multas estabelecidas neste artigo serão destinados ao Fundo Nacional de Segurança Pública, de que trata a Lei nº 10.201, de 14

Sandro Süffert, Consultor em Segurança e Forense Computacional e responsável pelo Blog SSegurança

 

Emerson Wendt, Delegado de Polícia Civil do Rio Grande do Sul e responsável pelo Blog do Emerson Wendt 

A saga de se manter seguro usando Windows

[ 14/01/2010 - Update ]


Notícias recentes como o novo 0-day para IE utilizado na "Operação Aurora" Chinesa - que afetou mais de 30 empresas americanas (incluindo Google,Adobe,Yahoo, Symantec, Northrop Grumman, Dow Chemical e Juniper) - retomam o assunto de como se manter seguro usando o Windows.

Uma empresa possui uma "superfície de ataque" muito grande e precisa de se preocupar com diferentes iniciativas para tentar se defender deste tipo de abordagem avançada.


Como sugestão de abordagem para usuários finais, estou republicando uma lista de 7 dicas que considero eficientes para manter um sistema Windows Seguro (todas elas são gratuitas para uso não corporativo):


I - Instale um bom programa de verificação e correção de versões de aplicações windows (são elas, e não patches do S.O. as mais exploradas).

1. PSI Secunia - Personal Software Inspector - excelente e altamente recomendado programa gratuito (para uso não comercial) que resolve o problema de controle de versões e auxílio a upgrade de "programas problema" como os listados acima (não funciona com proxies)
   
2. Sumo - ferramenta freeware com o mesmo princípio, não tão boa, mas também eficiente - funciona com proxies.

II - Utilize um utilitário de "Sandbox" para navegar na Internet. Este tipo de programa consegue executar seu navegador (e outros programas) de forma isolada. Ele pode ter acesso aos recursos necessários do seu sistema operacional, mas não pode escrever nada nele, sem a sua permissão.

III - Por falar em navegador, procure estar com o seu sempre atualizado, e utilize um que corrija as vulnerabilidades rapidamente (sugiro o Firefox com a extensão NoScript! para controlar a execução de conteúdo ativo como Javascript/Java/etc..)

IV - Sempre verifique por novas atualizações Microsoft em http://www.windowsupdate.microsoft.com

V - Mantenha um bom Antivirus (como Avira , Nod32 e Kaspersky) sempre atualizado

VI - Utilize um bom Firewall Pessoal - sugiro o Comodo para XP ou o Firewall do próprio Vista ou 7 (bem configurado!)

VII - Não navegue na Internet com um usuário com privilégios de Administrador.

VIII - Conheça os Riscos Envolvidos no Uso da Internet e se mantenha bem informado (no link anterior você tem acesso à excelente cartilha de segurança do Cert.Br)




[ 13/01/2010 - Update ]


Conforme prometido - depois de meses de espera as correções (oito!) para o Adobe Reader foram liberadas - se você ainda insiste em utilizá-lo, fique ligado nas correções divulgadas. (Ou utilize o Foxit Reader que é mais rápido e seguro - ou seja, uma alternativa mais segura!)

[ 14/12/2009 - Update ]

Mais dois exploits ativos para o Adobe Reader. Correção sairá apenas em 12 de janeiro de 2010.

Mais Informações:

http://blogs.adobe.com/psirt/2009/12/security_advisory_apsa09-07_up.html

http://threatpost.com/en_us/node/2296

http://isc.sans.org/diary.html?storyid=7747

A melhor contramedida continua sendo desinstalar o Adobe Reader e usar outra alternativa mais segura!

[ 02/11/2009 - Update ]

A Microsoft acaba de divulgar a 7a versao do "Security Intelligence Report" - onde sao apresentadas as tendencias de codigos maliciosos, exploits e invasoes nos produtos Microsoft verificados no primeiro semestre deste ano.

[ 08/10/2009 - Update ]

Comprovando a tendência crescente de exploração de produtos Adobe - o PSIRT da empresa divulgou que há um novo 0day explorando instalações de adobe reader em Windows, Unix e Mac.

