Hacking

Sony installa rootkit spacciandoli per DRM

di

Mark Russinovich ha colto Sony con le mani nel sacco. Il noto programmatore di Sysinternals ha dettagliatamente descritto nel suo blog come in alcuni cd della Sony venga inserito un software di Digital Rights Management (DRM) che si installa sui pc con sistema operativo Windows e attua dei comportamenti in tutto e per tutto simili a quelli di un rootkit.


Il programma è sviluppato da First 4 Internet Ltd e tenta di mascherare cartelle di installazione, chiavi di registro e eseguibili rendendosi invisibile a Esplora risorse di Windows.

Russinovich è riuscito a individuare il rootkit e a rimuoverlo dal sistema solo grazie all’utilizzo di programmi specifici quali RootKit Revealer, un debugger, il disassambler IDA Pro, Regmon e Filemon oltre al classico Regedit di Windows.


Il post che descrive l’individuazione e rimozione del rootkit è piuttosto lungo e complesso da seguire ma merita la massima attenzione sia per la bravura dell’autore nel descrivere le procedure attuate ma soprattutto perchè il malware rimosso da Russinovich è un “simpatico” regalo della Sony e questo deve far riflettere sull’arroganza delle multinazionali nei confronti della libertà degli utenti.

Anche F-Secure in queste ore ha ripreso la notizia del rootkit sul suo blog fornendo una dettagliata analisi tecnica di quello che chiamano XCP DRM Software, l’unica grosso difetto dei ricercatori finlandesi è quello di non citare minimamente l’analisi di Russinovich da cui evidentemente hanno attinto a piene mani…

Installare la Sidebar di Vista in Windows XP

di

Rafael Rivera (lo stesso che di recente ha divulgato come cracckare Windows Update) ha realizzato una patch che permette di utilizzare la Sidebar di Windows Vista all’interno di Windows XP. In pratica la patch rilasciata da Rivera sul suo blog va a integrarsi alla Sidebar vera e propria che tramite il sottobosco di Internet è stata resa disponibile.

Una buona guida per scaricare installare la Sidebar e applicare la patch di Rivera è stata pubblicata su Tech-Recipes.

Ho provato tutta la procedura e devo dire che gli sforzi che si devono fare per rendere funzionante la Sidebar sono abbastanza inutili vista l’assoluta inutilità di questo add-on…ma ovviamente credo che i maniaci delle personalizzazioni grafiche dissentiranno con la mia affermazione…


Per il buon funzionamento della Sidebar aggiungo (dato che Rivera non ne parla) che può essere necessario scaricare e installare in system32 due .dll: mfc71.dll e msvcr71 (scaricabili da Dll-files.com).

Imparare l’hacking con l’e-learning

di

Imparare a hackerare una Linux box comodamente seduti davanti al proprio pc. Questa l’obiettivo del primo corso interattivo a distanza che insegna passo passo le basi del mestiere per diventare un esperto di sicurezza in grado di trasformarsi all’occorrenza in un Black Hat capace di sferrare attacchi a server insicuri. A organizzare l’addestramento dei novelli cracker è Learn Security Online (LSO), società specializzata in sicurezza che per soli 39 dollari mensili offre tutti i contenuti base (tutorial e articoli) per padroneggiare la materia “sicurezza in ambiente Linux” più una serie di simulatori di macchine Unix, giochi e server pronti ad essere attaccati.

Per chi invece fosse interessato a corsi intensivi o avesse particolari esigenze di apprendimento LSO offre soluzioni personalizzate, purtroppo a costi decisamente superiori. Si va dal corso per IT Novice (199,95 dollari) a quello per IT Apprentice -Script Kiddie (249,95 dollari) fino a IT Security Consultant (549,95 dollari).






Fonte: LinuxSecurity

I router Cisco vulnerabili dal 2001

di

Su SecurityFocus è stata pubblicata un’intervista realizzata da Federico Biancuzzi a FX, membro della crew di hacker Phenoelit.


FX è stato il primo a scoprire un exploit per IOS, il sistema operativo embedded che equipaggia i router Cisco, molto prima che la notizia dello shell code di Mike Lynn generasse un putiferio da parte di Cisco all’ultima Black Hat conference.


Ecco un estratto del botta e risposta fra Biancuzzi e FX a proposito del bug trovato da Mike Lynn:


D.// What is your opinion on Lynn’s work with exploiting IOS? Is it something really new and hot?




R.// I didn’t see his talk personally (see above). For this particular bug, he apparently found an elegant way to not guess as many pointers as I did before when doing heap exploits on IOS. He also managed to get a VTY (non-Cisco people call it [a] shell), which is pretty cool. I would say it’s an evolutionary step based on previous work, which it always is, even if people claim they invented something completely new. I have been waiting years for people to pick up the IOS hacking where others and myself left it, and I’m happy it finally happened.

Windows Genuine Advantage crackato

di

Il sistema di verifica di copie pirata messo a punto da Microsoft e obbligatoriamente installato con la nuova versione di Windows Update è stato vanificato da una riga di javascript:


javascript:void(window.g_sDisableWGACheck=’all’)



A darne notizia è stato Cory Doctorow su Boing Boing.


In realtà che il javascript fosse la chiave di volta per aggirare il controllo sulla validità delle propria product key si era capito e già da qualche ora circolavano script per Trixie e Greasemonkey realizzati da Rafael Rivera e postati sul suo blog

.

