Estratégias para mitigar intrusões direcionadas

[ Update 24/10/2012 ]

O governo australiano,  através de seu "Defence Signals Dictorate" acaba de divulgar um update para a lista de "Top 35 Mitigation Strategies" com algumas mudanças na priorização na "efetividade" das estratégias recomendadas de mitigação - vale a pena conferir e considerar na priorização de ações de defesa.

A tabela disponibilizada são medidos várias características da estratégia, incluindo "Efetividade Global de Segurança", a "Resistência dos Usuários", os "Custos de Implementação", os "Custos de Manutenção" e também se: a estratégia Previne e/ou Detecta a intrusão; e se ajuda a mitigar quais estágios da intrusão.

HTML /Tabela (PNG) / PDF

As dez estratégias de defesa mais eficientes:

1. Whitelisting de Aplicações
2. Patching de Aplicações
3. Patching de Sistemas Operacionais
4. Minimizar os usuários com permissões administrativas locais ou de domínio
5. Desabilitar contas de administrador locais
6. Autenticação de múltiplos fatores
7. Segmentação e segregação de redes
8. Firewall de Aplicação em Estações de trabalho para negar tráfico 'entrante'
9. Firewall de Aplicação em Estações de trabalho para negar tráfico 'sainte'
10. Sistema Virtualizado não persistente para atividades arriscadas como leitura de email e navegação na internet.

Veja todas as 35 estratégias no site oficial - Top 35 Mitigation Strategies.

[ Update - 03/08/2011 ]

A Mcafee acaba de divulgar informações sobre a "Operation Shady RAT". Trata-se de um relatório contendo detalhes de intrusões direcionadas a mais de 70 empresas, organizações e governos, nos últimos 5 anos. Vale a pena dar uma olhada no PDF e nos timelines disponibilizados.

Veja a descrição do modus operandi utilizado pelos adversários nas intrusões: 

"The compromises themselves were standard procedure for these types of targeted intrusions: 

(1) a spear-phishing email containing an exploit is sent to an individual with the right level of access at the company, and the 

(2) exploit when opened on an unpatched system will trigger a download of the implant malware. That 

(3) malware will execute and initiate a backdoor communication channel to the Command & Control web server and interpret the instructions encoded in the hidden comments embedded in the webpage code. 

(4) This will be quickly followed by live intruders jumping on to the infected machine and proceeding to quickly escalate privileges and 

(5) move laterally within the organization to establish new persistent footholds via additional compromised machines running implant malware, as well as (6) targeting for quick exfiltration the key data they came for"

Links Relacionados:

Ghostnet - http://sseguranca.blogspot.com/2009/03/ghostnet-possivel-espionagem.html
Aurora - http://sseguranca.blogspot.com/2010/01/china-vs-google-e-cia-ou-nao-ha-como.html

[ Post Original - 20110802 ]

Apesar de sabermos que vulnerabilidades em aplicações (SQL Injection, Cross Site Scripting, etc..) são muito exploradas por adversários, o caminho mais fácil para invadir uma empresa é explorar seu elo mais fraco: o usuário...

O vídeo abaixo, da Silicium Sec, demonstra visualmente a facilidade de se obter sucesso com um ataque deste tipo (são mostrados 5 passos):

Além de explorar os usuários - que devem ser treinados para se conscientizar destes riscos e serem capazes de reagir adequadamente a este tipo de ataque - os atacantes contam também com a falta de preparo de administradores de T.I. e times de Segurança da Informação.

Mas afinal, o que as empresas devem fazer para que não sejam vítimas deste tipo de ataque?

O governo da Austrália, através de seu "Department of Defence - Intelligence and Security", divulgou uma lista "TOP 35 Mitigation Strategies" (sendo que as primeiras 4 são consideradas as mais importantes) - contendo as principais estratégias de mitigação para evitar que intrusões direcionadas utilizando técnicas como as divulgadas no vídeo acima tenham sucesso.

As estratégias de mitigação são apresentadas, incluindo colunas com a "Efetividade Global de Segurança", a "Resistência dos Usuários", os "Custos de Implementação", os "Custos de Manutenção" e também se: a estratégia Previne e/ou Detecta a intrusão; e se ajuda a mitigar quais estágios da intrusão (execução de código; propagação na rede; exfiltração de dados)

Seguem as 4 principais estratégias listadas:

• Patch de aplicações (muito utilizadas e "bugadas") como leitores PDF, Microsoft Office, Java, Flash Player e navegadores;
• Patch de vulnerabilidades dos sistemas operacionais;
• Minimizar o número de usuários com privilégios administrativos (útil quando as vulnerabilidades de elevação de privilégio foram corrigidas);
• Utilizar whitelisting de aplicações para ajudar a previnir que malware e outros programas não aprovados sejam executados.

Para a lista completa com as 35 estratégias e mais detalhes, acesse: http://www.dsd.gov.au/infosec/top35mitigationstrategies.htm

III Seminario de Defesa Cibernetica, CyberWarfare e Geopolitica

III Seminário de Defesa Cibernética do Ministério da Defesa

O Ministério da Defesa organiza a partir de amanhã, até 6a feira o 3º Seminário de Defesa Cibernética. Tive a oportunidade e a honra de participar de todos os Seminários e sou testemunha que o evento vem melhorando e crescendo a cada ano, com cada vez mais interação e troca de experiências entre os participantes.

