Defending against cybercrime: advances in the detection of malicious servers and the analysis of client-side vulnerabilities

Esta tesis se centra en el análisis de dos aspectos complementarios de la ciberdelincuencia (es decir, el crimen perpetrado a través de la red para ganar dinero). Estos dos aspectos son las máquinas infectadas utilizadas para obtener beneficios económicos de la delincuencia a través de diferentes acciones (como por ejemplo, clickfraud, DDoS, correo no deseado) y la infraestructura de servidores utilizados para gestionar estas máquinas (por ejemplo, C & C, servidores explotadores, servidores de monetización, redirectores). En la primera parte se investiga la exposición a las amenazas de los ordenadores victimas. Para realizar este análisis hemos utilizado los metadatos contenidos en WINE-BR conjunto de datos de Symantec. Este conjunto de datos contiene metadatos de instalación de ficheros ejecutables (por ejemplo, hash del fichero, su editor, fecha de instalación, nombre del fichero, la versión del fichero) proveniente de 8,4 millones de usuarios de Windows. Hemos asociado estos metadatos con las vulnerabilidades en el National Vulnerability Database (NVD) y en el Opens Sourced Vulnerability Database (OSVDB) con el fin de realizar un seguimiento de la decadencia de la vulnerabilidad en el tiempo y observar la rapidez de los usuarios a remiendar sus sistemas y, por tanto, su exposición a posibles ataques. Hemos identificado 3 factores que pueden influir en la actividad de parches de ordenadores victimas: código compartido, el tipo de usuario, exploits. Presentamos 2 nuevos ataques contra el código compartido y un análisis de cómo el conocimiento usuarios y la disponibilidad de exploit influyen en la actividad de aplicación de parches. Para las 80 vulnerabilidades en nuestra base de datos que afectan código compartido entre dos aplicaciones, el tiempo entre el parche libera en las diferentes aplicaciones es hasta 118 das (con una mediana de 11 das) En la segunda parte se proponen nuevas técnicas de sondeo activos para detectar y analizar las infraestructuras de servidores maliciosos. Aprovechamos técnicas de sondaje activo, para detectar servidores maliciosos en el internet. Empezamos con el análisis y la detección de operaciones de servidores explotadores. Como una operación identificamos los servidores que son controlados por las mismas personas y, posiblemente, participan en la misma campaña de infección. Hemos analizado un total de 500 servidores explotadores durante un período de 1 año, donde 2/3 de las operaciones tenían un único servidor y 1/2 por varios servidores. Hemos desarrollado la técnica para detectar servidores explotadores a diferentes tipologías de servidores, (por ejemplo, C & C, servidores de monetización, redirectores) y hemos logrado escala de Internet de sondeo para las distintas categorías de servidores maliciosos. Estas nuevas técnicas se han incorporado en una nueva herramienta llamada CyberProbe. Para detectar estos servidores hemos desarrollado una novedosa técnica llamada Adversarial Fingerprint Generation, que es una metodología para generar un modelo único de solicitud-respuesta para identificar la familia de servidores (es decir, el tipo y la operación que el servidor apartenece). A partir de una fichero de malware y un servidor activo de una determinada familia, CyberProbe puede generar un fingerprint válido para detectar todos los servidores vivos de esa familia. Hemos realizado 11 exploraciones en todo el Internet detectando 151 servidores maliciosos, de estos 151 servidores 75% son desconocidos a bases de datos publicas de servidores maliciosos. Otra cuestión que se plantea mientras se hace la detección de servidores maliciosos es que algunos de estos servidores podrán estar ocultos detrás de un proxy inverso silente. Para identificar la prevalencia de esta configuración de red y mejorar el capacidades de CyberProbe hemos desarrollado RevProbe una nueva herramienta a través del aprovechamiento de leakages en la configuración de la Web proxies inversa puede detectar proxies inversos. RevProbe identifica que el 16% de direcciones IP maliciosas activas analizadas corresponden a proxies inversos, que el 92% de ellos son silenciosos en comparación con 55% para los proxies inversos benignos, y que son utilizado principalmente para equilibrio de carga a través de múltiples servidores. ABSTRACT In this dissertation we investigate two fundamental aspects of cybercrime: the infection of machines used to monetize the crime and the malicious server infrastructures that are used to manage the infected machines. In the first