Информационна сигурност

Хакерите могат да са особено изобретателни, когато стане дума за прикриване на следите. Компанията за информационна сигурност TrendMicro е открила малуер, който използва ресурсите на заразената машина, за да копае криптовалути. Необичайното е, че малуерът действа в комбинация с руткит, който скрива дейността на копача.

Така за системния администратор не остава нищо друго освен да гледа в недоумение, докато системата работи на 100%, но той не може да установи кои процеси я натоварват.

„Открихме софтуер за копаене на криптовалути, който нарекохме Coinminer.Linux.KORKERDS.AB, засягащ системи с Linux. Специфичното при него е, че се инсталира със собствен руткит, който скрива зловредните процеси. Това го прави труден за засичане, тъй като инфектираната система показва единствено признаци на забавяне“, коментират от TrendMicro.

С помощта на шел скриптове копачът се качва на системата, където се записва като /tmp/kworkerds. Отделно от това на системата се инсталира и руткит, който скрива дейността на малуера. Ако системният администратор реши да анализира работещите процеси преди инсталирането на руткита, той ще види, че /tmp/kworkerds натоварва процесора на 100%.

След инсталирането на руткита обаче процесът става невидим, въпреки че системата продължава да показва 100% натовареност на процесора.

Как да се предпазите

Засега не е ясно как малуерът попада в заразената машина. Предположението на анализаторите е, че това става с инсталирането на  компрометиран софтуер или плъгин. На базата на това предположение те дават следните препоръки:

• Избягвайте да използвате непознати библиотеки или хранилища за софтуер;
• Използвайте антивирусен софтуер;
• Налагайте политики за достъп и мониторинг на системата;
• Редовно обновявайте операционната система;
• Използвайте системи за откриване и предотвратяване на атаки (Intrusion Detection System, Intrusion Prevention System);

Копачите на криптовалути са популярен инструмент за правене на пари, особено след като в края на 2017 г. стойността на биткойн и другите криптовалути достигнаха рекордни нива. Въпреки че не вредят пряко – няма криптирани файлове и инфектираната машина продължава да си работи – те все пак нанасят щети.

Този вид малуер може бързо да амортизира информационните ресурси на една фирма и да надуе сметката за електричество. Затова той не бива да бъде подценяван.

 

Последен ъпдейт на 12 ноември 2018 в 11:10 ч.

Поне 100 хил. рутери са част от бот мрежа, която използва петгодишна уязвимост в утройства с чип на BroadCom. Анализатори на 360Netlab, които са открили бот мрежата, твърдят, че тя може да засегне около 400 хил. уязвими устройства, включително и такива в България.

Активността на бот мрежата е засечена за пръв път през септември, но е продължила и през октомври. Тя е кръстена BCMUPnP_Hunter – от името на протокола UPnP. Анализът на 360Netlab показва, че в мрежата участват около 100 хил. инфектирани устройства, но броят на уязвимите рутери е в пъти по-голям.

Уязвимите устройства са с банер Server: Custom/1.0 UPnP/1.0 Proc/Ver. Справка в Shodan показва, че към момента по света има над 405 хил. такива устройства. Локализирана справка само за България връща като резултат над 60 уязвими устройства.

Бот мрежата експлоатира уязвимост в протокола UPnP (Universal Plug and Play) в чиповете на BroadCom, които се използват от редица производители на рутери. Уязвимостта е била открита през 2013 г. от компанията за информационна сигурност DefenseCode, но за нея беше съобщено едва през 2017 г., тъй като засяга огромно количество рутери – поне 15 млн. устройства. Тогава от DefenseCode изказаха предположението, че голяма част от тези рутери все още са уязвими, защото фърмуеърът им не е обновен.

Според 360Netlab до момента са инфектирани над 100 различни вида рутери на популярни производители като Asus, D-link, Zyxel, Netgear и други. Веднъж инфектирани, те се превръщат в една голяма прокси мрежа. „Злонамерено лице може да изгради прокси мрежа и да я използва, за да изпраща спам, да генерира кликове и т.н.“, коментират от компанията.

