Un exploit podría tomar el control de un Mac incluso tras formatearlo

Un exploit podría tomar el control de un Mac incluso tras formatearlo

Este podría ser una de las vulnerabilidades más peligrosas que habíamos oído nunca, ya que al parecer existe un agujero de seguridad que permitiría controlar un Mac incluso tras haberlo formateado. Descubierto por el experto en seguridad de OS X Pedro Vilaca, el exploit ataque a viejos equipos que despiertan tras el modo de hibernación. El problema es que el supuesto sistema de seguridad que protege al firmware del equipo no se activa de inmediato en modelos antiguos tras despertarse del reposo, dejando expuesto al equipo durante un breve periodo de tiempo. A diferencia de otros exploits que requieren acceder vía hardware, el atacante podría plantar la trampa de manera remota desde Safari u otro medio.

Para implantarlo lo primero que debe de conseguir es tener acceso al Root a través de una web preparada para el ataque, un correo electrónico o cualquier otro método. Después se deja el programa que se ha cocinado expresamente para esta tarea, quedando únicamente que esperar a que el equipo entre en reposo (o forzarlo a ello) para posteriormente actualizar el firmware en cuanto se despierte. Una vez instalado, es bastante difícil de detectar y eliminar en comparación con el malware tradicional, de forma que podría sobrevivir incluso tras un formateo.

Según informa el propio Vilaca, los equipos afectados son el MacBook Pro Retina, MacBook Pro 8.1 y MAcBook Air, aunque aquellos modelos de menos de un año de antigüedad parecen ser completamente inmunes al ataque (Vilaca cree que Apple podría conocer el problema y parcheado los equipos más nuevos). Tendremos que esperar a que Apple se pronuncie al respecto, ya que como Vilaca dice, la propagación del informe de seguridad no es para nada una irresponsabilidad, sino una motivación para ponerle solución cuanto antes.

El formato PDF, de nuevo en el punto de mira

Al parecer se ha detectado un paquete de exploits capaz de aprovechar vulnerabilidades en el lector más usado de este formato, Adobe Reader.

El “PDF Xploit Pack” permite explotar vulnerabilidades y gestionar de forma centralizada a las víctimas en las que se ha conseguido ejecutar código arbitrario. Muy al estilo del Mpack o cualquier otro producto engendrado por la industria del malware, pero específico para este producto.

“PDF Xploit Pack” parece ser el primer paquete de exploits que se encarga exclusivamente de aprovechar y gestionar vulnerabilidades en el lector PDF de Adobe. Es importante tener en cuenta que los fallos pueden aprovecharse no sólo abriendo un fichero PDF que llegue por correo, sino también a través del navegador porque permiten visualizar archivos PDF incrustados en él gracias a un plugin. Los atacantes están consiguiendo (como viene siendo habitual) violar la seguridad de páginas legítimas y esconder ciertos IFRAMEs dentro. Al ser visitadas, se carga un enlace especialmente manipulado que aprovecha las vulnerabilidades.

Lo que no se aclara desde la fuente original es si el paquete aprovecha vulnerabilidades conocidas (para las que se pueda estar protegido con las últimas versiones del lector) o desconocidas hasta el momento.

El archivo PDF, cuando se abre con el lector vulnerable, descarga otro malware que realmente contiene el payload. Hay que recordar que el formato PDF ya fue usado como “downloader” en febrero de este mismo año, y el ataque resultó bastante “popular”. Instalaba el troyano Zonebac.

Hace justo un año, se aprovechó también de forma masiva una vulnerabilidad compartida entre Adobe Reader y Windows con Internet Explorer 7. En esta ocasión se usaba el fallo para, a través de una línea de comandos incrustada en el PDF, descargar por FTP y ejecutar código automáticamente al abrir el fichero. También ese mismo año, en junio, se popularizó de forma fulgurante pero efímera el correo basura en formato PDF, inundando los buzones de todo el mundo y eludiendo unos filtros antispam que no estaban preparados.

Continuar leyendo “El formato PDF, de nuevo en el punto de mira”

Denegaciones de servicio en Asterisk

Se han encontrado dos vulnerabilidades en Asterisk, ambas calificadas como críticas, que podrían permitir a un atacante local o remoto causar una denegación de servicio en los sistemas vulnerables.

Asterisk es una aplicación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes

características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.

