Founder of MalwareIntelligence, a site dedicated to research on all matters relating to anti-malware security, criminology computing and information security in general, always from a perspective closely related to the field of intelligence.

lunes, 23 de febrero de 2009

Entrevista con Kevin, un defacer Argentino. Segunda parte

Segunda y última parte de la charla que mantuve con Kevin, un defacer Argentino.

Jorge dice: hace un rato me contaste sobre pamela pero no sobre los otros nickname ¿qué hay de fenix y shavax?
Kevinex dice: ellos eran de mi Team, pero ahora son otros, le diria 20 miembros en Córdoba Capital, y en mi barrio, Alto Alberdi.
Jorge dice: ¿eran?
Kevinex dice: si, porque usaban para cosas malas que nos perjudicaba.
Jorge dice: ¿en qué sentido?
Kevinex dice: borraban los archivos de las webs,
Jorge dice: dijiste "mi team", te refieres a RedHackTeam?
Kevinex dice: Si, bueno así se llamaba, ahora somos Team Xeon. Me gusta ese nombre.
Jorge dice: ¿y la filosofía del grupo cuál es?
Kevinex dice: Ayudar, sin recibir. Muchos del grupo son nuevos, los que más sabemos sobre esto somos Pucky, Jhon, Mauro y yo.
Jorge dice: alguno extranjero o son todos argentinos
Kevinex dice: argentinos todos y todos de córdoba. Es mejor que todos seamos del mismo lugar
Jorge dice: Okey. Deporte, música, supongo que te gustan
Kevinex dice: Me encanta el fútbol, y sobre todo la Cumbia Villera!
Jorge dice: jejejejeje. Que raro, pensé que quizás eras mas del metal. Black Sabbath y cosas así, o quizás evanescence.
Kevinex dice: no, ese tipo de música no me gusta, pero no soy viller!
Jorge dice: en el defacing del que comentabas que realizaste durante el 2005 dice "Cuakos Corporation" ¿qué significa?
Kevinex dice: es mi foro www.cuakos.com
Jorge dice: desde el punto de vista técnico, ¿Cuáles son los métodos habitualmente utilizados para el defacing?
Kevinex dice: scannear el servidor. Usar un soft de scannear el servidor de la web y que te da las posibles vulnerabilidades, y ya uno lo compila en .perl, .php. Me gusta usar el Shadow security scanner
Jorge dice: ¿cuáles son las vulnerabilidades más comunes que has encontrado?
Kevinex dice: en mysql, que se puede inyectar, en ssh, rfi, o también la ing. social.
Jorge dice: te consideras un hacker, un cracker, un lamer o un defacer
Kevinex dice: No me considero nada, tan solo soy un aprendiz que le gusta la informática y aprender cosas nuevas.
Jorge dice: ¿te gusta algún defacer? ¿Quién?
Kevinex dice: Ice bread, de Perú
Jorge dice: recuerdas algún defacing de Ice bread
Kevinex dice: si, fue a la página del gobierno de Chile, que luego los Chilenos también le hicieron a Perú.
Jorge dice: alguno de los admin de los sites que has desfigurado te contactó alguna vez?
Kevinex dice: si, el de la Radio de portugal. Me puteo primero, ni recuerdo lo que me dijo, total no le entendí mucho xD, pero luego le expliqué que era, solo para que no lo defacee otro que pueda hacer más daño.
Jorge dice: si te dijera que creo que este tipo de actitudes tiene que ver un poco con rebeldía adolescente más que cuestiones personales o políticas. ¿qué dirías?
Kevinex dice: te diría si tienes web para vengarme jajajaja, es broma. Por una parte es verdad, la mayoria hace eso para hacerse los mejores, poniendo frases como "Soy el mejor hacker muajaja".
Jorge dice: después de todo, qué significa Kevinex?
Kevinex dice: Kevin y el EX por un grupo que me encanta su canción, el grupo se llama Extreme
Jorge dice: qué es más común, encontrar vulnerabilidades en el código o vulnerabilidades como consecuencia de configuraciones por defecto?
Kevinex dice: por código del servidor mysql, o por el sistema que usen
Jorge dice: ¿volveremos a ver algún otro sitio con la leyenda: “Defaced by Kevinex”?
Kevinex dice: en un futuro tal vez, ya que por un tiempo lo deje.
Jorge dice: para ir terminado... a pesar que no te gusta ser muy conocido y teniendo en cuenta que, por lo menos, alguien leerá estas líneas, ¿quieres dejar algún mensaje? a la gente, a los admin...
Kevinex dice: Que si alguna vez sufren defaces (de mi parte no) sigan adelante, que diariamente hagan backups de sus webs, y animo por seguir adelante en sus proyectos.
Jorge dice: fue un placer charlar contigo. Te mando un cordial saludo y muchas gracias por tu tiempo.
Kevinex dice: Igualmente para usted. Saludos.


