REMath es un repositorio en Github que contiene una gran lista de recursos relacionados con el análisis de código binario o máquina.
Dicha lista es bastante amplia, y contiene desde documentos académicos con lo último en investigaciones en este campo, hasta herramientas bien conocidas. Para que tengas una idea de lo que puedes encontrar en el mismo, os dejo las secciones en las que se divide la lista:
Este tutorial no es una introducción ni al fundamentos de criptografía, ni criptoanálisis, ni a la programación en Python. Es un tutorial que te ayuda a escribir programas en Python que te ayuden con la solución a problemas de criptoanálisis.
El tutorial espera que sepas, al menos programar, si ya conoces Python mejor, y que entiendas y seas capaz al menos de resolver un problema de sustitución.
4:mag es una revista electrónica orientada al análisis forense digital. En este primer número podemos encontrarnos con el siguiente contenido:
Para ser honestos no soy muy defensor de la nube o el cloud computing, pero la verdad es que esta tecnología tiene grandes ventajas.
El tema del malware en Android es un tema muy candente, realmente el malware en general, ya que todas las plataformas se ven afectadas por este tipo de especímenes. Pero cuando hablamos que tecnología móvil y malware todas las miradas apuntan a Android. Cuando hablo con alguien sobre este tipo de temas, les digo que Android es en el mundo móvil lo que Windows en el mundo del escritorio.
La Universidad de Dallas, Texas, uno de los muchos cursos que ofrece es llamado: System Security and Malicious Code Analysis (Seguridad de sistemas y análisis de código malicioso). Éste no es uno de esos cursos que se han puesto de moda últimamente que puedes tomar online. Aunque no hay disponibles ni vídeo ni audio, sí que están disponibles las diapositivas usadas en el mismo. Después de un echar un vistazo rápido, me han parecido muy completas en interesantes. Además en la web de dicho curso también podemos encontrar una muy buena lista de enlaces a información externa, muchos de ellos son literatura propia sobre el tema.
Para los que os mováis por el mundo del análisis del malware, el blog sobre seguridad de Dr. Fu es una gran fuente de información sobre esta materia. En el mismo podemos encontrar una serie de entradas muy didácticas sobre el análisis del malware. Hasta ahora tiene publicados 16 tutoriales:
En el primer nivel de esta categoría lo que nos dan es un archivo RAR y nos piden encontrar el código oculto.
Cuando descomprimimos el archivo, nos encontramos con un fichero .wav. Lo abrimos con un reproductor de audio y escuchamos música, pero de vez en cuando por uno de los canales se escucha un pequeño corte.
Echemos mano de Audacity y abramos dicho fichero. Nos encontramos con:
En el quinto y último nivel de esta categoría de análisis de logs, nos encontramos con un fichero (http://www.nullcon.net//challenge/data/dump.rar) PcapNg (una vez descomprimido). Uno de los problemas con los que me encontré era que el fichero es un poco grande y después de filtrar varias veces, Wireshark se comía la máquina y tenía que cerrar dicha aplicación y volverla a abrir ¿fuga de memoria en Wireshark? Supongo que la próxima vez debería de aprender a usar los filtros con tshark :)
En este cuarto nivel, el fichero que se nos da es de Burp y se nos pregunta por el CVE del exploit usado.
Esta vez y aprendiendo del nivel anterior me basé en buscar por las urls en vez de códigos de respuesta. Rápidamente me di cuenta que la mayoría de las peticiones se hacían una IP/página sin que, en principio, se nos diera alguna pista de la aplicación web a la que se accedía y viendo que nos preguntan por un CVE, empecé a descartar dichas urls.
Buena en esta tercera prueba de análisis de logs, nos proveen un fichero de logs ( http://www.nullcon.net//challenge/data/access.rar ) de acceso de apache. Lo primero que tenemos que saber interpretar es dicho fichero, para ello, podemos visitar esta página, dónde nos explican el significado de cada columna.
En este reto se nos pregunta por tres cosas para conseguir el flag: página vulnerable, puerto abierto e IP del atacante.
En este caso lo que nos dan es un fichero pcap y nos preguntan por la contraseña del usuario suppadmin.