Neste ano, a Apura Inteligência em CiberSegurança estará presente mostrando seus produtos, serviços e programa de treinamentos para instituições governamentais.

Segundo o Ministério da Defesa, "o objetivo do evento é reunir e fomentar a discussão, a reflexão e troca de experiências entre instituições públicas, organizções civis e integrantes do ambiente acadêmico, tanto nacional, quanto internacional, que tenham relação com os assuntos inerentes ao setor de defesa cibernética".

Site oficial: http://www.3cibermd.eb.mil.br/

CyberWarfare:

• O centro de Cooperação de Defesa Cibernética da OTAN em Tallin, Estônia, publicou neste mês um draft de um manual de Direito Internacional aplicado à Guerra Cibernética: The Tallinn Manual on the International Law Applicable to Cyber Warfare" - NATO Cooperative Cyber DefenceCentre of Excellence Tallinn, Estonia

• Na ausência de outros documentos ou manuais relacionados ao assunto, o Manual de Tallinn tem potencial para tornar-se uma referência importante para o Direito Internacional aplicado à Guerra Cibernética, assim como a convenção de Budapeste de 2001 é uma referência no combate aos Crimes Cibernéticos

Anti-Vírus e Geopolítica:

• Recentemente a revista Wired publicou informações a respeito do fundador e dono da empresa de anti-vírus russa que leva seu nome,  Eugene Kaspersky - o acusando de trabalhar para o Kremlin. Eugene se defendeu em seu blog, dizendo que apenas provê expertise, e nada mais.

• O próprio Eugene Kaspersky divulgou recentemente que sua empresa está desenvolvendo - há dez anos - um sistema operacional "seguro" para sistemas SCADA (de infra-estrutura crítica). 

• Além da Kasperksy, a finlandesa F-Secure vêm se posicionando crítica a atuação de Anti-Vírus norteamericanos, como Mcafee e Symantec, por não detectar trojans supostamente utilizados por alguns governos. De fato, tanto no caso do Stuxnet, quanto no DuQu e Flame, as primeiras detecções ocorreram por empresas europeias. 

• No início deste ano o Exército brasileiro comprou o código fonte do produto de Anti-Vírus da empresa BluePex, que em 2010 havia comprado a "AvWare". O movimento mostra uma preocupação com a soberania nacional e também pode prover a capacidade de controle do código fonte dos produtos responsáveis por identificar ataques cibernéticos em redes governamentais. É óbvio que muitas funcionalidades precisarão ser criadas para melhorar a eficiência do softwar, mas é um bom sinal perceber que as inovações tecnológicas necessárias agora podem ser feitas sobre um código sob controle do Brasil.

Posts Relacionados:

• Trojans em Investigacoes Online - http://sseguranca.blogspot.com.br/2009/04/cipav-fbi-utiliza-spyware-em.html
• CiberGuerra e CiberEspionagem: O uso de ferramentas de invasão por Nações e Governos - http://sseguranca.blogspot.com.br/2012/08/ciberguerra-e-ciberespionagem-o-uso-de.html
• Ciberguerra: internet é palco de novas ameaças e batalhas - http://sseguranca.blogspot.com.br/2012/07/ciberguerra-internet-e-palco-de-novas.html
• 2nd Interpol Cybercrime Summer School Training e Campus Party Recife - http://sseguranca.blogspot.com.br/2012/07/2nd-interpol-cybercrime-summer-school.html
• StuxNet - CyberWarfare existe! - http://sseguranca.blogspot.com.br/2010/07/0day-lnk-infocon-amarelo-senha-default.html

APURA no ICCYBER 2012

[ Update 01/10/2012 ]

Slides do material apresentado pela APURA no ICCyber 2012:








[ Update 29/09/2012 ]


O ICCyber mais uma vez foi um excelente evento, tanto do ponto de vista do conteúdo apresentado nas palestras quanto ao nível dos debates e atividades hands-on oferecidas aos participantes.

Nós da APURA fomos honrados em participar como patrocinadores e também por estarmos diretamente envolvidos no evento muito além do nosso estande em conjunto com a AccessData. Nossa satisfação por termos conseguido trazer palestras técnicas internacionais de qualidade (* - PDF), além de termos participado como palestrantes e também oferecido juntamente com o Team Cymru o hands on "Desafio Forense".

Dentre os mais de 30 participantes do Desafio Forense do ICCyber, foram premiados os 5 primeiros colocados (Entre eles, dois Peritos Federais (SP e RJ), dois militares do Exército brasileiro e um consultor do CTI - Campinas. Na foto abaixo o momento da premiação ao vencedor: Guilherme M. D.:

A premiação final do Desafio foi a seguinte:

• 1o Lugar: Um tablet Google Nexus 7, brindes da DPF e convite para o ICCyber 2013 ;
• 2o e 3o Lugares: Brindes da DPF e convites para o ICCyber 2013 ;
• 4o e 5o Lugares: Brindes da DPF

PS: 2 dos 5 primeiros colocados fazem parte do time que está representando o Brasil na CyberLympics.

