Resaca del ataque masivo a través de webs comprometidas
El pasado día 19 alertábamos de un ataque a gran escala contra webs europeas, que tenía como último objetivo robar las claves de acceso a la banca por Internet de los usuarios que las visitaran. Después del aviso el ataque fue neutralizado en menos de 24 horas, a día de hoy podemos ofrecer nuevos datos sobre el incidente.
Más de 11.000 páginas webs fueron modificadas para redirigir a sus
visitantes de forma oculta a un tercer servidor web malicioso. El
usuario afectado en ningún momento era consciente de nada anormal, veía
con normalidad la web a la que se había dirigido, toda la conexión
maliciosa se hacía en un segundo plano.
Si el usuario que visitaba alguna de esas 11.000 webs lo hacía con una
versión vulnerable de Windows (si no había instalado algunos de los
parches de seguridad distribuidos por Microsoft durante 2006),
automáticamente se introducía en su ordenador un troyano que podía
robarle las claves de acceso a su banco por Internet.
Resumen cronológico
La herramienta utilizada para realizar las infecciones a través de las
webs comprometidas fue MPack 0.86. Esta herramienta ya fue motivo de un
detallado análisis por parte de Panda Labs el pasado mes de mayo, y se
viene utilizando asiduamente desde el año pasado en ataques similares.
También en mayo el blog de Symantec Security Response dedicó una entrada
a las funcionalidades de MPack.
Websense alertó el día 18 de este mes sobre un ataque masivo a 10.000
páginas webs basándose en la herramienta MPack 0.86. Hispasec también
pudo acceder al servidor MPack utilizado por los atacantes y tener
acceso a los datos del incidente ese mismo día. Tras un avance en el
blog del Laboratorio de Hispasec la madrugada del 18, alertamos el día
19 a través del boletín una-al-día actualizando y aportando nuevos
datos.
Al finalizar la jornada del día 19 se logró mitigar el ataque, al
desactivar el servidor web malicioso al que se redirigían los más de
11.000 sitios webs comprometidos.
Los días 19 y 20 la noticia saltó de los círculos de seguridad a los
medios de comunicación, y terminó acaparando espacio en prensa, radio y
televisión. Lo que más llamó la atención fue el número de webs
comprometidas, y el hecho de que los usuarios podían infectarse con tan
sólo visitar una web "normal". En medios internacionales el protagonismo
se lo llevó la herramienta utilidad en el ataque, MPack.
Hispasec en su blog del Laboratorio apuntó a que las más de 11.000 webs
comprometidas se hospedan en un mismo proveedor italiano, Aruba, y que
por tanto el ataque tan voluminoso fue posible por un problema de
seguridad en la infraestructura del proveedor de hosting. Hoy, día 21,
SANS Internet Storm Center publica una nota de Verisign/Idefense que
apoya la misma conclusión que Hispasec, y apuntan a que el ataque al
proveedor de Internet pudo realizarse a través de una vulnerabilidad en
la herramienta cPanel de administración web.
Mientras continúa la resaca informativa de este caso, a buen seguro se
están sucediendo otros incidentes similares, incluyendo los que estén
utilizando la nueva versión MPack 0.90. Entre las novedades de esta
versión destaca el uso de la vulnerabilidad ANI, cuyo parche para
Windows fue publicado por Microsoft en abril de 2007, y que dota de un
mayor poder de infección a las nuevas webs comprometidas.
También se incluyen el uso de vulnerabilidades de aplicaciones de
terceros muy difundidas en Windows, como WinZip y QuickTime, que por
norma general los usuarios descuidan más su actualización.
MPack 0.90 también corrige algunos problemas de seguridad de la propia
herramienta, que permitía que empresas como Hispasec pudieran acceder a
los servidores de los atacantes y tener datos puntuales sobre lo que
estaba sucediendo, motivo por el cual hemos podido informar con tanta
precisión sobre el alcance de este ataque y ayudar en su mitigación.
Estas nuevas mejoras entorpecerán conocer la envergadura real y exacta
de los nuevos ataques que se sucedan, si bien la lucha se mantendrá viva
entre los atacantes y las empresas de seguridad.
Moraleja
Aunque la mayoría de las informaciones se han centrado en MPack como
herramienta de ataque, en Hispasec creemos que la lectura más útil del
incidente va encaminada a concienciar a los usuarios finales.
