viry.cz

Reklama

Poslední příspěvky

Stuxnet, Duqu a záplaty Microsoftu

13.12.2011 Přímý odkaz Komentáře (2)

Microsoft vydal pravidelný balík bezpečnostních záplat, mezi kterými figuruje i záplata, kterou popisují v Bulletinu MS11-087. Záplaty pochopitelně "záplatují" známé chyby v programech. Právě chyba související s touto záplatou je zajímavá tím, že ji již od října 2011 zneužívá havěť s názvem Duqu. Takové úmyslné zneužití chyby se odborně nazývá jako zero-day exploit (tj. útočník objevil chybu a neexistuje k ní oficiální záplata).

Havěť Duqu je podobnou záhadou jako červ Stuxnet. Obě srajdy jsou podepsány důvěryhodným a ukradeným certifikátem, tudíž Windows nemají problém s nedůvěryhodností spouštěného infikovaného souboru, obě zneužívaly v té době neznámou chybu v operačním systému a obě se v podstatě nezajímají o běžné uživatele - útoky jsou totiž přesně cílené. Především v případě Stuxnet tak mohl na tohoto červa narazit i běžný uživatel na USB flash disku. Přes PC uživatele se sice snažil šířit dále na další přenosná média, nicméně o data uživatele zájem neměl. Jeho specializace byla velice úzká, jak plyne i z níže uvedeného textu, jenž jsem si dovoli přebrat z wikipedie. Šíření přes USB flash disky může připomínat zastaralou metodu šíření havěti po disketách, nicméně není ideálnějšího kanálu, jak se dostat například do vnitřní oddělené sítě nějaké té jaderné elektrárny či sítě pro ovládání bezpilotních letounů. Laicky řečeno: všude jsou lidé, kteří si chtějí zahrát hry a pokud nemají ve vnitřní síti přístup na internet, dotáhnou si tam hru alespoň na "flešce" :-)

Červ Stuxnet a Duqu podrobněji (zdroj wiki):

Stuxnet je také neobvyklý svou značnou velikostí půl megabajtu a tím, že je programován v několika různých programovacích jazycích (včetně C a C++).

Červ testoval, zda se nachází na počítači, na kterém je nainstalován řídicí software Siemens (WinCC, Step7), ze kterého jsou sledovány specifické automaty (S7-300) s připojenými moduly (CP-342-5) pro řízení frekvenčních měničů. V takových případech červ upravil software PLC, tak aby docházelo k opakované změně výstupní frekvence měničů. Aby zamaskoval svoji činnost, podstrčil do Step7 své DLL knihovny tak, aby uživatel infikovaného počítače měl pocit, že v PLC se nachází původní nepoškozený software.

Součástí Stuxnetu byla i funkce pro připojení ke vzdálenému internetovému serveru, aby od něj červ přijal další příkazy a mohl jej informovat o své činnosti.

Cílem útoku byla pravděpodobně jaderná elektrárna Búšehr, či ještě spíše závod na obohacování uranu v Natanzu, obojí v Íránu. Útoku na Írán odpovídá i to, že z 45 000 (jak uvedl Microsoft v srpnu 2010) napadených počítačů leží 60 % v Íránu, 18 % v Indonésii a 8 % v Indii (podle firmy Symantec). Snížení počtu funkčních centrifug v Natanzu na počátku roku 2009 by mohl být projev Stuxnetu.

Celková sofistikovanost viru vede experty k domněnce, že se jedná o profesionální práci s největší pravděpodobností armádního původu. Izrael, pravděpodobně prostřednictvím Jednotky 8200, je podle mnoha mediálních zpráv spekulovaným výrobcem viru, tento názor zastává také expert Richard A. Falkenrath, bývalý pracovník Ministerstva vnitřní bezpečnosti Spojených států amerických. V říjnu 2011 společnosti Symantec a McAfee informovaly, že objevily novou verzi viru podobnou Stuxnetu, označovanou jako DuQu nebo také Stuxnet 2.0. Ta používá ovladače a šifrované knihovny DLL s podobnou funkcionalitou jako Stuxnet, obdobné jsou rovněž použité šifrovací klíče. Hlavní rozdíl je v cílech útočníků. Ve srovnání se Stuxnetem není DuQu navržen za účelem sabotáže systémů řídících průmyslové procesy, ale především pro útoky na weby certifikačních autorit. Další cílem malwaru DuQu je špionáž – zejména krádeže duševního vlastnictví z informačních systémů průmyslových podniků.