Información relacionada
Entrevista con Kevin, un defacer Argentino. Primera parte
Desfiguración de sitios web III

# pistus

Ver más

domingo, 22 de febrero de 2009

Zeus Botnet. Masiva propagación de su troyano. Segunda parte

En una primera parte pudimos contar muy por arriba de qué se trata Zeus, junto a una pequeña lista de dominios y direcciones IP comprometidas con el troyano y muy útiles para bloquearlas.

El siguiente mapa muestra información relacionada a cada host infectado por Zeus que es identificado por intermedio de un punto. Aunque a simple vista, la información que nos muestra el mapa puede dar la sensación de insuficiente, hay que tener en cuenta que cada uno de los nodos puede representar varias direcciones IP o dominios alojados en un mismo servidor, con lo cual el porcentaje de equipos infectados se potencia.


Aunque la lista es muy pequeña comparada con la cantidad de dominios que alojan a Zeus, es sumamente importante que los administradores bloqueen los mismos en su estructura de red para evitar problemas de infección.

85.17.139.189 investmentguard.co.uk/foto/body_bg_akh10 .jpg

85.17.143.132 mainssrv.com/pic/timeats .jpg

91.197.130.39 goldarea.biz/bot .exe

92.48.119.151 allmusicsshop.com/bnngJPdf7772Nd .exe

92.62.100.14 chinkchoi.net/3n539@32d .exe

92.62.101.54 drupa1.com/s/fuck .exe

92.62.101.54 ltnc.info/utility/lease/software/update/config .bin

92.62.101.54 tdxs.info/utility/backup/config .bin

94.103.80.150 zone-game.org/ldr .exe

94.75.214.18 vokcrash.com/144/load .php

196.2.198.243/wweb11/zdr .exe

196.2.198.243/xwweb/zdb .exe

58.65.236.41/z .exe

67.225.177.120/moon/cfg1.bin

78.26.179.201/matt/loader .exe

91.211.65.122/~nostr551te/endive/dogi .exe

92.241.164.198/~cadazeu/testbot/ldr .exe

92.62.101.60/g1/data

92.62.101.60/g2/data

92.62.101.60/g2/run .exe

94.247.3.211/ddk/audio

94.247.3.211/rot/load .exe

94.247.3.211/rot/zlom

freecastingus.cn/z12/config .bin

freecastingus.cn/z12/loader .exe

http://ltnc.info/utility/lease/software/update/config .bin

http://tdxs.info/utility/backup/config .bin


Por otro lado, cada una de los dominios, junto a su dirección IP, representan un host infectado o servidor vulnerado.

Teniendo en cuenta que los medios de propagación e infección empleados por Zeus son, el correo electrónico y técnicas de Drive-by-Download a través de diferentes exploit donde uno de los más conocidos es Luckysploit, o sitios vulnerados a los cuales se implantan malware kits como ElFiesta; resulta sumamente importante bloquear los dominios y direcciones IP que he expuesto.


Información relacionada

Zeus Botnet. Masiva propagación de su troyano. Parte 1

Lista de dominios comprometidos por Zeus
Lista de IPs comprometidas por Zeus


# pistus

Ver más

sábado, 21 de febrero de 2009

Paper. Análisis de un ataque de malware basado en web

Internet se ha transformado en una aliada plataforma de ataque para los creadores de malware, quienes a través del empleo de diferentes técnicas tales como Drive-by-Download, Drive-by-Update, scripting, exploit, entre otros, y la combinación de ellos, buscan reclutar todo un ejercito de computadoras que respondan sólo a sus instrucciones maliciosas.

Estos ataques, empleando Internet como base para ejecutar cargas dañina de manera directa sobre el sistema víctima, de forma paralela, casi instantánea y transparente a la vista de los usuarios menos experimentado, se ha convertido en un latente y peligroso riesgo de infección por el simple acto de acceder a un sitio web.

En el siguiente documento se expone un ejemplo concreto que recurre a las acciones antes mencionadas para explotar e infectar un sistema víctima, describiendo también varias características extras que potencian el daño del malware.

El documento puede ser descargado desde la sección papers.

Información relacionada
descarga de "Análisis de un ataque de malware basado en web" vía EvilFingers.


# pistus

Ver más

Google Grupos nuevamente utilizado para diseminar porno spam

Las técnicas de spamming son cada vez más agresivas y los spammers, con tal de continuar con la industria económica que se encuentra detrás de la publicidad no solicitada, enfocan todos sus esfuerzos en buscar "alternativas" que permitan bypasear los mecanismos de autenticación implementados en los servidores webmail.


