Цигански пазарлък за 2 стотинки

Тази карикатура е добро начало на този пост, имайки предвид контекста на карикатурата и на поста.

Цигански пазарлък за 2 стотинки

Днес стана една доста грозна сцена. До токова останах отвратен от сцената, че реших да я сподея в блога си.

Днес след работа, ми се доядоха пържени картофки. Реших да отида до близката бутка на пазара за бургери и хотдог, и да си поръчам пържени каротфки. Видях на табелата цена от 99 стотинки за 100 грама. Реших да купя повечко картофки да има за всички вкъщи. Купих 500 грама които според табелата са 4.95 лв. Питах продавача, колко стува една порция той каза 1 лев. Ок. Платих 5 лв, купих 5 порции – 500 грама да има за всички. Дали ми пука за тия 5 стотинки разлика? Не. Изобщо. Аз даже често си поръчвам от него храна на вкъщи и като има примерно някакво малко ресто примерно 40 – 50 стотинки, му ги оставям. Защо ли? Защото:

1. По цял ден работи в тоя бутка, за да си изработи някаква надница да си нахрани семейството

2. защото работи честно и почтено

3. защото винаги се старае клиента да е доволен, когато си получи поръчката

4. защото при него всичко е винаги прясно, топло и вкусно.

Докато чаках да се изпържат моите картофки, дойде една жена на средна възраст, да си поръча и тя картофки. Чудесно. Картофките на нашия готвач са хубави, и добре изпържени. Тя си поръча 200 грама. Попита човека в буткатаколко струват, и той и казва една порция е 100 грама и струва 1 лев. При което жената веднага си заби погледа в табелата, и вика ама на табелата пише 99 стотинки. След което започна да прави цигански пазарлък, буквално за 2 стотинки. Защото човека и казал 2 лв а не 1,98 лв.

 Сцената ми привлече вниманието, обърнах се и се заслушах, как тая малка злобна жена се пазареше за 2 стотинки, точко както се пазари някой циганин. Останах погнусен и отвратен от тая сцена и си тръгнах с неприятното усещане, за човешката злоба и човешкото падение. Стана ми тъжно, за човека от бутката, защото той виси там цял ден, прави се на маймуна, за да угажда на претенциите на всички, точно за това му оставям бакшиш, точноз а това ако имам примерно 40 – 50 стоники ресто при него не си ги вземам, нека пие едно кафе с тях. Нека и той се почувства човек, той нито е циркова маймуна нито е машина. За това останах и отвратен и погнусен от тая малка злобна жена, дето така грозно му се пазареше, все едно той и е някакъв роб дето и е длъжен и и е на подчинение.

Дали съм някой богаташ – не съм. Дали съм някой гъзар дето има толкова пари че не ги цени - не съм. Аз съм същия като него. Същия като човека от бутката. Работя в малка квартална бакалия. Колко изкарвам ли? Не изкарвам много, достатъчно за да се издържам. Защо симпатизирам на човека от бутката ли? Защото аз знам какво му коства, защото на мен ми коства същото. Защо изпитвам погнуса и отвращение от такива малки злобни хора като тази малка злобна жена ли! Защото всеки ден, имам вземане даване точно с такива малки злобни хора, изтъкани от ежедневната злоба, с комплекси за малоценност, които си мислят че са мачкани от живота. Не. Те не са мачкани от живота. Живота просто ги е избутал ей там в канавката където им е мястото и повече не се занимава с такива. Те са мачкани не от другите към които се отнасят със същата злоба, те са мачкани от собствената си злоба, завист, с които тровят останките от душата си, и останалите хора около тях мислейки си че като направят сцена и пазарлък на някой, вече са видиш ли силните на деня. Не. Не са силните на деня. Те са жалката гротеска на деня. 

Силните на деня са тези като човека от бутката, и като мен, които ежедневно трябва да се справяме с помията от злоба, завист и комплекси, които такива дребни злобни хора ни изсипват на главите, и въпреки всичката тази простащина, злоба, комплексарщина, оставаме на работното ни място и си завършваме работния ден.

Да, да си силен не значи да вдигаш шум и пушилка, да си силен значи да знаеш кога да отстъпиш на такива малки и злобни хора, и да знаеш как да се справиш с такива малки и злобни хора.

 

За хората и вирусите

За хората и вирусите

Напоследък се наслушах на разни твърдения за БИОС вирус, с името BadBIOS и реших да видя каква е тая нова щуротия, дето така е подпалила всички. Оказва се пълна щуротия, не просто щуротия, а абсолютна щуротия.

Източника на тая щуротия, е Драгос Рую, ужким бил секюрити рисърчър и основател, на конкурса  за пробиви и сигурност Pwn to own и конференцията за сигурност и пробиви BlackHat. Общо взето, твърдението гласи, че това е BIOS базиран вирус който се разпространява чрез звук, и живее в BIOS и се стартира и почва да работи със стартирането на компютъра и инициализирането на BIOS още ПРЕДИ да има заредена операционна система. След това, твърдението гласи, че тоя вирус никога не пипва и не помирисва операционната система на компютъра, и че си седи само в БИОС и работи само от там, без да се опитва да се докопа до операционната система.

Странно, защото разпространението чрез звук, макар да не е невъзможно, е доста ненадеждна и бавна и капризна технология, която е зависима от твърде много условия, които всичките трябва да са едновременно изпълнени перфектно и коректно, и ако кое да е едно не се изпълни перфектно нещата пропадат.

