Pesquisadores acham outra falha de segurança em computadores da Lenovo

Três meses se passaram após o caso dos computadores da Lenovo com o adware Superfish a empresa já está envolvida, novamente, com problemas de segurança nos seus produtos. A firma de segurança IOActive encontrou falhas de segurança de "alta-gravidade" nos PCs da Lenovo, que permitem aos hackers instalarem softwares maliciosos sem a permissão do usuário.

A falha foi descoberta em fevereiro, no sistema de updates da Lenovo, que permite aos usuários baixarem drives e softwares no site da empresa. Apesar de ter sido descoberta há alguns meses, a IOActive só divulgou o problema agora para a Lenovo ter tempo de desenvolver um patch para corrigir o problema.

Uma das vulnerabilidades, chamada de CVE-2015-2233, permitia que os hackers remotamente violassem programas oficiais da Lenovo e substituíssem por malwares. Outra falha permitia que usuários não-privilegiados se tornassem administradores e pudessem ter acessoa  todos os programas e serviços do computador. Os problemas estavam presentes na versão 5.6.0.27 do Lenovo System Update.

Junto com a IOActive, a Lenovo desenvolveu um patch para corrigir os problemas, que já foi disponibilizado pelo Lenovo System Update. Caso você não confie no sistema de updates da empresa, o patch pode ser instalado manualmente e os usuários podem fazer o download neste link.

Fonte: Adrenaline

Read More

Um outro olhar sobre a falha FREAK

E se a chave da sua casa fosse partilhada com 28 mil outros lares?

Isto é essencialmente o que os investigadores da Royal Holloway da Universidade de Londres descobriram na semana passada, durante um “scanning” na Internet para ver quantos servidores e dispositivos ainda são vulneráveis à falha de segurança conhecida como FREAK.

Revelada a 3 de Março, a falha permite que um atacante tenha acesso às informações que trafegam por uma conexão protegida pelo protocolo SSL/TLS (Secure Sockets Layer/Transport Layer Security). Esta foi a última de uma série de falhas encontradas ao longo do último ano no amplamente utilizado software open source.

Mais de um quarto dos hosts estavam vulneráveis à FREAK. Na semana passada, investigadores da Royal Holloway decidiram ver que percentagem ainda não tinha resolvido o problema.

Kenneth G. Paterson, professor do Information Security Group da Royal Holloway e co-autor do trabalho de pesquisa, caracteriza-o como um pequeno projeto que produziu resultados surpreendentes.

Os pesquisadores analisaram todo o espaço de endereços IPv4 usando o ZMap, olhando para os “hosts” que permitiriam um ataque FREAK, o que envolve forçar um “host” a aceitar uma chave criptográfica RSA de 512 bits para garantir uma conexão.

As chaves criptográficas com esse tamanho foram consideradas inseguras há mais de 15 anos. Na década de 1990, o governo dos EUA restringiu a exportação de produtos com chaves maiores e mais fortes. Mesmo após essa exigência ter sido abandonada, muitos produtos ainda suportam a versão mais fraca.

O resultado da pesquis? 9,7% dos cerca de 23 milhões de “hosts”, ou cerca de 2,2 milhões, ainda estão aceitando chaves de 512 bits – um número surpreendente, considerando a gravidade da falha FREAK e mais de duas semanas após o problema ter sido divulgado.

Mas os investigadores também fizeram uma outra descoberta surpreendente: muitos “hosts” – que podem ser servidores ou outros dispositivos ligados à Internet – compartilham a mesma chave pública de 512 bits, disse Paterson.

Num exemplo notório, 28.394 routers com um módulo SSL VPN usam todos a mesma chave pública RSA de 512 bits.

Isto nunca deveria ter acontecido.

Muito provavelmente, um fabricante gerou uma chave e depois instalou-a em muitos e diversos dispositivos. “É preguiça por parte do fabricante”, diz Paterson em entrevista ao IDG News Service. “É um pecado cardinal. Um bom exemplo de como não se deve usar a criptografia”.

Fonte: CIO

Read More

Conheça a FREAK, a mais nova falha séria de criptografia na web

Especialistas em segurança estão alertando os usuários uma falha séria que aparentemente passou anos sem ser detectada e pode enfraquecer as conexões criptografadas entre computadores e sites, potencialmente debilitar a segurança na web.

A vulnerabilidade, que foi apelidada de FREAK (de “Factoring attack on RSA-EXPORT Keys”), afeta o protocolo amplamente usado SSL (Secure Sockets Layer) e seu sucessor TLS (Transport Layer Security), e pode permitir que um invasor intercepte tráfego supostamente criptografado à medida que ele se move entre clientes e servidores.

A falha foi descoberta por Karthikeyan Bhargavan, do INRIA, um instituto francês de pesquisas em ciência e tecnologia, e pela Microsoft Research. Um documento técnico descrevendo o FREAK deve ser apresentado na conferência de Segurança e Privacidade, da IEEE, em San Jose, na Califórnia.

A falha afeta muitos sites conhecidos, assim como programas, incluindo o navegador Safari, da Apple, e o sistema Android, Google, segundo os especialistas em segurança. Os aplicativos que usam uma versão do OpenSSL anterior a 1.0.1k também estão vulneráveis ao bug.

Um porta-voz da Apple anunciou nesta terça-feira, 3/3, que atualizações de sistema para o iOS e o OS X serão lançadas na próxima semana. O Google afirmou que distribuiu um patch para seus parceiros que protegerá a conexão do Android com sites vulneráveis.

O problema tem origem nas restrições de exportação impostas pelo governo dos EUA no começo dos anos 1990, que proibiam os fabricantes de software de enviar produtos com uma forte criptografia para fora do país, afirmou o professor de ciência da computação da Universidade de Princeton, Ed Felten.

