VIRUS

Taller de análisis de malware, segunda parte



*Malware Unicorn*

Este nuevo taller de análisis de malware es una continuación de otro taller de introducción del cual ya hablamos anteriormente [aquí] ( https://www.cyberhades.com/2017/03/28/taller-de-analisis-de-malware/) .

Titulado como: Reverse Engineering Malware 102 , Amanda Rousseau , nos guía a través del proceso de análisis de malware REAL. Con este taller aprenderás a analizar binarios Delphi, técnicas de evasión usadas por malware real para complicarnos la vida a la hora hacer uso de la ingeniería inversa. También aprenderamos a usar el motor Unicorn e identificar técnicas de compresión no comunes.

Análisis de malware online con Cuckoo



*Cuckoo Sandbox Dashboard*

Idealmente si nos dedicamos al análisis de malware, deberíamos tener nuestro propio laboratoriio. Una de las herramientas esenciales en dicho laboratorio debería ser Cuckoo .

Pero si no nos dedicamos a ello, no tenemos los recursos para montar nuestro laboratorio o simplemente no tenemos acceso al mismo, podemos ayudarnos de herramientas online, como: VirusTotal o en este caso, motivo de esta entrada, desde este sitio web: https://linux.huntingmalware.com/ .

Taller de análisis de malware



*Malware Unicorn*

Amanda Rousseau ha liberado el material de su taller sobre introducción a la ingeniría inversa de software malicioso (malware) .

El contenido está dividido en 6 secciones:

1. Fundamentals
   1. Enviroment Setup
   2. Anatomy of a Windows PE C program
   3. x86 Assembly Language
2. Malware Overview
   1. Typical Attack Flow
   2. Malware Techniques
3. Reverse Engineering (RE) Tools
4. Triage Analysis
5. Static Analysis
6. Dynamic Analysis
   1. Dynamic Analysis
   2. Finale

El contenido no es muy extenso, pero tiene bastante contenido gráfico que lo hace más ameno.

Microhistorias: Buffer Overflows. Trick or “Threat”?



Entre mediados de los 90s y la primera década del siglo XXI, los ataques por desbordamiento de memoria ocuparon muchos titulares en la prensa técnica.

Un error de desbordamiento de memoria o más conocido como buffer overflow, aparece cuando un programa no gestiona correctamente la asignación de memoria (direccionamiento) en una operación de carga de datos a la memoria. Por lo tanto el programa está intentando almacenar una cantidad de datos en esa sección de la memoria (buffer) mayor de la que puede contener. Esto provoca un error en la ejecución del programa el cual puede corromper la información, detener la ejecución o en el peor de la casos, deja una puerta abierta a la ejecución de código malicioso. Es aquí donde aparece el ataque por desbordamiento de memoria. La técnica consiste básicamente en provocar el error buffer overflow para alterar la ejecución del programa y redireccionarlo a un fragmento de código diferente, tomando el control total del mismo.

Kit de herramientas usadas en el libro Practical Malware Analysis

Uno de mis libros favoritos de mi pequeña colección es el Practical Malware Analysis. El contenido del mismo y la forma en que se explican los conceptos es excepcional.

Dicho libro también viene con varias prácticas (con malware real), las cuales te puedes descargar desde la web de apoyo al mismo: https://practicalmalwareanalysis.com/labs/ .

Por supuesto para llevar a cabo las prácticas y a través del contenido del libro se usan y discuten una gran número de herramientas. La número de herramientas aparecida no es pequeña y prácticamente todas son gratuitas (algunas con opción de pago). Aunque en el libro aparecen enlaces a las mismas, algunos enlaces están rotos o han cambiado.

Repositorio público con malware real



theZoo, también conocido como Malware DB, es una base de datos / repositorio con ejemplos de malware real. Entre estos, también puedes acceder a su código fuente. El objetivo de esta base de datos es la poner a disposición del público de una forma fácil, software malicioso para su estudio. Normalmente acceder a ejemplares de malware real no se fácil.

Dicho proyecto se encuentra alojado en Github, éste contiene un directorio llamado malwares que a su vez contiene dos subdirectorios: Binaries y Source. Dentro de Binaries tenéis los ejemplos que se incluyen en este proyecto. Estos están organizados en directorios igualmente y dentro de cada uno tenéis un fichero (.pass) que contiene el password (infected) para descomprimir el fichero .zip en el mismo directorio, que contiene el malware real. Ojo, que ¡ES MALWARE REAL! El resto de ficheros no son más que el hash (md5 y sha256) del fichero malicioso para comprobar su integridad.

Conoce tus enemigos



A finales del año pasado el Instituto para tecnología de infraestructuras críticas (Institute for critical infrastructure technology ) publicó un documento dónde recogían información sobre los grupos activos detrás de ataques, malware, amenazas, etc. En estos incluyen desde gobiernos a hacktivistas.

Este mes de febrero se ha publicado la segunda versión de dicho documento llamado Know your enemies 2.0 (PDF). El documento está organizado por países, consta de 81 páginas y contiene información general de cada grupo. No es nada técnico aunque requiere tener conocimiento de la jerga “hacker”. Al final del documento tienes dos apéndices, uno con un pequeño vocabulario y el segundo con algunas de las técnicas más comunes usadas como vector de ataque.

Museo del malware



En la impresionante web de archive.org han publicado un repositorio con malware (virus) distribuido durante los años 80s y 90s.

El Museo del Malware, así se llama, es parte de la librería de software de MS-DOS y contiene ahora mismo un vídeo y 78 ficheros:

• The History and the Evolution of Computer Viruses (Presentación de Mikko Hypponen - DEFCON 19)
• Malware Example: A A.COM
• Malware Example: AIDS 552.COM
• Malware Example: AMBULANC.COM
• Malware Example: ARIANNA.COM
• Malware Example: CASC-SIM.COM
• Malware Example: CECE.COM
• Malware Example: CENTIPED.COM
• Malware Example: CHAD.COM
• Malware Example: CHINESE.COM
• Malware Example: COFFSHOP.COM
• Malware Example: COSMOS G.COM
• Malware Example: CRASH.COM
• Malware Example: CREW.COM
• Malware Example: CSC-SIMX.COM
• Malware Example: DELYRIUM.COM
• Malware Example: DEN ZUK.COM
• Malware Example: DENZ-SIM.COM
• Malware Example: ELVIRA G.COM
• Malware Example: FELLOW.COM
• Malware Example: FLAME.COM
• Malware Example: FLIP.COM
• Malware Example: FROLL.COM
• Malware Example: FUM-SIMD.COM
• Malware Example: FUM-SIMX.COM
• Malware Example: FUMN-SIM.COM
• Malware Example: GIRLS.COM
• Malware Example: HA.COM
• Malware Example: HAFEN.COM
• Malware Example: HATE.COM
• Malware Example: HH HH.COM
• Malware Example: HYDRA_II.COM
• Malware Example: HYMN.COM
• Malware Example: I13.COM
• Malware Example: ITAL-SIM.COM
• Malware Example: ITALIAN.COM
• Malware Example: ITL-SIMX.COM
• Malware Example: IWAG.COM
• Malware Example: JERU-SIM.COM
• Malware Example: KUKAC.COM
• Malware Example: KUKU.COM
• Malware Example: LITTBROT.COM
• Malware Example: LSD.COM
• Malware Example: MALMSEY.COM
• Malware Example: MARAWI.COM
• Malware Example: MARINE.COM
• Malware Example: MARKIZ.COM
• Malware Example: MARS G.COM
• Malware Example: META1103.COM
• Malware Example: MORSE.COM
• Malware Example: MTZ.COM
• Malware Example: NAMELESS.COM
• Malware Example: NOPSRN G.COM
• Malware Example: ORO-SIMX.COM
• Malware Example: OROP-SIM.COM
• Malware Example: PYRAMID.COM
• Malware Example: Q CASINO.COM
• Malware Example: Q FRODO.COM
• Malware Example: Q T FE03.COM
• Malware Example: Q TEQUIL.COM
• Malware Example: Q V SIGN.COM
• Malware Example: Q WALKER.COM
• Malware Example: QSPRAYER.COM
• Malware Example: REDCODE.COM
• Malware Example: SCREENMI.COM
• Malware Example: SHAKER.COM
• Malware Example: SHIFTER.COM
• Malware Example: SKYNET.COM
• Malware Example: SPARTAK2.COM
• Malware Example: SPELLBOU.COM
• Malware Example: STUNNING.COM
• Malware Example: TECHNO.COM
• Malware Example: TUCUMAN.COM
• Malware Example: VIRDEM.COM
• Malware Example: YANK-SIM.COM
• Malware Example: YNK-SIMX.COM
• Malware Example: Z ALEX.COM
• Malware Example: ZHU.COM
• Malware Example: ZOHRA.COM

Normalmente estos especímenes no son dañinos, en su mayoría, simplemente mostraban alguna animación por la pantalla o gastaban algún tipo de broma, pero en algunos casos, podrían ser dañinos.

Puedes bajarte los ficheros y probarlos por ti mismo. Según dice la web, aquellos con código maligno, han sido modificados para quitarles dicho código, con lo que deberían de ejecutarse sin dañar tu sistema. Si quieres probarlos por ti mismo, tu mejor opción posiblemente sea bajarte una versión de FreeDOS o algo parecido, pero siempre puedes verlos funcionar en el emulador embebido en el navegador que tienes en cada una de las páginas de los ficheros.

Curso de análisis de malware



El Instituto Politécnico de Rensselaer ha publicado el material creado para su curso Malware Analysis - CSCI 4976.

El material publicado lo podéis descargar desde este enlace, su contenido es el siguiente:

• Malware_Analysis_Lectures.zip
• Malware_Analysis_Tools.zip
• Source code (zip)
• Source code (tar.gz)

Este curso usa como libro base el popular Practical Malware Analysis. El temario del mismo lo tenéis en este PDF.

Aunque el curso no requiere conocimientos previos sobre ingeniería inversa, sí que se recomienda tener conocimientos sobre arquitectura de ordenadores, C, ensamblador, manejo de memoria, etc.

Linux.Encoder.1 y la esperanza de recuperar tus ficheros



Linux.Encoder.1 es un ransomware (malware que “rapta”/encripta tus ficheros y que chantajea de forma económica típicamente si quieres recuperar tus datos) que está siendo noticia últimamente. No porque este tipo de malware sea nuevo, sino porque parece ser que es el primero (que se sepa hasta la fecha) que ataca sistemas Linux.

Éste concretamente se aprovecha de una vulnerabilidad en Magento, un carrito de la compra electrónico. Una vez dentro de tu sistema, Linux.Encoder.1 busca los directorios /home, /root y/var/lib/mysql, y encripta su contenido usando AES, un algoritmo de clave simétrica. Dicha clave luego es encriptada con RSA. Una vez hecho esto, el malware empieza a encriptar el directprio raíz (/), excluyendo algunos ficheros críticos.

Bokken, una interfaz gráfica encima de Radare y Pyew



Aunque Pyew y mucho menos Radare necesitan presentación, en un par de párrafos muy cortos voy intentar describir a ambas.

Radare no es sólo una herramienta o un conjunto de éstas, sino además provee un conjunto de librerías que te permiten poder integrarlas en tus propias utilidades. Entre algunas de sus características más destacadas, cuenta con desensamblador/ensamblador, depurador, información de binarios, etc. Desde finales del año pasado, Radare también dispone de una interfaz gráfica basada en viz.js.

Muestras de malware Mac OS X



¿Intersado en el análisis de malware para Mac OS X?

Aquí puedes encontrar un archivo .zip con ocho muestrar de malware para Mac OS X:

• CoinThief
  • http://www.securemac.com/CoinThief-BitCoin-Trojan-Horse-MacOSX.php
  • https://threatpost.com/cointhief-bitcoin-trojan-found-on-popular-download-sites
• iWorm
  • http://www.intego.com/mac-security-blog/iworm-botnet-uses-reddit-as-command-and-control-center/
  • https://www.virusbtn.com/pdf/magazine/2014/vb201410-iWorm.pdf
• Janicab
  • http://www.thesafemac.com/new-signed-malware-called-janicab/
  • http://www.intego.com/mac-security-blog/new-mac-malware-janicab-uses-old-trick-to-hide/
  • https://www.f-secure.com/weblog/archives/00002576.html
• Kitmos
  • http://threatpost.com/new-mac-malware-discovered-on-attendee-computer-at-anti-surveillance-workshop/
  • http://www.f-secure.com/weblog/archives/00002554.html
• LaoShu
  • https://nakedsecurity.sophos.com/2014/01/21/data-stealing-malware-targets-mac-users-in-undelivered-courier-item-attack/
  • http://www.thesafemac.com/delivery-notice-trojan-targeting-mac-users/#more-1301
• MacVX
  • http://malwaretips.com/blogs/remove-macvx-virus/
• WireLurker
  • http://researchcenter.paloaltonetworks.com/2014/11/wirelurker-new-era-os-x-ios-malware/
  • https://www.paloaltonetworks.com/content/dam/paloaltonetworks-com/en_US/assets/pdf/reports/Unit_42/unit42-wirelurker.pdf
• XSLcmd
  • https://www.fireeye.com/blog/threat-research/2014/09/forced-to-adapt-xslcmd-backdoor-now-on-os-x.html

El archivo está protegido con la contraseña infect3d

Recalco que esto no son muestras de ensayo, es malware real, así que ándate con cuidado.

