Alerta en ejecucion de programas

[roman]

Empezado por delphi.com.ar

Se me ocurre algo, que puede ser fácilmente vulnerado, que es monitorear todo lo que se ejecute desde el shell, modificando la clave del registro HKEY_CLASSES_ROOT\exefile\shell\open\command para incluír en el valor @ una aplicación propietaria que sea la encargada de ejecutar las aplicaciones y hacer las notificaciones al mismo tiempo.

Si queres complicarla un poquito, estudiaría las librerías de ApiHook para crear un hook de las funciones CreateProcess y CreateProcessAsUser: http://www.apihooks.com/AH5.HTM o http://madshi.net/ .

¿Cuál sería la vulnerabilidad del primer método?


En cuanto al segundo método, no me queda claro cómo funcionaría. Es decir, ¿qué impide que yo le ponga un nombre "aceptado" a una aplicación y ejecutarla?

// Saludos

[delphi.com.ar]

Empezado por roman

¿Cuál sería la vulnerabilidad del primer método?

Lo que ejecute desde la consola, o aplicaciones que creen otros procesos, como servicios, etc.. no son ejecutados mediante el shell

En cuanto al segundo método, no me queda claro cómo funcionaría. Es decir, ¿qué impide que yo le ponga un nombre "aceptado" a una aplicación y ejecutarla?

Ya que estamos interceptando el proceso en su momento de creación por código, podríamos tener una lista con algun tipo de hash de los archivos para identificar si son los admitidos. Sino caeríamos en lo mismo que desde las políticas.

Saludos!

[roman]

Empezado por delphi.com.ar

podríamos tener una lista con algun tipo de hash de los archivos

¡Ah! ¡Qué bárbaro! Sencillo y eficaz. Gracias.

// Saludos

[[seoane]]

Empezado por roman

¿qué impide que yo le ponga un nombre "aceptado" a una aplicación y ejecutarla?

Pues que si guardamos la ruta completa del ejecutable, es imposible que dos aplicaciones tengan la misma ruta.

[dec]

Hola,

¿Hablamos de un "cíber"? Entonces, ¡palo! Al que se le ocurra instalar un programa se le ofrece la vara de avellano en las espaldas.

¡Veréis como no se le ocurre instalar nada más en su vida!

[roman]

Empezado por seoane

Pues que si guardamos la ruta completa del ejecutable, es imposible que dos aplicaciones tengan la misma ruta.

Je, je, sí, claro. Pero me gusta lo del hash porque, ¿qué impide borrar un ejecutable y poner otro con el mismo nombre en su lugar?

// Saludos

[[seoane]]

Empezado por roman

Je, je, sí, claro. Pero me gusta lo del hash porque, ¿qué impide borrar un ejecutable y poner otro con el mismo nombre en su lugar?

Hombre se trata de proteger el equipo, si el usuario va a tener permiso para borrar los programas instalados, que le va a impedir que comience a borrar programas y dejarnos el sistema destrozado. Como ya dije mas arriba, antes de meternos con cosas complicadas hay que tomar unas precauciones mínimas.

De todas formas, a mi también me gusta lo del hash

[dec]

Hola,

¡Palo! ¡Palo! ¡Palo! Hasta que aprendan. Jo, jo, jo, jo.

[[seoane]]

Empezado por dec

¡Palo! ¡Palo! ¡Palo! Hasta que aprendan.

No sabes cuantas veces quise aplicar este método ... pero me quede con las ganas

[dec]

Hola,

Empezado por seoane

No sabes cuantas veces quise aplicar este método ... pero me quede con las ganas

Nada, hombre, hay que realizarse en la vida. ¡Si es palo pues palo! Y no se hable más.

[knife_sj]

Bueno, la verdad mil gracias por todas las respuestas y por las ideas
creo que faltaron aclarar un par de detalles como el del SO.

ArdiIIa: Con respecto al SO, como tu instinto lo dijo, tengo todas las PCS trabajando con Windows XP x86 SP2. Incluso había pensado lo mismo que pusiste, crear una lista y compararla con la blacklist y ya tenia un código, pero, el punto radicaba en el tema de renombrar los ejecutables (si yo lo renombro y lo ejecuto mi programa no se va a enterar que es :P)

Seoane: [Con respecto a lo de la whitelist que propusiste vos] el CyberControl 4.0 tiene una opción para activar una whitelist pero el tema es que no quiero estorbar al cliente de buena fe, por ejemplo, si este cliente baja algún soft para copiar sus mp3 a su reproductor y desea instalarlo, nosotros, al tener deep freeze lo tenemos permitido ya que este no deja rastro al reinicio... pero, si yo activo esa restricción, no solo voy a prevenir los "hackers" sino que también voy a molestar a los clientes.

