thegoodfellas/blogset-br huggingface dataset:
que esta monitorando atividade intensa e anormal na sua rede, tem certeza absoluta que aconteceu um outbreak de malware e que provavelmente ha varios servidores afetados. Vc pensa: "PUTZ, nao tinha outra hora para acontecer ?". E hora de chamar o CSIRT. Todos te xingam, mas chegam a empresa conforme o marcado e a batalha comeca.Primeiro passo: Entender o que esta acontecendo para planejar a CONTENCAO. Sua equipe precisa coletar dados volateis de varias maquinas e analisa-los a fim de tracar estrategias. As maquinas afetadas estao ligadas e nao podem ser desligadas (os dados sao volateis). O que a sua equipe tem na mao para fazer isso ? Um CD do Helix e um pendrive do CAINE, todos em varias copias, cada um tem uma. Voce orienta o time e eles partem para a batalha, iniciando pelas maquinas mais indicadas, dado o report do SOC. Nisso ja sao 7h e o CIO, que quase nunca apoia suas orientacoes, comeca a ligar com o famoso "E ai ?". Sua equipe precisa coletar os dados e analisa-los o mais rapidamente.- Em uma das maquinas, ao colocar o CD com o Helix, ela imediatamente reinicializa;- Outra maquina tem uma versao mais antiga do SO, nao roda diversos utilitarios e toda a coleta fica comprometida;- A maioria da equipe nao lembra de cabeca os comandos e options necessarios. Varios esquecem de capturar a memoria por primeiro e muitos sequer trazem o resultado do netstat;- Voce ouve um barulho, foi um dos analistas socando a mesa porque o Antivirus nao deixa de jeito nenhum ele rodar algumas ferramentas;- Uma das maquinas tem a famosa tela azul depois da tentativa de rodar um dos programas do toolkit;- quase todo o trabalho de coleta vai por agua abaixo porque um dos pendrives retornou infectado. Como o analista estava usando Linux, nao houve infeccao na sua maquina, mas os resultados coletados seriam confiaveis ?Voces ja viveram isso ??? E o que acontece na pratica.Os problemas acima acontecem, todos ou em parte, com cada um dos toolkits atualmente disponiveis como ferramenta de software livre. Dos que eu ja pesquisei, o CAINE, o DEFT e o HELIX passam por essas ou outras situacoes onde ficam devendo. Ate mesmo o COFEE, que nao se encaixa na definicao de software livre (apesar de ser livremente licenciado para policias) passa por diversos problemas dos narrados acima. E exatamente nesse contexto que o projeto MUFFIN quer entrar: ser uma toolkit voltada para resposta a incidentes e que nao tenha as mesmas fraquezas e os mesmos problemas desses que analisamos.Para atingir isso, o MUFFIN sera composto por 3 modulos:- O pendrive MUFFIN, que e a toolkit propriamente dita;- O MUFFIN Baker, uma ferramenta que permite configurar e gerar o pendrive MUFFIN;- O MUFFIN Report, que vai acessar os dados gerados/coletados pelo pendrive MUFFIN.O projeto ja tem roadmap e escopo bem definido. Sua versao 0.1, marcada para ser apresentada no formato de procedimento, vai ao ar em breve. Em paralelo, a equipe do projeto trabalha na versao 0.2, primeira versao que vai trazer o Baker, automatizando a geracao
do pendrive MUFFIN.Estamos desenvolvendo-o em Lazarus com SQLite. O Lazarus e um compilador Pascal com um ambiente muito parecido com Delphi, trazendo o beneficio de compilar o mesmo fonte em varios sistemas operacionais, incluindo Linux e o Mac OS.Estamos precisando de colaboradores. Se voce conhece de programacao e pode nos ajudar, entre em contato. Se voce nao conhece, mas ainda assim quer ajudar no projeto, excelente. Ha muito trabalho e todos sao bem vindos.Ate o proximo post !
