Nueva release de aircrack-ng

Acaba de lanzarse la nueva versión o candidata a versión de la suite aircrack-ng, llamada RC4 (release candidate 4), que según sus desarrolladores será posiblemente la última candidata a la versión definitiva, siempre y cuando no aparezcan muchos más bugs. Esta vez se ha hecho esperar más que en otras ocasiones, pero cuando la pruebe comprobaremos si ha sido el resultado de muchas correcciones necesarias.

Según la página oficial (www.aircrack-ng.org) éste es el registro de cambios de esta versión:

• airodump-ng: Decreased time before writing text files to 5 sec (instead of 20).
• airodump-ng: New option –output-format option (to replace –nocap): specify output files.
• airodump-ng: Fixed encryption tag value in kismet netxml files.
• airodump-ng: Sanitize essid before writing it into kismet netxml files.
• airodump-ng: Log manufacturer into kismet netxml files.
• aireplay-ng: Fake auth: reduce the number of ACKs to 2 per packet.
• aireplay-ng: Added possibility to stop sending fake auth requests after n retry failures.
• aircrack-ng: Fixed compilation on FreeBSD.
• aircrack-ng: Fixed aircrack-ng –help on OSX.
• airmon-ng: Updated iw download link (0.9.15).
• airmon-ng: Fix chipset detection for iwlagn (show “Intel 4965/5xxx” instead of “Unknown”).
• airmon-ng: Display a message when udev rename madwifi-ng VAPs.
• airmon-ng: sleep 1s instead of 0.1 (0.1 is not supported by all distro).
• airolib-ng: Fixed locked database counter.
• airdriver-ng: Updated to rt2570 k2wrlz v1.6.3
• airdriver-ng: Updated r8187 patch.
• aircrack-ng, airdecap-ng, ivstools, airodump-ng, airbase-ng, aireplay-ng, airtun-ng, packetforge-ng, tkiptun-ng: Added support for PPI captures support (Thanks to dragorn).
• airdecap-ng: Fixed segfault on some capture files.
• wesside-ng, easside-ng: “ERROR: Packet length changed while transmitting (XX instead of YY)” should finaly be fixed.
• All: Added compatibility file for functions like cpu_to_le32. That should fix compilation on a lot of OSes.
• All: Temporary fix to allow compilation with recent gcc (Error message: “dereferencing type-punned pointer will break strict-aliasing rules”). I hope it doesn't break anything. A cleaner fix will be applied later.
• INSTALLING: OSX patch for Intel CPU isn't required anymore
• INSTALLING: Updated instructions to compile sqlite on cygwin for 3.6.16.
• patches: Updated sqlite (v3.6.13) patch for cygwin.
• patches: Updated wlanng patch for 2.6.28.
• patches: Updated madwifi-ng patch to r4073
• packages: Fixed spec (RPM) file.
• GUI (windows): Use last used directory when selecting another file to crack.
• GUI (windows): Allow .pcap files too (next to .cap, …).

Observo que no ha habido correcciones ni cambios en la herramienta airserv-ng y sobre todo en airbase-ng, que tenía grandes necesidades. Veremos a ver, tras probarla. Aquí esté el link de descarga para linux: enlace. Como suelo hacer siempre, gracias al equipo de desarrollo de esta magnífica suite.

¿Quiere ser el dueño de un superordenador?

En estos días que oimos hablar tanto de supercomputación con la construcción y puesta en funcionamiento de nuevos ingenios con capacidades matemáticas inimaginables, podemos llegar a poseer esa misma capacidad mediante las redes de hackers malvados. Imaginad la capacidad de proceso de un nuevo ordenador... ahora imaginar la capacidad de proceso de tres millones de ordenadores interconectados. Mediante la programación avanzada de scripts, ¿qué podríamos encargarle a nuestra supercomputadora compuesta de más de tres millones de CPU's?