[ 11/03/2009 - Update ]

A Adobe finalmente liberou um update para a versão 9 do Adobe Reader que corrige as vulnerabilidades encontradas:

http://www.adobe.com/support/security/bulletins/apsb09-03.html

[ 03/03/2009 - Update ]

Com satisfação informo que este post foi publicado hoje no site da PC Magazine (UOL).

link: http://pcmag.uol.com.br/firewall

[ 25/02/2009 - Post Original ]

Usuários domésticos do Windows (XP ou Vista) estão acostumados à praticidade do "Windows Update" - que permite que novas atualizações de segurança dos seus sistemas operacionais sejam baixados e instalados automaticamente.

Garantir que o Windows Update esteja em dia é bom, mas longe de ser suficiente para manter um computador rodando Windows seguro. O motivo principal é a crescente exploração de vulnerabilidades de "application helpers" em navegadores para infectar usuários - mesmo que estes estejam 100% up-to-date em suas atualizações de segurança Microsoft.

A própria Microsoft já deu este recado em 2008, quando publicou seu 5o Relatório de Inteligência em Segurança ou "Microsoft Security Intelligence Report volume 5 (January – June 2008)" - na página 35 deste documento (figuras 16 e 17) estão listadas as vulnerabilidades mais comumente exploradas através da navegação na Internet (XP e Vista).

No Windows XP, 57,7% das vulnerabilidades exploradas foram de aplicações não Microsoft (ou 3rd party). Os "programas problema" são: QuickTime, RealPlayer, Yahoo Toolbar, Winzip, Adobe Reader.

Já no Vista, este número é bem mais expressivo: 94,3% das vulnerabilidades mais exploradas não o foram por culpa da turma do Bill Gates. Os primeiros lugares: RealPlayer, QuickTime, PowerPlayer, AOL Toolbar.

Para aumentar o coro, a Bit9 lançou no final do ano passado um relatório chamado "The Dirty Dozen" - contendo as Aplicações vulneráveis mais frequentemente encontradas - considerando somente as que não podem ser atualizadas por soluções como Microsoft SMS e WSUS:

Ou seja, são exatamente aquelas que o usuário não sabe/consegue atualizar em casa e que tem dificuldades de se atualizar dentro de uma estrutura corporativa (por motivos de autenticação/proxy/etc..). Seguem os 5 primeiros "programas problema" da lista da Bit9:

1. Mozilla Firefox
2. Adobe Flash & Acrobat
3. Vmware (Player e Workstation)
4. Java
5. Apple Quicktime

Os softwares da Adobe (Flash Player e Acrobat Reader) são uma dor de cabeça à parte. Primeiro porque eles estão instalados em quase todos os computadores Windows, depois porque a Adobe não é das mais rápidas em lançar correções de segurança. Possivelmente você está com versões vulneráveis do Adobe Reader e do Adobe Flash Player (dentre outros) enquanto lê este post.

Na dúvida? Utilize este link da Secunia para verificar possíveis versões vulneráveis de programas instalados em seu computador.

Com relação ao Flash Player, o update com a correção está disponível, mas para o Adobe Reader simplesmente teremos que esperar mais 15 dias (enquando explorações através de arquivos PDF maliciosos estão acontecendo). Por enquanto, sobreviva de workarounds. Outra opção é instalar um patch não oficial que um consultor da SourceFire publicou.

Outras sugestões para se manter seguro online (utilizando o Windows):

I - Instale um bom programa de verificação de versões de aplicações windows:

1. PSI Secunia - Personal Software Inspector - excelente e altamente recomendado programa gratuito (para uso não comercial) que resolve o problema de controle de versões e auxílio a upgrade de "programas problema" como os listados acima (não funciona com proxies)
   
2. Sumo - ferramenta freeware com o mesmo princípio, não tão boa, mas também eficiente - funciona com proxies.

II - Utilize um utilitário de "Sandbox" para navegar na Internet. Este tipo de programa consegue executar seu navegador (e outros programas) de forma isolada. Ele pode ter acesso aos recursos necessários do seu sistema operacional, mas não pode escrever nada nele, sem a sua permissão.

III - Por falar em navegador, procure estar com o seu sempre atualizado, e utilize um que corrija as vulnerabilidades rapidamente (sugiro o Firefox com a extensão NoScript! para controlar a execução de conteúdo ativo como Javascript/Java/etc..)