Освен това BIOS е пряко обвързан с платфорамата на която работи, няма такова нещо като универсален BIOS. Всеки  BIOS е правен изцяло според платформата на която ще работи. Няма начин, това да е, добра среда за разпространение. Всеки BIOS за всяка дънна платка е различен. Единственият шанс за разпространение, е в много тясна група от BIOS и това са всички дънни платки от една серия, модел, производител. Извън тази тясна група вируса умира защото отива на различна платформа.

Горкия клетник, чак да го оплачеш

Горкия клетник, чак да го оплачеш. Те сигурно заради такива изстрадали клетници като него са написали мюзикъла „Клетниците“.

На това му викам да нямаш късмет. Да се настроиш за хубава измама, да си избереш мишена, да си поставиш цел и да откриеш че си попаднал на грешната мишена, която да те изпържи, вместо ти нея. Те на това викам да нямаш късмет. Ами какво да ви кажа. Има ги и такива баламурници. Както един приятел вика баламургени. Баламурген значи баламурник, Баламургени, значи баламурници, както същия приятел се майтапи с немска нотка в думата.

Мишената бях аз, целта беше да ми измъкне данните за кредитната карта – хайде стига всички знаят че нямам такава, и че не вярвам на тая система с картите, и че я смятам за прекалено незряла и недоразвита, за да си доверя парите на нея, и за това всички знаят че скоро няма да си извадя кредитна карта.

Та днес получавам странно телефонно обаждане. Да, новата вълна предпразнични телефонн мошеници. Та реших че няма да го отсвиря, бързо и  категорично а ще се погавря с него, докато му скъсам нервите.

Зевс, новият банков троянски кон

Говорейки за вируси, червеи, троянски коне, рууткити, определено бих се притеснил, ако създателите на тези изроди ми кажат:

Works as advertised, and delivers as promised.

Бих се притеснил двойно, ако това изречение ми го каже някой голям и сериозен секюрити рисърчър, например като Брус Шнайер, Стив Гибсън, Марк Русинович, Райндол Шварц, Брайън Кребс, или ако анализирам гадината и сам видя че наистина Works as advertised, and delivers as promised.

Така днес си грах с един троянски кон, исках да го анализирам, да го видя какво прави, как го прави и къде. Ето и резултатите от анализа ми. Това е гадина която ОПРЕДЕЛЕНО НЕ ЖЕЛАЕТЕ да ви се лепне на компютъра.

Когато получих мострата от Стив Гибсън от GRC.COM, Microsoft Secrity Essentials не го познаваше, докладваше го за чист. Пратих им копие на мострата, заедно с кратичко описанииче що е то в зип архива, признаха го, потвърдиха че е най-новия зевс, и ми отдадоха заслугата. 24 часа след като го пратих, ми казаха че са признали мострата и са направили дефиниция да го познава по мойта мостра.

поиграх си малко с него, и с инструментите на Марк Русинович Sysinternals tools и направих този кратък анализ.

Зевс е троянски кон, който се разпространява, с фишинг емайл, и поради тази причина създава и използва ботмрежа с името Zbot.

Троянският кон, използва рууткит, за да прикрие присъствието си – файлове, процеси, тредове, записи в регистри.

Рууткита, реагира късно да пази троянския кон, чак когато сте притеснително бизо до троянския кон – тоест ако не търсите троянския кон, рууткита няма да реагира за да не се издаде. Чак когато степритеснително близо до него, рууткита режава че не сте там случайно а с цел и реагира на ставащото.

Рууткита се прикрива като гугълска услуга, за да може, дори при неговото разкриване, да се опита да изглежда като нещо невинно. Камуфлаж.

Рууткита и троянският кон, са създадени, да работят на неадминистраторски акаунт, без права и привилегии, и притеснителното е че го правят, безупречно.

Троянският кон, се опитва да се отпише от системните защити на паметта – DEP – Data Execution Prevention, ASLR – Address Space Layout Randomization и SEHOP – Structured Exception Handler Overwrite Protection. Ако не успее, става още по-притеснително, използва нов пробив в системата за шрифтове, за да получи права на администратор и на системен процес на ядрото – kernel ring 0 с които тотално изключва споменатите защити.

Троянският кон, работи с папките на потребителя в потребителския профил, и в частите на регистри отнасящи се до текущият потребител. Тъй като се правят промени за текущият потребител, троянският кон няма нужда от администраторски права, за да зарази системата и да се запише за автоматично стартиране.

Троянският кон записва 2 файлана хард диска, единият от които е рууткита, който крие всичко, а другият е троянският кон, който бива скрит от рууткита.

Папката в която се записва рууткита е:

При 64 битова версия на уиндоус:

C:\program files x86\google\desktop\install\random named folder 1\random named folder 2\random named folder 3\googleupdate.exe

При 32 битова версия на уиндоус:

C:\program files\google\desktop\install\random named folder 1\random named folder 2\random named folder 3\googleupdate.exe

Където папките с имена random named folder всъщност са папки с произволни имена.

Папката в която се записва самият троянски кон е:

C:\users\current user folder\appdata\local\google\desktop\install\random named folder 1\random named folder 2\random named folder 3\randomfilename.exe

Където randomfilename значи произволно име на файла, и Където папките с имена random named folder всъщност са папки с произволни имена.

Имената на файла и на папките нарочно са произволни, и се създават за всеки заразен компютър произволни, за да може, да няма видими общи белези, между заразените компютри. Още една техника за прикриване на присъствието си.

При стартиране на заразеният компютър, операционната система зарежда рууткита, след като рууткита се стартира, заработи и се скрие, рууткита стартира троянския кон и го прикрива.