Isso significa que algumas empresas enviavam uma versão dos seus produtos com chaves de criptografia mais fracas para uso em outros países. Quando a lei foi alterada e tornou-se legal exportar a criptografia mais forte, “o recurso do modo de exportação não foi removido do protocolo porque alguns softwares ainda dependiam disso”, disse Felten.

A vulnerabilidade que ficou conhecida agora essencialmente permite aos invasores fazer downgrade da segurança das conexões da criptografia forte para aquela mais fraca, “para exportação”.

Servidores e aparelhos que usam o OpenSSL, um programa de criptografia open-source, estão vulneráveis, incluindo muitos aparelhos do Google e Apple, sistemas embutidos e outros produtos, segundo um aviso. Servidores ou clientes que aceitam os pacotes RSA_EXPORT também estão em risco.

É possível fazer o downgrade das chaves ao realizar um ataque man-in-the-middle que interfere com o processo de configuração de uma conexão criptografada. Apesar de existirem defesas no protocolo SSL/TLS para evitar isso, elas podem ser burladas. A chave mais fraca de 512-bit pode ser revelada usando os computadores poderosos de hoje em dia, e o tráfego de dados pode então ser “descriptografado”.

Os protocolos atuais usam chaves de criptografia maiores, e o padrão é RSA 2048-bit. As chaves de 512-bit eram consideradas seguras há 20 anos, mas um invasor poderia recuperar a chave que precisava muito facilmente hoje em dia usando um serviço de nuvem público.

“Nos anos 1990, isso teria exigido uma computação pesada, mas hoje leva cerca de sete horas no Amazon EC2 e custa cerca de 100 dólares”, afirmou Felten.

Por tudo isso, as empresas estão se mexendo para resolver o problema o mais rápido possível.

Fonte: IDG Now!

Read More

Google mantém pressão e revela mais 3 bugs do Windows

A equipe de segurança do Google revelou três novos bugs do Windows na última sexta-feira, 16/1, mantendo a pressão para a Microsoft corrigir as falhas do sistema em até 90 dias.

No entanto, a Microsoft disse que nenhum desses bugs será solucionado com um update de segurança.

Desde 29/12, o Project Zero, do Google, revelou diversos bugs no Windows antes de a Microsoft conseguir corrigi-los. O Project Zero é composto de vários engenheiros de segurança do Google que investigam não apenas o próprio software da empresa, mas também de outras companhias. Após informar uma falha, o Proect Zero começa uma contagem regressiva de 90 dias, e então publica automaticamente detalhes e amostras do código de ataque caso a vulnerabilidade não tenha sido solucionada.

Uma das primeiras revelações feitas pelo Google fez com que a Microsoft detonasse a empresa de Mountain View por supostamente colocar em risco os usuários do Windows.

O Google retirou as restrições de visualização dos três bugs mais novos na sexta-feira, tornando públicos os detalhes do rastreador de bugs do Project Zero após a Microsoft afirmar que não tinha a intenção de resolver os problemas.

“A Microsoft concluiu que o problema não atende à sua barra de boletim de segurança. Eles afirmam que exigiria muito controle por parte do invasor”, afirma o rastreador de um dos bugs.

O Google informou três bugs para a Microsoft nos dias 27/10, 5/11, e 10/11, e os classificou como falhas de revelação de informação ou possível elevação de vulnerabilidades de privilégios.

Pelo sistema padrão de classificação de ameaças da Microsoft, nenhuma dessas três teria ficado numa classificação acima de “Importante”, a segunda mais importante da lista.

De qualquer, a Microsoft não irá liberar patches para nenhum desses três bugs. “Os casos liberados publicamente não oferecem nenhuma implicação séria de segurança, e não planejamos resolvê-las com updates de segurança”, afirmou um porta-voz da Microsoft.

Fonte: IDG NOW

Read More

Google ignora pedidos da Microsoft e publica 3ª falha do Windows em um mês

O Google ignorou os pedidos da Microsoft por prazos mais flexíveis para a divulgação de vulnerabilidades e liberou detalhes de mais uma falha sem solução do Windows, que deve deixar os usuários expostos pelos próximos 25 dias.

A nova vulnerabilidade, que foi confirmada no Windows 7 e 8.1, pode constituir uma alternativa ao recurso de segurança pela maneira como as aplicações podem criptografar suas memórias para que os dados possam ser trocados entre os processos sendo rodados na sessão com o mesmo logon.

“O problema é que a implementação em CNG.sys não verifica o nível de personificação do token ao capturar a sessão de logon ID (usando SeQueryAuthenticationIdToken) para que um usuário normal possa personificar em nível de identificação e criptografar ou descriptografar os dados para essa sessão de logon”, afirmaram os pesquisadores do Google Project Zero em uma descrição da falha. 

Segundo o Project Zero, a Microsoft foi notificada sobre a vulnerabilidade em 17 de outubro de 2014 e inicialmente planejava liberar uma solução na sua Patch Tuesday de janeiro, que foi liberada há alguns dias. No entanto, o patch precisou ser adiado por problemas de compatibilidade.

Os pesquisadores do Google não ficaram comovidos com isso e mantiveram seu prazo de revelação pública de 90 dias, publicando os detalhes da falha e um exploit de prova de conceito nesta quinta-feira, 15/1.

Agora é esperado que a solução esteja entre os updates de segurança da Microsoft programados o próximo dia 10 de fevereiro, apesar de não existirem garantias que o patch não possa ser adiado mais uma vez.

É claro que a Microsoft tem a opção de liberar um patch fora dessas Patch Tuesdays, mas a empresa raramente faz isso e, quando isso acontece, geralmente é para chamadas falhas críticas que estejam sendo exploradas ativamente por criminosos. 

