SSegurança - blog.suffert.com

Video - Desafios em Computação Forense e Resposta a Incidentes - Evento SegInfo - RJ

2012-01-17T19:18:00.000-02:00

[ Update - 17/01/2012 ]

O pessoal da organização do evento SegInfo me enviou há alguns dias o DVD com o vídeo da palestra que ministrei em Agosto do ano passado, no Rio de Janeiro. Abaixo a apresentação pode ser vista na íntegra, divida em 3 partes (21 + 21 + 14 min):

[ Post Original - 15/08/2011 ]

Post curto:

Neste último sábado, tive o prazer de ministrar uma palestra entitulada "Desafios em Computação Forense e Resposta a Incidentes" no WorkShop SegInfo, na cidade do Rio de Janeiro.

Agradeço o convite do Bruno Salgado e do Lincoln Werneck e os parabenizo pelo alto nível do evento. Os slides da minha palestra estão disponibilizados abaixo e vídeos das palestras serão publicados em breve - estarei os disponibilizando por aqui também.

201108 sandro süffert - desafios em forense computacional e resposta a incidentes

View more presentations from suffert.

Lista de (Listas de ferramentas de Segurança)

2012-01-17T15:50:00.000-02:00

Acesso rápido a esta página: http://tinyurl.com/sectoollist
publicada em 21/12/11 / último update em 17/01/2012

Não deixe de conferir também a lista de ferramentas / serviços de segurança online: http://tinyurl.com/segonline

Em '99 eu me lembro de ler o uma newsletter "CryptoGram" do Bruce Schneier nos ensinando que "segurança não é uma ferramenta, e sim um processo".. Esta verdade é sentida no dia a dia por vários profissionais da nossa área de atuação. Agora, convenhamos que o conjunto de ferramentas certo na hora certa (na frente das pessoas certas) pode ajudar muito, isto pode.. ;)

Pois então vamos ao ponto, hoje durante a minha atualização periódica através de RSS feeds e listas de discussão um link muito interessante me chamou a atenção - uma compilação da seção que apresenta ferramentas de Segurança da newsletter da ISSA (listada logo abaixo) - tive então a idéia de compilar algumas fontes interessantes de ferramentas open-source e comerciais:

I - A ISSA publica mensalmente em seu Journal, na seção "Toolsmith", uma apresentação mais detalhada de uma ferramenta de segurança, e o blog HolistcInfoSec listou todas as edições desta seção, que possui reviews muito interessantes - uns mais detalhados que outros:

II - Uma fonte tradicional de excelentes ferramentas, listadas por popularidade (incluindo opções open-source, gratuitas e comerciais) é a http://sectools.org/ (Seu título oficial é "Top 125 Network Security Tools") e é um repositório de boas surpresas, visite! As categorias listadas por lá são:

Antimalware (3)
Application-specific scanners (3)
Web browser–related (4)
Password crackers (12)
Encryption tools (8)
Debuggers (5)
Firewalls (2)
Forensics (4)
Fuzzers (4)
General-purpose tools (8)
Intrusion detection systems (6)
Packet crafting tools (6)
Port scanners (4)
Rootkit detectors (5)
Security-oriented operating systems (5)
Packet sniffers (14)
Vulnerability exploitation tools (11)
Traffic monitoring tools (10)
Vulnerability scanners (11)
Web proxies (4)
Web vulnerability scanners (20)
Wireless tools (5)

III - Durante este ano foi lançado um projeto interessante mais ou menos nesta linha, o http://SecurityScoreBoard.com, que lista ferramentas de segurança (com avaliação de usuários e controle de "reputação"). Existem ferramentas categorizadas da seguinte forma:

Anti-Virus and Anti-Malware
Application Whitelisting
Database Security
DLP
Email Security and Anti-Spam
Embedded Devices
Encryption of Data at Rest
Endpoint Security and Control
Firewall Management
Forensics
Fraud Prevention and Management
Governance, Risk, and Compliance
Identity Management
Managed Security Services
Multi Factor Authentication
NAC
Network Security
Patch Management
Penetration Testing
PKI and Digital Signatures
Privileged Access Management
Secure Backup and Storage
Secure File Transfer
Security Consulting - Assessments
Security gateway
Security Management
Security Training
SIEM and Log Management
Virtualization Security
Vulnerability Management
Web Application and Software Security
Wireless and Mobile Security

IV - Contribução do AL. (nos comentários): http://www.coresec.org/software - blog que lista diversas ferramentas voltadas para pentest, malware analysis, web application security, etc..

V - Outra lista de ferramentas bem completa, que eu já conhecia mas achava que havia sido desativada, é a Security Wizardry - http://www.securitywizardry.com/index.php/products/ São centenas de ferramentas listadas nas seguintes categorias:

Anti Spam
Anti Spyware
Anti Virus
Content Protection
Data Loss Prevention
Firewalls
Forensic Solutions
Identity and Access Mgmt
IDS and IPS
Scanning Products
Security Conferences
Security Management
Security Training
TSCM Bug Sweeping
Virtualisation Security
VPN

Você tem mais alguma lista de ferramentas interessante para sugerir para esta "Lista de Listas"? Contribua fazendo seu comentário abaixo!

