El 9 de marzo de 2010 Ningún Comentario 9 March 2010 No Comment

esto es la RATA como en el acceso remoto troyano, para el no iniciado.that’s RAT as in remote access trojan, for the uninitiated.

ya estoy seguro que la mayor parte de gente de seguridad ha oído sobre esto, pero si usted aún no tiene, aquí están los EE.UU-CERT consultivos, la entrada de bitácora del symantec por liam murchu, una entrada de bitácora sophos por graham cluley, una entrada de bitácora en ciberdelito & cumplimiento de la pena por gary warner, una entrada de bitácora sunbelt por tom kelchner, una entrada de bitácora de seguridad de día cero por ryan naraine, y esto es sólo la punta del iceberg.by now i’m sure most security folks have heard about this but if you haven’t yet, here’s the US-CERT advisory, symantec’s blog entry by liam murchu, a sophos blog post by graham cluley, a blog post at cybercrime & doing time by gary warner, a sunbelt blog post by tom kelchner, a zero day security blog post by ryan naraine, and that’s just the tip of the iceberg.

ahora la razón que escribo sobre esta historia que tantas otras personas han escrito sobre cuando normalmente evito acontecimientos de noticias sobrerelatados consiste en porque tengo una apuesta personal en esto - realmente tengo el dispositivo de ofensa. peor de todos modos, yo tenía el software antes mencionado instalado en uno de mis ordenadores desde finales de marzo del año pasado. ¡ouch! gracias a un pío pío por mikko hypponen averigüé sobre esta mañana del sábado temprana (agradece a mikko, esto es sólo el modo que quise comenzar mi fin de semana) y siguió a cuss una tormenta porque esto es la primera vez en mis 20 los años de la informática de esto he sido legítimamente sido éxito con malware - mi registro perfecto es terminado.now the reason i’m writing about this story that so many other people have written about when i normally eschew over-reported news events is because i have a personal stake in this - i actually have the offending device. worse still, i had the software in question installed on one of my computers since late march of last year. ouch! thanks to a tweet by mikko hypponen i found out about this early saturday morning (thanks mikko, that’s just the way i wanted to start off my weekend) and proceeded to cuss up a storm because this is the first time in my 20 years of computing that i have legitimately been been hit with malware - my perfect record is over.

ah bien, bastante de esto. hay 2 cosas de esto que pienso merecen el escrutinio más cercano. el primer es que la pregunta de si el malware transportó con el dispositivo de hardware que sí mismo tan muchos han declarado, o si el blog symantec es correcto y el software sólo estaba disponible como una descarga desde el sitio web energizer. no puedo decir concluyentemente de una u otra forma pero puedo ofrecer algunas pruebas que el software sólo estaba disponible alguna vez del sitio web energizer. oh well, enough of that. there are 2 things about this that i think deserve closer scrutiny. the first is that question of whether the malware shipped with the hardware device itself as many have stated, or whether the symantec blog is right and the software was only available as a download from the energizer website. i can’t say conclusively one way or the other but i can offer some evidence that the software was only ever available from the energizer website.

1. el dispositivo no tiene ninguna capacidad de memoria. ningún paseo aparece en el explorador de ventanas cuando usted enchufa el dispositivo.
2. the device has no memory capacity. no drive appears in windows explorer when you plug the device in.
3. cuando usted lo tapa en un ordenador esto pide instalar a conductores, pero no puede encontrar a ningunos conductores instalando.
4. when you plug it into a computer it asks to install drivers but can find no drivers to install.
5. el paquete que conseguí no contuvo ningún medio separado, y cuando busqué el dispositivo en ebay, ninguno de los paquetes allí pareció tampoco.
6. the package i got did not contain any separate media, and when i searched for the device on ebay, none of the packages there seemed to either.
7. la hoja de instrucción (sí, todavía tengo esto también) le informa que usted puede ver el estado de cobro en su ordenador con el software gratuito del sitio web energizer
8. the instruction sheet (yes, i still have that too) informs you that you can see the charging status on your computer with free software from the energizer website
9. el software es completamente opcional. el dispositivo trabaja sin ello (aunque el software realmente ofrezca la utilidad mejorada sobre el indicador LED). el dispositivo hasta transporta con una corriente alterna-> convertidor de USB (que es lo que realmente llamó mi atención en primer lugar) de modo que usted pueda tapar el dispositivo en la pared y evitar el ordenador (y así cualquier software de escucha) completamente.
10. the software is entirely optional. the device works without it (though the software does offer improved usability over the indicator LED). the device even ships with an AC->USB converter (which is what actually drew my attention in the first place) so that you can plug the device into the wall and bypass the computer (and thus any monitoring software) entirely.
11. no sólo la hoja de instrucción le instruye de conseguir el software del sitio web energizer, pero cuando usted enchufa el dispositivo, el identificador de dispositivo mostrado tanto en la nueva burbuja de notificación de hardware como en mago de instalación de conductor incluye no sólo el nombre del producto sino también el URL para descargar el software de energizer.
12. not only does the instruction sheet instruct you to get the software from the energizer website, but when you plug the device in, the device identifier displayed in both the new hardware notification bubble and driver installation wizard includes not just the product name but also the URL for downloading the software from energizer.

