Malware : Feliz Natal - Give me your money now

CartaodeNatal.zip============================= 281e25d7a5041bb911d95b937b953d6d

          Segundo o blog de especialistas da Kaspersky. O Malware denominado Downloader.Win32.Banload.cpph  está sendo propagado via  spam. O arquivo(.cpl) pode baixar outros malwares ( Conhecidos e não conhecidos) , e estes arquivos são baixados de um servidor localizado no Brasil.

O conteudo dos arquivos não pode ser visualizado, pois estão encriptados.

Resumidamente o arquivo cpl executado em background e utiliza a atualização legítima do  Java para “camuflar” sua ação.

 O malware  executa o Avenger anti-rootkit e tenta remover antivírus instalados na máquina. Após isso é baixado um Banker para o sistema como rundll32.

Fonte  : SecureList

Análise de sample malicioso com o PEV – PARTE 1

Olá pessoal que visita o blog !

Nesse primeiro post iremos fazer uma breve análise de dois samples maliciosos que recebemos. Abaixo estao os dois binarios, iremos fazer a análise estática do “Acrobat_Reader_PDF”.

Na Análise Estática fazemos a dissecação de um artefato malicioso sem executá-lo, apenas observando seu código com ajuda de disassemblers, debuggers, descompiladores, etc. É o onde entra a engenharia reversa do binário.

PEV é uma ferramentas criada por Fernando Mercês, sugerimos o link http://pev.sourceforge.net/ para maior detalhes desse projeto.

No primeiro passo vamos verificar para qual plataforma esse executável foi compilado:

Agora vamos rodar o comando PESCAN para coletar mais informações sobre o executável:

Ótimo, com o resultado acima podemos ver que esse executável está com packer (UPX)*. Então vamos salvar o resultado gerado num arquivo .txt .

Podemos ver que o arquivo com o packer “possui” 3662 linhas. Chegou a hora de remover o packer !

Novamente, vamos salvar o resultado gerado, porem com o packer já removido.

Observamos agora que o total de linhas é muito maior sem o Packer. Essa é a principal função do packer, esconder partes do código dificultando a análise pelos especialistas e tentando dar bypass nas soluções de Antivírus.

Executando novamente o PESCAN sem o packer.

Temos fortes indícios que o executável Adobe_Reader_PDF.exe é um sample malicioso, como o uso de Packers, tamanho e ícone do arquivo. No próximo post será feita a análise dinâmica desse executável e do start.exe para sabermos suas ações no SO. Abaixo o report desses samples no VirusTotal.

https://www.virustotal.com/pt/file/f34ea339a07a82f529a51040cec63a3ee9775448eb9dad49d61030bbb5310689/analysis/

https://www.virustotal.com/pt/file/a9fef8333134679451cdd23dc372356605c1b302d9dd7c36f874366d4b0d4e8f/analysis/

Packer (UPX): http://canaltech.com.br/o-que-e/antivirus/O-que-e-um-Packer/

FIREWALLS : Conhece o Fortigate??   

 
   Fortigate é um firewall UTM, com várias features interessantes.Uma das features que acho interessante é a Integração com AD - Single Sign On, ou seja, Autenticação dos usuários no firewall sem precisar de client ou configurações no browser, e não precisa de configurações de NTLM.  A autenticação é totalmente transparente.

Visualize as telas de configuração acessando o link abaixo :

http://fortigate.com/index
usuario : demo
senha : demo

   *Em futuros posts publicaremos um pouco mais sobre o fortigate e sobre outros firewalls!!!
 

Engenharia reversa

Quem nunca quando criança já desmontou algum brinquedo ou carrinho seja ele pelo prazer de destruir o brinquedo ou até mesmo para mentes mais brilhantes por motivo de curiosidade em entender como aquilo funcionava, e tentar monta-lo novamente se conseguíssemos montar seria uma outra história.

Fato é que a engenharia reversa nos permite em a partir de uma solução pronta, estudarmos tal objeto e os conceitos e até desenvolve-los ou criar algo novo a partir desta ideia.
Além do fato de que esta análise pode ser usada para saber o real impacto e a extensão de por exemplo uma situação em que um ambiente de uma empresa que foi contaminado por um malware.

