Conficker 1º de Abril

Olá.

Sobre o assunto em questão, abaixo, uma matéria extremamente relevante do blog da McAfee Avert Labs.

W32/Conficker: Much Ado About Nothing?
Friday March 27, 2009 at 4:36 am CSTPosted by Vinoo Thomas

In the run-up to April 1, the media spotlight around the latest Conficker worm variant has reached a morbid frenzy. From being touted as an “April Fool’s joke” to outrageous headlines such as “Millions of computers expected to be destroyed”–no other worm in recent history has generated this much media attention. But what have we learned from history? From the days of Michelangelo to the recent Blaster, SoBig, Sober, and Kamasutra worms, the hype surrounding the activation or payload dates of major Internet worms have turned out to be only damp squibs.
What happens on April Fool’s Day is anyone’s guess. Although we still don’t know the real intent of the authors of the Conficker worm, they have consistently improved the worm by adding new functionality and anti-debugging tricks with every released variant. In order to resist the Conficker Cabal initiative, which recently blocked domain registrations associated with previous Conficker A and B variants, the worm authors upped the randomly generated domain count from 250 to 50,000. The intent behind generating and attempting to contact so many domains is to make it extremely difficult for security researchers to monitor sites that could potentially host a payload for the Conficker worm to download and execute.
What we do know is almost all the security vendors have thoroughly analyzed Conficker–also known as Downadup and Kido worm–and have good generic detection and cleaning in place. Uploading a couple of randomly selected Conficker binaries to the VirusTotal site consistently shows an overall anti-virus detection rate of 90 percent or above. And these high detection rates are across vendors–small or big.
To prepare for any trouble on April 1, McAfee now offers a special build of its standalone cleaning tool Stinger, which will be updated on a daily basis to include any undetected Conficker variants from the wild. This special build of Stinger can be downloaded from the Avert Tools site. We’ve also posted detailed documentation on mitigation steps that security staff within organizations can take to combat W32/Conficker. Additional McAfee product coverage information for MS08-067–the Microsoft Windows Server Service vulnerability, which is exploited by the worm–can be viewed at the McAfee Threat Center.
Please ensure that your copy of Microsoft Windows is patched and your security software is fully up to date. That way you won’t end up an April Fool.

Conficker

Olá.

O assunto abaixo é de importância concreta, sobremaneira para o ambiente corporativo.

Supervírus pode atacar em 1º de abril, dizem especialistas
http://tecnologia.terra.com.br/interna/0,,OI3662872-EI4805,00.html

É fundamental que os nós estejam atualizados com os últimos KBs da Microsoft, sobremaneira o KB958644, que tem a ver com a ameaça em questão.

É também fundamental que todos os servidores e estações estejam com uma boa solução de antivírus com as últimas definições. Essa é a única combinação efetiva na erradicação do Conficker.

A vantagem de se ter uma solução corporativa de antivírus paga é inquestionável, uma vez que nesses momentos pode-se contar com a indústria no sentido de obter o conhecimento necessário para lidar com a ameaça. Conhecendo o padrão de comportamento (arquivos que usa, chaves que altera, sintomas que gera, etc.) é muito mais fácil planejar e aplicar medidas proativas e preventivas.

Abaixo uma matéria com informações técnicas bem mais apuradas do The Tech Herald. Sugiro leitura integral.

