Grave vulnerabilidad sin parche en Internet Explorer está siendo aprovechada por atacantes

via: HISPASEC.com
 ----------------------------------------------------------------

Se ha descubierto un nuevo exploit que aprovecha una vulnerabilidad 
crítica en Internet Explorer. Permite la ejecución remota de código 
arbitrario y que está siendo usada por atacantes. Afecta a las versiones 
7, 8 y 9 del navegador en todas las versiones del sistema operativo. 

Se ha descubierto una vulnerabilidad en Internet Explorer, previamente 
desconocida y que está siendo aprovechada por atacantes. Uno de los 
datos más curiosos es cómo fue descubierto por el investigador Eric 
Romang (@eromang), y que indica que este 0-day podría estar relacionado 
por los mismos autores de la grave vulnerabilidad en Java de hace solo 
unas semanas. Después del descubrimiento del problema en Java, Eric 
Romang monitorizaba regularmente algunos de los servidores desde donde 
se sabía que se distribuía aquel exploit y relacionados con sus 
desarrolladores. El día 14 de septiembre detectó que se había creado 
nuevo directorio en uno de ellos donde se alojaba el código para 
aprovechar una nueva vulnerabilidad, que resultó ser esta de Internet 
Explorer. 

El fallo permite la ejecución remota de código a través de una 
vulnerabilidad en la función execCommand utilizando referencias no 
válidas a puntero ya liberado (use-after-free). En el código del exploit 
esto se consigue mediante la creación de un objeto 'CMshtmlEd', su 
eliminación y posterior uso de la zona de memoria mediante 
CMshtmlEd::Exec. Una vez explotada la vulnerabilidad, se ejecuta el 
payload mediante la técnica del relleno de la memoria heap mediante NOPs 
(heap spray) y del propio shellcode para conseguir su ejecución. Elude 
DEP y ASLR con técnicas ROP y después carga un troyano del servidor 
malicioso. 

En el siguiente vídeo se puede observar todo el proceso, llevado a cabo 
en un servidor comprometido donde se alojaban tanto el exploit de IE 
como el conocido RAT Poison Ivy, encargado de controlar a la potencial 
víctima. 

http://youtu.be/_w8XCwdw5FI 

El diagrama de flujo del ataque sería el siguiente: 

http://2.bp.blogspot.com/-G-HWQ42_uhQ/UFggDIPO3qI/AAAAAAAABFM/Aa4udfFFcSQ/s1600/diagram.png

El exploit (Protect.html) inicialmente no era detectado por ninguna casa 
antivirus: 

http://3.bp.blogspot.com/-rUHfJBC9P3w/UFggOJFjNkI/AAAAAAAABFU/H0d8nhsmYnk/s1600/VT_nodetection.png

Aunque finalmente Microsoft ha actualizado sus definiciones de antivirus 
identificando la familia del exploit como Dufmoh. 

http://4.bp.blogspot.com/-QmVIgO8X9vA/UFggfVFw0qI/AAAAAAAABFc/9kM2RZ9hb18/s1600/Dufmoh_detection.png

Este 0-day está siendo ampliamente explotado tras la publicación del 
script para Metasploit. Aunque el módulo de Metasploit está creado para 
Internet Explorer 8, se podría modificar para otras versiones. 

http://postimage.org/image/zf4qdbmuf 

No existe parche o contramedida oficial por parte de Microsoft, por lo 
que se recomienda el uso de otros navegadores hasta que sea publicada 
una actualización. EMET correctamente configurado, podría permitir 
detener el vector de ataque. 

Opina sobre esta noticia: 
http://unaaldia.hispasec.com/2012/09/grave-vulnerabilidad-sin-parche-en.html#comments

Más información:

Zero-Day Season Is Really Not Over Yet
http://eromang.zataz.com/2012/09/16/zero-day-season-is-really-not-over-yet/

IE execCommand fuction Use after free Vulnerability 0day en
http://blog.vulnhunt.com/index.php/2012/09/17/ie-execcommand-fuction-use-a
fter-free-vulnerability-0day_en/

metasploit: Microsoft Internet Explorer execCommand Use-After-Free
Vulnerability
http://dev.metasploit.com/redmine/projects/framework/repository/revisions/aac41e91fd38f99
238971892d61ead4cfbedabb4/entry/modules/exploits/windows/browser/ie_execcommand_uaf.rb

Mmm, Smells Like 0day
http://blog.beyondtrust.com/bid/89587/Mmm-Smells-Like-0day

New Internet Explorer zero day being exploited in the wild
http://labs.alienvault.com/labs/index.php/2012/new-internet-explorer-zero-day-being-exploited-
in-the-wild

Exploit:Win32/Dufmoh.B
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Exploit%3aWin32%2fDuf
moh.B&threatid=2147663168

Microsoft Internet Explorer execCommand Use-After-Free Vulnerability
http://dev.metasploit.com/redmine/projects/framework/repository/revisions/aac41e91fd38f99238971892d6
1ead4cfbedabb4/entry/modules/exploits/windows/browser/ie_execcommand_uaf.rb

2a2e2efffa382663ba10c492f407dda8a686a777858692d073712d1cc9c5f265
https://www.virustotal.com/file/2a2e2efffa382663ba10c492f407dda8a686a777858692d073712d1cc9c5f265/an
alysis/1347710701/