Essa é a terceira vulnerabilidade que os pesquisadores do Project Zero liberaram publicamente no último mês porque a Microsoft não conseguiu liberar soluções antes do prazo de 90 dias imposto pelo Google.

Fonte: IDG Now!

Read More

USB Driveby: Hackeando um computador por menos de 20 dolares

O projecto USBdriveby foi inicialmente desenhado para OS X mas pode ser adaptado a Windows ou Linux. com apenas 20 dólares, em hardware, podes ter acesso ao computador alheio.

O USBdriveby foi criado por Samy Kamkar e tem como objetivo entrar num computador alheio. Basta o computador estar ligado e… já está.

O hardware é barato e o método explicado em grande detalhe na página do projeto e neste vídeo:

Este dispositivo permite alterar os DNS (alterando para um DNS teu consegues efetivamente saber o tráfego que um determinado computador está fazendo) bem como alterar propriedades da máquina, escrever comandos “invisíveis” e mexer o mouse do computador.

Isto é possível porque o código faz com que o dispositivo USBdriveby se disfarce de um mouse e/ou um teclado, e este tipo de dispositivos não precisam de “autorização” para serem executados como dispositivos USB na maioria dos sistemas operacionais.

Interessado? Na página do projeto pode encontrar o material necessário para comprar (hardware) e o código.

E o melhor de tudo… é que pode se usar com uma corrente no pescoço. Pouca gente vai descobrir para que é que isto serve.

E ai, que tal?

Fonte: Hackers Portugal

Read More

Ameaças que abalaram a confiança do mercado em 2014

A McAfee selecionou as principais ameaças identificadas em 2014. A provedora de ferramentas de segurança classifica o período como “o ano da confiança abalada”,  devido a série de eventos noticiados. A  companhia elaborou uma lista com os casos mais emblemáticos. Confira:

Heartbleed - Na avaliação da fabricante, a vulnerabilidade no código OpenSSL que  colocou em risco as informações pessoais de milhões de usuários da internet foi uma das ameaças mais impactantes do ano. Estima-se que o Heartbleed afetou até dois terços de todos os sites.

BERserk - Trata-se de uma vulnerabilidade grave de falsificação de assinatura na biblioteca de criptografia Mozilla NSS (Network Security Services), que pode permitir que pessoas mal-intencionadas criem sites fraudulentos, disfarçados de empresas e outras organizações legítimas. Com a descoberta do BERserk, aparentemente,  os hackers podem burlar a autenticação em sites que utilizam os protocolos SSL/TLS, o que significa que sites considerados livres de perigo talvez não sejam assim tão seguros. Se o usuário estiver realizando compras ou transações bancárias em um site que usa SSL (ou "https://"), é possível que as informações pessoais estejam expostas.

Shellshock - Uma nova e perigosa vulnerabilidade que permite que hackers ou qualquer pessoa que saiba programar um código rudimentar carregue, exclua e essencialmente tome posse de um dispositivo remotamente. O Shellshock permite ainda que os hackers ataquem diretamente servidores, roteadores e computadores que compartilham atributos comuns. A distinção entre hosts vulneráveis e realmente expostos se torna fundamental neste caso.

Outras constatações
A McAfee identificou comportamentos no cenário de ameaças. As principais estatísticas levantadas ao longo do ano foram:

Dispositivos móveis: O número total de amostras de malwares para dispositivos móveis ultrapassou cinco milhões no terceiro trimestre de 2014, aumento de 16% neste trimestre e de 112% em relação ao ano anterior.

Ransomware (vírus sequestrador): O volume de ransomware teve um aumento de um milhão de novas amostras neste ano. No entanto, esta ameaça passou por um período de repouso, pois o número de amostras de ransomware caiu por três trimestres seguidos; mas isso não surpreendeu os pesquisadores porque esse número voltou a crescer.

URLs suspeitos: Novos URLs suspeitos estabeleceram um recorde de três meses, com mais de 18 milhões, um aumento de 19% no quarto trimestre de 2014 comparado ao mesmo período de 2013 e o quarto aumento trimestral seguido.

Malware assinado: Novos binários maliciosos assinados continuam sendo uma forma comum de ataque, apenas no primeiro trimestre de 2014 o aumento foi de 49%.

Redes de bots e garimpagem de moedas: A fabricante constatou a inclusão de recursos de garimpagem de moedas virtuais nos serviços dos provedores de redes de bots, o que reflete a popularidade crescente de moedas digitais como o Bitcoin.

Fonte: Computer World

Read More

Microsoft libera 14 patches de segurança para o Windows

A Microsoft liberou nesta terça-feira, 11/11, soluções para 14 vulnerabilidades no Windows, no Office e no Internet Explorer, incluindo quatro classificadas como críticas.

Todos os quatro bugs críticos poderiam permitir que invasores executassem programas remotamente em um sistema direcionado, algo que já permitiu a hackers roubarem informações pessoas como senhas ou “tomar” máquinas para enviar spam.

Os patches foram liberados como parte da já conhecida atualização mensal de segurança da empresa, chamada “patch Tuesday”. Originalmente, a empresa tinha planejado entregar 16 updates, mas dois estão marcados informando que ainda vão chegar.

De qualquer, essas 14 soluções representam um recorde mensal para os anos de 2013 e 2014 na Microsoft.

Elas incluem um problema com o Windows Object Linkind and Embedding que pode permitir a execução remota de código se o usuário visitar um site contendo código malicioso. Se o usuário estiver logado como o administrador, o criminoso pode ganhar a habilidade de instalar programas e alterar e apagar dados. Um patch relacionado para o Internet Explorer soluciona a vulnerabilidade com sites maliciosos e 16 outros problemas com o software, segundo a Microsoft.

