Ostatnio Tomek widząc moje zainteresowanie tematem sekcji zwłok (komputera oczywiście) podesłał mi informację o narzędziu F-Response. Co prawda już o nim wiedziałem wcześniej, ale mimo wszystko, dzięki za pamięć. Wiedziałem, ale nie używałem (i nadal nie miałem tej przyjemności niestety). Niektórzy ludzie jednak mieli okazję sprawdzić działanie tego narzędzia własnoręcznie. Opinie są bardzo pozytywne:
Jak wielokrotnie pisałem, blog ten korzysta z gościnności, jest utrzymywany hobbystycznie... Czasami jednak forma wyrazu, którą mam do dyspozycji, jest niewystarczająca. Ostatnio mocno to czułem pisząc serię o tamagotchi (ciekawe, czy ktoś poza Tomkiem to przeczytał). W związku z tym w celu (sporadycznego) uzupełnienia treści uruchomiłem małe WiKi. Obecnie jest tam uzupełnienie do Tamagotchi III: pokaż ząbki. Na uzupełnienie to składają się głównie obrazki, których tu na blogu z uwagi na potencjalne zużycie łącza nie umieszczam. Podejrzewam, że pojawią się uzupełnienia do kolejnych części opowieści o moim Tamagotchi.
EDIT: Udostępniłem kolejne materiały uzupełniające do wpisów o Tamagotchi. Lista dostępna jest tu.
Informacja o plikach, które znajdują się na NTFS umieszczona jest w $Mft. Dodatkowo jednak utrzymywane są indeksy, które pozwalają na bardziej efektywne listowanie plików w katalogach. Rekordy w $Mft (te dotyczące katalogów) mają dwa atrybuty:
Czasami (jeśli zawartość katalogu jest na tyle mała), jest tylko atrybut $INDEX_ROOT. Czasami w (nieużywanej) części indeksu znajduje się informacja o plikach, które kiedyś były w katalogu. Informacja ta jest dość skromna, bo i indeksowanych informacji jest stosunkowo niewiele. Pozwala jednak stwierdzić, że jakiś plik istniał (w danym katalogu), oraz określić mniej więcej, kiedy istniał. Trochę dokładniejsze wytłumaczenie jest tutaj.
Dziś wybraliśmy się na Trzy Korony. Wycieczka byłaby zdecydowanie bardziej udana, gdyby nie te tłumy ludzi... Z ich powodu nie weszliśmy na platformę widokową, zamiast tego zrobiliśmy małe kółko zahaczając między innymi o Zamek Pieniński, niestety też w tłumie ludzi... A Sromowce Niżne się rozrosły od mojej ostatniej tam bytności (chyba w okolicach 1998 roku). Niby to zrozumiałe, postęp i te sprawy, ale tak jakoś pejzaż Trzech Koron stracił na uroku przez cały rząd domów i jakieś druty...
Wiem już, że kilka plików, które były wykorzystywane podczas infekcji, nie jest widocznych w systemie plików. Oznacza to (najprawdopodobniej), że zostały one usunięte...
Przyszła pora na analizę logów systemowych mojej zainfekowanej maszyny.
W odcinku VII zidentyfikowałem kilka zmienionych plików, którym warto się przyjrzeć.
Firma PayPal poinformowała o załataniu krytycznego błędu typu XSS (Cross-site scripting), który został znaleziony na jej stronie w ubiegłym tygodniu przez Harry'ego “piru” Sintonena, fińskiego specjalistę ds. bezpieczeństwa. Sprawa jest o tyle nietypowa, że luka znajdowała się na stronie opatrzonej certyfikatem EV (Extended Validation) SSL. I dalej: Pewnym zaskoczeniem jest, że w przypadku PayPala luka znajdowała się na stronie opatrzonej certyfikatem EV SSL – stworzonym m.in. po to, by zagwarantować internautom, że odwiedzana przez nich strona jest bezpieczna. EV jest rozwinięciem zwykłego SSL – PayPal był jednym z pierwszych przedsiębiorstw, które zdecydowało się na wdrożenie tego standardu w swoim serwisie. (źródło)
A co ma wspólnego SSL Extended Validation z XSS? SSL wymaga (pomijam egzotyczne przypadki) certyfikatu serwera. Certyfikat ten potwierdza autentyczność/tożsamość serwera. Certyfikaty EV mają ją potwierdzać “jeszcze lepiej” z uwagi na przestrzeganie bardziej rygorystycznych procedur ALE procedury te nie są w żaden sposób związane z bezpieczeństwem aplikacji. Taka sama sensacja, jak przy podpisanym cyfrowo malware.
Gdyby głupota miała skrzydła...
Oryginał tego wpisu dostępny jest pod adresem Te certyfikaty to do niczego są...
Autor: Paweł Goleń
Przerwa w historii tamagotchi? Nie do końca, ten event log, którego nie mogę otworzyć pochodzi właśnie z tego tamagotchi.
Tym razem nieco krócej na temat tego, co udało się wyczytać z rejestru.