A continuación se explican con más detalle las vulnerabilidades encontradas y corregidas:

* Por medio del envío masivo de peticiones POKE a un sistema vulnerable, un atacante podría acaparar todos los números de llamada (líneas) asociados con el protocolo IAX2, impidiendo el procesamiento del resto de llamadas o peticiones, provocando una denegación de servicio. El fallo está causado porque, de acuerdo con el protocolo IAX2, una vez que el servidor recibe una petición de POKE, este mandaría una respuesta PONG y se quedaría esperando por un paquete ACK con el mismo número de llamada, manteniendo ocupada esa línea. El problema ha sido solucionado usando única y exclusivamente el número de llamada 1 (línea 1) para las peticiones POKE y descartando los paquetes ACK para dicha línea.

Continuar leyendo “Denegaciones de servicio en Asterisk”

Exploit Windows Vista: Consola Administrador

Ha sido publicado un exploit para Windows Vista que nos permite de una forma rapida y sencilla adquirir privilegios de administrador en cualquier version de Vista, para ello no hay que mas arrancar la maquina con una distribucion Live de Linux o cualquier SO (msdos tb vale) y hacer los siguientes pasos.

  1. 1. Renombrar ‘Utilman.exe‘ -> ‘Utilman-old.exe
  2. 2. Renombrar ‘cmd.exe‘ -> ‘Utilman.exe

Video:  Exploit Vista

Elevación de privilegios en el kernel vs. ejecución de código en Adobe Reader

Reacción de los Antivirus

Durante el fin de semana se ha dado a conocer una nueva vulnerabilidad en el kernel de Linux que permite a los usuarios conseguir privilegios de root. El problema es que también se ha hecho público, al mismo tiempo, un exploit que permite aprovechar la vulnerabilidad de forma sencilla. Lo mismo ha ocurrido con un fallo en Adobe Reader, pues durante el fin de semana se ha detectado que una vulnerabilidad estaba siendo aprovechada de forma masiva. Como simple experimento curioso, hemos comparado la reacción de los AV ante estas dos nuevas amenazas.

 

¿Cómo han reaccionado las casas antivirus ante este par de vulnerabilidades? Pertenecen a mundos distintos, una permite elevación de privilegios en el kernel (a través de una llamada a vmsplice) y otra ejecución de código en Windows con los privilegios del usuario que ejecute Adobe Reader. Una la sufren los kernel de Linux y otra los usuarios de Adobe en Windows, y los antivirus han reflejado esta disparidad en su capacidad y velocidad de reacción.

  Continuar leyendo “Elevación de privilegios en el kernel vs. ejecución de código en Adobe Reader”

HomeBrew para Wii: Hack en Zelda

Parece ser que se ha encontrado un Bug en el Zelda Twight Princess que permite cargar codigo sin firmar en nuestras Wii´s esto es un gran paso para la Scene de la consola estrella de Nintendo. Es conveniente recordar que la pequeña de Sony PSP empezo de la misma manera, y hoy por hoy su scene es la mas activa, en mi opinion personal este es el comienzo para la carga de Copias De Seguridad sin chip en Wii. toda una buena noticia para los poseedores de placas con controladora D2C (nuevas Wii´s)

ACTUALIZACION: Entrevista a Bushing el descubridor del exploit para Wii , la entrevista esta en ingles pero es muy interesante para programadores.

Salto de restricciones a través de objetos COM en PHP 5.x

Se ha encontrado una vulnerabilidad en PHP que podría ser explotada por un atacante local para saltarse ciertas restricciones de seguridad.

 La vulnerabilidad está causada por una imposición incorrecta de restricciones de acceso en PHP cuando se manejan objetos COM. Esto podría ser explotado por un atacante local para saltarse ciertas restricciones de seguridad (como por ejemplo la directiva safe_mode) invocando directamente los métodos COM.

 La vulnerabilidad está confirmada para la versión 5.2.4 de PHP y puede afectar a otras versiones.

Más información:

 

PHP 5.x COM functions safe_mode and disable_function bypass

http://milw0rm.com/exploits/4553

 Fuente:

Laboratorio Hispasec

laboratorio@hispasec.com

Archivos PDF aprovechan un fallo en Adobe Reader para infectar sistemas

Una vulnerabilidad en Adobe Reader (compartida en realidad con Microsoft Windows) está siendo aprovechada para ejecutar código con sólo abrir un archivo en PDF. Si bien se conoce esta vulnerabilidad desde hace algunas semanas, no ha sido hasta el día 22 de octubre que se han observado correos intentando explotar el fallo descargando e instalando malware alojado en (sorpresa, sorpresa) la Russian Bussines Network.