Herramientas de seguridad para Android



Como todos ya sabemos el mercado móvil está dominado por dispositivos que corren Android. Esto lo hace objetivo prioritario para los creadores de malware. Prácticamente la misma historia por la que Windows es el más atacado, no por que sea menos seguro que el resto, sino porque es el que más cuota de mercado abarca.

Por lo tanto no es de estrañar que los investigadores sobre seguridad también se vuelquen en él.

Ya puedes recuperar tus ficheros cifrados por Cryptolocker de forma gratuita



Cryptolocker es un rasomware (fue visto por primera vez en Septiembre de 2013) que una vez infecta un equipo, se dedica a cifrar todos los ficheros que encuentra (sobre todo de Office y MP3) tanto en el disco duro como en todas las unidades de disco conectadas o incluso, y aquí está el mayor de los problemas, las unidades de red mapeadas. Ya puedes imaginarte el gran daño que puede llegar a hacer en una empresa que tiene conectadas unidades de red a diferentes servidores, etc. El caos puede ser absoluto. La única forma de poder recuperar tus ficheros era pagar, y con suerte, te enviarían la contraseña para poder descifrarlos.

Clase gratuita sobre análisis dinámico de malware



En una de mis webs favoritas acaban de publicar los vídeos de la clase sobre análisis dinámico de malware.

La clase está planificada para 3 días, pero desafortunadamente, debido a un problema técnico, los vídeos del tercer día no están disponibles. De todas formas hay bastante material publicado.

Te puedes descargar todo el material en formato PDF u ODP. Dentro del archivo ZIP, hay otro archivo ZIP con malware, éste ZIP está protegido por la contraseña “infected” (sin las comillas).

El "Metasploit" para investigadores de malware



El metasploit para analistas o investigadores de malware, es una de las formas en las que Viper se define a sí mismo, de acuerdo con la documentación oficial.

Viper es una framework o marco de trabajo que facilita la organización y análisis binario de malware y exploits. Está orientado al investigador y/o analista de estos. Está escrito en Python y su interfaz en esta versión 1.0 es muy similar a la de metasploit y ofrece la posibilidad de extenderlo a través de plugins.

Sistema de análisis de detección de intrusión para Macs



Mac Intrusion Detection Analysis System o MIDAS (no tiene nada que ver con el rey) es un framework o serie de utilidades que nos facilita la implementación de un sistema de análisis de detección de intrusiones sobre sistemas Mac.

Es una idea iniciada por el equipo de seguridad de Facebook, pero en la que Etsy se embarcó y actualmente es desarrollado y mantenido por los equipos de seguridad de ambas empresas.

RAT open source



Hay varias formas con las que nos podemos hacer con una botnet: comprar, alquilar, hacerte con la botnet tú mismo (¿robar?) o hacerte la tuya propia.

Comprar o alquilar, si dispones del dinero y quieres hacer dicha inversión… Hacerte con una botnet existente no es fácil y se requieren ciertos conocimientos técnicos, tiempo y paciencia. Y al hacerte tu propia botnet, pues más de lo mismo, conocimientos muy técnicos para construir la infraestructura y mucho tiempo.

Clases sobre ingeniería inversa y análisis de malware



Desde securityxploded.com podemos acceder al meterial de dos clases sobre ingeniería inversa y análisis de malware. La primera es de iniciación y la segunda sobre temas más avanzados.

En el material de las mismas podrás encontrar vídeos, diapositivas, referencias a libros, herramientas, etc. La clase de iniciación está completa y te puedes descargar todo el material desde aquí. En la avanzada, como podemos ver más abajo, faltan algunas de las sesiones, que supongo publicarán en un futuro. Mientras tantos hay material para entretenerse un rato.

Presentaciones de la Virus Bulletin 2013



El pasado 2 - 4 de octubre se celebró en Berlín otra conferencia sobre seguridad informática enfocada más al tema del malware: VB2013 - Virus Bulletin 2013 (no, no es Visual Basic!). Esta es la 23 edición de esta conferencia.

Las presentaciones que se dieron ya están disponibles para descarga. La lista es la siguiente

Corporate stream

• Andreas Lindh ('Surviving 0-days - reducing the window of exposure')
• Sabina Datcu ('Targeted social engineering attacks. Sensitive information, from a theoretical concept to a culturally defined notion')
• Michael Johnson ('Make it tight, protect with might, and try not to hurt anyone')
• Randy Abrams & Ilya Rabinovich ('Windows 8 SmartScreen application control - what more could you ask for?')
• Axelle Apvrille ('Analysis of Android in-app advertisement kits')
• Vanja Svajcer ('Classifying PUAs in the mobile environment')
• Roman Unuchek ('Malicious redirection of mobile users')
• Craig Schmugar ('Real-world testing, the good, the bad, and the ugly')
• Ciprian Oprisa & George Cabau ('The ransomware strikes back')
• Jarno Niemela ('Statistically effective protection against APT attacks')
• Sergey Golovanov ('Hacking Team and Gamma International in "business-to-government malware"')

Technical stream

• Carsten Willems & Ralf Hund ('Hypervisor-based, hardware-assisted system monitoring')
• James Wyke ('Back channels and bitcoins: ZeroAccess' secret C&C communications')
• Xinran Wang ('An automatic analysis and detection tool for Java exploits')
• Rowland Yu ('GinMaster: a case study in Android malware')
• Samir Mody ('"I am not the D'r.0,1d you are looking for": an analysis of Android malware obfuscation')
• Farrukh Shazad ('The Droid Knight: a silent guardian for the Android kernel, hunting for rogue smartphone malware applications')
• Fabio Assolini ('PAC - the Problem Auto-Config (or "how to steal bank accounts with a 1KB file")')
• Samir Patil ('Deciphering and mitigating Blackhole spam from email-borne threats')
• Evgeny Sidorov ('Embedding malware on websites using executable webserver files')
• Amr Thabet ('Security research and development framework')

'Last-minute' technical papers

• Gabor Szappanos ('Hide and seek - how targeted attacks hide behind clean applications')
• Ross Gibb ('Lessons learned: sinkholing a peer-to-peer botnet')
• Dennis Batchelder & Hong Jia ('Working together to defeat attacks against AV automation')

El troyano más sofisticado para Android se llama Backdoor.AndroidOS.Obad.a

Imagen, SecureList

Al menos eso comenta Roman Unuchek de los laboratorios de Kaspersky.

Su nombre es:

“Backdoor.AndroidOS.Obad.a”

Lo que les llamó más la atención del troyano era que nada más prepararlo para su análisis fue que todas las cadenas en el fichero DEX estaban cifradas y además el código estaba ofuscado.

Se aprovecha de varios agujeros de seguridad (exploits) aún no documentados de Android lo que hace que sea muy difícil de analizar. Es capaz de enviar SMS a números de servicios de pago, descargar otro malware e instalarlo en el dispositivo, enviar también malware vía Bluetooh, ejecutar comandos remotos desde la consola, vamos toda una pesadilla. En cuanto se instala intenta obtener privilegios de administrador (root)  y se oculta de forma que no se muestra como una aplicación con dichos derechos, pasando desapercibida al usuario.

El malware está en todas partes



Fuente

Análisis estático de aplicaciones Android en la nube



Para ser honestos no soy muy defensor de la nube o el cloud computing, pero la verdad es que esta tecnología tiene grandes ventajas.

El tema del malware en Android es un tema muy candente, realmente el malware en general, ya que todas las plataformas se ven afectadas por este tipo de especímenes. Pero cuando hablamos que tecnología móvil y malware todas las miradas apuntan a Android. Cuando hablo con alguien sobre este tipo de temas, les digo que Android es en el mundo móvil lo que Windows en el mundo del escritorio.

¿De dónde viene el malware? (Infografía)



Fuente

Proyecto Ghost USB



El Proyecto Honeyet acaba de lanzar un nuevo honeypot llamado Ghost USB cuya finalidad es la de emular un lápiz USB en un sistema Windows, de manera que si dicho sistema está infectado por algún malware que se expanda a través de dispositivos USB, eventualmente acabe copiándose a este dispositivo emulado.

En la web del proyecto puedes encontrar tanto el código fuente como los binarios, así como las instrucciones para instalarlo.

Aquí tenéis un vídeo con la presentación de este proyecto (en inglés):

Seguridad de sistemas y análisis de código malicioso



La Universidad de Dallas, Texas, uno de los muchos cursos que ofrece es llamado: System Security and Malicious Code Analysis (Seguridad de sistemas y análisis de código malicioso). Éste no es uno de esos cursos que se han puesto de moda últimamente que puedes tomar online. Aunque no hay disponibles ni vídeo ni audio, sí que están disponibles las diapositivas usadas en el mismo. Después de un echar un vistazo rápido, me han parecido muy completas en interesantes. Además en la web de dicho curso también podemos encontrar una muy buena lista de enlaces a información externa, muchos de ellos son literatura propia sobre el tema.

Er docu der finde: Guerreros cibernéticos

A principios de semana publicamos este mismo documental, pero en inglés y sin subtítulos, por lo que para el que no se lleve bien con el inglés, como dicen en mi tierra, es como tener un tío en Graná, ni tiene tío ni tiene ná. Pero gracias a un comentario que nos dejó Dongash, aquí tenéis una versión de dicho documental subtitulado en español.

iguanarock on livestream.com. Broadcast Live Free

Web Warriors

Aunque hoy es lunes aquí os dejo un documental que vi la semana pasada y me pareció muy sencillo de seguir y entender. Si estuviera en español o al menos subtítulos lo habría publicado en nuestra sección de Er docu der finde.

El documental empieza hablando sobre Blaster y da un repaso a los mayores acontecimientos, en lo que a seguridad se refiere, vividos en los últimos años y en la importancia de tomarse la seguridad muy serio en los tiempos que corre. Es muy ameno y educativo, aunque nada técnico.

Herramientas gratuitas de McAfee



No conocía yo esta colección de herramientas que McAfee mantiene y ofrece de forma totalmente gratuita. Dicha colección contiene más de 70 utilidades dividida en los siguientes apartados:

• Anti-Malware Tools
• Assessment Utilities
• Forensic Tools
• Foundstone SASS Tools
• Intrusion Detection Tools
• Scanning Tools
• Stress Testing Tools
• Spam Submission
• Utilities

Algunas pintan muy bien.

Tutoriales sobre el análisis de malware por Dr. Fu



Para los que os mováis por el mundo del análisis del malware, el blog sobre seguridad de Dr. Fu es una gran fuente de información sobre esta materia. En el mismo podemos encontrar una serie de entradas muy didácticas sobre el análisis del malware. Hasta ahora tiene publicados 16 tutoriales:

1. VM Based Analysis Platform
2. Ring3 Debugging
3. int2d anti-debugging (Part I)
4. Int2dh Anti-Debugging (Part II)
5. Int2dh Anti-Debugging (Part III)
6. Analyzing Self-Extraction and Decoding Functions
7. Exploring Kernel Data Structure
8. PE Header and Export Table
9. Encoded Export Table
10. Tricks for Confusing Static Analysis Tools
11. Starling Technique and Hijacking Kernel System Calls using Hardware Breakpoints
12. Debug the Debugger - Fix Module Information and UDD File
13. Tracing DLL Entry Point
14. Retrieve Self-Decoding Key
15. Injecting Thread into a Running Process
16. Malware Analysis Tutorial 16: Return Oriented Programming (Return to LIBC) Attack
17. Infecting Driver Files (Part I: Randomly Select a System Module)
18. Infecting Driver Files (Part II: Simple Infection)
19. Anatomy of Infected Driver
20. Kernel Debugging - Intercepting Driver Loading
21. Hijack Disk Driver
22. IRP Handler and Infected Disk Driver
23. Tracing Kernel Data Using Data Breakpoints
24. Tracing Malicious TDI Network Behaviors of Max++
25. Deferred Procedure Call (DPC) and TCP Connection
26. Rootkit Configuration
27. Stealthy Loading of Malicious DLL
28. Break Max++ Rootkit Hidden Drive Protection
29. Stealthy Library Loading II (Using Self-Modifying APC)
30. Self-Overwriting COM Loading for Remote Loading DLL
31. Exposing Hidden Control Flow
32. Exploration of Botnet Client
33. Evaluation of Automated Malware Analysis System I (Anubis)
34. Evaluation of Automated Malware Analysis Tools CWSandBox, PeID, and Other Unpacking Tools

Sin duda alguna un gran blog que debes seguir si te interesa este tema.

¿Por dónde nos llega el malware? (Infografía)



Fuente

Stuxnet: Anatomía de un virus informático



Poco tengo que decir sobre Stuxnet más que es el virus más potente hasta ahora conocido. Este virus está especialmente diseñado para atacar plantas nucleares, sistemas de tráfico aéreo y fábricas. Según los análisis llevados a cabo hasta el momento, este espécimen es 20 veces más complejo que cualquier otro virus conocido. Prueba de ello, es que éste llevaba en su arsenal nada más y nada menos que 20 0days. Stuxnet tenía un objetivo muy claro sabotear las plantas de enriquecimiento de uranio Iraníes. Según rumores, no hay evidencias, Israel podría ser uno de los responsables de este malware, así como EEUU e incluso se sospecha de Siemens, cuyo software corren las centrales nucleares Iraníes.