Přidat komentář (nyní 2)

Pravda o havěti pro Apple MAC OS X

06.11.2011 Přímý odkaz Komentáře (7)

Toto je možná první novinka na viry.cz týkající se počítačů v jejichž logu je nakousnuté jablko.
Na internetu lze najít plno článků, diskuzí i reklamních videí, které naznačují a nebo rovnou informují o tom, že počítačová havěť je pouze záležitostí operačního systému Windows od společnosti Microsoft.

To však není pravda. Jedinou "záchranou" je pro MAC OS X od Applu zanedbatelný podíl na trhu oproti Microsoft Windows. Zatímco v Severní americe má MAC OS X nějakých 15% podílu, v Evropě jen něco málo přes 6%. A to vědí i kyberzločinci, kteří raději vývoj havěti soustředí na to, co využívá většina - Microsoft Windows. Tam totiž zcela jistě příjdou k větším penězům. Nicméně pokud se nějaká havěť pro MAC OS X objeví, obvykle to stojí za to. Napomáhá tomu jak samotná společnost Apple, tak následně i uživatelé přesvědčeni o dokonalé imunitě MAC OS X. Příkladem z minulosti budiž "MACDefender", falešný antivirus, jenž si do MAC počítačů nainstalovalo obrovské množství uživatelů. Stačilo aplikovat metodu zvanou "sociální inženýrství", tj. oblbnout uživatele. Pokud čtete viry.cz pravidelně, víte, že naprosto stejnou metodu využívá havěť i pro operační systém Microsoft Windows a funguje i tam. Celé to totiž není ani tak o operačním systému, ale o lidech. A mezi těmi, co používají Windows nebo MAC OS X není moc velký rozdíl. Dají se naprosto stejně napálit. Ti co používají MAC, ty možná ještě snadněji, díky falešnému pocitu bezpečí. Jak už bylo naznačeno, stačí se podívat třeba přímo na společnost Apple, konkrétně na jejich portál Apple Store pro nákup příslušenství a software. Kolik že tam mají k dispozici antivirů k zakoupení? Správná odpověď: minimálně a nebo ještě lépe - žádné (na českém store.apple.com je sekce "Zabezpečení" prázdná úplně). Pokud už nějaký na Apple Store v různých zemích naleznete, tak často bez známého slova "antivirus" v názvu (viz. například ESET Cybersecurity pro MAC). Mohlo by to přeci jenom ohrozit pověst dokonale bezpečného operačního systému a následně ovlivnit přesvědčení jeho uživatelů. Mimo Apple Store, přímo u výrobců antivirů, jich je pro změnu k dispozici hned několik a to hned od těch nejznámějších.

Skoro bych však zapomněl na původní záměr této novinky :-) Tím je informace o nové havěti pro MAC OS X, kterou například F-Secure antivirus chytá jako OSX/DevilRobber.A. O této informuji z důvodu, že obsahuje například i backdoor funkcionalitu, tudíž ani vykrádání citlivých údajů a jejich následné odesílání útočníkovi není již nic cizího ani na Applu.

Přidat komentář (nyní 7)

Konference Bezpečnosť a dostupnosť dát se blíží!

02.10.2011 Přímý odkaz Komentáře (3)

Konference "Bezpečnosť a dostupnosť dát", která proběhne v úterý 18. října v Bratislavě, se bude zabývat nejmodernějšími nástroji na ochranu dat a sítí. Oblast antivirusové a firewallové ochrany bude v programu hojně zastoupena, a to například v příspěvku společnosti ESET, Check Point nebo COMGUARD. V rámci přednášek proběhne také řada praktických ukázek.

Z dalších partnerů konference se budou prezentovat společnost AdvaICT, Red Hat a InterWay. Ve výstavní části akce se pak představí také společnosti Abacus a Zoner.