A onda de ataques ciberneticos que assolou o mundo recentemente, incluindo varios orgaos no Brasil, pode ser concluida em apenas uma frase: voce vai ser ownado.Ownado e um termo comum no underground de tecnologia. Quem foi ownado teve (ou ainda tem) gente com acesso aos seus dados, ao seu computador, aos seus servidores da empresa. Muitas vezes seu computador vira um escravo tecnologico, um zumbi comandado a distancia para atacar e derrubar outros servidores. Mas por que voce vai ser ownado ?Entre outras coisas, porque definitivamente o ambiente digital foi reconhecido como area de guerra. Os ataques combinados dos grupos Anonymous e LulzSec sedimentaram o que ja estava acontecendo em pequena escala, por um ou outro ataque em separado.Na verdade, ja tinhamos visto de tudo. Vez ou outra, tinhamos ataques derrubando grandes sites, tivemos as APTs, a operacao Aurora, outras pequenas operacoes ate que chegamos no Stuxnet e o mundo viu que o meio digital pode ser usado para sabotagem tambem. Esqueca tiroteios e bombas explodindo, o proximo filme do 007 vai ser filmado com um James Bond nerd nao mais rodeado de mulheres maravilhosas , mas de laptops e computadores de tudo quanto e tipo, a Walther PPK dando lugar ao BackTrack ...Depois que os militares acharam seu caminho no ciberespaco, agora foi a vez da turma que protesta. Nao vou entrar no merito da ideologia desses grupos, mas eles alegam que invadem e derrubam sites em nome da propria democracia, trazendo para o desktop e para o laptops o que antes era feito na base da gritaria e da correria. Spray de pimenta, jatos de agua fria ? Nunca mais.A questao e que, com ideologia ou nao, essa turma mostrou que podem fazer estrago. Que o digam as acoes da Sony, da Sega, do Citigroup ... A lista nao e pequena, e varios dados roubados mostram o que e possivel fazer. Eles recentemente anunciaram a paralisacao do movimento, que me pareceu bastante estrategica, mas o recado foi dado. Mas por que voce vai ser ownado ?Voce vai ser ownado porque a internet nao e nem nunca foi a Disneylandia, embora voce sempre a visse assim. Esses grupos nao fizeram uma sequencia de ataques, eles abriram uma nova era que nao vai perdoar a forma como a Internet e a Seguranca de Informacoes e tratada nas empresas. Esse vai ser o formato padrao de protestos daqui por diante. Se no passado o consumidor insatisfeito tinha que recorrer a Justica, hoje ele indica o site da empresa a um grupo cracker, para que o derrubem. Politicos corruptos enfrentando jornalistas ? Coisa do passado, agora os dados deles vao parar na Web em letras grandes e em negrito. Mas por que voce, logo voce, vai ser ownado ?A resposta e ainda maior do que o feito por esses grupos (nao deve demorar ate que sejam chamados de radicais ou recebam novos labels). Voce vai ser ownado porque nao consegue enxergar o que esta por tras do novo mundo digital; porque reveste seus carros com blindagens carissimas, mas seus servidores estao completamente desprotegidos; porque
voce nao trata os riscos mapeados, mas vive escondendo o que deveria ser feito, trocando acoes reais por paleativos na unica tentativa de mostrar para os agentes reguladores que voce esta protegendo a informacao, sem mesmo sequer acreditar nem um minuto nisso.Voce vai ser ownado porque acha mais facil enganar os auditores do que efetuar as praticas recomendadas; porque voce prefere pagar alguns milhares de reais em caixinhas milagrosas para seguranca a realmente implementar medidas que eduquem seus profissionais e colaboradores.Voce vai ser ownado porque sua senha, alem de ridiculamente previsivel, e de conhecimento de todos os que te rodeiam; porque voce olha para todos os lados ao atravessar uma rua, mas nao consegue perceber que o email que te mandaram esta incoerente demais para ter vindo de um banco, e que voce nem ao menos uma conta nesse banco tem, e nem assim voce deixa de clicar no link dele; voce nunca falou de sua vida para estranhos, mas poe todos os detalhes de sua vida nas redes sociais e fica postando para todo mundo ler onde voce esta, onde voce costuma frequentar ou onde voce estuda, e e por isso que voce vai ser ownado.Voce vai ser ownado porque voce finge que cobra o que a sua area de Seguranca de Informacoes determina, mas voce nem ao menos acredita na maioria dos controles que la estao; porque voce nunca banca atrasos no desenvolvimento dos softwares quando sua equipe o testa e comprova que a maioria dos requisitos de Seguranca de Informacoes nao foram cumpridos; Nao, o prazo tem que ser cumprido e, depois, quando der, a equipe ajusta o que tiver de ser ajustado. Voce le sobre como se proteger no transito e envia dicas de direcao segura para seus amigos, mas acha que bom senso e o unico ingrediente necessario para nao ter um "problema digital" e por isso mesmo as palestras de conscientizacao so servem para outros, nunca para voce; Por isso, voce sera ownado.Voce vai ser ownado porque suas maquinas recebem correcoes de seguranca completamente fora do prazo avaliado, isso quando recebem, so porque voce nunca acreditou nos impactos descritos nos alertas de seguranca; Voce acha que antivirus e IDS sao mais do que suficientes para se proteger e dorme tranquilo depois de usar seu laptop que nao foi hardenizado como os demais da empresa, ja que voce e um executivo importante e quer fazer o que bem entende na sua maquina; nao se engane, voce vai ser ownado durante o seu sono tranquilo. Vai ser ownado e exposto por ter desligado a criptografia e a autenticacao de sua maquina, reclamando que colocar uma senha ou carregar um token e um grande exagero e sem nenhuma necessidade "de negocio".Essa e apenas uma pequena e modesta lista de explicacoes dos resultados que virao. Talvez voce, CIO ou CEO, leia isso aqui e se sensibilize; provavelmente e infelizmente, isso nao ocorrera.E fato que na nossa cultura processos so melhoram depois que problemas acontecem; providencias so sao tomadas depois que "o leite e derramado". Por isso, lamentavelmente o recado "nao
seja ownado" so valera para as proximas geracoes. A geracao atual de CIOs e CEOs talvez nao queira ouvir, e essa geracao de CSOs, a que esta ai correndo e lutando para ser ouvida, vai ser retirada de cena depois do primeiro ataque com estragos consideraveis. Os responsaveis das areas de Seguranca de Informacoes serao demitidos, surgirao notas dizendo que nada aconteceu, a sujeira vai aos poucos ser varrida para baixo do tapete e a nova area provavelmente ganhara, enfim, mais atencao.Talvez entao, e so entao, CIOs e CEOs escutem mais e facam o que deve ser feito para nao serem ownados.Ate o proximo post !
centrifugas. Esse controle envolve parametrizacoes mais simples e algumas mais criticas, como por exemplo, a velocidade de rotacao do motor da centrifuga. Essa velocidade e muito especifica para o processo, nao pode ser mais nem menos do que o estabelecido, e e exatamente isso que o Stuxnet faz, ora aumentando, ora diminuindo a velocidade de rotacao, sabotando o processo.Para interfacear com o PLC, mandando os programas para ele, por exemplo, existe um PC rodando Windows e fica conectado ao PLC (na verdade, nao precisam estar o tempo todo conectados). Em geral , esses computadores ficam apartados das redes TCP/IP, mas tambem podem estar ligados a uma (o que nao parece ser uma boa pratica). No caso especifico do PLC alvo do Stuxnet, da marca Siemens, ha um software de controle que e executado nesse PC, o WinCC/Step7.Em termos de preparacao e planejamento, o Stuxnet e o estado da arte. Esqueca mensagens com palavras escritas errado e adolescentes programando em uma mesa suja. Stuxnet foi desenvolvido por equipe grande e com skills bem variados. Ele usa complicados esquemas de injecao de codigo na memoria e aplica rootkits para esconder-se tanto na maquina Windows quanto no PLC. O esquema de infeccao e engenhoso, apoiando-se em varias vulnerabilidades, sendo que duas delas eram 0-day na epoca de seu lancamento. Alem disso, busca infectar maquinas Windows com Step7 ligadas a rede TCP/IP ou nao. Para as desconectadas usa uma estrategia bastante inteligente: a fim de manter as maquinas atualizadas, em geral os administradores baixam patches para pendrives e as atualizam off-line, plugando o pendrive em cada uma das maquinas que acessam PLCs. O Stuxnet tem um sub-sistema especifico para explorar maquinas a partir de arquivos .lnk e com isso infectar maquinas onde pendrives contendo tais arquivos forem usados. Muito engenhoso !Vale a pena tirar um tempo e estudar mais profundamente a estrategia e os detalhes desse malware. Ele foi citado, inclusive, em uma das minhas previsoes da minha palestra no WebSecForum e imagino que va criar uma nova onda de ataques muito mais complexa e elaborada que as atuais.Onde estao as Capivaras ???O Stuxnet ataca por todos os lados. Uma das estrategias de infeccao e buscar a maquina que esta rodando o banco de dados do WinCC. Ele se conecta ao banco e usa algumas queries, acessa o SO, aciona OLE automation, enfim, faz a festa. Como ele faz isso ? Muito simples. A senha do database esta hardcoded dentro do codigo do WinCC ...Sem comentarios, nao ? Ou melhor, comentem !!!Ate o proximo post !
Neste que e o ultimo(?) post da serie Stuxnet, quero colocar algumas indagacoes e duvidas de ordem juridica. Sei que alguns leitores militam no Direito e poderao contribuir.O Stuxnet, como foi veiculado e tambem comentamos ao longo dos posts, causou uma serie de estragos. Observando a linha do tempo de atuacao dele, podemos perceber algumas coisas criticas envolvendo o processo de infeccao dele:- Os 0-day exploits usados;- Os exploits que ja possuiam correcoes;- A senha hardcoded no WinCC/Step7;Enquanto ter uma maquina explorada por um exploits cuja vulnerabilidade ja foi corrigida e falha da equipe da empresa explorada, que nao atualizou a maquina devidamente, os outros dois casos tem conotacao diferente.Na questao da senha hardcoded, nao tenho a menor duvida de que isso vai contra todas as boas praticas de seguranca. Nao importa quais controles compensatorios estejam atuando, existem inumeros esquemas de seguranca para evitar o hardcoded, que torna rapidamente o elo mais fraco e o primeiro a ser atacado. Que o diga o Stuxnet. Isso dito, e considerando que InfoSec nao deveria ser novidade para nenhuma empresa de porte da Siemens, minha pergunta e se caberia acao de reparacao contra a Siemens, por danos causados pelo Stuxnet, considerando negligencia a questao do hardcode da senha.A parte do 0-day requer uma analise sob um outro ponto. A principal tecnica de propagacao, baseada em arquivos .lnk craftados, era um 0-day que tinha sido usado anteriormente. Ha registros sobre o uso dessa mesma tecnica em novembro de 2008, com uma variante do Trojan.Zlob. Ou seja, a tecnica era ja conhecida "in the wild" por 2 anos !!! O outro 0-day, explorando uma vulnerabilidade do Printer Spooler, foi comentado na edicao de abril de 2009 da revista Hakin9 ! Nos dois casos, o fabricante do SO pode ter deixado os usuarios na mao por muito tempo, e isso implicou a viabilidade da infeccao das maquinas controladoras do PLC, e com isso, os $$$$ de prejuizo. Dai vem a pergunta numero 2: caberia reparacao contra o fabricante de SO, considerando negligencia por nao ter consertado em tempo razoavel falhas graves divulgadas publicamente ?Doutores e nao doutores, comentem !Ate o proximo post ! Ainda na nossa serie de posts sobre o Stuxnet, gostaria de comentar e lancar uma discussao sobre o impacto desse malware.Ha algumas coisas que podem ser imediatamente apontadas como tendo impacto negativo, mas outras vieram por tabela e lancam aspectos obscuros no ja tenebroso mundo cibernetico que estamos vivendo.O impacto real e mais aparente e, obviamente, o principal motivo pelo qual o malware foi escrito. Ele e uma arma cibernetica de sabotagem. Ponto. Os estragos foram contabilizados e ha varios graficos e estudos por ai que mostram como foi impactante nas estruturas de diversos paises, mas muito mais nas plantas atomicas iranianas. Alguns graficos mostram perceptivelmente que o impacto no Ira foi mais do que o dobro do que o segundo mais afetado; em alguns aspectos, foi mais que tres vezes pior, ou maior que a soma de todos os outros afetados.Ok, mas que outros impactos nos trouxe o Stuxnet ?Ele mudou o cenario de