[ Update 22/09/12 ]

Desafio Forense ICCyber 2012 - APURA e Team Cymru:

'Sandro Süffert, CTO da Apura, e Jacomo Picollini, VP do Team Cymru, realizarão o Desafio Forense no ICCYBER 2012. A competição acontecerá num ambiente de simulação onde serão avaliadas a destreza dos participantes em situações de rastreamento de invasão, exigindo a utilização de técnicas sofisticadas de análise, para a detecção e identificação da origem do “ataque” simulado.' (UOL/IDG Now)

O vencedor será premiado com um tablet Nexus 7, do Google - cortesia da Apura CyberSecurity

Palestra "Clustering and Classification for Cyber Crime (PDF)" de Jesse Kornblum:

Um dos mais respeitados especialistas e desenvolvedores de ferramentas para computação forense - Jesse Kornblum (*), aceitou o nosso convite e estará fazendo um keynote no ICCyber 2012.

Algumas ferramentas conhecidas que ele desenvolveu: dc3dd (aquisição forense), ssdeep e md5deep (fuzzy hashing) e foremost (carving).

Para mais informações sobre outros destaques do evento, veja este artigo do UOL - Conferência em Brasília reune 40 especialistas em cibersegurança :


"A ICCYBER 2012 – IX Conferência Internacional de Perícia em Crimes Cibernéticos, que acontece em Brasília de 26 a 28 de setembro, reunirá um time de mais de 40 especialistas, nacionais e internacionais, dentre os quais o Instituto Nacional de Criminalística da Polícia Federal e do FBI norte-americano, para debater os desafios da prevenção às ameaças digitais, e casos bem sucedidos de detecção e investigação de quadrilhas cibernéticas.

Contendo atividades distribuídas entre painéis, palestras técnicas, apresentação de papers acadêmicos e sessões de treinamento, dentre os destaques da programação está a presença do Ministro Gilson Dipp, Vice-Presidente do STJ, Ministro do TSE, ex-Corregedor Nacional do CNJ, e Presidente da Comissão responsável pela elaboração do anteprojeto de reforma do Código Penal, que participará do painel Proposições Legislativas – Reforma do Código Penal, voltado a discutir alternativas de tipificação dos delitos digitais.

Na palestra Sistema Integrado de Comando e Controle para Grandes Eventos, do Coordenador de TI da Secretaria de Segurança em Grandes Eventos do Ministério da Justiça, Daniel Russo, que trará informações sobre o planejamento das medidas de Segurança Eletrônica voltadas para a Copa do Mundo 2014 e Olimpíadas do Rio de Janeiro 2016, face às crescentes ameaças de cyberterrorismo existentes no mundo atual.

Para ilustrar as possibilidades de tais ameaças cibernéticas, e as técnicas de detecção e investigação mais sofisticadas, diversos peritos da Secretaria de Perícias em Informática do Instituto Nacional de Criminalística - INC da Polícia Federal abordarão pesquisas e estudos de caso de episódios ocorridos, como a palestra Ataque a Sites Governamentais: Estudo de Caso, a cargo do perito Ronei Maia Salvatori, do INC-PF.

Dentre os especialistas internacionais presentes, uma das mais aguardadas palestras é aClustering and Classification for Cyber Crime, do “guru” Jesse Kornblum, formado pelo MIT - Massachusetts Institute of Technology, pesquisador da área de computação forense da Kyrus Tech e criador de uma série de ferramentas consideradas fundamentais para a prática da perícia digital forense.

A programação contempla ainda a sessão de Desafio Forense, elaborada pelos especialistas Sandro Suffert e Jacomo Piccolini, que reproduzirá, num ambiente de simulação, situações de rastreamento de invasão, exigindo a utilização de técnicas sofisticadas, debatidas durante o evento, para a detecção e identificação da origem do “ataque” simulado."


[ Post Original - 14/09/2012 ] 

A APURA CyberSecurity Intelligence é patrocinadora diamante do ICCYBER 2012.


A APURA, sua parceira ACCESSDATA e outros parceiros internacionais estarão presentes na conferência ICCYBER 2012, organizada pela ABEAT e Polícia Federal.

Sandro Süffert, Diretor de Tecnologia da APURA, palestrará pela 5a vez no evento. O tema a ser abordado este ano será a Evolução das Técnicas de Investigação Digital em meio corporativo (**).

A crescente complexidade das ações criminosas virtuais e da sofisticação dos instrumentos maliciosos utilizados para esses fins tem requisitado do Perito/Investigador Forense seu contínuo aprimoramento e em especial a habilidade de lidar com inúmeras ferramentas.

Desafio Forense

O Desafio Forense que será executado durante o ICCYBER 2012, oferecido pela APURA CybeSecurity Intelligence e pelo Team Cymru vai proporcionar aos participantes um ambiente seguro para o teste e uso de ferramentas na solução de um jogo de pistas e respostas. O intuito do Desafio é instigar os participantes a utilizar ferramentas forenses de forma criativa e confrontá-los com situações que demandam soluções não ortodoxas.

A participação no Desafio é aberta a todos os inscritos no evento, sendo necessário para participar possuir uma versão atualizada do aplicativo VMWare e 4gb de espaço em disco. Algumas etapas podem necessitar de acesso à Internet. Será declarado vencedor do Desafio o primeiro participante que apresentar a frase ganhadora e demonstrar todas as etapas percorridas.

O site oficial do evento é http://www.iccyber.org

APURA Cybersecurity Intelligence: http://www.apura.com.br

ACCESSDATA: http://www.accessdata.com

fonte: http://www.apuratrustedservices.com/apura/iccyber-2012/

Sites-Ferramentas de Segurança

Acesso rápido a esta página: http://tinyurl.com/segonline

[ Post Original: 21/07/2010 | Última atualização: 30/09/2012 ]

Não deixe também de conferir a "Lista de (Listas de Ferramentas de Segurança)" em http://tinyurl.com/sectoollist

A internet e a WEB 2.0 estão aí para facilitar todas as atividades profissionais, e por que não também a segurança da informação? Hoje em dia muitas análises são auxiliadas por ferramentas online.