8 artículos para aprender a analizar malware en Android



Tal y como avanzan las cosas, los terminales móviles en muy poco tiempo podría ser el objetivo número uno de las mafias o delincuentes informáticos.

Últimamente casi por semana aparece alguna noticia sobre algún tipo de malware para terminales móviles o fallos de seguridad en dichos sistemas, que permiten el robo de datos.

Por su popularidad las 2 plataformas más atacadas son iOS y Android, siendo esta última, quizás, la más afectada en cuando al mercado de malware. Desde mi punto de vista, no porque sea menos segura que iOS, sino porque hoy en día tiene más mercado y la publicación de aplicaciones en el mercado es mucho menos restrictiva.

Botnet en Android usando SMS



Esto no es más que una prueba de concepto, hasta la fecha no se conoce ningún malware que haga uso de este tipo de tecnología.

La idea en este caso es sustituir el modulo radio de nuestro terminal. Una vez hecho eso, cualquier mensaje que recibamos por SMS que no empiece por BOT: se considera un SMS legítimo y si empieza por BOT: lo interpreta como un mensaje enviado desde la bot.

El análisis del Cuco



Esto me recordó a El huevo del Cuco, un libro basado en hechos reales que si no has leído y eres lector de este blog te encantará.

Bueno, de lo que quería hablaros en esta entrada es de un proyecto llamado Cuckoo Sandbox. Éste es un proyecto para el análisis de malware a través de la virtualización y así creando la sandbox o caja de arena para que cuando el especimen corra, lo haga de forma aislada.

Asegúr@IT 9 con Informatica64 y Microsoft. La cabeza en las nubes, los pies en el suelo.



SWIVEL SECURE – PINSafe: La gente de Swivel Secure contra los passwords en los post-it. En esta ponencia se nos habla de PINsafe, una herramienta que da autenticación para acceso a través de redes privadas virtuales (VPN), sitios web y aplicaciones corporativas basadas en la web, mediante el uso de dispositivos móviles y exploradores web. Sus campos de actuación son el skimming, el phishing, el shoulder-surfing, el key-logging. Esta tecnología se podrá aplicar a las conexiones Forefront IAG o UAG para implantar sistemas de VPN robusta. El token no siempre es la solución.

The truth about Malware and Linux (Kaspersky Lab)

(Recuerda activar los subtítulos usando “cc” en el video)

En busca de Brain, el primer virus para PC

Muy interesante este corto de 10 minutos sobre Brain, el primer virus para PC de la historia. Fue escrito en Pakistan en Enero de 1986 por dos hermanos llamados: Amjad Farooq Alvi y Basit Farooq Alvi, que dicho sea de paso es la primera vez que conceden una entrevista grabada en vídeo sobre el tema.

Por aquella época al acceso a internet estaba prácticamente a agencias militares y universidades de los EEUU, por lo tanto este virus no se extendió por la red de redes, sino a través del disquete.

Malware Analyst's DVD



Malware Analyst’s Cookbook es un libro que trata sobre el análisis de Malware, como habrás podido deducir.

Algo estuve leyendo sobre este libro el otro día y lo estuve ojeando por Amazon y tiene una pinta estupenda, además las revisiones del mismo son muy buenas.

Bueno, el motivo de esta entrada no es realmente hablar sobre este libro, sino del DVD que lo acompaña. Dicho DVD está lleno de utilidades relacionadas con el análisis de malware y el contenido del mismo está a disposición de todos los públicos, hayas comprado o no el libro.

Infografía: Historia del virus informático



Visto aquí

Android Market Security Tool, trojanized version



A raíz del último troyano que apareció para Android y del que hablamos aquí, Google sacó una herramient llamada: “Android Market Security Tool”. El propósito de la misma era el poder deshacer los cambios creado por el troyano anteriormente mencionado. De hecho esta herramienta ni siquiera tenías que instalártela tú, sino que se instalaba como una actualización del Android Market en aquellos terminales infectados.

La cosa que es que se ha detectado una versión troyanizada de la misma. Ésta se ha encontrado en los mercados de aplicaciones chinos. La versión troyanizada no es más que la herramienta original de Google re-empaquetada con código malicioso, capaz de enviar SMS usando técnicas de C&C (command and control) a través de:

El malware para Android evoluciona... y de que manera



Ayer publicaba en Twitter una noticia que hablaba sobre que Google había quitado del mercado de aplicaciones 21 de éstas por temas de malware. Hasta aquí nada nuevo bajo el sol, en Cyberhades hemos hablado algunas veces sobre esto.

La novedad esta vez, es que dichas aplicaciones preparadas para robar información de tu terminal, venían cargada con el famoso rageagainstthecage, un exploit para ganar acceso root en el sistema.

Er docu der finde: Virus, el origen

No trata del virus informático, sino del humano.

ADRD, otro troyano para Android



AegisLab ha encontrado otro troyano para Android que actualmente está vivito y coleando. El autor de éste, por lo visto lo que hace es re-empaquetar software legítimo, añadiéndole el código de dicho troyano. Este malware, por ahora, es común encontrarlo en los fondos de escritorios o wallpapers.

En principio todo lo que hace es aparte de mandar tu IMEI e IMSI a cierto servidor (adrd.taxuan.net) de forma cifrada (DES). Aquí un ejemplo:

De Brain a Stuxnet, 25 años del virus informático

Fuente

Colección de Malware



Nada mejor para un profesional a la hora de aprender y ganar experiencia y conocimiento que enfrentarse a situaciones reales dentro de su campo.

En el campo de la seguridad informática sucede lo mismo. Tanto para el aprendiz como para el experto siempre es bueno el poder investigar por uno mismo malware real, activo o no.

Lenny Zeltser ha publicado una entrada en su web donde recopila algunos enlaces desde los cuales te puedes bajar todo tipo de malware. Podrás encontrar incluso algún especimen que todavía está vivito y coleando por la web.

Actualización falsa para Windows



Parece ser que se está extendiendo un email suplantando a Microsoft en el cual dice que tienes que actualizar tu Windows. En dicho email también se adjunta un fichero .zip con el supuesto parche, el cual obviamente no es ningún parche, sino un gusano.

Ni que decir tiene que Microsoft nunca manda ningún tipo de actualización por correo electrónico. Así que ojito!

Fuente.