En consecuencia, en los últimos días las casillas de millones de usuarios se han visto bombardeadas por una importante cantidad de spam que bajo asuntos alusivos a videos eróticos o pornográficos de celebridades, utiliza el servicio Google Grupo para diseminar spam pornográfico.

Algunas de las frases empleadas en el asunto para captar la atención de los usuarios son:

Hey! It is Erica. Wanna date?

Hi! This is Dana from last Monday video shoot.
Hello!
It is Norma. Couldn't reach you.

Jessica Alba was caught naked in sauna!

Jennifer Aniston was caught naked in sauna!

Jennifer Love Hewitt's nude beach photos!

Cameron Diaz's nude beach photos!

Denise Richards's fitting room hidden pics!

Shakira and her mystery boyfriend pics!

Hi! It is Deena. Fresh teens who just got legal to pose.

Hi! This is Amelia. Fresh teens who just got legal to pose.


Por otro lado, algunos de los perfiles utilizados en el servicio en cuestión son los siguientes:

http://groups.google.com/group/zcmcrowderifjzub/?iqhphgbeaxegecyvaduryqmgzzv&pli=1
http://groups.google.com/group/rnushafermrlio/?xsopvgfxraihhintaudhuhgwxqqdr
http://groups.google.com/group/xm388drtr876gx/web/xblsdmz
http://groups.google.com/grou/giuyburroughsyqk/?oscfdntsxfsxygrimaykrdnbpiiwk

http://groups.google.com/group/vlmwillistvkkyx/?mjywanyxpngnhthdsbmhwsgspozh
http://groups.google.com/group/tixjotin2wtv/web/rqcc8ne
http://www.google.com/group/rsnclineiqs/?fchgwoioqdxyhxzujnqhsj
http://www.google.com/group/qjmjvwbrobbinsyne/?vuqkpijorysniuzmcmrcmu
http://www.google.com/group/smpwthackercdi/?netcrpysqsrpnwwhddfcvxkemobiv

http://groups.google.com/group/rt4q26ggg4azg/web/pvnrywa
http://www.google.com/group/henvrankinosv/?mpsajqfwyzlqxqpouxokymddoos

http://www.google.com/group/aediyyxfieldsljx/?imingpivvlnkyputxttpugmcwdt

http://groups.google.com/group/zscsqcgzrxhxno/web/k4xkob

http://www.google.com/group/oapfhxjbledsoeakpas/?lkngiiujnfqyotalcibneib

http://www.google.com/group/dtoercardenasmyld/?nqhbbvfazcqwqchrgyzzgvxyu

http://www.google.com/group/smpwthackercdi/?kzxgxdhqmjthzyrjmeckg

http://www.google.com/group/jpfkdowneyviyxlco/?fknhxtryihnlykkddadzjhq

http://www.google.com/group/ldubartlettvqv/?sjeqkrtkzhipuymmeyohncvvm
http://www.google.com/group/tzqmockjapi/?ieywkhfiwklmksgjhhcnycniwmfym

http://www.google.com/group/mdnsylclynnakjl/?zivtwsmexjcvvapfzejv
http://www.google.com/group/thlssheetscru/?ciotibufyziphemhnqemuz

http://www.google.com/group/ynatdxhjenningswmjfcap/?wkqsusarwnzbqzbtqkmgewrwihj

http://www.google.com/group/eblshoemakergaouclt/?tyvkjqeixthanyzeasoty

http://www.google.com/group/jyqpukinneypnyfw/?aasinzdghhknxajmprdshftcbl
http://www.google.com/group/stfxzdfbegayuguh/?fpkvhcnouznregxpqrvchicwza
http://groups.google.com/group/caylyjacobigyeg/web/kuytfopiufyoutd
http://www.google.com/group/egnjomckennalcwin/?pyjzsnomluxqcgathnbo

http://www.google.com/group/qolurosadomunto/?piqzlscomokvrftqoicliroqv


La lista es realmente larga como para reflejar cada una de las direcciones en este post, sin embargo, los ejemplos son suficientes para tener una idea lo suficientemente concreta como para comprender que el spam es un problema que afecta a todos por igual y que en la actualidad constituye uno de los negocios más explotados.

# pistus

Ver más

viernes, 20 de febrero de 2009

Entrevista con Kevin, un defacer Argentino. Primera parte

Kevin es un Argentino que, aparentemente reside en Córdoba (Argentina), y es el autor, bajo el alias Kevinex, del defacer que vemos en la siguiente captura.