Um update de segurança para o Microsoft Secure Channel no Windows soluciona um problema que deixa o Windows Server vulnerável a ataques. O quarto patch crítico arruma um “buraco” no Windows que permite a criminosos invocarem Microsoft XML Core Service de um site malicioso e então executar remotamente um código em um sistema.

Outras sete soluções são marcadas como importantes – a segunda classificação mais alta para a Microsoft.

Fonte: IDG NOW!

Read More

Book Review: The Web Application Hacker's Handbook

Sinopse

O livro de maior sucesso de segurança retorna com uma nova edição completamente atualizado! Aplicações Web são a porta de entrada da maioria das organizações, pode-se ataca-las para conseguir alguma informação pessoal, executar transações fraudulentas, ou comprometer os usuários. Este livro prático foi completamente atualizado e revisado para passar as mais novas técnicas, passo a passo, para atacar e defender uma gama de aplicações web e serviços que ainda estão em plena evolução. Você vai explorar diversas novas tecnologias empregadas em aplicações web que apareceram desde a primeira edição e ver alguns dos novos ataques que foram desenvolvidos, principalmente do lado do cliente.

• Revelamos como burlar as mais novas tecnologias e técnicas para defender as aplicações web contra esses ataques.
• Discussões sobre os novos frameworks como por exemplo HTML5, técnicas de integração cross-domain, framebusting, Paramentros HTTP, redirecionamento de interfaces de usuário, ataques híbridos e muito mais.
• Uma aplicação web vulnerável hospedada pelos autores para permitir que os leitores testem os ataques descritos, respostas para os questionários presentes no final de cada capitulo e com uma metodologia de rápido aprendizado.

Focado na área de segurança de aplicações web, principalmente onde as coisas mudaram nos últimos anos, este livro é o recurso mais recente para o aprendizado de descoberta, exploração e prevenção de falhas em aplicações web.

Traduzido e adaptado da Amazon

Review

Então, como muitos devem ter visto no grupo do Facebook da Brutal Security, eu recebi a alguns dias dois livros que comprei recentemente, um deles este que estou fazendo review. A sinopse afirma que veremos novas técnicas e muita prática. Isso é verdade, temos muita coisa nova, algumas até bem complexas de entender, mas o livro é muito bom e os capítulos são bons de ler, muito pouco daquele "tecniquês" cheio de termos e textos complexos. Mas não se preocupe, o livro também tem os clássicos SQLi, XSS e outros, para você que está começando ou tem uma noção. Sobre o livro ser todo prático não é bem assim, cerca de metade do livro (algo próximo de 500 páginas) é quase 100% teórico, o que não é uma coisa ruim, já que a idéia do livro é ensinar o leitor a entender, detectar, explorar e defender falhas em aplicações web. Se fosse só prático o livro formaria apenas utilizadores de ferramentas, o que é algo muito ruim, já temos muitos script kiddies por ai. :D

The Web Application Hacker's Handbook é bem focado, tendo um capítulo de muitas páginas para cada tipo de falha (são uns 12 capítulos), e como comentei antes, metade é teórico para o leitor entender porque aquilo acontece e como identificar, para poder detectar em todo tipo de caso, diferente dos tutoriais que temos na internet que mostram um caso isolado onde aquilo só funciona daquele modo, se um detalhe mudar, os "atacantes" não saberão o que fazer.

Outro ponto fenomenal do livro é a aplicação web que os autores disponibilizaram para os leitores. No livro, ao final da explicação de cada falha você verá uma URL para a aplicação vulnerável com a falha relacionada ao que você leu para poder testar as técnicas que aprendeu. O diferencial é a quantidade de variantes que eles possuem e a similaridade com a realidade. Claro, no início do livro as falhas são bem simples e bobas, você acha que no mundo real não é assim (as vezes é viu...), mas com o avanço no livro as técnicas vão ficando bem complexas, similar a o que temos hoje por ai em ecommerces e web banking. E uma última coisa, ao final de cada capítulo existe um questionário caso queira testar seus conhecimentos, as respostas das perguntas estão no mesmo site das falhas.

Finalizando, super recomendo esse livro. Já tinha ele em formato digital a muito tempo mas nunca tinha lido mais do que o primeiro capítulo, nunca tinha me chamado a atenção, até que fiquei completamente desconectado e sem o que fazer e encontrei ele na biblioteca da facul. Comecei a ler lá mesmo e cheguei na metade, foi o suficiente para comprar o livro para terminar de ler e ter em casa para consultas futuras. O livro é bom para pessoas que estão começando na área, pessoas que já tem um certo conhecimento e para o pessoal que já manja, mas quer dar uma atualizada nos conhecimentos.

Como de costume, segue o link para a Amazon. Aproveitando, o livro está com um precinho muito bom lá, em lojas do Brasil pode chegar (e até passar) de R$ 200,00 então corre lá!

Read More

Recompensas por bugs, uma boa idéia mas mal executada

Recompensas de bugs estão nas notícias novamente. O Twitter anunciou o seu próprio novo esquema, enquanto Robert Graham, da Errata Security reivindica que é mais provável a perda de dados pessoais se o prestador de serviços não tem um programa de recompensas. As recompensas do Twitter começam em $140 (sem limite máximo especificado), enquanto Graham (perito) afirma que a falta de um programa indica que a empresa violada não fez tudo o que podia para evitar a falha.

O ponto de vista de Graham implica que recompensas por bugs são um processo eficaz de segurança. As recompensas do Twitter tentam mostrar que esses programas não precisam ser caros. Mas isso pode ser levado como verdade? Veja a opinião de Ilia Kolochenko, CEO e fundador da High-tech Bridge, uma empresa especializada em testes de invasão e descoberta de vulnerabilidades.

