This is just a quick update on my post concerning Atrivo/Intercage.
A lot has been happening during the last few days. Atrivo lost all its upstreams providers, then came back, finding one provider, UnitedLayer, as can be seen on cidr-report. Anyway, while this was happening, some of the malware having its c&c servers hosted by Atrivo suddenly moved to another hosting company, namely CERNEL (.net).
It is interesting to see that Cernel.net has been registered through EstDomains.
Update (2008-09-25) : Cernel.net is unreachable at the moment. The domain is pointing to...an Intercage IP address. Need I say more ? :-)
mercredi, septembre 24 2008
Cernel Panic
Par Cedric Pernet le mercredi, septembre 24 2008, 13:58 - Cybercrime
lundi, septembre 15 2008
Friendship rulz
Par Cedric Pernet le lundi, septembre 15 2008, 22:23 - General
After all these years of fighting and helping to fight cybercrime, I'm quite used to any kind of cybercrime. I've seen a lot of evil actions, but one that always gets me angry is when innocent people are involved. Such an act has been done these days. One of the biggest demoscene website, Nectarine, has been hacked. It could have been hacked by a white hat (although I'm still not okay with this), or by someone at least not willing to destroy any data. It has not been the case.
All data on Nectarine have gone. Database. PHP code. Music. Everything. The hacker left nothing but a huge anger and pain for all people like me (not even talking of the poor administrators). Can you imagine working on a website for more than eight years, collecting computer music, distributing it to a whole big community of sceners, and then *bang* a stupid hacker comes and throw all you've done to /dev/null... ? I guess it would drive anyone totally mad.
Maybe the guy was a newbie, so proud of his ability to exploit a loosy vulnerability, and so stupid that he deleted the whole stuff when trying to delete the log files. Maybe not. We'll probably never know. The pity is the administrator of the website had no backup, which is silly, for sure.
The french administrator, known in the scene under the nickname "Yes", has been requesting financial help on a new website to restore the data. Quite logically, he didn't want to try it himself, conscious that this kind of operation needs strong forensic skills. After a week, the demo scene community had provided him with enough money to have the hard disks sent to a professional company specialized in data recovering.
This shows that some moral values are still present these days in the demoscene. And it definitely reminds me of those good old times, back in 1988-1992, when we were all swapping demodisks by snail mail (=usual mail) with long personnal letters, always mentioning at the end that we were part of a fictious "Friendship rulz" movement. I guess you can say we were already doing a lot of social networking at that time ;-)
If you want to see some great demos on any platform, you can download thousands on pouet. I suggest you to start with some 64k demo like this one. Have phun ;-)
All data on Nectarine have gone. Database. PHP code. Music. Everything. The hacker left nothing but a huge anger and pain for all people like me (not even talking of the poor administrators). Can you imagine working on a website for more than eight years, collecting computer music, distributing it to a whole big community of sceners, and then *bang* a stupid hacker comes and throw all you've done to /dev/null... ? I guess it would drive anyone totally mad.
Maybe the guy was a newbie, so proud of his ability to exploit a loosy vulnerability, and so stupid that he deleted the whole stuff when trying to delete the log files. Maybe not. We'll probably never know. The pity is the administrator of the website had no backup, which is silly, for sure.
The french administrator, known in the scene under the nickname "Yes", has been requesting financial help on a new website to restore the data. Quite logically, he didn't want to try it himself, conscious that this kind of operation needs strong forensic skills. After a week, the demo scene community had provided him with enough money to have the hard disks sent to a professional company specialized in data recovering.
This shows that some moral values are still present these days in the demoscene. And it definitely reminds me of those good old times, back in 1988-1992, when we were all swapping demodisks by snail mail (=usual mail) with long personnal letters, always mentioning at the end that we were part of a fictious "Friendship rulz" movement. I guess you can say we were already doing a lot of social networking at that time ;-)
If you want to see some great demos on any platform, you can download thousands on pouet. I suggest you to start with some 64k demo like this one. Have phun ;-)
vendredi, août 29 2008
Atrivo bulletproof host thrown under the spots
Par Cedric Pernet le vendredi, août 29 2008, 17:34 - Cybercrime
A new article from the excellent Brian Krebs has been published today on the Washington Post.
The article is spreading Jart Armin's whitepaper about ATRIVO, a famous hosting company ... Well when I say "famous" I should say famous to fraudsters and computer security researchers.
The case is quite similar to the RBN case at the end of last year : a bulletproof hosting company, acting for years, suddenly gets in the spotlights. Several things have been said concerning RBN. Having studied the organisation for a while, I have to say some releases about RBN have been upsetting me. According to almost the whole security community, RBN had disappeared...Only to be spotted and mentionned everywhere for any fraudulent action taking place in the malware/phishing/fraud world. RBN has spread all worldwide malware, has done every phishing case, has hosted all illegal content worldwide, and has attacked Georgia... Crap.