part of this dissertation, we analyze how fast software vendors apply patches to secure client applications, identifying shared code as an important factor in patch deployment. Shared code is code present in multiple programs. When a vulnerability affects shared code the usual linear vulnerability life cycle is not anymore effective to describe how the patch deployment takes place. In this work we show which are the consequences of shared code vulnerabilities and we demonstrate two novel attacks that can be used to exploit this condition. In the second part of this dissertation we analyze malicious server infrastructures, our contributions are: a technique to cluster exploit server operations, a tool named CyberProbe to perform large scale detection of different malicious servers categories, and RevProbe a tool that detects silent reverse proxies. We start by identifying exploit server operations, that are, exploit servers managed by the same people. We investigate a total of 500 exploit servers over a period of more 13 months. We have collected malware from these servers and all the metadata related to the communication with the servers. Thanks to this metadata we have extracted different features to group together servers managed by the same entity (i.e., exploit server operation), we have discovered that 2/3 of the operations have a single server while 1/3 have multiple servers. Next, we present CyberProbe a tool that detects different malicious server types through a novel technique called adversarial fingerprint generation (AFG). The idea behind CyberProbe’s AFG is to run some piece of malware and observe its network communication towards malicious servers. Then it replays this communication to the malicious server and outputs a fingerprint (i.e. a port selection function, a probe generation function and a signature generation function). Once the fingerprint is generated CyberProbe scans the Internet with the fingerprint and finds all the servers of a given family. We have performed a total of 11 Internet wide scans finding 151 new servers starting with 15 seed servers. This gives to CyberProbe a 10 times amplification factor. Moreover we have compared CyberProbe with existing blacklists on the internet finding that only 40% of the server detected by CyberProbe were listed. To enhance the capabilities of CyberProbe we have developed RevProbe, a reverse proxy detection tool that can be integrated with CyberProbe to allow precise detection of silent reverse proxies used to hide malicious servers. RevProbe leverages leakage based detection techniques to detect if a malicious server is hidden behind a silent reverse proxy and the infrastructure of servers behind it. At the core of RevProbe is the analysis of differences in the traffic by interacting with a remote server.

Lo intermedio como lugar : lo intersticial, lo fronterizo y lo impreciso en la arquitectura contemporánea

1. Nuestra investigación se centra en el estudio de los “ámbitos o espacios intermedios” en momentos de la arquitectura contemporánea, en un período de transición entre finales de los años 80 y nuestros días. Pretendemos analizar cómo se presenta el ámbito intermedio en el objeto o lugar arquitectónico y su función o relación con el entorno cercano, desde el proyecto hasta su repercusión en la experiencia vivida. 2. El concepto de intermedio entendido como ámbito o espacio intersticial, fronterizo y ambivalente (o multivalente), atraviesa en la presente investigación el campo de la etimología, de la ciencia, del pensamiento y del arte, para detenerse en la arquitectura actual, llevándose a cabo una indagación concreta en el proceso de concepción, en la propuesta formal, espacial y funcional, así como en la percepción y demás experiencias o vivencias en el lugar arquitectónico. 3. En primer lugar nos proponemos estudiar y explorar el concepto de “intermedio” en sus características, funciones y ubicaciones dentro de la cultura contemporánea, detectando sus antecedentes culturales más importantes, para a continuación aplicarlo reflexivamente a obras significativas de arquitectura. La investigación se enfoca en la modalidad figural (imprecisa) de lo intermedio (en alusión al “figural” deleuziano), cuyas metáforas base son lo translúcido, la penumbra y la espuma, vinculadas al actual paradigma cultural de la complejidad (C. Jencks). A continuación se analizan las relaciones o implicaciones de dicha modalidad figural en obras de arquitectos como Eisenman, Holl, Tschumi, Ito, Fujimoto, Van Berkel y Bos, y Siza, comprobando su valor operativo y poniendo de manifiesto su sentido e importancia en la actualidad y en la disciplina. El estudio tiene como trasfondo el concepto de in-between de la obra de Eisenman, y utiliza conceptos de la filosofía del límite de Trías como algunos de sus principales fundamentos. 