Рууткита се записва в регистри за автоматично стартиране в частта на регистри за текущият потребител:

HKEY_Current_User\Microsoft\Windows\Current_Version\Run

Интересното е че като система за пририване, това не успява да го направи. Опита му ма прикриване е белега който го издава. Записа на файла за автоматично стартиране бива прикрит с разместване на буквите в името на файла, и файла се вижда като:

exe.etadpuelgoog

но като наместите буквите правилно, се появява истинското име на файла:

googleupdate.exe

Това че всичко е разместено, привлича погледа. Обикновенов регистри всички имена са коректно споменати и няма опити за прикриван и завоалиране на имена, и за това така завоалирано името привлича внимание. единственото завоалирано има на фона на всички останали незавоалирани, за това по-горе казах че не успява и че опита за прикриване е това окето го издава.

Рууткита и троянският кон са маркирани като Safe Boot което означава, че уиндоус ги стартира при зареждане на компютъра в обичайния safe mode. Проблемът се утежнява, защото също бива зареден и в Safe mode with VGA и Safe Mode with Networking, защото в последният режим, троянският кон директно си се връзва в неговата бот мрежа и всичко работи на 100%

Хубавото, е че не се зарежда в най-минималистичния и най-орязаният режим – Safe mode with command prompt. Ех добрият стар дос, хората от старата школа, знаят за какво говоря. В този режим, не е проблем да навигирате с командите на дос, и да изтриете файловете на зевс и рууткита, и да използвате Autoruns sysinternals инструмента, за да премахнете записа за автоматично стартиране от регистри.

Веднъж троянският кон, стартиран от рууткита, и скрит от рууткита, веднага се закача за клавиатурата, и търпеливо анализира всичко което набирате от клавиатурата, за да види може ли да извади акаунти за електронно банкиране, данни за кредитни или дебитни карти, данни за банкови сметки.

Троянският кон, и рууткита, съществуват не като самостоятелни процеси, а като DLL тредове, под юриздикцията на services.exe което позволява, на троянският кон да следи клавиатурата, и на рууткита да го прикрива успeшно.

За да се свърже с неговата ботмрежа, троянският кон, стартира множество UDP връзки от локален порт 54946 на зарdзеният компютър, до отдалечен порт 16470 на произволно генерирани имена, физически пръснати по целия свят, откъдето вземат командите си от command & control или предава вече събраната информация от клавиатурата.

Кратък анализ на CryptoLocker RansomWare

CryptoLocker е писан, да работи на стандартни потребителски акаунти без привилегии, и няма нужда от административни права, за да може да се запише за автоматично стартиране, и да работи безпроблемно и неограничено, и да прави каквото си иска, и както си иска.

Основният му файл, и в папката на потребителя. Докато си играех с него, на моя компютър, папката му беше c:\users\diabolik\appdata\local

След стартирането си, веднага си слага произволно име. Мострата,с която си играх, дойде с име Vcffipzmnipbxzdl.exe, и веднага след стартирането, този файл изчезна, и се появи негово копие в с:\users\diabolik\appdata\local с името Kikxhmreyzanzznxdxf.exe.

Имайте предвид че това са произволни имена, и че на всеки компютър, имената ще са различни.

Файла се скрива от поглед со командата Attrib +h +s

Навсякъде, се представя като CryptoLocker - Success ato - by Bronto Software company

Записва се в регистри в HKEY_Current_User, в hive на текущият потребител, за да се избегне нуждата от администраторски акаунт. Точният път в който се записва е:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

И двата записа, водят към
c:\users\diabolik\appdata\local\Kikxhmreyzanzznxdxf.exe

Опитва се да се прикрие, като при своето стартиране, премахва записите си от регистри, и при рестартиране на уиндоус, или при спирането му, си ги слага обратно в последния момент.

Ако заразеният компютър, няма достъп до интернет, CryptoLocker е безобиден, и много лесен, за премахване.

Ако зараеният компютър, има достъп до интернет, дупе да ви е яко, и портфела да ви е дебел, защото откупа, за да ви върне файловете е 10 Биткойн, и дедо боже не може да ви помогне. Дано имате читав бекъп. Ако имате то си е във ваш плюс, ако нямате то си е ваш проблем, и ваше притеснение.

CryptoLocker шифрова файловете на компютъра жертва, след което изнудва собственика за паричен откуп срещу който ще дешифрова файловете. Проблемът е там, че CryptoLocker шифрова всичко което се вижда в Windows explorer и My computer включително шернати по мрежата файлове, мрежови ресурси, мрежови устройства всякакви hoem network устройства видими, ако имате NAS в локалната мрежа, който е достъпен в my computer или windows explorer като network device също ще пострада от CryptoLocker. Cloud Storage – Google Drive, Microsoft skydrive, amazon S3, JungleDisk, SpiderOak и другите като тях също са уязвими от CryptoLocker,защото са видими в Windows explorer и my computer.

В случай че имате интернет, дупе да ви е яко, защото това чудо използва, WindowsCryptoAPI, за да направи TLS 1.2 RSA 2048 битова PKI връзка с команд и контрол, като Cryptolocker има публичния ключ, а коман и контрол, има частния. Веднъж връзката установена, кояот всеки път е към различен домейн, прави защитена обмяна на криптоключ по метода на Дифи и Хелман, с която прехвърля 256 битов криптоключ, който се използва, за шифроване на файловете на диска ви, с AES 256 битов алгоритъм. Разбира се пак се използва WindowsCryptoAPI за целта.

Ако го хванете преди да вие шифровал файловете, всичко точно, можете изключително лесн да се оттървете от тази напаст, но ако го изпуснете, да ви шифрова диска, сасение няма. Или трябва да платите откупа, в размер на 10 биткойн, за да си върнете файла, или.... както казах дупе да вие яко, и дано да имате читав бекъп.

