La MASA

---

Un post de apunte rápido (Twitter no vale para todo): Microsoft presentó recientemente una nueva aplicación de seguridad interesante: el Microsoft Attack Surface Analyzer, o MASA. Esta es una solución que sirve para tomar una "foto" de nuestro sistema antes de instalar un software, otra después de instalarlo, y comparar el resultado para ver cuáles han sido las modificaciones realizadas y qué puertas podrían dejar abiertas en nuestro sistema.

Genial para desarrolladores que quieran ver que agujeros podría abrir su software, para los profesionales informáticos que pueden ver qué hará una nueva actualización y evaluar sus riesgos, o incluso para el equipo de respuesta de un incidente de seguridad.

Visto en WindowsTecnico, en Darknet, y en Microsoft Security Development Lifecycle. Descarga para Windows 7 y Windows Server 2008 R2.

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS, seguirlo en Twitter, o

Puesta al día y algo sobre un gusano de MS08-067

---

Sigo con mi ciclo de puesta-al-día: hoy leo un poquito sobre malware variado alojado en webs del mundo mundial y el problemilla del MS08-067.

Por ejemplo en Websense nos explican que ahora, el malware en web no está sólo en javascript, sino que utiliza elementos HTML para almacenar contenido., y luego utilizar algún exploit de otro pack llamado The Poly Exploit. También sobre una cosita que afecta únicamente a blogs de Blogspot.

En F-Secure nos cuentan cómo bichitos antiguos siguen pululando por ahí, con posibilidades de infectar a gente, además. Y después rellenan contenido en su blog con la vulnerabilidad MS08-067, opinando que va a ser otro gusanito (de hecho nos dicen que ya es otro gusanito). En Hispasec nos llaman a la calma, indican que no se va a generar un problema de la magnitud que tuvo el gusano Blaster, que explotaba un problema de características similares. Mientras, en el blog de SDL de Microsoft Michael Howard parece enfadado, y no en mi opinión no le falta razón: no creo que se pueda pedir que funcione con carácter retroactivo, o dicho de otra forma, que sistemas operativos más antiguos tengan un nivel de seguridad tan bueno como el de los modernos. Podrán mejorar, pero no ser igual de buenos. Por tanto su SDL no ha fallado, todo lo contrario, parece que están haciendo las cosas bien.

Enlaces:
metasploit tiene plugin para esta vulnerabilidad
algo de Sans
algo en blog SWI de Microsoft
algo y algo más en Arbor Networks

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por email o por RSS...

LiveCD para recuperación y reparación de sistemas Windows

---

Se llama Trinity Rescue Kit o TRK. Es una distribución Linux pensada para labores de recuperación y reparación en máquinas con Windows. (También vale para sistemas Linux, según se indica en la página web, pero el autor no tenía eso en mente).

Básicamente, es una recopilación de utilidades que podríamos conseguir por otras vías, que puestas todas juntas resultan en un CD que viene muy a mano.

Entre las cositas que facilita, están:

• borrar la contraseña de un usuario de Windows
• emplear distintos antivirus para hacer una limpieza del disco (Bitdefender, ClamAV, F-Prot, AVG y Verixa), utilizando un único comando para ejecutar cualquiera de ellos y/o actualizar sus ficheros de firmas
• escribir en particiones NTFS (y clonarlas si se desea)
• recuperación de ficheros eliminados
• recuperación de particiones dañadas
• detección de rootkits (hay dos utilidades para esto en la distro)
  
• etc

Tiene buena pinta ;)

Visto en: Gurú de la informática, y en DragonJAR.

Actualización 28/07/2008: leo hoy en Sahw que F-Secure lanzó un liveCD para hacer limpieza del disco, también basado en Linux, usando sus productos. Otra opción más :)

Las profundidades de Windows

---

“¿Por qué se guardarán estas cosas en las profundidades de Windows?” dice uno de los comentaristas de esta entrada en el blog de Schneier.

Si ayer hablábamos de las herramientas de Sysinternals, algo que uno debe tener en su disco-duro-con-utilidades-siempre-a-mano (como una caja de herramientas, yo tengo algo así, ¿vosotros?), estas son también de obligado conocimiento. Nos solemos (me incluyo) quejar de que en Windows no se encuentran las mismas utilidades que en otros sistemas, etc etc, pero hay que reconocer que muchas veces es por absoluto desconocimiento de cómo funciona, lo cual debería dar(me) vergüenza.

Sabemos utilizar las herramientas gráficas, pero para el común de los mortales, el command prompt es un completo desconocido. Muchos de los comandos que gustan a los linuxeros tienen su equivalente en Windows, o al revés. En caso de que haya sospechas de que haya entrado un bicho en nuestro sistema, podemos tirar de ellos. Aquí va una serie que he encontrado en los enlaces que nos presenta Schneier hoy, y que han sido recopilados por Ed Skoudis. Esta entrada os está presentando, traducido y un poco acortado, lo mismo que él nos escribe (referencias al final).