En junio se popularizó el spam a través de archivos PDF. Incrustaban una imagen apenas legible en archivos en este formato (en el que confían los

usuarios) y los spammers se saltaron así todos los filtros hasta que éstos consiguieron adaptarse y contener la avalancha. Entonces avisábamos de que, al menos, este spam no intentaba aprovechar ninguna vulnerabilidad en el lector más popular Adobe Reader y que si el correo era abierto sólo se perdería el tiempo. Hasta ahora… pues se ha descubierto que se están enviando archivos PDF que si son abiertos en un Windows, aprovechan una vulnerabilidad en Adobe Reader y son capaces de descargar y ejecutar código.

Continuar leyendo “Archivos PDF aprovechan un fallo en Adobe Reader para infectar sistemas”

Ejecución de código arbitrario en Yahoo! Messenger

 

Se ha encontrado otra vulnerabilidad en Yahoo! Messenger que puede ser aprovechada por atacantes para ejecutar código en el sistema víctima.

Esta es la tercera vulnerabilidad grave que afecta a este programa de mensajería en solo dos meses. Microsoft Messenger, por su parte, también es vulnerable a un grave problema.

 

iDefense alertaba de nuevo de un fallo en el programa de mensajería instantánea de Yahoo!. El problema se debe a un error de límites en dos funciones del control ActiveX YverInfo.dll y puede ser aprovechado para provocar un desbordamiento de memoria intermedia si un usuario visita una página web especialmente manipulada. La vulnerabilidad permite la ejecución de código arbitrario, pero para que tenga éxito, la página que aproveche el error debe encontrarse bajo el dominio yahoo.com (o hacer creer a la víctima que se encuentra en él…).

  Continuar leyendo “Ejecución de código arbitrario en Yahoo! Messenger”

El resurgir del virus Storm : Exprimiendo el correo basura (III)

Una vez más, merece la pena detenerse ante un correo basura que está inundando nuestros buzones (y por extensión, el de algunos millones más de usuarios) durante estos días. Se trata de un spam que intenta hacer que la víctima visite una página. Con cierta audacia, pretende que se descargue un ejecutable y si no, aprovechar fallos para infectar. Lo destacable en este caso, es la cantidad de variantes que se están creando y su capacidad para pasar a través de los filtros antispam.

 

Desde hace unos días estamos recibiendo decenas de correos con esta

estructura:

  Continuar leyendo “El resurgir del virus Storm : Exprimiendo el correo basura (III)”

Vulnerabilidad en Lhaz 1.33

La utilidad de compresión Lhaz, en su versión 1.33, posee una vulnerabilidad que permite ejecutar código arbitrario de forma remota. Se recomienda su actualización a la reciente versión 1.34b2, que corrige el problema, o prevenir el uso de la herramienta para tratar archivos no confiables.

 

La vulnerabilidad puede ser aprovechada a través de un archivo gzip especialmente construido que provoca la ejecución arbitraria de código al intentar ser descomprimido con Lhaz 1.33.

 

El exploit ha sido detectado in-the-wild (utilizándose de forma

activa) en sitios japoneses con el fin de instalar un backdoor entre los usuarios de Windows con una versión de Lhaz vulnerable.

De momento se estima que el ataque haya tenido apenas incidencia entre usuarios europeos o de habla española.

 

En las últimas horas se ha publicado dos betas de la nueva versión 1.34. Si algún usuario utiliza Lhaz tiene dos opciones para prevenir el ataque:

 

* No manejar con Lhaz archivos ZIP no confiables a la espera de instalar la versión 1.34 definitiva

 

* Instalar la versión 1.34b2

 

La última versión de Lhaz puede ser descargada desde su página

web: http://www.chitora.jp/lhaz.html

 

Fuente: www.hispasec.com

 

Malware 2.0

Aunque no deja de ser una etiqueta de moda sin una definición clara, el concepto de la Web 2.0 hace referencia a una segunda generación de aplicaciones web dinámicas e interactivas donde el usuario tiene un mayor protagonismo y participación, frente a las webs estáticas tradicionales donde el usuario era un receptor pasivo. ¿Existe también un nueva generación de malware 2.0?

Tengo que confesar que creía que iba a ser original hablando del concepto Malware 2.0, pero una búsqueda en Google me ha sacado de mi error. Hace menos de un mes la empresa de seguridad PC Tools utilizó el término en una nota de prensa donde hablaba de una nueva generación de malware:

PC Tools hace referencia a características que llevamos comentando tiempo atrás en Hispasec:

* La proliferación de nuevas variantes de malware ha crecido de forma brutal.

* Se utilizan técnicas automáticas para ofuscar las variantes y dificultar la identificación por firmas.