Обръщенията към WindowsCryptoAPI се през следните места в регистри:

HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced Cryptographic Provider v1.0

HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced Cryptographic Provider v1.0\Image Path

HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced Cryptographic Provider v1.0\Type

HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced RSA and AES Cryptographic Provider

HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced RSA and AES Cryptographic Provider\Type

HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced RSA and AES Cryptographic Provider\Image Path

Билбиотеките в WindowsCryptoAPI към които се обръща са:

За TLS 1.2 RSA 2048 bits PKI връзка:
C:\Windows\SysWOW64\rsaenh.dll

За локалното AES 256 bits криптиране на хард диска:
Използва библиотеките дефинирани в
HKLM\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced RSA and AES Cryptographic Provider

Настройките за достъп до интернет, ги копира от тези зададени на потребителя в интернет експлорер.

Cryptolocker отказва да направи незащитена връзка с команд и контрол

Диагностика и премахване.
Интересното е че не се опитва да се крие като DLL подпроцес в някой процес, а просто си отваря нов собствен процес, с името на файла на хард диска, и този процес, си отваря собствен подпроцес със същото име. И двата процеса се представят като CryptoLocker - Success ato - by Bronto Software company

Спиране на процеса е лесно. Ако спрете само основния или дъщерния процес, този който е останал, ще стартира тоя който е спрян, но ако изберете спирането на цялото дърво на процеса, и изберете основния процес, това ще спре едновременно основния и дъщерния процес, при това, ПРЕДИ да може да си възстанови autorun ключовете в регистри. Тоест, вече сте победили CryptoLocker. При рестарт ще си остане един инертен файл на диска. Ако сте по-ербап, просто изтриите файла от папката на потребителя, и цялата драма, е окончателно приключена.

Откриването на autorun locations за CryptoLocker е малко по-трудно, тъй като файла е маркиран като SafeBoot и се стартира в режими:
Safe Mode
Safe Mode with VGA
Safe Mode with Networking

Заради това че CryptoLocker в тези режими се стартира, той си премахва autorun locatons и те пак няма да се видят

Но не се стартира в режим:
Safe Mode with comamnd prompt

Това е най-лекият и най-простият режим. Тук CryptoLocker не се стартира, и съответно autorun locations остават на място. С ръчното стартиране на sysinternals autoruns от командния промпт, можетеда видите точните autorun locations на cryptolocker и да ги премахнете.

Всички методи за премахване, важат само и единствено ако CryptoLocker не е шифровал файловете ви.

Ако ги е шифровал, и да го махате, и да не го махате, все си губите шифрованите файлове, така че все тая. Ако нямате читав бекъп, дупе да ви е яко, и портфела да ви е дебел, защото откупа, за да ви върне файловете е 10 Биткойн.

Етичен кодекс на хакера

1. Никога недей да вредиш някому по какъвто и да било начин и повод. Не повреждай компютри или унищожаваш файлове и информация, не злоупотребявай с услуги и програми.

2. Уважавай другите, и се съобразявай с тях, така както искаш те да те уважават и те да се съобразяват с теб.

3. Информацията трябва да е свободна, и да се развива, и да не бъде ограничена от патенти, парична цена, лицензи, акцизи, авторски права, цензура или по какъвто и да било друг начин.

4. Не вярвайте на властите. Защитавайте и поддържайте свободата и децентрализацията.

5. Оценявай някой по делата му, а не по пол, цвят на кожата, раса, религиозна принадлежност, обществено положение.

6. Използвай компютъра за да разобличаваш истината, такава каквато е.

7. Достъпа до компютърните системи трябва да е свободен. Идеи, технологии и разработки, познание и информация трябва да се обменят свободно и неограничено между всички, без да са ограничени от патенти, парична цена, лицензи, акцизи, авторски права, цензура или по какъвто и да било друг начин.

8. Защитавай и поддържай дискретността и неприкосновеността. Хората имат право да са анонимни. Не споделяй тяхната информация, без тяхното съгласие, и не използвай компютъра за да шпионираш и следиш и нарушаваш нечия неприкосновеност и анонимност.

9. Не похабявайте и не разхищавайте ресурсите на човека отсреща.

10. Информацията принадлежи на всички. Хората трябва да могат свободно да споделят информация, и да развиват информацията, без тя за е ограничена от патенти, парична цена, лицензи, акцизи, авторски права, цензура или по какъвто и да било друг начин.

11. Не привличай внимание. Не се набивай на очи, и се слей с обстановката и хората. Внимавай да не оставяш следи от действията си.

12. Споделяй информацията. Информацията е ценна, и полезна когато се обменя и развива. Ако тя се съхранява и не се използва, не се обменя и не се развива, тя е безполезна и без стойност.

13. Използвай знанията и уменията си, за да помагаш на другите.

14. Използвай компютъра, за да твориш красота под каквато и да било форма, на каквото и да било изкуство и стил.

15. Като Създаваш нещо, създай го така че другите след теб, да могат да го ползват лесно и безпроблемно, без то да е ограничено от патенти, парична цена, лицензи, акцизи, авторски права, цензура или по какъвто и да било друг начин.

16. Когато създаваш нещо споделяй го с останалите, без да е ограничено от патенти, парична цена, лицензи, акцизи, авторски права, цензура или по какъвто и да било друг начин, така както те го споделят с теб.

17. Винаги имай пълен контрол над нещата си. Никога не оставай каквато и да било информация, под каквато и да било форма за това къде се намираш, над какво работиш, как да се свържат с теб и системата ти.