Além de muito importante para analise de malware, foi muito importante para o mundo Open Source...como você acha que foi criado o "MSN" para Linux ? Como você consegue abrir os documentos DOCX sem usar a ferramenta da Microsoft ? E os famosos Keygen's ?

Palo Alto Networks desafiando seus rivais !

Lendo algumas reportagens na internet, encontrei um conteúdo muito interessante no site Convergencia Digital. Nele foi abordado a vinda da poderosa Palo Alto ao Brasil. Nessa reportagem mostra como a empresa vê seus concorrentes e porque sua solução de Firewall é tão superior. Abaixo um trecho da reportagem onde o CEO enfatiza essa supremacia.

O que a companhia chama de “próxima geração” marca a diferença entre seus produtos e de seus competidores. Segundo Nir Zuk, fundador e CTO (Chief Technology Officer) da Palo Alto, os produtos oferecidos hoje por seus concorrentes foram desenvolvidos para contextos antigos, para uma época em que a internet se resumia a browser e e-mail. “Nossos equipamentos escaneiam aplicativos web, como redes sociais e web mail, da mesma forma que os sistemas tradicionais fazem com os e-mails, permitindo que nossos clientes possam configurar o que pode e o que não pode ser feito em uma rede social, por exemplo”, explica.

Zuk provocou a concorrência, afirmando que o máximo que os firewalls convencionais conseguem é bloquear uma aplicação. “Num mundo em que as redes sociais começam a fazer parte das estratégias de negócio das empresas, nós conseguimos torna-las seguras, sem a necessidade de bloqueio”, diz.
O executivo afirmou que a presença da Palo Alto tem incomodado grandes concorrentes, e que a eles restam duas opções: tentar manter as tecnologias tradicionais pelo máximo de tempo possível ou reconhecer o diferencial da Palo Alto e começar a desenvolver algo semelhante. Questionado sobre a possibilidade de uma terceira opção – comprar a Palo Alto – o executivo silenciou.

Tudo bem que a empresa mesmo com sua pouca idade já esta no quadrante mágico da Gartner, mais achei um pouco ousada o depoimento do seu CEO. E o termo "next generation" é usado por todos fabricantes que conheço, ou só devemos acreditar que apenas a Palo Alto entrega essa solução ?
Um de seus produtos me deixou muito curioso, o tal WildFire:

WildFire: fornece proteção para ameaças conhecidas e desconhecidas, oferecendo a capacidade de identificar comportamentos maliciosos em arquivos executáveis ao colocá-los em operação em um ambiente virtual e observar seu comportamento. Isso permite que a Palo Alto Networks identifique rapidamente e precisamente o malware, até mesmo se a amostra específica de malware nunca tenha sido vista antes. Uma vez que o arquivo é considerado malicioso, o WildFire gera automaticamente assinaturas para o malware infectado, o comando resultante e também o tráfego de controle. As assinaturas são entregues com atualizações regulares de segurança a todos os dispositivos que assinam o serviço para fornecer proteção automática de todas as ameaças. Os times de TI são abastecidos com informações valiosas e precisas para ver exatamente quem foi atingido, a aplicação utilizada na entrega e quaisquer URLs que fizeram parte do ataque.

Apesar dessa solução não ser única no mercado, a geração automática de vacinas eu desconheço quem faça até o momento...
Eaí, o que acham desse Firewall ? Já testaram ?

Enquete :Qual antimalware você utiliza em seu notebook/Computador?

A Arte de Nomear - Vamos refletir ?

O mundo de segurança da informação tem vários problemas, dentre eles pseudo-hackers, script kiddies, charlatões, muita gente ganhando dinheiro sem fazer nada efetivamente útil, mas queria falar aqui sobre um fato que vem me incomodando: os nomes utilizados no mundo de SI.

É sabido que os americanos usam e criam muitas siglas, mas a coisa está tomando uma proporção chata. Por exemplo, se um atacante levanta um serviço falso para enganar usuários e fazê-los se autenticarem no servidor falso para roubar seus dados, o ataque é dito de Man In The Middle (MITM). O que será mais velho, a técnica ou o nome?

