Virus hunting: la visione di Mikko Hypponen

Alcuni giorni fa tra i post Facebook di uno dei miei contatti, è comparso un interessantissimo talk di Mikko Hypponen, intitolato “Fighting viruses, defending the net”.
Per chi non lo conoscesse Hypponen è uno dei pezzi di grossi di F-Secure, compagnia nella quale è dal lontano 1991. Di sicuro è uno che in fatto di virus, malware e security in genere “ne sa a pacchi” per usare un’espressione.
Il talk merita veramente di essere visto, 20 minuti godibilissimi dall’inizio alla fine ad alto contenuto tecnico, ingegno e un pizzico di humor.

Xerox: problemi di buffer overflow

Nelle infrastrutture di rete odierne è facile “incappare” in dispositivi e appliance di vario genere, che non fanno altro che aggiungere nuovi grattacapo per gli amministratori di sistema di turno.

Tra questi sicuramente occupano un ruolo di primo piano le varie stampanti (anche se chiamarle cosi’ è un po’ riduttivo) di rete multifunzione, devices sempre più sofisticati che come tali portano con sè anche tutte le problematiche di sicurezza del caso.

Ultimo esempio lampante in termini di tempo è quello di Xerox, che ha rilasciato una patch (disponibile qui per il download) per i suoi prodotti WorkCentre 5735, 5740, 5745, 5755, 5765, 5775 e 5790. Scopo del fix, risolverer un bug di tipo buffer overflow individuato nel servizio SMB (Samba) del server integrato delle stampanti.

La vulnerabilità consente infatti di accedere in maniera non autorizzata al sistema per poter effettuare modifiche alla configurazione dei dispositivi stessi (vedi bullettin in PDF).

E’ interessante notare come queste falle possano essere sfruttate in un’ottica di spionaggio industriale: questi dispositivi spesso dispongono di supporti di memorizzazione interni (hard disk, etc.) che salvano “temporaneamente” documenti stampati o magari scansionati (rapporti interni aziendali, contratti, etc.). A seconda del modello questi dati possono essere recuperati in modalità plain-text.

Nonostante Xerox sia stata più volte attenta in passato a problematiche di sicurezza, rilasciando aggiornamenti per i prodotti, questa tipologia di falla era nota da parecchio tempo e infatti già da tempo fissata in molte distribuzioni Linux.

Nel mirino di hackers e pen-testers vari comunque, anche le stampanti di rete di altri vendor come Toshiba e Canon. In particolare alla conferenza ShmooCon di gennaio è stato mostrato come accedere in maniera remota a stampanti HP collegate alla rete aziendale. Insomma ce n’è per tutti… dunque occhio a cosa stampate!

Fonte articolo:
When buffer overflows in printers become a risk, by Heise Security

Gli anni passano… ma i worm restano!

Cos’ha di cosi’ speciale venerdi’ 11 febbraio 2011 da poco passato?
Un giorno palindromo (11022011) come molti si sono divertiti a scrivere e a dire?
No, in realtà la mia attenzione è caduta sull’articolo comparso su The Register e su come questa data costituisca il decimo anniversario dalla comparsa del famigerato worm Anna Kournikova.

Per chi non lo ricorda, fu uno dei tanti esempi di worm di quegli anni, scritto in Visual Basic Script (VBS) e che si diffondeva via mail attraverso un banale “trucchetto” di social engineering che invitava a visualizzare un’immagine della nota tennista russa.

Di sicuro non cosi’ sofisticato come il più noto Love Bug o anche I Love You, ma in grado di diffondersi a velocità doppia rispetto al suo simile rilasciato un anno prima. Fu forse l’ultimo nella sua “specie” con una simile capillarità di infezione.

Perchè val la pena ricordarlo oggi giorno, quando ormai esistono malware, spyware e rootkit in grado di nascondersi nel sistema e rendere la loro individuazione piu’ difficile che mai ai normali software antivirus?
Per il semplice fatto che fu uno dei primi esempi di virus di “successo” scritti utilizzando appositi scripting toolkit.

Il toolkit in questione VBSWG era scritto in Visual Basic e fu creato da un programmatore argentino; il worm Anna Kournikova fu invece creato, partendo proprio dal tool, da un giovane olandese identificato poi come Jan De Wit.

Oggi come dieci anni fa, la possibilità di aver accesso a toolkits di generazione, permette a persone con scarsi skill tecnici di produrre in pochissimo tempo varianti di malware in grado di provocare danni economici ingenti.
Pensiamo al caso dello Zeus e alla vasta botnet che ad esso fa capo.

APPROFONDIMENTI:
Memories of the Anna Kournikova worm, by Sophos
10th Anniversary of the Anna Kournikova virus, by Symantec

Macromedia Flash: occhio al filesystem!

In computer security, il concetto di “sandbox” viene utilizzato per indicare un meccanismo di sicurezza che consente di separare e isolare diversi programmi in esecuzione. Questo al fine di testare ed eseguire codice potenzialmente dannoso, non sicuro e/o fornite da terze parti non fidate.

Adobe Flash incorpora questo concetto tra i suoi meccanismi base di sicurezza per consentire l’accesso solo a determinate tipologie di file locali, tra questi ovviamente i cookies Flash.
Comunemente quindi tutti gli altri file locali della macchina dell’utente sono off-limits, in modo da prevenire il furto di dati da parte di applet Flash malevoli.

Billy Rios, ricercatore di sicurezza presso Google, ha dimostrato come questo modello di sicurezza e le restrizioni imposte in Flash possa essere bypassato in modo da ottenere libero accesso a file locali.

Il “trucco” della vulnerabilità sfrutta la funzione “getURL()” impiegata da Flash per ottenere l’accesso a file remoti.
Una versione dummy dell’attacco utilizzerebbe la funzione getURL usando “file://” per puntare alle risorse del file system locale, tuttavia Adobe ha blacklistato alcuni protocol-handler.

Il blocco imposto non è tuttavia sufficiente e consente di impiegare il protocol-handler “mhtml“, che funziona sulle comuni piattaforme Windows e non è appunto blacklistato. Nessun avviso o messaggio di conferma viene mostrato all’utente in questo caso.

FONTE:
Flash Local-with-filesystem Sandbox Bypass, by SANS Technology Institute

APPROFONDIMENTI:
Bypassing Flash’s local-with-filesystem Sandbox, sul blog di Billy (BK) Rios
Flash Player Security Basics
Security Domains, Application Domains, and More in ActionScript 3.0

Firefox 3.6.13 e 3.5.16: importante aggiornamento tappabuchi

L’ultimo aggiornamento del browser open-source Firefox rilasciato lo scorso week-end va a patchare ben 13 vulnerabilità che espongono gli utenti Windows e Mac a possibili attacchi da parte dei crackers.

Alcune falle che interassano il software di casa Mozilla, possono essere sfruttate per lanciare attacchi “drive-by-download” e conseguente esecuzione di malware, semplicemente navigando apposite pagine web.
11 vulnerabilità su 13 sono state etichettate come “critical”, poichè per l’appunto non richiedono alcuna interazione utente al di là della normale navigazione.
Una patch, è in realtà un nuovo aggiornamento per una issue che Mozilla era convinta di aver definitivamente fixato già nel mese di marzo.

Altre possibili conseguenze delle falle individuate sono attacchi di tipo cross-site scripting (XSS), Denial-of-Service (DoS) e bypass della sicurezza Java.

Ecco una lista delle vulnerabilità critiche che interessano le versioni Firefox 3.5 e 3.6:

  • MFSA 2010-84 XSS hazard in multiple character encodings
  • MFSA 2010-83 Location bar SSL spoofing using network error page
  • MFSA 2010-82 Incomplete fix for CVE-2010-0179
  • MFSA 2010-81 Integer overflow vulnerability in NewIdArray
  • MFSA 2010-80 Use-after-free error with nsDOMAttribute MutationObserver
  • MFSA 2010-79 Java security bypass from LiveConnect loaded via data: URL meta refresh
  • MFSA 2010-78 Add support for OTS font sanitizer
  • MFSA 2010-77 Crash and remote code execution using HTML tags inside a XUL tree
  • MFSA 2010-76 Chrome privilege escalation with window.open and <isindex> element
  • MFSA 2010-75 Buffer overflow while line breaking after document.write with long string
  • MFSA 2010-74 Miscellaneous memory safety hazards (rv:1.9.2.13/ 1.9.1.16)

Gli utenti dovrebbero aver già aggiornato il proprio browser tramite il classico sistema di aggiornamento automatico, alle versioni 3.5.16 e 3.6.13.
Nel caso cosi’ non fosse, l’update è fortemente consigliato.

Google URL Shortener nel mirino di un worm Twitter

Il servizio di URL shortening di Google, goo.gl, sarebbe stato utilizzato negli ultimi tempi per la diffusione di un worm Twitter.
I link incriminati finora individuati che portano alla diffusione del malware sono i seguenti: “goo.gl/R7f68” e “goo.gl/od0az”.

I responsabili di Twitter hanno fatto sapere che non appena la diffusione del worm è stata scoperta, hanno provveduto a notificare la procedura di password reset per tutti coloro che sono stati interessati dal problema.
E’ stato anche consigliato un controllo sulle connessioni oAuth “autorizzate” per verificare la possibilità che ne siano state aggiunte alcune in maniera illecita ed eventualmente rimuoverle.

Per tutti coloro che hanno cliccato sui link sopra riportati, l’effetto è stato quello di un primo redirect verso un sito compromesso di una compagnia francese di mobili, e successivamente ad altri domini.
La cosa interessante è come il worm sembra si sia diffuso principalmente attraverso le piattaforme Twitter per dispositivi mobile.
Gerry Egan, direttore di Symantec Security Response, ha fatto sapere come gli URL malevoli in questione punti in effetti ad una copia del “Neosploit attack toolkit“.