Geinimi, nuevo troyano para Android



Geinimi es el nombre de un nuevo troyano para sistemas Android. De acuerdo con la fuente de la que recojo está información, es el troyano más sofisticado conocido en este momento.

En el momento que el usuario ejecuta la aplicación infectada, el troyano empieza a recolectar información del teléfono como: el IMEI del mismo, identificación de la SIM card y localización. El troyano intenta conectarse a uno de los siguientes dominios: www.widifu.com , www.udaore.com , www.frijd.com , www.islpast.com and www.piajesj.com . Si la conexión falla, lo vuelve a intentar cada 5 minutos.

Como empezar en el análisis de malware



En esta entrada escrita por Lenny Zeltser intenta hacer una pequeña introducción para aquellos que se quieran adentrar en el análisis de malware, dónde recopila una serie de recursos online donde puedes empezar a leer y practicar. También nos recomienda algunos libros, así como varios foros sobre el tema. Y por supuesto le da un poco de publicidad al curso que él mismo imparte en SANS (éste no es gratuito, pero si de verdad que te quieres convertir en un profesional no tengo duda alguna en que merece la pena).

Visto en el blog del autor.

BitDefender LiveCD



Cuando un equipo es infectado por un virus y dicho equipo no tiene un antivirus instalado, yo diría que ya es tarde para instalarlo. Y es que muchos virus lo primero que hacen o intentan hacer es neutralizar cualquier software que sea una amenaza para si mismo. Por lo tanto la instalación a posteriori puede que el antivirus no funcione como es debido.

A mi siempre me gustó tener un antivirus y escanear de vez en cuando el sistema como medida de prevención, pero si se me infectaba un sistema, mi método preferido era el escanear dicho disco desde un sistema totalmente limpio y he aquí donde las LiveCD tienen mucho que decir.

Levitación ultrasónica

Levitación acústica.

Más información en io9.

Malware en extensiones de Firefox



Mozilla ha anunciado en su blog oficial sobre al menos 2 extensiones o plugins donde se han detectado código malicioso.

Concretamente, estas dos extensiones son Sothink Video Downloader 4.0 y Master Filer. En ambos casos, según parece el objetivo son usuarios de Windows, por lo que usuarios de otros sistemas no se verían afectados.

Sothink Video Downloader estaría infectado con el troyano Win32.LdPinch.gen (versiones posteriores a la 4.0 no están infectadas) y en el caso de Master Filer con Win32.Bifrose.32.Bifrose. Mozilla ya deshabilitado ambos plugins del repositorio de plugins.

Análisis detallado de iKee.b



iKee.b es el nombre con el que se bautizó al cliente de una botnet para iPhone allá por finales del mes de Noviembre. La finalidad del este malware, era la de robar los SMS del teléfono donde se alojaba y se coordinaba con un servidor en Lituania. En sri.com nos deleitan con un detallado análisis del funcionamiento y la lógica del mismo, así como sus ficheros de configuración. iKee.b parece ser, hasta la fecha, el malware más sofisticado para terminales móviles, aunque no llega todavía a la ingeniería de las botnets que podemos encontrar hoy en día para PCs.

Nuevo gusano para iPhone. Y van dos.



Hace muy poco nuestro amigo tuxotron colgaba la noticia del primer gusano para el iphone y nos reíamos porque aparecía Rick Astley y no Megan Fox. El caso es que el tema está que arde y acaba de aparecer otro (hace algunas horas) y este no es para guasa. Conocido como Duh o ikee.B afecta igualmente a iPhones con jailbreak y SSS que no han cambiado la contraseña por defecto.

El mayor almacén de ficheros .txt de los 80 y 90



Si eres ya un poco viejete como yo y has estado metido desde pequeño en esto de la Informática, seguro que recuerdas las famosas BBS y ftps de los 80 y 90 (como nuestra querida nic.funet.fi, ¿verdad DuenD y tuxotron? ... que buenos ratos hemos pasado) sabrás que prácticamente toda la información estaba en formato .txt.

Desde luego también había imágenes, audio, etc ... pero la información de verdad estaba en formato texto plano. Documentación sobre hacking, phreak, política, anarquía, conspiración, leyes, programación, etc ... eran "traficadas" entre nosotros intercambiando disquetes al principio y luego en CD. Aún tengo guardados unos discos de 3"1/2 con este tipo de ficheros.

Command and Control in the Cloud



Si hace algún tiempo ya hablamos en Cyberhades sobre como los bots usaban las redes sociales, ahora nos hacemos eco de como éstos hacen uso de los nuevos sistemas de computación en la nube. El malware ha sido encontrado concretamente en un Google AppEngine. El malware es un ejecutable comprimido con UPX. Es un pequeño motor HTTP que atiende a peticiones (comandos) del tipo:

http://xiaoiboxip.appspot.com/XXXX?hostname= &&systemcpoy= &&userName=

Troyano Skype



Si te interesa saber que se esconde detrás de un troyano, para tu información, el código fuente del troyano Skype ha sido liberado. Aunque por lo visto el código no está completo. La sección que de plugins de la puerta trasera, así como el código usado para saltarse el firewall, han sido removidos. Según el autor, publicará estas partes por separado.

Post original aquí.

http://www.megapanzer.com/2009/08/25/skype-trojan-sourcecode-available-for-download/

¿Cómo funciona un desbordamiento de memoria?



Con la incertidumbre que está levantando Conficker, en wired.com han puesto a disposición de los usuarios una pequeña animación interactiva en flash donde nos enseñan el funcionanmiento de un desbordamiento de memoria y sus posibles consecuencias. Esta es la técnica que usa el gusano para propagarse e instalarse en las máquinas que no hayan sido parcheadas.

Kapersky ¿hacked?



Según aparece en hackersblog.org alguien que se hace llamar Unu, dice haber accedido a la base de datos de unas de las compañías más grandes de antivirus con una simple inyección de código SQL. Según dice el intruso, tuvo acceso a todo tipo de datos, tales como: usuarios, códigos de activación, lista de errores, administradores, tienda, etc. Hasta ahora, Kapersky ni ha confirmado, ni a desmentido la intrusión. Personalmente pienso que una compañía como Kapersky, que se dedica a velar por la seguridad de los usuarios, pueda cometer este tipo de errores, aunque hoy en día no pondría la mano en el fuego nor nadie.