Eu ia tuitar sobre um novo serviço de verificação em várias blacklists de IPs e URLs online, mas resolvi fazer um post mais completo sobre estes sites que facilitam tanto a vida de profissionais de Segurança da Informação.

Tentei também priorizar serviços gratuitos e abrangentes (que executam verificações com multiplas engines de anti-virus, por exemplo) do que sites de empresas específicas.

É importante notar que vários destes sites possuem EULAs e qualquer consulta/submissão a eles deve ser calculada do ponto de vista da confidencialidade dos dados tratados pelo profissional que está utilizando os serviços.

Aguardo a sua colaboração para ampliar com qualidade e manter esta lista sempre atualizada.

Ferramentas de monitoração de Autonomous Systems (BGP) contribuíção de Daniel Kratz neste outro post: http://tinyurl.com/sectoollist

BGPMON.net
cyclops.cs.ucla.edu

Informações rápidas sobre um domínio, IP, URL e emails (servidores):
http://trasir.com/ (update: 16/12/2011)

Série de ferramentas para pentest:

Port Scanner: http://scan.subhashdasyam.com/port-scanner.php
VNC Scanner: http://scan.subhashdasyam.com/vnc-scanner.php
RDP Scanner: http://scan.subhashdasyam.com/remote-desktop-scanner.php
SSH Scanner: http://scan.subhashdasyam.com/ssh-scanner.php
LFI Scanner: http://scan.subhashdasyam.com/lfi-scanner.php
Admin Page Bruter: http://scan.subhashdasyam.com/admin-page-finder.php

WordPress Admin Brutter: http://scan.subhashdasyam.com/wordpress-bruter.php

SQLi Dumper: http://scan.subhashdasyam.com/dumper.php

SQLi Dumper with login: http://scan.subhashdasyam.com/dumper-with-login.php

Lista de Sites para localização de informações pessoais (*):
http://computercrimeinfo.com/info.html

Análise de IPs/URLs:

http://www.ipvoid.com

http://www.urlvoid.com
http://www.google.com/safebrowsing/diagnostic?site=example.com
http://www.unmaskparasites.com

http://www.hackerfantastic.com

Análise de IPs em múltiplas DNSBL (Spam):
http://multirbl.valli.org

Top 20 Malicious Autonomous Systems
http://maliciousnetworks.org

Análise de Malware em múltiplos Anti-Vírus

http://www.virustotal.com
http://virusscan.jotti.org
http://virscan.org
http://scanner.novirusthanks.org

Sandboxes (reporte de execução):
http://urlquery.net/
http://malwr.com
http://anubis.iseclab.org
http://www.norman.com

http://www.sunbeltsoftware.com

http://www.threatexpert.com
Outros sandboxes: http://www.pentestit.com/list-sandboxes-malware-analysis/

Análise de Documentos Maliciosos
http://www.malwaretracker.com 
https://malwaretracker.com/doc.php (update em 2012/02/16)

http://www.joedoc.org
https://www.vicheck.ca
http://wepawet.iseclab.org

http://jsunpack.jeek.org

http://www.adopstools.com/ (flash)
https://blog.honeynet.org.my/gallus/upload/about

Verificação de Hashes MD5 de arquivos em White/BlackLists:
http://fileadvisor.bit9.com
https://hash.cymru.com
http://isc.sans.edu/tools/hashsearch.html
http://bin-test.shadowserver.org
http://isc.sans.edu/tools/hashsearch.html

http://www.team-cymru.org/Services/MHR/

http://www.nsrl.nist.gov/
http://www.bit9.com/products/bit9-global-software-registry.php
https://www.owasp.org/index.php/OWASP_File_Hash_Repository

CloudCracker (serviço pago, para WPA/WPA2, LM e NTLM)
https://www.cloudcracker.com (update em 2012/02/16)

Lista de Hash Crackers Online (MD5,SHA1&256,LM,NTLM,MySQL)

http://www.objectif-securite.ch/
http://md5.thekaine.de/
http://hashcrack.ath.cx/onlinehashcrackers.htm

Análise de Capturas de Rede
http://cloudshark.org
http://pcapr.net

Testes de SSL:
https://www.ssllabs.com/ssldb/
http://www.serversniff.net/content.php?do=ssl

Outras Listas de Ferramentas Online:

http://www.websegura.net/ferramentas-online-seguranca-web/ (David Sopas)

http://www.emersonwendt.com.br/p/pagina-de-ferramentas.html (Emerson Wendt)
http://www.techsupportalert.com/long-list.htm/Probably%20the%20Best%20Free%20Security%20List%20in%20the%20World

Segurança de Navegadores / Browsers

[ 18/09/2012 - Update ]

Devido a uma vulnerabilidade 0-day presente em todas as versões do Internet Explorer (até a v9),
empresas que ainda usam o Internet Explorer como padrão em suas estações devem utilizar um outro browser. Já existem exploits públicos disponíveis e sendo utilizadas largamente. O IE10 não está vulnerável, o que pode indicar que a Microsoft corrigiu esta falha silenciosamente.

O Governo alemão recomendou que todos os usuários deixem de utilizar o IE, até que a Microsoft libere um patch para o problema.

Outras links sobre o assunto que valem a visita:

• BrianKrebs:  http://krebsonsecurity.com/2012/09/exploit-released-for-zero-day-in-internet-explorer/

• AlianVault: http://labs.alienvault.com/labs/index.php/2012/new-internet-explorer-zero-day-being-exploited-in-the-wild/

• Zataz: http://eromang.zataz.com/2012/09/17/microsoft-internet-explorer-execcommand-vulnerability-metasploit-demo/

[ 28/02/2012 - Update ]

O Chrome foi o único browser a sobreviver aos desafios da PWN2OWN até o momento. E para o evento de 2012, o Google anunciou que vai pagar recompensas até o limite de $ 1.000.000,00 (um milhão de dólares), sendo que o tipo de bug mais valioso é um "Full Chrome Exploit" no Windows 7.

Mais informações:

http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html

[ 15/12/2011 - Update ]

A Microsoft anunciou hoje que a partir de Janeiro de 2012, iniciando pelos clientes Windows ( da Austrália e Brasil, será executado, via windows update, a migração de de versões antigas de IE para a versão mais nova suportada pelo sistema operacional (XP: 8, Vista: 9, Windows 7: 10)

Duas observações:

Do ponto de vista de segurança, é melhor ter um IE 8 que um IE 6, sem dúvida. Porém a Microsoft ainda tem que melhorar especialmente no que diz respeito ao Sandboxing e à Segurança de Plugins, como pode ser visto no gráfico comparativo do Update de 13/12/2011, abaixo. Para um caso prático, veja o post "Exploit Kits e o seu Java".

Do ponto de vista da briga no mercado de navegadores (Browser Wars) é um movimento muito inteligente da Microsoft já que o padrão nos últimos tempos tem sido de grande queda do IE e leve queda do Firefox, e grande crescimento do Chrome. Veja o gráfico divulgado recentemente pela StatCounter:

Com este movimento de atualizar os browsers antigos via windows update a Microsoft pode evitar que usuários insatisfeitos com o IE 6 ou 7 migrem para o Chrome ou Firefox, atenuando assim a queda vertiginosa do Internet Explorer nos últimos 4 anos. Mais inteligente ainda seria portar as versões mais novas do IE para os S.Os. mais antigos..

Post relacionado:

• IE to Start Automatic Upgrades across Windows XP, Windows Vista, and Windows 7

[ 13/12/2011 - Update ]

Na última semana a Accuvant publicou um estudo bem completo (mais de 100 páginas) comparando a segurança dos principais Browsers. Segue o link para o relatório detalhado (PDF) entitulado "Browser Security Comparison". Um resumo dos resultados pode ser visto no gráfico abaixo:

[ 09/05/2011 - Update ]

Nem o browser com melhor design e histórico de segurança (veja updates mais antigos) conseguiu resistir..

Chrome 32bit e 64bit para Windows Pwn3d pela Vupen, usando 0-day e incluindo bypass de ASLR/DEP/Sandbox, (não fecha o browser ao executar o payload), mais informações e vídeo de demonstração em http://www.vupen.com/demos/VUPEN_Pwning_Chrome.php

A Vupen informa que detalhes da exploração (e o exploit) serão repassados exclusivamente para os clientes governamentais que assinam seus serviço "Offensive Solutions"

[ 16/03/2011 - Update ]

Apesar do Firefox também ter sobrevivido ao último desafio PWN2OWN, o Chrome saiu mais uma vez na frente corrigindo com uma semana de antecedência o Flash Player utilizado por ele (coisa que a Google faz há 1 ano!). Usuários de todos os outros browsers terão que aguardar o patch da Adobe, e continuam vulneráveis a ataques cada vez mais comuns.

Mais info aqui: http://www.networkworld.com/news/2011/031611-google-first-to-patch-flash.html

[ 11/03/2011 - Update ]

A notícia é "re-reciclada" (de 21/03/2009 e 08/06/2010) mas o título continua valendo. Pelo 3o ano consecutivo, o Chrome sobrevive ao desafio pwn2own.

E não foi por falta de incentivo.. Até mesmo porque o programa de recompensas pagou US $14000 a vários pesquisadores que encontraram vulnerabilidades e reportaram ao Google que teve tempo de corrigir antes do desafio..

Aliás, o programa de recompensas parece estar valendo a pena - além obviamente das proteções adicionais de segurança por design feitas pelo Google no Chrome - como o modelo de separação de memória (sandbox) por tabs e até de plugins problemáticos como o Flash...

O IE8 e o Safari já cairam, e o Firefox será testado hoje e tentará sobreviver pela 1a vez..

Mais informações aqui: http://idgnow.uol.com.br/seguranca/2011/03/10/chrome-sai-ileso-de-desafio-hacker-mas-ie8-e-safari-nao-resistem/

[ 08/06/2010 - Update ]

No Patch Tuesday de hoje, a Microsoft corrigiu 34 bugs, incluindo explorado por Peter Vreugdenhil durante o teste de segurança de browsers (PWN2OWN) de quase 3 meses atrás! (Aquele que "bypassou" DEP e ASLR ..) Se você por algum motivo obscuro ainda usa o IE, é hora de "patchear", antes tarde do que nunca...