Realizar una navegación responsable no evita la posibilidad de sufrir
ataques. Hay cierta tendencia a pensar que los usuarios que se infectan
es porque necesariamente han visitado páginas webs "peligrosas"
(contenidos eróticos, descarga de programas piratas, cracks, etc). Es
cierto que visitando esas páginas puede existir mayor probabilidad de
infecciones, especialmente con la instalación de cracks dependiendo de
la fuente, pero también sucede en otras páginas webs con contenidos
"normales". También hay que desmentir el bulo de que la descarga de MP3
o vídeos en redes P2P es especialmente peligrosa desde el punto de vista
de la seguridad e integridad de los sistemas (pero ésta es otra guerra).
Este incidente es un ejemplo más de que el ataque puede suceder en
cualquier escenario y que por tanto la solución no es "demonizar"
ciertos contenidos, sino que lo primordial es concienciar a los usuarios
de que deben seguir unas normas básicas de seguridad para prevenir ser
víctimas de este tipo de ataques automáticos.
Unas de esas normas básicas es que deben mantener sus sistemas puntualmente actualizados con los últimos parches de seguridad. Los usuarios de Windows que hubieran seguido esta sencilla regla y visitaron algunas de las 11.000 webs comprometidas, no sufrieron ninguna infección.
Navega por donde quieras, pero navega seguro.
Más información:
Análisis de la vulnerabilidad en ficheros ANI de Microsoft
http://www.hispasec.com/unaaldia/3090/analisis-vulnerabilidad-ficheros-ani-microsoft
MPack uncovered!
http://blogs.pandasoftware.com/blogs/pandalabs/archive/2007/05/11/MPack-uncovered_2100_.aspx
MPack, Packed Full of Badness
http://www.symantec.com/enterprise/security_response/weblog/2007/05/mpack_packed_full_of_badness.html
Malicious Website / Malicious Code: Large scale European Web Attack
http://www.websense.com/securitylabs/alerts/alert.php?AlertID=782
Ataque vía web a gran escala
http://blog.hispasec.com/laboratorio/223
Marta Torné y el ataque basado en webs
http://blog.hispasec.com/laboratorio/224
¿Cómo comprometer más de 10.000 sitios web?
http://blog.hispasec.com/laboratorio/225
MPack Analysis
http://www.incidents.org/diary.html?storyid=3015
Bernardo Quintero
[email protected]
Fuente: http://www.hispasec.com/unaaldia/3162/
Más de 11.000 páginas webs fueron modificadas para redirigir a sus
visitantes de forma oculta a un tercer servidor web malicioso. El
usuario afectado en ningún momento era consciente de nada anormal, veía
con normalidad la web a la que se había dirigido, toda la conexión
maliciosa se hacía en un segundo plano.
Si el usuario que visitaba alguna de esas 11.000 webs lo hacía con una
versión vulnerable de Windows (si no había instalado algunos de los
parches de seguridad distribuidos por Microsoft durante 2006),
automáticamente se introducía en su ordenador un troyano que podía
robarle las claves de acceso a su banco por Internet.
Resumen cronológico
La herramienta utilizada para realizar las infecciones a través de las
webs comprometidas fue MPack 0.86. Esta herramienta ya fue motivo de un
detallado análisis por parte de Panda Labs el pasado mes de mayo, y se
viene utilizando asiduamente desde el año pasado en ataques similares.
También en mayo el blog de Symantec Security Response dedicó una entrada
a las funcionalidades de MPack.
Websense alertó el día 18 de este mes sobre un ataque masivo a 10.000
páginas webs basándose en la herramienta MPack 0.86. Hispasec también
pudo acceder al servidor MPack utilizado por los atacantes y tener
acceso a los datos del incidente ese mismo día. Tras un avance en el
blog del Laboratorio de Hispasec la madrugada del 18, alertamos el día
19 a través del boletín una-al-día actualizando y aportando nuevos
datos.
Al finalizar la jornada del día 19 se logró mitigar el ataque, al
desactivar el servidor web malicioso al que se redirigían los más de
11.000 sitios webs comprometidos.
Los días 19 y 20 la noticia saltó de los círculos de seguridad a los
medios de comunicación, y terminó acaparando espacio en prensa, radio y
televisión. Lo que más llamó la atención fue el número de webs
comprometidas, y el hecho de que los usuarios podían infectarse con tan
sólo visitar una web "normal". En medios internacionales el protagonismo
se lo llevó la herramienta utilidad en el ataque, MPack.