malware. Ao aplicar tecnicas novas, rebuscadas e sincronizadas, ele pode ter lancado novas formas e metodos de ataque que em breve estarao disseminados e serao comuns nos malwares, e sem duvida essa nova situacao vai requerer mais pesquisas e praticas investigativas diferenciadas. O mecanismo de injecao de codigo dele, por exemplo, e engenhoso e inovador.Ele tambem lancou nova onda nos conceitos de guerra cibernetica.Ate onde pude colher informacoes, nunca tinham usado malware com objetivos de sabotagem de infra-estrutura critica. Isso tambem com certeza vai cair no lugar comum e vai acontecer com mais frequencia. No ultimo Hackinthebox houve uma palestra indicando como malware pode causar danos fisicos ao hardware do computador, fazendo com PCs o que o Stuxnet fez com as centrifugas. A bem da verdade, isso nao e nada novo. No inicio dos anos 90, a onda era criar malware que danificava a trilha 0 do disco, detonando-o. Tambem me lembro de algumas rotinas em assembly cujo objetivo era danificar o monitor, colocando parametros incompativeis nele. Isso tinha parado, mas tudo indica que pode voltar.Apesar de tudo, o maior impacto indireto das acoes do Stuxnet nao esta no que comentei acima, mas no fato de que algumas das dlls do seu codigo estavam assinadas com certificados validos. O driver mrxnet.sys, parte do Stuxnet atuando como um rootkit, estava assinado digitalmente com um certificado valido da Realtek. Outros arquivos possuiam a mesma assinatura digital. Em meados de 2010, outros arquivos identificados como parte do codigo do Stuxnet estavam assinados digitalmente por um certificado valido da empresa JMicron Technology Corp. Vale notar que, fisicamente, ambas estao proximas e isso pode indicar que os certificados foram roubados por alguem com acesso fisico as dependencias das duas empresas. O quanto essa situacao vai trazer de desconfianca nos esquemas de assinatura digital nao sabemos ainda. E fato que a validade de todo o processo reside no fato de a chave privada estar muito bem guardada, e nao acredito que esse tenha sido o unico caso de comprometimento ate hoje registrado. A famosa propriedade da assinatura digital conhecida como nao-repudio, onde o emissor nao pode negar a autoria do que foi assinado, pode sair arranhada desse caso. Assim como a alegacao de insanidade virou moda nos processos americanos e, nos meios digitais, o malware defense ("nao fui eu quem fez isso, foi um virus"), essa pode ser a proxima tese de defesa em documentos assinados digitalmente ("esta assinado mas nao fui eu, minha chave privada deve ter sido comprometida").Pronto, mais um problema para resolver. Nao devemos esquecer que ja esta acontecendo no Brasil o projeto da nova carteira de identidade, que ja vira com chip e certificado, permitindo o uso em assinaturas digitais. Ahhh, mas tem a revogacao do certificado, voce pode dizer.E verdade. O codigo Stuxnet com assinatura da Realtek foi identificado em 25 de Janeiro de 2010. O certificado foi revogado em 20 de julho. Tire suas conclusoes ...Comentarios ?Ate o proximo post !
competenciaNao consegue chegar la.Milhoes e milhoes de galaxiasMilhoes e milhoes de cometasMilhoes e milhoes de asteroidesTambem milhoes de planetasMilhoes e milhoes de meteorosMilhoes de corpos sonorosSao vistos por lunetas.Esta obra sera publicadaNa net em revistas e jornaisNo radio e televisaoDo interior as capitaisPra ficar bem comprovadoQue o mundo esta esconchavadoE o povo nao presta mais.E o homem na terraFruto de materia sucumbidaDe uma poeira cosmologicaEm uma galaxia perdidaAqui nasce como criancaE na velhice morre a esperancaDe tudo que sonhou na vida.
