Padrão SS7 e falhas de telefonia

     Em uma matéria publicada no dia 17 de abril de 2016 pela CBS no programa 60 Minutes, foi exposta quão frágil é a segurança de celulares através do mundo. Na matéria, a jornalista contactou uma equipe de hackers situados na Alemanha e outra em uma convenção de segurança em Las Vegas.
     O grupo de Las Vegas conseguiu acesso ao celular da jornalista, enquanto o grupo da Alemanha, através de uma vulnerabilidade no protocolo SS7, utilizado pelas operadoras de telefonia acessar o histórico de chamadas, com acesso ao conteúdo das conversas e localização do congressista Ted Lieu.      A falha em si consiste, que através de um apenas um ponto vulnerável na rede, pode se ter acesso a qualquer um dos aparelhos conectados à toda a rede de telecom's. Sendo possível fazer com que a comunicação passe por um destes pontos interceptados, realizando um MITM e por consequência grampeando o telefone.
     É estudado a mudança para o protocolo Diameter, porém, como se deve pensar na compatibilidade com o sistema legado, estes problemas ainda persistirão por um bom tempo.

Sim, o badlock é real

   

     No dia 12 de Abril deste ano, foi revelada a falha de segurança Badlock. O que começou como uma grande campanha de marketing sobre uma falha de segurança, com direito a logomarca e site, o que, diga-se de passagem, não é novidade, vide HearthBleed, o que foi mais condenado neste episódio, foi anunciar que existe uma falha, e manter o suspense por aproximadamente três semanas até a revelar.

     No entanto, não se trata puramente de uma campanha de marketing, a falha existe, e não é inofensiva.

     Como já era cogitado através de pistas dos responsáveis pela descoberta da falha, o problema está na implementação do protocolo DCE/RPC  Distributed Computing Environment/Remote Procedure Call.

     O protocolo é utilizado em redes Windows para acessar o Active Directory,  serviço que é utilizado para administrar vários elementos da rede (logar na rede com conta de administrador, instalar programas remotamente etc, imagina a exploração desta falha com a utilização de um ransomware!), além de servidores SAMBA. A falha do protocolo faz com que um atacante possa burlar a criptografia da troca de mensagens entre o administrador e o AD, possibilitando um ataque de MITM para alguém que esteja farejando os pacotes da rede. Servidores Samba conectados à rede com Active Directory ficam vulneráveis, pois a comunicação com o AD fica comprometida.

No site da RedHat, ainda não está disponível uma atualização de segurança, apenas é aconselhado a não utilizar contas de acesso privilegiado através do protocolo SMB/CIFS, o qual é implementado utilizando o DCE/RPC. 

Não é apenas uma jogada de marketing, a falha é real, portanto, administradores de redes fiquem atentos.

Sequestro de dados, a onda do ransonware

     O mais famoso tipo de ataque do momento, ganha cada vez mais notoriedade. O ramsomware é um tipo de malware que funciona criptografando os dados da vítima e em seguida exigindo um resgate em troca da chave criptográfica. O resgate é pago em bitcoins, através de registros onion da rede Tor.

     Os último caso mais famoso foi o ataque à rede de hospitais MedStar em Maryland/EUA, pelo ransomware Samsam. 

     Por possuir uma forma de monetização facilmente estabelecida, este tipo de ataque vem chamando cada vez mais atenção. O ataque não se baseia em nenhum tipo de técnica nova, seus vetores mais comuns para o ataque ainda continuam sendo o Phishing, no caso do Petya e Locky, e exploração de softwares desatualizados. No caso da rede de hospitais citado acima, foi utilizado o ransonware Samsam. O ataque foi possível pela exploração de um servidor JBoss através da ferramenta de pen-test JexBoss (projeto de um brasileiro). 

     O ataque segue a sequência comum, são instaladas ferramentas que facilitem o serviço no servidor e gerenciem a permanência do acesso, como o Mimikatz, software que faz o serviço de sniffing da memória do servidor através de senhas de acesso. 

     A falha mais visada atualmente são servidores JBoss mal configurados, com acesso ao JMX Management Interface liberado em sistemas Windows, mas nada impede que falhas em servidores IIS ou Apache, e até mesmo sites com permissões de acesso mal configuradas se tornem potenciais portas de acesso.  

     Apesar de políticas de back-up terem seu custo tanto monetário quanto em tempo esta ainda é a melhor estratégia de defesa, além de manter seus servidores atualizados, pois neste caso, não podemos contar com a ajuda de Eddie Murphie.

Valve e seus vazamentos

     Nos últimos dias, a atenção de algumas pessoas recaiu sobre uma falha de segurança da empresa Valve. Em um post na plataforma Medium, o usuário Ruby detalhou como conseguiu ter um jogo publicado na Steam Greenlight (que é a plataforma que libera jogos Indie para ficarem à disposição na Loja da Steam) sem passar pela aprovação da Steam, ou pagar a taxa requerida para passar direto pela aprovação. 

     Falhas na plataforma da Steam estão se tornando um evento recorrente, em Julho de 2015, o site Ars Technica noticiou uma falha de segurança em que era possível se apossar de contas da Steam apenas pelo nome da conta. 

     Em 2014, um conjunto de desenvolvedores proeminentes da Steam comunicou sua preocupação com a área de segurança da empresa através de carta aberta. Apontando um comportamento indesejado da Steam, em um certo momento premiando jogadores comuns que descobrem bugs com itens e em outra punindo contas de jogadores enviando-lhes infrações. Foi citado o caso da descoberta do Heartbleed, em que a atualização dos servidores demorou 24 horas para aplicação do patch. Na carta ainda é pedido a adoção por parte da Valve de um plano de Bug Bounty, e um canal aberto e facilitado para a comunicação dos erros, já que hoje em dia não existem canais bem divulgados e documentados para a comunicação de falhas. 

     Infelizmente, o caso de Ruby mostrou que a Valve não está muito animada para criar um sistema que corrija estes problemas. 

     Fica o conselho: pense duas vezes antes de enviar seus dados bancários a uma empresa que parece não estar colocando a segurança em 1º lugar.