9 de março de 2010 Nenhum Comentário 9 March 2010 No Comment

isto é RATO como no acesso remoto troiano, para o não iniciado.that’s RAT as in remote access trojan, for the uninitiated.

por agora estou seguro que a maior parte de gentes de segurança ouviram sobre isto mas se você não tiver ainda, aqui estão os EU-CERT consultivos, o artigo no blog de symantec por liam murchu, um post do blog sophos por graham cluley, um post do blog em cibercrime & cumprimento da pena por gary warner, um post do blog sunbelt por tom kelchner, um post do blog de segurança de dia nulo por ryan naraine, e isto é somente a ponta do iceberg.by now i’m sure most security folks have heard about this but if you haven’t yet, here’s the US-CERT advisory, symantec’s blog entry by liam murchu, a sophos blog post by graham cluley, a blog post at cybercrime & doing time by gary warner, a sunbelt blog post by tom kelchner, a zero day security blog post by ryan naraine, and that’s just the tip of the iceberg.

agora a razão que estou escrevendo sobre esta história que tantas outras pessoas escreveram sobre quando normalmente evito sobreinformou que os eventos de notícias são porque tenho uma estaca pessoal nisto - de fato tenho o dispositivo de ofensa. pior Entretanto, eu tinha o software em questão instalado em um dos meus computadores desde que tarde marcham do ano passado. ouch! graças a um pio por mikko hypponen descobri sobre esta primeira manhã de sábado (agradece mikko, isto é somente o modo que eu quis começar o meu fim de semana) e prosseguiu a cuss uma tempestade porque isto é a primeira vez nos meus 20 os anos da computação disto fui legitimamente sido golpe com malware - o meu registro perfeito é acabado.now the reason i’m writing about this story that so many other people have written about when i normally eschew over-reported news events is because i have a personal stake in this - i actually have the offending device. worse still, i had the software in question installed on one of my computers since late march of last year. ouch! thanks to a tweet by mikko hypponen i found out about this early saturday morning (thanks mikko, that’s just the way i wanted to start off my weekend) and proceeded to cuss up a storm because this is the first time in my 20 years of computing that i have legitimately been been hit with malware - my perfect record is over.

oh bem, bastante disto. há 2 coisas sobre isto que penso merecem o escrutínio mais fechado. o primeiro é que a pergunta de se o malware embarcou com o dispositivo de hardware que próprio tão muitos afirmaram, ou se o symantec blog é certo e o software esteve só disponível como um carregamento do site web energizer. não posso dizer conclusivamente de um jeito ou de outro mas posso oferecer alguma evidência que o software esteve só alguma vez disponível do site web energizer. oh well, enough of that. there are 2 things about this that i think deserve closer scrutiny. the first is that question of whether the malware shipped with the hardware device itself as many have stated, or whether the symantec blog is right and the software was only available as a download from the energizer website. i can’t say conclusively one way or the other but i can offer some evidence that the software was only ever available from the energizer website.

1. o dispositivo não tem nenhuma capacidade de memória. nenhum passeio aparece no explorador de janelas quando você liga o dispositivo.
2. the device has no memory capacity. no drive appears in windows explorer when you plug the device in.
3. quando você o tapa em um computador ele pede instalar motoristas mas pode encontrar que nenhum motorista não instala.
4. when you plug it into a computer it asks to install drivers but can find no drivers to install.
5. o pacote que adquiri não conteve nenhuns meios de comunicação separados, e quando procurei o dispositivo em ebay, nenhum dos pacotes lá pareceu também.
6. the package i got did not contain any separate media, and when i searched for the device on ebay, none of the packages there seemed to either.
7. a folha de instrução (sim, ainda tenho isto também) informa-o que você pode ver a posição de carga no seu computador com o software gratuito do site web energizer
8. the instruction sheet (yes, i still have that too) informs you that you can see the charging status on your computer with free software from the energizer website
9. o software é inteiramente opcional. o dispositivo trabalha sem ele (embora o software realmente ofereça a usabilidade melhorada por cima do indicador LED). o dispositivo até embarca com um AC-> convertedor de USB (que é o que de fato chamou a minha atenção em primeiro lugar) para que você possa tapar o dispositivo na parede e dar volta ao computador (e assim qualquer software de monitorização) inteiramente.
10. the software is entirely optional. the device works without it (though the software does offer improved usability over the indicator LED). the device even ships with an AC->USB converter (which is what actually drew my attention in the first place) so that you can plug the device into the wall and bypass the computer (and thus any monitoring software) entirely.
11. não só a folha de instrução o instrui para adquirir o software do site web energizer, mas quando você liga o dispositivo, o identificador de dispositivo exposto tanto na nova bolha de notificação de hardware como em mago de instalação de motorista inclui não somente o nome do produto mas também o URL para carregar do software de energizer.
12. not only does the instruction sheet instruct you to get the software from the energizer website, but when you plug the device in, the device identifier displayed in both the new hardware notification bubble and driver installation wizard includes not just the product name but also the URL for downloading the software from energizer.