Aí vem aquele fabricante de produto dizendo que defende contra MITM attack e você fica todo feliz quando compra. Aí é que está a mágica.

Engenharia reversa virou análise de artefatos. Um include mal feito em PHP virou LFI/RFI (Local/Remote File Inclusion) - se for um require? Alguém quer batizar? Um redirect em JavaScript virou XSS (Cross-site scripting), um vírus com objetivo virou APT (Advanced Persistent Threat) ?! Aliás, vírus mesmo tá complicado de definir, uma vez que dependendo da ação a indústria dá nomes diferentes. Se roubar senha de banco é banker, se se espalhar é worm, se só encher o saco é adware, se logar o que você digita é keylogger, se gravar sua tela é screenlogger e a lista não parava de crescer, até que escolheram a palavra malware para referenciar todos eles. Mas se analisarmos, continuam fazendo a mesma coisa: infectando, espalhando e funcionando. Dã.

Tentar a senha é brute force, mas se usar uma lista pré-definida de palavras (wordlist !), já vira dictionary attack (putz). Se forem hashes, aí já é rainbow table attack (não me perguntem por que) e, advinha, já li num certo material sobre esteganografia que existe até o Visual Attack, que é ficar olhando os bytes tentando entender o que se passa. Sério?

Um monte de ping que resulta em negação de serviço (parece coisa de homem frouxo) pode ser evitado com um IPS (Intrusion Protection System), detectado com um IDS (Intrusion Detection System) e parados com um DDS (DoS Defense System). Difícil mesmo é segurar o DRDoS (Distrubuted Reflected DoS), rapaz! E o VIPDoS que sai sem querer? Eu não sei a diferença entre eles, mas preciso de todos os produtos na minha empresa para mante-la segura e meu sysadmin sabe até usar o nmap se for preciso. \o/

Pensa que acabou? Não, preciso também de um APIDS (Application protocol-based IDS), HIDS (Host-based IDS), PIDS (Protocol-based IDS), RBIDS (Rate-based IPS) mas todos são NIDS (Netowrk IDS). Legal né? Compra tudo!

Até a falsidade na internet tem nome legal.. IP spoofing, mas se só alterar o MAC, é MAC spoofing. Se mudar os dois, quem dá mais? É muito útil para smurf attack e fraggle attack. Meu Deus, quanto perigo... Cuidado com o sockstress porque depois do backscatter você vai ter que chamar o perito forense, o especialista em forense digital, o pentester e o analista de artefatos, mas primeiro tem que gritar pelo grupo de resposta à incidentes, ou melhor, IR. Fica esperto com seu firewall, que se não fizer SPI você está statefuldido. Vai precisar de um NAC no NOC. ;)

É cookie attack, session hijacking, fixating, form attack, criptografia on-the-fly (ela avua?), privillege escalation, análise comportamental, enumeração, fingerprinting, defacers, backtracking, evasion, blackholing, sinkholing, nuke, death ping, icmp flood, syn flood, icq flood (lembra? hehe), spam, scam, phishing, mail bomb, RUDY, bankers, white, gray, green, black, pink... E hacking que é bom, NOP.

Sabe a criptografia? Se estiver num vírus é criptovirologia. Opa, o primeiro que desenvolver um algoritmo de criptovirologia ganha! Como opção, pode-se fazer um kleptography algorithm (essa eu deixo para o leitor googlar).

A rota pra lugar nenhum é nullroute sabia? Pode ser blackhole route também pra facilitar. Essa é uma técnica muito avançada de criar uma rota para um endereço inválido e achar que está protegido, experimente!

Enquanto você lê este texto certamente há um engravatado pensando num novo termo para definir algo antigo e ganhar dinheiro com isso (cloud? big data? ti verde?). Só tenha em mente uma coisa: o produto dele vai defender sua empresa contra todas as siglas, menos contra crackers.

Texto retirado do site Mente Binaria, escrito por Fernando Merces