Diciamo che questi sono dei rimedi temporanei che nulla spiegano del funzionamento del processo di validazione messo a punto da Microsoft.
Quello che ho capito utilizzando Filemon di Sysinternals e che per verificare la genuinità della propria licenza durante una sessione di Windows Update viene richiamata la .dll LegitCheckControl.dll installata in C:\WINDOWS\system32. Questa libreria dinamica viene installata da Windows Update attraverso un pacchetto .msi residente C:\Windows\Installer e a mio avviso (ma potrei anche sbagliarmi) si occupa di leggere la product key, inviarla a Windows Update che la confronta con le product key autentiche.



Se si prova a rinominare LegitCheckControl.dll in LegitCheckControl.dll.old e si riesegue Windows Update lo strumento di verifica della validità della propria product key (WGA) viene riscaricato e reinstallato non trovando più il proprio componente principale.
Sarebbe molto interessante vedere le chiavi di registro a cui accede LegitCheckControl.dll e loggare attraverso uno strumento come Fiddler i dati trasmessi a Windows Update.


In ogni caso vorrei offrire uno spunto di riflessione: sono efficaci i workaround realizzati in javascript per eludere il check di validità ma bisognerebbe, imho, fare un pò di reverse engineering sugli eseguibili coinvolti nella validazione.

Knoppix Hacks

di

Ci sono dei libri che vale la pena comprare anche se sono in lingua inglese e vanno ordinati su Amazon.
Uno di questi è Knoppix Hacks di Kyle Rankin, pubblicato da O’Reilly. In 314 pagine Rankin è riuscito a scrivere una “summa” dei possibili utilizzi di Knoppix, la distribuzione Debian-based creata da Klaus Knopper.
Dopo averlo letto posso dire che i capitoli migliori, a mio avviso, sono il 5 “Put Knoppix in your toolbox” e il 6 “Repair Linux”.


In “Put Knoppix in your toolbox” viene spiegato ad esempio come creare un router, come mettere in piedi un file server d’emergenza con Samba, come realizzare un server DHCP e un DNS con Bind. In “Reapir Linux” Rankin fornisce invece dei consigli pratici su come riparare Lilo o Grub, come recuperare partizioni e filesystem corrotti e addirittura ripristinare un kernel funzionante utilizzandone uno contenuto nella Knoppix.

Tra tutti gli hacks presentati uno veramente efficace riguarda l’installazione del noto boot loader Grub su una distribuzione che non lo abbia installato di default. L’hack è denominato appunto “Install grub on a System without grub“.
Utilizzando Slackware 10.1 ho sempre lasciato Lilo come boot loader di default. Pur essendo semplice Lilo ha come inconveniente la necessità di essere reinstallato ogni volta che si aggiorni il kernel con un nuovo. Grub invece ha un file di testo menu.lst che può essere modificato con un qualsiasi editor di testi per selezionare il kernel da caricare in memoria.
Con Knoppix è possibile installare grub in una distro che non abbia i binari del boot loader installati come per esempio la distribuzione di Volkerding.


Supponendo di avere installato Slackware in /dev/hda1, possiamo tranquillamente fare il boot con il cd-rom di Knoppix inserito.
Una volta caricata Knoppix apriamo un terminale e montiamo la partizione della nostra Slackware in /mnt/hda1 con opzioni di lettura e scrittura


knoppix@tty1[knoppix]$ sudo mount -o rw /dev/hda1 /mnt/hda1



spostiamoci in /mnt/hda1:

knoppix@tty1[knoppix]$ cd /mnt/hda1



Creiamo la directory per grub all’interno di /boot


knoppix@tty1[knoppix]$ sudo mkdir boot/grub




Copiamo lo script che permette a grub di trovare i kernel avviabili in /boot

knoppix@tty1[knoppix]$ sudo cp /sbin/update-grub ./




A questo punto dobbiamo cambiare la root indicando /mnt/hda1 come nuova root e avviare update-grub:

knoppix@tty1[knoppix]$ sudo chroot /mnt/hda1 /update-grub



Con quest’ultimo comando grub-update chiederà se creare un file menu.lst. Dando una risposta affermativa grub cercherà i kernel presenti in boot e creerà le giuste entries in menu.lst.


A questo punto potremo semplicemente lanciare grub-install specificando dove vogliamo sia installato il boot loader, nel nostro caso di esempio basterà dare il comando:


knoppix@tty1[knoppix]$sudo grub-install –root-directory=/mnt/hda1 /dev/hda

Con questo comando non avremo bisogno di effettuare un chroot ma diremo a grub che la nostra directory radice è /mnt/hda1 e di installarsi nel Master Boot Record (MBR).


Ovviamente le istruzioni fornite da Rankin possono essere prese ad esempio per effettuare installazioni di grub rispondenti alle proprie esigenze anche su distribuzioni diverse da Slackware.

Pentoo: penetration test e Gentoo in un live cd

di

Una Gentoo compressa in modo da entrare in un cd-rom e in più dotata di tutto il software necessario a portare a termine penetration test altamente sofisticati. Questo è Pentoo, fusione di penetration test Gentoo, una distribuzione live segnalata ultimamente da Distro Watch Weekly e degna di attenzione.

Le features di Pentoo sono un’ottimizzazione per processori Pentium III che la rendono una live molto veloce e responsiva, l’utilizzo di Gnome e come detto in precedenza l’inserimento di moltissimi tool: si va da NT password changer a Dsniff, da Honeyd a Airsnort e Privoxy e moltissimi altri ferri del mestiere del cracker.