Prácticamente unas horas es lo que se ha tardado en dar luz verde al primer “cable” con el que Anonymous oficializa AnonLeaks, una especie de WikiLeaks creada por el grupo de activistas que os comentábamos ayer. De los correos electrónicos publicados ayer se filtra que HBGary se encontraba en fase de desarrollo de un nuevo tipo de rootkit para Windows, indetectable y casi imposible de eliminar en el sistema operativo.

Para aquellos que no lo sepan, cuando hablamos de rootkit hablamos de herramientas que pueden realizar tareas de espionaje en programas, claves, archivos o directorios. Permiten la intrusión y el acceso a un sistema de manera remota, pudiendo ejecutar o conseguir información. Aunque existen rootkits para varios sistemas operativos, en este caso el proyecto iba destinado a una herramienta avanzada en Windows.

En esta trama que se destapa estarían implicadas HBGary, la empresa de seguridad, y Farallon Research, una empresa privada contratista del gobierno norteamericano que desde su sitio web no ofrece demasiada información. Poco más que un intrigante eslogan con el que se anuncian y que ofrece muchas sombras sobre la actividad de Farallon. Desde la página se puede leer:

La misión de Farallon Research es conectar las tecnologías avanzadas comerciales y las empresas que las desarrollen con los requisitos del gobierno de Estados Unidos

De los correos obtenidos, encontramos algunas señas de identidad del “proyecto Magenta” y su funcionamiento. HBGary habla de un rootkit multi-contexto en el que Magenta sería un lenguaje puro 100% implementado en el rootkit. El proyecto se inyecta en la memoria del Kernel a través de DriverEntry, como carga parcial. Una vez cargado en la memoria del Kernel, Magenta automáticamente identifica un proceso activo o contexto a sí mismo a través de la inyección en APC. En ese momento el cuerpo del rootkit (Magenta) se ejecuta. Al finalizar cada activación de APC, el “rootkit magenta” se mudará a una nueva ubicación en la memoria e identificará uno o más procedimientos nuevos de activación.

Lo que hace este rootkit es buscar y ejecutar comandos incrustados y mensajes de control buscando en cualquier parte donde pueda existir en la memoria física del host comprometido. Sus características como herramienta avanzada serían:

• Nuevo tipo de rootkic (ninguno parecido hasta ahora)
• Extremadamente pequeño como huella en la memoria (4K)
• Prácticamente imposible de eliminar en un sistema que se encuentre ejecutando

Los últimos envíos de correos por parte de HBGary hablaban de dos fases de contrucción en Magenta. Una primer prototipo totalmente funcional para Windows XP SP3 que les permitiría desarrollar la segunda fase, enfocada en un rootkit Magenta para las versiones de Windows actuales.

Una vez que ha salido a la luz este proyecto, no se sabe si aún continuará o finalmente lo dejan de lado. Pero como podemos ver, HBGary trataba no sólo de reforzar el área de investigación en seguridad, sino ampliar el modelo hacia posibles ataques vía rootkit, con los que se podría llegar a implicar sobre una acción a los dueños de una IP sin saberlo. Quizá aquí tenemos unas de las razones de la existencia de AnonLeaks.