* La estrategia actual pasa por utilizar muchas variantes en vez de un único espécimen para llamar menos la atención y dificultar una respuesta rápida por parte de la comunidad antivirus (de ahí que llevemos bastante tiempo sin ver un gusano de propagación masiva como el ILoveYou y compañía).

A continuación, como era de esperar, utiliza este argumento para vender su producto antispyware, que utiliza técnicas adicionales para no depender en exclusiva de las firmas de detección.

Aunque esas características son una realidad evidente desde hace bastante tiempo, mi idea del concepto de Malware 2.0 tiene más analogía con la Web 2.0: el uso de la web como plataforma para la distribución, personalización del malware, y uso inteligente de los datos obtenidos por parte de los usuarios para propocionar “nuevos contenidos”.

Para desarrollar la idea voy a utilizar un ejemplo de ataque real, de los muchos que están sucediendo a día de hoy, destinado a los usuarios de banca electrónica:

* Los atacantes diseñan un servidor web que hospeda el código malicioso.

* Para atraer a potenciales víctimas anuncian su URL a través de spam, en foros, comentarios en blogs, etc. con cualquier excusa (bien una noticia de actualidad, curiosidades, imágenes eróticas o cualquier otro contenido potencialmente atractivo que lleven a los usuarios a visitar el servidor web de los atacantes).

* Cuando un usuario accede al sitio de los atacantes, la web comprueba la versión del navegador del visitante y, si es vulnerable, devuelve un exploit específico para su versión del navegador que provoque la descarga automática y ejecución del troyano.

* Si el usuario tiene un navegador actualizado, utiliza la ingeniería social para que el usuario descargue y ejecute por si mismo el troyano (por ejemplo, mediante un ActiveX, decirle que es un vídeo, o una utilidad que requiere con cualquier excusa).

* Este primer troyano que se descarga es un “downloader”, que lo que hace es instalarse en el sistema y descargar e instalar la última versión del troyano bancario, así como sucesivas actualizaciones que pudieran aparecer en el futuro.

* El troyano “downloader” también puede personalizar la versión del troyano bancario que descarga en función del sistema. Por ejemplo, si el usuario tiene una versión de Windows en español, el “downloader”
instalará en el sistema un troyano bancario diseñado específicamente para entidades españolas.

* El troyano bancario puede estar destinado a unas entidades específicas o ser más genérico. En el caso de que tenga unas entidades predefinidas, si el usuario accede a las webs de banca electrónica reconocidas por el troyano, envía los usuarios y contraseñas de acceso del usuario al servidor web para que los atacantes puedan suplantar su identidad y realizar transferencias a otras cuentas.

* En el caso de un troyano bancario más genérico e inteligente, envía a un script del servidor web de los atacantes todas las URLs por las que el usuario navegue y que comiencen por https. En el servidor web tienen un listado de URLs de bancos, si alguna de las URLs que envía el troyano corresponde con el listado, entonces el servidor web devuelve al troyano una orden concreta: redirigir al usuario a un sitio de phishing de esa entidad, modificar en local la página web de la entidad para que pida la clave de operaciones, etc.

* La información de las URLs de páginas seguras (https) por la que los usuarios navegan, y que envían al servidor web, sirve a los atacantes para diseñar nuevos ataques y actualizaciones de su troyano bancario.
Por ejemplo, imaginemos que en un principio los atacantes contemplaban a Banesto, pero no al BBVA. Los usuarios que visitaban la web de Banesto eran afectados, mientras que los del BBVA no porque el servidor web no devolvía ninguna orden concreta al no tener un ataque específico preparado. Los atacantes estudian periódicamente las estadísticas de las URLs que se centralizan en su servidor, y comprueban que hay muchos usuarios infectados que visitan la web del BBVA. Entonces deciden crear una nueva versión del troyano bancario específico o una página de phishing a la que redirigir a los usuarios infectados que la próxima vez visiten la web del BBVA.

Este último punto tiene cierta analogía con servicios web 2.0 como digg.com o meneame.net, si muchos usuarios visitan una página de un banco se contabiliza en el servidor de los atacantes como votos positivos y termina por aparecer en portada (en este caso en la lista negra de entidades para las que desarrollan un ataque concreto).

Cómo podemos ver, esta nueva generación de malware utiliza la infraestructura de la web para comunicarse con los sistemas infectados de los usuarios y realimentarse con la información que estos proporcionan, aprovechando esta inteligencia colectiva para ofrecer nuevos contenidos dinámicos en función de los perfiles de los usuarios.
¿Estamos ante el malware 2.0?

Opina sobre esta noticia: