Según IDC, más del 80% del software de Microsoft vendido en China en 2008 fue pirateado, y los productos de Microsoft están entre los más populares hackeados y pirateados por los hackers chinos. Ahora mismo si tienes planeado viajar a china podrás obtener una copia pirateada de Windows 7 perfectamente operativa por un precio tan bajo como 20 yuanes, o lo que es lo mismo, 2,93 dólares US $, o el equivalente aproximado a unos 3 Euros Europeos. Los precios de Windows7 original -no os asustéis por favor que tenemos que pagarle a Tío Bill la Grifería de Oro- tienen un coste de $ 119,99 para una simple actualización de Home Premium, y alcanzan la desproporcionada cifra de 319,99 dólares para la edición Ultimate completa al por menor. Eso ya lo advertí en un anterior post. Como es lógico, a Microsoft le importa un pimiento que una de sus licencias comerciales de Windows 7 Ultimate tenga un coste de hasta cinco veces la cantidad de dinero que un estudiante Chino gasta mensualmente para cubrir todos sus gastos, así que Bill solo nos regala problemas, y precios carísimos, y más problemas claro.

El precio de Windows 7 es, por supuesto, ABUSIVO, y es el principal obstáculo para que los usuarios no sólo en China, sino en otros mercados desarrollados como aquí en España, puedan comprarlo sin expresar su disconformidad con este absurdo cuando se trata de comprar productos originales. Los clientes no son tontos. Saben que Windows7 sigue las mismas líneas que sus antecesores, en la fabrica solo le han dado una mano de pintura, y unos pocos retoques que por supuesto no justifican para nada su elevado coste. Ni siquiera las implementaciones adicionales que según afirman le han hecho a windows7, justifican que tenga un coste tan elevado. Ante este abuso el usuario busca alternativas fáciles o más baratas, y es el propio Tío Bill quien al parecer potencia la principal motivación, para que le pirateen sus productos en un círculo sin final absolutamente vicioso.

Tío Bill, si estas leyendo este articulo, deja el Caviar y el champan, y empieza a pensar en la gente con menos recursos; que por un lado dices ser filántropo, pero por otro quieres que sean los demás quienes paguen la pobreza que tu aparentas resolver con tus fundaciones. Eres tú precisamente quien alimenta la Pobreza social cuando a la gente le impones precios abusivos y les impides que puedan comprar tu sistema operativo. Además la combinación precios desorbitados con la incapacidad de los usuarios para acceder a tus productos, legalmente es lo que mueve el fenómeno de la piratería global. Así que el hecho tan extendido y generalizado de que la gente no perciba el software pirateado como ilegal, es culpa tuya y algo que tu estas potenciando. Para ellos Piratear tus productos no es una alternativa sino una necesidad y una parte integral de su realidad. Así que si no quieres que te pirateen tus productos deja de bañarte en una bañera de oro.

En esta ocasión tienes una oportunidad de cambiar las cosas. Pero te conozco y sé que no lo harás. Cuando lanzaste Windows Vista, tu empresa Microsoft reconoció el fracaso de la lucha contra la piratería global, y toda la seguridad que pusiste a tu sistema windows Vista se derrumbo. Y por si fuera poco, más del 50% por ciento -un importante parte de tus ganancias- fue destinada a frenar la piratería que tú mismo generas con tus borracheras de ambición y dinero. Con Windows 7, al parecer, tienes planes parecidos y por lo que veo vas por el mismo camino de equivocarte nuevamente.

Una herramienta bastante potente para realizar este tipo de extracciones es Xplico. Esta herramienta, de momento sólo existe para sistemas operativos Linux. Hasta la fecha es la herramienta más interesante, ya que de momento, está realizando una muy buena labor de soporte para muchos protocolos. Para saber más sobre la misma, aconsejo leer el post de Sergio Hernando, que habla sobre ella.

Para Windows, la única herramienta que vale la pena, se llama NetWork Miner. Es una herramienta bastante interesante, ya que, además de la extracción de datos, es capaz de realizar tareas de fingerprinting sobre los paquetes de datos para averiguar, por ejemplo, el sistema operativo que envía o recibe paquetes. Su funcionamiento se basa en las bases de datos que utilizan diversas herramientas de auditoría, como por ejemplo, NMap. Un buen artículo sobre esta herramienta, lo tenemos en la Web SoyForense.

Lamentablemente, y utlizando esta herramienta con un fichero PCAP, en cuyo interior se encontraban datos relativos a conversaciones de Vídeo, audio y datos, transmitidos todos ellos a través de mensajería instantánea con Windows Live Messenger, ésta no ofrece ningún avance positivo.

Imagen 1.- Extracción de datos fallida con NetWork Miner

Después de la prueba fallida, lo siguiente es analizar “a pelo” cada paquete de la captura, para encontrar una huella, o pista que nos de esperanza para continuar.

Para ello, decido leerme, sin mucho éxito, parte del documento que tiene Microsoft sobre la implementación de RTP en Streaming de audio o vídeo.

Analizando la captura de datos, me encuentro con un paquete algo especial, con el formato siguiente:

Imagen 2.- RecipientID en Windows Live Messenger

Observando varios foros sobrre desarrollo de aplicaciones para mensajería instantánea, comprendo que este paquete es utilizado por Windows Live Messenger para establecer la conexión. Una vez que la conexión está establecida, envía regularmente un paquete de las mismas características para asegurarse de que la conexión sigue permanente.

Wireshark tiene, como añadido a la herramienta, opciones de traducción de paquetes. Esta capacidad, dota a la herramienta con un decodificador de paquetes. Con este tipo de opciones, podemos escoger un paquete, y decirle a Wireshark que lo decodifique según un protocolo establecido.

Nuevo intento, fallido, de decodificar todo protocolo UDP como si fuese RTP. Resultados cero.

Inspeccionando el tráfico UDP, me encuentro con que existen patrones que se repiten a la hora del envío de paquetes a través de Windows Live Messenger. En cada envío de paquetes, me encuentro con unos mismos valores para distintos paquete. Este tipo de patrón da a pensar que podemos estar ante algún tipo de Payload. Para ello, voy copiando en una tabla, todos los valores repetidos que me voy encontrando. La lista que obtengo es la siguiente:

• 44
• 48
• 66
• 4A

Buscando y rebuscando en internet, me encuentro con un post en un foro, el cual ya no existe, en el que se retrata este mismo payload. Pero lo más interesante es que un tipo, llamado Ramiro Polla (No es coña…), ya lleva tiempo con esta investigación y ha recreado un un paper y una herramienta que realiza toda esta labor.

Los payloads anteriormente descritos, se refieren a qué tipo de acción va a realizar Windows Live Messenger. Es decir, si va a realizar una conexión, enviar una trama de audio, enviar una trama de vídeo, etc…

Hablando de la herramienta, cabe decir que la mayor característica de la misma, es la capacidad de trabar “offline” con capturas de datos. Una vez que se carga la captura de datos en la herramienta, se procede a la extracción de paquetes de audio y vídeo.

Imagen 3.- Añadido de capturas offline

Una vez que la herramienta ha realizado su trabajo, se puede proceder a exportar los datos, pudiéndose utilizar compresores de audio y vídeo, para que la captura final sea más pequeña.

Image 4.- Captura final y posibilidad de extracción de datos

Como nota final, vía Sergio Hernando me entero de que también existe una herramienta similar en Linux, llamada MSN Shadow. Leyendo el Blog del autor de la herramienta, me entero de que si queremos versión para Windows, tendremos que esperar un poco, ya que, según sus palabras:

So, to support my additional work on this project like a version for Windows, capture of file transfers and others improvements, I would like to ask for some donation if you can.
I would not like to stop providing this software in open source format, but I can not work for nothing!

En nuestro caso, vamos a centrarnos en un protocolo que no está muy documentado, pero que es ampliamente utilizado. Es el caso de la mensajería instatánea con Windows Live Messenger y derivados.

Los primeros atisbos de información que nos encontramos, los tenemos en la Web del Internet Engineering Task Force. En dicha Web, mantienen un borrador de un protocolo llamado Messenger Service . Leyendo este documento, tendremos una idea básica de cómo el protocolo de Windows Live Messenger trabaja a la hora de enviar y recibir información.

Más adelante (hablando de tiempo), Webs como Hypotetic.org o MSNPiki documentarían más este protocolo, realizando ingeniería inversa sobre el mismo.

Wireshark implementa un único filtro para filtrar la comunicación a través de Messenger llamado MSNMS. Gracias a este filtro, podremos trabajar sólo con este protocolo.

Al ser un protocolo que envía los mensajes en texto plano, es fácil extraer una conversación de Messenger aplicando como búsqueda la cadena “Text/Plain” en el filtro de búsqueda por paquetes que dispne Wireshark.

Imagen 1.- Extracción conversación Messenger con Wireshark

Herramientas comerciales como MSN-Sniffer, pueden capturar este tráfico y parsearlo directamente a una salida más “humana”.

Lo malo de todo esto, es que no toda la información enviada a través de este cliente de mensajería se envía a través del protocolo MSNMS. El envío de mensajes de Voz, ficheros o vídeo se realiza a través de protocolos comunes como TCP o UDP. Y, en este caso, ni MSN-Sniffer ni ninguna otra herramienta (que yo conozca) es capaz de detectarlo y extraerlo.

En el caso del envío de ficheros a través de Messenger, y leyendo la valiosa información de la Web MSNPiki, nos encontramos con que primeramente se envía un número de identificador único (GUID), el cual se especifica para determinar que lo que se va a transmitir es un fichero. En el mismo paquete, se añade un identificador llamado APPID.

Imagen 2.- Envío de ficheros a través de Messenger

Si se observa con atención este paquete, en el contexto de este campo (AppID), aparecen una serie de caracteres codificados en Base64. Decodificando este texto nos daría el nombre del fichero que se está enviando.

Imagen 3.- Decodificando mensaje Base64

Una vez recibida esta información se empieza con el envío de datos. La transmisión de ficheros a través de Messenger es algo complicada, ya que se pueden enviar a través de TCP o UDP, y, en mi caso, no conozco ninguna herramienta que, a través de un archivo PCAP y en modo Offline, pueda reconstruir los ficheros enviados a través de este cliente de mensajería instantánea. Tanto el señor Maligno como Dani Kachakil tienen muy buenos artículos sobre cómo extraer ficheros enviados a través de Messenger. La idea básica es ir recopilando cada paquete (ya sea TCP o UDP), para después unir todas las tramas y formar el fichero extraído.

Imagen 4.- Follow TCP transmisión de paquetes en Messenger

Como esto se complica cuando se transmiten varios ficheros simultáneamente, nuestro compañero Rodol, de informática64, se curró una herramienta muy chula hace tiempo que realizaba esto mismo. Capturar todos los paquetes transmitidos a través de messenger, para después reconstruir los ficheros realizando un fingerprinting de los mismos.

Imagen 5.- Sniffer de Messenger con funciones de recomposición de ficheros

Esta herramienta, junto con muchas más, las damos en exclusiva a las personas que se apunten a los cursos FTSAI que impartimos en informática64.

Hasta la próxima entrega!

La empresa de monitoreo de internet dijo que ha detectado alrededor de 30.000 correos electrónicos diarios que invitan a los usuarios a visitar un sitio web y descargar un archivo de actualización de seguridad, que en realidad contiene un potente virus.

El mensaje dice: “Les informamos de que, debido a la actualización de seguridad del servicio de correo, la configuración de buzón ha sido cambiada. Con el fin de aplicar la nueva serie de ajustes, haga clic en el siguiente enlace”.

¿Qué hace que el ataque sea inusual y de un alto nivel de personalización. La página que se carga cuando el receptor hace clic en el enlace es muy convincente, ya que utiliza la dirección de correo electrónico de la víctima y el nombre de dominio.

“Hemos visto otras veces ataques personalizados, pero no son muy comúnes. A medida que el ataque ha sido orientado hacia el Outlook Web Access, y por definición a la empresa / o el sistema de las empresas que lo usan, es muy probable que los objetivos de estos ataques sean principalmente las empresas”, señaló Websense.

“Websense Security Labs ha observado un aumento de los troyanos bancarios dirigidos hacia las corporaciones, no sólo enviados a las cuentas que tienen más dinero, sino a aquellas que normalmente pueden también hacer transferencias internacionales directamente desde el sistema de la banca On líne”.

Los efectos del virus una vez penetran en el PC, convierten el ordenador en parte de una botnet llamada Zbot y permite el control remoto total del Pc por parte de quienes dirigen la red ebotnet.

La lista de países con más máquinas afectadas por malware (virus, troyanos, espías, etc.) está encabezada por:

1. Taiwan (69,10% de máquinas infectadas)
2. Federación Rusia (67,99%)
3. República Popular China (61,97%).
4. España (61.1%).
5. Argentina (61.52%).

De estos países, el segundo y el tercero constan también en las primeras posiciones de los lugares en los que se produce y distribuye mayor cantidad de malware, con lo que una conclusión rápida es que este tipo de software es distribuido en primer lugar de forma doméstica, por lo que a los virii rusos y chinos parece no importarles mucho que sean sus mismos conciudadanos quienes sufran las consecuencias de sus acciones.

Más..

Como digo, Windows7 parece estar ya marcado por la mala suerte. Según Microsoft, dos de los cinco boletines destinados a resolver los problemas de seguridad en Windows 7 ya han sido calificados por el gigante del software como de máxima gravedad o muy críticos, lo que significa que la vulnerabilidades que afecta a este Windows es ya nada más comenzar de alto nivel de riesgo, y según comentan los propios expertos de Microsoft esta grieta de seguridad podría permitir la ejecución remota de código sin interacción del usuario en la eventualidad de un ataque con éxito. En este sentido, los cinco paquetes de parches que ellos mismos han creado para resolver varios problemas que ya venían de fábrica (Y yo en la tuya) no han hecho sino empeorar las cosas. Resulta que esos 5 parches insolitamente son los causantes de una variedad de agujeros de seguridad de alto riesgo, y algunos han sido señalados en privado a Microsoft, y otros divulgados con todo tipo de detalles público, existiendo por supuesto el tema del peligro de que alguien los explote en su favor.

Microsoft aconseja a sus clientes, que estén actualmente ejecutando Windows 7 RTM, que actualicen rápidamente desde la opción Windows7 Update los parches del sistema operativos de inmediato. Por otra parte y en relación a este incidente Microsoft no considera para los usuarios que estas actualizaciones; nada más comenzar la venta y lanzamiento oficial del sistema operativo por primera vez la próxima semana, que empezar a aplicar los parches y las actualizaciones distribuidas a través de Windows Update sea un indicador negativo de la falta de calidad del acabado de su próximo sistema operativo.

Según parece Microsoft salvar las apariencias de la mejor manera ofreciendo el lado bueno de las actualizaciones de seguridad para Windows 7, pero este primer incidente es ya de por si un mal indicador –La Maldición que le he tirado a Microsoft por hacerme una mala jugada- del estado actual de las cosas en el sistema operativo Windows7. Quizá yo debería recordarle a Microsoft que en vez de hacer tanta propaganda y dedicarse a acaparar tantos mercados, se ocupara más de la parte útil perfeccionando los productos antes de lanzarlos. Aquí en España tenemos un proverbio para estos casos: “No vendas la piel del oso antes de haberlo cazado”. Y esto es muy propio de Microsoft Windows que vive revolcándose en el sensacionalismo de su súper monopolio planetario.

Los usuarios no tenemos porque estar a riesgo de parches y a su vez a las actualizaciones de Windows, y menos antes de que el sistema siquiera este vendiéndose en las tiendas. Pero esta es mi opinan, para aquellos de ustedes que prefieren un enfoque práctico, al de la imagen y las apariencias. Al final cabo ellos cobran un buen puñado de Euros por un producto que más tarde, te dará problemas y la pregunta que yo me hago, es la siguiente… ¿Es que yo le compro a Microsoft sus problemas o que pasa en Redmond?

De los cinco boletines de seguridad que afectan a Windows 7 un par de ellos cabe destacaros. Tanto Microsoft Security Bulletin MS09-054 y el Microsoft Security Bulletin MS09-061 se consideran críticos, y ofrecen soluciones relacionadas con Internet Explorer 8- y con las vulnerabilidades, para Microsoft. NET Common Language Runtime respectivamente.

MS09-054 – “resuelve tres vulnerabilidades reportadas de manera privada y una vulnerabilidad dada conocer al público en Internet Explorer. Las vulnerabilidades podrían permitir la ejecución de código remoto si un usuario visita una página web especialmente diseñada mediante Internet Explorer. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema podrían estar menos afectados que aquellos que cuenten con derechos de usuario administrativos “, explicó Microsoft.

MS09-061 – “resuelve tres vulnerabilidades reportadas de manera privada en Microsoft. NET Framework y Microsoft Silverlight. La vulnerabilidad podría permitir la ejecución remota de código en un sistema cliente si un usuario visita una página web especialmente diseñada mediante un navegador Web que puede ejecutar aplicaciones de explorador XAML (XBAPs) o aplicaciones de Silverlight, o si un atacante logra persuadir a un usuario para ejecutar un sitio especial diseñado de Microsoft. NET “, afirmó la compañía.

Los restantes problemas que afectan al Windows 7RTM, MS09-055, MS09-056 y MS09-059 son todos clasificados como importantes para la última versión del cliente de Windows, y hacen frente a las vulnerabilidades de ActiveX, Windows CryptoAPI, y, respectivamente, en el Servicio de Local Security Authority Subsystem.

Éstos son los enlaces de descarga:

- Cumulative Security Update for Internet Explorer 8 in Windows 7 (KB974455)
- Cumulative Security Update for Internet Explorer 8 in Windows 7 x64 Edition (KB974455)
- Cumulative Security Update for Internet Explorer 8 for Windows 7 IDX (KB974455)
- Cumulative Security Update for Internet Explorer 8 in Windows 7 Release Candidate for x64-based Systems (KB974455)
- Cumulative Security Update for Internet Explorer 8 in Windows 7 IDX for x64-based Systems (KB974455)
- Cumulative Security Update for Internet Explorer 8 in Windows 7 Release Candidate (KB974455)
- Cumulative Security Update for ActiveX Killbits for Windows 7 IDX for x64-based Systems (KB973525)
- Cumulative Security Update for ActiveX Killbits for Windows 7 IDX (KB973525)
- Security Update for Windows 7 (KB974571)
- Security Update for Windows 7 for x64-based Systems (KB974571)
- Security Update for Windows 7 Release Candidate (KB975517)
- Security Update for Windows 7 Release Candidate for x64-based Systems (KB975517)
- Cumulative Security Update for ActiveX Killbits for Windows 7 Release Candidate (KB973525)
- Cumulative Security Update for ActiveX Killbits for Windows 7 Release Candidate for x64-based Systems (KB973525)
- Cumulative Security Update for ActiveX Killbits for Windows 7 (KB973525)
- Cumulative Security Update for ActiveX Killbits for Windows 7 for x64-based Systems (KB973525)
- .NET Framework 2.0 Service Pack 2 CLR Security Update for Windows 7 IDX
- .NET Framework 2.0 Service Pack 2 CLR Security Update for Windows 7 Release Candidate

A largo de dos años de investigación la Universidad de Michigan han analizado más de 256 exabytes de tráfico web a través de 110 operadores de cable y grandes redes troncales de tránsito, las redes regionales y los proveedores de contenido de todo el mundo, y han encontrado que solo 30 ” híper gigantes” representan el 30 por ciento del tráfico total planetario de Internet.

Arbor Networks dijo en su Informe del Observatorio de Internet del 2009 que hace cinco años el tráfico de Internet estaba bastante bien repartido por todo el planeta a través de decenas de miles de empresas que gestionaban sitios web y servidores, pero que actualmente todo el control se ha trasladado a un puñado de compañías gigantescas, y específicamente a una nebulosa de proveedores de contenidos. Craig Labovitz, científico jefe de la empresa, dijo que solo la mitad del tráfico de Internet en 2007 fue generado por entre 5.000 y 10.000 empresas. Desde entonces, sin embargo, se han agregado una mayor cantidad de contenidos y sólo 150 empresas han hecho que hora sean los responsables de la misma cantidad de tráfico diario, encabezada por nombres tan conocidos como Google, Yahoo y Facebook.

Gran parte de esto se debe a la evolución de la economía, al colapso del tránsito IP al por mayor y el aumento del impuso por los modelos de negocio, explicó. “Internet creció bajo la filosofía de la conectividad, una malla de redes conectadas entre sí”, dijo Labovitz. “Fue un comienzo muy jerárquico, con el dinero y el tráfico que fluía hacia arriba [al nivel de proveedores de tráfico]. Pero ahora la filosofía ha cambiado y el contenido es más valioso que la conectividad”. Otro efecto de arrastre de este cambio económico es que, así como la consolidación de contenidos, proveedores de contenido de gran tamaño como Google están estableciendo relaciones directas con los consumidores, pasan por alto el nivel de los proveedores tradicionales.

El informe Arbor también destacó cómo las aplicaciones de Internet, en esencia, han emigrado a la web. Anteriormente había casi tantas aplicaciones como protocolos específicos, pilas de comunicación y desarrolladores, pero hoy en día la mayoría se ha trasladado a una pequeña parte de la red y protocolos de vídeo, uno de los más conocidos es flahs siendo más usado. “Los primeros 12 años de la era de Internet estaban pensados con la filosofa de acercar los hogares y las empresas. Esa fue la tecnología y es la historia. Ahora, la conectividad ubicua y los precios están bajando y están experimentado una profunda innovación, pero en los contenidos no se está consiguiendo acercar más a los consumidores y los negocios “, dijo Labovitz.

“Como el contenido es cada vez más rápido y de mejor de calidad, esto está forzando a cambiar el aspecto de internet cada vez mas rápidamente, que es muy interesante para las empresas y los consumidores, pero se aleja de la internet original. Estamos entrando en la segunda era de Internet”

MessageLabs, que es ahora parte de Symantec, dijo que en octubre hay ya circulando alrededor de 3,6 millones de correos electrónicos por Internet que contienen oculto el peligroso Troyano Bredolab y es probable que pronto esté circulando a nivel mundial en pocos días.

Para los que aun no están atentos a sus posibles consecuencias, el troyano Bredolab es probable que alguien te lo envié de forma anónima y aparezca bajo el aspecto de un inofensivo archivo Zip adjunto a un correo electrónico no solicitado, con una línea de asunto que hace referencia a un número de código Postal, dijo la empresa.

El correo electrónico le pide al destinatario que abra y ejecute el archivo adjunto, por lo que no deberás de abrirlo ya que automáticamente instala el troyano y se ejecuta el ataque.

“Por naturaleza, una vez que este troyano entra en el sistema Windows, al ser un Troyano muy reciente, no probable que sea detectado por los antivirus y que el Hacker o Hackers puedan hacer lo que quieran con la máquina infectada, como por ejemplo instalar de otros tipos de programas o software de control remoto, Troyanos, Keyloggers, malware y spyware,” dijo el analista sénior de MessageLabs Paul Wood.
Posted in Virus Tagged: BREDOLAB, EL NUEVO TROYANO BREDOLAB, TROYANO, TROYANO BREDOLAB ]]> http://infohackmx.wordpress.com/2009/10/14/el-nuevo-troyano-bredolab-indetectable-por-los-antivirus/feed/ 0 mascaraitj