A história do computador

History of Personal Computers - Part 1/2 http://www.youtube.com/watch?v=JMM6vgA2LjM

Segurança da Internet das Coisas , entenda o que é .

Segurança da Informação no mundo da Internet das Coisas

Com a rápida expansão da utilização da Internet das Coisas em todo o mundo, além da crescente disseminação de malwares para todo tipo de hardware e software (sejam sistemas operacionais ou aplicativos), a preocupação com a Segurança da Informação (dados pessoais e corporativos) também deve seguir entre as principais prioridades da indústria de Tecnologia da Informação.

A Internet das Coisas traz centenas de milhares de dispositivos trocando informações entre si pela Internet. Informações que, por exemplo, podem ter sido coletadas através de dispositivos ligados ao corpo de um paciente e que pode enviar dados sobre o seu estado de saúde e até resultados de exames para o médico, aonde quer que ele esteja localizado, podendo, inclusive, ver estas informações do seu smartphone. Estes dados podem ser facilmente interceptados, modificados ou utilizados em benefício de quem não detém direito sobre eles.

Da mesma forma, quando afirmamos que a porta da garagem, o ar condicionado ou qualquer outro dispositivo que esteja conectado à rede interna da nossa casa e que pode ser acionados apenas pela presença do smartphone de seu proprietário, também podemos afirmar que todos estes dispositivos estão sujeitos a ação de pessoas mal intencionadas. Um especialista em tecnologia com bons conhecimento em linguagens de programação e protocolos de redes, pode facilmente criar um malware para agir em seu benefício.

Os Malwares são programas especificamente desenvolvidos para executar ações danosas e atividades maliciosas, como por exemplo, obtenção de vantagens financeiras, coleta de informações confidenciais, vandalismo, prática de golpes, realização de ataques e disseminação de spam.

Obviamente quando destacamos as oportunidades de negócios envolvidas com Internet das Coisas, pessoas mal intencionadas também buscarão se aproveitar de alguma forma deste mercado potencial. O que fazer? Pensando no lado dos usuários finais, a prevenção ainda é a melhor prática quando tratamos o tema segurança.

Manter o firewall e os softwares anti malwares atualizados, usar sempre programas originais e atualizados, usar somente fontes confiáveis ou lojas oficiais para download de aplicativos / programas, não acessar informações confidenciais ou realizar transações financeiras usando redes wi-fi públicas, verificar a veracidade e autenticidade de um link antes de clicar sobre ele e ter atenção quanto à autenticidade dos certificados digitais que aparecem no navegador são algumas das medidas de segurança a serem tomadas.

Já pelo lado das empresas e provedores de serviços, a principal mudança está na mentalidade. Estamos preparados para receber estes dispositivos dentro da rede da empresa? Como isolar o tráfego dos usuários e aplicativos do tráfego de dados sensíveis ao negócio da empresa? Como garantir a qualidade dos serviços? Como garantir uma largura de banda suficiente para atender a demanda das "coisas" sem impactar o core business da empresa? Enfim, todos queremos aproveitar as oportunidades que a Internet das Coisas pode proporcionar e que elas sempre possam vir acompanhadas da segurança adequada às informações.

*Adriano Balaguer é senior business consultant da GFT Brasil.

Fonte: Computerworld

Pesquisadores do Google descobrem vulnerabilidades de sistemas Intel rodando Linux

Pesquisadores do Projeto Zero da Google têm demonstrado como explorar problema Rowhammer em DRAM para obter privilégios do kernel em sistemas Linux.

Pesquisadores de segurança da Google Project Zero  equipe demonstraram que é possível seqüestrar os PCs compatíveis com Intel rodando Linux, explorando as fraquezas físicas em determinadas variedades de DDR DRAM (double data rate memória de acesso aleatório dinâmico) batatas fritas.

Ao explorar a técnica, apelidada de " rowhammer "os hackers podem obter privilégios do kernel mais elevados no sistema de destino. Rowhammer é classificado como um problema que afecta alguns dispositivos DRAM recentes em que acessam repetidamente uma fila de memória pode causar pouco vira em linhas adjacentes, isto significa que, teoricamente, um atacante pode mudar todo o valor do bit na memória.

Pesquisador Mark Seaborn publicou uma análise detalhada das técnicas para explorar o problema rowhammer.

"Testamos uma variedade de computadores portáteis e descobriram que um subconjunto delas exibiram o problema. Nós construímos dois trabalhando exploits de privilégios que usam este efeito. Uma explorar utiliza Rowhammer "é um problema com alguns dispositivos DRAM recentes em que o acesso repetidamente uma linha de memória pode causar pouco inverte em linhas adjacentes. bit induzida vira para obter privilégios do kernel Linux em x86-64 quando executado como um processo em nível usuário sem privilégios.Quando executado em uma máquina vulnerável ao problema rowhammer, o processo foi capaz de induzir pouco vira em entradas de tabela de página (PTEs). Ele era capaz de usar isso para ganhar acesso de gravação para sua própria tabela de página, e, portanto, ter acesso a toda a memória física de leitura-escrita. "Leia o post publicado pelo  Project Zero, do Google .