quizás había embalaje alterno que incluyó el software puesto en peligro, pero cuando hasta el hardware le dice descargar el software de la red entonces que apenas parece necesario para allí para haber estado alguna vez el software envasado con ello.perhaps there was alternate packaging that included the compromised software, but when even the hardware tells you to download the software from the web then it hardly seems necessary for there to ever have been software packaged with it.

la segunda cosa pienso merece el examen es la pregunta de lo que se equivocó. ¿como dije, fui golpeado con esto, pero podría razonablemente haber sido evitado? esto es una pregunta que he estado calentando con especias desde el sábado. vamos a través de varios fracasos y ven si actué irrazonablemente wrecklessly: the second thing i think deserves examining is the question of what went wrong. as i said, i got hit with this, but could it reasonably have been avoided? that’s a question i’ve been mulling over since saturday. let’s go through the various failures and see if i acted unreasonably wrecklessly:

• los productos de antivirus no lo descubrieron atrás entonces. exploro todo y el software subió 'limpio'. el av dejó de salvarme aquí.
• anti-virus products didn’t detect it back then. i scan everything and the software came up ‘clean’. av failed to save me here.
• la aplicación whitelisting también me falló. ¿esto preguntó si quise permitir que el software corra pero esto es el software que intencionadamente instalé - por qué no permitiría yo que esto corra?
• application whitelisting also failed me. it asked if i wanted to allow the software to run but this is software i intentionally installed - why wouldn’t i allow it to run?
• por supuesto hay motivos de rechazar el software que usted sólo instaló - hice mi diligencia debida y googled el archivo y todo me dijo que tuvo que ver con el cargador y nada dijo que había algo desafortunado sobre ello. como tal la inteligencia de comunidad, el sistema de reputación naciente de Internet me defraudó también.
• of course there are reasons to disallow software you just installed - i did my due diligence and googled the file and everything told me that it was associated with the charger and nothing said there was anything untoward about it. as such the community intelligence, the nascent reputation system of the internet let me down also.
• el cortafuego de software es un caso interesante - en la teoría yo podría haber hecho la conexión y haber preguntado por qué el software de cargador de baterías tiene que abrir un puerto y escuchar para conexiones. por otra parte, realmente investigué el archivo y no encontré nada indicando que no era legítimamente la parte del software y por lo tanto ninguna razón de no esperar que todo lo que esto tratara de hacer fuera algo que se supuso que esto hacía. tal vez yo podría haber sido más sospechoso, tal vez yo hasta era - el sistema puesto en peligro era clunker de 10 años que no es particular sensible para introducir en el mejor de tiempos que, cuando combinado con la sobrecarga popup ocasional del grupo firewall/whitelist, ha causado al menos un caso de mi chasquido el botón aceptar sin ver lo que yo aceptaba.
• the software firewall is an interesting case - in theory i could have made the connection and asked why battery charger software needs to open a port and listen for connections. on the other hand, i did research the file and found nothing to indicate it wasn’t legitimately part of the software and therefore no reason not to trust that whatever it was trying to do was something it was supposed to do. maybe i could have been more suspicious, maybe i even was - the compromised system was a 10 year old clunker that isn’t particular responsive to input at the best of times which, when combined with the occasional popup overload from the firewall/whitelist combo, has resulted in at least one instance of my clicking the accept button without seeing what i was accepting.
• ¿podría yo haberme salvado un poco de dolor de cabeza (y haber salvado un poco de la cara) usando sandboxing? considerando los detalles del sistema no hay ningún modo que yo usaría una máquina virtual llena en él, y además de esto habría sido la exageración para esta aplicación. esto también habría interferido con el comportamiento bastante deseable de automáticamente lanzar el monitor UI (aplicación el virtualization no habría sido mucho mejor en aquel respeto). esto suena a una cosa extraña para mí de decir, pero el ordenador personal es tan viejo que el lanzamiento de algo en él es dolorosamente lento entonces el comportamiento automatizado era bienvenido entonces. supongo el hecho que yo nunca tenía ninguna intención de engancharlo hasta mi ordenador personal principal (que realmente tiene el poder que lo pasa mucho más a menudo) significa que a algún nivel yo realmente usaba un cajón de arena de clases - una máquina de cajón de arena física si usted va - pero realmente, yo confié en el software y no tenía ninguna razón de creer que yo tenía que dirigirlo en un cajón de arena.
• could i have saved myself some headache (and saved a bit of face) by using sandboxing? given the particulars of the system there’s no way i would use a full virtual machine on it, and besides that would have been overkill for this application. it also would have interfered with the rather desirable behaviour of automatically launching the monitor UI (application virtualization wouldn’t have been much better in that regard). that sounds like a strange thing for me to say, but the PC is so old that launching anything on it is painfully slow so the automated behaviour was welcome at the time. i suppose the fact that i never had any intention of hooking it up to my main PC (which actually has power running through it far more often) means that at some level i actually was using a sandbox of sorts - a physical sandbox machine if you will - but really, i trusted the software and had no reason to think i needed to run it in a sandbox.