Hace un tiempo, tuve la oportunidad de charlar un rato con él, y de esa charla surgió lo que a continuación les transcribo:

Jorge dice:
Hola Kevin
Kevinex dice:
Hola!
Jorge dice: Cuál es el defacing de esta noche? :-)
Kevinex dice: jaja, un poco de Ddos xD.
Jorge dice: Qué haces además de desfigurar pages?
Kevinex dice: Postear programas. Precisamente ahora, ayudo a empresas en la seguridad de sus webs.
Jorge dice: A través del defacing?
Kevinex dice: No precisamente eso, solo veo si tiene algo vulnerable pero ya sin defacear, algunas veces, admito que si xD
Jorge dice: Claro, eso es algo que me llama mucho la atención. Qué te hace cambiar de parecer ante la decisión de vulnerar un site o no?
Kevinex dice: 2 motivos, uno puede que, me gusta el sitio y veo que tiene algo vulnerable, pongo un index creado por mi, que el sitio esta en mantenimiento. Otro que no me guste, y cuando no lo hago es porque, no da ganas de molestar a nadie. Algunas veces por tiempo, toma un poco de tiempo hacer eso. y más cuando son sitios de idiomas que no entienda jaja
Jorge dice: Algo turco por ejemplo :-) Entonces te consideras un tipo con ética?
Kevinex dice: quizás, yo me creo una personal normal. ni mejor, ni menos que otros. Una vez modifiqué la página de una estación de Radio y dicen que será que lo hice, porque no me gusta la música, luego me comunique con el webmaster para que lo parche y listo.
Jorge dice: Las motivaciones que llevan a una persona a realizar este tipo de prácticas son variadas, desde fines maliciosos hasta revelar vulnerabilidad en un site, desfigurar sites de pedofília o por cuestiones políticas ¿en que estrato crees que esta tu aficción?
Kevinex dice: yo te diría en revelar vulnerabilidades, y cuestiones políticas, te digo por qué. La primera de revelar sitios, en qué ayuda? En que otros webmaster vean la vulnerabilidad y puedan parchar ellos mismos esos fallos y asi evitar que personas con un motivo malo puedan hacer daño, sabrían que su sistema que usan en su web tiene fallos, en php nuke, vbulletin, wordpress, etc. La segunda, en cuestiones políticas, por apoyo a las personas que esten en desacuerdo, te doy un ejemplo. El gobierno de Argentina quita el sueldo a los jubilados voy y defaceo la página del gobierno pidiendo justicia! para los Jubilados. Es una manera de apoyar a ellos(jubilados).
Jorge dice: En cierta forma, el defacement nació un poco con el activismo; es decir, la esencia del defacing no la has perdido y veo que lo utilizas como medio de manifestación. Ahora, desde el punto de vista social quizás no este bien visto ¿que piensas al respecto?
Kevinex dice: Claro, una persona como yo, no podría hacer nada contra un gobierno, pero podría aunque sea, hacerles saber, que hay personas que piensan que lo que ellos hacen esta mal. Que pienso sobre desde el punto de vista social, qué.. hay mucha (gente) que no sabe sobre el deface. Podría ver como una cosa mala, o hablar mal de esa persona, en mi caso es así.
Jorge dice: Entonces, desde tu perspectiva ¿qué significado se esconde detrás del defacing?
Kevinex dice: Que se puede usar para ayudar, no solo para perjudicar el trabajo. Yo utilizo el defacing como método de ayuda hacia empresas, u personas con sus webs, no defaceándolas, avisándoles de que su web tiene fallo y si no responden a mi aviso, recurriría al deface para avisar la vulnerabilidad y poner un aviso que el sitio esta en mantenimiento.
Jorge dice: Pero sos conciente que otras personas lo utilizan con fines maliciosos ¿Qué opinión te merece eso?
Kevinex dice: Soy conciente de eso, es más, siento culpa de haber enseñado lo que yo sé a un compañero, ya que este lo usa para motivos malos, por otra parte, en esto siempre hay que estar actualizado, crear uno mismos sus formas de deface, en mi caso para hacer bien, y en conclusión, es algo malo. Y más que ganamos mala fama cuando se usa para motivos maliciosos.
Jorge dice: Eso es verdad. Es muy grato charlar contigo y al parecer, no escribes como otras personas, con k y esas cosas raras :-) Qué estudios tienes?
Kevinex dice: secundaria aún, pero te resumo que conozco bien a una Pc, su hadware, software.
Jorge dice: te suenan los nombres Fenix, Shavax y Pamela? Supongo que Pamela es tu novia.
Kevinex dice: jejeje, si, la girl de my life.
Jorge dice: y todavía seguís con pamela? Hijos supongo que todavía no, qué edad tienes?
Kevinex dice: Sí. No, y tengo 17 años

Kevinex es el creador del grupo RedHackTeam, ahora llamado Team Xeon y es webmaster del sitio www.cuakos.com.

Información relacionada
Desfiguración de sitios web III


# pistus

Ver más