Para entender melhor a falha Rowhammer, vamos lembrar que a memória DDR é organizado em um conjunto de linhas e colunas. Blocos de memória são atribuídos a vários serviços e aplicações. Para evitar que um aplicativo acessa o espaço de memória reservado por outro aplicativo, ele implementa um "sandbox" mecanismo de proteção.

Técnica Bit flipping causada pelos problemas Rowhammer pode ser explorada para contornar a sendbox.

Os pesquisadores começaram a partir de um estudo anterior realizado por Yoongu Kim intitulado " Lançando Bits in Memory Sem acessá-los: um estudo experimental de erros DRAM de perturbação ". O especialista com uma equipe de colleagued demonstrado que, ao acessar repetidamente dois "agressor" locais de memória dentro espaço de endereço virtual do processo, eles podem causar pouco vira em uma terceira, "vítima" de localização.

"A localização vítima é potencialmente fora do espaço de endereço virtual do processo - é em uma linha diferente da DRAM os locais agressor, e, portanto, em uma página de 4k diferente (uma vez que as linhas são maiores do que 4k em sistemas modernos). Como resultado, martelando duas regiões de memória agressoras podem perturbar localidades vizinhas, causandocarga a vazar para dentro ou para fora das células vizinhas. ", diz o post no blog de ​​Project Zero.

No chip de moderno, DRAM tem uma capacidade elevada e que é difícil de evitar que as células de DRAM de interagir electricamente uns com os outros.

A pirataria equipe de elite Project Zero demonstrou dois exploits de prova de conceito que lhes permitiu controlar vários computadores x86 executando o Linux, de acordo com os especialistas os ataques poderiam trabalhar com outros sistemas operacionais também.

Abaixo os detalhes dos dois ataques:

1. Em primeiro lugar, as entradas da tabela de página (PTEs) baseados explorar usa rowhammer bit induzida vira para conseguir privilégios do kernel Linux em x86-64 e, portanto, ter acesso de leitura e gravação a todo de memória física.
2. Segundo explorar demonstra a exploração da mesma vulnerabilidade escapar do sandbox Native Client.

A equipe de especialistas em Project Zero fornecida também forneceu instruções para mitigar a falha rowhammer e, em particular, o privilégio do kernel escalada ataque.

Pesquisadores mudou Native Client para não permitir a instrução CLFLUSH x86 que é necessário para o sucesso do exploit.

"Temos mitigado isso alterando NaCl para não permitir aCLFLUSHinstrução. "sugeriu a equipe.

A mitigação para a segunda explorar é muito difícil de alcançar em máquinas existentes, t ele segundo  explorar é executado como um processo normal x86-64 em Linux e agrava privilégio de ter acesso a toda a memória física.

Os especialistas testaram as façanhas em oito notebooks x86, produzidos entre 2010 e 2014, e utilizando-se cinco diferentes fornecedores de DDR3 DRAM em cinco diferentes famílias de CPU.Project Zero lançou o "Programa para testar para o DRAM" rowhammer "problema" no Github .

Seaborn testou os exploits em 29 máquinas diferentes e obteve um flip bit em 15 casos, a notícia preocupante é que a falta de um flip-bit observado não significa que o DRAM não é necessariamente explorável.

"Enquanto uma ausência de pouco vira durante o teste em uma determinada máquina não implica automaticamente a segurança, ele oferece alguma garantia de linha de base que causando bit flips é, pelo menos difícil nessa máquina", disse Seaborn.

Uma possível defesa contra o ataque exploração rowhammer é o uso de memória ECC que usa bits extras para ajudar a corrigir erros, mas isso é mais caro. O ataque não é eficaz contra a mais recente silício DDR4 ou DIMMs que contêm capacidades ECC.

"A maior ameaça no momento parece ser a de desktops / laptops, porque eles não têm nem memória ECC nem máquinas virtuais. Em particular, parece haver um perigo com cliente nativo (NaCl) a execução de código do Google.Esta uma sandbox inteligente que permite a execução de código nativo dentro do navegador Chrome, assim que as páginas web pode executar software tão rápido quanto software nativo do sistema. Esta corrupção de memória derrota um nível de protecção em NaCl. Ninguém ainda demonstrou como usar essa técnica em prática para derrotar totalmente NaCl, mas é provável que alguém vai descobrir uma maneira eventualmente ",  disse o pesquisador Robert Graham, da Errata Security.

A equipe de Zero projeto está incitando fabricantes de DRAM, os fabricantes de chips, e os criadores de BIOS adoptar as medidas necessárias para mitigar os problemas de segurança rowhammer e divulgar como eles têm feito isso.

