TheFlame, el sueño de todo creador de malware


No por su funcionalidad, sino por el salvoconducto con el que viene acompañado: está firmado por Microsoft. Esto es el sueño de todo creador de malware, por la forma en la que actúan las casas antivirus ante esta garantía, es seguro que se trata de parte de la clave del éxito por la que TheFlame ha permanecido oculto durante al menos 5 años.





Microsoft publicó el domingo una actualización de su repositorio de certificados. Revocaba (marcaba como "no confiables") a tres autoridades de certificación intermedias. La explicación oficial deja algunas lagunas. En algún momento, alguien consiguió manipular un certificado que se usa para licencias de Terminal Server, y firmar código con él. Esto es un grave error por parte de Microsoft. Como explica SecurityByDefault, los certificados tienen unas funciones concretas cuando son creados, y no deben mezclarse.

Microsoft habla también de "older criptography", lo que lleva inmediatamente a pensar en MD5. Al comprobar que los certificados revocados usan ese tipo de hash, más o menos encaja. Si unimos las dos piezas, tenemos que de alguna manera los atacantes han forzado un certificado destinado a Terminal Server y han conseguido firmar código con él, validando hacia arriba la cadena de certificación por ser "débil" la validación de las autoridades certificadoras intermedias. El hecho de que haya revocado toda una autoridad intermedia, en vez de un simple certificado, indica que el problema podría ir más allá. De hecho, lo inquietante del comunicado de Microsoft es:

"The Flame malware used a cryptographic collision attack in combination with the terminal server licensing service certificates to sign code as if it came from Microsoft. However, code-signing without performing a collision is also possible. This is an avenue for compromise that may be used by additional attackers on customers not originally the focus of the Flame malware. In all cases, Windows Update can only be spoofed with an unauthorized certificate combined with a man-in-the-middle attack."

O sea, es posible, sin necesidad de colisión, firmar código con este tipo de certificados que vienen de las licencias de Terminal Server. Por eso preventivamente han revocado las entidades a ese nivel.

El certificado

En concreto hablamos de 1d190facf06e133e8754e564c76c17da8f566fbb, el usado para firmar el componente de TheFlame. Ya todo el mundo sabe que fue firmado el 28 de diciembre de 2010. Pero lo curioso es que en realidad caducó el 19 de febrero de 2012. Esto quiere decir que el certificado ya no era válido de por sí, aunque no estuviera revocado. También alimenta la teoría de que el atacante no pudo elegir este dato. Si yo fuese un atacante y crease un certificado "a la carta" no lo haría caducar en febrero de 2012 sino mucho más adelante. Confirma la teoría de la colisión.

El secreto de su éxito

Stuxnet, también estaba firmado,pero con un certificado de una compañía a la que claramente, le habían robado la clave privada de los certificados. El secreto del éxito de TheFlame para pasar desapercibido, es que está firmado no por cualquier compañía, sino por Microsoft que, como dijo Mikko Hypponen de F-Secure, es "el santo Grial" del malware. Esto quiere decir que los antivirus puede que ni se molestaran en analizarlo o que, por muy extraño que resultara su comportamiento, no se arriesgaran a clasificarlo como malware. Al fin y al cabo, Microsoft nunca jamás firmaría malware... ¿verdad? Todo lo firmado por Microsoft está en listas blancas, casi por definición. Cuando un antivirus ha cometido el enorme error de clasificar un software legítimo (firmado o no) de Microsoft como malware, el sistema puede dejar de funcionar (los componentes críticos de Windows suelen estar firmados)... simplemente no arriesgan. Sería un gran varapalo a la imagen de la compañía si se comete un error de este tipo.

Desinformación

Queríamos también destacar que se está informando de una manera incorrecta sobre la actualización de Microsoft. No corrige ninguna vulnerabilidad, y no podría permitir (o en todo caso sería extremadamente improbable) que se usara para crear phishings. La actualización de Microsoft simplemente deja de confiar en ciertas entidades certificadoras intermedias, y está destinado a prevenir la aparición de más malware firmado por Microsoft.

Más información:

Microsoft certification authority signing certificates added to the Untrusted Certificate Store

Security Advisory 2718704: Update to Phased Mitigation Strategy

Flame y los certificados digitales

Microsoft Update and The Nightmare Scenario

Fuente:
Por Sergio de los Santos
http://www.hispasec.com
Twitter: @ssantosv



Otras noticias de interés:

Un Joystick Vocal ayuda a los discapacitados a manejar el ordenador
Convierte sonidos vocálicos sencillos en movimientos del cursor sobre la pantalla. Informáticos e ingenieros de la Universidad de Washington han creado un Joystick Vocal que permite mover el cursor del ordenador a personas discapacitadas. ...
HP presentó estrategia tecnológica basada en procesador Itanium2
Incluye la flexibilidad de funcionamiento en ambientes de múltiples sistemas operativos HP anunció en Venezuela su nueva estrategia tecnológica basada en los procesadores Intel Itanium2, los cuales han sido incorporados en d...
SCADA sigue siendo vulnerable
Un grupo de investigadores han mostrado múltiples fallos de seguridad sin parchear en SCADA, un sistema utilizado por plantas de distribución eléctrica, agua, gas y petróleo....
Microsoft trabaja para bloquear a BEAST
Microsoft se ha comprometido a emitir un parche de seguridad para Windows que cubra el agujero de seguridad en los protocolos de securización de websites SSL y TLS descubierto hace tiempo. El primer exploit para esta vulnerabilidad, BEAST, fue revel...
Vulnerabilidad a través de MHTML en Microsoft Windows
Han sido publicados los detalles acerca de una vulnerabilidad en el manejador del protocolo MHTML. El fallo podría permitir a un atacante remoto obtener información importante a través de un enlace HTML especialmente manipulado....
Microsoft emplea software libre en sus productos.
El gigante del software acaba de poner en evidencia su política contra el software libre, al evidenciarse que algunos de sus productos los emplean....
WebCast Microsoft-Hispasec sobre malware y soluciones
Bajo el título Defensa en profundidad contra software malintencionado (Virus) se celebrará el próximo 26 de enero un seminario virtual y gratuito a través de Internet impartido por Microsoft e Hispasec....
Vulnerabilidad cross-domain en Internet Explorer 6
Microsoft Explorer 6 es vulnerable a que un sitio web construido maliciosamente, pueda eludir las restricciones para obtener información de ventanas pertenecientes a diferentes dominios (cross-domain). Esto puede permitir que un usuario remoto no au...
ALGUNOS HACKERS BUENOS
Excelente artículo de lectura recomendada: Enfrascados como estamos en una guerra sin precedentes, la guerra de la CNN y Al Yazira, nos olvidamos de nuestros ideales, nos olvidamos del hacktivismo. Nada más que se respira crispación, y todo...
La PC (Personal Computer) - La máquina que nos cambió la vida
El ordenador personal cumple 25 años. El 12 de agosto de 1981, IBM presentaba su modelo 5150 y abría camino a una de las mayores revoluciones tecnológicas de la historia. Un equipo de 12 personas dirigido por Philip Estriedge hizo el milagro. El s...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • creador
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • malware
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sueno
  • system
  • tecnologia
  • theflame
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra