Necesitas una botnet, solo $9.00 la hora

Agregando un poco mas de sal al problema de las botnets y del "Attack as a Service (AaaS)" (no se si exista el termino pero ya que esta la moda del computo en la nube) una nota interesante:

Study finds the average price for renting a botnet

http://www.zdnet.com/blog/security/study-finds-the-average-price-for-renting-a-botnet/6528

"Based on an experiment conducted by researchers from VeriSign’s iDefense Intelligence Operations Team, involving 25 different "rent a botnet" underground marketplace propositions, they were able to conclude that the average price for renting a botnet is $67 for 24 hours, and $9 for hourly access."

Aqui hay algunos articulos relacionados (a bontnets):

The attack of the opt-in botnets

http://www.zdnet.com/blog/security/attack-of-the-opt-in-botnets/6268

The biggest cloud on the planet is owned by ... the crooks

http://www.networkworld.com/community/node/58829

Saludos,

-asn

Noticias y recursos de DoS/DDoS

Aprovechando el "hype" que han tomado las noticias sobre los ataques de negación de servicio a Twitter, Facebook y Livejournal decidí cambiar un poco el template de mi blog de investigación para agregar algunos recursos. El post con los detalles aquí.

La gran noticia de hoy de Conficker es que ... No hay noticias

    Por el momento todo luce calmado. Aunque ya prácticamente es 1 de abril en todo el mundo aún no hay noticias del esperado fin del mundo que traería este día como resultado de la expansión del gusano conficker y del nuevo "payload" que hoy se activaría.

   Más que el resultado de una gran campaña de parcheo, creo que el famoso gusano aprovechó una gran campaña mediática donde se exageraron y sobrestimaron sus efectos. Espero no equivocarme y creo que el día seguirá tranquilo. Por si algo pasa, estaré actualizando a través de mi cuenta de twitter y mi tumbr. En caso de infección o pro-acción contra el gusano aquí hay algunos recursos.

La BBC, su botnet y otras noticias de ataques DDoS

  Sin duda la noticia acerca de ataques de DDoS más comentada de la semana fue la relacionada a la BotNet que la BBC contrató. Para no ser tan amarillista como otros medios, en realidad no fue la BBC como cadena de medios, sino el staff de uno de sus programas llamado Click. El objetivo del programa era demostrar lo fácil que es contratar un botnet para actividades delictivas. La botnet se uso para enviar SPAM a una cuenta predefinida y para atacar con un DDoS a un sitio de una empresa de seguridad específicamente puesto para este propósito. Aunque se ha dicho mucho acerca de la ética seguida por el staff de Click, lo cierto es que demostraron lo fácil y barato que es contratar este tipo de servicios.

En otra noticia, José Nazario de Arbor Networks en su presentación en SOURCE Boston comentó acerca de los neuvos "trends" en cyber delitos. Nazario explica que cyber criminals ya no solo venden kits de software para ejecutar actividades ilícitas en computadoras no protegidas, sino que ahora hasta venden servicios para los script-kiddies o criminales que nada más no se les da como usar el software malicioso. El audio de la presentación aquí.

Y el ataque al sitio de Torrents Mininova continúo. Aquí pueden ver algunos trends en el tráfico que los ataques han generado.

DDoS a principios de Marzo

Ante el asombro de algunos, el sitio del Pirate Bay fue atacado por un DDoS a principios de esta semana. Aún no hay noticias de quienes fueron los autores intelectuales. El sitio esta estable por lo pronto.

De acuerdo a un analisis de la firma de anti-virus Sophos, el gusano Confiker podría iniciar un ataque de DDoS hacia algunos sitios, entre ellos Soutwest Airlines. El DoS sería un daño colateral debido a la propagación del gusano. La nota en TechRepublic.

Y el sitio de Torrents Minova ha sido atacado también por un DDoS. De acuerdo a TorrentFreak el ataque ha llegado hasta los 2 Gbps viniendo de redes de bots que parecen estar en Alemania y Argentina.

Embajada de Francia en China bajo DDoS

De acuerdo al Le Monde (aquí la traducción al Español) el sitio de la embajada de Francia en China ha sido innacesible por varias días. La causa aparente es un ataque distribuido de negación de servicio (DDoS). El atentado aparenta ser por las actuales tensiones en las relaciones de Francia y China debido a la reunión  del presidente Francés Sarkozy con el Dalai Lama en Polonia.

Este es otro caso más de los que algunos llamarían Cyber-Guerra. 

Nueva vulnerabilidad RCP de Microsoft explotada y en la red.