Ако мислите, че рутерът ви може да е инфектиран (списък на заразените модели има в блога на 360Netlab), универсалното решение е да обновите фърмуеъра на устройството.

 

Последен ъпдейт на 27 ноември 2018 в 14:57 ч.

 

Когато през април 2015 г. екип на Google прави експеримент и разхвърля почти 300 флашки в американски кампус, той остава изненадан от резултатите. Буквално минути, след като са били „изгубени“, флашките започват да изчезват.

Оказва се, че 290 (от общо 297) са прибрани от студенти на Университета на Илинойс в Ърбана-Шампейн. От тях поне 135(или 45% от цялото количество) са включени в компютър и е отворен поне един от записаните на тях файлове.

Силно подценяван риск

Защо резултатите са изненадващи? „Тези хора не са технически некомпетентни спрямо връстниците си, нито пък са склонни да поемат повече рискове“, коментират авторите на доклада, изготвен след приключването на експеримента. Въпреки това почти половината от тях включват в лаптопа си USB флаш памет, без да знаят какво има на нея. А това носи значителен риск за сигурността на техните устройства.

USB устройствата са основен вектор за кибератаки. Той е толкова значим, че един от тестовете за нивото на информационна сигурност в една компания е да се разхвърлят флашки и да се следи колко служители ще ги приберат и ще се опитат да видят съдържанието им.

Водеща заплаха за бизнеса

Почти половината от флашките съдържат зловредни или съмнителни файлове, показва проучване на Honeywell сред компании от различни индустрии. Анализът на компанията е установил, че една от четири флашки съдържат заплаха, която „има потенциала да причини огромно смущение в производствените процеси“. Сред заплахите, засечени в опасните флашки, са някои добре познати заплахи като ботмрежата Mirai, рансъмуерът WannaCry и дори опостушителният червей Stuxnet.

Според авторите на изследването това доказва, че тези заплахи съществуват в ежедневието на фирмата, а не са просто резултат от лабораторни тестове. „Притеснително е, че тези високорискови заплахи са открити на USB устройства, които имат достъп до приложения за контрол на индустриални системи“, коментират авторите на доклада.

Компютърната мрежа на Геологическия топографски институт на САЩ е била заразена с малуер заради служител, който е разглеждал порнографско съдържание. Използвайки служебния си компютър, той е посетил над 9000 страници с порнографско съдържание, част от които са били заразени с малуер.

Вътрешен одит е установил, че малуерът първо се е инсталирал на лаптопа на служителя, откъдето е плъзнал в мрежата на института. Освен това служителят е запазил инфектирани с малуер изображения на USB памет, както и в смартфона си.

Хиляди страници с непозволено съдържание

„Одитът ни установи, че служителят посещава често порнографски сайтове. Много от посетените 9000 страници са били част от руски сайтове, заразени с малуер. Анализът ни потвърждава, че много от порнографските изображения са били запазени на непозволено USB устройство, както и на личния смартфон на служителя. Смартфонът също е бил инфектиран“, се казва в доклада.

Случаят е пример за това как дори само един служител може да представлява риск за информационната сигурност на цялата организация. Геологическият топографски институт на САЩ изрично забранява на служителите си да разглеждат порнографски сайтове и да използват USB флашки. Това очевидно не спира някои от тях да го правят.

Служителите: най-слабото звено

Около 52% от фирмите смятат, че служителите им са най-големия риск за информационната сигурност според проучване на Kaspersky Lab от 2017 г. Общо 44% от анкетираните компании казват, че непозволеното използване на информационни ресурси – например достъп до порно или използване на флашки – е водеща заплаха за бизнеса. Единствено споделянето на данни през мобилен телефон (47%) и загубата на преносими устройства (46%) се считат за по-големи рискове.

Операционната система FreeRTOS има уязвимости, които позволяват изтичане на данни, компрометиране и блокиране на устройствата. Софтуерът може да се използва от много свързани към интернет устройства, включително и медицински уреди.

Анализаторите на Zimperium са открили общо 13 уязвимости, които засягат както FreeRTOS, така и нейните разновидности OpenRTOS и SafeRTOS. „Тези уязвимости позволяват на хакерите да блокират устройствата, да източат данни от паметта им, както и да инсталират и задействат зловреден код, който напълно да ги компрометира“, посочват от компанията.