Pierluigi Paganini

Nova correção Microsoft promete elimiar vulnerabilidades exploradas pelo vírus Stuxnet

O que é STUXNET ?

É um vírus que infecta sistemas industriais , como controle de eletricidade , gas , água , usinas hidrelétricas , caldeiras e a maioria dos sistemas SCADA , utilizados na automação.

Microsoft surgiu com a sua mais importante Patch Tuesday para este ano, dirigindo-se a crítica do recém-divulgado FREAK ataque criptografia de rebaixamento , e uma vulnerabilidade de cinco anos de idade, separada alavancado por malware Stuxnet infame para infectar o sistema operacional Windows.

Malwares Stuxnet , um sofisticado de malware de ciber-espionagem supostamente desenvolvido pela inteligência dos EUA e do governo israelense em conjunto, foi especialmente concebido para sabotar as instalações nucleares iranianas, há alguns anos. Primeiro descoberto em 2010, Stuxnet alvo computadores explorando vulnerabilidades em sistemas Windows.

Felizmente, a Microsoft lançou um patch para proteger suas máquinas Windows que foram deixados vulneráveis ​​ao Stuxnet e outros ataques semelhantes durante os últimos cinco anos. As correções estão incluídas no MS15-020 , que resolve o problema Stuxnet.

A empresa também lançou uma atualização que corrige a vulnerabilidade criptografia FREAK na sua implementação SSL / TSL chamado Secure Channel (Schannel). As correções para a vulnerabilidade estão incluídas no MS15-031 .

Como já mencionamos em nosso relatório anterior, FREAK - abreviação de Factoring ataque à RSA-EXPORTAÇÃO Keys - foi inicialmente pensado para ser associado com o Safari da Apple e navegadores de ações do Android, mas foi encontrada para afetar PCs com Windows também.

Este décadas de vulnerabilidade FREAK permite que um invasor da sua rede para forçar o software usando o componente Schannel como o Internet Explorer para usar a criptografia fraca através da web, de modo que eles podem facilmente decifrar as conexões HTTPS interceptadas .

Entre estas duas questões críticas, a empresa também lançou um monte de outras atualizações. Março 2015 Patch Tuesday atualização da Microsoft agrupa um total de 14 atualizações relacionadas a segurança para 43 vulnerabilidades que afetam o Internet Explorer, o VBScript, Serviços de texto, Drivers Adobe Font, e Office.

• MS15-018 - A Atualização de segurança cumulativa, classificado como "crítico", afeta todas as versões do Internet Explorer e aborda uma série de vulnerabilidades de corrupção de memória, dois elevação de vulnerabilidades de privilégios, e uma vulnerabilidade de memória corrompida VBScript.
• MS15-019 - Esta atualização corrige uma vulnerabilidade de script em algumas versões mais antigas do sistema operacional Windows. A vulnerabilidade não afeta o Windows 7 e versões desktop posteriores.
• MS15-021 - Ele aborda oito vulnerabilidades nos Adobe Font componentes do driver para Windows e Windows Server explorável através de um site malicioso ou arquivo. Ele também é avaliado como 'crítica', devido à possibilidade de execução remota de código.
• MS15-022 - Esta atualização corrige três falhas desconhecidas em formatos de documentos, bem como questões múltipla cross-site scripting (XSS) para o SharePoint Server, e se aplica a todas as versões com suporte do Microsoft Office, assim como os do Office Web Apps baseados em servidor e produtos SharePoint Server.
• MS15-023 - Este boletim, classificado como "importante", aborda quatro vulnerabilidades no driver do Windows Kernel-Mode que permite a elevação de privilégios e de divulgação de informação ataques, lançando um aplicativo especialmente criado.

Resto de tudo, MS15-024 , MS15-025 , MS15-027 , MS15-028 , MS15-29 e MS15-30 , são classificadas como "importantes" e afetado Windows e Windows Server. Microsoft está aconselhando todos os seus usuários e administradores para instalar as novas atualizações o mais rápido possível.

Correia do norte tem exército de 3000 Hackers

A Coreia do Norte tem um impressionante exército de guerreiros cibernéticos, com mais de 3.000 profissionais sofisticados. De acordo com as afirmações de pessoas que escaparam para a Coréia do Sul, seu alvo principal é ninguém menos do que infra-estrutura ocidental de valor crítico.

Mais de 3.000 especialistas cibernéticos foram recrutados pela Coreia do Norte , na tentativa do país de prejudicar o Ocidente. De acordo com as declarações de um ex-presidente da Coreia do Norte, Kim Heung-Kwang, há um grande interesse em nome dos gladiadores segurança coreanos (os guerreiros cibernéticos) no sentido de penetrar nos sistemas dos governos ocidentais e prejudicando sua infra-estrutura para o osso. Kim Heung-Kwang é também o fundador da organização chamada " Intelectuais da Coreia do Norte de Solidariedade ", que visa sensibilizar e informar as pessoas sobre a intenção maliciosa da Coreia do Norte. No entanto, os interesses do país de origem do Heung-Kwang não estão limitados a fontes governamentais; em vez disso, eles também incluem fontes do setor privado e eles podem prejudicar a Internet a uma enorme extensão.

Segmentação empresas nucleares de energia e transporte, bem como organizações que manuseiam os serviços públicos, os resultados de hacking da Coreia do Norte pode levar a graves conseqüências negativas no futuro próximo. Dado o fato de que os guerreiros cibernéticos neste país são sofisticados e especialmente dedicado ao que eles fazem, a preocupação torna-se ainda maior e mais direta. De acordo com o que o professor que estava trabalhando em Hamhung Universidade da Coreia do Norte de Tecnologia Computer tinha à Reuters em dezembro :

"O objetivo final da Coreia do Norte na estratégia cibernética é ser capaz de atacarinfra-estrutura nacional de Coreia do Sul e os Estados Unidos ".

Outra coisa que é importante destacar sobre a entrevista dada por Kim Heung-Kwang é a impressionante semelhança das táticas usadas pelos norte-coreanos e os recentes ataques a Sony :

"A pirataria da Sony Pictures é semelhante a ataques anteriores, que foram atribuídos à Coreia do Norte e é um resultado de treinamento e os esforços realizados com o objetivo de destruir a infra-estrutura . "

A história chocante de Kim Heung-Kwang inclui sua prisão para a realização de filmes ilegais e sua transferência para campos de trabalho. Ele conseguiu escapar dos campos, depois de dar dinheiro a um guarda de fronteiras e depois de ter passado cerca de um ano, em condições horríveis. Mais tarde, ele nadou através do rio Tumen e chegou a China, antes de se estabelecer a Coreia do Sul e residindo lá até agora.

"Eles treinaram-se com o lançamento de ataques relacionados às redes electrónicas", Jang Se-yul comentou sobre as habilidades e sofisticação da Coreia do Norte. Jang Se-yul é outro especialista em ciência da computação ter estudado no colégio militar antes de deixar a Coreia do Norte e fugir para o sul. "A meta final que eles foram com o objetivo de por muito tempo é infra-estrutura", ele revela como para o objetivo final desses ataques cibernéticos.

A NSA tem encontrado evidências sobre a correlação dos norte-coreanos com os recentes ataques lançados contra a Sony, bem como outros ataques semelhantes. Com base nos testemunhos de pessoas que trabalharam neste campo e ter aprendido tudo dentro da Coreia do Norte, a maioria dos ataques são lançados dentro da China pelo notório " Bureau 121 ", que é o grupo de hackers trabalhando sob a direção do Bureau Geral de Reconhecimento .

Escrito por: Ali Qamar, Fundador / Editor Chefe em SecurityGladiators.com

Biografia do autor: 
Ali Qamar é um entusiasta de pesquisa de segurança Internet que gosta de investigação "profunda" para desenterrar modernas descobertas no setor de segurança. Ele é o fundador e editor-chefe da "Segurança Gladiators ", uma fonte definitiva para a segurança cibernética. Para ser franco e honesto, Ali começou a trabalhar on-line como um freelancer e ainda compartilha o conhecimento para a vida. Ele é apaixonado por compartilhar o conhecimento com as pessoas, e sempre tentamos dar apenas o melhor. Siga Ali no Twitter @ AliQammar57

Pierluigi Paganini

Grupo de Hackers ligados ao NSA atuam desde 2011

O Grupo Equação

Em fevereiro de 2014, a equipe de especialistas da Kaspersky Lab anunciou a descoberta de um grupo de hackers que operam a partir de 2001 que conseguiu inúmeras campanhas espionagem cibernética dirigidas contra empresas em praticamente todos os setores, alavancando sobre malwares sofisticados, zero-day.

Os pesquisadores apelidado a equipe hackear o Grupo Equation por causa de sua atitude no uso de algoritmos de criptografia e métodos de ofuscação, e para os métodos sofisticados usados ​​em suas campanhas.

Os investigadores revelaram que hackers por trás do Grupo Equação mostram capacidades de invasão significativos combinado com tácticas sofisticados e complexos, técnicas, e procedimentos. Os especialistas têm coletado uma quantidade enorme de informações relacionadas com as ferramentas de hacking no arsenal do Grupo Equation. Estas ferramentas têm exigido um esforço considerável para o seu desenvolvimento, o que sugere o envolvimento de um governo.

A descoberta mais desconcertante feita pelos investigadores está relacionada com a alegada ligação entre o Grupo Equation e da equipe de programadores por trás doStuxnet e Chama malware.

