SecureMac identifies first ARDAgent-based trojan

PoohMac · Mensaje por **PoohMac** » Vie Jun 20, 2008 2:39 pm

Bueno como dice el titulo , un nuevo troyano...

http://www.tuaw.com/2008/06/19/securemac-identifies-first-ardagent-based-trojan/

les dejo a url, tengan cuidado y recuerden ... sistema seguro... no existe

Salu2,
PoohMac

Mensaje por **Cin** » Vie Jun 20, 2008 3:43 pm

Bueno, a ver que revuelo causa, no sea cosa que sea otra falsa alarma que poco más tenía que estar nublado con Júpiter alineado a Venus para que una máquina con OS X quede vulnerable.

Cyberser · Mensaje por **Cyberser** » Vie Jun 20, 2008 4:29 pm

Es verdad, mira si es como la Kalashnikov... a mi nunca me mato una y no conozco nadie que se haya muerto a raíz de ella

debe ser recomplicado que te maten con eso, además hay que conseguirla y saber usarla y tener punteria.. no se por que dicen que es el arma de fuego que más victimas a causado en la historia de la humanidad.. para mi son todo mentiras x(

PoohMac · Mensaje por **PoohMac** » Vie Jun 20, 2008 4:34 pm

Cin escribió:Bueno, a ver que revuelo causa, no sea cosa que sea otra falsa alarma que poco más tenía que estar nublado con Júpiter alineado a Venus para que una máquina con OS X quede vulnerable.

si ojo capas que es un complot contra Apple y en realidad es un tipo que se tomo la molestia de escribir un articulo, relacionarlo con otros articulos y nada mas, es mas no seran de alguna empresa de antivirus mmm... y no se ... esta gente "http://www.securemac.com/applescript-tht-trojan-horse.php" es seria? digo los de securemac? o capas que es una organizacion...

como sea no esta de mas, en mi opinion como lo dije varias veces "seguro esta con los peirano y no en las caiman" asi que no viene mal cuidarse un poco.

Salu2,

Mensaje por **Cin** » Vie Jun 20, 2008 4:43 pm

sao · Mensaje por **sao** » Lun Jun 23, 2008 4:33 pm

Bueno, a cruzar los dedos y estar muy atentos a lo que se baje de la web, especialmente Applescripts, esperemos que Apple nos dé un "Security Update" pronto.

Este "Trojano" es fuerte...

macpotok · Mensaje por **macpotok** » Mié Jul 02, 2008 5:08 pm

Acá explican formas/workarounds para evitar ser afectados por este troyano:

http://www.tuaw.com/2008/06/19/ardagent-setuid-allows-root-access-but-theres-an-easy-fix/
http://www.tuaw.com/ardfix/

Para poder activar este troyano el atacante debe estar loguado local o remotamente en el equipo víctima, o convencer de alguna forma al usuario de que ejecute el script malicioso.

Cyberser · Mensaje por **Cyberser** » Mié Jul 02, 2008 5:51 pm

macpotok escribió:Para poder activar este troyano el atacante debe estar loguado local o remotamente en el equipo víctima, o convencer de alguna forma al usuario de que ejecute el script malicioso.

solo agrego... o utilizar alguno de los bugs de seguridad que permiten ejecutar scripts sobre una sesión abierta, o camuflar la ejecución del script dentro de otra valida ( como el update de una aplicación, supongamos QT )

macpotok · Mensaje por **macpotok** » Mié Jul 02, 2008 6:16 pm

Respecto a lo primero, estoy de acuerdo pero según entiendo justamente este troyano una vez instaldo permite ejecutar scripts sobre una sesión abierta, por lo cual se me plantea el enigma del huevo o la gallina. (para que instalar el troyano si ya tengo el control sobre la sesión abierta).

Lo de camuflar el script creo que cae dentro de la categoría convencer al usuario para que de alguna forma ejecute el script, ya sea mediante una actualización o una aplicación o una ejecución de algo que parece ser inofensivo.

Cyberser · Mensaje por **Cyberser** » Mié Jul 02, 2008 8:03 pm

macpotok escribió:Respecto a lo primero, estoy de acuerdo pero según entiendo justamente este troyano una vez instaldo permite ejecutar scripts sobre una sesión abierta, por lo cual se me plantea el enigma del huevo o la gallina. (para que instalar el troyano si ya tengo el control sobre la sesión abierta).

Si, parece ridículo pero es una técnica muy común. La sobreinfección te asegura tener más de una puerta de entrada y te previene de que el usuario se logre librar un troyan. Supongamos que tenes un usuario con un troyano A instalado, al salir el troyano B lo primero que se hace es reinfectar con B, así cuando salga el parche que inhabilita a A igual existe una puerta de entrada.

Tambien se usa la sobreinfección en el caso que el troyano A no sea de tu propiedad pero si puedas acceder a él. Por ejemplo cuando se ataca mediante portscan posiblemente encuentres y puedas usar un troyano colocado por algún intruso incauto y con escasa ética, de esta forma se puede colocar un nuevo troyano especifico y ejecutar código personalizado.

macpotok escribió:Lo de camuflar el script creo que cae dentro de la categoría convencer al usuario para que de alguna forma ejecute el script, ya sea mediante una actualización o una aplicación o una ejecución de algo que parece ser inofensivo.

Si si, totalmente de acuerdo. Solo lo nombre a modo de identificar la técnica. Es que cuando se habla de engañar al usuario, en ocasiones algunos usuarios tienden a creer que es del tipo: te llega un mail diciendo que pinches en tal link. Mi intención era solo que se observara que cuando aparecen advertencias de que es posible redireccionar la central de descargas de Apple en algunos productos, lo que esta en juego no es solo el riesgo de quedarse sin poder descargar la última versión de tal o cual aplicación.

sao · Mensaje por **sao** » Mar Ago 05, 2008 2:00 pm

El problema con la vulnerabilidad en el "ARDAgent" quedó resuelto en el Security Update 2008-005

http://support.Apple.com/kb/HT2647

.