Todo usuário de Windows precisa ficar esperto porque depois do Patch Tuesday vem o Exploit Wednesday.. Além do mais, neste Patch Tuesday a Microsoft corrigiu 13 vulnerabilidade com o índice "1 - Consistent exploit code likely"!

PS: Um bom overview dos patches foi feito pelo SANS Institute - acesse aqui.

[ 26/03/2010 - Update ]

A notícia é reciclada (veja o post original de 21/03/2009) mas o título continua valendo.

Motivo: o navegador Chrome mais uma vez foi o único browser a sobreviver ao desafio PWN2OWN 2010 na CanSecWest.

Nesta 4a edição do evento produzido pela Zero Day Initiative da 3Com/TippingPoint caíram (foram invadidos remotamente através de uma vulnerabilidade não patcheada ou 0-day) o Internet Explorer 8 (com bypass de DEP em Windows 7 64bit inclusive), o FireFox 3.6, o Safari, e o iPhone..

Resultado: mais força pro Google com o Chrome nas "Browsers Wars". Pois além das vantagens de performance ele vem mostrando superioridade em relação à segurança...

Mais informações sobre a PWN2OWN 2010:

• http://dvlabs.tippingpoint.com/blog/2010/02/15/pwn2own-2010
• https://infosecurity.us/?p=7311
• https://infosecurity.us/?p=13431
• http://www.cio-today.com/story.xhtml?story_id=72409&full_skip=1
• http://blogs.paretologic.com/malwarediaries/index.php/2010/03/25/charlie-millers-one-man-show-at-cansecwest/

[ 27/03/2009 - Update ]

A Mozilla saiu na frente dos demais browsers vulneráveis e lançou hoje a correção para a vulnerabilidade explorada no Firefox durante a conferência CanSecWest (veja post original abaixo).

[ 21/03/2009 - Post Original ]

Sabemos que grande parte das intrusões que ocorrem nos dia de hoje se devem à exploração de browsers e seus plugins. É comum haver algum debate sobre qual browser é mais seguro. Temos agora um teste prático para responder a esta pergunta.

A empresa de segurança TippingPoint possui um projeto chamado "Zero Day Initiative - ZDI" que paga pesquisadores independentes quando encontram vulnerabilidades críticas em softwares conhecidos e trabalham em correções juntamente com as empresas responsáveis.

Durante a Conferência CanSecWest deste ano, a ZDI estava desafiando (e pagando) qualquer um que conseguisse invadir máquinas de usuários completamente "patcheadas" (sistema operacional e navegadores), apenas com uma visita a uma página - eis o resultado do primeiro dia ( instalação default e sem plugins).

Seguem os resultados do desafio PWN2OWN:

Windows 7

• IE8 (recém lançado) - invadido
• Firefox - invadido
• Chrome - não foi invadido

Macintosh

• Safari - invadido (em 10 segundos)
• Firefox - invadido

Pelo visto as proteções adicionais de segurança por design feitas pelo Google no Chrome fizeram a diferença, especialmente o modelo de separação de memória (sandbox) de cada "tab" de navegação - segundo um dos hackers que conseguiu a façanha - veja entrevista.

Outro hacker (com pseudônimo "Nils") conseguiu invadir três browsers: IE8, Firefox e Safari.

Páginas relacionadas:

http://dvlabs.tippingpoint.com/blog/2009/02/25/pwn2own-2009

http://www.networkworld.com/news/2009/031909-researcher-hacks-just-launched.html

http://arstechnica.com/security/news/2009/03/chrome-is-the-only-browser-left-standing-in-pwn2own-contest.ars

http://blogs.zdnet.com/security/?p=2941

http://www.sci-tech-today.com/story.xhtml?story_id=65450

http://www.crkportugal.net/?p=224

Exploit Kits e o seu Java

[ Update: 10/01/2013 ]

• O Java começa muito mal o ano, com um 0day em ativa exploração e sem patch da Oracle para todas as versões do Java 7 (e 6.10+).  Desabilite (ou desinstale) o Java imediatamente do seu browser. Se você precisa dele (para usar o Internet Banking por exemplo), separe um browser específico para isto. Para usuários de Windows, as dicas presentes no artigo "A saga de se manter seguro usando Windows" continuam valendo. 

• O patch está disponível no site da Oracle (em 13/01/2013 - quatro meses depois do conhecimento da vulnerabilidade pela empresa).
• Ainda em dúvida? Saiba que o Java é responsável por mais de metade (56%) de todos os ataques relacionados à softwares vulneráveis. 

• Os exploits que se aproveitam da falha já estão presentes em vários Exploit Kits e também está disponível no Metasploit Framework. 
• A melhor análise sobre os exploits disponível até o momento é da Immunity (PDF). 
• Um artigo recente da Kaspersky divulgou que servidores comprometidos (incluindo .br), estão redirecionando vítimas para instalações do exploit kit BlackHole.
• A Apple bloqueiou o Java no OSX e o Firefox está bloqueando o plugin. 

[ Update: 30/08/2012 ]

A Oracle lançou um patch "out-of-band" e corrigiu a vulnerabilidade do Java. Não perca tempo e atualize-se agora: http://www.oracle.com/technetwork/java/javase/downloads/index-jsp-138363.html

Se você administra uma rede com muitos endpoints, comece logo para não se arrepender depois, o número de ataques utilizando esta falha está crescendo exponencialmente.

[ Update: 27/08/2012 ]

O Java continua sendo um dos maiores vilões da segurança dos endpoints na atualidade. A falha publicada ontem afeta as versões do Java 7 (do update 0 até o 6). 