possivelmente houve embalagem alternativa que incluiu o software comprometido, mas quando até o hardware lhe diz carregar do software da web então que apenas parece necessário para lá para ter estado alguma vez software empacotado com ele.perhaps there was alternate packaging that included the compromised software, but when even the hardware tells you to download the software from the web then it hardly seems necessary for there to ever have been software packaged with it.

a segunda coisa penso merece o exame é a pergunta do que deu errado. como eu disse, fui batido com isto, mas pode ter sido razoavelmente evitado? isto é uma pergunta que tenho ruminado desde o sábado. vamos por meio de vários fracassos e vêem se atuei desarrazoadamente wrecklessly: the second thing i think deserves examining is the question of what went wrong. as i said, i got hit with this, but could it reasonably have been avoided? that’s a question i’ve been mulling over since saturday. let’s go through the various failures and see if i acted unreasonably wrecklessly:

• os produtos de antivírus não o descobriram atrás então. esquadrinho tudo e o software subiu 'limpo'. o av não conseguiu salvar-me aqui.
• anti-virus products didn’t detect it back then. i scan everything and the software came up ‘clean’. av failed to save me here.
• a aplicação whitelisting também me reprovou. ele perguntou se eu quis permitir ao software corra mas isto é software que intencionalmente instalei - porque eu não lhe permitiria correr?
• application whitelisting also failed me. it asked if i wanted to allow the software to run but this is software i intentionally installed - why wouldn’t i allow it to run?
• naturalmente há razões de desaprovar o software que você somente instalou - fiz a minha diligência devida e googled o arquivo e tudo me disse que ele se associou com o carregador e nada disse que houve algo desfavorável sobre ele. como tal a inteligência de comunidade, o sistema de reputação nascente da Internet abaixou-me também.
• of course there are reasons to disallow software you just installed - i did my due diligence and googled the file and everything told me that it was associated with the charger and nothing said there was anything untoward about it. as such the community intelligence, the nascent reputation system of the internet let me down also.
• o firewall de software é um caso interessante - na teoria posso ter feito a conexão e ter perguntado porque o software de carregador de bateria tem de abrir um porto e escutar para conexões. de outro lado, realmente investiguei o arquivo e encontrei que nada não indicava que não foi legitimamente parte do software e por isso nenhuma razão de não acreditar que tudo o que ele tentasse fazer fosse algo que se supôs que ele fizesse. talvez posso ter sido mais suspeito, talvez até fui - o sistema comprometido foi um clunker de 10 anos que não é determinado responsivo para introduzir no melhor de tempos que, quando combinado com a sobrecarga popup ocasional da banda firewall/whitelist, resultou em pelo menos um exemplo do meu clique o botão aceitar sem ver o que eu aceitava.
• the software firewall is an interesting case - in theory i could have made the connection and asked why battery charger software needs to open a port and listen for connections. on the other hand, i did research the file and found nothing to indicate it wasn’t legitimately part of the software and therefore no reason not to trust that whatever it was trying to do was something it was supposed to do. maybe i could have been more suspicious, maybe i even was - the compromised system was a 10 year old clunker that isn’t particular responsive to input at the best of times which, when combined with the occasional popup overload from the firewall/whitelist combo, has resulted in at least one instance of my clicking the accept button without seeing what i was accepting.
• posso ter-me salvado um pouco de dor de cabeça (e ter salvado um bocado da cara) usando sandboxing? considerando os pormenores do sistema não há nenhum modo que eu usaria uma máquina virtual cheia nele, e além disto teria sido massacre desta aplicação. ele também teria mexido no comportamento bastante desejável de automaticamente lançar o monitor UI (aplicação o virtualization não teria sido muito melhor naquela consideração). isto parece com uma coisa estranha para mim a dizer, mas o PC é tão velho que lançar algo nele é terrivelmente lento portanto o comportamento automatizado foi bem-vindo no momento. suponho o fato que eu nunca tinha nenhuma intenção de enganchá-lo até o meu PC principal (que de fato tem o poder que o examina muito mais muitas vezes) significa que a algum nível eu de fato usava uma caixa de areia de tipos - uma máquina de caixa de areia física se você vai - mas realmente, eu confiei no software e não tinha nenhuma razão de pensar que eu tinha de dirigi-lo em uma caixa de areia.
• could i have saved myself some headache (and saved a bit of face) by using sandboxing? given the particulars of the system there’s no way i would use a full virtual machine on it, and besides that would have been overkill for this application. it also would have interfered with the rather desirable behaviour of automatically launching the monitor UI (application virtualization wouldn’t have been much better in that regard). that sounds like a strange thing for me to say, but the PC is so old that launching anything on it is painfully slow so the automated behaviour was welcome at the time. i suppose the fact that i never had any intention of hooking it up to my main PC (which actually has power running through it far more often) means that at some level i actually was using a sandbox of sorts - a physical sandbox machine if you will - but really, i trusted the software and had no reason to think i needed to run it in a sandbox.

