Gremlin Botnets: El club de los poetas muertos [Parte 1 de 6]

Ayer en la RootedCON tuve la oportunidad de compartir con la audiencia una investigación que habíamos realizado en ElevenPaths durante el año 2015 y que en su momento decidí que lo mejor no era publicarla. Hoy en día, cinco años después, con mucho cambiando en el ecosistema, y con mayor concienciación de todo el ecosistema, pensé que era buen momento para compartir todo lo que estudiamos y descubrimos en aquel entonces.

Figura 1: El club de los poetas muertos [Parte 1 de 6]

Es cierto, que mucho de lo que hemos hecho quedó reflejado en pequeños artículos de este blog - pero no la parte final -, más muchos detalles de qué descubrimos que plasmó nuestro compañero en el libro de Malware en Android: Discovering, Reversing & Fonrensics que os recomiendo encarecidamente que os leáis. No, que os estudiéis a fondo, si queréis entender todas este mundo del cibrecrimen en forma de apps móviles para Android, que publicó nuestro compañero Miguel Ángel del Moral - que fue uno de los investigadores del equipo que construyo Tacyt junto a Sergio de los Santos - después de haber realizado todas estas investigaciones.

Figura 2: Malware en Android: Discovering, Reversing & Forensics

Pero como sabéis, a mí me gusta explicar de dónde viene todo, ya que las "ideas felices" no surgen por casualidad, y se trata de ir dar creando muchos puntos con cosas que vas haciendo hasta que un día, años después, eres capaz de juntarlos hacia atrás. Y esta es la historia de esta investigación, donde se unieron muchos puntos hasta acabar en lo que compartimos ayer en la RootedCON.

1.- La FOCA es una Botnet en el año 2010 y usa esteganografía

A finales del año 2010, después de haber dado ya la vuelta al mundo varias veces hablando de nuestra querida FOCA, y de que hubiera ya cientos de miles de instalaciones de nuestra app en sistemas Windows de todo el mundo, se me ocurrió hacer una inocentada el día 28 de Diciembre, como suelo hacer para ver si pillo a alguno "Despistao".  La inocentada fue, nada más y nada menos, que la FOCA era Botnet, y tuvo su aquel.

Figura 3: La FOCA es una botnet

Lo cierto es que FOCA tenía una función de Call-Back Home que nos permitía saber quién la tenía instalada en su equipo. No es que la pusiéramos a propósito, y lo cierto es que nunca utilizamos esos datos, pero si alguien usaba la FOCA versión gratuita, nuestra herramienta se conectaba a nuestros servidores y descargaba un anuncio de nuestros servicios en Informática 64. Era una forma de monetizar de alguna forma el trabajo y esfuerzo que pusimos a esta herramienta.

Figura 4: Supuesto canal encubierto con la publicidad

Con estos anuncios nosotros podíamos saber desde qué dirección IP nos estaba llegando la solicitud, y por tanto, información de "más o menos" quién estaba utilizando nuestra herramienta. No, no os asustéis, como os digo no nos importó nunca eso, y nos valía con saber que el gran Kevin Mitnick fuera uno de los embajadores más entusiastas de nuestra FOCA, y poner algunos anuncios para promocionar nuestros servicios.

Figura 5: Idea de controlar una FOCA Botnet

Pero para ese día se me ocurrió la idea de hacer creer a la gente que en las imágenes de los anuncios habíamos metido comandos ocultos para realizar operaciones en los equipos en los que estaba instalada la FOCA. Es decir, para convertir cualquiera o todas las FOCAs a la vez, en una herramienta para controlar los equipos instalados.

Figura 6: Esteganografía en la web

La idea de usar un canal de esteganografía en este escenario ficticio no llegó por casualidad. Había asistido a conferencias de Jordi Serra y de Alfonso Muñoz por aquella época y ellos estaban trabajando tanto en nuevos "Cover-Chanels" usando Esteganografía cómo en nuevos métodos de Estegonálisis, y me tenían entusiasmado con la potencia que ofrecía esto en el mundo del malware y el cibercrimen. Os dejo una charla que dio en el año 2008 (¡hace 12 años!) el gran Alfonso Muñoz en un evento que hicimos en Informática 64 sobre estos temas y que estimuló estas idea.

Figura 7: Esteganografía y Estegoanálisis

De hecho, conseguí que entre los dos hicieran un texto sobre ello que tenéis en 0xWord, y años más tarde Alfonso Muñoz hizo un estudio en ElevenPaths sobre las imágenes utilizadas en las apps móviles para poder tener una visión de qué grado de posibilidades existían de que se usaran las técnicas de comunicación con esteganografía en imágenes de una forma similar al panel de control de la FOCA Botnet.

Figura 8: Estegoanálisis de 1.5 M imágenes en APKs

Utilizando diferentes métodos de estegonálisis, y utilizando las imágenes que era posible extraer de nuestra plataforma de ciberinteligencia Tacyt que contenía todas las APKs abiertas y disponibles, los resultados que ofreció es que era posible que existieran comunicaciones de este tipo en ciertas apps, pero, como os imagináis, de difícil detección sin un estegoanálisis y reversing más profundo.

2.- El cibercrimen y las Gremlin Apps en Android

Durante los años 2014 y 2015, periodo donde hicimos toda la investigación y desarrollo de la plataforma Tacyt - que daría luego soporte a la solución para gestión de la seguridad de las apps en empresas mASAPP -, el mundo del cibercrimen estuvo bastante activo, y vimos muchas campañas de apps maliciosas con modelos de negocios muy claros basados en Fake Antivirus, Click Fraud, en SMS Premiums (SMSers) , campañas de Black ASO (Shuabang), Adware, e incluso en Dialers (JSDialers).

Figura 9: Apps usadas en la campaña de JSDialers

Utilizando Tacyt nosotros hicimos muchas investigaciones de las que os fui hablando por aquí. Algunas con mucho impacto. En los artículos enlazados tenéis muchas referencias del tipo de apps que vimos en aquellos tiempos, y os he dejado una charla que hice en aquel tiempo en Argentina donde utilizaba Tacyt para explicar cómo se puede usar este Big Data para encontrar a los cibercriminales,


Figura 10: Investigar cibercriminales en Android con Tacyt

Investigar a los cibercriminales por medio de parámetros tan curiosos como los API Keys nos permitía localizar a los grupos a pesar de que estos cambiaran las apps, y vimos entonces cómo comenzaban a utilizar lo que se llamó Gremlin Apps.

Figura 11: Una app normal que será maliciosa como el Cute the Rope Christmas

Es decir, apps que al principio son apps no maliciosas y más tarde, debido a un estímulo externo, se convierten en maliciosas. En este caso se podemos ver que una app turca era para algo distinto, y cuando se activó la campaña pasó a ser del Cut the Rope Christmas. Por supuesto, maliciosa.

Figura 12: Se volvió un Gremlin malo

Por supuesto, el riesgo a la hora de instalar una app, no es solo que el desarrollador sea malvado desde el origen y haya hecho algo que parezca goodware al principio pero que se va a volver malware. Puede suceder algo mucho más sistemático en el mundo del cibercrimen, como que se dediquen a comprar apps en venta, y el código cambie de las manos de un desarrollador que no tiene intenciones maliciosas a las manos de un cibercriminal. Pero eso lo vemos en la siguiente parte.

Saludos Malignos!

*********************************************************************************
- Gremlin Botnets: El club de los poetas muertos [Parte 1 de 6]
- Gremlin Botnets: El club de los poetas muertos [Parte 2 de 6]
- Gremlin Botnets: El club de los poetas muertos [Parte 3 de 6]
- Gremlin Botnets: El club de los poetas muertos [Parte 4 de 6]
- Gremlin Botnets: El club de los poetas muertos [Parte 5 de 6]
- Gremlin Botnets: El club de los poetas muertos [Parte 6 de 6]
*********************************************************************************

Autor: Chema Alonso (Contactar con Chema Alonso)

7 trucos sencillos más que no te conté la última vez y que tal vez te sirvan (o no)

Hace un año más o menos os dejé una lista de 7 pequeños trucos que había aprendido, y como el aprendizaje es continuo, hoy voy a aprovechar y dejaros algunos otros por si os son de utilidad en la vida diaria, que para mí lo son mucho, mucho, mucho, así que aquí van.

Figura 1: 7 trucos sencillos más que no te conté la última vez y que tal vez te sirvan (o no)

Como la otra vez, no son grandes misterios, solo pequeños trucos que uso en mi día a día para hacerme la vida más cómodo, y en esta ocasión tienen casi todos que ver con apps móviles, y en concreto con iPhone, que me gusta estar muy al día en este sistema operativo. Comienzo en el número 8 para continuar con la numeración anterior.

8.- Google Maps o Waze

Esta es una de las grandes guerras entre los navegadores GPS en dispositivos móviles. Muchos prefieren Google Maps y - la mayoría - se ha acostumbrado a Waze. Yo os voy a contar qué es lo que hago en viajes, y en mi vida cotidiana para que veáis si podéis sacar lo mejor de ambos. En ambos casos, lo primero de todo es que necesitas activar la tarjeta WiFi para mejorar la exactitud de la posición del vehículo en el mapa. Una vez que has hecho eso, ¿qué ventaja tiene cada uno?.

Figura 2: Google Maps te indica el carril exacto por el que ir

Pues es bien sencillo, Waze tiene información más completa de lo que pasa en la carretera, y alerta de controles, radares móviles e incidentes reportados colaborativamente por la gente - amén de que puedes pitar a otro usuario que vaya usándolo - , pero Google Maps tiene algo que no tiene Waze, y es que las rutas te las indica marcándote el carril exacto por el que debes circular, y eso cuando circulas por una gran ciudad como Madrid y Barcelona es una ventaja.

Figura 3: Alertas de  Waze

Así que, un truco que suelo usar yo es activar los dos. Pongo Google Maps en pantalla, pero le quito el audio, y activo las alertas de voz a Waze, así tengo información por audio de todas las cosas que provee Waze, pero veo los desvíos y las rutas con información a detalle de carril, que hace a Google Maps súper útil.

9.- Modo avión para que juegue Mi Survivor a juegos basura

Como ya os conté, le suelo dejar alguna vez a Mi Survivor el teléfono para que se entretenga con algún juego gratuito. Estos juegos suelen ser un dolor porque - además de llevarse un montón de datos - tienen un montón de anuncios que intentan instalar apps. De hecho, si no tienes configurada la opción de requerir password para instalar cualquier app te puedes llevar una desagradable sorpresa con la factura.

Figura 4: La app Mask Studio intenta cobrar 8,49 € por semana
y se instala con un clic desde un add. Es una de tantas.

Este sistema de apps que se instalan son una autentica estafa, porque te cobran entre 5 y 12 € por semana sin que ni tan siquiera te hayas registrado a nada, así que yo tengo bloqueada la descarga de apps para evitar estas sorpresas que he visto en muchas personas que dejan su teléfono a sus hijos.

Figura 5: Ninguna app se instala en mi iPhone sin que yo la vea.

Pero aunque tengas bloqueado la descarga e instalación de apps, para los niños es un autentico suplicio tener que ver un anuncio en cada partida. Así que, si no puedes tomar la recomendación número 1 que dice "No instales esta basura" aplica la regla número 2 que dice "Pon el modo avión cuando ejecutes esta app".

Figura 6: Las apps de Voodoo Cassette están infectadas de ads que hacen instalación de ads.
En la derecha se ve Aquapark.io en modo avión. Se puede jugar perfectamente, pero no se
envían datos ni hay ads que salgan que valga.

A partir de ese momento, además de no poder instalarse nada, no sale ni un solo anuncio y Mi Survivor juega tan feliz. Pero recuerda, configura para No instalar apps automáticamente y si puedes no instales esta basura.

10.- Telegram y los chats secretos como forma de tener un "doble check azul"

Una de las formas más sencillas de que te "cazen" con el doble check azul cuando estés una noche de fiesta por ahí y no quieran que sepas que estás online es con un chat secreto de Telegram. Basta con que configuren los mensajes del chat secreto con una autodestrucción de 7 segundos, o algo así, y en el momento en que la curiosidad te lleve a abrirlo, se va a enviar una notificación al Telegram del emisor porque se va a borrar el mensaje.

Figura 7: Configurando autodestrucción para tener un "doble check". Si lo lees, se borra.

Así que si te envían un WhatsApp y no lo quieres contestar, y luego te aparece un mensaje en Telegram en un chat secreto, ten cuidado al entrar que si tiene el autodestruir activado se va a enterar que estabas despierto.

11.- Tu agenda de contactos de Telegram

Una de las cosas que por defecto hace Telegram cuando te sacas la cuenta es copiar todos tus contactos a sus servidores para avisarte cuando alguno de tus contactos ha sacado una nueva cuenta de Telegram. Esto lo hace constantemente, así que es probable que si has perdido tu teléfono con tu agenda de contactos del pasado, pero tenías una cuenta de Telegram todos estén ahí. Guardados. Basta con que entres a Telegram y busques los contactos.

Figura 8: Solicitando el borrado de contactos

Por el contrario, si esto te parece peligroso, puedes hacer justo lo contrario, es decir, entrar en las opciones de Privacy & Security y luego en Data Settings y forzar que se borren todos los contactos del servidor. Es un poco raro, yo he pedido que los borren, y luego he vuelto a sincronizar y han salido contactos que no tenía en el terminal ahora mismo, pero tal vez es porque ellos me tenían a mí en la agenda.

12.- La lupa inexistente en iPhone

Llegada una edad, los problemas de vista cansada empiezan a aparecer. Hace ya un año que tuve que cambiar la resolución de la pantalla de mi equipo, que pasó de 1440x900 a un cómodo para mis ojitos 1280x800. Cosas de la edad. Pero aún me niego a ponerme gafas para la vista cansada, así que a veces, cuando se me cansan los ojitos, no veo los comentarios en el Instagram o la letra de los correos electrónicos dentro de iPhone - donde me niego a poner una resolución mayor -.

Figura 9: Usando la herramienta de captura de pantalla
para tener una lupa a mano en iPhone.

¿La solución? Pues nada, captura de pantalla al canto, hago zoom en las partes que quiero ver, y borro la captura de pantalla. Una opción muy cómoda y rápida para tener una lupa en todas las apps de iPhone sin necesidad de instalar absolutamente nada de nada.

UPDATE: Con la opción de Accesibiliad -> Zoom se consigue activar la lupa en iPhone con hacer doble clic con tres dedos en cualquier punto de la pantalla. 

13.- Buscador de Google con ordenación de fechas

Si utilizas Google Chrome for iOS o Apple Safari for iOS e intentas buscar un tema en las noticias te saldrán muchos resultados, pero no te salen las opciones de selección temporal. Es decir, no te da la opción de buscar noticias que hayan sido publicadas en las últimas 24 horas, por ejemplo. Esto es así, porque esas opciones están eliminadas de la versión Mobile de Google Search.

Figura 10: Búsqueda en versión mobile de Google Search
en Google Chrome for iOS

La solución que me busqué yo fue utilizar Sleipnir, un navegador que utilicé para ver como utilizando el User-Agent del bot de Google se reducía la publicidad que se te muestra en la navegación, y configuré un User-Agent de un navegador de escritorio.

Figura 11: Configurando USER-Agent de  GoogleBot o Desktop busqueda de noticias

Esto hace que cuando navego a Google Search la web que me aparezca sea la de la versión de escritorio y pueda seleccionar las opciones de búsqueda basadas en parámetros temporales, tal y como podéis ver.

UPDATE: En las últimas versiones de Google Search Mobile tienes un menú de "Herramientas de Búsqueda" que ya sí que permite tener la búsqueda por fechas. Pero si quieres ver la versión escritorio de cualquier web, dejando pulsado el icono de "actualizar" en Apple Safari para iOS  sale la opción de poder ver la versión escritorio.

14.- Pon la app en horizontal, a veces hay sorpresas

Muchas apps tienen funcionalidades "ocultas" en la versión vertical de la misma. O tal vez no están ocultas pero son más difíciles de localizar. Y de repente, pones la app en horizontal y aparecen cosas curiosas. 

Figura 12: Calculadora cientifica en modo horizontal

Por ejemplo, la calculadora cientifica aparece cuando pones en horizontal la calculadora, y os garantizo que yo estuve una vez búscandola un rato hasta que desistí y miré en Google como localizarla. Desde entonces hago lo mismo con muchas apps, como esta, que es iMessage y permite enviar mensajes escritos a mano.

Figura 13: iMessage con modo de escritura manual

Os agradecería que si conocéis algunas apps que hagan esto me lo compartáis en los comentarios. Así descubro yo también esas características "ocultas" que para mí, que llevo normalmente el bloqueo de cambio a posición horizontal, son casi como "Huevos de Pascua".

EOT

Como veis, he vuelto a dejar otros siete trucos sencillitos - o al menos lo fueron para mí, que seguro que muchos de vosotros ya los conocíais -, como en la entrada anterior, para que no se haga muy pesada su lectura. Si alguno os encaja, genial, si no os toca esperar al año que viene a ver qué os puedo contar. Y si conocéis alguna curiosidad molona más, sentíos libres de dejarlo en los comentarios.

Saludos Malignos!

"Cómo protegerse de los peligros de Internet". Nuevo libro de @0xWord

Ayer se puso a disposición de todo el mundo el nuevo libro "Cómo protegerse de los peligros en Internet" en el que hemos estado trabajando en 0xWord. Se trata de un libro que nos habían pedido hace tiempo para que los niños que empiezan, las personas que no tienen grandes conocimientos técnicos, y aquellos que desean sacarle partido a los servicios de Internet con un poco de seguridad conociendo mejor al enemigo.

Figura 1: Cómo protegerse de los peligros en Internet

También le ha dedicado una parte importante a la privacidad, y a tratar temas tan de actualidad como el acoso en las redes sociales o el CyberBullying en Internet, cómo detectarlo y tratarlo en el mundo de hoy en día con los menores. El libro lo ha escrito José Carlos Gallego Cano y ésta es su reseña:

"En un mundo en continua digitalización, en el que Internet y los dispositivos forman una parte cada vez más relevante en nuestras vidas, es muy importante estar al día de los problemas y los riesgos a los que nos enfrentamos cuando nos comunicamos o, simplemente, cuando accedemos a la red para consultar información.

Este libro pretende dar un repaso por los principales riesgos a los que nos exponemos todos los usuarios cuando nos conectamos a Internet así como cuando hacemos uso de todas las tecnologías a nuestra disposición: ordenadores, dispositivos móviles, relojes inteligentes,…

Figura 2: Libro de "Cómo protegerse de los peligros en Internet"
de José Carlos Gallego en  0xWord

Lo hacemos dando un enfoque muy práctico, con un lenguaje asequible para todos, dirigido a jóvenes, mayores, padres e hijos, profesores, jubilados,…y, en general, todo aquel que esté interesado en adentrarse en el mundo de la ciberseguridad desde el nivel más básico.

Hablaremos de todo el malware que nos rodea (los virus, los troyanos), las técnicas que utilizan los ciberdelincuentes para timarnos y robarnos información, las medidas que podemos tomar para protegernos y salvaguardar nuestra privacidad…y todo ello sin olvidarnos de temas tan importantes para los más jóvenes como el ciberacoso y la protección de sus datos y, por supuesto, de los padres, para que estén al corriente de por dónde navegan sus hijos y cómo pueden protegerlos. Un libro para aprender y, sobre todo, para concienciar que la seguridad en Internet es cosa de todos."

El libro tiene un total de 248 páginas para tratar todos tos temas de los hemos hablado está ya disponible en la web de 0xWord, y con el objeto de que podáis tener más detalle, os he subido el índice completo del libro a SlideShare.

Figura 3: Índice del Libro "Cómo protegerse de los peligros en Internet"

Como podréis ver en el libro, en los últimos capítulos se habla del Control Parental de los menores, de las Sextorsiones y el Sexting, o de cómo gestionar la identidad y la reputación en los servicios de Internet. Temas más que recomendables que conocer bien para cualquiera que haga un uso de redes sociales y servicios en Internet habitual.

¡Saludos Malignos!

Una infografía con curiosidades y datos de interés sobre la comunidad de desarrolladores de apps en Google Play

Hace un mes hicimos un estudio sobre los desarrolladores que publican apps en Google Play. Especialmente nos intersaban aquellos que publican apps que son retiradas después, ya sea porque el propio desarrollador decide dejar de darle soporte o porque el incumplimiento de alguna política de Google Play hace que sea retirada.

Figura 1: Descubre los secretos de la comunidad de Google Play

Por supuesto, las que son detectadas como apps maliciosas también desaparecen y es por eso que para los analistas de seguridad son de tanto interés. Localizar cuáles son las que han sido eliminadas por ser maliciosas puede ayudar a correlacionar datos con otras apps aún activas pero de los mismos desarrolladores. Estudios como esos nos han ayudado en investigaciones como las de correlacionar creadores de apps por medio de sus API Keys, o en el caso de la botnet de Shuabang por la reutilización de recursos, o en las investigaciones de JSSMSers o JSDialers, por poner algunos ejemplos donde las correlaciones entre apps ayudan a la investigación.

Figura 2: Un certificado digital compartido por más de 10.000 cuentas de e-mail

En ese informe, que publicamos en inglés y español sacamos algunos datos utilizando Tacyt  muy curiosos sobre los desarrolladores, mirando para ello los certificados digitales con los que son firmadas los APK, las cuentas de correo electrónico que son utilizadas por los developers y los nombres que utilizan para identificarse. El resultado es muy peculiar.

Figura 3: Un desarrollador con más de 7.000 apps

En la infografía que hemos hecho se recogen las principales conclusiones del análisis para que veáis qué llamativos pueden llegar a ser esos datos. La he subido a SlideShare para que podáis verla online o descargarla.

Figura 4: Infografía: Descubre los secretos de la comunidad de Google Play

Además, también tenéis disponibles los informes completos en Español e Inglés por si queréis compartirlos con compañeros de trabajo o amigos que no entiendan la maravillosa lengua de Cervantes. Aquí los tenéis.

- Análisis demografico de Google Play
- Demographic analysis of Google Play

Saludos Malignos!

"¿Que quieres hacer qué y cómo?”. Búsqueda de anomalías en el Manifiesto de las Apps de Android

Hace algún tiempo un conocido investigador de seguridad se puso en contacto con nosotros porque en mitad de uno de sus trabajos quería localizar apps en los markets de Android con unas determinadas características. Para localizar esas aplicaciones necesitaba crear una filtro que mostrara aquellas que tenían una determinada configuración en su AndroidManifest.XML. En Tacyt aún no teníamos esa característica aún en producción porque en primera instancia habíamos decidido procesar el AndroidManifest.XML y sacar de él lo más importante, pero ya la teníamos en el entorno de development, así que le dimos acceso para ver si le servía en su investigación.

Figura 1: ¿Que quieres hacer qué y cómo?

Desde la última actualización de funcionalidades de Tacyt, la búsqueda de cadenas dentro del fichero AndroidManifest.XML está ya en el entorno de producción, lo que permite a cualquier investigador la posibilidad de crear filtros de búsqueda o alerta usando cualquier cadena en este fichero, y por lo tanto, localizar apps de la misma familia que compartan alguna singularidad detectable en el él.

Figura 2:  Estructura de ejemplo de un AndroidManifest.XML

El fichero AndroidManifest en las apps de Android permite definir muchas cosas, como por ejemplo los permisos o la prioridad que quiere tener dentro del orden de arranque del sistema para hacer tareas antes o después que otras. La idea, lógicamente es que una vez que se localice una app maliciosa se puedan buscar otras que compartan las mismas características para ver si son de la misma familia, tal y como ya os he contado muchas veces. 

Se podrían buscar apps candidatas a ser sospechosas, como aquellas que quieren tener una prioridad de arranque muy rápida en el sistema, algo que suelen solicitar apps de seguridad como antivirus, bloqueadores de apps, o, por supuesto, ransomware para Android. Solicitan arrancar tan rápido para no perder un problema de ejecución de su tarea en un posible escenario de condición de carrera. Tal vez apps con mucha prioridad y con una temática mundana - como un juego o una app de información - no necesite tanta prioridad para sus funciones y si pide ser arrancada tan al principio sea porque tiene alguna función "oculta". 

Figura 3: Búsqueda de apps con permiso ejecución en el proceso de arranque pero con mucha prioridad

Se puede buscar por apps que hagan uso, por ejemplo, de Broadcast Receivers. Estos componentes, registrados por una app de Android permiten suscribirse a las colas de eventos del sistema, pudiendo enterarse cuándo llega un nuevo mensaje SMS, una nueva acción en una app que impacta  en el sistema, o una nueva conexión al sistema. Al final, estos componentes Receivers pueden ser muy útiles en las apps y también en el adware o en las estafas de SMS Premium. En el libro de Desarrollo en Android Seguro se explica cómo los troyanos espía en Android hacen uso de estos Broadcast Receivers.

Figura 4: Búsqueda de apps con "Sex" en el título y Broadcasts Receivers

En la documentación de AndroidManifest puedes ver todo lo que se puede configurar en este fichero y que pueden hacer entender mejor a un analista de seguridad si una petición de funcionamiento dentro del sistema tiene lógica o no para el tipo de app que parece ser. Otro ejemplo curioso puede ser la búsqueda de apps que no quieren aparecer en el historial de ejecución, un comportamiento que puede ser habitual para los droppers en diferido. Esto se configura en el fichero AndroidManifest con el atributo excludeFromRecents, lo que puede ser un parámetro más en un filtro de alerta de seguridad que interese vigilar. 

Figura 5: Apps con mucha prioridad registrándose como dispositivos de administración

Al final, gracias a tener Tacyt montado sobre una arquitectura de Cloud Computing y Big Data, lo que pretendemos es dar las máximas opciones posibles a los analistas de seguridad para que puedan configurar sus filtros con la mayor granularidad posible y las opciones de interfaz de la herramienta son fundamentales. En este artículo tenéis un pequeño resumen de algunas de las nuevas características que hemos incorporado al nuevo interfaz de Tacyt. 

Figura 6: Comparación múltiple de apps en el nuevo interfaz de Tacyt

Como ya os he dicho antes, si vas a hacer un trabajo de investigación y necesitas contar con el acceso a nuestro entorno, ponte en contacto con nosotros y vemos si podemos darte una cuenta de investigador para que lleves a cabo tu estudio. 

Saludos Malignos!

Conferencia sobre Dorking & Pentesting con Tacyt

Durante el mes de Octubre del año pasado impartí una conferencia en Navajas Negras (Albacete) y en la Fundación Telefónica (Buenos Aires) dedicada al Dorking & Pentesting con Tacyt. El objetivo de esa charla es sacar partido de los leaks de información que se generan por la publicación de las apps de forma descuidada en los markets de aplicaciones - en estos ejemplos solo de Android - para localizar cuentas de servicios, servidores vulnerables a bugs conocidos, etcétera.

Figura 1: Conferencia sobre Dorking & Pentesting con Tacyt

Aprovechando que hemos añadido nuevas funcionalidades a Tacyt, he subido a mi Canal Youtube la conferencia que impartí en Buenos Aires sobre este tema, que es una actualización de la que impartí en RootedCON Valencia, y la puedes ver aquí mismo.


Figura 2: Dorking & Pentesting con Tacty en Buenos Aires 2015

Si quieres más información sobre lo que aquí se cuenta, escribí una serie de artículos hablando de esto durante el mes de Septiembre que tienes disponibles aquí.

- Dorking & Pentesting con Tacyt: Dominios, IPs y Puertos
- Dorking & Pentesting con Tacyt: Las P@ssw0rds
- Dorking & Pentesting con Tacyt: Las APIs de terceros
- Dorking & Pentesting con Tacyt: Inyección de Comandos
- Dorking & Pentesting con Tacyt: Diapos de RootedCon Valencia 2015

También, por si quieres conocer más sobre Tacyt, en Segurinfo Argentina 2015 impartí la conferencia de Can I Play With Madness, en la que presentaba las principales características del producto con algunas demos divertidas. Esta charla, junto a la charla de Codemotion 2015 "Blues", son las que recuerdo con más diversión del año pasado.

Figura 3: Conferencia "Can I Play With Madness?" de Segurinfo Argentina 2015

Si quieres más información sobre Tacyt, o quieres hacer una investigación en la que te podría venir bien nuestra herramienta, no dudes en ponerte en contacto con nosotros para ver si podemos ayudarte en algo.

Saludos Malignos!

HTML5 Games Box: El troyano Cloudsota en Google Play

Como os contaba hace poco, el contar con Tacyt, la plataforma de investigación de apps, nos permite realizar lo que yo denominaba la "Limpieza de Área". El proceso consiste en localizar, a partir de singularidades existentes en apps maliciosas aquellas otras apps relacionadas, con el objeto de eliminar cualquier rastro de software dañiño y de tener el máximo de información posible. En este trabajo, cuando salió publicado por los investigadores de Cheetah Mobile la existencia de un troyano pre-instalado en algunas tablets baratas con Android de Amazon, procedimos a investigarlo. 

Figura 1: El troyano Clousota en Google Play

El resultado fue que, dentro de las 4.6 Millones de apps que tenemos en Tacyt, localizamos una única app con una fuerte relación con este malware. La app en sí, llamada HTML5 Games Box, está aún disponible en el market de Google Play, a pesar de que nosotros hemos podido constatar que el troyano Cloudsota - que es como se ha bautizado a este malware - está presente en ella.

Figura 2: HTML5 Games Box en Google Play

Lógicamente, para hacer esta afirmación, una vez que llegamos a ella por medio de singularidades, hubo que proceder al análisis manual de la misma que está disponible en el artículo que han publicado nuestros compañeros Sergio de los Santos y Miguel Ángel García en el blog de Eleven Paths que puedes leer aquí: "El troyano preinstalado en tablets baratas de Amazon también está en Google Play".

Figura 3: Análisis de HTML5 Games Box en el blog de Eleven Paths

Algunos antivirus para Android marcan ya esta app como maliciosa, pero más por usar el SDK AirPush, para muchos un SDK de Adware. Además, como curiosidad se puede ver como esta app tiene miles de descargas y solo pocos comentarios, lo que podría indicar que ha sido descargada de forma automática con algún proceso malicioso para conseguir inflar los resultados visibles en la misma.

Saludos Malignos!

Usar "singularidades" en apps para hacer Limpieza de Área

Hace muchos años tuve la oportunidad de escuchar una charla del MSRC (Microsoft Security Response Center) en el que explicaban cómo se solucionaba un bug descubierto en uno de sus productos. Dentro del proceso de corrección existían una serie de acciones dedicadas a la limpieza de área. Básicamente, si se descubría un bug en una línea de código se analizaban primero las líneas de código cercanas - o realizadas por el mismo desarrollador en el producto - y las líneas de código de otros productos que pudieran llevar funciones similares.

Figura 1: Usar singularidades en apps para hacer Limpieza de Zona

A día de hoy el proceso es mucho más elaborado, y también se crean expresiones regulares de búsqueda de código en todos los repositorios de la compañía para buscar el mismo fallo, se documentan los bugs, se alimentan los motores de análisis de código estático para detectarlas en tiempo de compilación, etcétera.

Limpieza de área en markets de aplicaciones

El concepto de Limpieza de Área, en el mundo de las apps maliciosas en los markets de aplicaciones, es un poco distinto, pero se debe realizar de igual forma. Nosotros, como ya os he contado en múltiples conferencias de Tacyt, intentamos localizar todas las apps relacionadas con una determinada campaña por medio de singularidades. Es decir, por medio de combinaciones de características de las apps que nos permiten relacionar unas con otras. Así, cuando en las noticias descubrimos cierta app maliciosa, intentamos localizar en nuestro Big Data aquellas que tienen singularidades comunes con las ya detectadas.

Figura 2: Presentación de Tacyt. Anomalías y Singularidades

En este trabajo, por ejemplo, hace un mes utilizamos las singularidades para enlazar todas las últimas familias de adware en Android que habían sido bautizadas con distintos nombres por las compañías de seguridad. O lo que es lo mismo, que las personas que estaban detrás de ellas son las mismas personas haciendo nuevos trabajos. Esto lo tenéis explicado en un documento técnico que está publicado en el artículo titulado: "El adware en Android es una gran familia".

Figura 3: About the Relations between NGE MOBI/XINYINHE, "GHOST PUSH"
and KEMOGE and OPDA malicious adware

En esta misma línea de trabajo, en Eleven Paths estamos atentos a la actualidad relativa al mundo de las apps maliciosas y cuando nos enteramos de la aparición de una nueva app maliciosa, intentamos hacer la Limpieza de Área creando singularidades en Tacyt. Así, en estas últimas semanas han sucedido un par de casos en los que hemos localizado más apps maliciosas, que os paso a resumir a continuación.

Apps maliciosas que simulan ser documentos de Excel... y Word

Los investigadores de ZScaler publicaron un trabajo en el que analizaban una app maliciosa que simulaba ser un documento de Microsoft Office. Para ello utilizaban el famoso icono de un documento de Microsoft Word para engañar visualmente a la víctima, que luego sufría el robo de información, de SMSs, etcétera. 