4. En cada una de las obras de arquitectura presentadas esta modalidad imprecisa se traduce en un ámbito o espacio intermedio figural específico. Son obras en las que real y virtual, matricial y objetual, arquitectura y territorio, existente y nuevo, colectivo e individual, social e íntimo, interior y exterior, y demás usos y funciones se entrelazan o funden. Son arquitecturas cuya geometría ya no se encuentra tan determinada por aspectos bi o tridimensionales del dibujo o de la construcción. A través de la manipulación de estas geometrías más o menos complejas, dinámicas e intersticiales, estas obras reflejan (o intuyen) las premisas del actual Zeitgeist: un cambio de esquemas de objetos a relaciones basado en un pensamiento más holístico, transdisciplinar, sistémico o complejo (E. Morin), y una nueva conciencia colectiva sobre la realidad que anuncia la crisis de la percepción, el cambio de paradigma y nuevos valores (F. Capra). Emerge otra forma de sentir y percibir el mundo, los lugares y los espacios, que poco a poco está cambiando el modo de pensar y dibujar la arquitectura, y consecuentemente de interaccionar con ella. 5. El sentido del espacio intermedio figural, emerge en las cada vez más complejas cualidades morfológico-espaciales y funcionales de una parte importante de la arquitectura actual. Arquitectura, geometría y tecnología informática están más entrelazadas que nunca, y de un modo más libre, para así poder indagar en nuevas formas de pensar y crear lugares en que los “espacios intermedios” que investigamos son un testimonio. El espacio arquitectónico se vuelve afectivo e interactivo, un lugar intermedio figural, formalizado por espacialidades intersticiales que parecen aludir a lo líquido, donde la forma es más matriz que configuración, el espacio más espacialidad que compartimiento, la función más versátil y multivalente que específica o autónoma, y la perplejidad, la imaginación y la evocación se entrecruzan y vuelven patentes. 6. La arquitectura de los lugares intermedios valora no solamente el “plano”, la “configuración” y la “transparencia”, sino sobre todo el “espacio” y la “relación” en sus interrelaciones con los usuarios y demás contextos. De la identidad a la relacionalidad, de la representación a la presentación, es una arquitectura que propone “otros espacios” que más que espacios son topografías y espacialidades intersticiales, de tensión, transición, transformación, relación, intercambio e interacción. Son lugares intermedios reales y virtuales, que se sirven tanto de la morfología como de la topología para conquistar nuevas espacialidades, pretendiendo salir de la estricta operación de “forming”/”morphing”/formación/”conformación” para explorar la de “spacing”/espaciamiento. Son lugares que se basan en conceptos como la zona de indiscernibilidad de Deleuze, la imagen- flujo de Buci-Glucksmann, la suspensión-entre de Sloterdijk, o el espacio no-objetivo al que se refiere José Gil, plasmándose en la arquitectura contemporánea como tropos de lo intersticial. 7. Son los lugares intermedios de la arquitectura actual, de espacialidad háptica, más “afectiva”, generativa e interactiva, donde ese ámbito intermedio transforma y es transformado, “afecta”, “con-mueve” (nos hace mover/accionar) y evoca otros lugares, otras posibilidades de espacio habitable u ocupable. Emerge lo intermedio como lugar, algo que anuncia y exhibe, de manera paradigmática y manifiesta, el monumento de Eisenman en Berlín. ABSTRACT 1. Our research focuses on the study of “in-between spaces or environments” at particular times in contemporary architecture, in a transition period from the end of the 1980’s through to today. We aim to analyse how in-between environments are presented in the architectural object or place and their function or their relationship with the nearby surroundings, from the project through to the experience had. 2. In this research, the in-between concept, understood as an interstitial, border and ambivalent (or multi-purpose) environment or space, is assessed from the viewpoint of etymology, science, thought and art, to conclude in current architecture, with specific exploration of the conception process, of the formal, spatial and functional proposal, together with the perception and other experiences in the architectural place. 3. Firstly, we aim to study and explore the “in-between” concept as regards its features, functions and locations within contemporary culture, revealing its most important cultural background, to then apply it reflexively to important works of architecture. The research focuses on the figural (imprecise) mode of in-between (in allusion to Deleuze’s “figural” approach) whose base metaphors are the translucent, semi-darkness and foam, linked to the current cultural paradigm of complexity (C. Jenks). We then go on to assess the relationships or implications of said figural mode in architectural works by Eisenman, Holl, Tschumi, Ito, Fujimoto, Van Berkel and Bos, and Siza, verifying their operational worth and revealing their meaning and importance today and in this discipline. The backdrop of the study is the in-between concept of Eisenman’s work and it also uses concepts from the philosophy of the limit of Trías as its main underpinnings. 4. In each of the architectural works presented, this imprecise mode is translated into a specific in-between environment or space. They are works in which real and virtual, matricial and objectual, architecture and territory, existing and new, collective and individual, social and intimate, interior and exterior and other uses and functions all intertwine or blend together. They are architectures the geometry of which is not so much determined by bi- or tri-dimensional aspects of the drawing or construction. Through the manipulation of these more or less complex, dynamic and interstitial geometries, these works reflect (or insinuate) the premises of the current Zeitgeist: A change in the scheme of objects to relationships towards a more holistic, transdisciplinary, systemic or complex thought (E. Morin), and a new collective conscience about the reality which announces the crisis of perception, the change in paradigm and new values (F. Capra). Another way of feeling and perceiving the world, places and spaces, which little by little is changing the way of thinking and drawing architecture and hence of interacting with it. 5. The meaning of figural in-between space emerges in the increasingly complex, morphological-spatial and functional qualities of a large part of architecture today. Architecture, geometry and computer technology are more than ever intertwined in a freer way to inquire into other ways of thinking and making places, where the “in-between” spaces we research are a testimony. Architectural space becomes affective and interactive, a figural in-between place, formed by interstitial spatiality which seems to allude to something liquid, where shape is more matrix than configuration, space more spatiality than compartment, its function more versatile and multi-purpose than specific or autonomous, and perplexity, imagination and evocation criss-cross each other, becoming obvious. 6. The architecture of in-between places values not only “flat”, “configuration” and “transparency”, but above all “space” and the “relationship” in its interrelations with users and other contexts. From identity to relationality, from representation to presentation, it is an architecture that proposes “other spaces”, which more than spaces are topographies and interstitial spatialities, of tension, transition, transformation, relation, exchange and interaction. They are real and virtual in-between places, that take in both morphology and topology to conquer new spatialities, aiming to depart from the strict “forming”/”morphing” operation in order to explore “spacing”. They are places that derive both from Deleuze’s indiscernibility zone concept, from Buci-Glucksmann´s image-flow concept, from Sloterdijk’s suspension-between, and from the non-objective space referred to by José Gil, and they are embodied in contemporary architecture as tropes of the interstitial. 7. They are the in-between places in architecture today, of haptic spatiality, more “affective”, generative and interactive, where that in-between environment transforms and is transformed, “affects”, “moves” (it makes us move/act) and evokes other places, other possibilities of habitable or occupiable space. The in-between emerges as a place, which paradigmatically and declaredly, Eisenman´s monument in Berlin announces and exhibits. RESUMO 1. A investigação centra-se no estudo dos “âmbitos ou espaços intermédios” em momentos da arquitectura contemporânea, no período de transição entre os finais dos anos 80 e os nossos dias. Pretende-se analisar como se apresenta o âmbito intermédio no objecto ou lugar arquitectónico e sua função ou relação com o meio envolvente, desde o projecto até à sua repercussão na experiencia vivenciada. 