Nuevo vulnerabilidad para todos los windows

Se hace público el exploit de la última (y grave) vulnerabilidad en Windows
---------------------------------------------------------------------------
El pasado 16 de julio publicábamos una noticia sobre una "interesante"
vulnerabilidad en Windows que estaba siendo aprovechada por un peligroso
troyano. El peor de los escenarios se presenta ahora para Microsoft,
puesto que se han hecho públicos todos los detalles para aprovechar el
fallo y, por tanto, se espera que aparezcan nuevos troyanos aprovechando
una peligrosa vulnerabilidad para la que todavía no hay parche.

Informábamos hace algunos días de una forma totalmente nueva de ejecutar
código en Windows cuando se inserta un dispositivo extraíble,
independientemente de que se hayan tomado todas las medidas oportunas
conocidas hasta el momento para impedirlo. El fallo se aprovecha a
través de archivos LNK (accesos directos) y supone un duro varapalo para
Microsoft, pues los atacantes han conseguido descubrir la manera de
eludir todas las medidas que se han tomado contra la ejecución
automática en Windows.

Escribíamos entonces que "Tarde o temprano los detalles técnicos sobre
la vulnerabilidad en accesos directos saldrán a la luz, y todo tipo de
malware comenzará a usar este nuevo método para propagarse por llaves
USB". Ha sido más temprano que tarde, puesto que ya se han hecho
públicos todos los detalles y la posibilidad de aprovechar el fallo está
al alcance de cualquiera. La situación es, por tanto, muy grave.

Se espera pues un incremento de malware que se propague por dispositivos
extraíbles puesto que en estos momentos (y hasta que Microsoft saque un
parche), todos los Windows, independientemente de que esté actualizados
y bien configurados, podrían llegar a ejecutar un fichero de forma
"silenciosa" si se inserta un dispositivo extraíble como una llave USB.

Por ahora, la única forma de que la vulnerabilidad no funcione es
realizando el siguiente cambio (aunque se perderá funcionalidad, por lo
que es conveniente realizar una copia de seguridad para restaurar el
valor cuando el problema esté solucionado):

* Poner en blanco el valor predeterminado (default) de la rama del
registro:
HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler

* Detener y deshabilitar el servicio "cliente web" (WebClient).

No está de más recordar que no se deben usar dispositivos extraíbles de
dudosa procedencia. Aun así, se deben tomar las precauciones oportunas
incluso contra los dispositivos en los que se confíe.

Lo más probable es que Microsoft publique el parche en cuanto esté
disponible, independientemente de su ciclo de actualizaciones. Ahora que
el problema es público y puede ser aprovechado por cualquiera, suponemos
que muy posiblemente se adelante con respecto a la siguiente tanda de
parches (programada para el 10 de agosto) o se retrase levemente con
respecto a ésta. Esperamos en cualquier caso que no haya que esperar
hasta septiembre para obtener una solución oficial.

ciyinet escribió:Para explotarlo con metasploit:

http://comunidad.dragonjar.org/f184/explotar-vulnerabilidad-lnk-de-windows-con-metasploit-10302/

Voy a intentar problarlo ahora mismito

Esperemos que solucionen el problema finalmente el próximo martes!

kmx0 escribió:Me siento apartado de este "mundillo" agosto me lo estoy tomando muuuuy relajado y os envidio cuando "trasteais".....no puede ser!!pero solo será agosto, os lo prometo jajaja

kmx0 escribió:Bueno decidme, habéis "explorado" a través del bug?

kmx0 escribió:Bueno decidme, habéis "explorado" a través del bug?

KurioCT escribió:B-R-A-V-O BRAVO!!!

Supercurrado, enhorabuena!!!

ciyinet escribió:

KurioCT escribió:B-R-A-V-O BRAVO!!!

Supercurrado, enhorabuena!!!

Gracias!!!! No habría sido posible sin dar un repaso a las presentaciones de metasploit! Aquí nos complementamos entre todos

ciyinet escribió:Una vez que tenemos la consola de meterpreter, si queremos mantener el acceso a la máquina aunque esta reinicio podemos subirle el netcat y poner una clave en el registro para tener una shell siempre al inicio:

http://comunidad.dragonjar.org/f184/metasploit-subir-archivos-y-crear-clave-dentro-del-registro-8931/