Podrobné informace,včetně kompletního programu konference "Bezpečnosť a dostupnosť dát" a registračního formuláře pro vstup zdarma, najdete na bdd.exponet.sk. Pro návštěvníky jsme i tento rok připravili anketu o atraktivní ceny.

Portál viry.cz je mediálním partnerem zmiňované konference.

Přidat komentář (nyní 3)

Ověření platební transakce přes PC i mobil? Ukrást peníze lze i tak!

15.09.2011 Přímý odkaz Komentáře (9)

Na chytrých telefonech s operačním systémem Android se začalo dařit trojanu Spitmo, který kooperuje s havětí přímo v PC s OS Windows. Spolu dohromady se pak dokážou postarat o získání kontroly nad bankovním účtem uživatele.

Celé to obvykle začíná na straně stolního počítače, či notebooku. Tam se hodně často najde nějaká zranitelná aplikace, díky které stačí, aby uživatel vstoupil na nesprávnou webovou stránku a bez jeho vědomí dojde ke spuštění škodlivého kódu a zavedení havěti do PC uživatele (nyní již oběti). Odborně stojí za takovým průnikem do PC tzv. exploit.

Havěť se pak postará o to, že pokud uživatel vstoupí na stránky svého internetového bankovnictví, tyto jsou upraveny takovým způsobem, aby uživatel získal dojem, že pro absolutní bezpečnost je vhodné doinstalovat speciální aplikaci i na jeho mobilní telefon s Androidem. Přitom je využita metoda sociálního inženýrství, tedy forma "oblbnutí" uživatele, která v dnešní době funguje zcela perfektně. Jakmile tomuto nesmyslu uživatel uvěří a doporučenou aplikaci pro Android stáhne a nainstaluje, zadělává si na opravdový problém. Aplikace totiž začíná monitorovat příchozí SMS zprávy a pomocí HTTP je odesílá na server útočníka. Pokud pak banka používá dvoufaktorovou autorizaci, kdy je nutné peněžní transakce či přihlášení do bankovnictví potvrdit i kódem (MTAN) z SMS zprávy, jsou peníze na účte v ohrožení. Havěť na PC může ukrást přihlašovací údaje a tato Android aplikace pak i potvrzovací kód, který zasílá banka. Útočník má tak vše potřebné pro vytunelování cizího účtu!

Spitmo přitom patří do balíku SpyEye, který se prvně objevil v roce 2009. Tehdy paradoxně začal svádět boj s detekcí ze strany antivirů, ale i boj s přímou konkurencí ZeuS, kterou likvidoval v případě, že již na PC uživatele běžela. ZeuS se taktéž specializoval na vykrádání přístupových údajů k bankovním účtům. Konkurence pominula na přelomu let 2010/11, kdy havěť ZeuS a SpyEye začala používat vzájemně kusy zdrojového kódu.

Již v minulosti existovala podobná havěť i na Symbian, nicméně tam je problém, že díky podpisům nelze nainstalovat jen tak libovolný program. I s tím si však útočníci poradili. Z uživatele vylákali IMEI kód mobilního telefonu (identifikační kód každého mobilu) a pak přímo pro něj vytvořili novou "instalačku" havěti. Digitální podpis pak obsahoval i IMEI telefonu uživatele, čemuž se již Symbian nebrání a instalaci povolí...

Zatím mi není známo, že by byl tento komplexní útok veden i na banky v ČR. Nicméně phishing nás již potkal a toto může být otázka času.

Přidat komentář (nyní 9)

Skrytá hrozba v názvech souborů

09.09.2011 Přímý odkaz Komentáře (10)

AVAST Software na svém blogu informuje o zajímavém triku s pojmenováním souborů. Trik souvisí s kódováním Unicode (UTF-8), což je "věc", která umožní korektně zobrazit v podstatě jakýkoliv znak různých abeced z celého světa. Tudíž i jiné znaky, než které jsou na typické české klávesnici. Unicode řeší i podporu pro jazyky, kde se čte zprava doleva (Arabština, Hebrejština...). Pro "přepnutí" do tohoto formátu je nutné použít netisknutelné znaky, které jsou hexadecimálně vyjádřeny jako E2 80 AE. Tudíž jak uvádí blog, uživatel například vidí soubor photo_D18727_Collexe.jpg (a očekává tak neškodný obrázek JPG), nicméně počítač ho bere jako spustitelný (a třeba i zavirovaný) EXE soubor. Po "photo_D18727_Coll" se prostě použijí výše uvedené netisknutelné znaky, které přepnou čtení z druhého konce. Tudíž z "počítačového" gpj.exe se stává "uživatelská" obrázková verze exe.jpg.

Pokud je tak potřeba zajistit, aby uživatel spustil zavirovaný spustitelný soubor, je toto velice dobrá metoda. Ten ho totiž na monitoru uvidí jako soubor se zcela nevinnou příponou obrázku, mp3, videa...

Přidat komentář (nyní 10)

Nové rychlostní testy antivirů

15.08.2011 Přímý odkaz Komentáře (9)

Server AV-Comparatives.org tentokrát nesrovnával schopnosti odhalovat havěť v podání jednotlivých antivirů, ale dopady antivirů na rychlost chodu PC.

Detailní výsledky lze najít v tomto anglickém PDF dokumentu

Dovolím si otisknout jen závěrečnou tabulku, kde je to seřazeno od nejrychlejšího antiviru po nejpomalejší. Pro dosažení nejvyšší kategorie ADVANCED+ bylo potřeba, aby antivirus ve většině testů nezpomalil počítač o více než 10% (při porovnání se stavem bez antiviru).

Na závěr ještě dodávám, že test se nekonal na žádné "šunce", ale rovnou na počítači s Intel Core 2 Duo E6400, 2 GB RAM, SATAII HDD a operačním systému Windows 7 Home Premium SP1 64-bit. Zmiňuji to z toho důvodu, že není šunka jako šunka. Historické stroje, které běží nesnesitelně pomalu i bez antiviru, tak speciálně u nich bych na některé favority tohoto testu rozhodně nesázel...

Přidat komentář (nyní 9)

GSM Locator, služba, která vypátrá mobilní telefon!

31.07.2011 Přímý odkaz Komentáře (10)

Po velice úspěšném podvodu šířícího se skrze Facebook (k předchozí novince přidány ještě obrázky onoho osudného chatu a napodobeniny YouTube v českém podání), tu máme další, tentokrát šířící se elektronickou poštou. Já narazil například na e-mail s tímto textem:

Kde se právě nachází Tvá manželka (dítě, zaměstnanci, přátelé)? http://saladspinner.biz/-chcete Organizace MGSL Technologies Vám představuje moderní verzi oblíbené aplikace Locator pro sítě GSM posledního pokolení, která umožňuje zjistit pozici mobilního telefonu od českých operátorů podle čísla a podle rádiového signálu, který vysílá bezdrátový telefon. Vždy budete vědět kam šli Vaši zaměstnanci (manžel, manželka, dítě). Hledání klienta zabere od 5 do 15 vteřin. Přesnost hledání klienta činí: pro město 15-22 metrů.

A jiný e-mail s tímto textem:

Kde se právě nachází Vaše manželka (přátelé, potomek)? http://newblowermotor.com/-se Firma GSML Technologies Vám představuje nejposlednější verzi oblíbené aplikace Locator pro sítě GSM posledního pokolení, která umožňuje najít pozici mobilního telefonu od českých operátorů podle telefonního čísla a podle rádiového signálu, který vysílá mobilní telefon. Kdykoli budete chtít budete vědět kde se nachází Vaši zaměstnanci (manželka/manžel/dítě). Hledání poloha člověka trvá od 4 do 20 vteřin. Přesnost zjištění polohy okolo: pro město 10-24 metrů.

Oba mají jedno společné, odkážou vás na stránku gsmlocator.net. Na uvedené stránce se nachází služba GSM Locator. Ta údajně dokáže na základě zadaného tel. čísla určit přesnou polohu mobilního telefonu, ke kterému se číslo váže. Aby ale služba poznala, že nejste nějaký automatizovaný systém, který službu zneužívá, ale opravdu skutečný zájemce o zjištění polohy, musíte zaslat autorizační kód prostřednictvím zprávy SMS. A to na číslo 9090179. Příjde vám pak jiný kód, který opíšete do formuláře na stránce gsmlocator.net a ta vám ukáže mapu s lokalitou mobilního telefonu (s přesností na několik metrů)...

Celé je to pochopitelně pěkná blbost a podvod. Na mapě se vám může zobrazit leda tak oblast republiky, která je přibližně určena podle IP adresy počítače (geoip). Nic se neděje, dokud nepošlete SMSku na číslo 9090179. Právě poslední dvoučíslí určuje cenu, kterou za odeslání SMSky zaplatíte. Každé zaslání SMSky tak stojí 79 Kč a jde o tzv. premium SMS číslo. Potřebného kódu se určitě po první odeslané SMS nedočkáte, protože vám můžou dorazit další, které se vás ptají na to, zda je vám více než 18 let (opět musíte potvrdit pomocí SMS), či zda souhlasíte s podmínkami. Tudíž pokud podlehnete, příjdete minimálně o 3 x 79 Kč a kýženého výsledku se stejnak nedočkáte. Nabízená služba je totiž jedním velkým nesmyslem a podvodem tahajícím z lidí peníze.

Animace se nás snaží přesvědčit o tom, že právě probíhá hledání lokality, ve kterém se zadané mobilní telefonní číslo, resp. mobilní telefon, nachází...


Podařilo se ho najít!


Teď už jen zaslat několik SMS zpráv, každou za 79 Kč a možná se dočkáme zázraku! :-)

Přidat komentář (nyní 10)

Pozor na chat Facebooku, hooodně rychle se přes něj šíří nová havěť!

22.07.2011 Přímý odkaz Komentáře (122)

Sítí Facebook se šíří možná nejpropracovanější havěť v jeho historii! Aktuální je to i u nás, neboť i na diskuzním fóru VIRY.CZ se aktuálně neřeší téměr nic jiného!

Pokud vám nějaký přítel na Facebooku napíše přes chat a využívá přitom obratů jako:

hi. how are you
Wanna laugh?
It is you on the video ? want to see?
I'll be out for an hour, will be back soon

pak nemusíte ve skutečnosti chatovat s živým člověkem na druhém konci, nýbrž s tzv. botem. Bot je v tomto případě označení pro program, který se snaží automaticky odpovídat na vaše zprávy a snaží se navodit dojem, že si píšete se skutečným člověkem. Ve skutečnosti si píšete s robotem. Bohužel já osobně jsem na tento útok ještě nenarazil, nicméně z ohlasů na internetu plyne, že bot opravdu čeká, až na chat zareagujete a další dotazy a fráze použije až s mírným časovým odstupem. Snaží se vás tak ještě více přesvědčit, že si píšete se skutečným kamarádem, jenž vše "datluje" na klávesnici. Bot vás v průběhu komunikace dovede až k odkazu na údajné video, na kterém se má nacházet přímo vaše maličkost - obvykle po frázích "It is you on the video ? want to see?". Odkaz je zvláštní tím, že obsahuje přímo cílovou IP adresu (našel jsem například http://213.231.18.122/1659663918). Pokud na takový "ošklivý" odkaz kliknete, dostanete se na imitaci YouTube stránky, kde se v názvu videa nachází vaše jméno a všude okolo vidíte příspěvky dalších vašich kamarádů, kteří se k němu, nebo k vám vyjadřují! Kdo by odolal spustit takové video? Jedinou překážkou je konstatování "You need to upgrade your Adobe Flash Player", tedy že pro spuštění videa je nutné zaktualizovat program pro jeho přehrání. O kousek níže uvedený odkaz pro stažení přehrávače je právě kamenem úrazu a dovršením dokonalosti tohoto sociálního inženýrství! Místo přehrávače totiž stažený soubor obsahuje havěť, která po spuštění napáchá v počítači pěkný bordel!

Podle informací se infikované počítače stávají součásti botnetu na bázi peer-to-peer, tedy sítě infikovaných počítačů, jejichž výkon může být využit na různé nelegální aktivity hackerů (a možná právě i na další výše popsané útoky).