Jose Mesa

Sergio de los Santos

@ssantosv

Los 18 Mandamientos del Administrador de Sistemas

1. Harás lo mismo una y otra vez sin perder el tiempo en tareas mundanas
2. Santificaras los respaldos periódicos y completos
3. Honraras el número reducido de particiones grandes
4. No codiciarás otro sistema que no es necesario
5. No procrastinarás
6. Te documentarás y automatizaras tus tareas
7. No reiniciarás una máquina si no sabes que sucederá después
8. Honrarás los recursos que te brinda el Sistema Operativo
9. Documentarás políticas de acción completas y efectivas
10. Sabrás con certeza si un equipo/servidor es confiable
11. Conocerás lo suficiente para no dudar a la hora de presionar Enter
12. Serás el primero en enterarte cuando algo anda mal
13. Mantendrás logs de todo lo que ocurra en tus servidores
14. Conocerás tu entorno de trabajo como la palma de tu mano
15. Aprenderás de tus errores y evitarás que se repitan a costa de tu salario
16. No tendrás malos pensamientos de quienes hagan mal uso del sistema
17. Aceptarás que no eres nada semejante a dios por tener privilegios de root
18. Guardarás un día de reposo para socializar y bendecir tu vida offline

XBox Mods

(más…)

Instala el nuevo Kernel 3.4 en Ubuntu 12.04

Antes de seguir, os voy a comentar rápidamente las características más importantes:

Campaña de recaudación de fondos para la Hackstory.net

Via: Una-Al-Dia

La Hackstory es una enciclopedia online que versa sobre la cultura e historia hacker, con especial atención a las iniciativas, grupos, anécdotas y puntos de encuentro hispanos.

Liderada por la periodista Mercè Molist (@mercemolist), se está creando y actualizando desde finales del verano de 2008, de forma totalmente altruista. Cuenta ya con unos 200 artículos. En estos momentos, y con la intención de editar un libro, ha comenzado una campaña de “crowdfunding” destinada a recaudar 3.520 euros.

¿Para qué quieren el dinero?

Para preparar el contenido de lo que será un libro sobre el “underground” hacker hispano, realizado a partir de la información que se ha venido almacenando en Hackstory.net. Si el proyecto funciona, la idea es autoeditar más libros. Al menos cuatro: este sobre el “underground”, otro sobre los hackers llamados “blancos”, otro sobre hacktivismo y otro sobre la cultura hacker internacional.

Todos serán de licencia libre. Mercè ha ideado un sistema de recompensas para las diferentes donaciones, que describimos literalmente a continuación:

•  Aportando 10 €: Tu nombre/”nick” y avatar aparecerá en la Hackstory. * Aportando 15 €: Te hacemos usuari@ registrad@ de Hackstory además de lo anterior.
•  Aportando 20 €: Te regalamos una dirección de correo con el dominio hackstory.net, que podrás redireccionar a la cuenta que desees además de lo anterior.
•  Aportando 30 €: Camiseta hacker exclusiva, edición especial para esta campaña además de lo anterior.
•  Aportando 45 €: Camiseta hacker para niñ@ además de lo anterior.
•  Aportando 60 €: Suscripción a un boletín mensual con noticias de interés sobre la comunidad hacker además de lo anterior.
•  Aportando 100 €: Pendrive con textos, música y vídeos de la cultura hacker además de lo anterior.
•  Aportando 120 €: Te mandamos a casa el libro, en catalán, “IPv6 per a tothom” donado por la Fundació Punt Cat además de lo anterior.
•  Aportando 150 €: Sabemos que no sabemos si conseguiremos finalmente publicar el libro sobre el “underground” hispano.
•  Aportando 350 €: Te damos una charla sobre cultura hacker en tu casa, el colegio de tus hijos o donde quieras (sólo en Catalunya) además de lo anterior.
•  Aportando 1.000 €: Logotipo de tu empresa en portada del Wiki Hackstory.net, durante un trimestre.

Más información y donaciones: http://www.goteo.org/project/hackstory

Opina sobre esta noticia: http://unaaldia.hispasec.com/2012/05/campana-de-recaudacion-de-fondos-para.html#comments

Hirens Boot CD 15.1

Nueva version de esta herramienta para la “Informatica Forense” que toda persona con un odenador deberia tener guardada a buen recaudo.

Changes From Version 15.0 to 15.1

New Added, Updated Functions:

• ClamWin Free Antivirus 0.97.3 (07-12-2011).
• Added options to integrate updates (on USB/writable drives) for Malwarebytes, SuperAntispyware, Avira Antivirus, Spybot Search & Destroy, ClamWin Antivirus and DrWeb Antivirus.
• Fixed HBCDMenu.cmd for 64bit.
• MiniXP: Fixed MSI installer.
• DrWeb Antivirus is now downloadable only.

Updated Softwares:

Removed Softwares:

• Ammyy Admin

Descarga:

Filename: Hirens.BootCD.15.1.zip
Filesize: 498.36 MB (522565534 bytes)
ISO MD5: B5DE7A10DD1586D47535372EA1AD9BED
ZIP MD5: 5B8E9240AE8CF74939B60AD872CBBABA