Se você não precisa do Java, desabilite o plugin/extensão relacionada, e a ative apenas para acessar os sites que necessitam dele habilitado para funcionar. Uma alternativa de fácil utilização para  o Firefox é o NoScript. Nas versões mais recentes do Chrome a execução do Java é autorizada por sessão ou site, o que é uma boa medida de segurança.

Para verificar se a versão do Java que você usa neste browser está vulnerável, acesse este link: http://www.isjavaexploitable.com/. Para verificar o estado de correção de vulnerabilidades de todas as suas aplicações windows, use este link: http://secunia.com/products/consumer/osi/online/

Seguem os passos publicados pelo US-CERT sobre como desabilitar o plugin do Java em diferentes navegadores:

• Apple Safari: How to disable the Java web plug-in in Safari

• Mozilla Firefox: How to turn off Java applets

• Google Chrome: See the "Disable specific plug-ins" section of the Chrome Plug-ins documentation.

• Microsoft Internet Explorer: Change the value of the UseJava2IExplorer registry key to 0. Depending on the versions of Windows and the Java plug-in, the key can be found in these locations:

• HKLM\Software\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

• HKLM\Software\Wow6432Node\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

• The Java Control Panel (javacpl.exe) does not reliably configure the Java plug-in for Internet Explorer. Instead of editing the registry, it is possible to run javacpl.exe as Administrator, navigate to the Advanced tab, Default Java for browsers, and use the space bar to de-select the Microsoft Internet Explorer option.

O exploit kit Blackhole já está explorando a falha, como de costume (ver updates mais antigos abaixo). O famoso e gratuito toolkit de exploração Metasploit também foi atualizado com o ataque.

Vale lembrar que além de usuários Windows, a ameaça também afeta usuários de MacOS e Linux. Vai ser uma semana de trabalho fácil para os pentesters. Uma interessante análise do uso deste tipo de exploit pode ser vista em "Oracle Java 0day and the Myth of a Targeted Attack"

O caso é também de interesse para mostrar como um "0day" (que é chamado assim por todos que AINDA não tinham conhecimento da vulnerabilidade - o que não inclui um grupo seleto de compradores deste mercado) rapidamente se torna disponível aos "blackhats" (BlackHole) e "gray"/"white-hats" (Metasploit).

As velhas dicas contidas em "A saga de se manter seguro usando Windows" continuam valendo, especialmente no tocante ao controle da atualização dos programas (patch management). O Secunia PSI continua sendo uma boa opção.

Outras informações interessantes publicadas hoje sobre o assunto:

• Primeiro post sobre o assunto, da FireEye: 
• Zero-Day Season is not over yet
• Entrada da vulnerabilidade no US-CERT:
• Oracle Java 7 Security Manager Bypass Vulnerability
• Dicas de como desabilitar o java no seu browser:
•  Disable Java In Your Browser To Avoid A Nasty New Malware-Spreading Attack
• Patch não oficial:
• Java 7 0-Day vulnerability information and mitigation
• Detalhes técnicos:
• Details of New Java Exploit Emerge
• Java Facepalm: SunToolkit.getField Vulnerability
• Java 7 ClassFinder Restricted Package Bypass

[ Update: 19/03/2012 ]

A vulnerabilidade JAVA CVE-2011-3544 continua exercendo um papel fundamental em diferentes campanhas de ataque analisadas recentemente - segue uma breve compilação de cases abaixo.  (obrigado ao Alberto Fabiano pela dica de alguns links):

1 - F-Secure: Mac Malware at the Moment
http://www.f-secure.com/weblog/archives/00002330.html 

2 - ESet: Drive-by FTP: a new view of CVE-2011-3544
http://blog.eset.com/2012/03/17/drive-by-ftp-a-new-view-of-cve-2011-3544 


3 - TrendMicro: NGOs Targeted with Backdoors
http://blog.trendmicro.com/human-rights-organizations-possible-new-targets/

4 - GFI: Online Criminals Bank on Skype Vouchers to Spread Exploit
http://www.gfi.com/blog/online-criminals-bank-on-skype-vouchers-to-spread-exploit/ 

5 - ThreatPost: Rare RAM-Based Malware Attacks Visitors of Russian Information Sites
http://threatpost.com/en_us/blogs/rare-ram-based-malware-attacks-visitors-russian-information-sites-031912

6 - Mac OS X exploit and Trojan horse monitoring users via webcam
http://news.drweb.com/show/?i=2262&lng=en&c=5

7 - SecureList: A unique 'fileless' bot attacks news site visitors
http://www.securelist.com/en/blog/687/A_unique_fileless_bot_attacks_news_site_visitors


[ Update: 28/12/2011 ]

Como imaginado o CVE 2011-3544 já é desde ontem o principal vetor entre as infecções "drive-by-download" no Brasil.

Uma imagem vale mais do que mil palavras:

Fonte: Assolini da Kaspersky via Twitter [1, 2]

[ Update: 01/12/2011 ]

Java.. um mal desnescesário?

I) Problemas com o Java, mais uma vez:

Alguns "exploit kits" já continham o exploit "Java Rhino" (CVE 2011-3544) e o nível de sucesso de sua execução em diferentes versões de S.O. e browsers é bem alto - veja um exemplo de console do exploit kit "BlackHole" (imagem)

Pra piorar a situação, ontem foi disponibilizado para qualquer um baixar (projeto metasploit) um módulo de exploração desta vulnerabilidade Java (ou seja: cross-platform & cross-browser).