It just seems that most researchers have simply forgotten one thing: RBN had customers. When RBN "died", I heard shouts that they had gone to "AbdAllah" host for example. I think that's totally untrue ; people noticed fraudulent domains had moved from ex-RBN to AbdAllah, and claimed it was a RBN move, which wasn't, in my opinion.
Instead, it was only a move from customers, from one bulletproof hoster to another.
Now Atrivo is "following" the RBN case, being shown as an evil host. Emil K, its founder, is declaring just like Tim Jaret did for RBN, that he is responding to the abuse requests. But he doesn't. He's quite following the same politic of communication than Jaret.
As for Jart's paper, I don't agree totally with him, thought I respect his work. I won't say more, and let you read his paper. What will Atrivo's future be, now that all eyes are on them ? Will they vanish just like RBN did ? Time will tell...
Edit: (2008-09-01) It seems that some people are reacting fast (speaking of GLBX). Read this excellent article from Jose Nazario.
Edit: (2008-09-05) An excellent investigation from Knujon about Directi can be read here. Excellent work.
Edit: (2008-09-08) It seems that everyone is running away from Atrivo :
http://sunbeltblog.blogspot.com/2008/09/more-interesting-atrivointercageestdoma.html
http://voices.washingtonpost.com/securityfix/2008/09/scam-heavy_us_isp_grows_more_i.html
Edit: (2008-09-09) Another striking article from Brian about EstDomains this time. Brian is very active recently against cybercrime hosting companies and registrar, and it seems to work fine. This shows us all the power of the press... But it shouldn't go too far, since it could ruin some LE investigations. I hope it will not be the case.
Update: (2008-09-15): EstDomains declares global war against malware... Can you really believe it ? Article here.
Update (2008-09-15): Thanks to Communautech for a nice french article here.
Update (2008-09-17): Gary Warner has done a great work, showing us a huge amount of domain names pointing to Intercage. Here is the result.
Update (2008-09-22): Atrivo seems to be down for the moment. link here and here.
Update (2008-09-22): Atrivo is back tonight. Some new peering appeared, as can be seen here:
Report for AS27595
Name
INTERCAGE - InterCage, Inc.
AS Adjancency Report
In the context of this report "Upstream" indicates that there is an adjacent AS that lines between the BGP table collection point (in this case at AS2.0) and the specified AS. Similarly, "Downstream" refers to an adjacent AS that lies beyond the specified AS. This upstream / downstream categorisation is strictly a description relative topology, and should not be confused with provider / customer / peer inter-AS relationships.
27595 INTERCAGE - InterCage, Inc.
Adjacency: 1 Upstream: 1 Downstream: 0
Upstream Adjacent AS list
AS23342 UNITEDLAYER - Unitedlayer, Inc.
Thanks to cidr-report.org as usual for the info :-)
The article is spreading Jart Armin's whitepaper about ATRIVO, a famous hosting company ... Well when I say "famous" I should say famous to fraudsters and computer security researchers.
The case is quite similar to the RBN case at the end of last year : a bulletproof hosting company, acting for years, suddenly gets in the spotlights. Several things have been said concerning RBN. Having studied the organisation for a while, I have to say some releases about RBN have been upsetting me. According to almost the whole security community, RBN had disappeared...Only to be spotted and mentionned everywhere for any fraudulent action taking place in the malware/phishing/fraud world. RBN has spread all worldwide malware, has done every phishing case, has hosted all illegal content worldwide, and has attacked Georgia... Crap.
It just seems that most researchers have simply forgotten one thing: RBN had customers. When RBN "died", I heard shouts that they had gone to "AbdAllah" host for example. I think that's totally untrue ; people noticed fraudulent domains had moved from ex-RBN to AbdAllah, and claimed it was a RBN move, which wasn't, in my opinion.
Instead, it was only a move from customers, from one bulletproof hoster to another.
Now Atrivo is "following" the RBN case, being shown as an evil host. Emil K, its founder, is declaring just like Tim Jaret did for RBN, that he is responding to the abuse requests. But he doesn't. He's quite following the same politic of communication than Jaret.
As for Jart's paper, I don't agree totally with him, thought I respect his work. I won't say more, and let you read his paper. What will Atrivo's future be, now that all eyes are on them ? Will they vanish just like RBN did ? Time will tell...
Edit: (2008-09-01) It seems that some people are reacting fast (speaking of GLBX). Read this excellent article from Jose Nazario.
Edit: (2008-09-05) An excellent investigation from Knujon about Directi can be read here. Excellent work.
Edit: (2008-09-08) It seems that everyone is running away from Atrivo :
http://sunbeltblog.blogspot.com/2008/09/more-interesting-atrivointercageestdoma.html
http://voices.washingtonpost.com/securityfix/2008/09/scam-heavy_us_isp_grows_more_i.html
Edit: (2008-09-09) Another striking article from Brian about EstDomains this time. Brian is very active recently against cybercrime hosting companies and registrar, and it seems to work fine. This shows us all the power of the press... But it shouldn't go too far, since it could ruin some LE investigations. I hope it will not be the case.
Update: (2008-09-15): EstDomains declares global war against malware... Can you really believe it ? Article here.