Pues nada, nos bajamos el fichero ( http://www.nullcon.net//challenge/data/log3.pcap ) en cuestión abrimos nuestro Wireshark y vemos que el tráfico corresponde a MySQL y al final del fichero vemos algo como:
.... ..."......select * from tb1_admin.....6....def myaccounts.tb1_admin.tb1_admin.id.id.?.......B...B....def myaccounts.tb1_admin.tb1_admin.username.username...d.........>....def myaccounts.tb1_admin.tb1_admin.passwd.passwd...d.........>....def myaccounts.tb1_admin.tb1_admin.access.access... [email protected]..............
Se lanza una consulta select que devuelve un registro con las columnas id, username, passwd y access. Y los valores correspondientes los vemos en la última línea… mmmm… probemos con Supp@, error. A ver [email protected], error también… después intentos fallidos y de recapacitar un poco, vemos que cada campo está separado por el signo de puntuación ‘.’, así probemos con [email protected], Bingo!
Ya podemos acceder a las presentaciones de la conferencia anual de este año de la DFRWS (Digital Forensics Research Workshop). Esta edición se celebró en New Orleans los días 1 al 3 de agosto.
A continuación os dejo la lista de las presentaciones:
Esto me recordó a El huevo del Cuco, un libro basado en hechos reales que si no has leído y eres lector de este blog te encantará.
Bueno, de lo que quería hablaros en esta entrada es de un proyecto llamado Cuckoo Sandbox. Éste es un proyecto para el análisis de malware a través de la virtualización y así creando la sandbox o caja de arena para que cuando el especimen corra, lo haga de forma aislada.
Malware Analyst’s Cookbook es un libro que trata sobre el análisis de Malware, como habrás podido deducir.
Algo estuve leyendo sobre este libro el otro día y lo estuve ojeando por Amazon y tiene una pinta estupenda, además las revisiones del mismo son muy buenas.
Bueno, el motivo de esta entrada no es realmente hablar sobre este libro, sino del DVD que lo acompaña. Dicho DVD está lleno de utilidades relacionadas con el análisis de malware y el contenido del mismo está a disposición de todos los públicos, hayas comprado o no el libro.
Este caballero es dueño y señor de www.binary-auditing.com y crackmes.de. El documento consta de 22 páginas (21, la última está vacía) y el primer ejercicio trata sobre la identificación de las variables en el binario que analizamos.
En el campo de la seguridad informática sucede lo mismo. Tanto para el aprendiz como para el experto siempre es bueno el poder investigar por uno mismo malware real, activo o no.
Lenny Zeltser ha publicado una entrada en su web donde recopila algunos enlaces desde los cuales te puedes bajar todo tipo de malware. Podrás encontrar incluso algún especimen que todavía está vivito y coleando por la web.
El documento trata de explicar el procedimiento forense a seguir para la adquisición y análisis de los datos. Para ello se usan varias herramientas e incluso distintos entornos, dependiendo de los requisitos de cada herramienta.
En cada apartado no sólo te muestra el uso de dichas herramientas, sino también te guía a través de la instalación de las mismas y la funcionalidad que provee cada una.
Visto en el blog del autor.
El autor de dicha distribución es Lenny Zeltser, experto en el análisis de software y profesor en SANS.
De acuerdo con la web oficial, dicha distribución es descargable en forma de imagen VMWare. Se supone que también deberías de poder la imagen en VisrtualBox.
A continuación copio y pego las utilidades que vienen en el sistema específicas para el análisis de malware:
Paso 1.- Prepara tu laboratorio de análisis, ya sea físico o virtual.
Hoy en con el avance en la virtualización de sistemas, prácticamente no necesitamos un laboratorio físico. Las ventajas de los sistemas virtuales son muy claras sobre la de los físicos. Menos maquinaria, menos calor en la habitación, menos broncas de mami o papi: niño este mes hemos pagado un ojo de la cara de luz, como la próxima factura sea igual o peor, te corto todos los cables…
Acabo de leer en el prestigioso blog de SANS, una entrada donde explican de forma muy sencilla de como analizar un fichero PDF en busca de malware. Últimamente Adobe está teniendo bastante trabajo con su Adobe Reader. En su día ya publicamos aquí un 0day y hace unos días apareció otro.
De todas formas, si te gusta juguetear con el tema de ingeniería inversa, análisis forense, etc. Ya tienes con lo que distraerte este fin de semana navideño.