parece que la confianza está el tema que se repite aquí. confié en el software. tal vez yo no debería haber confiado en ello, pero usted no puede hacerse muy lejano en la informática sin confiar en al menos algún software, y no había una razón irresistible de no confiar en este software. trust seems to be the recurring theme here. i trusted the software. maybe i shouldn’t have trusted it, but you can’t get very far in computing without trusting at least some software, and there wasn’t a compelling reason not to trust this software.

una cosa de llevarse de esto (o al menos algo que me llevo de ello) consiste en que varios mis comportamientos de seguridad sólo ayudan a protegerme contra el desconocido. si confío en algo, aunque yo esté equivocado, no hay mucho mi defensa puede hacer para ayudarme. pensaré seguramente en modos de vencer aquella debilidad en el futuro.one thing to take away from this (or at least something that i’m taking away from it) is that a number of my security behaviours only help to protect me against the unknown. if i trust something, even though i’m wrong, there isn’t much my defenses can do to help me. i will certainly be thinking about ways to overcome that weakness in the future.

por supuesto, ya que yo era detrás de un gestor de tráfico NAT-permitido y no expedía el puerto 7777 a la máquina puesta en peligro, un poco de mi defensa realmente trabajó - pero yo tenía suerte. si hubiera sido algún otro, el tipo más agresivo de cosas malware no podría haber resultado tan bien para mí. o, por otra parte, algo más que la escucha pasiva para órdenes realmente podrían haberme informado a la presencia de algo malévolo. of course, since i was behind a NAT-enabled router and wasn’t forwarding port 7777 to the compromised machine, some of my defenses did work - but i was lucky. if it had been some other, more aggressive type of malware things might not have turned out so well for me. or, on the other hand, anything more than the passive listening for commands might have actually tipped me off to the presence of something malicious.

podemos jugar "y si" hasta que seamos azules en la cara - yo haya identificado tanto el hecho que mi defensa tiene el cuarto para la mejora como la naturaleza que la mejora debe tomar. también me han recordado que lo que ellos dicen realmente es verdad - esto pasa a cada uno finalmente. se necesitaron más de 20 años para mí que soy más largo que el más y he sido un poco creído sobre esto, pero al final siempre hay alguna debilidad, algún camino en, y si no hubiera sido para mi escucha de acontecimientos relacionados con la seguridad yo todavía sería probablemente comprometido ahora mismo. al final la cosa que me ayudó el más era mi interés a la seguridad sí mismo. we can play “what if” until we’re blue in the face - i’ve identified both the fact that my defenses have room for improvement and the nature that improvement must take. i’ve also been reminded that what they say really is true - it happens to everyone eventually. it took more than 20 years for me which is longer than most and i’ve been a little cocky about that, but in the end there’s always some weakness, some way in, and if it hadn’t been for my monitoring of security-related events i’d probably still be compromised right now. in the end the thing that helped me the most was my interest in security itself.