Update (2008-09-15): Thanks to Communautech for a nice french article here.
Update (2008-09-17): Gary Warner has done a great work, showing us a huge amount of domain names pointing to Intercage. Here is the result.
Update (2008-09-22): Atrivo seems to be down for the moment. link here and here.
Update (2008-09-22): Atrivo is back tonight. Some new peering appeared, as can be seen here:
Report for AS27595
Name
INTERCAGE - InterCage, Inc.
AS Adjancency Report
In the context of this report "Upstream" indicates that there is an adjacent AS that lines between the BGP table collection point (in this case at AS2.0) and the specified AS. Similarly, "Downstream" refers to an adjacent AS that lies beyond the specified AS. This upstream / downstream categorisation is strictly a description relative topology, and should not be confused with provider / customer / peer inter-AS relationships.
27595 INTERCAGE - InterCage, Inc.
Adjacency: 1 Upstream: 1 Downstream: 0
Upstream Adjacent AS list
AS23342 UNITEDLAYER - Unitedlayer, Inc.
Thanks to cidr-report.org as usual for the info :-)
mardi, juillet 29 2008
Linked?
Par Cedric Pernet le mardi, juillet 29 2008, 22:38 - General
Ok, temps de faire le point par ici... Les reproches des amis/contacts et un certain sentiment de culpabilité ont eu raison de moi, voilà un nouveau post... Pas forcément intéressant d'ailleurs, autant vous prévenir tout de suite.
Bref, j'ai été très occupé ces derniers mois, mes amis et certaines connaissances savent pourquoi... Toujours est-il que le peu de temps libre que j'avais a été consacré à des distractions totalement saines (oui, c'est très sain la bière...) et non-informatiques (photographie, ballades, sport, etc.).
J'ai craqué à un moment, j'ai passé quelques soirées à faire du développement PHP/MySQL (je suis en train de développer un forum...que je ne compte pas releaser pour le moment) et à faire un peu de Perl, mais globalement, je n'ai pas trop touché mes machines personnelles :-)
J'ai pas mal boosté mes contacts LinkedIn ces derniers mois, principalement parce que j'ai rejoins pas mal de groupes LI, et cela semble avoir été l'élément déclencheur pour que je reçoive pas mal d'invitations. Je suis même floodé par certaines grosses boites que je ne citerai pas :-p
J'en suis arrivé à un stade où je commence à perdre le contrôle de mon périmètre LinkedIn, dans le sens où jusqu'à présent je connaissais plutôt bien mes contacts. J'ai toujours euhacker à coeur de n'envoyer des requêtes qu'à des personnes que je connaissais/respectais/admirais, et avec lesquelles j'ai échangé un certain nombre d'e-mails. Avec certains un contact plus chaleureux s'est développé et ces derniers me connaissent pour organiser des "bouffes de geeks" comme je les appelle, qui permettent de réunir des gens passionnés et de passer des soirées sympas. D'autres ne veulent pas en entendre parler, et préfèrent les petits restaus/bars intimistes où l'on ne peut jamais se réunir à plus de deux ou trois.
Mais là, rejoindre trop de groupes LI m'a fait accepter "par politesse" pas mal de LIers avec lesquels je n'ai pas échangé un mot. Bref, c'est un peu le bordel, et je commence à refuser des invitations, que je commence à percevoir comme une forme de spam...Surtout quand ces invitations sont génériques, et ne sont destinées qu'à faire de la collecte et devenir TopLinked...
Encore plus pernicieux, le coup du "bonjour j'ai vu que tu étais un ami de xxx, je me permet donc de te contacter, blablabla"... Politesse oblige, on se sent contraint d'accepter ce genre de requête... Et se retrouver avec un contact qu'on n'a pas forcément désiré. Si ça se trouve, j'ai moi même peut-être utilisé ce stratagème honteux avec certaines personnes (ais-je une mémoire sélective ? Maybe :-p)
A côté de ça, je ne peux nier les avantages obtenus par le biais de LI, qui reste un réseau plutôt "intéressé".
J'ai beaucoup moins de soucis sur Twitter :-p
Bref, j'ai été très occupé ces derniers mois, mes amis et certaines connaissances savent pourquoi... Toujours est-il que le peu de temps libre que j'avais a été consacré à des distractions totalement saines (oui, c'est très sain la bière...) et non-informatiques (photographie, ballades, sport, etc.).
J'ai craqué à un moment, j'ai passé quelques soirées à faire du développement PHP/MySQL (je suis en train de développer un forum...que je ne compte pas releaser pour le moment) et à faire un peu de Perl, mais globalement, je n'ai pas trop touché mes machines personnelles :-)
J'ai pas mal boosté mes contacts LinkedIn ces derniers mois, principalement parce que j'ai rejoins pas mal de groupes LI, et cela semble avoir été l'élément déclencheur pour que je reçoive pas mal d'invitations. Je suis même floodé par certaines grosses boites que je ne citerai pas :-p
J'en suis arrivé à un stade où je commence à perdre le contrôle de mon périmètre LinkedIn, dans le sens où jusqu'à présent je connaissais plutôt bien mes contacts. J'ai toujours eu
Mais là, rejoindre trop de groupes LI m'a fait accepter "par politesse" pas mal de LIers avec lesquels je n'ai pas échangé un mot. Bref, c'est un peu le bordel, et je commence à refuser des invitations, que je commence à percevoir comme une forme de spam...Surtout quand ces invitations sont génériques, et ne sont destinées qu'à faire de la collecte et devenir TopLinked...