   Un nuevo post en mi blog de investigación de ataques de DoS/DDoS. Está en inglés, pero si quieren la traducción "pochona" y al buen estilo de los bots les dejo este link de Google Translate.

Nueva vulnerabilidad RCP de Microsoft

  Si no se dieron cuenta el ISC (Internet Storm Center) cambió de verde a amarillo (nuevamente esta en verde) debido al anuncio de una nueva vulnerabilidad (MS08-067) RPC de Microsoft. La vulnerabilidad esta en los servicios RCP e intercambio de archivos y es similar a la que explotaron los worms Blaster y similares. Afecta a la familia XP, Windows Server 2003, Windows Server 2008 y Windows Vista.

Microsoft anunció un parche crítico fuera del ciclo normal de parcheo. Así que administradores de redes Windows, a probar e instalar parches. Nadie quiere otra semanita como la de hace unos años en donde muchos anduvimos de apaga fuegos y cazadores de máquinas comprometidas. Más información:

ISC

Microsoft

Update: Si quieren saber si su máquina ya se infectó aquí pueden encontrar que buscar en los registros de windows.

La nueva firma de Snort.

Dinero sucio en línea

Es indiscutible que el Internet (y aunque en el discovery channel le digan "la Internet", para mi al menos por cacofonía me parece mejor "el") es una fuente de ingreso para muchos y para algunos es una gran fuente de ingresos. Desafortunadamente como en muchos lugares donde se manejan grandes cantidades de dinero hay algunos que intentan enriquecerse de forma inmediata y para ello recurren a prácticas no-legítimas o al menos en algunos casos poco éticas.

Y aunque este tipo de actividad no es nada nuevo y en general no es ninguna noticia en estos últimos días hubo algunas noticias que me gustaría comentar.

Usuarios cansados de ser víctimas de scams se tomaron la justicia por sus manos y publicaron las fotografías y direcciones postales de los supuestos scammers. De acuerdo a Ars Technica los scamers vendían suscripciones de búsquedas de términos específicos (las cuales pueden ser obtenidas gratuitamente). Pero además utilizaban la inforamción de tarjetas de crédito para hacer pequeños cargos sin autorización de los usuarios. Sin poder cancelar la "subscripción" algunos usuarios llegaron al límite y expusieron a los scammers junto con la información de sus novias. Los sitios usados actualmente se encuentran redirigos a páginas genéricas de aterrizado (park domains).

En otra noticia interesante Microsoft ha demandado a varias compañías de "Scareware". Estas compañías "asustan" a los usuarios enviando falsas alertas de seguridad acerca de los sistemas en donde están corriendo. Estás alertas piden a los usuarios bajar y pagar una nueva versión de software de "protección" para actualizaciones de seguridad, por supuesto la actualización no es necesaria. De acuerdo a Alex Eckelberry, presidente de la comapañía de seguridad Clearwater, este problema está en crecimiento y cada vez es más común. Por mi parte creo que Microsoft ha tomado una buena decisión al demandar a estás compañías. Vamos, Windows no es perfecto pero cargarle santitos de más creo es demasiado.

Y ya entrados en fraudes, resulta que los empleados de varias compañías de apuestas y juegos de mesas en línea (como pocker) abusaron de varias vulnerabilidades en los sistemas para poder tomar ventaja en los juegos. Entre las trampas estaba ver las cartas de los contrincantes. Esto fue descubierto por un jugador australiano que detectó irregularidades estadísticas en las ganancias de algunos jugadores. Esto llevó a las compañias de apuestas a investigar y descubrir que sus empleados habían estafado a los jugadores por más de tres años.

Dos europeos han sido acusados en Estados Unidos con cargos por haber realizado ataques de Negación de Servicio. Los supuestos acusados utilizaron los bots que tenían en su botnet para activar una serie ataques de negación de servicio. Los ataques fueron aparentemente contratados por la empresa Orbit Communication para ser realizados contra dos de sus competidores, Rapid Satellite y Weaknees. Los ataques trajeron pérdidas de acuerdo a los abogados de alrededor $200,000 usd.

Para castigar más fuertemente a los ejecutores de este tipo de ataques en en en el Reino Unido se han hecho algunas modificaciones al "Computer Misuse Act (CMA)" entre las cuales se incluyen la posiblidad de extradición de criminales a ataques computacionales, penas más altas y la inclusión de DoS como parte de los crímenes.