Zimperium не дава повече технически детайли за уязвимостите. Такива ще се публикуват след около месец, за да може междувременно разработчиците да ъпдейтнат FreeRTOS до версия 1.3.2, в която уязвимостите са отстранени.

Софтуер с широко приложение

FreeRTOS се използва предимно в устройства, които работят с микроконтролери: например сензори, фитнес тракери, измервателни уреди и т.н. Според Zimperium операционната система намира приложение в много индустрии: умни градове, производство на автомобили, авиокосмическа индустрия, здравеопазване.

През 2017 г. Amazon придоби контрол върху FreeRTOS и в момента го предоставя безплатно на разработичците (има и платена версия). Плановете на компанията е да развива проекта като операционна система, която позволява на редица устройства лесно да се свързват към облака.

Милиарди IoT устройства

Няма официална статистика за броя на устройствата, които използват FreeRTOS. От Zimperium посочват, че операционанта система е „пазарен лидер“ в своя сегмент.

Броят на свързаните към интернет устройства ще достигне 31 млрд. през 2018 г. по данни на IHS Markit. Голяма част от тях няма да са смартфони и преносими компютри, а уреди, които досега никога не са имали връзка с интернет. Което може да означава всичко от камери за видеонаблюдение през кухненски уреди до водомери и медицински устройства като глюкомери.

Това неизбежно поставя и въпроса за сигурността на тези устройства, някои от които изпълняват животоспасяващи функции. За немалка част от потребителите идеята някой да хакне пейсмейкъра им все още звучи еретично. Но това е част от новата реалност, която интернет на нещата създава.

Oracle публикува пач за 301 уязвимости, свързани с нейни продукти и външни приложения, които работят със софтуера на компанията. Една от тях е с максималния възможен рейтинг 10, а други 45 са с рейтинг 9.8.

„Поради заплахата от осъществяване на успешна атака, Oracle препоръчва на клиентите си да инсталират пача възможно най-бързо“, съобщава компанията в информаицонни си бюлетин.

Както и при предишни ъпдейти, значителна част от пачовете са свързани с приложения на трети страни“, допълва Ерик Морис, директор „Контрол на сигурността“ в Oracle.

Уязвимостта с най-високия възможен рейтинг е маркирана като CVE-2018-2913 и засяга Oracle GoldenGate – софтуер за репликация на данни в реално време. Засегнати са версии 12.1.2.1.0, 12.2.0.2.0 и 12.3.0.1.0 на GoldenGate.

Според публикуваната информация тази уязвимост е лесна за експлоатиране и позволява на злонамерено лице да компрометира GoldenGate. Успешна атака може да доведе до получаване на пълен контрол над GoldenGate.

Общо три уязвимости са открити в GoldenGate. От Oracle посочват, че „всяка от тези уязвимости може да бъде експлоатирана от разстояние, без необходимостта от автентикация“. Това означава, че атаката може да се случи, дори ако авторът й не разполага с данни за достъп.

Последен ъпдейт на 15 октомври 2018 в 15:33 ч.

IQY файловете се използват за сваляне на данни от интернет и зареждането им в таблица в Excel. От средата на 2018 г. обаче те се използват и в спам и спиър фишинг кампании за инсталирането на малуер.

Такива кампании започват да се превръщат в тренд според Quick Heal. Фирмата за информационна сигурност анализира една от последните кампании, които разчитат на IQY файл, за да атакуват компютри. Атаката протича по следния начин:

1.Жертвата получава имейл с прикачен PDF файл, в който има вграден IQY файл;

2.Когато жертвата отвори PDF файла се задейства и отварянето на IQY файла;

3.Жертвата вижда предупреждение да потвърди, че желае да отвори IQY файла;

4.Ако потвърди се отваря ново предупреждение. То е част от вградената защита на Microsoft Office срещу потенциално опасни файлове и скриптове;

5.Ако жертвата пренебрегне и това предупреждение и натисне Enable се задейства PowerShell скрипт, който сваля на устройството инсталационни файлове за FlawedAmmyy;

FlawedAmmyy е троянизирана версия на софтуера за отдалечен достъп Ammyy. FlawedAmmyy действа като RAT (Remote Administration Tool) и за съществуването му се знае от 2016 г. Зловредният код позволява да се установи контрол върху заразеното устройство, да се преглеждат и управляват файловете на твърдия диск, да се прави скрийншот на екрана и др.

