Nuke a Windows. Cuelga tu sistema de nuevo

erdanblo

"En la época de Windows 95 (que en paz descanse) nos lo pasamos genial en clase lanzando WinNukes a diestro y siniestro, para dejar K.O. (Pantallazo Azul De La Muerte o Blue Screen Of Dead o BSOD) el sistema operativo del vecino que luego gritaba "Profe, ¡se me ha puesto el salvapantallas o algo!".

Enviando cierta cadena por un puerto determinado, el 139 TCP, conseguiamos el bloqueo absoluto del entorno, y tocaba reiniciar.

La película parece que se vuelve a repetir, pero esta vez le toca el turno a Windows Vista y Windows 7.

El fallo se ha encontrado de nuevo en el protocolo SMB encargado de compartir ficheros e impresoras, pero esta vez afectando a una nueva versión 2 incluída dentro de dichos sistemas operativos. Más información en este enlace, y en este otro vereis su especificación.

Laurent Gaffié, descubridor de esta vulnerabilidad, ha publicado además un código en python el cual una vez ejecutado, provocará un pantallazo azul en ambos sistemas.


Centraros en la importancia de la vulnerabilidad,
no en la imagen, que os conozco...

El código lo teneis en el mismo post, y únicamente tendreis que cambiar el valor de IP_ADDR en la siguiente linea:

host = "[b]IP_ADDR[/b]", 445

Con la dirección IP del sistema con Windows Vista o 7, y que como no, tiene que tener activado dicho servicio de compartir ficheros e impresoras. Si en vez de dejar en el código la dirección IP, cambiais dicho string por argv[1], se ejecutará para la dirección IP que pongais como parámetro al ejecutarlo.[/i]"

[+] Blog de Laurent Gaffié
[+] WinNuke en la Wikipedia
[+] Fuente

===========================================================

CONSEJO:

Si os conectáis directamente a la red (a través de modem, cable modem, o router en modo monopuesto), ¡USAD UN CORTAFUEGOS!

Si usáis un router, vigilad no tener la DMZ (zona desmilitarizada) apuntando a vuestra dirección LAN, y precaución con los puertos abiertos.

Si es inevitable, usad un cortafuegos y/o deshabilitar el servicio de compartición de carpetas e impresoras si no lo usáis.

El cortafuegos de Windows hasta el momento no permite conexión, pero es cuestión de tiempo que algún software malicoso se lo salte.

===========================================================

Lista de sistemas operativos afectados (según Microsoft)

Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2

NO AFECTADOS:

Microsoft Windows 2000 Service Pack 4
Windows XP Service Pack 2 and Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 with SP2 for Itanium-based Systems
Windows 7 for 32-bit Systems
Windows 7 for x64-based Systems
Windows Server 2008 R2 for x64-based Systems
Windows Server 2008 R2 for Itanium-based Systems

Fuente:

Comprobado personalmente que Windows 7 7100 RC - SI - esta afectado

===========================================================

MaKi nos proporciona un script python para realizar el ataques sobre redes de tipo B y C.

Actualizaciones en el post de su blog:

Script (* Probado solamente en Linux)
-

Dicen que el hombre es el único ser que tropieza dos veces con la misma piedra. Pero lo de Mocosoft es como cabezonería xd Volver a tener un fallo antigüo en donde te pueden colgar el sistema remotamente es como de coña... Más parches, venga ahí xD

Soltrac

Estoy por probarlo en el curro para petar el pc de mi boss xDDDDD

Get

VII. SOLUTION


Vendor contacted, but no patch available for the moment.
Close SMB feature and ports, until a patch is provided.

Q peste de compañia, que peste de sistema, y que peste de fanboys.
otro gol q les han metido.

Chispas-Elek

Remata, chuta y golgolgolgolgolgoll

erdanblo

Si un admin me edita el título por favor.

P

#2 Ten en cuenta esta idea antes de decir ese argumento estupido.

¿ Porque en Windows hay virus y en Linux no?

¿ Porque hay tantos ataques a la vulnerabilidad del sistema ?

Sencillo, el S.O mas ultilizado en el mundo, el anti sistema de cualquier freak de Linux, que buscara el resquicio mas inospito para poner a prueba a Windows.