Um homenagem da filha: adminsousa Era uma vez um casal de lavradores que tinha 07 filhos. A sexta filha recebeu o nome de Mosarina.Os pais de Mosarina eram muito pobres e nao conseguiam trabalhar sozinhos, por isso todas as criancas da casa tinham que trabalhar na roca para ajudar nas despesas de casa.Naquele ambiente simples e humilde, cresceu Mosarina, tornando-se a moca mais linda do mundo, com sua pele branca como a neve, tinha os olhos claros como a agua e os cabelos mais pretos e sedosos como o ebano.Nos fundos da casa do casal, rodeada por uma cerca alta, havia uma linda roca, onde os camponeses cultivavam feijao, milho e mandioca para a subsistencia da familia.Ao completar 15 anos, Mosarina vivia sozinha com sua familia, mas sonhava encontrar um principe encantado que lhe amasse e lhe desse uma vida mais feliz. Por isso, sempre vivia a cantar lindas musicas, mesmo quando estava triste.Certo dia, um jovem que vivia muito longe e passava por ali, ouviu o canto da linda jovem e quis conhece-la. Ao ficar sabendo que a moca gostava de frequentar a igrejinha do povoado, o cavalheiro se aproximou.Vendo a formosura da moca, o tropeiro logo lhe propos casamento, pois ficou encantado, apesar de ja ter tido muitas outras namoradas.Resolveram entao fazer planos para o casamento, ja que Mosarina tambem se encantou pelo seu admirador. Ao ficar sabendo que um cabra namorador qualquer pretende casar-se com sua bela filha, o velho Ze Gomes, pai da moca, disse bem alto:- Nada disso. Nao criei filha minha filha para casar com bandoleiro que nao tem onde cair morto.A partir de entao a menina comecou a sofrer muito, pois amava muito seu pai e nao queria magoa-lo. Certo dia, porem, o jovem promoveu uma quermesse, onde teria muitas pessoas e convidou todas as mocas do pequeno povoado, a fim de que durante a festa, ele e Mosarina pudessem conversar sobre seus planos.De repente, eis que surge uma fada para ajudar Mosarina. A sua mae era a favor do casamento e apoiou a filha, incentivando-a a lutar pelos seus sonhos.Mosarina foi para a quermesse, toda contente. Ela deveria encontrar seu amor e voltar para casa antes da meia-noite, pois quem fica na rua ate de madrugada nao sao mocas direitas.Quando Mosarina chegou na quermesse todos ficaram encantados com a sua beleza. E o rapaz bandoleiro conversou so com ela, ambos ficaram muito felizes por estarem juntos, planejaram tudo, fugir, casar e ser felizes para sempre. Este trabalho e uma homenagem ao Poeta e Filosofo Cearense Natim, ao mesmo tempo e uma especie de suvenir, para ficar de lembranca na familia.Para que netos e netos entre geracoes e geracoes tenhamconhecimento das obras de Raimundo Nonato de Sousa O Natim.COLETANEA CORDEIS DO NATIMAo Eterno Filosofo e Poeta Natim.Pai! "Divulgar virtualmente parte de suas obras e meu dever e obrigacao""Estes" nao foram! Nem nunca seram! Teus ultimos cordeis.Por toda existencia desta Literatura! A cada cordel escrito dia a dia.Tuas maos, tua mente estara presente.Teus sonhos de crianca estarao se realizando. E tao bom, taoemocionante lembrar, falar do