Encore plus pernicieux, le coup du "bonjour j'ai vu que tu étais un ami de xxx, je me permet donc de te contacter, blablabla"... Politesse oblige, on se sent contraint d'accepter ce genre de requête... Et se retrouver avec un contact qu'on n'a pas forcément désiré. Si ça se trouve, j'ai moi même peut-être utilisé ce stratagème honteux avec certaines personnes (ais-je une mémoire sélective ? Maybe :-p)
A côté de ça, je ne peux nier les avantages obtenus par le biais de LI, qui reste un réseau plutôt "intéressé".
J'ai beaucoup moins de soucis sur Twitter :-p
dimanche, avril 27 2008
Migration Gutsy Gibbon -> Hardy Heron
Par Cedric Pernet le dimanche, avril 27 2008, 12:46 - Linux
Eh oui, voilà le traditionnel post blog qui revient tous les 6 mois, à chaque changement de version d'Ubuntu...
Ce coup-ci, alors que j'avais été enchanté par la migration Edgy->Gutsy il y a 6 mois, il n'en a pas été de même avec la migration vers Hardy Heron (8.04 LTS).
J'ai migré ma machine principale le jour de la sortie de Hardy Heron, je suis comme ça ... Certains attendant quelques jours en lisant nerveusement tous les posts dans les divers forums dédiés à Ubuntu, mais pour ma part je suis plutôt confiant (naïf?) ... J'ai cette tendance à penser qu'après 6 mois le labeur acharné, une nouvelle mise à jour a peu de chances de me planter tout mon système, et que tout est réparable de toute façon... Je vous rassure, je n'ai pas crashé mon système, j'ai juste eu quelques petits désagréments que voici :
-
Problème de montage de disques : ma config sur cette machine est somme toute très classique. Il s'agit d'une tour dans laquelle se trouve un gros disque dur IDE, monté habituellement hda. Un autre disque dur, externe, est connecté à ce poste en permanence, en USB, pour divers backups etc.
Au reboot d'après install, me voilà donc, sous l'oeil et le rire méchant d'un FreeBSDien breton avec qui je passais la soirée, en face d'une console qui m'indique des problèmes de montage... Et qui ne démarre pas X.
Un examen rapide de mon fstab, histoire de vérifier que le fichier n'est pas altéré de façon bizarre, puis un mount pour voir ce qui se passe : mon disque dur IDE est monté en sda, provoquant un conflit bien légitime... Changement de mon fstab pour monter le disque dur externe en sdb, et voilà ma distrib qui reboot de façon saine et fonctionne correctement. Je n'ai pas encore cherché le pourquoi du comment de ce changement radical, mais bon, du moment que tout fonctionne, ce n'est pas ma priorité.
- Truecrypt : Problème très visible immédiatement en checkant mon système : mes partitions TrueCrypt ne sont plus présentes. Je farfouille un peu, puis me dit que ce doit être lié au nouveau kernel ... Je recompile Truecrypt rapidement, et hop, tout est rentré dans l'ordre.
- Firefox 3 beta : Aïe ... J'ai toujours été farouchement opposé à avoir Firefox beta sur ma machine, et là, on ne m'a pas posé la question, on me l'impose... Du coup, j'ai effectué un downgrade pour être à nouveau sous Firefox 2...
mercredi, mars 26 2008
Compte-rendu du FIC 2008 (Forum International Cybercriminalité)
Par Cedric Pernet le mercredi, mars 26 2008, 20:04 - Cybercrime
A l'heure actuelle, il est important de mettre l'accent sur le besoin d'une véritable coopération internationale entre tous les acteurs de la lutte contre la cybercriminalité. Alors que le contact passe plutôt bien entre le secteur privé et le gouvernement, le contact entre services judiciaires à l'international est un peu plus tendu, soumis à de nombreuses contraintes juridiques.
Sans une harmonisation des législations à l'international, les cybercriminels ont encore de beaux jours devant eux, et ils le savent bien. Est-il encore besoin de préciser que les professionnels de cette criminalité sont tout autant au fait des dernières techniques (double fast flux etc.) que des dernières législations ? il faut bien l'admettre, il suffit de regarder de quels pays aux législations "faibles" (pour ne pas dire inexistantes) se servent les phisheurs/propriétaires de jeux d'argent en ligne sauvages/diffuseurs de malware et autres délinquants...
