Categoria: Segurança

MEO – Configuração por defeito perigosa

Os routers MEO (Thompson os outros não sei!!) disponibilizam portas USB que permitem ligar um dispositivo como por exemplo um disco ou uma pen e partilhar o seu conteúdo na rede local (pensava eu!!!).
Hoje estava a testar essa funcionalidade e para isso bastou ligar o dispositivo (PEN) e nas configurações do router activar a dita funcionalidade (Partilha Windows ou SMB, servidor FTP e UPnP AV Media Server) , todos os serviços funcionam correctamente e sem problemas na rede local… como foi tão rápido resolvi dar mais uma vista de olhos pela configuração do router e qual o meu espanto que existe um encaminhamento de portas (NAT) que está nos routers por defeito que encaminha a porta 21 (FTP) para o ip 192.168.1.253 (este é o ip em que são disponibilizados os serviços enumerados acima). Como a autenticação FTP é partilhada com o router (os users e passwords são os mesmos, testei Administrator e meo) e o serviço fica disponível para o mundo creio que isto constitui uma ameaça de segurança.

MEO_Regra_NAT_Port_21

Como as gamas de ip’s onde o MEO opera são conhecidas nada impede que alguém mal intencionado crie um bot que se tente ligar a todos os ip’s do MEO à porta 21 e teste a autenticação por defeito e caso consiga “entrar” descarregue o conteúdo do armazenamento que ligamos no router!!! ou faz upload para o nosso router de conteúdos indesejados ou maliciosos.

MEO_FTP

O conselho que dou a quem quiser usar o seu router MEO como servidor de ficheiros é desactivar a regra NAT que encaminha a porta FTP,outra solução passa por mudar as passwords dos utilizadores do router, no entanto , creio não ser suficiente pois nada impede a PT que no próximo update ao firmware coloque outro utilizador ou altere a password dos que existem para a password default.
A solução mais segura será activar apenas a partilha windows e Media Server pois estas funcionalidades estão disponíveis apenas na rede local, mas ter em atenção que não existe autenticação ou seja qualquer pessoa ligada à rede local pode aceder aos ficheiros contidos no armazenamento ligado ao router.

Como atacar um servidor atirando pedras!!!!

Anonymous, LulzSec , DDOS, BotNets, ataques, etc… são palavras que com certeza chegaram aos ouvidos de quase todos nós nos últimos tempos, estas palavras são também justificação para o mau humor de alguns administradores de sistemas que foram atacados ou que temem ser atacados.

Perguntaram-me o que era isso de que tanto se fala, como quem perguntou não mora em nenhuma das camadas do modelo OSI tive que arranjar uma analogia para explicar, a melhor analogia que encontrei para definir o que é um ataque DDOS foi fazer a pessoa imaginar um tubo onde inserimos pedras todas do mesmo tamanho, conforme a largura do tubo temos um fluxo máximo, se tentarmos fazer passar mais pedras do que o fluxo to tubo aguenta as pedras vão começar a encravar até ao ponto que param de fluir, entretanto quem controla o tubo tem que bloquear a origem das pedras mas se forem muitas origens não tem capacidade de as tapar todas ou pode tapar erradamente origens que não devia, e mesmo assim que está a enviar as pedras pode ao ser bloqueado muda de sitio para outro que não está bloqueado, se o envio for continuo é praticamente impossível a quem está a defender o tubo desbloquear o mesmo. Paralelamente a isto e como a segurança do tubo está debilitada pode-se tentar fazer passar pelo meio das pedras outros objectos que danificam o interior do tubo ou que invertem o fluxo obtendo as pedras que já estão armazenadas.

O Servidor tem capacidade para aceitar um determinado número de pedidos simultâneos, este número é determinado pela largura de banda e pela capacidade de processamento do mesmo (isto será o tubo), cada vez que alguém acede ao servidor é efectuado um pedido (pedra), mas grupos organizados como o Anonymous e LulSec conseguem efectuar ao mesmo tempo mais pedidos do que o servidor consegue servir, congestionando assim o servidor impedindo que pedidos legítimos cheguem ao servidor, um dos exemplos mais recentes foi o ataque à Moodys, neste caso não foi nenhum dos grupos referidos mas o principio usado foi o mesmo, mais pedidos do que os que os servidores suportam por consequência os pedidos legítimos eram também bloqueados ou atrasados.

BotNets são computadores infectados com software malicioso, que fazem com que o computador fique à espera de ordens de alguém algures na internet, que pode usar os pc’s que tem às suas ordens para efectuar este ou outro tipo de ataques, qualquer pc no mundo pode ser infectado, mas são principalmente sustivéreis os computadores que usam Windows que devido ao elevado número são um alvo mais apetecido, o software malicioso pode chegar a qualquer computador “agarrado” a outro qualquer programa, ou pode aproveitar falhas de segurança para se instalar quando se visita um site, ou como faz o muito comum Confliker propagar-se através de qualquer dispositivo de armazenamento como pen’s, SD, Máquinas Fotográficas etc…

Esta é uma explicação muito simplista e muito superficial do que se tem passado ou pelo menos do que se tem falado mais, faltou mencionar que o tubo pode ter um furo que não foi detectado por quem o controla mas que o atacante o encontrou e entrou por aí, estas são as falhas de segurança que podem estar num software instalado no servidor ou na própria estrutura que suporta o servidor.

Como a pessoa a quem dei esta explicação oralmente me agradeceu e disse que foi útil, espero que mais pessoas achem a minha explicação útil!!!

Microsoft Outlook Update, fake!

Recebi hoje um email a alertar para uma falha de segurança no Microsoft Outlook e no Outlook Express, a dita actualização tem o numero KB910721, é um email com aspecto bastante credivel inclusive o texto do link parece apontar para o site do Windows Update. O único senão é que o link afinal aponta para um site que não está relacionado com a Microsoft, embora a estrutura do url seja muito semelhante aos da Microsoft. O facto de o email não vir endereçado a mim também me fez suspeitar.

MicrosoftOutlookUpdateFake

Embora não seja meu costume avisar deste género de coisas, este email surpreendeu-me pelas semelhanças que tem com os emails que se recebem da Microsoft.

A Microsoft nunca envia links para actualizações ou que levem directamente a ficheiros para download, temos sempre que passar por aquelas páginas chatas do site com descrição do download, salvo raras excepções em que o mesmo é dito ao utilizador quando solicita o download no site.