Enigma 001 - ganhe um excelente livro de segurança

2012-01-02T21:52:00.000-02:00

[ Update 2]

Fiz um rápido vídeo com o passo a passo da solução do #enigma001 - vejam abaixo:

[ Update 1]

O @luisfdandrade foi o primeiro a responder o desafio corretamente (em pouco mais de uma hora!). Muita gente participou e fez perguntas muito interessantes (Só dentre as que fizeram perguntas via email/twitter/gtalk,etc foram mais de 40!)

Para mais detalhes sobre a solução do Luis, veja nos comentário abaixo. (Caso você queira se testar, basta não espiar por lá.. =)

[ Post Original ]

Para começar o ano (e me desfazer de livros que possuo tanto em formato tradicional quanto eletrônico), resolvi fazer alguns desafios em forma de "Enigmas" aqui no blog.

Você é uma pessoa curiosa, de pensamento ágil e nerd o suficiente para participar de um desafio interessante? Se você respondeu sim, continue lendo.. Se não, siga este link.

Ah sim - a propósito - o ganhador receberá um dos seguintes livros em casa:

Digital Forensics with Open Source Tools
Metasploit The Penetration Tester's Guide
Malware Forensics
Perl Scripting for Windows Security
Shellcoder's Handbook
Windows Registry Analysis

Está na dúvida de qual vai preferir? Uma descrição dos livros acima (entre outros) pode ser encontrada no seguinte post:

http://sseguranca.blogspot.com/2009/12/livros-de-seguranca-resposta-incidentes.html

Este 1o enigma vai servir para testar o formato, caso o feedback de vocês seja bom, pretendo fazer outros desafios em 2012! Boa sorte a todos!

O desafio está abaixo. Ganha o primeiro que postar um comentário neste post com a "frase secreta" e um link para a solução do Enigma 001.

Enigma 001: Encontre a frase secreta (Nível: intermediário)

JXj8jq8C/moc.nibetsap

Atenção: Este Enigma acima é o que está valendo - infelizmente a primeira publicação saiu com caracteres errados.

Para perguntas, use o twitter com a hashtag #enigma001 ou o campo de comentários abaixo.

MEGAPOST: 12 novidades para começar 2012 CCC, Stratfor, Wifi Protected Setup, HTTP DoS, BartPE, Post-Exploitation, IPv6, Teoria dos Jogos, Facebook, Salários em Infosec, Voip Forensics

2012-01-02T12:47:00.003-02:00

Começando 2012 - 12 novidades na área Resposta a Incidentes e Forense Computacional:

1 - Segurança Wireless - Todos os fabricantes de Access Points que utilizam a tecnologia WiFi Protected Setup (também chamada de "Secure Easy Setup") estão vulneráveis - incluindo a Cisco, DLink, TPLink - e infelizmente este é o default e a NetGear, que é a única que se preocupou em implementar proteção contra força bruta, não adiciona intervalos suficiente grandes entre os erros de senha e este ataque é capaz de recuperar a chave (WPA2, por exemplo - em menos de 24 horas - os demais fabricantes facilitaram a vida do atacante e dependendo do caso a chave pode ser recuperada em menos de uma hora..)

Resumindo: Desabilite o WPS AGORA no(s) seu(s) APs!
Para checar: $ iw dev wlan0 scan | grep 'SSID\|Config methods:' < APs "Label" ou "Display" provavelmente são vulneráveis
Mais informações: http://bit.ly/w1PGBP
Paper: http://sviehb.files.wordpress.com/2011/12/viehboeck_wps.pdf - Wi-Fi Protected Setup PIN brute force vulnerability
Blog + Ferramenta: http://sviehb.wordpress.com/
Twitter: @sviehb

2 - HTTP DOS - Ataques de Negação de Serviço inteligentes contra servidores HTTP continuam a aparecer - e devem ser utilizados em ataques neste começo de ano (assim como aconteceu no começo de 2011).

Resumindo: Patch NOW. Tanto servidores ASP.NET quanto PHP e JAVA estão vulneráveis - ao "Hash Collision Denial of Service"
Link CVE: http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3414
Patch Microsoft: http://technet.microsoft.com/en-us/security/advisory/2659883
Patch PHP: http://svn.php.net/viewvc?view=revision&revision=321040
Mais info: http://nakedsecurity.sophos.com/2011/12/28/large-percentage-of-websites-vulnerable-to-hashdos-denial-of-service-attack/

3 - CCC - A 28a edição da melhor conferência de Segurança do mundo acabou e as palestras já estão disponíveis para download - imperdível!

Resumindo: Material excelente para meses de estudo..
Link para download: http://ftp.ccc.de/congress/2011/

4 - StratFor Hack - A firma de inteligência privada Stratfor foi invadida - e dados de todos os usuários que já tiveram cadastro no site (860,000) vazaram. Além disto 75,000 números de cartão de crédito e dados completos de clientes também foram publicados.

