• Registrarse
  • Iniciar sesión


  • Resultados 1 al 4 de 4

    Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista

    Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista Blackhole es el kit del momento. Lo usan los profesionales para infectar de forma cómoda a los navegantes. La herramienta se encarga de ...

          
    1. #1
      FS-Admin
      Avatar de @MarceloRivero
      Registrado
      ene 2005
      Ubicación
      Miami
      Mensajes
      40.914

      Mensaje Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista

      Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista




      Blackhole es el kit del momento. Lo usan los profesionales para infectar de forma cómoda a los navegantes. La herramienta se encarga de elegir el exploit adecuado según navegador, plugins instalados, sistema operativo... Y por supuesto, ese exploit hará lo que el atacante haya elegido (normalmente robar los ahorros del banco de la víctima). Se ha creado la versión 2.0, que trae importantes mejoras para el atacante, y malas noticias para los analistas.

      Nació en 2010, después de desbancar a Eleonore. Según Sophos, el 28% de todas las amenazas web están basadas en Blackhole. Para AVG, son el 91%. En realidad, estas cifras tan dispares no dicen nada, solo que realmente es popular. Podemos asegurarlo por experiencia propia.


      Panel de BlackHole 1.x. Obsérvese el porcentaje de usuarios infectados por la vulnerabilidad "Java Array", arriba a la derecha.


      Uno de los creadores ha escrito en un foro ruso (cómo no), que ya está disponible la versión 2.0, destinada principalmente a eludir a los antivirus y mejorar el control del que usa el kit. Han reescrito desde cero una buena parte del código. Veamos funciones que nos parecen interesantes.

      • Ahora las URLS desde donde se descargan los payloads, son dinámicas y válidas solo por unos segundos. Luego desaparecen. Consiguen así que los cazadores de malware lo tengan muy complicado para recopilar muestras (jar y exe) de forma automática, o recuperarlas después de una infección, en los forenses. También permite elegir el formato de la URL de descarga del payload. Incluso tomar palabras de un diccionario, como una especie de firma del que lo use. En la versión 1, se usaba esta estructura:

        http://domnioblackhole.com/xxx/main.php?page=0123456789abcdef

        para la descarga del payload. Este esquema era ya reconocible (adiós a las reglas de los IDS) y han decidido que sea personalizable.

      • Han mejorado la detección de las versiones de Java vulnerables, la joya de la corona del kit (el programa que más víctimas le reporta).
      • Han hecho limpieza de exploits, eliminando los más antiguos, que reportaban poco. También los que no siempre funcionaban y podían causar que el navegador se colgase (con el objetivo de pasar aún más desapercibidos). Sin embargo, parece que dejan algunos para el obsoleto IE6, que todavía es "común", como el MDAC. Además, usarán (cómo no) un pack para explotar Java y la vulnerabilidad LibTiff para los lectores PDF (de 2010). Por supuesto, esto es ampliable.

      • Si uno de los exploits es detectado por más de un número configurable de antivirus, será descartado y reemplazado automáticamente.

      • Para los usuarios de Chrome (los únicos a los que no ataca), Blackhole 2.0 permitirá crear una página HTML estática en la que se indicará que esa URL debe ser visitada con cualquier otro navegador. Chrome no interesa a los atacantes porque la ejemplar implementación de su sandbox les hace difícil que los exploits de los plugins funcionen.

      • También mejora la seguridad. Ahora el panel permite bloquear el tráfico que les llegue sin referer. Significa que rechazará las peticiones directas. Estas suelen ser de las personas que conocen su existencia y no vienen redirigidas de ningún sitio. Además permite prohibir tráfico TOR, los referer que se deseen, etc.

      • Con respecto al panel de control, añaden nuevos sistemas operativos como Windows 8, Android y iOS. Los móviles parece que están ahí para estimar el tráfico generado por los nuevos dispositivos. También mejora la visibilidad de las versiones de Adobe y Java que poseen las visitas, para afinar los exploits de forma cómoda. Por último, lo protegen con CAPTCHA, para que alguien obtenga acceso al panel por fuerza bruta.


      Dicen además que han incluido otras mejoras, que prefieren mantener ocultas para no alertar a las casas antivirus.




      ¿Cuánto cuesta?
      El creador mantiene los precios, a pesar de las mejoras.

      Alquiler: 50 dólares al día (con 50.000 hits como límite). Al mes son 500 dólares de alquiler. La licencia para uso libre, va desde los 700 dólares por tres meses, a los 1.500 por usarlo un año. Se ofrecen posibilidades como cambios de dominio del panel de administración por 20 dólares. Existe otro servicio de "limpieza" por 20 dólares. Creemos que se refiere a eliminar de la base de datos de infectados las direcciones IPs conocidas de investigadores, casas antivirus, honeypots, etc.