1 – WMIC: Windows Management Instrumentation Command-line

Es una interfaz para la API Windows Managemente Instrumentation. Está, al menos, en XP y Vista (y seguro que en todos los demás, pero ahora mismo no lo puedo comprobar). Utilizándolo, se puede saber muchísimas cosas de tu sistema, como por ejemplo:

• wmic process: la lista de procesos en ejecución. Si se agrega además los parámetros list brief, el resultado se presenta en formato resumido. Si los parámetros son list full (por defecto), entonces devuelve como resultado el formato ampliado. Estos mismos se pueden aplicar a todos los demás comandos.

• wmic startup: los procesos que se arrancan en el inicio del sistema.

2 – El comando net

de toda la vida, también devolverá montones de información útil. Ejemplos:

• net user: la lista de usuarios del sistema

• net localgroup administrators: usuarios administradores del sistema.

• net start: la lista de servicios en ejecución. ¡Un atacante podría crear su propio servicio en el sistema!.

3 – openfiles: lista de ficheros abiertos

Este comando genera muchísima información, por lo que no se puede utilizar directamente. Hay que activar previamente la recopilación de información que muestra, lo que se hace con el comando

• openfiles /local on -- después hay que reiniciar el sistema.

A continuación ya se podrá utilizar el comando

• openfiles /query /v -- para poder ver la lista de los ficheros abiertos en el sistema.

• openfiles /local off -- para volver a desactivar esta funcionalidad.

4 – netstat

comando para mostrar datos sobre la red, como las conexiones activas o estadísticas de uso de un determinado protocolo, por ejemplo icmp (al parecer, hay backdoors y otros tipos de malware que usan el payload de los mensajes icmp echo request para comunicarse).

5 – find

la búsqueda en cadenas de texto (el “grep” de Linux).

Combinándolo con otros comandos, se puede hacer búsquedas en los resultados, por ejemplo:

• wmic process list brief /every:1 | find "cmd.exe"

6 – tasklist: gestión de procesos

Con este comando, se puede saber no sólo que procesos se están ejecutando (podíamos hacer eso con WMIC), sino otras cosillas más difíciles, como la lista de bibliotecas DLL que se están invocando en cada proceso (tasklist /m) entre otras.

7 – reg: leer y actualizar el registro de Windows

Por ejemplo, con la opción query permite leer una clave del registro. Eso sí: ¡hay que conocerla!. Por ejemplo, la siguiente consulta

reg query hklm\software\microsoft\windows\currentversion\run

dirá cuáles son los programas que arrancan con el inicio de sesión. Otras opciones: export, import, add…

8 – ipconfig

Entre otras cosas, Ed Skoudis nos enseña que se puede usar para ver el contenido de la caché DNS, es decir, para saber cuáles han sido las últimas peticiones realizadas, mediante el parámetro /displaydns.

9 – bucles

se puede hacer algo de programación shell y generar un bucle, de forma que se repita el mismo comando una y otra vez. Por ejemplo:

for /L %i in (1,1,10) do @echo %i


Hay muchas más posibilidades usando Powershell.

10 – invocar utilidades gráficas de administración desde línea de comandos

Por ejemplo:

• secpol.msc: el gestor de directivas de seguridad local.
• services.msc: la interfaz de control de servicios
• control: el panel de controlThis command brings up the overall control panel set of tools.
• taskmgr.exe: el gestor de tareas gráfico.
• explorer.exe: el explorador.
• eventvwr.msc: el visor de eventos.

Textos originales: 1 y 2.

Slds!

Process Monitor

---

Las utilidades de SysInternals son un clásico para Windows. Hace unas semanas lanzaron al mundo una nueva, ProcessMonitor.

En ejecución

Permite monitorizar los accesos a ficheros y a registro que realizan los procesos del sistema. Con funcionalidades similares a dos anteriores, Filemon y Regmon, no es una integración de estas dos sino que ha sido reescrita desde cero.

Ideal para saber en todo momento qué toquetean los procesos de la máquina, cuánta memoria ocupan, o cuál es el árbol de procesos del sistema, y muy a mano si sospechamos que hemos pillado algún bicho (o queremos ver qué hace uno adrede).

Leo además en el blog de un informático sobre otra herramienta que puede ser complementaria, KillProcess. Permitiría eliminar varios procesos simultáneamente, así como impedir que se generen procesos nuevos. La probaré ;)

Me entero por: el blog de Sergio Hernando.

Herramientas de análisis SSL

---

De toda la vida se han utilizado herramientas de tipo man-in-the-middle para interceptar el tráfico HTTP y HTTPS que genera el navegador de uno, y así poder estudiar en detalle las peticiones que ha generado. Es algo básico en los test de intrusión sobre aplicaciones de web.