Resumindo: os Cartões de Crédito e CVVs eram guardados EM CLARO e as senhas do usuário com hash MD5 sem salt! =/ Mais de 75% já foram "crackeados" com ferramentas open-source como o JTR e HashCat.
Saiba mais: http://www.databreaches.net/?p=22542 - AntiSec dumps 860,000 Stratfor members’ details, including 75,000 credit card numbers
Controvérsia na atribuição de autoria: http://www.abc.net.au/unleashed/3749898.html - Anonymous imposters: hiding behind the AntiSec identity

5 - Cuckoo Sandbox - Eu já havia testado esta solução open-source de análise de malwares em uma versão anterior. Mas a última (0.3.1) me impressionou pela sua evolução. Agora existem módulos para análise de: (exe, dll, pdf, doc, php, ie, firefox, assembler tracer ) - Testei a solução com múltipos malwares brasileiros em 4 máquinas virtuais simultâneas com Windows XP rodando em VirtualBox e a performance é impressionante - assim como os relatórios gerados..

Resumindo: Mais do que recomendada e capaz de automatizar 90% do trabalho de uma análise dinâmica de malwares!
Link: http://www.cuckoobox.org/
Vídeo 1: http://vimeo.com/23801978
Vídeo 2: http://vimeo.com/34230399

6 - Forensic Live CDs - Live CDs/USBs são fundamentais no trabalho de Forense Computacional - o Claus Valca publicou em seu blog um interessante passo a passo para a criação de um LIVE CD/USB dual boot (BartPE).

Resumindo: Quanto mais ferramentas no seu tool-set, melhor.
Artigo: http://grandstreamdreams.blogspot.com/2012/01/make-dual-boot-winpe-cd.html

7 - IPv6 - O site DIS9 publicou o 3o artigo da série "Hacking IPv6" - desta vez tratando de spoofing em túneis 6in4 (Ipv6/Ipv4).

Resumindo: Como esperado, o IPv6 não "resolverá" todos problemas existentes no IPv4, mas agora teremos que nos preocupar com ambos e suas áreas de sombra..
Artigo: http://www.dis9.com/attack/hacking-ipv6-iii-ipv6-spoofing-in-6in4-tunnels.html

8 - Pentest - Outra série (5 posts) que vale a pena ser vista é a de dump de hashes em Windows do Bernardo Damele:

Resumindo: Existem mil maneiras de fazer dump de hashes em Windows, ou seja se alguém tem acesso local a uma máquina, game-over.
Último post da série (parte 5): http://bernardodamele.blogspot.com/2011/12/dump-windows-password-hashes_28.html
Dica: o blog dele tem vários outros posts interessantes - leia!

9 - Teoria dos Jogos aplicada a CiberSegurança - O Schneier divulgou um paper interessante sobre o assunto: "A game theoretic framework for evaluation of the impacts of hackers diversity on security measures".

Resumindo: Está na hora de assistir War Games de novo..
Link: http://www.sciencedirect.com/science/article/pii/S0951832011002389
Fonte: http://www.schneier.com/blog/archives/2012/01/applying_game_t.html
+ Referências: http://spie.org/documents/Newsroom/Imported/0783/0783-2007-07-25.pdf
+ Referência: http://dl.acm.org/citation.cfm?id=1852704

10 - Ataques ao Facebook - A CommTouch publicou um interessante infográfico descrevendo ataques ao Facebook em 2011 - vale a pena conferir.

Resumindo:
Link: http://blog.commtouch.com/cafe/web-security/infographic-facebook-attacks-in-2011/

11 - Salários em InfoSec - Uma ótima notícia pra quem trabalha na área, a InfoSec divulgou o artigo "Best Paying IT Security Jobs In 2012" que informa a previsão de aumento (real) de salário em 2012 de 5%.

Resumindo: Apesar da crise econômica: a demanda por bons profissionais é muito maior que a oferta qualificada de mão de obra..
Link: http://www.informationweek.com/news/security/management/232200152

12 - Asterisk (VoIP) Forensics - O site SIPVicious publicou um excelente artigo com vídeos tratando de forense em servidores Asterisk comprometidos - vale a pena conferir!

Resumindo: É importante estar sempre antenado à novidades, ou seja: Semper Gumby!
Link: http://blog.sipvicious.org/2012/01/asterisk-forensics-logs-vs-attackers.html

150.000 page-views

2011-12-29T00:21:00.000-02:00

Obrigado a todos! iremos fechar o ano de 2011 com uma marca de mais de 150.000 page-views no blog.

Temos até agora publicados 214 posts - o que dá uma média de aproximada de 700 visualizações por artigo publicado. O que mais me orgulha é a participação de vocês, contribuindo com 554 comentários que enriqueceram o material publicado por aqui.

Aproveito para listar os 11 posts mais populares durante o 2o semestre de 2011:

1) Lista de blogs de Segurança da Informação em Português

2) Segurança e Defesa Cibernética: Recursos Humanos

3) Risco, Vulnerabilidade, Ameaça e Impacto

4) Sites-Ferramenta de Segurança

5) Livros de Segurança, Resposta a Incidentes e Forense Computacional

6) Exploit Kits e o seu JAVA

7) Comodo, Diginotar, About.US, StartSSL, GlobalSign.. (CA/SSL) e NetNames (DNS) - ataques confirmam fragilidades conhecidas

8) Lista de (Listas de Ferramentas de Segurança)

9) Super Interessante: Como Funciona a Perícia Digital

10) Forense em Windows: Análise de Registro

Como registro, seguem os links das outras marcas comemoradas: 10, 20, 30, 40, 50, 60, 70,80 e 90 e 100 mil page-views.