„Хакерите постоянно откриват нови начини да заразяват потребителите с малуер и IQY файловете са един от тях. Предпазливостта е най-доброто средство да се избегне заразяване. Потребителите трябва да внимават, когато отварят прикачени файлове от имейли, идващи от съмнителен източник“, коментират от Quick Heal.

IQY файловете добиха популярност като средство за разпространение на малуер сравнително скоро. Една от първите големи спам кампании с прикачен IQY файл, се появи през май 2018 г.

Necurs delivering Flawed Ammy RAT via IQY Excel Web Query files https://t.co/0GhJka2K00 pic.twitter.com/xDCWg4aEKB

— My Online Security (@dvk01uk) May 25, 2018

IQY могат да се разпространяват като прикачен файл в имейла, но могат и да са вградени в PDF файл, който от своя страна е прикачен към имейла. Такъв е и горепосоченият пример. Този тип атаки разчитат на една и съща уязвимост: потребителите неглижират системните предупреждения да не отварят файлове, които свалят данни от интернет.

Excel разполага с филтър за такива файлове. По подразбиране той е включен на Prompt user about Data Connections. Това означава, че ще получавате предупреждение всеки път, когато се опитвате да отваряте файл, който сваля данни от интернет. Можете да промените филтъра на Disable all Data Connections, което ще забрани отварянето на външни връзки от документа.

За да настроите филтъра, влезте в Excel и изберете:

File > Options > Trust Center > Trust Center Settings > External Content

Последен ъпдейт на 13 октомври 2018 в 08:31 ч.

Позната уязвимост в рутерите MikroTik позволява пълен достъп до устройството, показват резултатите от анализ на компанията за инфромационна сигурност Tenable.

Уязвимостта, известна като CVE-2018-14847, е докладвана още през пролетта на 2018 г. и пачната. Но сега анализаторът на Tenable Research Джейкъб Бейнс e открил нов начин тя да бъде експлоатирана. Новият метод позволява да се прескочи автентикацията и така да се получат администраторски права върху устройството. От своя страна това дава възможност да се инжектира незабелязано малуер, твърди още Бейнс, който е публикувал доказателства за ефективността на атаката.

Уязвимостта засяга Winbox – графичен интерфейс за управление на RouterOS, операционната система на рутерите MikroTik. „Първоначалният проблем с Winbox, идентифициран като CVE-2018-14847, затова призоваваме потребителите да инсталират най0новите версии на RouterOS. Като превантивна мярка е добре и да сменят паролата си за рутера и да проверят за неоторизирани влизания в устройството“, посочват от MikroTik.

Tenable е открила и други уязвимости, но тази се посочва като най-сериозната, именно защото дава възможност за отдалечен достъп с пълни права върху рутерите. „Анализ с Shodan (търсачка за свързани към интернет устройства) показва, че по света има стотици хиляди устройства на MikroTik. Най-голяма е концентрацията им в страни като Бразилия, Индонезия, Китай, Русия и Индия. Към 3 октомври само около 35-40 хил. устройства имат обновена и пачната операционна система“, коментират от Tenable.

Социалната мрежа Facebook e най-големият източник на компрометирани лични данни през първата половина на 2018 г. Това показват резултатите от последното проучване на Breach Level Index.

През първото полугодие на годината са компрометирани над 4.5 млрд. записа на лични данни, показва изследването, което се провежда от компанията за киберсигурност Gemalto. Почти половината от тях (2.2 млрд. записа) се дължат на функция във Facebook. Тя позволява да се идентифицира потребител чрез неговия телефонен номер или имейл.

Уязвими от години

Парадоксалното е, че функцията съществува от години. Тя ви позволява да въведете в търсачката на Facebook телефонния номер на конкретен човек и така да откриете профила му, без да знаете нищо друго за него.