Pués simplemente de eso se trata: existen redes de tipo botnet, que manejan el control de estas cantidades ingentes de CPUs en forma de zombies. Un ejemplo publicado en un artículo de la página www.securitybydefault.com muestra un ejemplo de lás más conocidas:

• "Botnet Zeus: Emplea el troyano del mismo nombre y se está empleando por sus funciones de keylogger para sustraer información valiosa. PCs infectados: 3.6 millones

• Botnet Koobface: Emplea las redes sociales como Facebook o MySpace para distribuirse y su finalidad es convertir en zombies los equipos. PCs infectados: 2.9 millones

• Botnet TidServ: Emplea técnicas clasicas para distribuirse (SPAM) y tiene capacidades de rootkit para ocultarse en el sistema, su objetivo hacer zombies. PCs infectados: 1.5 millones

• Botnet Trojan.Fakeavalert: Empleada para distribuir antivirus de tipo 'rogue', PCs infectados: 1.4 millones

• Botnet TR/Dldr.Agent.JKH: Empleada para hacer fraudes de tipo click. PCs infectados: 1.2 millones

• Botnet Monkif: Empleada para secuestrar navegadores mediante BHO. PCs infectados: 520.000

• Botnet Hamweq: Empleada para convertir equipos en zombies, se distribuye mediante dispositivos USB. PCs infectados: 480.000

• Botnet Swizzor: Sirve como vehículo para introducir otra clase de malware. PCs infectados: 370.000

• Botnet Gammima: Se está empleando para robar cuentas en juegos online. PCs infectados: 230.000

• Botnet Conficker: ¡¡ sorpresa !! el tan cacareado Conficker a día de hoy apenas si entra en el top 10. PCs infectados: 210.000"

Esto, como pueden ver, da un ejemplo de los números reales que se manejan por estas redes. En cuanto a su funcionalidad y posibilidades, al ser un tema que está comenzando, dependerá solo de la imaginación de los que programen y controlen estas redes. El futuro puede deparar ataques criminales contra gobiernos, denegación masiva de servicios, ataques dirigidos por intereses políticos o comerciales, etc...

Nueva herramienta de chequeo de código fuente

Acaba de salir el "prototipo" de una nueva herramienta de escaneo de código fuente de tipo RAT (Rough Auditing Tool for Security) desarrollada en Perl para el chequeo de vulnerabilidades en el código de programación propio o ajeno. Este proyecto se llama GRaTS (Graphical RATS and Taint Scanner) y está dirigido por Dan Crowley.

La versión actual todavía no es gráfica (Graphical RAT) pero en breve lo será. Este software audita el código fuente buscando bugs de programación que puedan causar agujeros de seguridad en forma de vulnerabilidades mediante diferentes tipos de análisis como: Taint analysis (Análisis de posible corrupción de variables o funciones), Static code analysis, Manual code review, revisión del tiempo de vida de variables, etc.

Vamos algo que se debería de hacer de forma concienzuda antes de lanzar actualizaciones y nuevos programas por parte de muchos fabricantes, que posteriormente tras su lanzamiento demuestran tener vulnerabilidades importantes que afectan a desbordamientos de memoria o pila u otros más graves.

Esta herramienta se puede descargar en el siguiente link para su evaluación: GRaT

Este es un ejemplo de la salida del comando actualmente:

H:\grats_prototype>rats source.c

Entries in c database: 310
Analyzing source.c

source.c:10: High: fixed size local buffer
source.c:335: High: fixed size local buffer
Extra care should be taken to ensure that character arrays that are allocatedon the stack are used safely. They are prime targets for buffer overflowattacks.

source.c:49: High: gets
source.c:83: High: gets
Gets is unsafe!! No bounds checking is performed, buffer is easily overflowableby user. Use fgets(buf, size, stdin) instead.

source.c:199: High: strcpy
source.c:342: High: strcpy
Check to be sure that argument 2 passed to this function call will not copymore data than can be handled, resulting in a buffer overflow.

Total lines analyzed: 371
Total time 0.015000 seconds
24733 lines per second

El "milagro" antispam

Como suele ocurrir con todas las noticias informáticas que se convierten en sensacionalistas (como el final del papel impreso, los vehículos autoconducidos, etc.), cada cierto tiempo aparece en televisión, en algún telediario o noticiero una utopía que va a cambiar nuestras vidas para siempre. Recientemente apareció en los telediarios una maravillosa noticia de estas que nos anunciaba el fin del spam para nosotros, esos pobres usuarios que cada vez que comprobamos nuestro correo electrónico estamos acostumbrados a hacerlo con la tecla SUPR en uno de nuestros dedos como si se hubiera quedado pegado sobre ella. Según esta noticia el fin de la era SPAM está llegando gracias a la creación de una lista en la que nos podemos registrar para no volver a recibir este tipo de mensajes, ni por correo electrónico, ni por SMS, ni por telepatía, ni cualquier otro método.

