Análisis de Erebus. Un ransomware para Linux

En esta referencia, remitida por mi colega Alejo, se hace un interesante análisis sobre Erebus, un ransomware para Linux.

Hacía tiempo que no me metía con alguna entrada de security art work y, la verdad, siguen escribiendo tan exquisitamente como cuando empezaron.

Hablando de malware

Se adjunta información de la red cryptored, con la lección 6 sobre malware.
----------
Estimado/a amigo/a:

Dentro del curso gratuito de Privacidad y Protección de Comunicaciones Digitales que se encuentra en el MOOC Crypt4you, se publica con fecha 24/09/2013 la Lección 6 "Malware: orígenes y evolución" a cargo de Sergio de los Santos, consultor y auditor técnico de seguridad, durante muchos años ligado a diversos proyectos en Hispasec y actualmente liderando el laboratorio técnico de ElevenPaths.

El objetivo de la lección que aporta Sergio de los Santos a este MOOC es ofrecer una visión global y realista del malware contemporáneo, contemplando fundamentalmente las bases de sus técnicas de difusión, infección y robo de datos. Igualmente repasar las diferentes categorías y clasificaciones del malware que se pueden realizar, centrándose en la experiencia real que supone hoy la investigación de la industria del malware, y alejándose de la "literatura clásica" sobre el malwaretradicional.

Lección  6. Malware: orígenes y evolución

Apartado 1. Introducción
Apartado 2. Historia
Apartado 3. Tendencias
Apartado 4. Malware para otras plataformas
Apartado 5. Clasificación clásica
Apartado 6. Clasificación por objetivos
Apartado 7. Técnicas de robo de datos

Accesos directos:

Lección  6. Malware: orígenes y evolución
http://www.criptored.upm.es/crypt4you/temas/privacidad-proteccion/leccion6/leccion6.html

Cursos en MOOC Crypt4you: Privacidad y Protección de Comunicaciones Digitales (actual y activo) y El Algoritmo RSA (terminado 10 lecciones) http://www.crypt4you.com

Se recuerda que el formato del MOOC Crypt4you es dinámico y, por tanto, el contenido de las lecciones puede experimentar cambios, siendo posible la inclusión de nuevas lecciones o bien la reordenación de las mismas dentro del índice publicado.

Una de malware

En los últimos días he ojeado algunos de los equipos-portátiles de los alumnos en prácticas de LSI. Entre los operativos encontrados, existe una amplia variedad. Predominan especialmente los que tienen Ubuntu y Windows. La mayor parte de los Windows tiene algún antivirus, antimalware y familia corriendo. Sin embargo, percibo que esa necesidad no existe en la mayor parte de los alumnos que tienen como sistema operativo anfitrión Ubuntu. Todo apunta a que se tiene la idea de que en Ubuntu-Linux no existe el malware, o al menos no supone una gran amenaza.

Reflexiona sobre este tema y, de ser el caso, toma algunas medidas al respecto. No te eliminará totalmente la posibilidad de una infección, pero si la reducirá.

cuckoo sandbox (por S. Bellas)

Interesante report de Santiago Berllas Carballo sobre la "sandbox" cuckoo en el ámbito de pruebas con malware.

La caza del analista (elTopo) [por Adrián Portabales & José Manuel Santorum]

Report.: La caza del analista (elTopo)

Autores.: Adrián Portabales & José Manuel Santorum
Resumen.: Hablamos sobre distintas herramientas posibles desde el momento que se nos propone este supuesto, hasta que decidimos crear la nuestra propia (código fuente de elTopo). Como anécdota contare que una vez terminado este report, nos hemos dado cuenta que basicamente lo que hemos creado ha sido un troyano para linux, que incluso podremos configurarlo para conexion inversa como del que hablan Cristóbal Blanco y Jorge Souto en su report Malware con conexion inversa.

Resumen del Supuesto.: Somos directivos de un pequeño departamento de servicios informáticos de una empresa y sospechamos que uno de nuestros analistas de sistemas está boicoteando alguna de las máquinas que administra.

Bifrost.: Malware con conexión inversa (Por Cristóbal Blanco Martínes & Jorge Souto Costoya)

Report.: Bifrost y conexión inversa
Autores: Cristóbal Blanco Martínez & Jorge Souto Costoya
Resumen.: No remitido, aunque el título es auto-explicativo.

Conexiones inversas

Hace unas cuantas clases dedicamos unos minutos a las conexiones inversas. Entre otros muchos bichos, se referenció PosionIvY y BitForst.

Hoy Alejo me remitía varias noticias de seguridad, una de ellas referente al PoisonIvY que, por referencias, la adjunto. [Gracias]

Noticia.: Un troyano que permite espiar al atacante

Detenidos tres españoles de una red criminal que controlaba 13 millones de ordenadores zombis

La Guardia Civil ha detenido a tres personas que gestionaban una red de más de 13 millones de ordenadores zombis (controlados a distancia). Un portavoz de Panda, empresa que ha colaborado en la investigación, ha manifestado que los tres detenidos formaban parte de una red más extensa de alcance internacional. Gracias al empleo de troyanos, los delincuentes se hacían con el control remoto de los computadores y los programas maliciosos instalados en las máquinas les suministraban toda la información que manejaba la víctima en los mismos.

[Gracias Alejo por mantenerme informado de las maldades de la humanidad]

rkhunter (localizando rootkits)

Esta aplicación, con licencia GPL, está ideada para detectar puertas traseras en tu sistema o alertar de actividades sospechosas en el mismo.

Realiza entre otras las siguientes operaciones.:

- Análisis del disco duro en busca de los rootkits más comunes.
- Comparaciones de hashes MD5.
- Busca ficheros que son usados habitualmente por rootkits.
- Realiza un análisis de ficheros binarios y los que se hayan movidos de su lugar habitual.
- Busca cadenas sospechosas en módulos como LKM y KLD.
- Módulos de Apache así como su configuración.
- Interfaces funcionando en modo promiscuo (posibles sniffers).
- Aplicaciones a la “escucha” que usen la librería libcap.
- Ficheros que hayan sido borrados recientemente y los ocultos.

[Fuente de la noticia completa.: http://www.daboweb.com/2008/12/07/localizando-rootkits-backdoors-o-puertas-traseras-en-gnulinux-unix-bsd-con-rkhunter/]

Antimalware (visión discotequera)

En PSI vemos distintas técnicas de infección vírica y distintos conceptos relacionados con las diversas formas del malware. También estudiamos las características básicas del software anti-malware y su problemática. Sin duda alguna, nunca existirá un software anti-malware infalible, ni mucho menos. Como dice un buen amigo, en esta vida nada es negro o blanco, más bien todo se encuentra en un amplio espectro de escala de grises. En esta entrada se incluye una visión evolutiva, muy general, de una visión de este tipo de software y su problemática, ilustrada de una forma totalmente comprensible considerando una visión un tanto discotequera.

Entrada disponible en http://www.hispasec.com/unaaldia/3687