Y para terminar las noticias de las semana resulta que nustros amigos de Skype han estado trabajando con el gobierno Chino para desencriptar información de llamadas hechas a China usando Skype. Entre la información expuesta hay direcciones de IP, número de teléfonos de líneas locales, usernames, passwords, etc. El reporte aquí. Esto nos deja pensando que las compañías son capaces de hacer cualquier cosa con tal forma de cumplir con los "requisitos" gubernamentales que los dejen operar libremente. Esto no es solo en China, también sucede en otros países "más" desarrollados pero "bajo leyes" (hint: CALEA).

Mañana se vuelve a acabar el Internet: Un nuevo ataque de negación de servicio

Dos investigadores de seguridad han dado a conocer que cuentan con información sobre un nuevo ataque de negación de servicio que podría traer severas consecuencias al Internet. Esta no sería la primera vez que un descubrimiento de seguridad amenaza la estabilidad de la red y posiblemente como tantas otras no sea la que finalmente acabe con el Internet (si algún día alguna realmente lo hace). 

Entre las vulnerabilidades que han amenzado con acabar con el Internet están los ataques de negación de servicio tipo Synflood (que irónicamente regresan con esta nueva vulnerabilidad), el bug de SNMP, los hacks al IOS de Cisco, la recontra publicitada vulnerabilidad de los DNS y la reciente vulnerabiliad de BGP (de un tema parecido escribí aquí).

Ahora, ¿de qué se trata esta nueva vulnerabilidad? Bueno, pues resulta que una de las estrategias para defenderse de los SynFlood Attacks son las Syn Cookies. Recordemos que los SynFlood attacks se basan en nunca terminar el Three Handshake de TCP lo cual hace que el server atacado se quede con recursos y muchas conexiones a la mitad. Para evitar este ataque las Syn Cookies calculan (mediante un hash que puede ser visto aquí) un el número de secuencia de TCP que se envía en el SYN+ACK para "trackear" la conexión del cliente (el servidor es el que recibe el SYN inicial y envia el SYN+ACK con un número de secuencia "llave" por cada conexión). De esta forma el servidor no tiene que mantener la conexión abierta y ahorra recursos. Si el cliente es real y contesta, mediante el número de secuencia de TCP el servidor puede recrear la conexión. 

Los detalles del ataque aún no están claros, pero de acuerdo a a Robert Lee y Jack Louis (los que descubrieron la vulnerabilidad) es posible acabar con los recursos de los servidores sin afectar los del cliente. Algunas de las teorias que surgen en varias discusiones es que el cliente usa la misma técnica de Syn Cookies para responder al SYN+ACK. Como nunca se crea la conexion el servidor termina con una conexión que nunca será usada y con menos recursos, mientras que el cliente que nunca inicio la conexión puede seguir abriendo conexiones a tasas muy altas, lo cual al final ocasiona un DoS.

Por lo pronto esperaremos a que los vendors de equipo de redes y sistemas operativos encuentren una forma de resolver este problema y los investigadores revelen los detalles del problema en la Conferencia T2.

Update: Fyodor, el autor de NMAP explica un poco más el ataque. Es similar a lo explicado anteriormente con algunas diferencias. Por ejemplo las SYN Cookies no son necesarias. El ataque es como sigue:

1) Filtra con un host-firewall las conexiones de un puerto específico, por ejemplo el 80 de http.

2) Haz una conexión a un servidor en el puerto filtrado. El servidor contestará con un SYN+ACK.

3) Como el puerto está "firewaleado" en tu host nunca contestas el SYN+ACK de la forma normal y nunca creas la conexión.

4) Pero ... si contestas el SYN+ACK con tu ataque, esto hace que ahorres recursos al NO crear la conexión en tu host pero SI crees una conexion en el servidor remoto. De esta forma el servidor comienza a usar recursos. 

5) Puedes repetir esto las veces que quieras hasta que afectes al servidor.

 

Ataques de negación de Servicio son ahora crimen en el Reino Unido

A partir del 1 de Octubre de 2008 entran en vigor modificaciones al Computer Misuse Act (CMA). Entre las más importantes están el incremento de penas de 6 meses a 2 años, también puedes ser extraditado y que ahora los ataques de negación de servicio se consideran un crimen. Anteriormente estos ataques estaban un poco grises en la legislación de acuerdo a esta nota. Sin embargo Spybot hace un análisis interesante de algunas implicaciones de la ley como el hecho de cometer un error y ocasionar un DoS (ej. un parche mal aplicado)

Una medida que afortunadamente no pasó es la de incluir la distribución de software de hackeo como ilegal, lo cual nos hubiera hecho a muchos unos criminales. Una ley similar es válida en Alemania donde el solo hecho de tener NMAP o AirSnort te hace romper la ley.