"Bug bounties, podem ser uma ferramenta extremamente efetiva se for implementada e operada corretamente. O problema, é a dificuldade de encontrar e a raridade que é obtida, pode-se fazer mais mal que bem."

"O maior problema é que quando um programa desses é iniciado, hackers de todos os tipos, qualificações e ética consideram como um sinal verde para atacar o sistema. A maioria destes atacantes normalmente tem conhecimentos limitados ou completamente nenhum conhecimento em testes de segurança, e podem acabar danificando o sistema em quanto testam. Checar por XSS por exemplo não causa dano, e mesmo sem o programa de bugs é sempre uma boa idéia notificar o desenvolvedor", disse Kolochenko. "Mas em testes mais perigosos como SQLi por exemplo, se o pesquisador não tiver conhecimento do que pode e não pode fazer, pode sem intenção deletar alguma coisa ou tornar o sistema completamente instável. E isso que nem estou falando sobre ferramentas automáticas e scanners que causam sérios danos se usados de forma errada. Neste caso, é que a maioria dos hackers usam diversas ferramentas de scan de vulnerabilidades ao mesmo tempo, bombardeando o alvo de testes de segurança."

Em muitos casos e locais, o scan por SQLi, por exemplo, pode ser considerado ilegal. A presença de um programa de recompensa, por outro lado, remove completamente essa restrição, dando acesso a hackers mais maliciosos e de baixo conhecimento. Kolochenko também comenta que pesquisadores de segurança não veem isso como um trabalho, podem fazer isso em busca de reconhecimento, por diversão ou a nível de desafio, mas dificilmente seu trabalho principal.

Um exemplo disso é o próprio Twitter. Como comentou Kolochenko, o Twitter não é um CMS qualquer que qualquer pessoa pode auditar facilmente, é um sistema que requer experiência, qualificações e muito tempo. Também comenta que não conhece nenhum pesquisador de segurança que trabalhe por $140. Com isso pode afirmar que as pessoas que submetem bugs encontrados estão fazendo por fama ou desafio.

Outro exemplo usado por Kolochenko é o programa do Yahoo que paga a cada falha encontrada cerca de $50, podendo ser convertida em créditos da Yahoo Store, como o caso do pesquisador que encontrou uma falha de XSS no Yahoo e ganhou cerca de $12 na loja, ou seja, uma camiseta com o logo do Yahoo.

De acordo com pesquisas, um pentester ou pesquisador de segurança nos EUA ganha em torno de $60.000 a $120.000 dólares por ano, e Kolochenko conclui que para o negócio de bug bounties atrair pesquisadores mais sérios, as recompensas tem de serem maiores o suficiente para chegar próximo de um valor aceitável para viver disso para que chame a atenção de times de pesquisa de segurança.

Fonte: Net-security

Read More

Sistemas Linux vulneráveis estão sendo utilizados para ataques DDoS

Servidores web vulneráveis baseados nos sistemas Linux tem sido utilizados em botnets para ataques DDoS. A Akamai Technologies está alertando empresas para ameaças de alto risco ao Iptables e Iptablex nesses sistemas. Segundo o relatório da Akamai, a infestação em massa do Iptables e Iptablex parece estar sendo ocasionada por sistemas Linux desatualizados, comprometidos principalmente por exploits de Apache, Tomcat e Elasticsearch.

Atacantes tem utilizado as vulnerabilidades, presentes nos servidores que estão sem manutenção, para ganhar o acesso, escalando os privilégios de modo a obter controle remoto da máquina, e então instalar códigos maliciosos no sistema e executá-los. A indicação de que o sistema foi comprometido é a existência de um arquivo nomeado .Iptables ou. Iptablex localizado no diretório /boot.

O malware também possui um mecanismo de atualização, fazendo com que o sistema infectado tente contatar dois endereços IP localizados na Ásia. Segundo Stuart Scholly, membro da unidade de segurança da Akamai, os administradores de sistemas Linux precisam tomar conhecimento dessas vulnerabilidades para tomarem ações que protejam seus servidores.

Maiores informações através do link.

Fonte: SegInfo

Read More

RIPS: Analisador de vulnerabilidades em PHP

RIPS é uma ferramenta desenvolvida para encontrar vulnerabilidades em aplicações PHP usando análise de código estático. O RIPS pode detectar desde funções vulneráveis até tentativas de usuários maliciosos de alterar o código a construção da aplicação.

A ferramenta está atualmente com o desenvolvimento interrompido, uma nova versão está sendo trabalhada mas apenas como protótipo acadêmico no momento, não disponível publicamente, mas mesmo assim vale dar uma olhada no que tem disponível.

Segue algumas features da ferramenta que está pública no momento:

vulnerabilities

• Code Execution
• Command Execution
• Cross-Site Scripting
• Header Injection
• File Disclosure
• File Inclusion
• File Manipulation
• LDAP Injection
• SQL Injection
• Unserialize with POP
• XPath Injection
• ... other

code audit interface

• scan and vulnerability statistics
• grouped vulnerable code lines (bottom up or top down)
• vulnerability description with example code, PoC, patch
• exploit creator
• file list and graph (connected by includes)
• function list and graph (connected by calls)
• userinput list (application parameters)
• source code viewer with highlighting
• active jumping between function calls
• search through code by regular expression
• 8 syntax highlighting designs
• ... much more

static code analysis

• fast
• tokenizing with PHP tokenizer extension
• taint analysis for 232 sensitive sinks
• inter- and intraprocedural analysis
• handles very PHP-specific behaviour
• handles user-defined securing
• reconstruct file inclusions
• detect blind/non-blind exploitation
• detect backdoors
• 5 verbosity levels
• over 100 testcases
• ... much more

Para mais informações visite a página oficial do RIPS.