Por no decir que la mayoria de esta peña busca curro en Microsoft xD

D

o porke uno se actualiza cada di apracticamente, y el otro no

A

#7 y?, mientras alguien descubra vulnerabilidades de windows el resto nos lo pasaremos bien mientras pierden informacion gracias a los pantallazos.

P

Todos nos lo pasaremos bien, de hecho nos reiremos todos desde nuestro Windows instalado... ¿ No ?

De hecho ya se ha dado el caso de la mayoria de peña que ha realizado ataques a Microsoft y ahora estan en plantilla.

A ver si encuentro el articulo..

Yo creo que el curriculum para entrar a formar parte del equipo de Microsoft para la seccion Windows es...

¿ Caballero alguna vez ha realizado un ataque a Microsoft o Windows con exitoso resultado ?

Si , señor..

Ok , mañana empieza a trabajar.

erdanblo

#7 ¿No sería infinitamente más fácil encontrar vulnerabilidades si tienes todo el código fuente disponible?

Get

eso es lo q pasa, esta tan bien parido q aparecen de casualidad y poquitos.

aNuBiS

Pero...lo habeis probado alguno?

-

#7 ¿Y qué me quieres decir con esa sarta de obviedades informáticas? Sólo dije que me parece un poco tonto que vuelvan a tener los mismos fallos en versiones supuestamente mejoradas de un sistema operativo. Normalmente los registros de fallos y parches se suelen tener en cuenta para posteriores versiones, pero parece que estos señores es algo que no miran mucho... ¿De que sirve tener un registro de fallos y errores si luego vuelves a meter la pata igual?

Además de la puntualidad exquisita de los parches y de esta empresa en general...

P

Primero en el articulo dice:

El fallo se ha encontrado de nuevo en el protocolo SMB encargado de compartir ficheros e impresoras, pero esta vez afectando a una nueva versión 2 incluída dentro de dichos sistemas operativos.

Si habia un registro del error que ocurria en Windows 95 era supuestamente al enviar una "supuesta cadena a puerto 139 TCP".

Es decir este fallo es otro, no el mismo.

No se porque dices que es el mismo fallo.. :S

Lo que habra que hacer es meter esa " SUPUESTA cadena al puerto 139 TCP " de Windows Vista / W7 para ver si es cierto que no tienen registro de fallos..

#14

Winnuke OOB

Este nuke se basa en lo que parece un fallode programación de la interfaz netbios de windows, incapaz de soportarOOB (datos "Out Of Band" ) en el puerto TCP 139.

Detección:

En Windows95 aparece una pantalla azul informandode un error en uno de los módulos del sistema. El ordenador parece seguir funcionando sinproblemas, pero todas las conexiones TCP/IP se bloquean.

En Windows NT aparece un pantalla azul y elsistema operativo procede al volcado de memoria. Una vez hecho eso (algo que puede llevar variosminutos, durante los cuales el ordenador no hace nada más), la máquinase reinicia automáticamente.

Prevención:

En Windows95 es posible detectar el atacanterealizando un netstat, ya que ese comando nos lista las conexiones activas.Bajo NT No queda ningún LOG.

En cualquier caso en NT el problema se solucionainstalando el Service Pack 3. De todas formas existe una variante de estenuke, afortunadamente poco difundida, que sigue provocando un dump delsistema y el reinicio posterior de la máquina.

Parece ser que en Windows 3.1x se puede corregirel problema de forma similar a Win95 (renombrando el DLL).

Recientemente, Microsoft ha publicado los parchesoficiales. No parecen proteger el ordenador contra las variantes OOB

aNuBiS

Pues va a ser...Que no funciona :P

-

#15 A ver, es una forma de hablar, que te agarras a un clavo ardiendo macho, no tiene porque ser el mismo fallo técnicamente con el mismo mensajito y los mismos síntomas, pero si el origen viene del mismo sitio y las consecuencias son las mismas se supone que es algo que deberían haber tenido en cuenta. Si en versiones anteriores les falla la conexión de un puerto a nivel de un protocolo tan importante como es de transmisión de datos me parece obvio que lo miren con lupa en la siguiente versión para no cometer el mismo error.

Sólo dije eso, estás haciendo una montaña de un grano de arena xd No te piques con algo que está tan mal hecho y organizado y de lo que no tenemos ni el código fuente, sólo estamos debatiendo y elucubrando teorías, ninguno de nosotros picó el código del protocolo correspondiente... Cuando salga el parche oficial puede que digan algo más detallado.