Por ello he decidido entrar en la página Web susodicha ( http://www.listarobinson.es/ ) que aunque con muy buena voluntad no es más que una página promovida por la FECEMD - Federación de Comercio Electrónico y Marketing Directo, en la que nos podemos registrar como ciudadanos (mayores o menores de 14 años, o incluso si hemos fallecido; espero no tener que usar esta opción) para indicar que no deseamos recibir publicidad directa. También podemos registrarnos como entidades que desean utilizar este servicio de consulta antes de realizar nuestras campañas.

Pero de buena fe está lleno el mundo; y para que esto funcionase debería estar correctamente legislado y ser ésta una lista gubernamental y legalmente establecida, ya que el 95% del correo basura que recibo no proviene de fuentes que respeten esta buena fe y legalidad vigente. Por tanto gracias por las buenas iniciativas, que deberían partir de entidades oficiales y legales, a las que parece que este tema no les interesa demasiado. O sea, que en resumen, a seguir recibiendo spam y a rezar para que no traiga regalitos dañinos incluidos.

Adiós y "hola de nuevo "al proyecto Milw0rm

Mientras me lamentaba del cierre (quizás definitivo) del proyecto Milw0rm que tanto a aportado a nuestra comunidad underground, llegó algo de luz a mi oscuridad. Cabe decir que este proyecto (repositorio de exploits) ha sido durante los últimos "muchos" años un referente para los hackers y auditores de sistemas que han colaborado y se han alimentado de él. Un adiós triste a esta página que han publicado miles de blogs y que llegó a estar cerrada en algún momento desde que su autor principal (Str0ke) colgó el siguiente mensaje en esta web (www.milw0rm.com)

"Well, this is my goodbye header for milw0rm. I wish I had the time I did in the past to post exploits, I just don’t . For the past 3 months I have actually done a pretty crappy job of getting peoples work out fast enough to be proud of, 0 to 72 hours (taking off weekends) isn’t fair to the authors on this site. I appreciate and thank everyone for their support in the past.
Be safe, /str0ke"

“Bueno, pues esta es mi cabecera de despedida para milw0rm. Ójala contase con el tiempo con el que disponía en el pasado para publicar exploits, pero no lo tengo . Desde los últimos 3 meses la verdad es que he hecho un muy mal trabajo en conseguir que la gente sacase esto adelante lo suficientemente rápido como para estar orgulloso de ello, estar de 0 a 72 horas (arrebatando fines de semana…) no es justo para los autores de este sitio. Aprecio y agradezco a todo el mundo su apoyo en el pasado. Seguid seguros”, /str0ke.

Desde miles de páginas web damos nuestro agradecimiento por su aportación desinteresada a Str0ke por este gran proyecto que como todos imaginamos roba gran parte de su tiempo a su autor.

Tras mi tristeza después de llegar de vacaciones y enterarme de esta noticia por miles de blogs, resulta que finalmente Str0ke ha decidido ceder el control de su sitio a un grupo de amigos, cosa que comunica a través de twitter mediante el siguiente mensaje: leer el mensaje original Gracias Str0ke.

"I have talked with a few friends and I'll be handing the site over so a group of people can add exploits / other things to the site. Hopefully it will be a new good start"

Diez días "casi" off-line

Dicen que todo el mundo tiene derecho a unas vacaciones, algo así como un derecho universal, que ojalá fuera cierto para todos. Pues eso es lo que yo he hecho durante las últimas dos semanas, unas vacaciones de esas que no haces otra cosa que ir a la playa, comer bien y desconectarte en la medida de lo posible de este mundo electrónico. Pues eso, que regreso ahora renovado, aunque con esa minidepresión de la vuelta al mundo real... No hay bueno sin malo... pero valió la pena haberlo hecho y creo sin duda que lo repetiría tantas veces como fuera posible. Bueno "al tajo" y a volver a escribir en este blog sobre temas que os puedan interesar.

PS: No os olvideis de disfrutar de unas vacaciones, los que podais, a la antigua usanza (o sea sin cibercultura, ni telefonos móviles, ni mucha tecnología).