Código (Metasploit - Ruby): http://dev.metasploit.com/redmine/projects/framework/repository/revisions/f26f6da74b4e6d87d2c59034b85dfb1ae0d1b1d7/entry/modules/exploits/multi/browser/java_rhino.rb

Mas, vulnerabilidades são descobertas a todo minuto, exploits são escritos a toda hora, porque dar destaque a esta específica? Continue lendo.. 

Logo que saiu, eu testei em Linux, Mac e Windows 7 - funcionou em todos sem exceção (Firefox, Chrome, IE, Safari)! 

Como vocês podem ver no post original (de 02 Agosto) abaixo, a elevação de privilégios explorando vulnerabilidades Java é bem mais simples de ser obtida e esta é uma mina de ouro para ataques de Drive-by Download, entre outros..

A coisa é mais complicada ainda porque o usuário não precisa interagir em absolutamente nada durante o processo de exploração da vulnerabilidade. Some a isto a realidade da dificuldade de manter todas as instalações de JAVA "up-to-date" em uma empresa, e você tem um cenário bem negro pra lidar..

II) Cenário provável nos próximos dias:

Quanto tempo até que grande portais e provedores redirecionem [WEB ou DNS invadido ou envenenado] milhares de usuários de internet banking (ou até hotmail.com, google.com como aconteceu recentemente) pruma página com um Drive-By Download (iframe invisível no site, por exemplo) com este exploit Java - multi-browser e multi-plataforma?

Minha opinião: não demora e vai ser feio.. =/

III)  Para os que só acreditam vendo: 

Vídeo 1) Original: www.youtube.com/watch?v=4xI9USYl8P0 (IE / XP)

Vídeo 2) Armitage: www.youtube.com/watch?v=cXctDpaNIjw (Firefox, Internet Explorer, Safari - Windows, MacOS X, Linux)

IV) O que você pode fazer quanto a isto?

Segundo a Microsoft, o cliente Java hoje é responsável por praticamente a metade das explorações a máquina Windows. Ou seja, antes de mais nada - avalie se você realmente precisa do Java.. assim como do Adobe Reader.. =) Pelo altíssimo grau de exploração de ambos, seriam "um mal desnecessário"?

Se você é usuário Linux ou Mac - tenha certeza de sempre fazer update das aplicações assim que as correções são lançadas.

Mas - como garantir que você tem as últimas versões do Java e de outros aplicativos no(s) seu(s) computador(es) Windows?

Software (já recomendado aqui várias vezes): 

Secunia PSI - http://secunia.com/vulnerability_scanning/personal/

Se você acha que não precisa, faça o teste online e veja quantas aplicações você vulneráveis (apenas aguardando a exploração..) no seguinte link:

OSI (Online): http://secunia.com/vulnerability_scanning/online/

Mais informações:

• http://www.oracle.com/technetwork/topics/security/javacpuoct2011-443431.html
• http://eromang.zataz.com/2011/11/30/cve-2011-3544-java-applet-rhino-script-engine-metasploit-demo/
• http://krebsonsecurity.com/2011/11/public-java-exploit-amps-up-threat-level/
• http://allthingsd.com/20111202/why-today-is-a-very-good-day-to-update-java-on-your-computer/
• http://www.darkreading.com/vulnerability-management/167901026/security/attacks-breaches/232200604/the-dark-side-of-java.html
• https://community.rapid7.com/community/metasploit/blog/2011/11/30/test-results-for-javarhino

[ Post Original: 02/08/2011 ]

Entre 2009 e 2010 eu publiquei e atualizei um artigo entitulado "A saga de se manter seguro usando Windows", contendo dicas para usuários finais (usando ferramentas gratuitas).

As dicas da época continuam valendo - assim como a recomendação do Secunia para facilitar a aplicação dos patches necessários - porém infelizmente a facilidade de exploração de aplicações vulneráveis não deixa de ficar maior a cada ano..

Hoje são tantos os exploit kits disponíveis no mercado que análises comparativas como a publicada pela Kaspersky recentemente não chegam a ser novidade, mas alguns detalhes merecem destaque:

Os exploit kits mais famosos (BlackHole, NeoSploit, Phoenix, Incognito e Eleonore) objetivam atingir usuários com uma série de exploits sucessivos durante a sua navegação (em um ataque conhecido como Drive-by Download), e por isto exploram principalmente vulnerabilidades de navegadores e seus plugins. São exploradas vulnerabilidades do IE, Firefox, Chrome, Flash e Java, por exemplo. Porém as vulnerabilidades do JAVA são as mais utilizadas nos exploit kits.. Mas, por que?

Confiram o caminho necessário para exploração de cada aplicação a partir da imagem abaixo (publicada no artigo da Kaspersky linkado acima): está esclarecida a preferência por vulnerabilidades no JAVA?  

E o seu Java, está atualizado? Confira aqui no site da Secunia.

Com a melhoria na proteção de execução em memória no Windows, principalmente com as "barreiras" DEP e ALSR - o atacante tem mais trabalho para conseguir executar instruções maliciosas a partir de um processos em execução que possuam estas proteções. Para um detalhamento de como estes bypasses funcionam, sugiro um artigo do Ronaldo do blog "Crimes Cinernéticos".