klaatuProject's Blog

Kidnapping

giangol — Fri, 04 Dec 2009 22:21:54 +0000

Da due settimane non abbiamo più notizie di Jenna.
Che sia un rapimento ormai è chiaro.
Da indiscrezioni sembra che i due rapitori siano fuggiti all’estero con la nostra amata.
Chi avesse notizie è pregato di contattarci.

Malware Analysis Service

Ti — Wed, 24 Jun 2009 17:04:32 +0000

Recentemente mi sono imbattuto in BitBlaze, un servizio di analisi dei binari offerto dall’Universita` di Berkeley. Ho provato a sottomettere un binario, preso dal database di DolceFederica e dopo pochi minuti mi e` arrivato il report via mail. Sembra interessante, in particolarmente la “code view“. Su questa pagina e` possibile trovare informazioni e paper in merito al funzionamento della piattaforma.

Glastopf: un web application honeypot

Ti — Mon, 15 Jun 2009 00:30:32 +0000

Glastopf e` un honeypot in Python che emula un webserver e permette di collezionare dati relativi agli attacchi effettuati a livello di applicazione web. Al momento e` in grado di gestire solo dei Remote File Inclusion, essendo un giovanissimo progetto, ma e` prevista l’estensione anche ad altre tipologie di attacchi. Come altri honeypot, prevede il logging su IRC e inoltre ha la possibilita` di interfacciarsi anche con Twitter.

Glastopf scansiona tutte le richieste in cerca di stringhe come “http://” o “ftp://”. Qualora dovessero essere individuate, cerchera` di rispondere in modo da trarre l’attacker in inganno e fargli inviare il resto dell’attacco: ad esempio l’ URL dal quale scaricare un eseguibile.

La home del progetto e`: http://glastopf.1durch0.de

IRC honeypot LOG

Ti — Fri, 12 Jun 2009 14:53:34 +0000

Da qualche giorno abbiamo configurato i moduli log-irc delle due sonde, DolceFederica e RootMe. Ora e` possibile vedere i log, in realtime, semplicemente entrando nel canale #klaatuproject su FreeNode (calvino.freenode.net), con un client IRC. Io sto usando MacIrssi, mi trovo bene.

Nepenthes Successor

Ti — Wed, 10 Jun 2009 13:56:19 +0000

Credo che in molti si stiano chiedendo come mai Nepenthes non venga praticamente piu` mantenuto. Beh la risposta si chiama Dionea e sara` il successore di Nepenthes. E` scritto in C e supporta lo scripting in Python. E` parte del Google Summer of Code 2009.

Come per Nepenthes anche Dionea e` il nome di una particolare specie di piante carnivore.

http://dionaea.carnivore.it/

2 NEW SURFids Plugin

ictsec — Wed, 10 Jun 2009 12:22:54 +0000

2 NEW SURFids Plugin

[10/06/2009]

by Alberto Fontanella – itsicurezza [at] yahoo [dot] it

Norman SandBox Plugin v1.0 – DOWNLOAD
- MD5 HASH: 1cc2ae5faf57097a7b4172d96933ebdd
Sort By Country Plugin v1.0 – DOWNLOAD
- MD5 HASH: 5a6af874f2516ca0aa18640fdecacc12

Plugin Info [English]:

Norman SandBox Plugin v1.0: This plugin allow you to use a simple web procedure to send nepenthes downloaded malware binaries to Norman SandBox, and to fastly check/downloading Norman SandBox report, and allow you to scan with your antivirus all downloaded malware binaries just pressing one button.
Sort By Country Plugin v1.0: This plugin allow you to sort and show stored attacks by Country and seeing the attacker/attack city.

Plugin Info [Italiano]:

Norman SandBox Plugin v1.0: Questo plugin ti permette di usare una semplice procedura via web per inviare il malware binario scaricato con nepenthes alla SandBox Norman, e di verificare/scaricare velocemente il report della SandBox Norman. Ti permette anche di eseguire la scansione con i tuoi antivirus di tutti i binari di malware scaricati, premendo semplicemente un bottone.
Sort By Country Plugin v1.0: Questo plugin ti permette di ordinare e mostrare per Paese gli attacchi memorizzati e di vedere la città dell’attaccante/attacco.

About these plugins:
I think it will be integrated in the next SURFids release.
Penso che saranno integrati nella successiva release di SURFids.

Credits:
Plugins created by Alberto Fontanella – itsicurezza [at] yahoo [dot] it
SURFids project: http://ids.surfnet.nl

Nepenthes FAQ

Ti — Tue, 09 Jun 2009 00:31:22 +0000

Ho scritto una breve FAQ (Frequently Asked Questions) su Nepenthes. E` in Italiano. L’ho scritta sperando possa essere utile a qualcuno. E` scaricabile qui in pdf.

Primo Mese

southernfresh — Sun, 17 May 2009 19:18:36 +0000

Salve, non eravamo morti, ma semplicemente è passato un po’ di tempo per mettere bene a punto la macchina.
Dato che ad oggi la macchina è attiva da un mese (dal 18 Aprile), cogliamo l’occasione per fornirvi qualche nuova informazione.
Ad oggi sono stati registrati circa 7000 attacchi malevoli possibili ed inoltre sono stati registrati dal nostro sensore 1186 attacchi malevoli (Nepenthes).
I binari scaricati al momento sono circa 200, di cui il 50% sono unici.
La vuln più sfruttata resta sempre la DCOM , mentre ci sono attacchi su vuln come ASN1, NetDDE, LSASS, IIS e Sasser in % molto minore.
Per quanto riguarda le porte con maggiore attività registriamo che gli attacchi sono in prevalenza sulla 445 e 135.
Pubblichiamo a corredo di questo articolo la solita mappa con la provenienza degli attacchi e la top 20 dei nomi dei binari.

Prima Settimana

Ti — Sun, 26 Apr 2009 12:54:55 +0000

E` una settimana che stiamo catturando malware: circa 1500 attacchi ricevuti. Di questi, ~ 250 possono essere ritenuti realmente malevoli poiche` gestiti da Nepenthes tramite un modulo delle vulnerabilita`. Questo ha portato all’effettivo download di “soli” ~ 50 malware: valore imputabile alla sinteticita` di Nepenthes.

Tra le vuln emulate da Nepenthes, quella piu` sfruttata e` DCOM. Le porte su cui c’e` piu` attivita` sono la 445 e la 135. La quasi totalita` dei malware offerti ha binario con nome “ssms.exe”. Il 95% dei binari sono scaricabili tramite tftp.

Un’altra osservazione che e` possibile fare rigurda la provenienza degli attacchi. Beh una buona parte degli attachi proviene dall’Europa. Pochi da Russia, America del Sud, Africa e Australia. Qualche perseveranza dal Giappone e dalla Francia: alcune macchine infette ogni n ore ripetono l’attacco.

Attacchi prima settimana, google maps

Malware, Honeypot: qualche parola

Ti — Sun, 19 Apr 2009 15:27:53 +0000

Venerdi` scorso, presso i locali di Siinfor, ho parlato un po` di honeypot. Le slide sono reperibili qui: “Honeypots: catching malware in the wild“. Gianluigi Angotti invece ha fatto una presentazione circa i malware e ha introdotto il mio seminario.

Replichero` il seminario domani a unisa presso il lab Persiano, per la reading room che stiamo facendo.

E` la prima volta che faccio le slide in Latex e la realizzazione mi e` costata un po` di tempo` in piu` del solito, ma ne vale assolutamente la pena

Ieri, e` F I N A L M E N T E stata resa operativa “dolcefederica”, la macchina virtuale con SurfIDS + Nepenthes. Ora sta funzionando: in meno di 24 ore ~ 200 attacchi!