HARD CORE SECURITY LAB

Wszyscy jesteśmy przyzwyczajeni do codziennych doniesień o masowo rozprzestrzeniających się robakach internetowych. Twórcy tego typu złośliwego oprogramowania, jako cel obierali sobie do tej pory przede wszystkim użytkowników najpopularniejszych systemów operacyjnych z rodziny Windows. W ostatnim czasie pojawiła się jednak kolejna wariacja robaka Koobface, która to jest w stanie z taką samą skutecznością infekować również Linuksy, a nawet system Mac OS X! Przyjrzyjmy się dokładniej temu interesującemu przypadkowi, który prawdopodobnie jest zapowiedzią nadejścia nowej klasy wieloplatformowych zagrożeń.

Minął właśnie okrągły rok od momentu, gdy amerykańska firma Rapid7 nabyła projekt Metasploit. Wydarzeniu temu towarzyszyły powszechne obawy dotyczące tego, czy aby popularny framework nie podzieli przypadkiem losu cenionego skanera Nessus, i nie zostanie całkowicie skomercjalizowany. Tymczasem Metasploit pozostał w pełni otwarty, a jego rozwój nabrał w ostatnim czasie niespotykanego do tej pory tempa. Jednocześnie Rapid7 sukcesywnie wprowadza na rynek rozwiązania komercyjne, takie jak zaprezentowany niedawno Metasploit Express. W ostatnim czasie ukazała się kolejna, jeszcze bardziej zaawansowana wersja komercyjnego środowiska do przeprowadzania zautomatyzowanych testów penetracyjnych. Spójrzmy pokrótce na możliwości Metasploit Pro.

Microsoft przyznał w końcu, że aplikacje webowe stworzone przy pomocy praktycznie dowolnej wersji środowiska ASP.NET są podatne na atak typu Padding Oracle. Oznacza to, że w zależności od konkretnej aplikacji, intruzowi może udać się przykładowo uzyskanie dostępu  do zawartości zaszyfrowanych ciasteczek i innych danych sesyjnych. Około 25% wszystkich aplikacji webowych bazuje na ASP.NET, w związku z czym skala problemu jest ogromna. Zobaczmy więc, jak w praktyce może wyglądać sam atak i w jaki sposób administratorzy mogą się przed nim na chwilę obecną zabezpieczyć.

Całkiem niedawno przypomnieliśmy sobie ciekawą lukę pozwalającą na zaburzenie pracy systemu Windows XP za pomocą specjalnie spreparowanych skrótów. Jak się okazało, mimo swego zaawansowanego wieku, podatność ta nigdy nie została przez Microsoft załatana, tymczasem pojawiły się informacje na temat nieznanej do tej pory podatność w systemie Windows 7, która również dotyczy mechanizmu obsługi skrótów. Co najgorsze, najnowsza luka jest już w praktyce wykorzystywana przez komputerowych przestępców do infekowania popularnej Siódemki.

Blue Screen of Death (BSoD, ang. Niebieski ekran śmierci), czyli bardzo charakterystyczny objaw poważnego błędu systemu operacyjnego z rodziny Microsoft Windows, znają niemal wszyscy użytkownicy komputerów na świecie i to nie tylko miłośnicy systemów operacyjnych rodem z amerykańskiego Redmond. BSoD jest bardzo często obiektem rozmaitych żartów i kpin, co ciekawe nawet sam Microsoft udostępnia żartobliwy programowy symulator krytycznej awarii. Dziś natomiast chciałbym przedstawić... sprzętowy generator charakterystycznych niebieskich ekranów.

Użytkownicy komputerów są z całą pewnością coraz bardziej świadomi typowych zagrożeń związanych z Internetem oraz stosowaniem nowoczesnych technologii informatycznych. Przeprowadzanie skutecznych ataków wymagających interakcji z użytkownikiem docelowego systemu przychodzi więc komputerowym przestępcom z dużym trudem. Wszystko to nie skutkuje jednak obniżeniem ilości ataków, lecz... pojawianiem się coraz skuteczniejszych metod ataku. Jednym z obecnie obserwowanych trendów, jest zwiększenie ilości ataków wykorzystujących bezpośredni kontakt intruza z ofiarą.

Całkiem niedawno zapytałem pewnego znanego polskiego eksperta ds. bezpieczeństwa IT o to, w jaki sposób typowy użytkownik systemów operacyjnych z rodziny Windows ma szansę na obronę przed atakami typu Zero Day. W odpowiedzi usłyszałem tylko:

DEP i ASLR

Czy rzeczywiście te dwie technologie są na tyle skuteczne, że w praktyce są w stanie ochronić nas przed niemal wszystkimi rodzajami nowych ataków? Oczywiście nie, zobaczmy więc pokrótce dlaczego DEP i ASLR nie są w stanie powstrzymać zdeterminowanych intruzów.

WinTaylor for caine to zbiór bardzo przydatnych narzędzi śledczych dla systemów operacyjnych z rodziny Windows. Przy okazji wydania wersji 2.0, warto zapoznać się z tym interesującym pakietem pozwalającym na stosunkowo proste zbieranie oraz raportowanie najrozmaitszych cyfrowych dowodów zgromadzonych w różnych wersjach systemów operacyjnych z rodziny Windows.

Keyloggery, czyli specjalne programy lub urządzenia służące do rejestrowania w docelowym systemie wszystkich wprowadzanych za pomocą klawiatury znaków, mogą przyjmować bardzo różne formy. Omawiałem już swego czasu bardzo interesujący przykład otwartego keyloggera sprzętowego przeznaczonego do samodzielnego montażu. Keylogger może również przyjmować postać dodatku do popularnego Firefoksa. Dziś natomiast chciałbym zaprezentować interesujący przykład otwartoźródłowego keyloggera dla systemów z rodziny Windows.