IV - Sempre verifique por novas atualizações Microsoft em http://www.windowsupdate.microsoft.com

V - Mantenha um bom Antivirus (como Avira , Nod32 e Kaspersky) sempre atualizado

VI - Utilize um bom Firewall Pessoal - sugiro o Comodo para XP ou o Firewall do próprio Vista (bem configurado!)

VII - Não navegue na Internet com um usuário com privilégios de Administrador.

VIII - Conheça os Riscos Envolvidos no Uso da Internet e se mantenha bem informado (no link anterior você tem acesso à excelente cartilha de segurança do Cert.Br)

Mais informações sobre Patches de Segurança da Adobe (Adobe Reader e Flash Player):

Adobe Flash Flaw Could Give Attackers Full Control
http://www.cio-today.com/story.xhtml?story_id=64910

Adobe Releases Security Bulletin for Flash Player
http://www.us-cert.gov/current/index.html#adobe_releases_security_bulletin_for2

Adobe Acrobat pdf 0-day exploit, No JavaScript needed!
http://isc.sans.org/diary.php?storyid=5926

Homemade PDF Patch Beats Adobe By Two Weeks
http://it.slashdot.org/article.pl?sid=09/02/24/0032201

Pirâmides e outros perigos no Twitter

Este post foi feito em conjunto com o Dr. Emerson Wendt - Delegado de Polícia Civil do Rio Grande do Sul, especializado em crimes digitais - que acrescentou valiosas informações do ponto de vista legal ao assunto.

O twitter - ou simplesmente TT - é um serviço de micro-messaging muito simples e revolucionário. Por sua simplicidade ele é usado por mais gente que outros sites de redes sociais. Devido à sua simplicidade e à grande utilização, são centenas os sites que "complementam" as funcionalidades do twitter.

Alguns exemplos são:

• sites usados para encurtar os tamanhos dos links (URLs) nos tweets e se ajustar ao limite de 140 caracteres, como o bit.ly, o tinyurl.com e o http://goo.gl/ (recentemente criado pelo Google)
sites que incluem papéis de parede em perfis como o twitrounds.com e o twitbacks.com
sites para inclusão de imagens nos tweets, como o twicpic.com e o img.ly

A lista é muito extensa e os tipos de serviços são vários, e, obviamente, oferecem risco - especialmente aos utilizadores menos prevenidos e/ou afoitos por novos seguidores nesse "processo de interação social".

Um serviço que está na moda e que consideramos muito arriscado são as chamadas "pirâmides do twitter" (exemplos: www.trtools.com.br, tweetterfollow.com, twittertrain.info). Estes sites são procurados para aumentar o número de seguidores, os chamados "followers".

Sabemos que vários problemas de segurança (relacionados com XSS - Cross Site Scripting, CSRF - Cross Site Request Forgery e com o processo de recuperação de senhas) já ocorreram com o twitter, mas nestes casos de serviços de terceiros relacionados ao twitter o elo mais fraco é o usuário, que está ansioso por usar um novo serviço ligado ao twitter. Por isso, é importante mencionar: esses serviços oferecidos pelos sites mencionados e outros não são ilegais!

Se você se cadastra em qualquer site, como os de pirâmide de seguidores ou nos demais serviços existentes, e fornece seu usuário e senha para poder usufruir dele, seus dados já não são mais só seus.

A partir deste momento, o responsável pelo site pode: a) fazer se passar por você e enviar twitter-spam; b) se passar por você para seus seguidores via mensagens diretas (DM); c) conectar-se a perfis não autorizados e influenciar negativamente sua reputação no serviço, pois a sua conta será considerada maliciosa e reportada ao TT, que pode suspendê-la.

Por isso, uma sugestão importante é: quando acessar esses scripts sites (são referenciados assim no TT) e se cadastrar, leia antes os "Termos de Uso" e a "Política de Privacidade", isso quando existirem. Caso não possuam, desconfie e opte por não se cadastrar.

Mas, então como você pode utilizar este tipo de serviço sem correr este risco? Existem serviços que utilizam métodos mais seguros, como o OAuth (e sua versão 2 recém lançada). Ele permite que sites executem este mesmo tipo de interação com a sua conta do twitter, mas fazendo a autenticação do seu usuário diretamente no twitter. Os benefícios são vários.

