iPhone + Botnets = Fun

iPhone + Botnets = Fun El ascenso y caída de un imperio Congreso de Seguridad ~ Rooted CON’2010 Autor: David Barroso

Objetivos
Conozcamos un poco más a ZeuS
Comprobemos la privacidad de nuestro iPhone
Programemos para el iPhone
Xcode / gcc
ldid
Ravel-arm
Class-dump-z
Radare2 
Congreso de Seguridad ~ Rooted CON’2010

La Historia
Nuestro personaje
Cómo intentó infectar millones de iPhones
En quién se fijó
Cómo lo hizo
Cómo acabó
Conclusiones

Aviso
La presentación contiene datos reales y datos de ciencia-ficción
En caso de duda, siga el principio de la Navaja de Occam

Nuestro personaje
Nombre: Homer
Edad: 38
Ocupación: Inspector de Seguridad
Lugar: Springfield

Springfield Shopper Congreso de Seguridad ~ Rooted CON’2010

Mariposa Congreso de Seguridad ~ Rooted CON’2010

Hmmmm Congreso de Seguridad ~ Rooted CON’2010

Idea Congreso de Seguridad ~ Rooted CON’2010

Ser el amo de millones de ordenadores Congreso de Seguridad ~ Rooted CON’2010

Be Cool Congreso de Seguridad ~ Rooted CON’2010

iPhone e iPad Congreso de Seguridad ~ Rooted CON’2010

iBoard e iMat Congreso de Seguridad ~ Rooted CON’2010

iPhone Congreso de Seguridad ~ Rooted CON’2010 Fuente: Wikipedia

iPhone Congreso de Seguridad ~ Rooted CON’2010

Tienda de donuts Congreso de Seguridad ~ Rooted CON’2010

Encuentro con A-Z Congreso de Seguridad ~ Rooted CON’2010

Zhiguli Sedan Congreso de Seguridad ~ Rooted CON’2010

Mercedes SLR Congreso de Seguridad ~ Rooted CON’2010

ZeuS - Precio
ZeuS Kit 1.3.4 ($3000 - $4000)
Licencia por hardware
Backconnect ($1500)
Firefox form grabber ($2000)
Soporte Jabber ($500)
VNC ($10000)
Windows Vista/Windows 7 ($2000)

ZeuS Builder Congreso de Seguridad ~ Rooted CON’2010

ZeuS no infecta
Spam
Drive-by downloads
Web 2.0 infections
Pay-per-install
Falsos codecs

Tienda de donuts Congreso de Seguridad ~ Rooted CON’2010

Ikee Worm
Primer código malicioso para iPhone
Ashley Towns, 21 años
Australia

SSH Scanning Congreso de Seguridad ~ Rooted CON’2010

Ikee Worm
Ikee iPhone Worm (alpine):
“ <ikee> Secondly I was quite amazed by the number of people who didn't RTFM and change their default passwords.”
Segundo iPhone Worm (ohshit!):
Roba información
Es una botnet con dos C&C
Afecta a bancos holandeses
Ya no es sólo un script de prueba sino que tiene un proceso malicioso (sshd)

Aunque…
Libtiff exploit – ImageIO Framework (Tavis Ormandy)
MobileSafari iPhone Mac OS X (1.00, 1.01, 1.02, 1.1.1)
SMS Exploit (Charlie Miller & Collin Mulliner)

Aunque… Congreso de Seguridad ~ Rooted CON’2010

Idea Congreso de Seguridad ~ Rooted CON’2010

iOrchard
iOrchard = Botnet de iPhones
Congreso de Seguridad ~ Rooted CON’2010 Basada en ZeuS

Coming soon
ZeuS
vs
iOrchard

ZeuS – Conexión al C&C Congreso de Seguridad ~ Rooted CON’2010

ZeuS – C&C Congreso de Seguridad ~ Rooted CON’2010

ZeuS – Comunicación
Binario tiene una clave RC4 de 256 bytes
Pide su fichero de cfg.bin que está cifrado
Cifra sus comunicaciones con el C&C con esa clave
Contacta con gate.php para el envío de datos y recepción de órdenes

ZeuS – Comunicación Congreso de Seguridad ~ Rooted CON’2010

Un primer intento
A poor man’s Zeus Client
a.k.a.
Yet Another Frankestein script

YAFS Congreso de Seguridad ~ Rooted CON’2010 1. Coge un binario de ZeuSTracker 2. Saca la clave RC4 3. Coge el cfg.bin y descifralo 4. Conecta al C&P como iPhone

Un segundo intento
iOrchard

iOrchard– C&C Congreso de Seguridad ~ Rooted CON’2010

iOrchard– C&C Congreso de Seguridad ~ Rooted CON’2010
Basado en LAMP (como casi todos)
Fuerte uso de javascript (mootools)

ZeuS – Cifrado (antiguo) Congreso de Seguridad ~ Rooted CON’2010

ZeuS – Cifrado
ZeuS utiliza el algoritmo RC4 con claves de 256 bytes
Enviar datos robados
Contactar con el C&C
Recibir ordenes
El fichero de configuración está cifrado con la clave única (unas 1200)

iOrchard– Cifrado
Algoritmos disponibles
enum {
kCCAlgorithmAES128,
kCCAlgorithmDES,
kCCAlgorithm3DES,
kCCAlgorithmCAST,
kCCAlgorithmRC4,
kCCAlgorithmRC2
};
Congreso de Seguridad ~ Rooted CON’2010 CCCrypt(encryptOrDecrypt, kCCAlgorithmRC4, kCCOptionPKCS7Padding, vkey, //"123456789012345678901234", //key kCCKeySizeDES, vinitVec, //"init Vec", //iv, vplainText, //"Your Name", //plainText, plainTextBufferSize, (void *)bufferPtr, bufferPtrSize, &movedBytes);

ZeuS – Supervivencia
HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogon  "Userinit" = "C:WINDOWSsystem32userinit.exe,C:WINDOWSsystem32sdra64.exe
HKLMSoftwareMicrosoftWindowsCurrentVersionRun  "Userinit" = "C:Documents and SettingsuserApplication Datasdra64.exe"

iOrchard– Supervivencia
LaunchDaemons
/System/Library/LaunchDaemons/
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.simpsons.iorchard</string>
<key>Program</key>
<string>/usr/bin/iorchard</string>
<key>StandardErrorPath</key>
<string>/dev/null</string>
<key>OnDemand</key>
<false/>
</dict>
</plist>

ZeuS – Información privada
Roba credenciales almacenados en el Windows Protected Storage
Roba certificados X.509
Roba credenciales FTP y POP3
Roba cookies HTTP y Flash

D’oh!
INSERT INTO `botnet_reports_100308`(ìd`, `bot_id`, `botnet`, `bot_version`, `path_source`, `path_dest`, `time_system`, `time_tick`, `time_localbias`, òs_version`, `language_id`, `process_name`, `process_user`, `type`, `context`, ìpv4`, `country`, `rtime`) VALUES ('4', 'computer_69fdf7_0042159a', '-- default --', '16910849', 'https://www.firstbankofspringfield/CustomerAuthentication/data.aspx?c=c', '', '1268088924', '4718000', '7200', 'ÊÂ(
^CÂÂ', '1033', 'C:rogram Filesnternet Explorerexplore.exe', 'COMPUTER-69FDF7dministrator', '12', 'https://www.firstbankof/CustomerAuthentication/data.aspx?c=c
Referer: https://www.playboy.com/
Keys: https://www.firstbankofspringfield/MyAccounts/MyAccounts.aspx*
Data: user=nedflanders passwd=1234acme
pmdata=', '71.212.10.15', 'US', '1268088453');

iOrchard– Información privada
Direcciones de correo
/var/mobile/Library/Preferences/com.apple.accountsettings.plist
POP3, IMAP, Gmail, MobileMe, etc.
No está la contraseña (PSKeychainUtilities)
/private/var/Keychains/keychain-2.db
1||||||||||||||homer@mrx.com||mail.mrx.com|smtp||25||<t?????hT Sj??]6=?|apple

SMS
/private/var/mobile/Library/SMS/sms.db
sqlite> select * from message;
581|605234312|1268480030|"Hola David, soy Homer. Oye, llamame por favor cuando puedas, vale? Venga, hasta luego." - via SpinVox. Recuerda: DictaSMS es gratis. Solo se cobra al que te llama si te deja msj. |2|0||230|0|0|0|0||es|||1||

Llamadas
/System/Library/PrivateFrameworks/AppSupport.framework/calldata.db
/private/var/mobile/Library/CallHistory/call_history.db
sqlite> select * from call;
1357|0097142925822|1268039168|0|5|1659
1358|943324191|1268039290|77|5|-1
1359|+971503515393|1268040783|0|131077|-1
1360|+971333495251|1268040824|810|5|-1

Contactos
NSArray *people = (NSArray *)ABAddressBookCopyArrayOfAllPeople(addressBook);
/private/var/mobile/Library/AddressBook/AddressBook.sqlitedb
sqlite> select * from ABPerson;

Eventos y tareas
/private/var/mobile/Library/Calendar/Calendar.sqlitedb
sqlite> .tables
Alarm OccurrenceCache
AlarmChanges OccurrenceCacheDays
Attendee Participant
AttendeeChanges Recurrence
Calendar RecurrenceChanges
CalendarChanges Store
Event Task
EventChanges TaskChanges
EventExceptionDate _SqliteDatabaseProperties

Redes Wireless
/Library/Preferences/SystemConfiguration/com.apple.wifi.plist
SSID_STR
lastJoined
lastAutoJoined

Datos del teléfono
/var/mobile/Library/Preferences/com.apple.commcenter.plist
ICCID, IMSI, SBFormattedPhoneNumber
/var/mobile/Library/Preferences/com.apple.mobilephone.settings.plist
call-forwarding-number
/var/mobile/Library/Preferences/com.apple.mobilephone.plist
DialerSavedNumber
AddressBookLastDialedUid

Fotografías
/var/mobile/Media/DCIM/100APPLE
JPG y PNG
Longitud y latitud

Localización geográfica
/var/mobile/Library/Preferences/com.apple.Maps.plist
UserLocation with date
/var/mobile/Library/Preferences/com.apple.preferences.datetime.plist
Timezone
/var/mobile/Library/Preferences/com.apple.weather.plist
Tiempo en ciudades

Búsquedas recientes
/var/mobile/Library/Preferences/com.apple.mobilesafari.plist
RecentSearches
/var/mobile/Library/Preferences/com.apple.youtube.plistTimezone
Bookmarks, History, lastSearch

Keyboard Cache
/var/mobile/Library/Keyboard/
dynamic-text.dat
es_ES-dynamic-text.dat
Imagenes cacheadas
/private/var/mobile/Library/Caches/Snapshots

ZeuS – Robo de credenciales
Hooks típicos en ring3 :
wininet.dll
HttpSendRequestW
HttpSendRequestA
HttpSendRequestExW
HttpSendRequestExA
InternetReadFile
InternetReadFileExW
InternetReadFileExA
InternetQueryDataAvailable
InternetCloseHandle
HttpQueryInfoA
HttpQueryInfoW
ws2_32.dll
send
sendto
WSASend
WSASendTo
closesocket

ZeuS – Robo de credenciales
Hooks típicos en ring3 :
user32.dll
GetMessageW
GetMessageA
PeekMessageA
PeekMessageW
GetClipboardData
TranslateMessage
crypt32.dll
PFXImportCertStore

iOrchard– Robo de credenciales
Hagamos lo mismo que en los cajeros automáticos

iOrchard– Robo de credenciales
Teclado en el iPhone
UIKeyboardLayout (UIView)
UIKeyboardLayoutRoman
UIKeyboardInputManager
UIKeyboardInputManagerAlphabet (hook predicción)
Para hacer hooks:
MobileSubstrate
void MSHookFunction(void* function, void* replacement, void** p_original);

ZeuS – Kill OS
Nethell:
Borra NTDETECT.COM y ntldr
InfoStealer:
Borra drivers*.sys
Borra algunas claves (HKLMMicrosoftWindows NTCurrentVersionWinlogon: Shell = Explorer.exe
ZeuS:
Borra HKCU, HKLMSoftware y HKLMSystem
Glacial Dracon:
del /A:S /Q /F C:.*
del /S /Q %SYSTEMROOT% %PROGRAMFILES%

iOrchard– Kill OS
rm –rf /

iOrchard– Acceso por VNC
$10000 en ZeuS
Open Source en iOrchard ($0)
Integrando Veency, un servidor VNC disponible en Cydia

Objetivo conseguido Congreso de Seguridad ~ Rooted CON’2010

Veamos los resultados
Después de varias oleadas de infecciones masivas…
… y de una intensa actividad de compra, alquiler y venta

ZeuS – ZeusTracker Congreso de Seguridad ~ Rooted CON’2010

iOrchard– iOrchardTracker Congreso de Seguridad ~ Rooted CON’2010

Conclusiones
Hay unos 40 millones de iPhone
10% jailbreak
Infección es simple
Contraseña por defecto
Acceso total a los datos privados
Acceso a tu entidad financiera
Spear phishing
Conectividad 24x7
Copiemos las características de un caso de éxito
Vigila tu iPod/iPhone/iPad

Congreso de Seguridad ~ Rooted CON’2010 ¿Cómo acabó todo? ¿Qué pasó con Homer y su iOrchard?

D’oh!
INSERT INTO `botnet_reports_100308`(ìd`, `bot_id`, `botnet`, `bot_version`, `path_source`, `path_dest`, `time_system`, `time_tick`, `time_localbias`, òs_version`, `language_id`, `process_name`, `process_user`, `type`, `context`, ìpv4`, `country`, `rtime`) VALUES ('4', 'computer_69fdf7_0042159a', '-- default --', '16910849', 'https://www.firstbankofspringfield/CustomerAuthentication/data.aspx?c=c', '', '1268088924', '4718000', '7200', 'ÊÂ(
^CÂÂ', '1033', 'C:rogram Filesnternet Explorerexplore.exe', 'COMPUTER-69FDF7dministrator', '12', 'https://www.firstbankof/CustomerAuthentication/data.aspx?c=c
Referer: https://www.playboy.com/
Keys: https://www.firstbankofspringfield/MyAccounts/MyAccounts.aspx*
Data: user=nedflanders passwd=1234acme
pmdata=', '71.212.10.15', 'US', '1268088453');

¿Cómo acabó todo? Congreso de Seguridad ~ Rooted CON’2010

Gracias a: S21sec e-crime Jay Freeman (saurik) Nicolas Seriot (iPhone privacy) KennyTM (Keyboard hooks) Homer – Matt Groening David Barroso [email_address] Congreso de Seguridad ~ Rooted CON’2010 @ lostinsecurity

iPhone + Botnets = Fun

by lostinsecurity on Mar 23, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

2 Embeds 15

Statistics

iPhone + Botnets = Fun — Presentation Transcript

http://www.slideshare.net	14
http://static.slidesharecdn.com	1