Едва през април 2018 г. Facebook обяви, че с тази функция се злоупотребява от много време. „Предвид мащабите на активността, която наблюдаваме, ние смятаме, че повечето потребители на Facebook са били застрашени от кражба на лични данни“, съобщиха тогава от компанията.

След като Facebook обяви публично за опасността от изтичане на данни, функцията беше деактивирана. Дотогава тя можеше да бъде изключена ръчно от настройките на профила, но няма информация каква част от потребителите са се сетили да го направят. „Бих предположил, че ако функцията е била включена, данните ви в някакъв момент са попаднали в някого“, заяви Марк Закърбърг, основател и главен изпълнителен директор на Facebook.

Един от много пробиви

Социалната мрежа разполага с 2.2 млрд. потребители, което слага този инцидент на върха в класацията на Breach Level Index. Освен него тази година Facebook беше забъркана и в още поне два скандала с изтичане на лични данни.

Единият се завъртя около компанията за анализ на данни Cambridge Analytica. Самата Facebook призна, че Cambridge Analytica е използвала социалната мрежа, за да събере данни за 87 млн. нейни потребители.

Другият избухна в края на септември и не попада в разглеждания от проучването период. Тогава Facebook обяви, че данните на 50 млн. потребители са били достъпени заради уязвимост във функцията View as.

Пробивите намаляват, компрометираните данни се увеличават

На световно ниво през първото полугодие на 2018 г. са разкрити общо 945 пробива на лични данни, което е с 18% по-малко спрямо същия период на предходната година. Като обем на засегнати потребителски профили обаче бройката се увеличава със 133% до 4.5 млрд. и основната причина за това е именно събирането на данни през търсачката на Facebook.

Общо 56% от всички пробиви на данни са причинени от външно лице, а около една трета се дължат на случайна загуба – например изгубен лаптоп или незащитена база данни.

Последен ъпдейт на 13 октомври 2018 в 08:32 ч.

CEO scam е вид кибератака, при която някой се представя за мениджър на организация и нарежда парични преводи. Тя е комбинация от социално инженерство и известна техническа подготовка. Измамниците си набелязват организация и започват да проучват функциите на служителите в отделните звена.

Най-често тази информация се събира от медии или социални мрежи. От Linkedin например може да се разбере кой е изпълнителен директор и кой изпълнява функцията на финансов мениджър. Крайната цел е да се установи кои са хората, които се занимават с управлението на финансите в организацията.

След като знаят кой взема решенията, авторите на атаката могат да се представят за него и да наредят на служителя, който се грижи за разплащанията, да направи паричен превод до контролирана от тях сметка. Обикновено това става с имейл, чието съдържание в опростен вид звучи приблизително така: „Здравей, трябва да преведем спешно тези пари на наш партньор. Ето я банковата му сметка“.

Загуби за над $3 млрд.

CEO scam е част от т.нар. измами със служебен имейл (Business Email Compromise), които в световен мащаб са генерирали 3.6 млрд. долара загуби между 2014 и 2018 г. по данни на ФБР. От тях 672 млн. долара са отчетени извън САЩ.

Когато служителят получи писмо от шефа си, той рядко се съмнява в легитимността му. Това обяснява защо измамите със служебен имейл са толкова ефективни. Измамниците могат лесно да приспят бдителността на служителя и да го накарат да им прехвърли пари.

В много случаи служителят го прави без въобще да се усъмни. Той е убеден, че прави поредния паричен превод до партньор на организацията.

Как работи атаката

Има два основни начина, по които може да се осъществи CEO scam. Единият e чрез най-обикновено фалшифициране на имейл. В този случай хакерът изпраща имейл от адрес, който много прилича на адреса на мениджъра. За това не е необходима почти никаква техническа подготовка: има дори безплатни инструменти в интернет, които ви помагат да изпращате фалшиви имейли.

Другият начин е да се компрометира имейл акаунтът на определен мениджър и от него да се изпращат заповеди за парични преводи. Това позволява освен всичко друго да се проследи и комуникацията на мениджъра, да се опознаят стила и маниера му на общуване.