Hoy día, y
debido a que cada año crece más todo lo relativo a vías de infección,
han proliferado muchos servicios de consulta de Malware, y todo lo
relacionado con la muestra.
Servicios como VirusTotal y
ThreatExpert son buenas referencias a tener en cuenta, en tanto y cuanto
a un auditor, le caiga el “marrón” de analizar un “bicho”.
A la
hora de analizarlo, y viendo como está el mercado, en cuanto a horas
reales y cuantificables que se dedican a un proyecto, a un auditor le
puede solucionar la papeleta el consultar este tipo de servicios, a día
de hoy imprescindibles y para mi gusto perfectos, para que le den una
visión global sobre qué dicen las principales casas de antivirus sobre
el mismo.
Buscando proyectos relacionados con el análisis
dinámico de muestras de manera online, y habiéndome leído la gran
entrada de HackPlayers sobre análisis de Malware, me encontré con un
proyecto en OWASP bastante interesante. Consulta de Malware en base a un
MD5 o SHA1.
La solución que se aloja
en OWASP, la cual puede consultarse de manera ONLINE, permite que puedas
realizar consultas en base a un MD5 o SHA1 de algún fichero
“sospechoso”, pero en vez de consultar a una Web, las consultas las
realizas a través de peticiones DNS, adjuntando al final del MD5 o SHA1
un sufijo DNS.
La idea en sí es simple. Tener un repositorio de
HASHES relacionados con ficheros maliciosos. Pero la ejecución cambia
totalmente al ser consultas a través de DNS.
Desde un punto de
vista “corporativo”, las consultas DNS se permitirán, casi por
obligación. Como segundo punto es la información que obtenemos al
realizar las consultas. Esta información va desde el supuesto tamaño de
fichero que coincide con el HASH, así como información relativa al
estatus de este. Si es Malware, desconocido, bueno, etc… Una de las
respuestas más curiosas, es la relativa a la certeza. En la respuesta,
dan un grado, en tanto por ciento, de lo cierto de que ese HASH sea
Malware o no, en función del estatus, y de lo analizado.
Según el servicio, esta base de datos es mantenida con regularidad, y analizan bastantes muestras de ficheros maliciosos.
Para realizar una consulta, lo único que necesitamos es un cliente nslookup o dig.
Si
lo que necesitamos es consultar si el HASH se encuentra incluido en la
base de datos, se puede realizar una consulta de tipo A. La respuesta
que obtendremos, en el caso de que el HASH se encuentre en la BBDD, es
de 127.0.0.11.
En el caso de que se necesite extraer la
información relativa al HASH, habrá que realizar la consulta, pero esta
vez de tipo TXT, y añadiendo un sufijo específico,
hash.sapao.net.
(ver imagenes adjuntas al post)
Aunque
desconocía por completo que se pudiesen realizar consultas de HASH a
través de DNS, en la página del proyecto, existen enlaces a sitios y
comunidades que ofrecen lo mismo. En el caso de Team Cymru’s, ofrecen el
mismo servicio de consultas de HASH a través de DNS, operando de la
misma manera que la anterior.
SANS, por su parte, tiene otro
servicio muy similar, que, aunque no tan potente como los anteriores,
tienen algo que lo hace bueno, y es que mantienen una base de datos de
ficheros catalogados en WhiteList, por lo que, si se realizan consultas,
se puede cotejar si un fichero es malicioso, o por el contrario se
encuentra en una lista blanca.
Realizando una prueba con el MD5 un fichero, SANS me informa de que se encuentra listado en varias ocasiones.
Imagen 2.- Consulta realizada en NIST Hash Database
(ver imagenes adjuntas al post)
Si realizamos esta consulta, pero a través de NSLOOKUP, la respuesta que obtendríamos sería la siguiente:
Imagen 3.- Consulta de HASH a través de NSLOOKUP en SANS
(ver imagenes adjuntas al post)
Curiosa forma de consultar por ficheros maliciosos no?
No sólo de la password vive el HASH!
Fuente