Mais restons positif : les lois évoluent, et je suis curieux et impatient de voir se concrétiser tous les prochains projets de loi (de quelque nation que ce soit) qui feront évoluer le schmilblick... ;-)
Pour le faire évoluer, il y a des évènements tels que le FIC 2008, le second Forum International de la Cybercriminalité.
j'ai eu l'honneur d'assister à cet évènement récent (qui se déroulait le 21 mars 2008) dont je vous ai concocté un petit compte-rendu, co-rédigé avec mon collègue Vincent Hinderer, sur le blog du Cert Lexsi.
Sans une harmonisation des législations à l'international, les cybercriminels ont encore de beaux jours devant eux, et ils le savent bien. Est-il encore besoin de préciser que les professionnels de cette criminalité sont tout autant au fait des dernières techniques (double fast flux etc.) que des dernières législations ? il faut bien l'admettre, il suffit de regarder de quels pays aux législations "faibles" (pour ne pas dire inexistantes) se servent les phisheurs/propriétaires de jeux d'argent en ligne sauvages/diffuseurs de malware et autres délinquants...
Mais restons positif : les lois évoluent, et je suis curieux et impatient de voir se concrétiser tous les prochains projets de loi (de quelque nation que ce soit) qui feront évoluer le schmilblick... ;-)
Pour le faire évoluer, il y a des évènements tels que le FIC 2008, le second Forum International de la Cybercriminalité.
j'ai eu l'honneur d'assister à cet évènement récent (qui se déroulait le 21 mars 2008) dont je vous ai concocté un petit compte-rendu, co-rédigé avec mon collègue Vincent Hinderer, sur le blog du Cert Lexsi.
lundi, mars 24 2008
New QEmu detection method found in a malware
Par Cedric Pernet le lundi, mars 24 2008, 23:33 - Security
I decided to translate a post from my colleague Fabien Perigaud, from french to english. The original post in french is here.
I wanted to share this great post with foreign readers, because this topic is always of high interest for me, as I am a heavy virtual machine user... Please apologize for the bad translation, I'm dead tired and will not re-read it I guess :-p
There it goes :
"In the world of malware, the race between malware author and anti-virus companies is famous, the first ones trying to make their creation the most invisible against the second one's solutions.
Before the so-called malware can be detected as malicious by an anti-virus product, he undergoes a strong analysis, so that his behaviour is understood. That way, a signature can be extracted of it, to allow detection, and to have a way of cleaning the infected machines.
Malware developers have got to counter the analysis tools, the first one being the virtual machine, which allows to launch the malware without any fear, because the system can be restored in its previous state in few seconds.
A new caught malware, spreading via a malicious Flash banner found on many web sites, has shown us a new method of virtual machine detection, impacting QEmu (and probably Virtual PC, and VMware without hardware acceleration).
The packer used by the malware, not identified at the time of writing, executes the "asin" function after having decrypted a part of itself. This function is part of the msvcrt library. This function will return in EAX register a different value according to the value of the Control Word register from the FPU (Typically, a 0 value will be given to EAX if FCW is not equal to 0x27F).
The FCW register undergoes some operations equivalent to a logical AND with a 0x23F mask, at the loading of the msvcrt.dll library (FPU register init). According to Intel's specs, the 6th bit of the FCW register is marked as reserved, and it has been discovered it was fixed to 1 on physical machines.
On a physical machine, FCW will therefore have the value 0x27F after the loading of the library. Unfortunately, QEmu's full emulation mode (without using kqemu) doesn't set the 6th bit to 1 ; the register takes the value of 0x23F, provoking a different result to EAX after it gets out of the asin function.
According to this value of EAX, the malware will initialise or not the variable of its decrypting loop, provoking its own crash if not set properly (writing on an unauthorized memory zone), preventing any analysis.
We can expect more and more malware use this kind of detection method, preventing this way automated analysis based on virtual machines. So the race goes on..."
I wanted to share this great post with foreign readers, because this topic is always of high interest for me, as I am a heavy virtual machine user... Please apologize for the bad translation, I'm dead tired and will not re-read it I guess :-p
There it goes :
"In the world of malware, the race between malware author and anti-virus companies is famous, the first ones trying to make their creation the most invisible against the second one's solutions.
Before the so-called malware can be detected as malicious by an anti-virus product, he undergoes a strong analysis, so that his behaviour is understood. That way, a signature can be extracted of it, to allow detection, and to have a way of cleaning the infected machines.
Malware developers have got to counter the analysis tools, the first one being the virtual machine, which allows to launch the malware without any fear, because the system can be restored in its previous state in few seconds.
A new caught malware, spreading via a malicious Flash banner found on many web sites, has shown us a new method of virtual machine detection, impacting QEmu (and probably Virtual PC, and VMware without hardware acceleration).
The packer used by the malware, not identified at the time of writing, executes the "asin" function after having decrypted a part of itself. This function is part of the msvcrt library. This function will return in EAX register a different value according to the value of the Control Word register from the FPU (Typically, a 0 value will be given to EAX if FCW is not equal to 0x27F).
The FCW register undergoes some operations equivalent to a logical AND with a 0x23F mask, at the loading of the msvcrt.dll library (FPU register init). According to Intel's specs, the 6th bit of the FCW register is marked as reserved, and it has been discovered it was fixed to 1 on physical machines.