Figura 4: App maliciosa localizada por ZScaler

Cuando recogimos esta app y la analizamos dentro de nuestro sistema Tacyt para hacer la Limpieza de Área, fuimos capaces de seguir por medio de singularidades - utilizando técnicas similares a las que os hemos contado en el pasado en muchos artículos - para llegar a apps que estaban subidas a Google Play y utilizan el mismo truco. En este caso no eran SMS Stealers tan agresivos como la muestra localizada por ZScaler fuera de Google Play, pero sí que vimos que utilizaba el mismo truco de usar un icono de Microsoft Office - de Excel en este caso -.

Figura 5: Una de las apps localizadas en la Limpieza de Área

Lo más importante es que al final, gracias a las singularidades, fuimos capaces de correlacionar la identidad de un creador de malware para Android con un desarrollador de Google Play, con lo que aumentamos la información disponible para completar la investigación y, por supuesto, le ponemos una alerta de vigilancia a los movimientos de ese desarrollador.

Apps "troyanizadas" con servidores HTTP

Otro ejemplo similar a este anterior, ha sido el que hemos publicado la semana pasada. En una investigación Trend Micro alertó de un SDK popular en el mundo Android llamado Moplus que instala en el terminal un servidor HTTP. Este servidor web, llamado nanoHTTPd, viene con un API en el SDK que permite una serie de comandos como localizar la ubicación GPS de un dispositivo, subir o descargar archivos. El número de apps afectadas son muchas, y algunas con miles de descargas según las investigaciones de Trend Micro. 

Figura 6: Lista de comandos aceptados por este SDK

Sin embargo, cuando nosotros hicimos la limpieza de área usando singularidades en Tacyt hemos sido capaces de localizar muchas apps - muchas aún publicadas en Google Play - afectadas con este SDK con backdoor HTTP, algunas de ellas con hasta 5 Millones de descargas, lo que deja a las claras la importancia de este problema de seguridad.

Figura 7: Prueba de conexión al Backdoor HTTP

Al final, Tacyt es una herramienta de investigación para investigadores que saben qué es lo que buscan y es perfecta justo para esto, para realizar la limpieza de área de seguridad después de un descubrimiento ya que podemos hacer "Correlación Espacial" a lo largo de diferentes markets y "Correlación Temporal" a lo largo del tiempo. 

Figura 8: Algunas de las apps afectadas por este SDK con Backdoor

Si necesitas hacer una Limpieza de Área con algún descubrimiento que hayas hecho, ponte en contacto con nosotros y vemos si podemos ayudarte para publicar la investigación y alertar a todo el mundo cuanto antes.

Saludos Malignos!

El adware para Android es como una gran familia

Durante el año 2015 hemos visto como se ha ido descubriendo una serie de familias de adware agresivo en el mundo de Android que las diferentes casas de seguridad han ido catalogando con diferentes nombres de familias. Trend Micro alertó sobre una familia de adware a la que se llamó Ghost Push. Los investigadores de Cheetah Mobile descubrieron el adware de Monkey Test. Desde FireEye tuvimos dos descubrimientos con NGEmobi/Hinynhe y Kemoge. Fortinet alertó de ODPA y por último, CheckPoint informó de BrainTest. Todos con nombres distintos para estas familias de muestras, pero en Eleven Paths hemos podido enlazar todas las familias entre sí para concluir que son el mismo grupo de personas cambiando de estrategias.

Figura 1: El adware para Android es como una gran familia

La idea es bastante sencilla, utilizando Tacyt hemos podido ir uniendo las piezas del puzzle y localizando las relaciones entre cada familia. Por ejemplo, las muestras de Brain Test utilizan los mismos dominios que las muestras de Kemoge. Entre NGEmobi y Kemoge también hay correlación de dominios, además que las características de los certificados utilizados para firmar las apps tenían características similares y aparecían con un genérico "google".  

Figura 2: Esquema de relación de singularidades entre cada familia

Prestando más atención a los certificados de NGEmobi/Hinynhe y Ghost Push se puede ver que han sido construidos de forma similar que los utilizados por ODPA que descubrió CheckPoint. Y entre Monkey Test, NGEmobi/Hinynhe y Ghost Push hay una característica muy peculiar con unos certificados que solo tienen una "b".

Figura 3: Detalles del certificado marcado como "b"

Al final, todos han ido reutilizando partes comunes de su código o forma de ser desarrollado que denota que son las mismas personas, que incluso llegan a compartir un API Key en una de las apps, tal y como se explica en el informe.

El informe de investigación con Tacyt

Para poder entender mejor toda la investigación, hemos creado un paper que hemos subido a nuestro canal de SlideShare donde se explica en detalle cómo se puede ir correlando cada singularidad entre cada familia de adware analizada durante este estudio. Aquí está disponible.

Figura 4: About the Relations between NGE MOBI/XINYINHE,
"GHOST PUSH" and KEMOGE and OPDA malicious adware

Como se puede suponer, con cada eliminación de una familia de adware o malware se acaba con las muestras disponibles, pero por supuesto los creadores siguen libres para intentar un nuevo truco y conseguir éxito en una nueva campaña.

Saludos Malignos!