Dowload do RIPS.

Read More

Site da Fifa tem brecha

Uma plataforma chamada Scorpyn Ticket Scanner foi criada por hackers para "furar a fila" dos compradores de ingresso que desejam assistir as partidas da Copa do Mundo da Fifa.


O aplicativo avisa aos compradores, via smartphone ou computador, quando novos lotes de ingressos estão disponíveis para compra, com minutos de antecedência, segundo prometia o site.

O processo, testado pela Veja, funciona da seguinte forma:

Os usuários cadastrados no programa recebem avisos com ofertas de ingressos em seus smartphones ou computadores em qualquer lugar do mundo.

Ao aceitar a oferta, a pessoa é colocada, automaticamente, dentro da página de compra de ingressos da Fifa para finalizar a transação.

Do ponto de vista do consumidor, a ação não se configura em um crime, já que a compra é 100% legal, dentro das regras estabelecidas pela Fifa.

No entanto, ao entrar na disputa de ingressos por meio de um programa que não seja o oficial, a pessoa infringe a proteção das informações de quem compra e fere o discurso de total segurança da entidade.

Em coletiva no Maracanã, Delia Fischer, chefe do departamento de comunicação da Fifa, disse que a entidade está apurando o caso.

Ainda segundo a reportagem, a Fifa diz que há vários sites criados para tentar adquirir ingressos de maneira privilegiada, mas que "não é possível fazer essa compra por meio de nenhum outro portal que não seja o da entidade".

No início da tarde desta sexta, 20, o site do Scorpyn Ticket Scanner estava fora do ar. Um recado com fundo branco agradece aos usuários e diz: "Vejo vocês em 2018!".

Na quinta-feira, 19, a Fifa indicou que a saída precoce da Espanha e outras seleções, da Copa do Mundo, pode provocar uma nova leva de ingressos à venda no site, por conta de cancelamento de torcedores que programaram uma estadia mais longa no Brasil e foram pegos de surpresa com o desempenho de suas equipes.

De acordo com os números divulgados pela entidade, no momento restam 7.874 ingressos à venda, mas são poucas as partidas com lugares disponíveis. No total, 3.017.024 entradas já foram vendidas, mas 187.060 ainda não foram recolhidas pelos torcedores.

SEGURANÇA

O que se discute dentre os especializados no assunto é que há uma falha de segurança nos bancos de dados da Fifa.

O sistema que gerencia a venda de ingressos para jogos da Copa de 2014 é fornecida por uma das empresas de internet mais respeitadas dos Estados Unidos, a Akamai Technologies, com sede em Cambridge, Massachusetts, que também tem como clientes empresas como Microsoft, Yahoo!, MySpace e NBA, a bilionária liga americana de basquete.

Como não há nenhuma relação ou parceria entre Fifa e Scorpyn, é possível afirmar que os hackers tiveram acesso ao sistema que deveria ser seguro e, a partir disso, passaram a ter informações do banco de dados de ingressos da Fifa.

“Se é possível ter acesso ao banco de dados de ingressos, provavelmente há uma brecha para visualizar também o conteúdo de cadastros de quem compra. É uma falha de segurança seríssima”, avalia um dos dois especialistas em segurança da internet consultados pela reportagem.

Fonte: Baguete

Read More

“TrueCrypt não é seguro” – afirma página oficial

Uma das ferramentas de código aberto mais conhecidas para encriptação de dados foi descontinuada e seu uso é desencorajado pelos desenvolvedores.

Mesmo depois de um investimento forte em auditorias, através de uma chamada pública, que até mês passado, em sua primeira etapa, não revelou a existência de nenhum backdoor, desenvolvedores fizeram modificações que alertam sobre riscos em seu uso, na última versão lançada da ferramenta.

A página oficial informa os riscos associados ao uso em dados sensíveis e fornece informações de como migrar os dados para outras aplicações em ambientes Windows e Mac.

Mais informações em: Arstechnica.

Read More

Como encontrar alvos vulneráveis usando o Shodan

Normalmente hackers mal intencionados não tem um alvo específico em mente, apenas buscam por algo vulnerável e fácil de invadir. Não seria bom para eles se tivessem um motor de busca como o Google para achar esses alvos? E existe, se chama Shodan!

O que é o Shodan

Muitos descrevem o Shodan como o search engine para hackers, e o chamam de "Search engine mais perigoso do mundo". Foi desenvolvido por John Matherly em 2009, e diferente de outros motores de busca, ele indexa apenas informações sensíveis que podem ser úteis.

Shodan pesquisa por banners de serviços em servidores e dispositivos na internet, maioria em porta 80, mas também portas 21 (ftp), 22 (ssh), 23 (telnet), 161 (SNMP), e 5060 (SIP).

O que o Shodan pode mostrar

Já que qualquer novo dispositivo tem uma interface web (até mesmo seu refrigerador novo) para gerenciamento remoto, podemos acessar inúmeros web serves, dispositivos de rede, sistemas de segurança, etc.

Shodan pode encontrar webcams, sinais de trânsito, projetores, roteadores, sistema de aquecimento residencial, e até sistemas SCADA, que se você não sabe, controla usinas nucleares e empresas de energias. Se tem uma interface web o Shodan pode encontrar!

Mesmo que a maioria desses sistemas use a porta 80 usando HTTP, alguns podem usar telnet ou outros protocolos em outras portas. Lembre disso se for tentar conectar em algo...