Sin meterme en herramientas históricas, sólo diré algunas de las más populares en los últimos tiempos (y que me gustaban a mí) son Paros Proxy, WebScarab, Burp Proxy, o Fiddler. Leo en el blog Microsoft, su tecnología y yo una entrada (de hace algún tiempo) sobre otra herramienta nueva que da un puntito de evolución: Strace.

Si en las otras hay que configurar la herramienta como proxy del navegador, ahora sólo hay que utilizar un sencillo script, sin necesidad de tocar la configuración del navegador. Para conseguir esto, la utilidad inyecta una DLL en el proceso que va a utilizar SSL. Sirve lo mismo para Internet Explorer que para otros navegadores, y en general, para cualquier aplicación basada en sockets, por ejemplo, Outlook Express. Puede ocurrir, como es el caso de Firefox, que no todos utilizan las llamadas al sistema que intercepta Strace para capturar tráfico SSL, con lo que sólo podría interceptarse tráfico HTTP, según puede leerse en el blog de su autor.

Para analizar la salida obtenida por strace, es necesario utilizar una segunda herramienta: httpreplay.

Y en Windowstips utilizan ambas para realizar un análisis de malware, que está muy bien ;)

Trastos básicos en mi viejo Windows

---

Me gustaría escribir algunas líneas sobre algunas de las herramientas (de seguridad) que me parecen básicas para un usuario doméstico, que cacharrea lo justo con el ordenador y navega un poco. Concretamente, las que hay instaladas en mi anciano Windows XP..., porque he visto esta entrada en segu-info, en el que se recomienda para un usuario doméstico:

• Firewall personal de red
• Antispyware
• Antivirus
• Sistema de prevención de intrusos de red

OK a los tres primeros, es lo obligado, y en cualquier caso insuficiente hoy día. No creo que el cuarto elemento sea nada normal, es más, conozco sólo a una persona que colocó un Snort (IDS, no IPS, vaaaale) en el router de acceso a internet de su casa (y a todos nos pareció un tanto friki, la verdad). A lo mejor lo he entendido mal y se refiere a un firewall no personal, como el que puede venir en el router adsl de casa (el artículo que referencio trata de eso). Lo que sí me parece es que hay otros elementos hoy día imprescindibles para garantizar algo de seguridad al utilizar un ordenador doméstico, y al menos, garantizar la privacidad de los datos que se guardan en él.

Así, en primer lugar habría que añadir (y/o usar) medidas de protección en el navegador: ya sabemos que un buen número de las máquinas que resultan comprometidas hoy día, lo hacen al navegar por aplicaciones de web, por problemas, por ejemplo, en las extensiones que el navegador tiene puestas. Así, saber cómo se usa el navegador (el empleo de las zonas de seguridad de IE, por ejemplo) y la utilización de extensiones como NoScript (en el caso de Firefox) son medidas altamente recomendables.

NoScript en ejecución (obtenido de NoScript.net)

También me parece necesario tener algún software que permita cifrar la información que uno guarda en su equipo, al estilo de TrueCrypt o PGP Desktop. Así se asegura alguna protección para los ficheros que no se desea que vea nadie. Esta protección será mejor si lo que se cifra es todo el disco incluyendo el sistema operativo, pero según qué casos eso puede ser pedir demasiado... pensemos en el ordenador del trabajo: a ver qué cara te pone el departamento de HelpDesk al pedirles eso.

TrueCrypt en acción

No debe faltar alguna manera de gestionar la enorme cantidad de contraseñas que debemos utilizar todos los días, para ello existen programas como PasswordSafe o KeePass (thx n00b!), que almacenarán cifradas las passwords que se han de usar habitualmente, y pueden generarlas aleatoriamente, además.

No es mi KeePass, obviamente...

Otros detalles: alguna manera de mantener una copia de seguridad automatizada no viene mal, o la instalación de un programa de control parental... pero eso ya se sale de lo que es la gestión de tu seguridad. Si además el ordenador es de uso público, o casi, entonces también estará bien Windows SteadyState.

¿Qué es lo que tú usas? ¿Qué te parece lo más básico?

Windows SteadyState

---

A través del blog de Sergio Hernando, veo que ha salido la utilidad Windows SteadyState.

Además del uso obvio para administradores de sistemas y profesionales en general que gestionen equipos compartidos (bibliotecas, cibercafés), me llama la atención el uso que (dice la web) se le puede dar en casa: control del contenido inapropiado en el navegador de web, control de los programas que se permite ejecutar, limitar el tiempo que puede estar la sesión de Windows activa, bloquear acceso a discos duros, periféricos, etc...

Es pues una herramienta que pone "a mano" lo que antes requería saber bien cómo funciona Windows, y además, es para aquellos que conserven su XP (los de Vista ya tienen su panel de control parental). Parece un cacharrito a recomendar a la familia ;)