On a physical machine, FCW will therefore have the value 0x27F after the loading of the library. Unfortunately, QEmu's full emulation mode (without using kqemu) doesn't set the 6th bit to 1 ; the register takes the value of 0x23F, provoking a different result to EAX after it gets out of the asin function.
According to this value of EAX, the malware will initialise or not the variable of its decrypting loop, provoking its own crash if not set properly (writing on an unauthorized memory zone), preventing any analysis.
We can expect more and more malware use this kind of detection method, preventing this way automated analysis based on virtual machines. So the race goes on..."
mardi, mars 11 2008
ZeuS and his thunderbolts !
Par Cedric Pernet le mardi, mars 11 2008, 11:30 - Malware
Once again, I had no time to post anything here for the last couple of weeks, so I am shamelessly linking to a new post I wrote on CERT Lexsi's blog here.
I am preparing a big post for this blog (in french), but I am lacking time... Anyway, thanks to all friends and readers ! :-)
vendredi, février 8 2008
Transparency
Par Cedric Pernet le vendredi, février 8 2008, 10:03 - General
I've been publishing a short post about XSSED.COM on CERT LEXSI's weblog.
Here is the link.
And thanks to Reseaux-Télécoms.net for their nice article about it.
Here is the link.
And thanks to Reseaux-Télécoms.net for their nice article about it.
mercredi, janvier 30 2008
Solutions Linux 2008
Par Cedric Pernet le mercredi, janvier 30 2008, 20:03 - General
Voilà, Solutions Linux c'est fini pour moi, je viens d'y passer 2 journées très sympa ... J'ai pu constater que de plus en plus de commerciaux y sont présents, symboles d'une indéniable professionalisation de ce salon... De plus en plus de "costards", un peu moins de geeks, j'en étais presque dessus je dois bien l'avouer.
Et puis bon disons-le tout net : il fallait se lever tôt pour décrocher des goodies sympa. Il n'y en avait pas tant que ça, et la récolte a été bien maigre :
Parmi les bonnes surprises, j'ai eu le plaisir de voir qu'Ubuntu continue à se propager. Un stand officiel qui distribuait des Gutsy, un emplacement toujours rempli de geeks dans le "Village Linux", ça faisait plaisir.
Autre agréable constatation, l' APRIL était très présent, et disposait de plus de place que l'an dernier... Je ne parlerais pas de leur débauche de fromages artisanaux déballés hier après 18h pour le pot de l'amitié, on les sentait à deux stands... Et pour un activiste anti-fromage comme moi c'était insupportable ;-))
Dans le genre "amusant mais un peu pitoyable", certains que je ne nommerais pas continuent à encore exhiber leurs Windows XP (ouf, ç'aurait pu être pire, ils auraient pu être sous Vista).
Je ne peux pas parler des conférences, je n'y ai pas assisté, ne trouvant pas le programme très intéressant finalement...
Bref, pour moi qui me déplace chaque année à ce salon, c'était comme d'habitude un moment fort agréable passé avec des amis, et j'en profite pour en saluer quelques-uns croisés pendant ces deux jours : les copains de chez INL (Eric,Vincent,Pierre, mention spéciale à Jérôme : bientôt papa, le pire est à venir mon grand :-p), ainsi que Nico R., Christophe G., Olivier M., François R., Frédéric C., Sébastien D., Julien M., Denis B., Jocelyn D., Olivier N. et tous les autres...
Et pour finir, un peu de pub pour INL et leur produit phare NuFW, faut dire qu'ils font des t-shirts très sympas maintenant:
Nuuuuuuuupik ! :-)
samedi, janvier 19 2008
Saturday Night Fever... And Win32.Agent.dwd malware analysis :-p
Par Cedric Pernet le samedi, janvier 19 2008, 23:32 - Malware
Well, it's about noon here, on saturday night, and I should be away with friends, drinking a bit, having fun, meeting new people... But things are a bit different this saturday night. Yes, I'm stuck home, being sick. Just like a malware, flue has spread amongst co-workers, and it finally struck me yesterday.
What could I do then, except spending some time on my laptop, lying in my bed ?
As the "social monster" I am supposed to be, like one of my co-worker has called me, I thought I would spend some time talking with one or two friends on IRC or MSN (well, I'm using "pidgin" under my Linux for MSN protocol, of course).
So I've been chatting a bit, and then, suddenly, a friend asked me :
"hey, is this you ? http://members.lycos.co.uk/xxxx/?=myemailaddress"
I immediately tried to tell her that she was having a malware on her computer, but it seems that she didn't get my message. Luckily enough, I had her phone-number so I called her and explained her some things ;-)
Now as curious as I can be, I got to this url and of course, it opened a window asking me if I wanted to download a file called "naked0453.com" , which I did.
I immediately sent this file for analysis to virustotal.com (Hi Julio ;-)) and got this result:
So now I could have googled around to find more information about this Trojan.Win32.Agent.dwd, but it would have been no fun.
