Worms: Conheça o inimigo e defenda-se

© 2004 Internet Security Systems. All rights reserved. Contents are property of Internet Security Systems.
worms
conheça O INIMIGO e defenda-se

internet SECURITY systems
esperança NÃO É
estratégia

““QUEM NÃO FORQUEM NÃO FOR precavidoprecavido E FIZER POUCO DEE FIZER POUCO DE
SEUSSEUS adversáriosadversários, CERTAMENTO SERÁ, CERTAMENTO SERÁ
capturado e abatidocapturado e abatido POR ELES.”POR ELES.”
SUN TZUSUN TZU
A arte da guerra

WORM:
definindo E DIFERENCIANDO OS
conceitos

““wormworm É UM PROGRAMAÉ UM PROGRAMA auto-suficienteauto-suficiente (OU UM(OU UM
CONJUNTO DE PROGRAMAS), QUE POSSUÍ HABILIDADE DECONJUNTO DE PROGRAMAS), QUE POSSUÍ HABILIDADE DE
disseminar-sedisseminar-se ATRAVÉS DE CÓPIAS (OU PARTES)ATRAVÉS DE CÓPIAS (OU PARTES)
FUNCIONAIS DELE MESMO A OUTROS SISTEMAS DEFUNCIONAIS DELE MESMO A OUTROS SISTEMAS DE
COMPUDORES (NORMALMENTE ATRAVÉS DECOMPUDORES (NORMALMENTE ATRAVÉS DE conexõesconexões
de redede rede). NOTE QUE DIFERENTEMENTE DE UM). NOTE QUE DIFERENTEMENTE DE UM vírusvírus,,
WORMS NÃOWORMS NÃO precisam deprecisam de OUTROSOUTROS programasprogramas
PARA ANEXAR-SE.”PARA ANEXAR-SE.”
VIRUS-L/comp.virus FAQVIRUS-L/comp.virus FAQ
Definindo

Diferenciando
• Vírus:
– Necessita de um programa para disseminar-se.
• Pseudo WORMS:
– Necessita de intervenção externa para disseminar-se.
• WORMS:
– Auto-suficiente ao disseminar-se.

POR QUE
DEVEMOS CONHECER a
história?

Qual o conceito de história?
• Processo.
• Conhecimento.
• Campo do conhecimento.

História = Conhecimento
““AA históriahistória É O PROCESSO DE CONHECER OSÉ O PROCESSO DE CONHECER OS
acontecimentosacontecimentos (FATOS), EM CAMPOS DE(FATOS), EM CAMPOS DE
conhecimentoconhecimento, ONDE, ONDE aprendemosaprendemos COM OCOM O
PASSADO, BUSCANDO PORPASSADO, BUSCANDO POR experiênciasexperiências, TANTO BEM, TANTO BEM
COMO MAL SUCEDIDAS!”COMO MAL SUCEDIDAS!”

Fatos (acontecimentos)
• Fato #01:
– Segundo SANS dura apenas 20 minutos para um usuário,
em sua primeira conexão com a Internet, ser atacado por
um WORM ou HACKER.
• Fato #02:
– 22% de totas as vulnerabilidades são de “Buffer Overflow”
(stack, heap, return-in-libc, interger, format string, etc...).
• Fato #03:
– Qualquer usuário/empresa é alvo em potencial.

Lições aprendidas?
• Lições aprendidas com o primeiro WORM.
– A propósito, qual foi o primeiro WORM?
• Lições aprendidas com as últimas ameaças
híbridas.
• Lições aprendidas este ano (2004).

Realmente aprendemos as lições?
$100,000.00
$2,620,000,000.00
$640,000,000.00
$1,250,000,000.00
$2,000,000,000.00
$500,000,000.00
Morris Worm CodeRed Nimda Slammer Blast er Sasser* Source: Computer Economics

O
big-bang DOS worms

1975 – The Shockwave Rider
• “Yes, sir! I´m quite aware
that an worm of that type is
theoretically impossible! But
the fact stands, he´s done
it, and now it´s so goddamn
comprehensive that it can´t
be killed. Not short of
demolishing the net!"
(247, Ballantine Books, 1975)

1979 – IEN159 WORM
• John Shoch e Jon Hupp, do
Centro de Pequisas da
Xerox (Palo Alto Research
Center), descobrem os
WORMS de computadores.
• Procura por sistemas na
rede com CPU em estado
“IDLE”, executando outras
tarefas distribuídas.
• INOFENSIVO.

MORRIS WORM:
o dia EM QUE A INTERNET
quase parou

Um teste?
• Primeira infecção:
02/11/1988.
• Um teste feito por uma
aluno da Cornell University,
Robert T. Morris:
– Filho do cientista chefe de
uma agência governamental
(USA).
• Uma ameaça fora de
controle:
– Vários erros de programação
levaram a uma “catástrofe”.

Restultado
• Infectou quase toda rede mundial (conhecida hoje
como Internet):
– Arpanet;
– Milnet;
– NSFnet;
– CSnet.
• Resultou na criação do CERT e na prisão de Morris.
• Atualmente Morris é professor do MIT:
– http://www.pdos.lcs.mit.edu/~rtm/

AS
novas ameaças HÍBRIDAS

Uma novo desafio
• Desde 1988 a Internet cresceu vertigionasamente.
• Outros fatores devem ser considerados:
– Instabilidade durante os minutos/horas/dias inicias do
ataques, ex:
• Roteamento;
• Equipamentos de rede;
• Serviços píblicos;
• Instituições financeiras;
• Sistemas SCADA.

CODERED:
após ANOS, eles VOLTARAM

Uma nova era começa
• HTTP como protolcolo principal de propagação.
• Impossível de utilizar proteção de controle de
acesso lógico (Firewall) para evitá-la.
• CodeRed v1, v2 e II: afinal de contas qual a
diferença?

NIMDA:
A ameaça MAIS
heterôgenea

Totalmente eficaz
• Várias vulnerabilidades exploradas, entre elas as
senhas fracas.
• Utilização de uma capacidade única de explorar
máquinas já contaminadas por outros WORMS.
• Primeira tentativa de uma ameaça híbrida:
– Sevidores e estações de trabalho (usuários finais) eram
alvos.

WARHOL WORM:
teoria E prática

Quem é Warhol?
• Andy Warhol (1928-1987):
– “In the future, everybody will
have 15 minutes of fame!”
(No futuro, todos terão 15
minutos de fama!);
• Programas na MTV (USA):
– "Andy Warhol's TV" ;
– "Andy Warhol's Fifteen
Minutes"

O que é Warhol WORM?
• Teoria criada por Nicholas C. Waver (Berkeley
University).
• Principais técnicas utilizadas:
– HITLIST;
– Permutation scans;
– Patiotioned permutation scans;
– Random scans.
• Principal objetivo:
– Infectar o maior número (ou todos) os alvos vulneráveis.

Já existe algum “Warhol WORM”?
• Slammer foi o primeiro, porém mal sucedido:
– Erro na geração do SEED utilizado pela função de
“Random Scan” (PRNG).

SLAMMER:
O dia EM QUE A INTERNET parou

Rápido e mortal
• Tamanho de apenas 376 bytes.
• Um único pacote (UDP) infecta a máquina
vulnerável.
• Paralização da Internet.
• Reincidência em muitas corporações.

Linha de tempo
184 dias
(≈ 06 meses)
24/7/2002
MS02-039
DoMS02-039
aoSlammer
1/8/2002
Exploit
Público
(BackHat)
25/1/2003
Slammer
Worm
Hoje
Slammer
Continua
Atacando

Paralização da Internet
““SLAMMER’S IMPACT ONSLAMMER’S IMPACT ON emergencyemergency SERVICES,SERVICES,
THETHE internetinternet BACKBONE,BACKBONE, airlinesairlines ANDAND
financialfinancial SERVICES WASSERVICES WAS short-livedshort-lived BUTBUT
remarkableremarkable GIVEN THE ABSENSE OF ANYGIVEN THE ABSENSE OF ANY
DESTRUCTIVE PAYLOAD.”DESTRUCTIVE PAYLOAD.”
cnncnn
““IN THIS CASE, THEIN THIS CASE, THE customercustomer WASWAS affectedaffected..
PEOPLE WEREN’T GETTING DIAL TONES; AIRPLANESPEOPLE WEREN’T GETTING DIAL TONES; AIRPLANES
COULDN’T FLY; ATM WEREN’T GIVING CASH.”COULDN’T FLY; ATM WEREN’T GIVING CASH.”
peter allorpeter allor
DIRECTOR OF OPERATIONS FOR IT-ISACDIRECTOR OF OPERATIONS FOR IT-ISAC
http://www.it-isac.org/http://www.it-isac.org/

Comparação com outros WORMS
6,000 359,000
450,000
75,000
188,000
700,000

Propagação

A mais rápida propagação por minuto
3
460
208
2,500
44
243
Morris Worm CodeRed Nimda Slammer Blast er Sasser Source: Internet Security Systems

BLASTER:
O INÍCIO DE UMA nova era

Todos estão vulneráveis
• A história é escrita:
– A primeira grande vulnerabilidade que colocavam todos
vulneráveis, do Windows NT 4 SP6a ao Windows 2003.
• Dois vetores podem ser explorados:
– IRemoteActivation
– ISystemActivator
– A maioria dos IDSes apenas reconhecem os ataques ao
segundo vetor.
• Utilização de um TEMPLATE de WORM.

Linha de tempo
25 dias
(< 01 mês)
16/7/2003
MS03-026
DoMS03-026
aoBlaster
25/7/2003
Exploit
Público
10/8/2003
Blaster
Worm
Hoje
Blaster
Continua
Atacando

SASSER:
um NOVO pesadelo

A história se repete
• A história é escrita:
– A segunda grande vulnerabilidade que colocavam todos
vulneráveis, do Windows NT 4 SP6a ao Windows 2003.
• Utilização de um TEMPLATE de WORM.
• Funcionalidade de reconhecimento automático do
Service Pack.
• Primeiro momento onde as probabilidades
apontavam para uma “The Perfect Storm”.

Linha de tempo
18 dias
(< 01 mês)
13/4/2004
MS04-011
DoMS04-011
aoSasser
25/4/2004
Exploit
Público
1/5/2004
Sasser
Worm
Hoje
Sasser
Continua
Atacando

O QUÊ
o futuro NOS reserva

“The perfect storm” (Fúria em Alto Mar)
• Circunstâncias perfeitas.
• Uma ou mais vulnerabilidades
sendo exploradas.
• Independente de Sistemas
Operacionais.
• Furtivo.
• Hostil.
• Direcionado a um determinado
alvo:
– Cyber-terrorismo;
– Infowar;
– Espionagem, incluindo a
espionagem industrial.

Comparação entre os últimos WORMS
184 dias
(≈ 06 meses)
24/7/2002
MS02-039
DoMS02-039
aoSlammer
1/8/2002
Exploit
Público
(BackHat)
25/1/2003
Slammer
Worm
Hoje
Slammer
Continua
Atacando

25 dias
(< 01 mês)
16/7/2003
MS03-026
DoMS03-026
aoBlaster
25/7/2003
Exploit
Público
10/8/2003
Blaster
Worm
Hoje
Blaster
Continua
Atacando

18 dias
(< 01 mês)
13/4/2004
MS04-011
DoMS04-011
aoSasser
25/4/2004
Exploit
Público
1/5/2004
Sasser
Worm
Hoje
Sasser
Continua
Atacando

ANTES
QUE SEJA TARDE, defenda-se

Novo foco
• Foco na proteção em profundidade.
• Proteção para todas as camadas:
– Rede;
– Servidores;
– Estações de trabalho (notebooks).
• Mecanismos que ajudem a identicar e parar as ameaças:
– Firewalls;
– IDS;
– IPS;
– Etc...
• Estão todos convidados a darmos continuidade a este
debate.

Q&A
perguntas E respostas

Dúvidas

nelson brito <NBRITO@ISS.NET>
system engineer &
x-force EDUCATION instructor

Worms: Conheça o inimigo e defenda-se

Recomendados

Recomendados

Mais conteúdo relacionado

Destaque

Destaque (8)

Semelhante a Worms: Conheça o inimigo e defenda-se

Semelhante a Worms: Conheça o inimigo e defenda-se (20)

Mais de Nelson Brito

Mais de Nelson Brito (16)

Worms: Conheça o inimigo e defenda-se