Para mais detalhes, visite http://apiwiki.twitter.com/OAuth-FAQ. Uma dica prática, busque os serviços que você mais gosta de usar no site twitoauth - ele lista os sites auxiliares do twitter que já utilizam o OAuth.

Pode existir crime a má utilização dos dados cadastrais dos usuários desses scripts sites? Dependendo do caso específico, sim. Já se discutiu bastante a questão da violação de correspondência, mas sabe-se que sem a edição de um artigo penal específico referenciado a violação de correspondência eletrônica não há crime (veja opinião neste sentido e sobre o Projeto de Lei 1704/07). 

Mas, então, qual crime? Como referimos, depende da situação específica, pois a forma de utilização ou de divulgação do conteúdo obtido por meio desse tipo de violação poderá constituir crime contra a honra, sem prejuízo da responsabilidade civil, violação de direitos autorais, falsidade ideológica (veja opinião a respeito, aqui e aqui) ou falsa identidade (veja opinião aqui). 

O importante é que se você acha que foi vítima de algum crime virtual pelo TT, siga as instruções e registre o fato na delegacia de polícia mais próxima!

Outras dicas importantes sobre o uso da internet de forma segura você pode encontrar na excelente cartilha do cert.br. Aliás, você também pode reportar os incidentes de segurança relacionados ao CERT pelo e-mail abuse@cert.br.

Autores:

Emerson Wendt, Delegado de Polícia Civil do Rio Grande do Sul e responsável pelo Blog do Emerson Wendt  [ http://www.emersonwendt.com.br/2010/01/piramides-e-outros-perigos-no-twitter.html ]

Sandro Süffert, Consultor em Segurança e Forense Computacional e responsável pelo Blog SSegurança

RAM Scraping, GPS router XSS, printer storage

Muitas vezes ao responder incidentes o que pode atrapalhar um CSIRT é exatamente o que a equipe já conhece , porque naturalmente termos a tendência de buscar entender um problema utilizando nossos conceitos prévios (ou pré-conceitos) que certamente podem cegar uma investigação de um incidente.

Sabemos que algumas técnicas utilizadas por atacantes surpreendem não necessariamente pela novidade ou elaboração técnica, mas por nos mostrar que muitas vezes podemos ser atacados de maneiras realmente criativas e inusitadas.

Vou apresentar brevemente 3 técnicas para ilustrar as afirmações acima - serve de exercício para imaginar como as suas iniciativas de segurança atuais (IPS, FW, DLP, Filtro de conteúdo, etc) seriam capazes de deter estes ataques:

1 - Ram Scraping:

O conceito é extremamente simples e todos que já efetuaram análise de dumps memória sabem exatamente do que se trata - por mais que as informações estejam criptografadas na rede, no banco de dados ou no sistema de arquivos, quando são manipuladas pelos programas/processos e memória RAM em vários momentos elas estarão em claro - e por isto mesmo podem ser capturadas pela técnica de RAM Scraping.

O assunto está em pauta devido ao uso em ataques muito bem sucedidos recentes em que foram capturados números de cartões de crédito e outros detalhes transacionais diretamente de sistemas utilizados em pontos de venda (POS) .

Mais informações aqui, aqui e aqui.

2 - Coordenadas GPS via exploração de falha XSS no roteador:

"É só um Cross Site Scripting..". Talvez você já tenha ouvido (ou pensado) isto durante a apresentação de resultados de um teste de segurança WEB. Pois no caso do roteador FiOS da Verizon (e talvez outros), o XSS permite que um atacante consiga determinar a localização física (coordenadas GPS) do usuário que estiver utilizando a rede em questão, utilizando o serviço "Google Location Service" e "Location-Aware" do Firefox.

Veja mais aqui (prova de conceito) e mais detalhes aqui e aqui.

3 - Usos inusitados das suas impressoras:

Este é a mais antiga das 3 abordagens, mas não deixa de impressionar - afinal, quem troca o password padrão das impressoras? O pessoal da Phenoelit pulicou há muitos , muitos anos atrás uma ferramenta que serve de " console" para conexão a impressoras HP - o que permite a um atacante uma miríade de coisas, inclusive guardar arquivos dentro do disco interno da impressora, ler os ultimos trabalhos enviados para ela e alterar configurações administrativas.

