Questão 2624257

• Banca: CESPE / CEBRASPE
• Órgão: ABIN
• Ano: 2018
• Provas: CESPE - 2018 - ABIN - Oficial de Inteligência - Área 4
• Disciplina: Segurança da Informação
• Assuntos: Ataques e ameaças; Segurança na Internet

Julgue o item seguinte, a respeito da análise de artefatos maliciosos.

Situação hipotética: Na realização de um monitoramento com a utilização do Internet Explorer, observou-se que:

I ao iniciar uma sessão em determinado sítio, um processo no sistema operacional foi iniciado, faltando uma DLL para a aplicação X;

II o processo ligado à sessão foi iniciado na pasta c:\xyz\;

III ainda com a sessão ativa, observou-se que a DLL foi carregada a partir da pasta c:\xyz\ e a sessão foi interrompida;

IV no reinício do sistema operacional, a aplicação X foi carregada com a DLL em %SystemRoot%/System32, a mesma que se encontrava na pasta c:\xyz\.

Assertiva: A situação hipotética descreve um ataque DLL hijacking de acordo com III e IV, principalmente pela interrupção, entretanto, é descaracterizado, pois vai de encontro ao que foi descrito em I e II, porque a DLL precisa estar presente antes do início da sessão e, se foi carregada em %SystemRoot%/System32, é confiável e imune a ataques desse tipo.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• no ítem 4 é um ataque bootloader...

  As assertivas 1, 2 e 3 tem ligação ao session hijacking (em português sequestro de sessão, algumas vezes também conhecido como sequestro de cookie) que é a exploração de uma sessão de computador válida, às vezes também chamada de uma chave de sessão - para obter acesso não autorizado a informações ou serviços em um sistema de computador.[1] Particularmente é utilizado para se referir ao roubo de um cookie mágico utilizado para autenticar um usuário em um servidor remoto. Ele tem particular relevância para os desenvolvedores web, quando os cookies HTTP usados ​​para manter uma sessão em vários sites web podem ser facilmente roubados por um atacante (cracker) usando um computador intermediário ou com acesso aos cookies guardados no computador da vítima

• Gabarito Errado

  A técnica DLL Hijacking tem por objetivo injetar um código malicioso em uma DLL, de modo que quando um software que necessite da DLL infectada for invocado junto com o carregamento das legítimas instruções da DLL, o código malicioso também será executado. (Se quiser conhecer mais a fundo: Exploração DLL Hijacking)

  Ameaça:

  Aí é que mora o perigo. É importante observar que os programas executados no Windows fazem uso de DLLs para seu correto funcionamento. Esses arquivos armazenam grupos de funções compartilhadas que padronizam e facilitam o desenvolvimento de softwares, pois reduz a quantidade de código a ser escrito pelo programador. Em contrapartida os tornam dependentes de determinadas DLLs para sua execução.

  Abaixo segue uma lista de DLL’s vulneráveis e seus respectivos softwares:
  http://www.exploit-db.com/dll-hijacking-vulnerable-applications/

  Prevenção:

  Ainda não há uma completa solução para prevenir esta técnica de ataque, mas recomendamos as seguintes ações:

  Sempre utilizar a última versão de softwares e aplicar todas as atualizações e ter certeza que as atualizações estão sendo fornecidas pelo fabricante e não por alguma entidade falsa

  Executar varreduras de vulnerabilidades em suas estações e servidores a fim de garantir que não existam software vulneráveis e/ou desatualizados instalados.

  Adotar uma solução de integridade de arquivos (SIV – Tripwire, por exemplo)

   

   

  "Retroceder Nunca Render-se Jamais !"
  Força e Fé !
  Fortuna Audaces Sequitur !

• A DDL foi carregada a partir da pasta da aplicação em função do comportamento padrão do Windows - é assim mesmo. O mecanismo do windows busca as dlls dentro da pasta em que o executável está. Ocorre que naquela pasta poderá estar uma ddl com "funções adicionais" e outras palavras com funções perversas.

   

  Um problema da questão está em afirmar que a dll precisa estar presente antes do início da sessão. Sabe-se que a carga de DLLs pode ocorrer estaticamente (durante compilação), dinamicamente (durante o loader em memória) ou em tempo de execução (quando o código executável utiliza funções específicas para carregar ddls em execução  - LoadLibrary e GetProcAddress).

   

  Outro problema é afirmar que uma vez que a DDL está sendo executada a partir da %SystemRoot%/System32 é confiável - não há como garantir isso. 

   

• ...é confiável...

   

  ai é osso!! 

  nem vindo de mamae é possível garantir isso na informática

• "imune a ataques" foi o que me fez acertar a questão, mas nem sei o que é DLL.

  "Dynamic-link library ou DLL, é a implementação feita pela Microsoft para o conceito de bibliotecas compartilhadas nos sistemas operacionais Microsoft Windows e OS/2. Essas bibliotecas geralmente tem as extensões DLL, OCX, ou DRV. Os formatos de arquivos para DLL são os mesmos dos arquivos executáveis para Windows." (Wikipedia)

  Agora eu sei.

• NÃO CONSIGO VER UM ATAQUE DDL HIJACKING NESSA QUESTÃO.

• ABIN como sempre nivelando por cima.