miércoles, 3 de noviembre de 2010

¿Los Antivirus realmente nos protegen?


Este documento ha sido creado con un objetivo didáctico para no solo mostrar las vulnerabilidades de 39 de los mejores antivirus del mercado, si no también para enseñar de una forma clara y entendible como encontrar y eliminar algunos tipos de malwares de nuestro sistema.

Hace un tiempo un compañero de trabajo, vino alarmado junto a su PC, ya que este de repente empezaba a tener una conexión demasiado lenta a lo acostumbrado, siempre que intentaba conectarse a Internet.

Al arrancar el equipo hice lo típico que suele hacer cualquier informático cuando no sabe por donde le vienen los tiros, (Abrir el administrador de tareas), vi al momento que el sistema consumía un 90% de la memoria disponible. Ya de principio olía mal la cosa, así que me dirigí a la pestaña de procesos en busca de algo ilógico.

Me llamó la atención el encontrarme con un lsass.exe perteneciente a un usuario corriendo en memoria, ya que el original se carga con privilegio de sistema.

Raudo abrí la consola, he hice un netstat –b y lograr ver los procesos y conexiones. Para mi asombro había un montón de incesantes intentos de conexión desde dicho proceso a un mismo rango de IP, únicamente se sumaba 1 al último dígito, ya todos sabemos porque le va mal internet a mi compañero ¿cierto?.



Abrí mi querido LordPE para buscar el PID, como se muestra en la imagen anterior con números decimales 1836, deberemos de sacar una calculadora científica para facilitar el proceso de conversión en hexadecimal, de esta manera lo encontraremos de forma ágil a no ser que estuviese inyectado en otro proceso.

El resultado es: 1836 = 72C


Una vez convertido el dígito, nos dirigimos al PID72C” desde LordPe y nos encontramos con que la ruta del falso lsass.exe es otra totalmente distinta a la original, ya que el de Microsoft se aloja de forma predeterminada en la carpeta “C:/Windows/System32” y este misteriosamente lo hace en “C:/Windows/Security”.




Al pinchar con el botón derecho y hacer un Dump Full, se copiará el archivo que corre en memoria, para así tenerlo más a mano. Una vez dumpeado se guarda en el escritorio y se enviará a un Scanner Online con 39 Antivirus, veamos el resultado del Scanner.




Algo no encaja... es seguro que este archivo está infectado y ¿los antivirus no nos alarman? ¡Pues nada! A seguir con la investigación.

¡Preguntemos a Google que lo sabe todo! Menos salir de la crisis claro... Al introducir la ruta “C:/Windows/Security/lsass.exe” encontré mucha información sobre varios foros que afirmaban sobre un muy posible malware escondido en esa carpeta, aunque posiblemente mutaciones, encriptaciones o diferente tipo de archivo malicioso, podría ser el culpable de tanta noticia.

Aprovechando que LordPE seguía abierto, me dispuse a dumpear los dos archivos lsass, el de la carpeta original y el sospechoso, claramente como se vé en la imagen tenían notables diferencias en versiones, peso y código.




¿Como se ejecutará este malware? Si lo hace de forma automatizada sin intervención del usuario... pues me voy a ejecutar un msconfig a ver que pasa.

En la pestaña de inicio nos encontramos con lo siguiente:




Ahora ya si me decidí a entrar en la misteriosa carpeta para identificar de manera visual a mi contrincante xD!!

Observando el archivo vemos que está de forma oculta de solo lectura y pesa 3,05MB.

 

¡Algo rápido! presiono “Contrl + Alt + Supr”, saco el administrador de tareas y ¡me lo cargo! ¿pero? me salta para mi información que es un proceso critico! ¿¿Wtf??





El tipo que se codeó este bichejo, se mata a proteger su malware y deja las cosas más simples a la vista, reinicio, F8 y veamos que pasa en modo seguro.




Una vez dentro del sistema saco de nuevo el LordPE para contemplar que proceso lsass.exe es el que se está ejecutando.



Viendo que el ejecutable que corre es el original y el malware permanece dormido, vuelvo a las claves de registro y a eliminar el archivo de la carpeta Security.




Una vez terminado con el ejecutable, reiniciaré el sistema y entraré en como siempre a la sesión del usuario de mi compañero. 

Una vez dentro, al observar nuevamente el administrador de tareas, veo que ya solo corre el de sistema.




Volveré de nuevo a consola para ver si se muestran las anteriores conexiones.




Quedó bien limpito de conexiones :)
Dicen que la curiosidad mató al gato, si no me mata la ceguera lo hará el asesino de gatos sin duda... así que mientras tanto voy a mirar un poco más sobre este bichejo.

Intrigado por saber que tipo de malware era, envié el ejecutable al Scanner de Anubis, el cual me mostró lo siguiente.



De todos estos archivos el que más me llamó la atención fue logins.txt ¿Para que quiere un archivo plagado de palabras?

Bien recopilemos información:

Las IP a las que conecta son iguales, únicamente varía su último número de forma incremental “+1”, así que barría todas las direcciones comprendidas dentro de un rango que encontrase a su paso, el puerto de conexión utilizado era el 22, siendo este el de serie para las conexiones desde el protocolo SSH, (conexión a shell remota segura), además de crear dos archivos aleatorios llamados “Sshbx?.exe”, tenemos un “logins.txt” con una burrada de palabras para ataque de diccionarios como Admin Admin.- Root Root - User User

Mi conclusión clara es que nos encontramos con un Robot, el controlador de la Botnet, nos usa de máquina Zombie para realizar ataques fortuitos por “Ssh” a todas las direcciones de IP que se encuentre por su paso mediante fuerza bruta con diccionario, cuando una de estas sea acertada se le enviará todo a nuestro pequeño delincuente, que conseguirá acceso total a otros servidores además del nuestro.