      Nuestra experiencia es que Blackhole es muy sofisticado, mucho más que el panel de Zeus, que tanto nos sorprendió en 2006. Además, vulnerabilidades recientes son incorporadas al kit de forma rápida. Se encuentra muy distribuido y ha conseguido posicionarse en todo tipo de páginas, legítimas o no, de forma que cualquier usuario puede infectarse si es vulnerable a alguno de sus exploits, aun manteniendo una rutina de navegación "higiénica". Por ejemplo, Blackhole es el kit más usado actualmente para infectar con Zbots, y el famoso "virus de la policía". El éxito de difusión de ambas familias habla por sí solo.



      Autor: Sergio de los Santos
      Fuente: Hispasec



      Marcelo Rivero
      Microsoft MVP Enterprise Security.



      * Síguenos en nuestro Twitter y hazte nuestro amigo en Facebook.
      * Infórmate de las ultimas amenazas de la red desde: InfoSpyware Blog
      * No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

    2. #2
      Ex-Colaborador Avatar de RevesdeLiberte
      Registrado
      feb 2010
      Ubicación
      México
      Mensajes
      7.976

      Re: Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista

      Hola.


      El articulo esta redactado perfectamente, y sin duda Blackhole es el kit que mas se usaba y ahora me doy cuenta que sera el que mas se use por mucho tiempo en su nueva versión 2.0, otro dato curioso es que este mantiene su precio. De todo el articulo hay dos cosas positivas que se deben resaltar:

      1. Google Chrome - El único navegador que no ataca gracias a su tecnologia Sandbox para los plugins.
      2. Versiones obsoletas de Java - La principal forma de infección.


      Conociendo esto se supondría que los usuarios mínimo actualicen Java siempre a la ultima versión y consideren a Google Chrome como navegador principal. Sin embargo al desconocer todas las características de este kit solo queda ser prudente a la hora de navegar y descargar con la PC o el SmartPhone.


      Saludos.
      Última edición por RevesdeLiberte fecha: 14/09/12 a las 20:16:28
      La paciencia es un árbol de raíces amargas, pero de frutos dulces.

      * Síguenos en nuestro Twitter y hazte nuestro amigo en Facebook.
      * Infórmate de las ultimas amenazas de la red desde: InfoSpyware Blog
      * No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

    3. #3
      FS-Admin
      Avatar de @MarceloRivero
      Registrado
      ene 2005
      Ubicación
      Miami
      Mensajes
      40.914

      Re: Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista

      El problema con JAVA es mucho más grande de que los usuarios no lo tengan actualizado, el problema con este es que la mayoría no sabe si quiera si lo tiene instalado o para que sirve...

      Algo había comentado en este otro post:

      Cita Originalmente publicado por ElPiedra Ver Mensaje
      JAVA tiene todos los ingredientes necesarios para la propagación de malwares:

      • Es un sistema ampliamente utilizado con prácticamente más del 85% de los usuarios.

      • Tiene muchas vulnerabilidades que como nunca se le habían buscado a fondo, todos los meses encuentran nuevas sin parchar.

      • Estas vulnerabilidades son vendidas más baratas en el mercado negro que lo que sería un 0-day para Windows.

      • Los parches y actualizaciones tienden a demorar en salir y cuando salen es difícil que el usuario se entere.

      • Permite infectar los equipos con lo que se conoce como Drive-by-Download que es lo mismo que con solo visitar un sitio web y si necesidad de ejecutar nada, el equipo puede resultar infectado.

      • Y algo muy importante es que, la gran mayoría de los usuario no sabe para qué sirve JAVA o si quiera si lo tiene instalado o no en su equipo, mucho menos si esta actualizado.



      Por eso la mejor recomendación general para todos:


      Si no necesitas JAVA, desinstálalo completamente de tu sistema.







      Salu2
      Marcelo Rivero
      Microsoft MVP Enterprise Security.



      * Síguenos en nuestro Twitter y hazte nuestro amigo en Facebook.
      * Infórmate de las ultimas amenazas de la red desde: InfoSpyware Blog
      * No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

    4. #4
      Usuario Avatar de security rookie
      Registrado
      nov 2011
      Ubicación
      en la tierra de los caballeros callados y altivos
      Mensajes
      444

      Re: Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista

      gracias por la noticia
      en cuanto a mi, desinstalare java mas vale prevenir....