Passo 1: Criar uma conta no Shodan

Antes de mais nada, vamos precisar de uma conta no site. Acesse shodanhq.com e você verá uma tela parecida com essa:

Passo 2: Pesquisar no Shodan

Assim que terminar o processo de registro, podemos pesquisar o que queremos na barra de busca ou podemos ir para o "Search Directory" e ver as buscas mais comuns e recentes. Se você é novo no Shodan, recomendo que vá no "Popular Searches" primeiro.

Passo 3: Encontrar Webcams desprotegidas

Um dos principais dispositivos que podemos encontrar no Shodan são inúmeras, desprotegidas, webcams e câmeras de segurança. Está é uma das que pode ser encontradas no site. Uma câmera de segurança de um hangar da Noruega. Note que temos o controle de movimento e zoom na tela, então ainda podemos mover e dar zoom na imagem.

Passo 4: Encontrando Sinais de trânsito

Outra coisa muito interessante que pode ser encontrada no Shodan são dispositivos de trânsito como sinaleiras e câmeras que detectam as placas dos carros para identificar para quem mandar as multas.

Muito cuidado! Hackear sistema de trânsito pode causar alguma fatalidade, sem falar que é ilegal.

Passo 5: Encontrar roteadores

O Shodan tem um catálogo de milhares, se não milhões, de roteadores, a maioria deles não está nem protegido. Aqui está uma foto de um que foi encontrado e acessado com a combinação de usuário e senha "admin/admin".

Obviamente, se eu tivesse intenções maliciosas, poderia mudar as configurações do roteador e até redirecionar o tráfego dessa rede, interceptando tudo que passa pelos usuários.

Passo 6: Encontrando sistemas SCADA

Sistemas SCADA são normalmente atacados com o objetivo de cyber terrorismo. Com uma pesquisa rápida pode-se encontrar, por exemplo, o IP de uma hidreletrica de Genoa, Itália.

Clicando no link na página, cai direto na página de login da hidreletrica.

Imagine o estrago se o usuário e senha desse painel fosse "admin/admin".

O Shodan também tem filtros nas buscas como por exemplo, tipo de dispositivo, login, porta, e até localização geográfica.

Fonte: Null-Byte

Read More

Heartbleed: o bug que faz o SSL sangrar...

No dia 07/Abril foi divulgado um bug muito sério no OpenSSL, batizado de Heartbleed(CVE-2014-0160), que é causado por uma falha de implementação no TLS que permite ao atacante obter dados da memória do servidor.

Explorando essa vulnerabilidade, um atacante consegue obter vários blocos aleatórios da memória do servidor SSL, de 64 KB de tamanho cada, e assim remontar esses blocos de dados e ter acesso aos dados que estão sendo tratados pelo servidor, tais como os dados criptografados na navegação do usuário (mensagens, senhas, etc) e até mesmo as próprias chaves de criptografia utilizadas pelo servidor.

O Bruce Schneier (pausa para babação de ovo) considerou o bug do Heartbleed como uma vulnerabilidade catastrófica ("de 0 a 10, merece 11"). 

Mas não é para menos, pois essa vulnerabilidade na biblioteca criptográfica do OpenSSL afeta milhões de servidores web em todo o mundo, uma vez que o OpenSSL é utilizado nos servidores Apache e nginx, dois dos softwares mais populares para servidores web: os dois juntos representam cerca de 66% dos sites ativos na Internet. Além disso, o OpenSSL é usado para proteger servidores de e-mail, é usado em redes privadas virtuais (SSL VPNs), e até mesmo em dispositivos de rede e diversos outros softwares.Segundo estimativas da Netcraft, 17,5% dos servidores SSL em todo o mundo estão vulneráveis ao bug, representando cerca de meio milhão de sites.

Oh! E agora, quem poderá nos defender?

• O pessoal do OpenSSL publicou um pequeno Advisory que indica quais são as versões vulneráveis: 1.0.1 e 1.0.2-beta, incluindo todas as versões até 1.0.1f e 1.0.2-beta1.
• Para corrigir o problema, deve-se fazer o upgrade para a versão 1.0.1g ou recompilar o seu OpenSSL com a opção -DOPENSSL_NO_HEARTBEATS
• Teste se a sua versão do OpenSSL é vulnerável
• O site do Heartbleed tem muita informação sobre o bug em formato de uma longa FAQ
• O Sandro Suffert publicou uma lista com vários detalhes e dicas

Fonte: AnchisesLandia

Read More

Seguradoras afirmam que ciberdefesa de empresas de Energia são “muito fracas”

Uma reportagem feita pela BBC aponta que empresas de Energia estão sendo recusadas na cobertura de seguro para ataques cibernéticos, porque as suas defesas estão sendo caracterizadas como “fracas”. Houve um aumento na demanda por cobertura de seguradores para empresas de Energia, mas as avaliações de especialistas em ciberdefesa concluíram que as proteções são inadequadas.

Mike Assante, que ajudou a desenvolver normas de segurança cibernética para serviços públicos nos EUA, e agora ajuda a ensinar o pessoal de TI em como defender uma infraestrutura crítica, incluindo redes de energia, disse que “infelizmente não é surpreendente” que as seguradoras se afastem de empresas de Energia.

As pressões financeiras e a capacidade de gerenciar sistemas remotamente, foi dando aos atacantes brechas que poderiam ser usadas, disse Nathan McNeill, diretor de estratégia da empresa de gerenciamento remoto Bomgar. Esta infraestrutura crítica é deixada exposta porque, normalmente, os sistemas de controle para tal hardware foram desenvolvidos muito antes da idade da web, e ferramentas de segurança eram apenas rudimentares, acrescentou.

Ed Skoudis, que dirige “War Games” para equipes de TI e de segurança em muitos serviços públicos dos EUA, diz: é surpreendente que não tenha acontecido grandes incidentes dada a fraca infraestrutura.