Instead, I decided to launch the naked0453.com file ... Of course, under a special environment : a Windows XP SP2 in a VirtualBox. My sniffer (Wireshark) already on of course, to check for the network communication.
Well as soon as I ran the binary, it opened a window containing the "supposed" me :
Ok, it definitely is not me, I feel better, none of my ex-girlfriend has sent naked pics of me through Internet ;-P
Anyway, some files have been dropped on my system when I launched the binary:
* a file "services.exe" in my C:\Documents and Settings\user\localsettings\temp.
* some temporary files (image.jpg for example)
The services.exe binary is immediately run by the "naked" binary.
Once again, I ran the binary on virustotal.com, obtaining the following results:
As you can see, the malware itself is less detected than his dropper, which is usual. And oh, Armadillo is there... But I don't have reversing skills anyway :-p
Of course, the malware has also added himself in Windows registry, so that it will restart when Windows reboots.
Another funny thing is that services.exe (I'll call it the malware from now on) has been reading my autoexec.bat file, but I don't know why.
A remote thread is also injected in c:\windows\explorer.exe
I'm hushing through all these files manipulation because I'm not finding it so sexy : my main interest is to check what the malware has done on the network.
Letting Wireshark run for some time, I see there is quite an amount of communication. After some ten minutes, I stopped it, and put my Windows XP in my VirtualBox in his precedent state. (uninfected)
The first packets sent by the malware are DNS requests :
1 0.000000 192.168.x.x 192.168.x.x DNS Standard query A james.ccpower.ru
2 0.003170 192.168.x.x 192.168.x.x DNS Standard query response A 127.0.0.1
3 3.848609 192.168.x.x 192.168.x.x DNS Standard query A asl.aldanma.net
4 3.852151 192.168.x.x 192.168.x.x DNS Standard query response A 209.205.196.3
james.ccpower.ru points to 127.0.0.1, being useless. But we see that asl.aldanma.net is resolved to 209.205.196.3.
Immediately afterwards (5th packet) the malware establishes a connection to a IRC server at asl.aldanma.net :
NICK FQ[FRA-0H-hebxpefcz
USER heh heh heh :kakap
:log.on.sys 001 FQ[FRA-0H-hebxpefcz :Cisco
:log.on.sys 005 FQ[FRA-0H-hebxpefcz
:log.on.sys 422 FQ[FRA-0H-hebxpefcz :
:FQ[FRA-0H-hebxpefcz MODE FQ[FRA-0H-hebxpefcz :+i
JOIN #.niw
:FQ[FRA-0H-hebxpefcz!heh@AFontenayssB-x-x-x-x.wx-x.abo.wanadoo.fr JOIN :#.niw
:log.on.sys 353 FQ[FRA-0H-hebxpefcz @ #.niw :FQ[FRA-0H-hebxpefcz @abc
:log.on.sys 366 FQ[FRA-0H-hebxpefcz #.niw :End of /NAMES list.
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :..... ............................................
PING :log.on.sys
PONG :log.on.sys
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :........ 32415c24f4c28fb144f37921a7f4dc26 .........................
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :........ a7d10aaf0e52b98963bc13232d4e88f1 .................................
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :..... ............................................
PING :log.on.sys
PONG :log.on.sys
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :........ 32415c24f4c28fb144f37921a7f4dc26 .........................
PING :log.on.sys
PONG :log.on.sys
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :..... ............................................
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :........ 32415c24f4c28fb144f37921a7f4dc26 .........................
PING :log.on.sys
PONG :log.on.sys
:abc!rL@318BDD43.C22E0C0.495A4415.IP PRIVMSG #.niw :..... ............................................
As we can see, the malware connects to the IRC server using a nick "FQ[FRA-0H-hebxpefcz" which at least contains a country reference.It also uses a user name "heh heh heh :kakap"
The answer from the server, the MOTD, is "Cisco".
The bot (malware) then joins the secret channel #.niw on the server.
We see only one user on the channel, with operator rights, called "abc". I would have liked seeing all bots connected at the same time but it seemed that the server was configured to hide everything. Even whois'ing was forbidden on the server.
After that, my machine started to connect to a lot of different web servers, getting hundreds of files (porn, affiliation, more malware...) but I had no time to keep digging, and furthermore I have to write another post on this blog about "Solutions Linux 2008" ... :-p
So this fast funny analysis is over, and as you can see it took me quite some time to publish it (mainly because I was away on hollidays) ;-)
vendredi, janvier 11 2008
Bientôt Solutions Linux !
Par Cedric Pernet le vendredi, janvier 11 2008, 08:29 - General
Eh oui, bientôt Solutions Linux 2008 !
Il est grand temps de vous inscrire, si ce n'est déjà fait.
Pour ma part j"y serais les 29 et 30 janvier, et j'espère profiter de l'occasion pour revoir et rencontrer certains lecteurs de ce blog qui je le sens sera plus actif en 2008 ;-)
N'hésitez donc pas à me mailer si vous y allez, pour qu'on puisse s'y retrouver :-)
samedi, janvier 5 2008
Happy New Storm ! :-)
Par Cedric Pernet le samedi, janvier 5 2008, 19:14 - General
Eh non, je ne ferais pas de post sur la vague Storm de noël-nouvel an ...