Com base nas informações relacionadas com as numerosas espionagem cibernéticacampanhas analisadas pelos especialistas da Kaspersky ao longo dos anos, a comunidade de especialistas em segurança a hipótese de que a Agência de Segurança Nacional (NSA) pode estar ligada ao Grupo Equation, embora Kaspersky nunca apontou o dedo para a inteligência dos EUA.

"Há laços sólidos indicando que o grupo Equation interagiu com outros grupos poderosos, como o Stuxnet e operadores-geral da chama de uma posição de superioridade", afirma o relatório divulgado pela Kaspersky durante a Cúpula Analista de Segurança da empresa, em Cancun, no México.

Os pesquisadores da Kaspersky explicou que o Grupo A equação é um "ator ameaça que supera qualquer coisa conhecida em termos de complexidade e sofisticação das técnicas." Sua atividade foi definida pelos especialistas como a mais sofisticada campanha de espionagem cibernética já vi.

O Grupo A equação também teve acesso a zero-dias antes de serem utilizados pelos operadores por trás de campanhas Stuxnet e Flame. De acordo com os pesquisadores da Kaspersky Lab, em sete exploits utilizados pelo Grupo Equation em seu malware e explorar kit, pelo menos quatro deles foram usados ​​como zero-days. Por exemplo, os especialistas mencionou um código malicioso apelidado de Fanny, que foi utilizado pelo Grupo Equation em 2008, quando ele explorou dois zero-dia, mais tarde introduzido no Stuxnet variantes detectado em junho de 2009 e março de 2010. Esta é a prova de que a equipe de hackers teve acesso a falhas anteriormente desconhecidos antes de qualquer outro grupo de hackers.

"Pelo menos quatro deles foram usados ​​como zero-dias pelo grupo equação. Além destes, observou-se a utilização de explorações desconhecidos, possivelmente de dia zero, contra Firefox 17, como usado no navegador TOR . Um caso interessante é o uso do CVE-2013-3918, que foi originalmente usado pelo APTgroup atrás da Aurora ataque de 2009. O Grupo EQUAÇÃO capturado seu explorar e reaproveitado para segmentar usuários do governo no Afeganistão ".

O Grupo Equation infectou milhares ", até mesmo dezenas de milhares" de vítimas em todo o mundo. Pesquisadores da Kaspersky ter recolhido provas de ataques em 42 países.

Pesquisadores da Kaspersky documentaram cerca de 500 infecções. As vítimas foram localizadas principalmente no Irã, Rússia, Paquistão, Afeganistão, Índia e Síria.O mecanismo de autodestruição projetado para os códigos maliciosos usados ​​pela equação Grupo combustíveis suspeitas de que os casos descobertos pelos especialistas são apenas uma pequena porcentagem do total de infecções.

O grupo bateu organizações governamentais e empresas privadas pertencentes às seguintes categorias:

• Governos e instituições diplomáticas
• Telecomunicação
• Aeroespaço
• Energia
• Pesquisa nuclear
• Petróleo e gás
• Militar
• Nanotecnologia
• Ativistas islâmicos e acadêmicos
• Os meios de comunicação
• Transporte
• As instituições financeiras
• Empresas desenvolvimento de tecnologias de criptografia

Figura 1 - O Grupo A equação (Kaspersky Lab)

O Grupo A equação se baseia também em ataques físicos para comprometer os sistemas de suas vítimas. De acordo com o relatório publicado pela Kaspersky, o grupo de hackers enviou vítimas um CD infectado-malware no correio e interceptado um roteador Cisco Systems no e-mail para trojans implante diretamente no firmware do dispositivo. A técnica de ataque é conhecido como "interdição" e consiste na intercepção de mercadorias embarcadas e substituição com versões cavalos de Tróia.

"Os ataques que usam meios físicos (CD-ROM) são particularmente interessantes porque eles indicam o uso de uma técnica conhecida como 'interdição', onde os atacantes interceptar mercadorias embarcadas e substituí-los por versões cavalos de Tróia", continua o relatório.

Dentro do Arsenal do Grupo Equation

Os especialistas descobriram que o Grupo A equação se baseia em várias técnicas de ataque para comprometer computadores das vítimas, incluindo:

• (Verme) código de auto-replicante - Fanny
• Mídia física, CD-ROMs
• Sticks USB + exploits
• Exploits baseados na Web

Os hackers por trás do grupo Equation usado várias ferramentas de ataque e malware, alguns dos quais são exclusivos para o grupo. Abaixo a lista de malware utilizado exclusivamente pelo Grupo Equation:

• EQUATIONDRUG - Uma plataforma de ataque muito complexo usado pelo grupo em suas vítimas. Ele suporta um sistema de plugins módulo, que podem ser dinamicamente carregado e descarregado pelos atacantes.
• DOUBLEFANTASY - Um Trojan-style validador projetado para confirmar o alvo é a que se destina. Se o alvo for confirmada, eles se atualizado para uma plataforma mais sofisticada, como EQUATIONDRUG ou GRAYFISH.
• EQUESTRE - O mesmo que EQUATIONDRUG.
• TRIPLEFANTASY - backdoor com recursos completos, por vezes usado em conjunto com GRAYFISH. Parece que uma atualização do DOUBLEFANTASY, e é, possivelmente, um mais recente plugin-style validador.
• GRAYFISH - A plataforma de ataque mais sofisticado do grupo equação. Ele reside completamente no registro, contando com uma bootkit para ganhar execução na inicialização do sistema operacional.
• FANNY - Um worm criado em 2008 e usado para reunir informações sobre alvos no Oriente Médio e Ásia. Algumas vítimas parecem ter sido atualizado primeiro a DoubleFantasy, e depois para o sistema EQUATIONDRUG. Fanny usado exploits para duas vulnerabilidades zero-day que mais tarde foram descobertos com o Stuxnet.
• EQUATIONLASER - Um implante precoce do grupo equação, usado ao redor 2001-2004. Compatível com Windows 95/98, e criado em algum momento entre DOUBLEFANTASY e EQUATIONDRUG.

Figura 2 - Equação Grupo família malware (Kaspersky Lab)

O especialista em segurança Claudio Guarnieri, um dos pesquisadores de malware mais ativos envolvidos na análise de código malicioso descrito no documento vazado por Edward Snowden, é certo que ferramentas de hacking utilizados pelo Grupo A equação é a mesma usada pela NSA.

É o caso de um keylogger muito sofisticado utilizado pelo Grupo Equação chamado "Grok", que também foi mencionado num dos documentos vazados por Edward Snowden. Grok é considerada um componente keylogging do malware UNITEDRAKE, que os especialistas ligados ao malware Regin.

"O GROK codinome aparece em vários documentos publicados pelo Der Spiegel, onde é mencionado" um keylogger. Nossa análise indica GROK plugins do EQUATIONGROUP é de fato um keylogger em esteróides que podem executar muitas outras funções ", diz o relatório.

"Grok" é referido pela primeira vez em um post publicado por O Intercept , intitulado " Como os planos da NSA para infectar "milhões" de computadores com malware . "O artigo introduz um keylogger NSA desenvolvido chamado Grok.

"Um implante, de codinome UNITEDRAKE, pode ser usado com uma variedade de" plug-ins "que permitem a agência para obter o controle total de um computador infectado", afirma a interceptação. "GROK é usado para registrar as teclas digitadas."

Outra ferramenta poderosa no arsenal do Grupo A equação é GRAYFISH, considerado por especialistas como a plataforma de ataque mais sofisticado da tripulação hacking. GRAYFISH se baseia em um bootkit para ganhar persistência na máquina da vítima. Ele é capaz de infectar quase todas as versões do Windows, incluindo 8. GRAYFISH também rouba arquivos e os armazena em seu próprio sistema de arquivos virtual criptografado (VFS). GRAYFISH foi projetado para disfarçar sua presença e dificultar a sua detecção e análise.

Se ocorrer um erro durante a inicialização, a plataforma GrayFish autodestrói inteiras para evitar deixar vestígios na máquina host. Entre as várias funcionalidades implementadas por GrayFish, o malware encriptado sua carga útil com um hash de 1000 iteração única NTFS objeto ID da máquina de destino.

"O primeiro estágio do carregador GRAYFISH calcula o hash SHA-256 da NTFS de pasta de sistema (% do Windows% ou% System%) OBJECT_ID mil vezes. O resultado é usado como uma chave de decifração AES para a próxima fase. Este é um pouco semelhante a Gauss, que calculou o hash MD5 sobre o nome da sua pasta de destino 10.000 vezes e usou o resultado como a chave de decodificação ".

Usando esta técnica, a única maneira para que os pesquisadores acessar a carga final é analisar a imagem de disco raw para cada máquina infectada individual. A técnica é semelhante ao observado pelos peritos para o Gauss popular, que compartilharam fortes semelhanças técnicas com tanto Stuxnet e Flame, e por esta razão foi associada com a NSA.

"Nós não sabemos se as pessoas por trás Duqu comutada para Gauss naquele momento, mas estamos certos de que eles estão relacionados: Gauss está relacionada à chama, chama está relacionada com o Stuxnet, Stuxnet está relacionada com Duqu. Por isso, Gauss está relacionada com Duqu ", declarou os pesquisadores da Kaspersky Lab em 2012.

Figura 3 - Chama vs Tilded Platform (Kaspersky Lab 2012)

Como mencionado antes, o worm Fanny é outra ferramenta de hacking que capturou as atenções dos pesquisadores. Usou duas vulnerabilidades de dia zero e uma terceira falha que todos foram explorados para acertar os programas nucleares iranianos. Fanny explorado a falha antes Stuxnet fez. Ambas as ferramentas foram usadas para comprometer redes "Gapped ar".