Стойността на един хакнат е-майл

Говорейки, за ценното в един хакнат ресурс, много хора подходиха, предвидимо, питайки че какво толкова искат, аз нямам нищо на рс, нито сметки нито нищо, нито документи, така че няма за какво да ме хакват. Оказва се че не е така, и има за какво да хакват един компютър, като например кражба на самоличност, зомби за разпространение на спам, зомиб сървър за хостване на педофилия, и какви ли не още неща дето преди хората не са и сънували, и чак като им почукат качулките от НСБОП и ГДБОП, с твърдението ела ми тука бе педофил, или ги намери адвоката на незнам си коя си банка с въпроса – аа ти тоя кайен кога смяташ да го изплатиш? Се сещат че имало какво да се губи, ама тогава е прекалено късно, дори за принципа ходи доказвай че нямаш сестра. Това беше да си припомним накратко, за какво може да е ценно едно хакнато РС.

Време е да видим за какво може да е ценен един хакнат е-майл, и как това може да ви се отрази зле, въпреки, твърдението – аз не получавам кой знае каква поща, и кой знае какви тайни, така че ми е все тая. Е да де, ама това е един начин, някой да се представи за вас, и да го направи убедително. А тогава се почва ама виж не бях аз, ама това твоя майл ли е? абе моя е ама не бях аз. Мен може и да успеете да ме убедите в твърдението абе сигурно има вирус и се разпраща сам, защото съм наясно с това, ама успех в опитите ви да убедите другите дето не знаят че това е възможно и си мислят че се ебавате с тях.

Community Spirit, ама не съвсем.

За разлика от други форуми, за българските, тази поговорка, важи на 100%. В повечето чужди форуми, подобно нещо, съществува, на принципа всяка магария с мярка, но при нас – те такова животно няма.

НапреЕднал или напрЪднал?

В българия, има една незряла тенденция, "напредналите", да се отнасят зле с начинаещите, които сега не могат, и не знаят, и се опитват да се научат, и задават въпросите си, така както могат, за нещата които стават с тях по някакъв повод. Разбира се, това дразни нашите български "напреднали" компютърджии, които банват такива потребители, и все ги пращат да търсят в гугъл, забравяйки че по-рано и те са били същите, и че те са тръгали от нулата и са минали същият път. Това не са напрЕднали хора, това са напрЪднали.

Истинският напрЕднал потребител, няма да се отнесе зле с начинаещият, който има мерак да се научи, а ще му помогнат, с каквото могат. С това, напрЕедналият потребител, ще бъде наистина полезен и градивен, и ще докаже на всички, категорично и недвусмислено,  че е с класи, повече от напрЪдналия.

Това, което прави напрЕдналия потребител, нещо повече от напрЪдналия, е това, че за разлика от напрЪдналия потребител, напрЕдналия е градивен, не е заядлив, и това, че за разлика от напрЪдналия, напрЕдналия много добре знае какъв е бил, откъде тръгва, и това му помага, да се постави на мястото на начинаещия, и от там желанието на напрЕдналия да помогне и да е градивен, за разлика от напрЪдналия. За това, имам едно съобщение към напрЪдналите – хей напрЪдналия – Закрой твой рот. Твой рот пахнет очен плохо.

Web Browser Cookie Forensics - За драмата около cookies....

Web Browser Cookie Forensics

Web Browser Cookie Forensics е много стара, и скрита функция на сайта на Steve Gibson - https://www.grc.com. Тази услуга съществува, от както е създаден първият shields up на сайта, и към момента на писане на поста, не е изведена, никъде, из менютата на сейта на Gibson Research Corporation. възможно е в бъдеще да бъде сложена в някое меню, но на този етап, не е видима. Услугата е завършена и напълно работеща, с тичната за Стив Гибсън прецизност и завършеност. Целта на услугата е да провери, как вашият браузер се справя с First-party cookies, и с third-party cookies.

начало на урок за новаците, напрЪдналите да прескочат....

cookies, това са файлове които сайтовете оставят на вашият компютър, когато пи посещавате. например, във фейсбук, когато си давате име и парола, можете да чукнете опцията сайта да ви запомни. излизате от сайта, и следващият път като влезнете, сайта ви помни, и направо ви пуска в профила ви. Това е един пример за cookie на вашият компютър. фейсбук просто е сложил малко файлче на хард диска, в което е описано кой е този компютър, и кое име и парола се използват от този компютър. Друг достатъчно добър пример за cookie е форум, например този, избирате си скин, и тема, и език, и форума запомня избраните тема и скин и език, и като се върнете другият път, форума избира тези, които вие сте предпочели. В този случай в cookie което е записано на диска ви, форума е описал вашите предпочитания, и когато форума се зарежда с вашия профил, това cookie, напомня на форума какви са предпочитанията ви.

Security maxims - real life expirience

Някои максими за сигурността, до които съм стигнал, с практическият си опит, с хората и компютрите....

 

Максима 1
Максима за арогантността: Лекотата, на пробиване, на една система е право пропорционална на арогантността на създателя/потребителя, и на това колко често ползват изрази като нехакваемо, неразбиваемо, неуязвимо.

 

Така е, няма непробиваем компютър, няма непробиваема ОС, няма непробиваема защита. Всеки който твърди обратното има нужда от отрезвително. Вижте какво стана с мак и епъл, фукаха се че са нехакваеми, а се оказа че са същото решето от пробиви като уиндоус.

 

Масима 2
Максима за защитата: Ако вие сте доволни от защитата ви, лошите също са доволни от нея.