E também - como já é tradição nestas ocasiões - uma lista de todos os posts já publicados por aqui - caso você tenha perdido alguma coisa:

▼ 2011 (69)

▼ Dezembro (9)

▼ Novembro (8)

▼ Outubro (5)

▼ Setembro (5)

▼ Agosto (3)

▼ Julho (4)

▼ Junho (3)

▼ Maio (5)

▼ Abril (8)

▼ Março (6)

▼ Fevereiro (3)

▼ Janeiro (10)

▼ 2010 (50)
- ▼ Dezembro (4)
- ▼ Novembro (5)
- ▼ Outubro (1)
  - Serie na TV Record "Crime na Rede"
- ▼ Setembro (3)
- ▼ Agosto (4)
- ▼ Julho (4)
- ▼ Junho (2)
  - Brasileiro desenvolve novo algoritmo de pattern-ma...
  - 2010 Report on Cyber Crime Investigation
- ▼ Maio (5)
- ▼ Abril (4)
- ▼ Março (9)
- ▼ Fevereiro (4)
- ▼ Janeiro (5)

▼ 2009 (49)
- ▼ Dezembro (4)
- ▼ Novembro (5)
- ▼ Outubro (3)
- ▼ Setembro (3)
- ▼ Agosto (4)
- ▼ Julho (5)
- ▼ Junho (2)
  - T-Mobile: Invasão e leilão de dados internos
  - Conferencia TechnoSecurity 2009
- ▼ Maio (3)
- ▼ Abril (4)
- ▼ Março (9)
- ▼ Fevereiro (2)
  - Dicas para Gerenciar Segurança durante a Recessão
  - Fases de um Ataque: Stealth
- ▼ Janeiro (5)

▼ 2008 (46)
- ▼ Dezembro (4)
- ▼ Novembro (4)
- ▼ Outubro (7)
- ▼ Setembro (4)
- ▼ Agosto (11)
- ▼ Julho (5)
- ▼ Junho (11)

Interceptacao GSM nao autorizada (voz e dados)

2011-12-28T21:23:00.000-02:00

[ Update - 28/12/2011 ]

Estendendo sua pesquisa sobre vulnerabilidades em redes GSM, Karsten Nohl do SRLABS (já citado nos updates mais antigos) publicou durante sua apresentação na conferência CCC - em andamento neste final de ano em Berlin - um mapa onde são representados os países europeus de acordo com a qualidade de implementação de segurança em suas redes GSM.

Acesse o mapa em: http://gsmmap.org/

O "GSM security metric" se preocupa com mecanismos de defesa para 3 modalidades de ataques em implementações GSM feitas pelas operadoras (mecanismos de defesa entre parênteses)

- Impersonation (Encryption, Authentication Frequency)
- Intercept (Padding randomization, SI randomization)
- Tracking (HLR Blocking, TMSI change)

Slides da apresentação "Defending Mobile Phones": http://events.ccc.de/congress/2011/Fahrplan/attachments/1994_111217.SRLabs-28C3-Defending_mobile_phones.pdf

Os países que já possuem dados representativos são: Austria, Bélgica, the República Tcheca, França, Alemanha, Hungria, Italia, Morrocos, Eslováquia, Suíça e Tailândia.

Possivelmente outros países (incluindo o Brasil) estarão presentes no mapa em breve, já que instruções foram passadas para que os clientes de operadoras GSM auxiliem coletando dados com "Osmocom capable phones". É possível também detectar que está sendo efetuada interceptação não autorizada através de ferramentas disponibilizadas pelo projeto open-source "Catcher Catcher".

Interessante notar que a imprensa brasileira deu atenção à esta notícia (fonte: Reuters) - um comentário sobre o texto "Celulares GSM, usados por 80% dos usuários dosaparelhos, podem ser o novo alvo dos hackers" (sugestão: eu removeria o "novo" da frase - como pode ser visto nos updates abaixo).

Outras reações de diversas fontes que comentaram o assunto nos últimos dois dias:

[ Update - 06/11/2011 ]

Wired: "UK Cops Using Fake Mobile Phone Tower to Intercept Calls, Shut Off Phones"

[ Update - 26/07/2010 ]

Algumas novidades recentes sobre interceptação GSM:

Pratical CellPhone Spying - DefCon - Chris Paget fará uma demonstração de interceptação GSM durante a conferência DEFCON. Advogados da EFF estão ajudando para evitar a prisão do pesquisador.

Aqui está o vídeo da apresentação:

http://www.youtube.com/watch?v=q8JuYh7Km34

It's widely accepted that the cryptoscheme in GSM can be broken, but did you know that if you're within radio range of your target you can intercept all of their cellphone calls by bypassing the cryptoscheme entirely? This talk discusses the practical aspects of operating an "IMSI catcher", a fake GSM base station designed to trick the target handset into sending you its voice traffic. Band jamming, rolling LACs, Neighbour advertisements and a wide range of radio trickery will be covered, as well as all the RF gear you'll need to start listening in on your neighbours.

New 'Kraken' GSM-cracking software is released | [A51] The call of Kraken - Novos softwares para cracking via rainbowtables do A5/1 são liberados - mais detalhes sobre a vulnerabilidade no post original abaixo. - http://reflextor.com/trac/a51/browser/tinkering/Kraken

Hijacking mobile data connections - the state of the art (pdf) Este material recentemente divulgado na conferência HITB de Amsterdan mostra técnicas de hijack / man-in-the-middle de navegação de SmartPhones (incluindo Android e IPhone).

[ Update - 09/04/2010 ]

A quebra do A5/1 acelerou outra quebra de criptografia utilizada largamente na telefonia - o DECT - e automaticamente quase um bilhão de telefones fixos "cordless" do mundo (incluindo o seu) se tornaram muito mais sucetíveis a interceptação.

O tempo necessário é baixo (de 10 a 30 minutos) e tecnologia CUDA (com processamento GPU) pode ser utilizada para aumentar ainda mais a velocidade da quebra.

Segue trecho do paper publicado recentemente (pdf) por Karsten Nohl , Erik Tews e Ralf-PhilippWeinmann:

The DECT Standard Cipher is an asynchronous stream cipher with low

gate complexity that takes a 64 bit secret key and a 35 bit initialization vector,

IV, to generate keystream. DSC is similar to GSM’s A5/1 and was reverseengineered

from a DECT device using a combination of firmware probing and

hardware reverse-engineering. The cipher, publicly disclosed for the first time

in this paper, is vulnerable against a clock guessing attack similar to the Ekdahl-

Johansson attack against A5/1.

O ocorrido já era previsível já que o algorítimo DECT já tem 20 anos.. Para os mais preocupados e/ou paranóicos - existem telefones cordless que usam criptografia mais moderna, como o DSC - mas infelizmente o algorítimo não é público - o que certamente coloca em dúvida a sua força / eficiência...

Mais informações:

[ Update - 08/02/2010 ]

Ontem foi divulgado na conferência de segurança ShmooCon o txsBBSpy, uma ferramenta de espionagem de SmartPhones BlackBerry - com código java disponível para download e vídeo.

TXSBBSpy Demo from Veracode on Vimeo.

O autor da ferramenta é Tyler Shields, da Veracode e um diferencial importante é que somente foram utilizadas APIs disponíveis pelo próprio fabricante do BlackBerry (RIM) - sem nenhum exploit especial.

Vale a pena também ver a apresentação "Mobile Spyware" de Tyler listando as funcionalidades e trojans - FlexiSpy, Mobile Spy, Etisalat, 09Droid (banker) e outros - comumente usados para SmartPhones, além de
críticas à RIM sobre a maneira que é efetuada a assinatura / distribuição de pacotes para o BlackBerry.

Como pode ser verificado nos links acima, com o código instalado em um smartphone BlackBerry, é possível - através de mensagens SMS que ficam ocultas para o receptor (ou email, GET, POST, TCP, UDP):

controlar a localização geográfica do blackberry via Google Earth,
receber as mensagens SMS enviadas e recebidas,
receber os emails enviados e recebidos,
receber os contatos existentes no telefone,
receber detalhes das ligações feitas,
ligar o microfone do telefone e receber um arquivo de áudio (codificado com base64)

Todas estas informações podem ser enviadas para um email controlado pelo atacante.

Como formas de proteção, são sugeridos os seguintes itens:

Users can configure their default application permissions to be more restrictive. This way, if an application tries to use an API that accesses the user’s email or contact list, the OS will ask for permission. Avoid granting applications “trusted application” status, which grants untrusted applications additional privileges. Tyler’s slide deck shows the default and trusted permission sets in more detail.

Corporations using a BlackBerry Enterprise Server can configure their IT policies to restrict their users from installing third-party applications, or whitelist certain approved applications (but brace yourself for the backlash)

BlackBerry App World could introduce a rigorous security screening process that submitted applications must pass in order to be listed in the store.

[ Update - 30/01/2010 ]

Como se não bastasse os algorítimos utilizados na comunicação de voz e dados GSM estarem sujeitos à interceptação não autorizada - o mesmo acontece mesmo nos produtos feitos especialmente para este fim - criptografia da comunicação de telefones celulares - Vários dos softwares e hardwares que são vendidos com o objetivo de tornar a comunicação criptografada também são falhos!

Dos 15 produtos testados pelo hacker Notrax [* - veja disputa abaixo ] (usando o software comercial FlexiSpy e outros) os únicos 3 que passaram nos testes até o momento são o PhoneCrypt, SnapCell e o TopSec GSM). [ * ]

A fonte desta informação é o site MobileMag.

[ * ] alguns reports têm ligado o hacker "Notrax" a uma empresa que vende software de criptografia de voz para smartphones - tornando esta análise acima suspeita. A empresa SecurStar (fabricante do produto PhoneCrypt) respondeu mas não convenceu a todos. Deixamos à cargo do leitor visitar os links e tirar suas próprias conclusões.

É necessário ter em mente que as melhoras práticas indicam que sistemas criptográficos proprietários não devem ser usados pois não estão disponíveis para revisão pública.

[ Update - 12/01/2010 ]

Há pouco mais de duas semanas do anúncio da quebra do algorítimo A5/1 utilizado nas comunicações de voz GSM, agora é a vez do A5/3 - utilizado nas comunicações de dados GSM (3G). O A5/3 (KASUMI), apesar de ter um nome parecido, na verdade utiliza um sistema de cifragem totalmente diferente.

Desta vez o ataque foi feito no algorítimo criptográfico mesmo, e não na sua implementação (como é de costume). Os pesquisadores que divulgaram o feito são Orr Dunkelman, Nathan Keller, and Adi Shamir (este último muito conhecido pois é o S da sigla RSA).

Eles divulgaram um tipo de ataque de difícil aplicação prática chamado sandwich attack. Ele permitiu que - diferentemente do anúncio da quebra do A5/1 - pouquíssimo poder computacional fosse utilizado para derivar a chave 128bit do KASUMI (A5/3). O ataque completo pode ser executado em menos de duas horas em um PC comum.

Os pesquisadores informaram que estes fatos mostram que a GSM Association, ao mudar de algorítimos do MISTY para o KASUMI, acabou obtendo como resultado uma criptografia muito mais fraca. Bruce Schneier acrescenta que o maior erro foi tentar "adaptar" um algorítimo conhecido em vez de utilizá-lo em sua forma padrão e já testada.

Referências:

[ Post Original - 29/12/2009 ]

Existe mais de um celular GSM para cada dois habitantes do mundo. Já são cerca de 4 bilhões de aparelhos, o que aumenta o interesse pela quebra da criptografia utilizada pelo GSM e outras falhas em sua implementação.

É bom lembrar que o grampo ilegal (incluindo celulares) é um problema real no Brasil - como pode ser observado durante as os procedimentos ocorridos na CPI do Grampo, nos últimos anos. Segundo a Revista IstoÉ, foram ilegalmente escutados (ao menos) "18 senadores, 26 deputados, do secretário geral da Presidência da República, Gilberto Carvalho, da ministra Dilma Rousseff, de ministros do STF e do STJ, advogados, lobistas e inúmeros jornalistas"

Há mais de 10 anos (EC1997, FSE2000, Crypto2003, SAC2005) vemos notícias sobre a fraqueza do algorítimo A5/1 é como ele é "academicamente" quebrável, mas a quantidade de dados que necessitavam ser interceptados e o poder computacional necessário para obter um resultado real até o momento o protegiam na realidade. Detalhe, o A5/1 tem mais de 20 anos de idade...

Em uma recente apresentação no congresso hacker 26th Chaos Communication ( PDF | MP3 | MP4 ) - ocorrido recentemente em Berlin - os pesquisadores Karsten Nohl e Chris Paget demonstraram um grande avanço no sentido de ouvir ligações de celulares GSM depois de quebrar o código secreto (algorítimo A5/1 - 64-bit) usado para previnir este tipo de interceptação na comunicação entre os aparelhos e as ERBs (estações rádio base).

Dentre os cenários mostrados recentemente por Nohl e Paget, o que mais me chamou atenção foi a utilização de hashes pré-computados através de rainbow tables processados em 40 nodes de forma otimizada e utilizando tecnologia CUDA (aproveitando o poder computacional de múltiplas placas de aceleradores gráficos Nvidia).

O anúncio já gerou efeito sobre as operadoras de celular, que chamado anunciaram que irão futuramente implementar o algorítimo A5/3 (KASUMI), que por sua vez é baseado no MISTY1 - sendo por isto mais moderno e seguro. O padrão GEA3 (KASUMI) já é usado em algumas redes 3G para dar segurança ao tráfego de dados/internet.

Recentemente recebi um email perguntando sobre a segurança da criptografia de chave pública utilizada nas comunicações do BlackBerry. A resposta é: vai depender da sua confiança na empresa RIM e obviamente seu nível de requisito de sigilo e/ou paranóia. Exemplo: em 2007 o governo francês proibiu a utilização de BlackBerry no país por temer a monitoração das comunicações pela inteligência americana .

Mais informações sobre as vulnerabilidades no algorítimo A5/1:

http://www.nytimes.com/2009/12/29/technology/29hack.html?_r=1

http://news.cnet.com/8301-1009_3-10422340-83.html

http://www.theregister.co.uk/2009/12/28/gsm_eavesdropping_breakthrough/

Apresentação Original:

http://events.ccc.de/congress/2009/Fahrplan/attachments/1479_26C3.Karsten.Nohl.GSM.pdf

GSM Projects @ CCC:
http://events.ccc.de/congress/2008/wiki/GSM

A5/1 Cracking Project:

http://reflextor.com/trac/a51

Exploit Kits e o seu Java (CVE 2011-3544 Java_Rhino)

2011-12-28T19:19:00.000-02:00

[ Update: 28/12/2011 ]

Como imaginado o CVE 2011-3544 já é desde ontem o principal vetor entre as infecções "drive-by-download" no Brasil.

Uma imagem vale mais do que mil palavras:

Fonte: Assolini da Kaspersky via Twitter [1, 2]

[ Update: 01/12/2011 ]

Java.. um mal desnescesário?

I) Problemas com o Java, mais uma vez:

Alguns "exploit kits" já continham o exploit "Java Rhino" (CVE 2011-3544) e o nível de sucesso de sua execução em diferentes versões de S.O. e browsers é bem alto - veja um exemplo de console do exploit kit "BlackHole" (imagem)

Pra piorar a situação, ontem foi disponibilizado para qualquer um baixar (projeto metasploit) um módulo de exploração desta vulnerabilidade Java (ou seja: cross-platform & cross-browser).

Código (Metasploit - Ruby): http://dev.metasploit.com/redmine/projects/framework/repository/revisions/f26f6da74b4e6d87d2c59034b85dfb1ae0d1b1d7/entry/modules/exploits/multi/browser/java_rhino.rb

Mas, vulnerabilidades são descobertas a todo minuto, exploits são escritos a toda hora, porque dar destaque a esta específica? Continue lendo..

Logo que saiu, eu testei em Linux, Mac e Windows 7 - funcionou em todos sem exceção (Firefox, Chrome, IE, Safari)!

Como vocês podem ver no post original (de 02 Agosto) abaixo, a elevação de privilégios explorando vulnerabilidades Java é bem mais simples de ser obtida e esta é uma mina de ouro para ataques de Drive-by Download, entre outros..

A coisa é mais complicada ainda porque o usuário não precisa interagir em absolutamente nada durante o processo de exploração da vulnerabilidade. Some a isto a realidade da dificuldade de manter todas as instalações de JAVA "up-to-date" em uma empresa, e você tem um cenário bem negro pra lidar..

II) Cenário provável nos próximos dias:

Quanto tempo até que grande portais e provedores redirecionem [WEB ou DNS invadido ou envenenado] milhares de usuários de internet banking (ou até hotmail.com, google.com como aconteceu recentemente) pruma página com um Drive-By Download (iframe invisível no site, por exemplo) com este exploit Java - multi-browser e multi-plataforma?

Minha opinião: não demora e vai ser feio.. =/

III) Para os que só acreditam vendo:

Vídeo 1) Original: www.youtube.com/watch?v=4xI9USYl8P0 (IE / XP)

Vídeo 2) Armitage: www.youtube.com/watch?v=cXctDpaNIjw (Firefox, Internet Explorer, Safari - Windows, MacOS X, Linux)

IV) O que você pode fazer quanto a isto?

Segundo a Microsoft, o cliente Java hoje é responsável por praticamente a metade das explorações a máquina Windows. Ou seja, antes de mais nada - avalie se você realmente precisa do Java.. assim como do Adobe Reader.. =) Pelo altíssimo grau de exploração de ambos, seriam "um mal desnecessário"?

Se você é usuário Linux ou Mac - tenha certeza de sempre fazer update das aplicações assim que as correções são lançadas.

Mas - como garantir que você tem as últimas versões do Java e de outros aplicativos no(s) seu(s) computador(es) Windows?

Software (já recomendado aqui várias vezes):

Secunia PSI - http://secunia.com/vulnerability_scanning/personal/

Se você acha que não precisa, faça o teste online e veja quantas aplicações você vulneráveis (apenas aguardando a exploração..) no seguinte link:

OSI (Online): http://secunia.com/vulnerability_scanning/online/

Mais informações:

[ Post Original: 02/08/2011 ]

Entre 2009 e 2010 eu publiquei e atualizei um artigo entitulado "A saga de se manter seguro usando Windows", contendo dicas para usuários finais (usando ferramentas gratuitas).

As dicas da época continuam valendo - assim como a recomendação do Secunia para facilitar a aplicação dos patches necessários - porém infelizmente a facilidade de exploração de aplicações vulneráveis não deixa de ficar maior a cada ano..

Hoje são tantos os exploit kits disponíveis no mercado que análises comparativas como a publicada pela Kaspersky recentemente não chegam a ser novidade, mas alguns detalhes merecem destaque:

Os exploit kits mais famosos (BlackHole, NeoSploit, Phoenix, Incognito e Eleonore) objetivam atingir usuários com uma série de exploits sucessivos durante a sua navegação (em um ataque conhecido como Drive-by Download), e por isto exploram principalmente vulnerabilidades de navegadores e seus plugins. São exploradas vulnerabilidades do IE, Firefox, Chrome, Flash e Java, por exemplo. Porém as vulnerabilidades do JAVA são as mais utilizadas nos exploit kits.. Mas, por que?

Confiram o caminho necessário para exploração de cada aplicação a partir da imagem abaixo (publicada no artigo da Kaspersky linkado acima): está esclarecida a preferência por vulnerabilidades no JAVA?

E o seu Java, está atualizado? Confira aqui no site da Secunia.

Com a melhoria na proteção de execução em memória no Windows, principalmente com as "barreiras" DEP e ALSR - o atacante tem mais trabalho para conseguir executar instruções maliciosas a partir de um processos em execução que possuam estas proteções. Para um detalhamento de como estes bypasses funcionam, sugiro um artigo do Ronaldo do blog "Crimes Cinernéticos".