Blue Screen of Death (BSoD, ang. Niebieski ekran śmierci), czyli bardzo charakterystyczny objaw poważnego błędu systemu operacyjnego z rodziny Microsoft Windows, znają niemal wszyscy użytkownicy komputerów na świecie i to nie tylko użytkownicy systemów operacyjnych rodem z amerykańskiego Redmond. BSoD jest bardzo często obiektem rozmaitych żartów, co ciekawe nawet sam Microsoft udostępnia żartobliwy symulator krytycznej awarii. Niestety awarie systemów Windows mogą również dostarczać wielu bardzo negatywnych emocji, tak jak to ma miejsce chociażby w przypadku sprzętu... medycznego.

Rosyjska firma Elcomsoft jest z pewnością znana wszystkim osobom, które kiedykolwiek interesowały się tematyką odzyskiwania (łamania) najrozmaitszych haseł. Do szerokiej gamy produktów Elcomsoftu dołączył właśnie Internet Password Breaker, który to jest w stanie wydobyć hasła zapisane i przechowywane w wielu różnych aplikacjach służących nam na co dzień do korzystania z zasobów globalnej pajęczyny.

Jedną z popularniejszych obecnie technologii podpisywania kodu wykonywalnego jest Microsoft Authenticode. Dzięki odpowiedniemu certyfikatowi użytkownik może dowiedzieć się, kto jest autorem programu (potwierdzić jego autentyczność) oraz zostanie ostrzeżony w razie wykrycia jakichkolwiek nieprawidłowości (podpis z wykorzystaniem certyfikatu wydanego przez nieznane centrum certyfikacji, modyfikacja aplikacji od momentu złożeniu podpisu lub też całkowity brak podpisu). Okazuje się jednak, że coraz częściej mamy do czynienia ze złośliwym kodem, który został podpisany w sposób nie budzący na pierwszy rzut oka żadnych zastrzeżeń!

Wciąż nie milkną echa niedawnego ujawnienia przez pracownika firmy Google luki Zero Day  obecnej w starszych systemach z rodziny Windows. Przypomnijmy, że Tavis Ormandy, czyli znany specjalista ds. bezpieczeństwa pracujący na co dzień dla internetowego giganta, upublicznił szczegółowe informacje na temat nowej luki obecnej w systemach Windows XP oraz Server 2003. Dziura obecna jest w funkcji Pomoc i obsługa techniczna i pozwala intruzowi na zdalne przejęcie całkowitej kontroli nad docelowym systemem. Więcej szczegółów na jej temat można odnaleźć w poprzednim poświęconym jej wpisie, dziś natomiast chciałbym przedstawić materiały video prezentujące przykładowy atak testowy wykorzystujący tę podatność oraz sposób na obronę przed zagrożeniem.

Tavis Ormandy, czyli znany specjalista ds. bezpieczeństwa pracujący na co dzień dla firmy Google, upublicznił szczegółowe informacje na temat nowej luki obecnej w systemach Windows XP oraz Server 2003. Dziura obecna jest w funkcji Pomoc i obsługa techniczna i pozwala intruzowi na zdalne przejęcie całkowitej kontroli nad docelowym systemem. Ledwo Microsoft zdołał wczoraj opublikować ostrzeżenie o luce, a odpowiedni exploit jest już dostępny w ramach środowiska Metasploit. Zobaczmy więc jak wygląda przykładowy atak wykorzystujący tę podatność.

Zazwyczaj informacje o pojawiających się poprawkach i rozmaitych łatkach nie są przeze mnie publikowane na łamach HARD CORE SECURITY LAB, a jedynie w ramach mikroblogu HCSL. Dziś warto jednak zwrócić uwagę na poprawkę bezpieczeństwa opublikowaną przez firmę Adobe  dla poważnej luki w programie Flash Player. Ponieważ w sieci od kilku dni mają miejsce ataki wymierzone w tę właśnie podatność, użytkownicy programu powinni jak najszybciej pobrać aktualizację.

Zgodnie z prognozami publikowanymi pod koniec zeszłego roku przez wiodące firmy z branży bezpieczeństwa IT, oprogramowanie firmy Adobe jest nieustannie na celowniku komputerowych przestępców. Zaledwie kilka miesięcy temu głośno było przypadkach ataków wykorzystujących lukę Zero Day CVE-2009-4324, a już mamy kolejny przykład ataków wymierzonych w nieznane do tej pory podatności w programach Adobe Reader, Acrobat oraz Adobe Flash Player.

W związku z obawami o bezpieczeństwo swych systemów informatycznych, które znacznie nasiliły się po styczniowych perypetiach firmy Google z komputerowymi przestępcami z Chin, amerykański potentat zakazał swym pracownikom wykorzystywania systemów operacyjnych z rodziny Windows. Zalecany jest natomiast Mac OS oraz Linux.

Ukazała się pierwsza stabilna wersja nowego narzędzia do testowania bezpieczeństwa haseł dostępowych do rozmaitych usług sieciowych. Bruter v1.0, bo o nim mowa, to narzędzie pozwalające na testowanie bezpieczeństwa usług i urządzeń sieciowych, poprzez automatyczne odnajdowanie zbyt prostych lub słownikowych danych logowania. Program ten został opublikowany na licencji BSD i pracuje pod kontrolą systemów z rodziny Windows.

Ukazał się Metasploit Framework w wersji 3.4.0. Tym samym, ten służący do tworzenia exploitów oraz przeprowadzania zaawansowanych testów penetracyjnych otwarty (open source) projekt doczekał się szeregu kolejnych usprawnień. Powstała również pierwsza komercyjna wersja, wyposażona w graficzny interfejs użytkownika.