I servizi di URL shortening non sono nuovi al fatto di essere sfruttati per questo tipo di attacchi.
Da un lato la loro utilità nel “comprimere” un URL di molti caratteri, specie quando si usano piattaforme come Twitter che impongono un limite di 140 caratteri per messaggio. Dall’altra il fatto che si prestano bene a nascondere i domini reali, rendendo cosi’ all’utente finale più difficile individuare un sito trappola.

Hon Lau, ricercatore presso Symantec, ha comunque evidenziato come alcuni servizi siano migliori di altri. Tiny.cc per esempio offre una pagina di statistiche dove chiunque può verificare il numero di click effettuati verso un particolare link e la destinazione reale dell’URL compresso. Altri invece come bit.ly, integrano dei meccanismi di blacklisting per filtrare in maniera (semi)automatizzata i tentativi di creare short link per far puntare a siti contenenti malware.

Il rootkit TDL4 sceglie la "via" di Stuxnet

Il rootkit TDL4 è l’ultima delle evoluzioni del famigerato TDSS, già in circolazione da un po’ di tempo.
La novità che riguarda questo malware, è che TDL4 sembra faccia uso di uno dei bug di Windows usato in precedenza da Stuxnet.

Pare infatti che il rootkit sfrutti la vulnerabilità del Windows Task Scheduler su macchine Windows 7/2008 (x86/x64) per poter installarsi senza che venga segnalato alcun messaggio dal sistema di protezione UAC.
E’ questo quello che appare nel report di Sergey Golovanov, security expert dei Kaspersky Lab.

Sembra dunque che TDL4 tenti di seguire la strada “indicata” in primis dal worm Stuxnet, di cui si è fatto un gran parlare negli ultimi tempi, soprattutto per la sua particolarità di attaccare i sistemi SCADA.
Per quanto riguarda il bug relativo al Windows Task Scheduler, il codice di exploit ad esso relativo è stato rilasciato qualche settimana fa, e quindi facilmente reperibile.

Mozilla alza la posta: 3000$ per un bug!

A quanto pare Mozilla ha alzato il premio messo in palio per coloro che individuano una vulnerabilità di sicurezza nei prodotti di punta della software house open-source: Firefox e Thunderbird.

La nuova cifra è infatti di ben 3000$, un grosso salto se si considerano i “soli” 500$ che fin dal 2004 venivano pagati per i vari bug scoperti.

Nel programma di bug-hunting di Mozilla sono stati aggiunti due nuovi prodotti: Mozilla Services e Firefox Mobile.

Lucas Adamski, security engineer director di Mozilla, ha scritto sul blog del gruppo riguardo la nuova “taglia” e indicato quelle che sono le regole fondamentali per aggiudicarsela:

  • il bug deve essere originale e mai stato pubblicato prima;
  • il bug deve essere di tipo remote exploit;
  • il bug deve essere individuato in una delle ultime versioni ufficiali, beta o release candidate dei vari Firefox, Firefox Mobile, Thunderbird o Mozilla Services;
  • il bug non deve essere causato o individuato in plugin/estensioni di terze parti.

Johnny Depp is NOT dead! Occhio al malware!

A quanto pare la frenesia scatenata dalla morte di una celebre star è un buon modo per diffondere il malware.
E i vari cyber-criminali del pianeta lo sanno bene.
Questa volta nel mirino è finito il capitano Jack Sparrow o meglio l’attore Johnny Depp che stando alle indiscrezioni sarebbe morto in un incidente d’auto. “Peccato” che la pagina web che riporta la notizia sia falsa, una simil-CNN.
Tuttavia sembra che il rumor si sia diffuso in fretta e su Twitter non si sia parlato d’altro.

Ecco qua un video di Sophos che mostra come viene attuato l’inganno e installato il malware. Maggiori informazioni sull’accaduto sempre sul blog di Sophos.

Altro “buon” esempio di social engineering! 🙂

Virtual DOS Mode e il bug di Windows di 17 anni fa

Un bug vecchio di 17 anni? Possibile.
A quanto pare non c’è modo di dormire sonni tranquilli per Microsoft.
Dopo i recenti problemi con Internet Explorer e la patch rilasciata al di fuori della road-map classica dei Patch Tuesday, ecco un’altra bella gatta da pelare.

Escalation di privilegi grazi ad una serie di vulnerabilità nella Virtual DOS Mode (VDM).
Il parco dei sistemi interessati è quello dei sistemi 32-bit, sembra da Windows NT 3.1 a Windows 7.

Provato e testato personalmente su Windows XP SP3 completamente patchato.
Ho realizzato un piccolo video giusto per far capire uno dei più classici motivi per cui un exploit simile puo’ risultare utile.

Amministratori di rete… disabilitate!!!