Jak se nakonec ukázalo, níže uvedená novinka souvisí s havětí popsanou výše. "Schovávání" se za reálné antiviry je jednou z "lepších" vlastnostní této havěti...

Falešná stránka YouTube s videem, v jehož názvu figuruje vaše jméno a všude okolo jsou příspěvky vašich přátel o tom, že je to nechutné a hnusné! Obrázek jakožto i některé informace pocházejí z článku na serveru malwarecity.com.


Chatování s botem...


Stránka ala Youtube s vaším videem a plná příspěvků od vašich přátel...

Přidat komentář (nyní 122)

Havěť, která se vydává za antivirus uživatele!

22.07.2011 Přímý odkaz Komentáře (21)

Na Facebooku lze narazit na odkazy, které místo slibovaného videa pouze vyvolají dialog na stažení / spuštění údajného chybějícího video kodeku. Třeba s názvem Flash-Player.exe. Zaujalo mě, jak se tato havěť schovává za jména antivirových programů...

Po spuštění infikovaného souboru se pochopitelně uživatel žádného videa nedočká. Zobrazí se falešná hláška "System error! Access denied". Po dalším zapnutí počítače se tahle havěť postará o automatické nastartování nouzového režimu Windows, kde zlikviduje uživatelův antivirus (bez jeho vědomí) a následně nastartuje Windows opět v klasickém režimu. Na liště Windows přesto uživatel ikonu jeho antiviru najde, nicméně její zobrazení je prací havěti, která se tak snaží maskovat svoji nekalou aktivitu a nedat tak uživateli najevo, že skutečný antivirus je již dávno po smrti. Tudíž vše vypadá v pořádku. Dokonce i po kliknutí na jmenovanou ikonu se nachází v záhlaví dialogu název původního antiviru! Opět je to ale výplod této havěti...

Po tech. stránce se pro start v nouzovém režimu využívá tento zápis v registrech:
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\AlternateShell = %windir%\services32.exe
Aplikace bcdedit.exe je využita k vynucení startu nouzového režimu a následně toho klasického:
BCDEDIT /deletevalue safeboot /set safebootalternateshell false

Přidat komentář (nyní 21)

Lepší starý chat a dívka, kterou ovládl ďábel...

13.07.2011 Přímý odkaz Komentáře (13)

To jsou dvě aktuální témata na českém Facebooku. Společnost Facebook před nedávnem upravila chat a asi se moc nelíbí, protože podvodná stránka nazvaná jako "Aktivuj si starý zpět - STARÝ CHAT ZDE" má již kolem 170 tisíc členů, kteří marně čekají na to, že jim někdo do 24 hodin pošle odkaz pro obnovu původního chatu.
Pochopitelně čekání je marné, celé je to podvodná aktivita a jediným výsledkem je, že tento nesmysl - resp. moment stisku "Líbí se mi" zaznamenáte mezi své aktivity, tudíž o této činnosti jsou srozumněni přátelé, přátelé přátel a těm se to pak často taktéž líbí. Pokud pak v průběhu průchodů stránkami narazíte i na požadavek ke sdílení, pak si takovou nesmyslnou informaci přímo umístíte na vlastní zeď.

Klikáním na palce docílíte toho, že se Vám budou líbit další přiblblé stránky a stanete se v podstatě "fanouškem". Sdílením si nesmyslnou zprávu umístíte přímo na vlastní zeď, tudíž ji pak vidí přátelé, přátelé přátel... Pokud Vám důvěřují, celé kolečko se opakuje a za chvilku to mají na zdi i oni. Některé viry mohou tu rychlost šíření jen závidět :-)

Na zeď stránky o starém chatu navíc někdo dnes přidal i další dementní zprávu o údajné dívce, kterou ovládl ďábel. Ač je tam pár hodin, již se našlo přes 12 tisíc "fanoušků", kteří se sice nakonec nějakého stupidního videa na youtube.com dočkají, nicméně opět jsou nuceni zprávu vysdílet na vlastní zeď a párkrát odkliknout "líbí se mi".

Po delší době se tak vracím k doporučení, které speciálně na Facebooku funguje velice dobře: používejte zdravý rozum!

Přidat komentář (nyní 13)

Archiv

---