Hispasec en su blog del Laboratorio apuntó a que las más de 11.000 webs
comprometidas se hospedan en un mismo proveedor italiano, Aruba, y que
por tanto el ataque tan voluminoso fue posible por un problema de
seguridad en la infraestructura del proveedor de hosting. Hoy, día 21,
SANS Internet Storm Center publica una nota de Verisign/Idefense que
apoya la misma conclusión que Hispasec, y apuntan a que el ataque al
proveedor de Internet pudo realizarse a través de una vulnerabilidad en
la herramienta cPanel de administración web.
Mientras continúa la resaca informativa de este caso, a buen seguro se
están sucediendo otros incidentes similares, incluyendo los que estén
utilizando la nueva versión MPack 0.90. Entre las novedades de esta
versión destaca el uso de la vulnerabilidad ANI, cuyo parche para
Windows fue publicado por Microsoft en abril de 2007, y que dota de un
mayor poder de infección a las nuevas webs comprometidas.
También se incluyen el uso de vulnerabilidades de aplicaciones de
terceros muy difundidas en Windows, como WinZip y QuickTime, que por
norma general los usuarios descuidan más su actualización.
MPack 0.90 también corrige algunos problemas de seguridad de la propia
herramienta, que permitía que empresas como Hispasec pudieran acceder a
los servidores de los atacantes y tener datos puntuales sobre lo que
estaba sucediendo, motivo por el cual hemos podido informar con tanta
precisión sobre el alcance de este ataque y ayudar en su mitigación.
Estas nuevas mejoras entorpecerán conocer la envergadura real y exacta
de los nuevos ataques que se sucedan, si bien la lucha se mantendrá viva
entre los atacantes y las empresas de seguridad.
Moraleja
Aunque la mayoría de las informaciones se han centrado en MPack como
herramienta de ataque, en Hispasec creemos que la lectura más útil del
incidente va encaminada a concienciar a los usuarios finales.
Realizar una navegación responsable no evita la posibilidad de sufrir
ataques. Hay cierta tendencia a pensar que los usuarios que se infectan
es porque necesariamente han visitado páginas webs "peligrosas"
(contenidos eróticos, descarga de programas piratas, cracks, etc). Es
cierto que visitando esas páginas puede existir mayor probabilidad de
infecciones, especialmente con la instalación de cracks dependiendo de
la fuente, pero también sucede en otras páginas webs con contenidos
"normales". También hay que desmentir el bulo de que la descarga de MP3
o vídeos en redes P2P es especialmente peligrosa desde el punto de vista
de la seguridad e integridad de los sistemas (pero ésta es otra guerra).
Este incidente es un ejemplo más de que el ataque puede suceder en
cualquier escenario y que por tanto la solución no es "demonizar"
ciertos contenidos, sino que lo primordial es concienciar a los usuarios
de que deben seguir unas normas básicas de seguridad para prevenir ser
víctimas de este tipo de ataques automáticos.
Unas de esas normas básicas es que deben mantener sus sistemas puntualmente actualizados con los últimos parches de seguridad. Los usuarios de Windows que hubieran seguido esta sencilla regla y visitaron algunas de las 11.000 webs comprometidas, no sufrieron ninguna infección.
Navega por donde quieras, pero navega seguro.
Más información:
Análisis de la vulnerabilidad en ficheros ANI de Microsoft
http://www.hispasec.com/unaaldia/3090/analisis-vulnerabilidad-ficheros-ani-microsoft
MPack uncovered!
http://blogs.pandasoftware.com/blogs/pandalabs/archive/2007/05/11/MPack-uncovered_2100_.aspx
MPack, Packed Full of Badness
http://www.symantec.com/enterprise/security_response/weblog/2007/05/mpack_packed_full_of_badness.html
Malicious Website / Malicious Code: Large scale European Web Attack
http://www.websense.com/securitylabs/alerts/alert.php?AlertID=782
Ataque vía web a gran escala
http://blog.hispasec.com/laboratorio/223
Marta Torné y el ataque basado en webs
http://blog.hispasec.com/laboratorio/224
¿Cómo comprometer más de 10.000 sitios web?
http://blog.hispasec.com/laboratorio/225
MPack Analysis
http://www.incidents.org/diary.html?storyid=3015
Bernardo Quintero
[email protected]
Fuente: http://www.hispasec.com/unaaldia/3162/
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!