Mais informações aqui.

Estes 3 exemplos poderiam ser 30, 300 ou 3000. Somando a isto a nossa certeza da desvantagem natural da defesa contra o ataque (quem defende uma infra-estrutura complexa sabe que atacantes precisam apenas achar algumas poucas brechas para obter resultados não autorizados), teremos uma noção exata do porque apenas investimentos (de tempo, gente, fios de cabelo e dinheiro) em prevenção / detecção não são suficientes para assumir uma postura corporativa madura em segurança da informação.

Dito isto, fica claro que uma reação bem executada deve gerar feedback de alta qualidade (famosa "análise post-mortem") para os processos de prevenção e detecção, para que a postura de segurança seja adequada à realidade dos ataques realmente sofridos pela corporação.

RegRipper & NIST Forensic Challenge

Para quem não conhece, o RegRipper é um excelente programa desenvolvido em Perl por Harlan Carvey - que também é escritor de um dos livros listados recentemente em outro post.

Pois bem, recentemente o próprio Carvey divulgou que um analista (Paul Stutz) ao trabalhar no caso forense de hacking do CFReDS / NIST utilizou o script rip.pl e publicou os procedimentos utilizados em um documento online.

Gostaria de ressaltar a praticidade e velocidade da utilização desta excelente ferramenta com alguns exemplos de comandos simples executados para responder perguntas comuns em qualquer análise forense:

• Qual versão do sistema operacional do sistema analisado?

$ ./rip.pl -r /Volumes/Untitled/WINDOWS/system32/config/software -p winver

Launching winver v.20081210
ProductName = Microsoft Windows XP
InstallDate = Thu Aug 19 22:48:27 2004

• Qual é o TimeZone (Fuso Horário) do sistema?

$ ./rip.pl -r /Volumes/Untitled/WINDOWS/system32/config/system -p timezone

Launching timezone v.20080324
TimeZoneInformation key
ControlSet001\Control\TimeZoneInformation
LastWrite Time Thu Aug 19 17:20:02 2004 (UTC)
DaylightName -> Central Daylight Time
StandardName -> Central Standard Time
Bias -> 300 (6 hours)
ActiveTimeBias -> 360 (5 hours)

• Quais são os usuários registrados no sistema?
  

$ rip.pl -r evidence/registry/SAM -p samparse | grep Username

Launching samparse v.20080415
Username: Administrator [500]
Username: Guest [501]
Username: HelpAssistant [1000]
Username: SUPPORT_388945a0 [1002]
Username: Mr. Evil [1003]

Para muitos outros exemplos como os apresentados acima, recomendo a leitura do PDF.

01/01/2010 - OISF Suricata, Into The Boxes, Visa OTP e Classificação de Ameaças do WASC

2010 está movimentado! Seguem algumas novidades interessantes do primeiro dia do ano:

• A "Open Information Security Foundation" acaba de lançar a primeiríssima versão pública do SURICATA - um novo conceito em IDS open source que pretende revolucionar o mercado! O meu grande amigo e ex-colega de trabalho Breno Silva Pinto trabalha ativamente como desenvolvedor do projeto OISF - que é fundado pelo DHS americano. Entre as funcionalidades do Suricata, estão: Multi-Threading
  Automatic Protocol Detection (HTTP,TLS,FTP, and SMB). HTTP Gzip Decompression, Standard Input Methods, Unified2 Compatibility, Flow Variables e HTTP Logging Module.

• Harlan Carvey e Don Weber lançaram um Magazine Online chamado Into the Boxes (pdf) sobre Forense e Resposta a Incidentes - os assuntos tratados nesta edição são: 1 - a chave de registro UserAssist e suas mudanças no Win 7 e 2008 R2 (incluindo link para download da ferramenta User Asssit do Diddlier Stevens); 2 - Análise de Memória usando o utilitário crash no Linux RedHat; Dicas como não jogar fora o adaptador SATA->USB daquele seu disco externo antigo; cuidados ao usar o FTK Imager; Entrevista sobre PCI com o Carvey.