2. O conceito de intermédio entendido como âmbito ou espaço intersticial, fronteiriço e ambivalente (ou multivalente), atravessa na presente investigação o campo da etimologia, da ciência, do pensamento e da arte, para deter-se na arquitectura actual, realizando-se uma indagação concreta no processo de concepção, na proposta formal, espacial e funcional, assim como na percepção e demais experiencias ou vivencias no lugar arquitectónico. 3. Em primeiro lugar, explora-se o conceito de “intermédio” nas suas características, funções e concretizações na cultura contemporânea, detectando os seus antecedentes culturais mais importantes, para em seguida aplicá-lo reflexivamente a obras significativas de arquitectura. A investigação centra-se na modalidade figural (imprecisa) do intermédio (alusão ao figural deleuziano) cujas metáforas base são o translúcido, a penumbra e a espuma, relacionadas com o actual paradigma da complexidade (C. Jencks). Em seguida analisam-se as relações ou implicações da referida modalidade figural em obras de arquitectos como Eisenman, Holl, Tschumi, Ito, Fujimoto, Van Berkel e Bos, e Siza, como modo de comprovar o seu valor operativo e revelar o seu sentido e importância na actualidade e na disciplina. O estudo tem como referencia o conceito de in-between da obra de Eisenman, e utiliza conceitos da filosofia do limite de Trias como alguns dos seus principais fundamentos. 4. Em cada uma das obras de arquitectura apresentadas esta modalidade imprecisa traduz-se num âmbito ou espaço intermédia figural especifico. São obras nas quais real e virtual, matricial e objectual, arquitectura e território, existente e novo, colectivo e individual, social e intimo, interior e exterior, e outros usos e funções se entrelaçam ou fundem. São arquitecturas cuja geometria já não está tão determinada por aspectos bi ou tridimensionais do desenho ou da construção. Através do uso destas geometrias mais ou menos complexas, dinâmicas e intersticiais, estas obras reflectem (ou intuem) as premissas do actual zeitgeist: uma mudança de esquemas de objectos a relações para um pensamento mais holístico, transdisciplinar, sistémico ou complexo (E. Morin) e uma nova consciência colectiva sobre a realidade, que anuncia a crise da percepção, a mudança de paradigma e novos valores (F. Capra). Emerge uma outra forma de sentir e perceber o mundo, os lugares e os espaços, que gradualmente vai alterando o modo de pensar e desenhar a arquitectura, e consequentemente de interagir com ela. 5. O sentido do espaço intermédio figural, emerge nas cada vez mais complexas qualidades morfológico-espaciais e funcionais de uma parte importante da arquitectura actual. Cada vez mais, arquitectura, geometria e tecnologia informática, relacionam-se de um modo mais livre para indagar outras formas de pensar e fazer lugares, onde os espaços intermédios que investigamos são um testemunho. O espaço arquitectónico torna-se afectivo e interactivo, um lugar intermédio figural, formalizado por espacialidades intersticiais que parecem aludir ao estado liquido, onde a forma é mais matriz que configuração, o espaço mais espacialidade que compartimento, a função mais versátil e multivalente que especifica ou autónoma, e a perplexidade, a imaginação e a evocação entrecruzam-se e tornam-se patentes. 6. A arquitectura dos lugares intermédios valoriza não só o “plano”, a “configuração” e a “transparência”, mas sobretudo o” espaço” e a ”relação” nas suas inter-relações com os utentes e restante contextos. Da identidade à relacionalidade, da representação à apresentação, é uma arquitectura que propõe “outros espaços”, que além de espaços são topografias e espacialidades intersticiais, de tensão, transição, transformação, relação, intercambio e interacção. São lugares intermédios reais e virtuais que utilizam tanto a morfologia como a topologia para conquistar novas espacialidades, pretendendo ultrapassar a estrita operação de “forming”/“morphing”/formação para explorar a de “spacing”/espaçamento. São lugares que se apoiam tanto no conceito de zona de indescernibilidade de Deleuze, como na de imagem-fluxo de Buci-Glucksmann como no de suspensão–entre de Sloterdijk ou de espaço-não objectivo que refere José Gil, e se plasmam na arquitectura contemporânea como tropos do intersticial. 7. São os lugares intermédios da arquitectura actual, de espacialidade háptica, mais “afectiva”, generativa e interactiva, onde esse âmbito intermédio transforma e é transformado, “afecta”, ”co-move “(nos faz mover/agir) e evoca outros lugares, outras possibilidades de espaço habitável ou ocupável. Emerge o intermédio como lugar que, paradigmática e manifestamente, o monumento de Eisenmann em Berlim, anuncia e exibe.