 

Максима 3
Максима за атаките: Атаките винаги стават по-добри, никога не стават по-лоши

 

Максима 4
Максима за системата за сигурност: Ефективността на една система се определя от това което е свършено зле, а не от това което е свършено добре.

 

Така е, това което е свършено зле, е слабата точка която ще поддаде и ще създава проблеми, не това което е свършено добре.

 

Максима 5
Максима не си подмокряй панталоните: колкото повече хората спрягат една защитна технология, толкова по-малко разбират самата технология, и собствените си проблеми със сигурността.

 

Максима 6
Максима прекалено хуаво не е на хубаво: Ако това което ви говорят за едно нещо, в звучи прекалено хубаво за да е истина, то наистина е така.

Къде свършва Безплатната защита, и къде почва Платената?

Къде свършва Безплатната защита, и къде почва Платената?

безплатната защита свършва там където свършат уменията ти и познанията ти. Докато имаш уменията и познанията винаги можеш да комбинираш безплатни програми така че да са разностойни или да превъзхождат платените.

В света на платеното секюрити, Интересите ти като клиент често на са на 2 план, като цената и парите ти са на първи план.

 

обикновено колкото по-сериозни изисквания имаш, ония ти бъркат толкова повече в джоба и в един момент, в началото нещата изгеждат като далавера - получавам повече от колкото плащам с времето нещата поскъпват и става получавам толкова колкото плащам и леко по леко се изместват към не съм сигурен в резултата който ми давате в замяна на парите които ми вземате, и накрая се стига до виждам че ми пробутвате силно надценени решения с ефективност и резултати, които не си покриват цената и нуждите ми.

Security Basics

Компютърната защита не е проста работа, и обикновено, тя се изгражда според индивидуалните нужди на един потребител, и според задачите които компютъра ще изпълнява.

 

Нещата се делят най-общо казано на 5 основни аспекта

 

Първи аспект, и най-важен за сигурността това са самите потреители, user behavior - поведение на потребителя, наличие и отсъствие на защитни програми - антивирус, огнена стена, наличие и отсъствие на system memory protection - защита на паметта като DEP, ASLR, SEHOP....

Втори аспект на сигурността това е редовното обновяване на ОС, защитни програми, програми които са избрани за защита.

 

Трети аспект на сигурността е Risc assesment - оценка на риска, memory protection - защита на паметта - кои защити участват и до каква степен се интегрират в общия контур на защитата

 

Четвърти аспект на сигурността application security, account security, access control

 

Пети аспект на сигурността - application integration - интеграция между програмите, общи и шернати файлове пренасяне на уязвимост от една в друга програма заради това че ползват общ или шернат файл в който има уязвимост, пренасяне на защита от една на друга програма, заради това че ползват общ или шернат файл който предлага форма на защита. общи и шернати файлове значи едно и също - системен файл който се ползва от 2 и повече програми, в това число се брои и операционната система. В уиндоус има 4 големи кръга на интеграция, и шернатите файлове са кажи-речи всички без няколко, за това е важно да се обновяват всички програми и ос. Проблемът с общите файлове, е че примерно макар файлът да е собственост на интернет експлорер, микрософт офис го ползва за уеб и интернет възможностите си. Така ако във файла има уязвимост, тя вече не е само на интернет експлорер, а се пернася и върху микрософт офис. Същото важи и в обратна посока. Друг пример: Уиндоус Медиа Плейър има обновен файл който не само е премахнал уязвимост, но и въвежда системна защита на паметта. Файлът е собственост на Уиндоус Медиа Плейър, но понеже интернет експлорер също ползва този файл, за да представи мултимедиино съдържание, системната защита която предлага този файл се пренася и върху интернет експлорер. Много хора не вземат това под внимание, но това е там, това си съществува, независимо дали го вземат под внимание или не.

Митичната нехакваемост на макинтош се оказа само един мит.

Security Resources

огато говорим засигурност, всичко се свежда до ресурси. Колко ресурси ще вложите за да сe защитите,и колко ресурси ще вложат в атаката срещу вас. Ако вие вложит повече ресурси за защита, от колкото атакуващият да ви атакува, ще сте в безопасност, но ако атакуващият като ви атакува вложи повече ресурси в атаката от колкото вие в защитата, ще бъдете хакнати. В този случай неевъпрос, дали ще бъдете хакнати а кога ще бъдете хакнати. Важно е да знаете че винаги има момент, който гласи ч колкото повече вдигате летвата, толкова по-малко хора ще се опитват да я прескачат. Тук е момента да спомена че всички трябва да осъзнаят един важен момент – и това е че защитата на вашият компютър и вашата мрежа сасамо и единствено ваша отговорност ина никой друг, и че никой друг, няма да го направи вместо вас. Или избирате, да си направите сигурността като хората, и да сте защитени, или се превръщате в ниско висящ плод, който всеки може да тормози. Изборът затова какво искате да бъдете е ваш, но с това е ваша и отговорноста, ако нещата се объркат, и заслугита, ако нещата са наред. Да, отговорността и вината са само ваши и на никой друг.