Podríamos seguir con el tema, incluso utilizar herramientas más complejas para la resolución de este problema y su detección, pero aveces la resolución más simple es la más acertada.

Saludos 4n4les ;)

24 comentarios:

  1. Gracias Z3R0N3! veamos si le meto un poco de caña al blog de vez en cuando y salen cosas bonitas!

    Un Saludo ^^

    ResponderEliminar
  2. Felicidades bro...Maravilla de blog

    Un saludo!... ;)

    ResponderEliminar
  3. máquina! me ago seguidor de tu blog, que veo que va a triunfar jeje, dale caña hermano :)

    ResponderEliminar
  4. uxi >>
    Ey !! mañana lo miro mucho mejor que lo he leido por encima y se ve muy bueno ^^
    un saludo amigo !!

    ResponderEliminar
  5. Hey eres realmente asomboroso le entendi quiza un 40% te felicito y sigue adelnate estare siempre pendiente de tus enseñanzas

    ResponderEliminar
  6. Gracias chicos por lo que veo son caras conocidas!

    @Anónimo

    Me alegra que te gustase el tema, aunque un 40% es poco, si tienes alguna duda puedes preguntarla a mi email.

    Saludos!

    ResponderEliminar
  7. Aqui El-Cirujano me hago seguidor de este blog ya voy a empezar a leer y a preguntar xDD, estan muy bueno todos tus contenidos sigue asi, dale caña de azucar.

    ResponderEliminar
  8. Buenisimo ... Me encanta este blog y solo llevo 1 horita leyendolo ... Te animo a que sigas con esto porque estoy muy interesado en la seguridad informatica, tanto que me quiero dedicar a ello. Gracias ¡¡¡

    ResponderEliminar
  9. El-Cirujano@
    Bienvenido, a ti ya te conocía de indetectables, pásalo bien por el blog compañero!

    Anónimo@
    Gracias por los ánimos, espero no se me apague la bombilla y pueda seguir redactando temas para el blog de forma frecuente.

    Saludos!

    ResponderEliminar
  10. Muy bueno, muy bien ilustrado y explicado! Saludos!!!

    ResponderEliminar
  11. che marica no conoces las herramientas de sysinternals? que haces usando la maricada del administrador de tareas y el msconfig?
    autoruns y process explorer y te ahorras usar el lordpe porque dumpeas desde el pexplorer.
    DSR

    ResponderEliminar
  12. DSR@
    jajaj ya te echaba de menos yo por aquí! la entrada debería llamarse ¿Como sacar un troyano con el mínimo de recursos?

    Saludos!

    ResponderEliminar
  13. a mi me paso lo mismo con un pc ajeno el cual me llevaron a hacerle un clear, por que un bichito estaba haciendo de las suyas xD,pero con astucias y unos Bats,adios marica! muy bueno lo tuyo Ano..
    ATT:SLANDG

    ResponderEliminar
  14. Bonito 4n4l-isis, por aca tengo el source de un bot que programé que hace lo mismo que ese que acabas de eliminar, digo por si te gustaría ver como funciona, es similar al bruteforce del phpmyadmin que hize en python que está publicado con todo y source en indetectables y mi blog, te sorprenderías del rango de ip's que salen vulnerables :S saludos, bonito blog te queda el estilo con el que escribes, tus lectores se intrigan en el problema haha o almenos yo me intrigé saludos!

    ResponderEliminar
    Respuestas
    1. realmente si que mamada tan real...tiene lirica este hommie.

      Eliminar
  15. jaja gracias linkgl! me alegro de que te gustase... echaré un vistazo a eso que me cuentas!

    Saludos!

    ResponderEliminar
  16. pues k te dire yo tengo ese virus che amm pracitmante en ese tutorial cuando eliminaste ese archivo seria en teoria k en mi pc tambien esta, exactamente en la misma carperta???

    otra cosa tengo otro virus vmunitor.exe
    obvio k kieren ver lo k miro, como hago para elimniar estos virus. ?¿¿¿?
    amm entre otro tambien he sido testigo de un atake upd null port, y como tres ip grignas k siempre andan hanciendo ping ? como suluciono esto? y k tanto pueden saber mis cotraseñas ?¿
    si me ayudas te estaria agradecido ya k de programacion soy aficcionando nada mas . podes dejar cualkier comentario ami blog k estare esperando la respuesta.

    ResponderEliminar
  17. Anónimo dijo...
    che marica no conoces las herramientas de sysinternals? que haces usando la maricada del administrador de tareas y el msconfig?
    autoruns y process explorer y te ahorras usar el lordpe porque dumpeas desde el pexplorer.
    DSR

    che yo uso el adminstrador de tareas pa saber si alguien ya nada fregandome asi hago para defenderme de estos dis k akers.

    otra cosa k soy victima de a atakes upd null port, DDos Dos, y saber k otra cosa mas, ¿ como hago para fortalecer mis firewalls y evitar este atake ya k el internet cae literalmente.?

    ResponderEliminar
  18. buen aporte....!!!
    la realidad en un blog...!!

    ResponderEliminar
  19. Este comentario ha sido eliminado por el autor.

    ResponderEliminar
  20. EL PUTO AMO, SIGUE ASÍ! :-D

    ResponderEliminar
  21. Muy, pero que muy bueno.

    Y el blog buenisimo, te leere a partir de ahora

    ResponderEliminar
  22. Increible tio,navaja de Ockham y a ayudar a la gente mientras se aprende

    ResponderEliminar