Que alguién se fije en esta chica...

Se que este es un blog dedicado al hacking y a la seguridad, pero no puedo más que escribir aunque sea una pequeña reseña sobre el canal que ha montado esta chica en youtube, en el que además de contar "sus cosas del día a día", canta como un ruiseñor. Bueno es capaz de cantar con un estilo suave como un ruiseñor o duro como el punk. Lo cierto es que tiene una voz y una forma de cantar que enganchan. También es una pro del Mac montando video y audio. Vamos que tiene un gran futuro. Se llama Leonor y la encontré curioseando por youtube:

http://www.youtube.com/user/b4mydeath

No creo en los programas como Operación triunfito y similares, pero trabajando y con esfuerzo, espero que consigas lo que buscas, sea lo que sea. Daros un paseo por su página y escuchar un par de temas como "Smile" o "Close to you", vale la pena.

Quién se dedica a programar y propagar esos peligrosos virus?

Una pregunta reiterativa a lo largo de los años en los que he estado ejerciendo en esta profesión es ésta. Clientes, amigos, conocidos, etc... todos preguntan de dónde parte ese amplio interés por programar y difundir virus por todo el universo. Desde los primeros y arcaicos virus, como el de la pelotita (que todavía debo de tener prisionero en uno de esos antiguos disquetes de 5 1/4), hasta los actuales y sofisticados como Conficker ha transcurrido mucho tiempo y mucha historia en este complejo "mundillo".

No puedo opinar que haya una única razón de todo esto, ni que tenga la respuesta universal a este dilema, pero creo que la motivación ha ido cambiando y evolucionando a lo largo de estas últimas decadas.

Una importante razón de ser de esta evolución, puede haber sido inicialmente un deseo de notoriedad de aquellos, que han esperado obtener beneficios profesionales de sus creaciones, que han obrado siempre en perjuicio de los que se han infectado de ellas. Pero, quizás esto ha sido principalmente en su inicio.

Otros deducían que, quizás, el motivo de todo esto era el de vender más antivirus y medios de protección; que aunque puede ser cierto, no creo del todo, que sea la principal causa, ya que en estos momentos, la batalla del software antimalware ha quedado maltrecha con respecto a la rápida evolución del mismo y su futuro es bastante incierto.

Si existe algo positivo en todo esto, es el descubrimiento constante de brechas de seguridad o vulnerabilidades que afectan al software que se edita comercialmente, que de no ser descubiertas y dadas a conocer por la comunidad hacker en general, estarían solo al alcance de unos pocos pero con mayor poder, que quizás son más peligrosos que todos éstos, y su aprovechamiento podría afectar de manera importante a los que considerasen sus enemigos. El conocimiento nos hace menos vulnerables.

Ahora, sin embargo, lo que mueve toda esta sociedad es el afán de obtener beneficios económicos de cualquier cosa, aunque resulte dañina para los demás. Y no se puede ignorar esta gran verdad, ya que la mayor parte de los virus actuales, no se puede llamar realmente virus, sino que los terminos se mezclan como malware, spyware, troyanos, etc. El tipo de infección actual concentra todo tipo de funciones entre las que se encuentran, el robo de información personal y profesional, datos bancarios, control de grandes redes de equipos comprometidos (botnets y similares), espionaje industrial, control de campañas de marketing a gran escala mediante el robo de información personal, etc.

Se comercia con productos derivados (troyanos indetectables por los antivirus), sistemas de difusión masiva de malware, etc. Y por supuesto mediante la venta o cesión de grandes redes de equipos comprometidos para poder utilizarlos en todo tipo de actividades delictivas (envío de spam masivo, ataques de denegación de servicio a servidores, y cualquier otra actividad que pueda reportar beneficios. Este tipo de negocio denota que actualmente, ésta es la principal finalidad de todo este mercado ilegal.

Y esa, es quizás mi conclusión final: este mundo se mueve principalmente por el beneficio económico de algunos, y los demás tenemos que tratar de limpiar la basura que producen, o incluso tratar de vivir de su reciclaje.

Troyano infecta un cliente (análisis y solución)

Lunes por la mañana: Llamada urgente de un cliente (Hotel) que nos localiza por un aviso de su antivirus que le alerta sobre la existencia de un troyano en uno de los ordenadores de su red.