Conficker Worm fighting back - new variant disables security measures

(Update)by Steve Ragan - Mar 13 2009, 15:00

Update:
Security vendor CA pointed out an interesting bit of information this week. According to them, Conficker has a rather large joke to play next month, and it isn’t funny.
“This worm, detected as Win32/Conficker.C, is getting ready for April Fool’s Day on 1 April, although it definitely won’t be fooling around. On that day, Conficker.C will commence its attempt to generate 50,000 URLs daily and try to access (download or report back to) 500 of them. It is a clever strategy, but the security industry is certainly on the lookout.”
The warning from CA is important, but how will the companies who have teamed up to deal with Conficker handle 50,000 domains, at one time, daily? So far none of them have mentioned any solid plans.
Original article below:
In a previous article, The Tech Herald made a joking reference to Conficker variant C++. It would appear that Murphy’s Law applied, as Symantec is reporting that a new variant of Conficker, version C, is digging trenches and preparing for a long, cold, bitter war against the security researchers who are dedicated to fighting it.
Symantec says they have discovered a new update that is being pushed to some systems infected by the Conficker (Downadup) Worm. The update does’t add any new methods of propagation, but considering that new systems are still being infected daily, the authors of the Worm do not need to update that part of the code, at least not yet.
The new addition is that the new variant targets security researchers, security software, and even security related applications. If the Worm detects processes on an infected system that contain security testing and analysis, or anti-Virus related strings, it kills them. Wireshark, Unlocker, TCPview, filemon, ms08-06, kb958, kb890, confick, hotfix, and downad, are all strings that are killed-off by the Worm.
Another update to the new variant is the domain generation algorithm. Earlier variants would generate 250 domains, which were contacted by the infected system to receive updates and instructions. Researchers cracked the domain generation and started registering and blocking the domains before they could be used, limiting the scope of this method of further infection. However, some domains generated by Conficker turned out to be legit, causing some concern because of an elevated attack vector.
Now, Symantec says the 250 domain limit is gone, replaced by a 50,000-a-day generation algorithm, using one of a possible 116 domain suffixes, such as com, net, org, tv, info, ws, etc.
“These early findings may suggest that the Downadup authors are now aiming for increasing the longevity of the existing Downadup threat on infected machines. Instead of trying to infect further systems, they seem to be protecting currently infected Downadup machines from antivirus software and remediation. Also, currently we are not seeing an increase in customer infections for this threat but are keeping a close eye on it,” Symantec said.
Last month, SRI International reported about new code in the variant of Conficker named B++, that foreshadowed the possibility that the Worm’s authors were looking for ways to fight the researchers.
“Under Conficker B++, two new paths to binary validation and execution have been introduced to Conficker drones, both of which bypass the use of Internet Rendezvous points: an extension to the netapi32.dll patch and the new named pipe backdoor. These changes suggest a desire by the Conficker's authors to move away from a reliance on Internet rendezvous points to support binary update, and toward a more direct flash approach,” the SRI research stated.
If the people behind the Conficker are working to protect the systems they have now, then why would they up the number of generated domains? What no one has been able to ascertain is the planned use for the infected systems.
While the infection rate has slowed, this does not mean that we won’t see a slight boost over the coming months. This is because no matter how good the researchers are, 50,000 domains are hard to fight, and even harder to predict and block before the Worm can access them. All the Worm needs is a few hundred domains, and a quick download of new code to the infected systems. It is this new code, and the concern of what it will do, that bothers most security experts the most.
The odds are stacked against the researchers, but like before, they will work something out. For now, the cat and mouse game keeps going.

Abraços e boa sorte!

Las Vegas 2008

Estive em Las Vegas em Outubro do ano passado para atender a uma conferência anual de uma empresa de Segurança da Informação. Após uma semana inteira de trabalho e passeio , fui embora (com entusiasmo) com algumas impressões que me permito publicar aqui.

Las Vegas é uma cidade que tem absolutamente tudo a oferecer para todos os sentidos humanos. Para quem procura estímulos sensoriais, Las Vegas é um prato cheio (derramando, na verdade). A começar pela visão. Mais do que luzes e jogos de cores simplesmente "maravilhosos", existe uma estratégia violentamente montada para atrair a atenção do consumidor. Provavelmente mais do que em qualquer outro lugar o sentido da palavra consumo é dinamizado ao extremo em sua literalidade. Não menos fundamentalmente importante que o estímulo da visão, Las Vegas tem uma estrutura impressionamente de Cassinos de luxo para prover estímulo de prazeres como bebida, fumo e jogatina. Dentro de um Cassino (MGM, Mandalay Bay, Bellagio, Venetian e todos os outros) esses três prazeres andam geralmente juntos. O normal é ver uma pessoa sentada numa máquina de jogo com o cigarro em uma mão e a bebida do lado. É só dar uma andadinha de alguns minutos que a roupa fica com um fedor forte de cigarro misturado com perfume das pessoas e perfume que colocam no carpete (um carrinho fica passando jogando esse perfume). E a noção de tempo? A noção de tempo também é incrivelmente trabalhada no afã de passar uma impressão, digamos, estática (isso é muito violento!). Quando entrei no Venetian e olhei pra cima o teto é todo pintado de um céu azul com nuvens brancas, mas, como posso dizer, ahm...é violentamente real! O cérebro tem a nítida impressão de que está de dia o tempo todo e o corpo responde! Deve ser uma tecnologia e tanto. Já voltando (à pé) tarde da noite para o MGM onde eu estava hospedado, passei no Planet Hollywood pra ir no banheiro e perguntei as horas para uma funcionária no balcão e ela me disse: "It´s 3 AM, sir, but time doesn´t matter!". Hehe!