 

Част 1
Операционна система Windows
Системата за сигерност на Windows е изградена, около акаунта и обекта. Това значи, че в основата на всякастратегия за сигурност седи потребителският акаунт. Обекта е всяка програма/експлойт/червей/вирус която работи поддаден акаунт и по подразбиране работи с правата и забраните на акаунта. Разбира се има много начини, все варианти на privilege escalation exploits които позволяват повдигането на правата до администраторски, но не винаги има условия за приложението на тези експлойти, а и освен другото, неадминистраторският акаунт, макар да е преоолимно препядстви само по себе си, често при добре настроена система играе ролята на още едно препядствие което трябва да се преодолее, още едно нещо да усложни задачата, още едно ниво нагоре повдигната летва. Още едно нещокоето трябва да се направи. Това макар и само по се беси да е пробиваемо, винаги има момента, че ако на систематаработи ЕМЕТ, експлойтаза повдиганенаправата може и да не успее заради намесата на емет. Винаги има възможност, този пробив да е поправени пачнат с някоя кръпка пусната от микрософт. Освен това не винаги има условията които са необходими за прилагането му изобщо. Така че това допълнително препядствие не е за подценяване.

Ms Shared files

Shared Files - общи файлове, а това е голям пропуск, защото често общите файлове са тези които играят голяма роля в компютъра. Например, в Микрософтската платформа, Уиндоус, Офис, Интернет Експлорер и Уиндоус Медиа Плейър, имат не малка степен на припокриване, и ползване на общи DLL файлове. Например Мултимедията на Уиндоус, Офис и Инетрнет експлорер минава през Уиндоус Медиа Плейър, или пък интернет и HTTP възможностите на уиндоус, Офис и Медиа плейър минават през интернет експлорер. В този ред на мисли, Уинодус Медиа плейър, като Секюрити използва Правата и забраните на акаунта под който работиш, Използва правилата за защита които си задал в интернет експлорер, при достъп до уеб базирано мултимедиино съдържание. от страна на Офис често Outlook използва правата на акаунта под който уиндоус работи, използва windows media player за мултимедия, а контрола над сигурноста при достъп до уеб ресурси, е отнова на гърба на интернет експлорер. системата за актуализация на уиндоус използва Интернет експлорер за достъп, и за рендериране на страницата с резултатите. Тук се появява положението файла е собственост на интернет експлорер, но се ползва от няколко програми, или файла е собственост на уиндоус медиа плейър, но се ползва от няколко програми, което означава че ако този файл не е обновен и в него има пропуск, то няма само интернет експлорер да е уязвим или само уиндоус медия плейър, а всички програми които ползват този уязвим файл, ще страдат от тази уязвимост. това е начина по който една уязвимост привидно на една програма се пренася върху няколко други, които пряко не са уязвими, но понеже ползват общ файл който е уязвим, това пренася уязвимостта върху тях. По същата логика, ако файла е актуализиран и тази уязвимост я няма, всички програми които ползват този файл, няма да са уязвими, от дадената уязвимост. По същата логика Ако този системен файл е съвместим и предлага някаква форма на защита, както са файлвете на Интернет експлорер, изведнъж общите файлове на интернет експлорер които се ползват от всички, пренасят тази защита, върху всички, които ползват тези файлове, и това до някъде повишава общата защитата на компютъра.

Windows Hardcore Security

Windows като операционна система, има доста логична структура, на системата си за сигурност, но малко хора правят нещо по въпроса. Повечето просто слагат някакво копие, и мятат някакви драйвери, и после работят без повод с администраторски акаунт, и системата им е изложена постоянно. В техния случай те сами са си виновни че са хаквани. То заради безотговорни потребители идва и лошото име на ОС.

 

Част 1 акаунти.

Системата за сигурност, на уиндоус е ориентирана към акаунта и обекта. Обекта е всяка програма, която бива изпълнявана под дадения акаунт, и има същият достъп като акаунта, и същите забрани. Избора на неадминистративен акаунт, значително вкоравява операционната система, защото премахва достъп, до критични за ОС елементи, например регистри е с права само за четене, start up секцията е с права само за четене, Windows Firewall също не може да бъде преконфигуриран зад гърба ви, не може да бъде спрян, или да му се сложат правила.

 

В случай, че ползвате достатъчно зрял антивирус, независимо дали е Microsoft Security Essentials или друг зрял антивирус, ако е достатъчно зрял, антивируса ще усети под какъв акаунт работи, и ако не е администраторски, няма да може да бъде преконфигуриран или спиран.

 

В случай, че ползвате достатъчно зрял Firewall, независимо дали ползвате Windows Firewall или друг firewall, ако е достатъчно зрял Firewall ще се съобарази с акаунта, и няма да позволи преконфигуриране или излючване от акаунт по-нисък от администраторски.

Това създава значителни пречки при заразяване на система, защото самата ОС, възспира опитите на maware да се инсталират заавтоатично стартиране с ОС.

 

Хубавото е че тук дори с администраторски акаунт, дефакто не сте с администраторски акаунт и винаги работите със занижени права. Когато ви изтрябва администраторски достъп за някоя функция, идва интересен момент. Windows разрешава администраторски права, само за тази функция САМО ДОКАТО завърши работата си, после, администраторските права изчезват. Това постоянно държи още една бариера срещу malware и успешното заразяване, усложнява задачата, защото трябва да се търси, privilege escalation exploit а това значи още едно препядствие да се преодолее, още един проблем който повишава общото ниво на трудност и сложност на задачата, защото не малка част от ресурсите които един malware иска, ще са недостъпни.

ТЕЛЕШКИ КОЛБАС, БЕЗ ТЕЛЕШКО МЕСО!

ТЕЛЕШКИ КОЛБАС, БЕЗ ТЕЛЕШКО МЕСО!

Това би трябвало да бъде телешки колбас 250 грама за 75 стотинки. Да, телешки колбас, като такъв го представят на опаковката, само че.... ....къде е телешкото месо?