a confiança parece estar o tema que ocorre aqui. confiei no software. talvez não devo ter confiado nele, mas você não pode tornar-se muito distante na computação sem confiar em pelo menos algum software, e não houve uma razão inelutável de não confiar neste software. trust seems to be the recurring theme here. i trusted the software. maybe i shouldn’t have trusted it, but you can’t get very far in computing without trusting at least some software, and there wasn’t a compelling reason not to trust this software.

uma coisa a levar disto (ou pelo menos algo que estou levando dele) consiste em que um número dos meus comportamentos de segurança só ajudam a proteger-me contra o desconhecido. se eu confiar em algo, embora eu esteja enganado, não há muito a minha defesa pode fazer para ajudar-me. estarei pensando certamente em modos de superar aquela fraqueza no futuro.one thing to take away from this (or at least something that i’m taking away from it) is that a number of my security behaviours only help to protect me against the unknown. if i trust something, even though i’m wrong, there isn’t much my defenses can do to help me. i will certainly be thinking about ways to overcome that weakness in the future.

naturalmente, desde que eu estive atrás de um encaminhador NAT-permitido e não expedia o porto 7777 à máquina comprometida, um pouco da minha defesa realmente trabalhou - mas tive sorte. se tinha sido algum outro, o tipo mais agressivo de coisas malware não poderia ter resultado tão bem para mim. ou, de outro lado, nada mais do que a escuta passiva de ordens poderiam ter-me avisado de fato à presença de algo malicioso. of course, since i was behind a NAT-enabled router and wasn’t forwarding port 7777 to the compromised machine, some of my defenses did work - but i was lucky. if it had been some other, more aggressive type of malware things might not have turned out so well for me. or, on the other hand, anything more than the passive listening for commands might have actually tipped me off to the presence of something malicious.

podemos jogar "e se" até que sejamos azuis na cara - eu tenha identificado tanto o fato que a minha defesa tem o quarto da melhora como a natureza que a melhora deve tomar. também fui lembrado que o que eles dizem realmente é verdade - ele acontece a todo o mundo conseqüentemente. precisou-se de mais de 20 anos para mim que sou mais longo do que o mais e fui um pouco convencido sobre isto, mas no fim há sempre alguma fraqueza, algum caminho em, e se não tinha sido para a minha monitorização de eventos relacionados à segurança eu ainda seria provavelmente comprometido agora mesmo. no fim a coisa que me ajudou o mais foi o meu interesse na própria segurança. we can play “what if” until we’re blue in the face - i’ve identified both the fact that my defenses have room for improvement and the nature that improvement must take. i’ve also been reminded that what they say really is true - it happens to everyone eventually. it took more than 20 years for me which is longer than most and i’ve been a little cocky about that, but in the end there’s always some weakness, some way in, and if it hadn’t been for my monitoring of security-related events i’d probably still be compromised right now. in the end the thing that helped me the most was my interest in security itself.