Malware en multas de tráfico



Aparece una nueva forma de para la distribución de software malicioso o malware. Este nueva forma se basa básicamente en lo que se conoce como ingeniería social. Según comentan en la web de SANS, en Grand Forks, Dakota del norte, en un parking publico se colocaron sobre algunos coches, lo que pretendía ser una multa por violación de las normas de dicho parking. En la nota, que pretendía ser una multa, decía que para ver las fotos con mas información sobre la supuesta infracción, podías visitar la  pagina web que proporcionaban en dicha nota. Si se visitaba esa pagina, te decía que para ver las fotos de tu vehículo, y aquí el engaño, tenias que instalar una barra de búsqueda de fotos, que evidentemente no es una barra de búsqueda ni mucho menos. Aquí podéis encontrar información mas detallada sobre este caso concreto, como: que se instala en un tu sistema y que es lo que hace.

Consejos para evitar ataques de código malicioso en GNU/Linux



De todos es sabido, que el tráfico de viruses en GNU/Linux es muy muy bajo. Esto no quita que nada pueda dañar nuestro sistema. En Laptoplogic han publicado un artículo sobre algunas buenas prácticas para evitar ataques de código malicioso a nuestro sistema. Resumo a continuación los consejos que nos dan:

• Nunca ejecutes un fichero script, a menos que entiendas lo que hace el código y confíes en la persona que te lo dio.

Ver Star Wars en modo texto desde Telnet WTF?



Sí, has leido bien, vamos superando el nivel geek/friki en cada post que encontramos ...

Si abres una ventana de comandos y tecleas (desde cualquier sistema operativo)

telnet towel.blinkenlights.nl



Podrás ver esta obra de arte, casi 14.000 fotogramas CON LA PELÍCULA COMPLETA (resumida) de la Guerra de las Galaxias en ¡¡¡ASCII ART!!!!

El virus "Storm" cumple un año



Visto (en el blog) y oido (en el podcast) de nuestros queridos amigos de:

http://elgeekerrante.com/ege-podcast-ep31/

que enlaza con:

http://www.hispasec.com/unaaldia/3372

Vamos a hablar del virus "Storm":

Fuente original:

http://www.schneier.com/blog/archives/2007/10/the_storm_worm.html

El virus "Storm" apareció por primera vez a principios de año, oculto como datos adjuntos a los emails con la línea de asunto siguiente: "230 dead as storm batters Europe". Cuando abres el fichero adjunto te infecta, uniéndote en una siempre creciente red llamada "botnet".

"Storm" no es sólo un worm/gusano realmente es mucho más: un gusano, un troyano y un bot que lleva todo en uno. Es el ejemplo de una nueva raza de worm/gusano que tiene mucho éxito en su supervivencia. Se ha estimado entre 1 millón y 50 millones de ordenadores infectados en el mundo.

Los worms/gusanos clásicos como el Sasser, Slammer, Nimda fueron creados por hackers buscando fama, pero el propósito de Storm es mucho más siniestro, fines económicos, espía, ataques por encargo a sitios, etc ... Al diseñarlos (los worms clásicos) para su rápida propagación a la vez eran más fáciles de detectar, cosa que no ocurre con el Storm, que se toma su tiempo para propagarse y expandirse.

"Storm" representa el futuro del malware, vamos a analizarlo:

1) "Storm" es paciente. Un gusano que ataca todo el tiempo es más fácil de detectar; un gusano que ataca y entonces se oculta es mucho más difícil de detectar.

2) "Storm" está diseñado como una hormiga de una colonia, cada una con una tarea o función específica. Sólo una pequeña fracción del equipo infectado propaga el gusano. Una fracción mucho más pequeña son C2: servidores de control-y-comando. El resto espera a recibir órdenes. Como sólo un pequeño número de los equipos infectados propagan el virus y actuan como servidores de control-y-comando, "Storm" es muy resistente contra ataques directos a su estructura. Incluso si estos equipos se apagan, la red permanece casi intacta, y los otros equipos infectados pueden hacer las otras tareas para suplir a los equipos caídos.

3) "Storm" no causa ningúin daño, o algún efecto al rendimiento notable al equipo infectado. Como un parásito, necesita dejar al equipo anfitrión intacto, en buena salud por su propia supervivencia. Esto lo hace más difícil de detectar, porque los usuarios y los administradores de red no notifican ningún efecto anormal en su funcionamiento diario.

4) Mejor que tener todos los equipos comunicados con un servidor central o servidores, "Storm" utiliza conexiones y una red P2P para su C2. Esto hace que la botnet de "Storm" sea mucho más difícil de deshabilitar. La forma más común de deshabilitar una botnet es apagar todo los puntos de control centralizados. "Storm" no tiene un punto de control centralizado, con lo cual no puedes apagarlo.

5) Aparte de ser servidores C2 distribuidos, también se ocultan cambiando constantemente sus DNS con una técnica llamada "fast flux". Entonces incluso si un equipo infectado está aislado y sufriendo un "debug" (o análisis), y un C2 lo detecta, a partir de ese momento pasa a estar inactivo.

6) El payload de "Storm" (o sea la parte del código que usa para infectar) cambia o muta cada 30 minutos más o menos, haciendo que las técnicas de detección típicas de los Antivirus no funcionen.

7) El mecanismo de entrega o infección cambia de forma regular. Comenzó siendo un spam de PDF, entonces los programadores usaron e-cards o invitaciones de Youtube (cualquier cosa que tuviera un enlace llamativo). "Storm" también empezó a postear en Blogs como comentarios spam, intentando engañar con falsos links.

8) El email de "Storm" también cambia todo el tiempo, usando técnicas de ingeniería social. Siempre hay líneas de "Asunto" con nuevos y excitantes textos. Los programadores de "Storm" son muy buenos conocedores de la naturaleza humana.

9) Los últimos meses, "Storm" ha empezado a atacar sitios anti-spam y el sitio personal de Joe Stewart, el cual publicó un análisis de "Storm". Basado en una táctica básica de guerra: mantén a tu enemigo avisado o haciendole saber que no se meta contigo.

No existe una forma concreta de luchar de forma efectiva contra "Storm". Es difícil de analizar, no puedes infectar una máquina/s y aislarlas para probarlas, tampoco puedes infectar ISPs para ver que ocurre ...

La única forma real de parar a "Storm" es arrestar a sus programadores ... aunque suene terrible, es así ...

Y otro temor más, nadie sabe cual será la segunda fase de "Storm" ...

www.cyberhades.com

Los peligros de un nuevo posible gusano que se propague por WiFi



Antes de nada, definición de "worm" ó "gusano"

http://es.wikipedia.org/wiki/Gusano_inform%C3%A1tico

Un grupo de científicos de la Universidad de Indiana han estado simulando el posible comportamiento de un hipotético gusano que se pudiera propagar por las WiFi de todo el mundo, saltando de router a router. Han usado como modelo siete ciudades Norteamericanas y mostrando la evolución del gusano en 24h. Como ejemplo, en la simulación con Nueva York, 18.000 routers fueron infectados en 2 semanas.