Fanny usado um comando e controle único que criou uma seção de armazenamento escondido em pen drives USB infectados. Quando o malware detectado Fanny não havia uma conexão com a Internet, que iria adquirir informações do sistema. Quando a vara estava ligado a uma máquina que tem acesso à Internet, que enviou as informações de volta para o servidor de comando e controle, que retornaria instruções sobre como comprometer os sistemas gapped ar.

"Se os atacantes queriam executar comandos nas redes gapped ar, eles poderiam salvar esses comandos na área escondida do stick USB. Quando a vara foi conectado ao computador gapped-air, Fanny reconheceu os comandos e executá-los ".

O worm Fanny foi utilizada pelo Grupo Equação para mapear redes gapped ar e para executar comandos para os sistemas isolados.

Há outras semelhanças entre as ferramentas utilizadas pela unidade Tailored Operações de Acesso da NSA e do Grupo de equação. Por exemplo, pesquisadores da Kaspersky reconheceu as seguintes ferramentas como parte do arsenal da equipe de hackers misterioso:

• STRAITACID
• STRAITSHOOTER

Os nomes dos dois instrumentos têm uma semelhança (com a ortografia "estreito") com um dos malwares mais poderoso projetado pela NSA TAO, STRAITBIZARRE.STRAITBIZARRE é um malware multiplataforma que também funciona em dispositivos móveis.

Muitas ferramentas no catálogo TAO que vazaram em 2013 apresentam características semelhantes à ferramenta de hacking Kaspersky identificou no Grupo Equation, incluindo codinomes UNITEDRAKE, STRAITBAZZARE, validador e SLICKERVICAR.

De acordo com a Wired Magazine, pesquisadores da Kaspersky descobriram uma possível ligação no código de uma ferramenta utilizada pelo Grupo equação que pode referir-se o código de ferramenta NSA chamado Tao UNITEDRAKE (United Rake).

"Kaspersky havia 'UR' em EquationDrug, sugerindo uma possível ligação com UNITEDRAKE (Rake United). Kaspersky também encontrou outros codinomes nos componentes que não estão no catálogo NSA mas compartilham as mesmas convenções de nomenclatura, eles incluem SKYHOOKCHOW, STEALTHFIGHTER, DRINKPARSLEY, STRAITACID, LUTEUSOBSTOS, STRAITSHOOTER e DESERTWINTER ", afirma a revista Wired.

O malware STRAITBIZARRE foi concebido para implementar uma interface comum para uma grande variedade de implantes de software e hardware (ou seja, cottonmouth, DROPOUTJEEP) utilizados pela inteligência dos EUA para exfiltrate dados de redes segmentadas. Um documento vazado por Snowden explica que as máquinas infectadas por STRAITBIZARRE pode ser transformado em descartáveis ​​nós "Shooter", parte da infra-estrutura QUANTUM.

De acordo com o relatório publicado pela Kaspersky, o Grupo Equation também usou meios físicos e CD-ROMs para comprometer os sistemas de seus alvos.

Pesquisadores da Kaspersky revelou que, em 2009, o Grupo Equation alvo participantes em uma conferência científica internacional, que foi realizada em Houston. Os hackers atacaram os principais cientistas de vários países, enviando-lhes um CD-ROM contendo uma apresentação com as melhores fotos do evento. Os hackers incluído no CD-ROM um poderoso malwares Estado-nação que estava ativando silenciosamente em segundo plano.

O CD-ROM foi trabalhada com duas explorações de dia zero. A principal loader foi capaz de cair na máquina da vítima o instalador implante Equation Grupo codinome DoubleFantasy.

O implante DoubleFantasy recolhe informações sobre o alvo e os envia de volta para o servidor de controle, que serve uma plataforma Trojan sofisticado, como EquationDrug ou GrayFish, em resposta.

Poucos dias após a publicação do relatório da Kaspersky, repórter da Reuters Joseph Menn confirmou em um post que a NSA estava usando para suas operações um agente malicioso que foi capaz de comprometer firmware do disco rígido. O repórter citou dois ex-funcionários do governo como a fonte da informação.

"Um ex-funcionário da NSA, disse à Reuters que a análise da Kaspersky estava correta, e que as pessoas que ainda estão na agência de inteligência valorizado esses programas de espionagem como altamente como Stuxnet. Outro ex-agente da inteligência confirmou que a NSA tinha desenvolvido a técnica de ocultar premiado spyware em discos rígidos, mas disse que não sabia que os esforços de espionagem confiou nele. "

Os pesquisadores da Kaspersky foram capazes de recuperar dois módulos que permitiram que o grupo de reprogramar o firmware da unidade de disco de mais de uma dúzia dos mais populares marcas de unidade de disco rígido, incluindo Western Digital, Maxtor, Samsung, IBM, Micron, Toshiba, e Seagate. O aspecto mais desconcertante da descoberta é que o malware foi capaz de sobreviver a formatação do disco e OS reinstalação.