Acudo urgentemente, por la importancia de ese equipo en el desempeño de sus funciones. Al llegar compruebo que efectivamente el antivirus no para de informar de conexiones hacia una página Web (http://www.compare-fibre.com/pictures/banners/comprovantes/depositos/comprovante.php?f=xxxxxxxx) tratando de descargar una serie de archivos.

Lo primero que hago es sacar el pendrive con todas mis utilidades portables de seguridad, entre las que se encuentran el práctico programa process-hacker y el autoruns. El process hacker muestra los procesos y servicios activos en este momento, y trato de examinarlos concienzudamente en busca de alguno que llame mi atención por no sonarme su nombre. En principio veo uno al que no acabo de darle la importancia que merece por parecerme un actualizador de Java, pero al volver a avisarme el antivirus, mediante el mismo process-hacker observo los puertos que están abriendo conexiones remotas, y efectivamente el programa llamado "java sun" está abriendo conexiones contra la dirección IP (203.232.224.4, entre otras) cada vez que el antivirus detecta archivos dañinos. Busco el nombre de el ejecutable que lanza ese proceso y descubro appletjava.exe, que se encuentra como es habitual en C:\Windows\System32\ , por lo que procedo a eliminarlo, no sin antes enviarlo a Virus-Total para su análisis y sobre todo para que en poco tiempo sea detectado mediante firmas por los antivirus.

Los resultados son los siguientes:
Resultados en Virustotal

Resultado de NOD32 local:
Hora Módulo Objeto Nombre Amenaza Acción predeterminada Usuario Información22/06/2009 11:34:23 IMON Archivo http://222.24.94.25/icons/init.gif Win32/Qhost (Troyano) Conexión terminada

Podeis ver que tiene pinta de ser un troyano de robo de datos bancarios como Bandook o similares, pero ya lo testearé cuando tenga más tiempo...

Reinicio el equipo y vuelvo a examinar en busca de otros restos, o reaparición del archivo en cuestión. Elimino el punto anterior de restauración del sistema y vuelvo a generar otro nuevo. Observo que también ha modificado los servidores DNS en la configuración TCP/IP del cliente y lo soluciono. Finalmente busco el método de infección del troyano en el ordenador del cliente y encuentro un email muy bien formateado en portugués con el asunto: reservas, "Deposito em conta, confirmado." que al cliente no le pareció fuera de lo habitual. Esto es lo que vengo observando en los últimos tiempos: una profesionalización en los correos electrónicos basados en phishing o infección de troyanos, de tal manera que ya no parecen simples trampas escritas por analfabetos.

Esto no es más que una historia habitual, que incluyo en este blog puesto que este es el fin principal de este blog: Contar el día a día de un hacker ético.

Backtrack 4 Pre-final ya está disponible

Tal y como anunciamos ya está disponible para su descarga la versión Pre-Final de la mejor distribución de auditoría de penetración en redes: Backtrack Linux. El cambio realizado entre la versión 3 y la 4 ha sido muy importante, de tal manera que se ha cambiado el S.O. base desde Slackware hacia Ubuntu Linux. De esta manera se pueden utilizar los repositorios basados en debian, aunque se dispone de los propios de remote-exploit (el desarrollador). No cabe duda que este cambio profesionaliza todavía si cabe más esta distribución, que considero actualmente la mejor y más profesional para realizar todo tipo de tests de seguridad sobre redes inalámbricas y Ethernet cableadas. Además de este cambio de SO se incluyen algunas nuevas herramientas, entre las que estoy deseando probar el soporte para procesador gráfico o GPU mediante CUDA para realizar potentes ataques basados en fuerza bruta contra sistemas basados en claves.

En próximos días iremos contando en este blog algunas de las nuevas características disponibles en esta distribución, que no defraudará a nadie.

El link para la descarga es:
http://www.remote-exploit.org/cgi-bin/fileget?version=bt4-prefinal-iso
(Se podrá descargar en formato ISO para grabar en DVD arrancable, en pendrive en disco duro mediante instalación en formato no live).

El MD5-Sum es b0485da6194d75b30cda282ceb629654. No olvide consultar el foro para ver los bugs o problemas de integración que pueda tener:
http://forums.remote-exploit.org/