Quanto ao sexo, esse é um entretenimento clássico de Las Vegas. Um dos mais importantes. Não faltam shows, boates e baladas que tem como tema principal o estímulo à sexualidade. A programação de TV do MGM mostra uma propaganda onde o cidadão de manhã vai na piscina, do hotel, almoça bem em um restaurante que tem chef famoso, faz compras de tarde, vai pra balada de noite (boate do hotel) e acaba com uma loira do lado na cama no seu quarto. Bom, esse é um aspecto. Uma outra perspectiva desse entretenimento é o que vi quando fui comprar sanduba no McDonald´s ao lado do hotel. Nas esquinas trabalham mexicanos (latinos em geral) subempregados que ficam fazendo um barulho estranho na mão para entregar cartões de boates que têm shows de sexo. Às vezes umas 10 pessoas em certas esquinas, distribuindo esses cartões pra quem passa. Em outro dia já de manhã eu estava andando na calçada do NY Hotel e vi uma pessoa ajustando três latino-americanos em posições estratégicas com cartazes nas costas de propagandas do mesmo tipo de entretenimento sexual. Aquela foi pra mim mais uma clara cena do processo de desumanização do ser humano. Um ser humano que, para sobreviver, está sendo usado de apoio para uma propaganda de interesse de um terceiro. Bem, acho que por tudo isso Las Vegas tem o famoso apelido de Sin City (Cidade do Pecado) e isso não é coisa de gente religiosa, não, as próprias pessoas que moram lá dizem isso com bastante descontração e entusiasmo. Um taxista da cidade que passara 3 meses na cidade na sua primeira estadia há alguns anos me disse que chegou com 28 anos e, após os 3 meses, saiu com 40, hehe! Vai saber por quê!

Bem, muito embora Las Vegas, como muitos americanos dizem, "ain´t no place to raise a kid", é uma cidade incrivelmente maravilhosa (sem sombra de dúvidas). Naquilo que ela se propõe o faz muito bem e, como em todo lugar, tem suas antíteses.

Abaixo, um bom momento clássico de Las Vegas que trouxe comigo. Esse show acontece em frente ao Bellagio Hotel em intervalos de 15 minutos o dia inteiro pra quem quiser ver.

Buckle up!

Acho que como primeiro post o título do blog merece uma explicação.

Por que, então, quebra-molas no céu?

Pois bem, isso tem a ver com uma descoberta (com certeza outros muitos já descobriram isso) que fiz quando, me lembro bem, estava sobrevoando o Grand Canyon já em descida para Las Vegas. De repente o sinal de apertar o cinto de segurança ficou ligado e começou uma turbulência que durou uns 30 segundos (eternidade, pra quem sabe como é). Em meio à tensão (que, engraçado, para outros que estavam dormindo ou lendo revista nem existia) percebi que a sensação de turbulência (pelos menos a que não é tão forte) é exatamente igual a passar em um quebra-molas com um carro sem amortecedores, hehe! Acho que para controlar o medo dessa turbulência (que me persegue em todas as viagens), fiquei pensando de maneira descontraída: "Tem quebra-molas no céu! Tem quebra-molas no céu...". Se adiantou ou não? Ahm, então...