Federico: el tema de restringir que se corran aplicaciones por el registro no es una vulnerabilidad para mi, ya que el CyberControl también tiene la opción de bloquear el regedit.exe, también bloquea el Administrador de Tareas, pero lo que yo quiero es saber exactamente QUIEN es esta persona, cosa de tomar una pequeña represalia y de paso hace una selección de los clientes, cosa de correr a los pibes que tiene 16 años y se creen hackers

en cuanto a lo de inyectar código lo veo medio jodido a eso para mi... pero lo del hash es una excelente idea!!

Puedo hacer:

1). Examino la lista de procesos.
2). Extraigo los nombre de los ejecutables y sus paths.
3). Calculo el MD5 y lo comparo con la blacklist.
4). Si se encuentra algún hash de los de la blacklist mando un comando de "alerta" al servidor y en el servidor reproduzco un sonido de alarma que se escuche en todo el cyber (total el Server tiene conectado el equipo de música) :]


Muchachos díganme si mi esquema para la aplicación quedo bueno o malo

Empezado por dec

¿Hablamos de un "cíber"? Entonces, ¡palo! Al que se le ocurra instalar un programa se le ofrece la vara de avellano en las espaldas.

el tema aquí es que el cyber tiene 46 computadoras en 3 salas diferentes las cuales el operador no vigila (por mas que yo lo exija, nunca le dan bola a que esta haciendo cada cliente)..

Otra cosa mas, existe una aplicación de Windows que se llama taskkill, casi nadie conoce esta utilidad pero, el que la conoce puede deshabilitar con facilidad mi programa... hay alguna forma de hacer que no se pueda terminar mi programa? tuve un virus una vez que no podía detenerse desde el administrador de tareas, es esto posible?

Mil Gracias

[[ArdiIIa]]

Empezado por knife_sj

Puedo hacer:

1). Examino la lista de procesos.
2). Extraigo los nombre de los ejecutables y sus paths.
3). Calculo el MD5 y lo comparo con la blacklist.
4). Si se encuentra algún hash de los de la blacklist mando un comando de "alerta" al servidor y en el servidor reproduzco un sonido de alarma que se escuche en todo el cyber (total el Server tiene conectado el equipo de música)
Mil Gracias

Fijate si ponemos tanta seguridad y el listo sale corriendo con el teclado...

Adicionalmente y como he leído atrás, también podrías controlar el tema de cambios o borrados de archivos monitorizando mediante ReadDirectoryChangesW

[[seoane]]

Yo lo que no entiendo es como vas a diferenciar los programas "buenos" de los "malos". Si como dices, esta permitido a cualquiera bajar y ejecutar programas, como sabrás cuando esta ejecutando un programa legitimo y cuando un keylogger, por ejemplo. No tiene mucho sentido tener una lista de de aplicaciones buenas y malas, cualquiera de las listas seria infinita.

La cosa esta clara, o permites o no permites que los usuarios ejecuten lo que quieran, aquí no hay soluciones intermedias. Incluso conociendo TODOS los ejecutables maliciosos, calculando su hash, y creando la lista negra, nada impediría a un aprendiz de hacker, comprimir el ejecutable con UPX, variando así su hash y volviéndolo indetectable.

[knife_sj]

seoane es muy sencilla la ecuacion... todo keylogger, virus, spyware (por le lado de la blacklist) o todo reproductor, cambio de hard, programa desinstalado, etc.. con el deep freeze se borra todo... pero, si el usuario con el fuck-deepfreeze desactiva el deep freeze obviamente todos estos programas que instale quedaran instalados hasta que yo note la anomalia

lo que quiero hacer es que este programa me sirva para detectar QUIEN es el que esta usando este soft para hacer daño, no me interesa si instala un keylogger, por que a mi no me afecta, a lo sumo robara un par de contraseñas o algo por el estilo

pero mi problema no seria que me instalen un keylogger o el VCN server como fue en este caso, mi problema es que el noob este desactive el deep freeze y le meta un virus a la maquina, en ese caso si me afectaria.. te explico por que?
es sencillo, cuando tenes 50 maquinas freezadas y entra un virus, desconectas las maquinas que no tenes freezadas (como ser los servidores de juegos y facturacion) y reinicias las demas
con esto borras el virus y adios problema.

pero si el virus esta instalado por debajo del deep freeze, por mas que reinicies las maquinas se te van a seguir contagiando, por eso quiero prevenir EXCLUSIVAMENTE el uso del fuck deep freeze, pero no solo quiero que no lo pueda usar, sino (les voy a ser sincero) reventarle la cara a trompadas al "vivo" este y evitar futuros problemas echandolo y prohibiendole el ingreso al cyber...

esa es basicamente la finalidad de este programa

edit / y bueno, si comprime el ejecutable con upx o algun sistema de encryptacion de ejecutable ya no tengo nada que hacer, por que en este caso ya no seria un pibe de 16 años dandose de hacker sino que seria alguien que sabe :S