"Isso significa que estamos praticamente cego, e não pode detectar os discos rígidos que foram infectados por esse malware", disse Costin Raiu, diretor de Pesquisa e Análise Global Team a Kaspersky Lab. "Ele pode ressuscitar a si mesmo para sempre."

Os últimos semelhanças entre a unidade de hacking Equation Grupo e NSA Tao é a exploração de "exploits desconhecidos, possivelmente zero-day" contra o Firefox 17, que é o navegador utilizado por clientes Tor. Porque é que o Grupo Equation interessado no de-divulgação da identidade de usuários Tor?

A intenção de rastrear usuários em redes Tor aparece fora do âmbito de gangues criminosas, e levou os investigadores a acreditar que o grupo operado por um governo.

Figura 4 - Equação Grupo cronograma malware (Kaspersky Report)

Conclusão

Pesquisadores da Kaspersky e especialistas em segurança não tenho nenhuma dúvida as ferramentas de hacking usados ​​pelo tempo necessário Equation Grupo e dinheiro para o seu desenvolvimento, a circunstância em que os levou a acreditar no envolvimento de um governo com recursos cibernéticos significativos. As evidências coletadas pelos especialistas sugerem que os membros do grupo têm uma relação estreita com o autor do Stuxnet e Duqu.

"A descoberta do Grupo A equação é significativo porque esta entidade espionagem cibernética onipotente conseguiu permanecer sob o radar por quase 15 anos, se não mais", disse Raiu. "Suas habilidades incríveis e habilidades de alta tecnologia, tais como infectando firmware do disco rígido em uma dúzia de marcas diferentes, são únicos entre todos os atores que vimos e inigualável. Como descobrimos mais e mais atores de ameaças avançadas, entendemos o quão pouco sabemos. Ele também nos faz refletir sobre quantas outras coisas permanecem ocultos ou desconhecidos. "

A ANS divulgou o seguinte comentário sobre o relatório publicado pela Kaspersky Lab:

"Estamos cientes do relatório lançado recentemente. Nós não vamos comentar publicamente sobre quaisquer alegações de que o relatório levanta, ou discutir quaisquer detalhes. Em 17 janeiro de 2014, o presidente fez um discurso detalhado sobre as nossas actividades sinais de inteligência, e ele também emitiu a Diretiva Presidencial Política 28 (PPD-28). Como temos afirmado muitas vezes publicamente, continuamos a respeitar os compromissos assumidos no discurso do presidente e PPD-28. O Governo dos EUA convida nossas agências de inteligência para proteger os Estados Unidos, seus cidadãos e seus aliados a partir de uma ampla gama de ameaças graves - incluindo planos terroristas da Al-Qaeda, ISIL, e outros; a proliferação de armas de destruição em massa; agressão estrangeira contra nós mesmos e nossos aliados; e as organizações criminosas internacionais. "

Referências

http://securityaffairs.co/wordpress/33637/cyber-crime/the-equation-group-atp.html

http://25zbkz3k00wn2tp5092n6di7b5k.wpengine.netdna-cdn.com/files/2015/02/Equation_group_questions_and_answers.pdf

http://25zbkz3k00wn2tp5092n6di7b5k.wpengine.netdna-cdn.com/files/2015/02/Equation_group_questions_and_answers.pdf

http://www.forbes.com/sites/eugenekaspersky/2015/02/25/the-most-sophisticated-cyber-espionage-campaign-ever-but-whos-behind-it/

http://securelist.com/blog/research/68787/a-fanny-equation-i-am-your-father-stuxnet/

https://nex.sx/blog/2015-01-27-everything-we-know-of-nsa-and-five-eyes-malware.html

http://securelist.com/blog/research/68750/equation-the-death-star-of-malware-galaxy/

https://firstlook.org/theintercept/2014/03/12/nsa-plans-infect-millions-computers-malware/

http://www.reuters.com/article/2015/02/16/us-usa-cyberspying-idUSKBN0LK1QV20150216

http://arstechnica.com/security/2015/02/how-omnipotent-hackers-tied-to-the-nsa-hid-for-14-years-and-were-found-at-last/

http://www.wired.com/2015/02/kapersky-discovers-equation-group/

http://securityaffairs.co/wordpress/8037/intelligence/gauss-evidence-of-ongoing-cyber-war-and-cyber-espionage-campaigns.html

http://www.kaspersky.com/about/news/virus/2015/equation-group-the-crown-creator-of-cyber-espionage

http://www.forbes.com/sites/thomasbrewster/2015/02/16/nsa-equation-cyber-tool-treasure-chest/

http://www.forbes.com/sites/thomasbrewster/2015/02/16/nsa-equation-cyber-tool-treasure-chest/