A la place, je me contenterais paresseusement de vous souhaiter une bonne année 2008.
Puisse cette année vous apporter santé, réussite, amour, bonheur et rires, parce qu'après tout, il n'y a pas que le boulot dans la vie ...
Je continue à n'avoir pas le temps de poster ici, mais pitié gardez-moi quand même dans vos flux RSS ;-))
Je me soupçonne d'avoir prochainement la volonté de reprendre ce blog en main ...
Et au pire, à bientôt à Solutions Linux !
dimanche, novembre 25 2007
Infosec 2007
Par Cedric Pernet le dimanche, novembre 25 2007, 12:11 - General
Bon ben comme chaque année, je suis allé faire un petit tour à Infosec... Enfin bon, quand je dis "petit tour" j'y suis passé les 2 matinées en fait...
Je ne parlerais pas des conférences, je n'ai pas eu le temps d'y assister ... Par contre Infosec comme d'habitude a été l'occasion pour moi de retrouver certains amis (plop les gens de chez INL en particulier) et ex-collègues (plop Olive,Gilles,Jocelyn...).
J'ai aussi fait le tour de tous les stands pour faire le plein de goodies, évidemment... La meilleure du salon étant pour moi... Ce splendide SNORT présent en quantité limitée au stand de SourceFire :-) Je vous le montre :
Voilà, il trône maintenant sur un moniteur chez moi... :-p
Next step : Solutions Linux en janvier ;-)
Je ne parlerais pas des conférences, je n'ai pas eu le temps d'y assister ... Par contre Infosec comme d'habitude a été l'occasion pour moi de retrouver certains amis (plop les gens de chez INL en particulier) et ex-collègues (plop Olive,Gilles,Jocelyn...).
J'ai aussi fait le tour de tous les stands pour faire le plein de goodies, évidemment... La meilleure du salon étant pour moi... Ce splendide SNORT présent en quantité limitée au stand de SourceFire :-) Je vous le montre :
Voilà, il trône maintenant sur un moniteur chez moi... :-p
Next step : Solutions Linux en janvier ;-)
samedi, novembre 3 2007
migration Gutsy Gibbon
Par Cedric Pernet le samedi, novembre 3 2007, 18:07 - Linux
Certains s'étonnaient que je ne parle pas de la nouvelle distribution d' Ubuntu, voilà un post qui devrait les rassurer mais qui sera bref.
J'ai migré mes machines de Feisty Fawn (7.07) vers Gutsy Gibbon (7.10) le jour après la sortie de la version officielle, sans aucune difficulté. Mieux encore, je devais résinstaller un nunux sur mon vieux laptop, et vu sa config, j'avais l'habitude de devoir installer Ubuntu en console, pour ensuite configurer X à la main, à cause d'une Nvidia récalcitrante...
Ce n'est plus le cas, Gutsy Gibbon m'a permis de tout faire en GUI, n'en déplaise à certains... :-p
Autre bonne découverte, Dolphin, gestionnaire de fichier que je ne connaissais pas et qui me satisfait pleinement. (J'utilisais Nautilus avant)
Bref, que du bon dans cette mise à jour, tout s'est bien passé sur toutes mes machines, sans avoir à trifouiller de fichier de config, et c'est parfois bien agréable ;-)
vendredi, octobre 26 2007
Un FAI réagit !
Par Cedric Pernet le vendredi, octobre 26 2007, 15:46 - General
Voici un autre post que je viens de publier sur le blog du CERT Lexsi... Dans lequel je parle de certains hébergeurs en termes positifs cette fois-ci ;-)
vendredi, octobre 12 2007
.ASIA against phishers
Par Cedric Pernet le vendredi, octobre 12 2007, 22:01 - General
Well here are good news following the opening of the new .asia gTLD. I've blogged about it HERE. This week-end I'm sick, so I guess I could find some time to blog at least one new post here ;-)
jeudi, octobre 11 2007
ISPs are frustrating
Par Cedric Pernet le jeudi, octobre 11 2007, 16:43 - General
jeudi, septembre 27 2007
Fujacks author gets a sentence... and a job
Par Cedric Pernet le jeudi, septembre 27 2007, 15:54 - Malware
Pareil que pour le post précédent, je vous donne le lien direct ici ... (english)
Mais je vais quand même reposter quelques trucs ici, il faut juste que je trouve un peu de temps le soir ;-)
(Je dis ça pour les rares fidèles de ce blog que je remercie au passage)
Faille chez Adobe...
Par Cedric Pernet le jeudi, septembre 27 2007, 15:42 - Security
Plutôt qu'un bête copié/collé, je vous redirige vers mon article original ici ;-)
EDIT: voici un lien vers l'article de 01net sur le sujet, dans lequel je suis cité.
« billets précédents - page 3 de 6 - billets suivants »