Artículo original:

http://www.spectrum.ieee.org/jan08/5877

Y lo más interesante de este gusano es su funcionamiento, ya que no necesitaría de los ordenadores para poder saltar de una red a otra, ya que utilizaría el mismo router. Una de las posibles formas de infectar un router sería a través de su firmware (ojo con esto, una vez en el firmware estaría alojado en la misma electrónica del aparato), aprovechando cualquier vulnerabilidad de estos, ya que no es habitual actualizarlos por parte del usuario. Una vez infectado el router, podría empezar a usar técnicas de data mining para recopilar todo el tráfico en dicha WiFi, como podría ser contraseñas, web visitadas, pulsación de teclas, etc ... Imagináos el control absoluto de la red por parte de un virus alojado en el router, no hay antivirus, no sería detectable, vería todo el tráfico de red ...

Por supuesto si la red está totalmente desprotegida, el gusano podría saltar sin problema ampliando su rango de acción e infectando otros routers (esto sería fácil ya que cada vez hay más redes WiFi concentradas en las ciudades). Si la contraseña es WEP o una WPA con una contraseña débil, podría usar ataques de fuerza bruta con diccionarios para poder acceder a dicha red.

Este artículo habla de un tema muy interesante ya que este tipo de virus pueden ser una amenza real en poco tiempo. Ya creo que es posible hacer un tipo de gusano que se propague por WiFi's (supongo que alguno habrá) y que infectara un ordenador en la misma. Una vez infectado buscaría otras redes abiertas o que pudiera romper la contraseña para saltar y así continuar con su infección y su viaje por las redes del mundo. O incluso más potente, un virus gusano "híbrido", que pudiera a la vez propagarse por Internet y por las WiFi que pudiera infectar.

www.cyberhades.com

Core Wars



Las "Core Wars" (ó RedCode) son programas escritos en una variante propia de ensamblador, donde luchan por ocupar la mayor parte de la memoria para así, eliminar al programa oponente. Se habló por primera vez de las CoreWars en un artículo de la revista "Investigación y Ciencia" de 1988, por A.K. Dewdney (en el enlace puedes ver el artículo original en inglés).

( DEWDNEY, A. K. Artículo: JUEGOS DE ORDENADOR, en: Investigación y Ciencia. No. 145, 1988. )

Para nosotros tiene mucho atractivo desde hace tiempo, DuenD y yo hemos pasado algunas horas haciendo programitas y simulando batallas usando el MARS (programa que simula el campo de batalla, si pulsas en el enlace verás varias páginas donde descargarlo).

Es todo un simulador de vida artificial, ya que una vez creado el código y ejecutado, tienes que programarlo lo mejor posible para que sobreviva dentro del campo de batalla haciendo varias operaciones, como reproducirse, saltar entre posiciones, eliminarse, etc ... sin ninguna acción exterior. Ni que decir tiene que también son una especie de "virus" ... en un entorno controlado.

Antes de nada, vamos a ver un poco como es el campo de batalla. Los programas no saben donde termina/empieza la memoria MARS. La posición de memoria "0" no es la primera, es donde está el código del programa, la siguiente será la "1", la "-1" será una posición atrás, etc ... La unidad básica de cada posición de memoria (o sea el contenido) es una instrucción (p.e.: MOV 0 1 ). En el ejemplo, la instrucción consta de una operación (MOV), una dirección de origen (0) y una de destino (1). En el ejemplo, MOV 0 1 copiaría el contenido de la posición de memoria "0", en este caso "MOV 0 1" a la posición "1", o sea, la siguiente posición, resumiendo, esta instrucción se copia a sí misma de una posición a otra en cada ejecución del programa. Y hablando de ejecución, MARS ejecuta sólo una instrucción DE CADA PROGRAMA en cada ciclo. Por ejemplo, si el programa A tiene una sola instrucción y el programa B tiene 3 instrucciones este sería el proceso de ejecución:

Ciclo 1: Instrucción 1 PROGRAMA A

Ciclo 2: Instrucción 1 PROGRAMA B

Ciclo 3: Instrucción 1 PROGRAMA A

Ciclo 4: Instrucción 2 PROGRAMA B

Ciclo 5: Instrucción 1 PROGRAMA A

Ciclo 6: Instrucción 3 PROGRAMA B

Vamos a ver un ejemplo de programa "CoreWar" (por cierto, a los programas se les suele llamar "guerreros"):

Guerrero "Trasgo" ó "Imp" (creo) (el más básico de todos):

MOV 0 1

Así de simple, es el de antes, simplemente se irá copiando en cada posición consecutiva de memoria hasta que logre eliminar al programa contrario.

´

Guerrero "Enano" ó "Dwarf":

ADD #4, 3

MOV 2, @2

JMP -2

DAT #0, #0

Este ya es más complejo, sólo comentar que cuando un número lleva delante el # quiere decir que hace referencia al número en sí, no al contenido de la dirección. En el ejemplo, ADD #4 , 3 implica sumar el número 4 al contenido de la posición de memoria 3, en nuestro caso al ser un DAT #0, #0 (DAT asigna el valor 0 al contenido de la misma posición de memoria), quedaría como DAT #0, #4 ... es un poco complejo al principio pero puedes ver una buena explicación en:

http://vyznev.net/corewar/guide.html

Voy a ver si pico a DuenD y a NOP para jugar de nuevo a las Core y publicaremos nuestros guerreros y nuestros resultados.

Sólo pretendo dar una pequeña guía de iniciación con este artículo, si el tema os parece interesante no dudéis en mandarnos un email o escribir algún comentario para ampliar el tema.

www.cyberhades.com

Defensa ¿personal?

Buenas a todos, es la primera vez que escribo en un BLOG, y como no, mis agradecimientos a Cybercaronte por esta oportunidad. Pero, centrémonos, creo que es necesario seguir muy de cerca esta noticia http://digital.telepolis.com/cgi-bin/reubica?id=470082&origen=EDTecnologia Toda mi atención, aunque sea por el rabillo de ojo esta dirigida a STORM, ahora resulta que el propio virus se defiende. La verdad es que empiezo a sentir esa extraña sensación que se sufre cuando mezclas una pizca de temor con otra de admiración hacia esas mentes privilegiadas y perversas para crear esta criatura, mas potente que 500 super-ordenadores… no sé lo que es eso, pero solo con saber que bloquea los ordenadores de los “expertos” que intentan conocer su funcionamiento, da miedo. Creo que habrá que comenzar a hacer ciertas similitudes con filmes del estilo “Matrix”, o … quien sabe… ¿Tron? En definitiva, que el ranking va subiendo, y cada vez mas. Salu2 a to2