#16 ¿No ha petado? xD

Get

quita el firewall de win ...

P

#17 Pero es que os gusta hechar mierda tan a saco a Microsoft que la cagais.

Ese es OTRO fallo tu has puesto en duda el registro de fallos que lleva Microsoft, ese fallo ya ha sido solucionado mendiante parches.

Y ahora acaba de salir OTRO fallo completamente distinto.

#18 A ver.. pruebalo.

aNuBiS

#17 Nope. He puesto la ip interna (192.xxxxxxxx, por si algun animal intenta poner la externa XD) y lo he ejecutado desde un ordenador en la misma red, nada. Digo, será por el firewall, lo quito, vuelvo a ejecutar, nada. Y tengo una red montadita, asi que...

Si alguien lo consigue hacer funcionar, que avise.

#18 ¿tambien tengo que quitar el de windows? Entonces tengo que quitar TODO para que funcione? como mola, seguro que es muy util!

Nada, todo desactivado y no peta. Para ejecutarlo pongo python "nombredelarchivo" no?

P

Conclusion a los gurus de Linux les encanta meter mierda a diestro y siniestro.

Para luego tener una particion con Windows...

A mi no me hace falta ninguna particion de Linux para nada..

angelorz

Jajajaja qué putos amos xD

ArcheR

Sólo con leer el título, pensé: "Este thread lo ha creado get, chispas-elek o erdanblo". Bingo xD

aNuBiS, has conseguido que funcione?

Get

soz ppl, soy de los unicos q no tiene win en ninguna particion de mis ordenadores personales.
en el curro tengo winxp corp metido como un hamster en su jaula (virtualbox) para las aplicaciones corporativas q realmente no encuentro (aun) en java o de otra forma. HP OpenView Services Desk - Outlook - Veritas NetBackup - VmWare Client console. etc etc

erdanblo

Pues yo lo he probado con otro usuario de aquí, y si ha funcionado. Revisa el cortafuegos, que fué lo que en un principio hacia que no funcionase.

Los pasos que yo he hecho: descargar python 2.6 de la web (el installer de windows), y copiar el script en un fichero de texto, y renombrarlo a .py ya te sale el icono para ejecutarlo, doble clic y lanzas el ataque.

Pruebalo con un VM (yo es que ando en el PC del año la tarara y no tengo sitio para el Vista/7).

Get

yo si tuviera de hacerlo desde linux modificaria el host por el segundo parametro a la hora de lanzarlo. asi no tendria de editar el fichero cada vez quisiera tirar a alguno de la red. (interna)

Gnos1s

Fanboys y prolinux. Aquí hay de todo.

Es simple, que cada uno use lo que quiera y como quiera, según sus necesidades y su comodidad. Y si me te gusta usar X, no intentes convencer a los que usan Y (y viceversa).

Personalmente, uso ambos según las necesidades. Reconozco lo bueno y lo malo de cada uno, pero no voy comiendo la cabeza a nadie ni asaltando post de GNU/Linux o Windows.

¿Tan dificil es entenderlo?

Y vale ya, que lo que estáis consiguiendo es que se cree más polémica con estos temas; si fuera moderador pondría paz y añadiría una norma o algo, porque TODOS los post acaban siempre en un GNU/Linux vs. Windows.

erdanblo

#27 Depende de como cada uno se tome el post.

En este caso, es totalmente informativo. Vamos lo primero que haria yo es revisar que el puerto este cerrado, o si no uso el servicio, deshabilitarlo, porque tiene toda la pinta de ser una vulnerabilidad que van a aprovechar virus tipo sasser/blaster.

PiTaGoRaS

#14 ¿Qué parte de "nueva versión 2 del protocolo" no entiendes? Nuevo código = nuevas posibilidades de introducir bugs. Por otro lado, que el resultado visible sea el mismo, un pantallado azul, no quiere decir ni remotamente que el fallo explotado sea el mismo, y es que de hecho no lo es.

Para que funcione hay que tener el servicio de compartición de ficheros e impresoras activado (depende el tipo de red que selecciones, pública o privada, puede venir activado o desactivado).

Ah y #1 ¿por qué no has citado la fuente de donde has copypasteado toda la noticia?

erdanblo

#29 Tienes razón :D me acabo de dar cuenta.

Se me esta pegando la costumbre de Loa.