• Nova geração de cartões VISA terá KeyPad, LCD e gerador de 'one time password' - Falando em PCI, tecnologia similar já é usada na Holanda há anos e deve diminuir sensivelmente a fraude online para os portadores deste tipo de cartão.

• A versão 2.0 do Threat Classification do WASC (Web Application Security Consortium) foi publicada - até o momento objetivo estão classificados 33 categorias de ataques como Cross-Site Scripting, Buffer Overflow, Remote File Inclusion e 15 vulnerabilidades como Improper Input Handling e Information Leakage - que podem levar ao comprometimento de um site, seus dados e seus usuários.
  
  

Retrospectiva 2009 e Previsoes 2010

Trezentos e sessenta e cinco dias e sessenta e seis posts depois, o ano de 2009 finalmente chega ao fim. Vou aproveitar o ensejo para listar os assuntos mais acessados em 2009 e aproveitar para fazer algumas previsões para 2010.

Segue uma relação dos 10 posts mais lidos/comentados em 2009:

1. Risco, Vulnerabilidade, Ameaça e Impacto
2. Tipos de Monitoração de Segurança de Rede
   
3. Livros de Segurança, Resposta a Incidentes e Forense
4. Blogs em português sobre Segurança
5. Forense de Memória - comparação de ferramentas
6. Conficker - de um erro de programação a um worm global
7. Material de Treinamento para equipes de Resposta a Incidentes
   
8. Shodan Computer Search Engine
9. Expressões Regulares em Resposta a Incidentes e Forense
10. Apagão e Hackers - Aconteceu ou é Possível?
    

Aproveitando o embalo, seguem também algumas previsões para 2010 - apenas para exercitarmos a futurologia neste último dia do ano.

Sei bem do risco de fazer previsões como estas, e espero retornar a este post daqui em um ano para ver se acertei mais de 50% - o que seria uma boa média =)

1. Muitas siglas e novos produtos aparecerão, mas os reais problemas não mudarão;
2. A tecnologia de NAC vai padecer para o uso geral (finalmente);
3. MAC OSX, Linux, BlackBerry OS serão mais e mais explorados;
4. A Lei do Ciber Crime entrará em vigor e terá múltiplas emendas;
5. O setor de Forense Computacional terá aquisições que modificarão o mercado;
6. O Cert.BR conseguirá que alguns grandes provedores sigam orientações anti-spam e anti-bots
   
7. Ferramentas e Live-CDs Free de Forense se aposentarão e surgirão novamente;
   
8. O assunto de Cloud Security não vai embalar como se imagina;
9. Haverá uma especialização maior dos grupos que criam malwares customizados;
10. Invasões e vazamento de dados continuarão a ocorrer por falhas comuns, e só serão notificados às autoridades em caso de necessidade;

Um bom reveillon junto à família e um ótimo 2010 para todos nós!

Sandro Süffert

Anti-Forense: DECAF v2

[ Update 2009/12/29 ]

A ferramenta de anti-forense da moda, DECAF (já falamos sobre ela aqui), acaba de renascer em versão repaginada - foi lançada oficialmente ontem a v2. Agora ela pode ser ativada se detectar a presença das seguintes ferramentas: Microsoft COFEE, Helix, EnCase, Passware, Elcomsoft, FTK Imager Port, Forensic Toolkit, ISOBuster, e Ophcrack.

Além disto, o usuário pode incluir novas assinaturas de detecção e foi adicionada a opção de monitoração de CD-Rom. Há também agora opções mais granulares de ações quando estas ferramentas forem executadas. Alguns exemplos são: execução de programas, desabilitar o device onde a ferramenta forense foi identificada, e iniciar em modo de monitoração.

Com as novas funcionalidades, esta versão 2 já pode até ser considerada como uma ferramenta de Anti-Forense, mas obviamente só é útil se a máquina a ser investigada estiver ainda ligada quando o investigador executar as ferramentas citadas.

Espera-se que analistas de resposta a incidentes ou forense minimamente preparados a partir de agora primeiro verifiquem a possibilidade de ferramentas deste tipo estarem em execução antes de executarem os seus procedimentos de coleta de dados voláteis na máquina investigada.