Този колбас е търговска марка "Мода", произвеждан от "Малевентум Марон" ЕООД, София, улица "Резбарска" №7

В състава ясно се виждат какви ли не съставки, но няма телешко месо.  Състава е следният:

 

Обезкостено пуешко месо, обезкостено пилешко месо, Свинска кожа, птича кожа, но от каква птица (пилешка или пуешка?) е птичата кожа не е ясно, едва 8% говеждо месо, вода, картофено нишесте, Нитритна сол, Соев протеин - Соя, млечна суроватка - Лактоза, Оцветител Е120, не се пояснява какво съдържа оцветителя, конесравнт Е250, не се пояснява какво съдържа консерванта, Емулгатори демек Стабилизатори, Е407а и Е451i, не се пояснява какво съдържат, Овкусител Е621 и не се пояснява какво съдържа овкусителя, Малтодекстрин, Десктроза, Подправки, но не се поясняват какви, но в тая история, едно не ми стана ясно, къде е телешкото месо? нещо май телетат като разбраха че искат да ги правят на салам и си подпалиха копитата да ги няма, и май.... тоя колбас е телешки само на думи. на практика кой знае какъв боклук е. Направих си труда, да видя какво представляват тия Е-та в състава, и всичките до едно са само химия. Ето и точен списък, на всичките Е-та в състава на този колбас:

Ханителен оцветител Е120 съдържа:

кохенил, карминова киселина, кармини.

Консервант Е250 съдържа:

Натриев Нитрит

Антиокислител Е316 съдържа:

Натриев ериторбат

Емулгатор/Стабилизатор Е407 съдържа:

Карагенан

Емулгатор/Стабилизатор Е451(i) съдържа:

Пентанатриев трифосфат

Овкусител Е621 Съдържа:

Мононатриев глутамат

Така че изводите този "телешки колбас" до колко е телешки и до колко е колбас, си остават само и единствено за вас.

 

Ако мен питате, това не бих го ял, ако ще и гладен да съм.

Watering hole attack vs WebSite poisoning

интересното е че тия 2 атаки всъщност представляват едно и също, изпълено с различно намерение.

класическата WebSite Poisoning атака, се прави с намерението, посетителите на даден сайт с добра репутация, да си лепнат някой malware чрез Drive By Download и да се старира с Remote code execution. в Началото флаш, на адобе, сега Java, не бих се изнеадал ако утре Silverlight излезне новата мишена. Тук намерението е всеки който дойде на сайта да получи честитка, без значение кой е и какъв е.

Watering hole атаката, е същото, но изпълнено с различно намерение. Ако примерно искате да проникнете в корпорация Teou Industies, виждате че служителите ходят на сайта на Diabolik Security Corp. тъй като двете компании са партия, Teou Industries е свалила защитните мерки по адрес на Diabolik Security Corp., и сайта на Diabolik Security Corp се изпълнява с всичкото активно съдържание което има на него. Сега актуалният начин да проникнат в Teou Industries е да отровят сайта на Diabolik Security Corp. и да чакат служителите на Teou Industries да отидат на сайта на Diabolik Security Corp., и от там да си лепнат нещо чрез Drive by download и Remote code execution да го стартира, като по този начин заобикалят ефективно всички защити, на Teou Industies, и то да отвори вратите на Teou Industies отвътре. Веднъж влезнали вътре, те просто стартират връзка, със стопанина отвътре, отново заобикаляйки защитите, на Teou Industies.

DDoS - Distrubuted Denial of Service

I. Syn flood
Може да се извърши само под ТСР протокол. Атаката е базирана на свойствата на ТСР протокола при първоначално установяване на връзка. първоначалното установяване на връзка на TCP е процес наречен 3way handshake общо взето прездтавлява размяна на 3 пакета, с което се установява статут на връзката. хост 1 праща syn пакет, до хост 2, хост 2 отговаря на хост 1със syn-ack пакет и хост 1 отоваря на хост 2 с финален ack пакет след което формално 2-та хоста имат установена връзка. Syn Flood използва точно това свойство, като в процеса, от атакуващия, към жертвата се пращат огромно количество syn пакети, жертвата, отговаря със syn-ack пакети, очаквайки финалните ack пакети които така и не пристигат. Така жертвата остава с огромен брой полу-отворени TCP връзки. Известно след края на атаката, всичките полу-отворени връзки сами изчезват, ТСР протокола сам си ги изчиства.

Общо взето това се спира от всеки , защото това са връзки, които идват отвън, и това са неочаквани syn пакети, и заради това че са неочаквани, Statefull Packet Inspection Firewall ги дропва, защото няма с какво или с кого да ги асоциира. Тук натварването идва от 2 места.

най-честите причини поради които някой иска да ви хакне РС

Това са най-честите причини поради които някой иска да ви хакне РС, и схемата ги показваясно групирани....

1. таен уеб сървър

В тази група, компютъра ви бива тайно правърнат в уеб сървър, без ваше знание, разрешение и без очевидни симптоми, но има и косвен симптъм, увеличено натоварване на компютъра и интернет връзката. най-често компютъра ви бива превърат в едно от следните:

1.1 фишинг сайт

1.2 malware download mirror

1.3 пипратски/warez сървър

1.4 педофилски сървър

1.5 спам сайт - където отиваке като чукнете линк в спам писмо

2. кражба на самоличност - някой иска да се представи за вас, и да го направи убедително

3. Email атаки - те се използват най-често, за:

3.1 е-mail сървър, на който атакуващите чакат отговора ви, от спам или скам писмо

3.2 да прагледа адресната ви книга и да събере email контактите ви в нея, за нуждите на спамера и празпращане на спам.

3.3 Опити за неоторизиран достъп до корпоративна поща, например индустрионален шпионаж, кражба и създаван на сертификати за уеб сайтове....