Situación y perspectivas del desarrollo de la informática en España

Reflexión sobre la situación de la programación informática en España. El autor concluye con optimismo, afirmando que si hace años podíamos decir que nuestro desarrollo estaba muy limitado hoy podemos contemplar con más optimismo nuestro futuro inmediato. Aunque reconoce que aún queda mucho, muchísimo por hacer, y que es labor de todos. De los sectores financieros, de las empresas públicas, y de la Universidad y Centros de Investigación.

Plataformas de ejercicios de ciberseguridad

El objetivo principal de este proyecto es estudiar, desde un punto de vista práctico, las posibilidades que ofrece la plataforma de ejercicios de ciberseguridad propuesta por la Universidad de Rhode Island en Estado Unidos, denominada Open Cyber Challenge Platform (OCCP); para ello primero nos ubicaremos dentro del campo de la ciberseguridad, estudiando porqué este área está tomando tanta relevancia, observando datos de estudios reales realizados por instituciones de prestigio, al mismo tiempo estudiaremos la tendencia actual y futura de los ciberataques. Seguidamente, analizaremos el estado del arte de la enseñanza en ciberseguridad y como se está enfocando por parte de las universidades y empresas más importantes en el sector. En esta parte del sector se está imponiendo una novedosa forma para desarrollar el aprendizaje tanto práctico como teórico basada en simular situaciones reales mediante escenarios virtuales. Una vez vistas otras opciones, nos centraremos en OCCP, podremos estudiar el estado de desarrollo de esta plataforma, la situación actual y las principales características. Además detallaremos el primer escenario propuesto por ellos mismos, estudiando los principales componentes, la topología de la red virtual de la empresa virtualizada, los principales ficheros de configuración, e incluso la montaremos y ejecutaremos y podremos observar como el equipo rojo ataca el servidor web de la empresa que lo tiene que proteger el equipo azul y consigue que la web deje de funcionar. También incluiremos una guía de instalación del escenario para que el lector pueda probar con su propio ordenador las posibilidades de esta plataforma. VirtualBox es un programa gratuito de virtualización perteneciente a la empresa Oracle. Más adelante estudiaremos este programa centrándonos en el servicio web ofrecido por VirtualBox ya que es utilizado por la plataforma Open Cyber Challenge Platform como virtualizador o hipervisor. Podremos ver como suelen funcionar los servicios web de este tipo en general y después nos centraremos principalmente en el archivo descriptivo de las interfaces que ofrece esta plataforma. Finalmente, resumiremos los resultados y conclusiones proponiendo un trabajo futuro ya que como hemos dicho esta plataforma está en estado de desarrollo y seguramente al final de la lectura del proyecto incluso el lector se haya podido percatar del potencial tan elevado que tiene una plataforma de este estilo. ABSTRACT. The main objective of this project is to study, from a practical standpoint the possibilities offered by the cybersecurity exercises platform proposed by the University of Rhode Island in United States, called Cyber Challenge Open Platform (OCCP); therefore we will place first in the field of cybersecurity, studying why this area is taking so much relevance, watching real data studies by prestigious institutions and the current and future trend of cyber-attacks. Then, we will discuss the state of the art of teaching cybersecurity and how universities and major companies in the sector are focusing to reach the aims among students or workers. In this part of the sector it is increasing the popularity of a new way to develop both practical and theoretical learning based on simulating real situations through virtual scenarios. Once seen other options, we will focus on OCCP, we can study the state of development of this platform, the current situation and main characteristics. In addition we will detail the first proposed scenario by the very own university, studying the main components, the topology of the virtual network virtualized enterprise, the main configuration files, and even we would mount and execute it. We will see how the red team attacks the web server of the company and get it thrown out. At the same time the blue team will have to protect it. We will also include an installation guide of the scenario so that the reader can test in their own computer the possibilities of this tool. VirtualBox is a free virtualization program belonging to the Oracle enterprise. Later on we will study this program focusing on the web service provided by VirtualBox because it is used by the Open Cyber Challenge Platform like hypervisor. We will see how this kind of web services work and then we will focus mainly on the descriptive file of the interfaces provided by this tool. Finally we summarize the results and conclusions proposing a future work since as we have said this platform is in the development stage and certainly at the end of reading the project even the reader may have realized of such high potential as would have a tool of this kind.