Na verdade esta preocupação já existia com ferramentas anti-forense mais antigas com funcionalidaes similares (Hacker Defender, Antidetection, FUTo, Shadow Walker, ... ). Mas o grau de divulgação do DECAF realmente deve torná-la uma ferramenta mais comum no arsenal utilizado nas máquinas que iremos analisar de hoje em diante.

Site oficial do DECAF v2: http://decafme.org

Breve demonstração da ferramenta: http://www.youtube.com/watch?v=tVFVdwcX5xA&hd=1



Excelente post sobre o assunto do Harlan Carvey: http://windowsir.blogspot.com/2009/12/lions-and-tigers-and-decafoh-my.html




[ Update 2009/12/03 ]

O Tony acabou de fazer um post interessante sobre o assunto Anti-Forensics - não perca!

[ Update 2009/10/29 ]

Dois posts entitulados "Tecnicas anti-forense para ocultação de dados" (parte 1 e parte2) foram recentemente publicados no Grego Weblog.

[ Update 2009/08/31 ]

Este post sobre anti-forense foi incluído na coluna do colega Raffael Vargas, no Imaster.

[ Post Original 2009/08/05 ]

O uso de técnicas de anti-forense é crescente e a sofisticação e automatização do seu uso em ataques reais é visível.

Segundo o último "Verizon Databreach Report 2009", dentre os incidentes de segurança investigados pelo time de resposta a incidentes da Verizon em 2008, em 31% foram utilizadas técnicas de data wiping, em 9% data hiding e em 3% data corruption.

Um dos trabalhos mais divulgados de anti-forense em ambiente Unix foi o feito por Grugq (Phrack 59, 2002 / Black Hat de 2005) ("Blackhat: The Art of Defiling: Defeating Forensic Analysis on Unix File System").

Um artigo interessante foi publicado em 2008 pelos brasileiros Felipe Balestra e Rodrigo Branco sobre o assunto de anti-forense em ambiente Linux: "Kernel Hacking & Anti-Forensics - Evading Memory Analysis" (Obrigado Felipe pelo Link).

Um exemplo da popularização de ferramentas de Anti-Forense em Windows é o projeto Metasploit Anti-Forensics, de 2007, que forneceu ferramentas de fácil uso para:

• mudança de MAC Times (timestomp)
• ocultação de dados em slack space (slacker)
• obtenção dos hashes da SAM diretamente da memória (sam juicer)
  

Como novidade nesta área de Anti-Forense temos a apresentação mais interessante da Black Hat 2009 (ao menos do ponto de vista de resposta a incidentes e forense computacional) chamada "Anti-Forensics: The Rootkit Connection (paper / apresentação)", que foi feita por Bill Blunden.

Neste paper são detalhadas estratégias de:

• Destruição de Dados (File scrubbing, Meta-data wiping, File System Attacks);
• Ocultação de Dados (In-Band, Out-of-Band, and Application Layer Concealment);
  
• Corrupção de Dados (Compression, Encryption, Code Morphing, Direct Edits);
  
• Fabricação de Dados (Introduce known files, String decoration, False audit trails); e
• Eliminação da Fonte de Dados (Data Contraception, In-Memory DLL Injection)

O objetivo é a utilização de Rootkits que permitam que o mínimo de evidências sejam deixadas em disco e que estas evidências sejam difíceis de ser localizadas e tenham o mínimo de utilidade possível para o analista forense. Além disto a fabricação de evidências falsas e a destruição de dados são técnicas também abordadas no paper.

Abordagens para atrapalhar as várias fases seguidas em um processo de forense de disco são detalhados (Duplicação, Recuperação de Arquivos da Cópia, Recuperação de Arquivos Deletados, Coleta de Metadados, Remoção de Arquivos Conhecidos, Análise de Assinatura e Análise de Executáveis).

O pesquisador encerra o paper dizendo que a verdadeira batalha entre white-hats e black-hats já está sendo travada nos âmbitos de forense de memória e forense de rede, pois por mais bem desenvolvido que seja um rootkit ou qualquer outro malware utilizado por um atacante, ele precisa se executar em memória e se comunicar com o exterior de alguma forma...