Veja a notícia completa aqui. (via @filipebalestra)

Fonte: SegInfo

Read More

O banco Flexcoin de bitcoins fecha após roubos de $610.000

No entanto, outra instituição Bitcoin teve seus cofres drenadas por hackers e será forçado a encerrar como resultado.

Auto- denominado "Banco Bitcoin" Flexcoin tem dito aos seus clientes que o roubo de seus Bitcoins, no valor de 610.000 dólares ( £ 366,000 ), tem levado a empresa ao longo de um penhasco. A partir de agora, o site disse que vai ser desligar e suspender o seu serviço.

De acordo com Flexcoin , o assalto ocorreu em 2 de março, quando os hackers foram capazes de atacar e remover 895 BTC armazenados em carteiras online da empresa. Você pode acompanhar o movimento da crypto moeda roubada aqui e aqui.

"Como Flexcoin não tem os recursos ativos, ou de outra forma de voltar a partir desta perda, estamos fechando nossas portas imediatamente", disse o biz.

É importante ressaltar que Flexcoin também manteve BTC de alguns clientes em carteiras "frias" , que são armazenados off-line e fora do alcance dos hackers. A empresa disse que os fundos armazenados nessas carteiras frias não foram comprometidos, e podem ser recuperados por meio de um processo de verificação de identidade.

Outros usuários, no entanto, estão sendo direcionados para a página Termos de Serviço, no qual se constata que a empresa (o que sobrou dele) não é responsável pela perda de Bitcoin Flexcoin.

Divulgando-se como tendo resolvido "quase todos os problema que existe com a moeda Bitcoin hoje", Flexcoin tinha oferecido armazenamento "quente" e "frio", bem como serviços de processamento para os comerciantes que querem aceitar transações Bitcoin. A empresa havia tentado ganhar dinheiro com a cobrança das taxas de determinadas transações, mas também ofereceu transporte gratuito Bitcoin-a-Bitcoin.

A paralisação marca a segunda vez em poucas semanas uma troca Bitcoin foi forçado a desligar depois de ter sido invadida por hackers.

Após semanas de especulações e protestos de usuários, a troca MtGox finalmente admitiu ao processo de falência. Essa empresa deixou em aberto uma vulnerabilidade conhecida em seus sistemas de manuseio de Bitcoin que permitiram que um ou mais atacantes para furtar cerca de 750 mil Bitcoins e deixar o local com uma dívida de US $ 63.8m.

Flexcoin disse em fevereiro que não foi afetado pelo ataque a MtGox.

Fonte: The Register

Read More

Estudo mostra que usar usuário limitado corta 92% das ameaças do Windows

A remoção de direitos de administrador do Windows nos usuários mitiga 92% das vulnerabilidades críticas e 60% de todas as vulnerabilidades relatadas pela empresa de software no ano passado, um estudo revelou.

O estudo realizado pela empresa de gestão Avecto analisou dados de boletins de segurança emitidos pela Microsoft ao longo de 2013.

O estudo mostrou que a remoção de direitos de administrador mitigaria 96% das vulnerabilidades críticas que afetam os sistemas operacionais Windows, 91% das vulnerabilidades críticas que afetam o Microsoft Office e 100% de vulnerabilidades no Internet Explorer.

A medida de segurança também mitiga 100% de vulnerabilidades de execução de código remoto críticos e 80% das vulnerabilidades críticas de divulgação de informações.

Usuários com administrador pode instalar, modificar e apagar arquivos e softwares, bem como alterar configurações do sistema.

O relatório disse que isso significa que se o malware infecta um usuário com direitos de administrador, pode causar danos no local, bem como em uma rede mais ampla.

"É surpreendente quantas vulnerabilidades podem ser superadas pela remoção de direitos de administrador", disse Paul Kenyon, co-fundador e vice-presidente executivo de Avecto.

No entanto, ele disse que muitas empresas ainda não estão plenamente conscientes de quantos usuários de administração que eles têm e, consequentemente, enfrentar uma ameaça de segurança desconhecido e não quantificado.

"A consciência da importância da gestão de privilégio está crescendo, mas precisamos chegar ao ponto em que é uma medida padrão para todas as organizações", disse Kenyon.

"Estes resultados deixam claro que a gestão de privilégio é um elemento crítico de uma estratégia de segurança de terminais que não pode ser ignorada", disse ele.

Fonte: Computer Weekly

Read More

[Pesquisa] 96% das aplicações testadas em 2013 possuíam vulnerabilidades

De acordo com relatório publicado pela Cenzic, 96% das aplicações testadas em 2013 possuíam uma ou mais vulnerabilidades de segurança. A mediana comparada ao ano anterior teve um aumento de 13 para 14 vulnerabilidades por aplicação.

Muitas destas vulnerabilidades encontradas são relativamente simples de serem detectadas, bloqueadas e corrigidas durante o ciclo de desenvolvimento por times de segurança.

No topo da lista de vulnerabilidades encontradas nas aplicações, testadas em 2013, está o XSS (Cross Site Scripting) com 25% do total das mais frequentes. Logo após encontra-se: Vazamento de informação (23%); Autenticação e autorização (15%); Gerenciamento de sessão (13%); Injeção de código SQL (7%).

Em relação aos aplicativos móveis, como existem mais dados disponíveis para dispositivos móveis, a importância da segurança de suas aplicações vem crescendo. Dentre as vulnerabilidades mais comuns encontradas em aplicações móveis, violação de privacidade e privilégios excessivos aparecem em mais de 80% das aplicações. Bala Venkat, CMO da Cenzic, afirmou que o crescimento de tecnologias emergentes e novas categorias de aplicativos – como a nuvem e aplicativos móveis – aumenta a complexidade do empenho em segurança.

Veja mais informações através do link.

Fonte: SegInfo

Read More