Curso de Análise Forense na Escola Superior de Redes, da RNP

2011-12-22T22:49:00.003-02:00

É com muita safisfação que informo que em 2012 serei instrutor do curso de Análise Forense da Escola Superior de Redes da RNP, em Brasília.

Uma visão de todos os cursos disponibilizados pela Escola Superior de Redes da Rede Nacional de Pesquisas (ESR/RNP) - pode ser visto neste excelente "hot-site": http://esr.rnp.br/grade/

Link para informações sobre o curso no site da ESR/RNP: http://esr.rnp.br/cursos/seg/?curso=seg-003

Características do curso:

O curso está dividido em dez sessões, totalizando 40 horas.
O curso oferece atividades práticas em laboratório. Cada aluno tem sua própria estação de trabalho.
A Escola Superior de Redes oferece material teórico impresso.

Conhecimentos prévios:

Funcionamento de sistemas Linux e Windows, conhecimento básico sobre investigação de incidentes de segurança ou o curso Segurança de Redes e Sistemas.

O Programa do Curso:

Princípios de análise forense: conceito e motivação;

Como agem os atacantes;

Tipos de sistemas comprometidos;

Procedimentos de análise forense;

Cadeia de custódia de evidências;

Ambiente e ferramentas de análise forense;

Ambiente de análise forense: o hardware, o sistema operacional e o software básico;

Pacotes forenses: ferramentas dos níveis de sistemas de arquivo e de nomes de arquivos, de metadados e de blocos de dados;

Coleta de evidências: arquivos de logs, de inicialização do sistema e de histórico de comandos;

Recuperação e análise de evidências;

Sistema de arquivos Linux;

Ferramentas de recuperação de evidências: como reaver arquivos apagados e parcialmente sobrescritos;

Evidências avançadas: análise de executáveis e evidências avançadas;

Cronologia dos acontecimentos e reconstrução do ataque;

Análise forense em sistemas Windows;

O sistema de arquivos do Windows;

Descrição do pacote de ferramentas e primeiras ações;

Informações sobre o sistema: identificação de ações, de usuários e do nome do sistema (hostname);

Identificação de processos em execução no sistema;

Identificação de portas disponíveis;

Identificação de bibliotecas em uso;

Registro do Windows;

Informações adicionais do Windows;

Métodos de ocultação de dados e informações

Sites-Ferramentas de Segurança

2011-12-16T02:54:00.000-02:00

Acesso rápido a esta página: http://tinyurl.com/segonline

[ Post Original: 21/07/2010 | Última atualização: 21/12/2011 ]

Não deixe também de conferir a "Lista de (Listas de Ferramentas de Segurança)" em http://tinyurl.com/sectoollist

A internet e a WEB 2.0 estão aí para facilitar todas as atividades profissionais, e por que não também a segurança da informação? Hoje em dia muitas análises são auxiliadas por ferramentas online.

Eu ia tuitar sobre um novo serviço de verificação em várias blacklists de IPs e URLs online, mas resolvi fazer um post mais completo sobre estes sites que facilitam tanto a vida de profissionais de Segurança da Informação.

Tentei também priorizar serviços gratuitos e abrangentes (que executam verificações com multiplas engines de anti-virus, por exemplo) do que sites de empresas específicas.

É importante notar que vários destes sites possuem EULAs e qualquer consulta/submissão a eles deve ser calculada do ponto de vista da confidencialidade dos dados tratados pelo profissional que está utilizando os serviços.

Aguardo a sua colaboração para ampliar com qualidade e manter esta lista sempre atualizada.

Ferramentas de monitoração de Autonomous Systems (BGP) contribuíção de Daniel Kratz neste outro post: http://tinyurl.com/sectoollist

BGPMON.net
cyclops.cs.ucla.edu

Informações rápidas sobre um domínio, IP, URL e emails (servidores):
http://trasir.com/ (update: 16/12/2011)

Série de ferramentas para pentest:

Port Scanner: http://scan.subhashdasyam.com/port-scanner.php
VNC Scanner: http://scan.subhashdasyam.com/vnc-scanner.php
RDP Scanner: http://scan.subhashdasyam.com/remote-desktop-scanner.php
SSH Scanner: http://scan.subhashdasyam.com/ssh-scanner.php
LFI Scanner: http://scan.subhashdasyam.com/lfi-scanner.php
Admin Page Bruter: http://scan.subhashdasyam.com/admin-page-finder.php

WordPress Admin Brutter: http://scan.subhashdasyam.com/wordpress-bruter.php

SQLi Dumper: http://scan.subhashdasyam.com/dumper.php

SQLi Dumper with login: http://scan.subhashdasyam.com/dumper-with-login.php

Lista de Sites para localização de informações pessoais (*):
http://computercrimeinfo.com/info.html

Análise de IPs/URLs:

http://www.ipvoid.com

http://www.urlvoid.com

http://www.google.com/safebrowsing/diagnostic?site=example.com

http://www.unmaskparasites.com

http://www.hackerfantastic.com