Seznam všech aktualit

Inženýři z Googlu, kteří odhalují zranitelnosti v software jiných firem, dávali ještě donedávna velkorysou časovou rezervu. Pokud našli nějakou zero-day zranitelnost, výrobci to oznámili a čekali 60 dní na nápravu.

Odhalování těchto chyb není totiž pouze problémem třetích stran, nicméně ohrožuje i samotný Google a jeho aplikace. A že se snaží úspěšně dokazuje třeba fakt, že v únoru v Microsoftem vydaném balíku záplat našli celou polovinu právě zaměstnanci Googlu ([link]).

Nyní však bude dávat výrobcům pouze týden, pak chybu zveřejní. Za tu dobu budou vývojáři muset danou chybu opravit či svým uživatelům sdělit, jak problém řešit nebo mu předejít. Více informací na blogu Googlu - [link] .

Jedna z nejstarších digitálních měn končí. Vaz jí srazilo masivní využívání pro nelegální obchody, pochybní provozovatelé a centralizovaná správa. Pokud jste tam měli peníze, stejně jako já, tak se s nimi můžete rozloučit. Kdo nediverzifikoval, tvrdě prodělal.

Secunia, mezinárodní firma pocházející z Dánska zabývající se IT bezpečností, se omluvila. Stalo se tak poté, co na veřejný mailing list zaslala informace o neopravených zero-day zranitelnostech. Jednalo se o 2 problémy s přetečením zásobníku v programu pro práci s formáty JPEG 2000 a ECW ERDAS ER Viewer (více o programu [link] více o zranitelnostech [link]).

Mluvčí společnosti k tomu řekl: „Během koordinace s pracovníky byl omylem zaslán mail z Secunie na veřejný mailing list, díky čemuž se informace o jedné zranitelnosti staly veřejně dostupné. Okamžitě po zjištění chyby jsme informovali pracovníky zabývající se tvorbou patche. Secunia dělá vše pro to, aby se tato situace již nikdy neopakovala.“ Vyjádření je na blogu firmy ([link]).

Více informací se dozvíte na webu securityweek.com - [link] .

V dokumentu komise, zabývající se krádežemi amerického intelektuálního vlastnictví, se vyskytují zajímavé novinky. Např. se zde mluví o doporučení, aby americkým firmám bylo umožněno aktivně bojovat proti krádežím kybernetickými cestami. To může být vyloženo jako podpora tvorby malware. Jeho úplné znění naleznete ve formátu PDF zde [link] .

Třeba na straně 81 se jako příklad uvádí, že by se mohla zařídit nepřístupnost k inkriminovanému souboru či úplně „uzamknout“ uživatelův počítač. Tyto techniky jsou známé jako ransomware (o kterém jsme vás již v aktualitách informovali). Nyní by se ovšem nečekalo na zaplacení výkupného kriminálníkům, ale na to, až se pravděpodobný porušovatel autorských práv sám ohlásí na policii. Ta by mu měla zase počítač odemknout. Podle komise se nejedná o porušení současných zákonů.

Další techniky, které by se dalo pro aktivní vynucování využít je třeba pořizování snímků z webkamery či fyzické zneškodnění počítačů zapojených do kriminálních činností.

Co si o tom myslíte vy? Je to vůbec proveditelné a prošlo by takové jednání i u nás, v souladu s našimi zákony?

Tento nový kousek, objevený ruskou antivirovou společností Dr.WEB, prý dokáže zachytit vaše zprávy a přeposlat je k útočníkům. Šíří se jako bezpečnostní certifikát a doporučuje svojí instalaci do systému. Jeho označení je Android.Pincer.2.origin.

Patří do rodiny tzv. Android.Pincer malware ([link]). Po instalaci zobrazí hlášku o tom, jak je váš systém již zabezpečen a v pozadí sbírá všechna vaše data, která jsou zajímavá. Telefonní čísla, informace o OS a zařízení vůbec, IMEI atp. Když zjistí vše, co může, snaží se data odeslat na server. Poté čeká na další instrukce. Ty mohou být různé - od zobrazení určitých zpráv až po zaslání SMS na zvolené číslo.

Vzhledem k možnému čtení SMS je na něj dvoustupňová autentifikace (používaná v mnoha kritických oblastech) krátká, pokud útočník vše stihne včas. Více informací na stránkách firmy Dr.WEB - [link] .

Celkem zajímavým pokusem se pochlubili před týdnem na zive.cz, kde vytvořili imaginární profil na Facebooku a v období zhruba jednoho měsíce se snažili nasbírat co nejvíce „přátel“. Jistě tušíte, že to nebyl žádný problém a že z celé akce plyne - lidé prostě neřeší koho mají v přátelích, ale spíše kolik jich mají.

Facebook nejprve sám pomáhal najít přátele (mohli byste znát...), ze 60 takto oslovených lidí se chytli pouze 3. V další fázi přidal i společné přátele původních třech obětí. Až po 170 žádostech byl redaktor Živě označen jako automat, musel tedy opisovat CAPTCHu při každé nové žádosti. Dalším trikem, který FB použil je nastražení mezi navrhované přátele lidi, které vybral náhodně z jiné geografické oblasti a samozřejmě bez společných přátel. Po oslovení takového člověka odpověděl „Tohoto člověka nemůžete znát.“

V další fázi dostal dokonce autor Živě ban. Stalo se tak poté, co se FB dotazoval jeho přátel, odkud ho znají. Většina z nich odpověděla, že ho neznají. Po 7 denním banu se autor zaměřil na uživatele s více než 10 společnými přáteli. To samozřejmě dodávalo na důvěryhodnosti.

Vyhodnocení nebylo překvapující - z 300 oslovených lidí přijalo žádost 120, tedy 40 %. Většinou to byly slečny (autor použil profilovku sympatického hocha). Pouze několik lidí údajně položilo za celou dobu otázku „Kdo jsi?“

Zaměstnanci firmy Trend Micro zaznamenali obrovský nárůst infekcí malware podobných známému trojskému koni Zeus (ZBOT). Tento trend podle nich potvrzuje jejich predikci na rok 2013.

V lednu tohoto roku se tyto trojské koně podařilo téměř vymýtit díky Microsoftu a jeho snaze odstavit útočící servery a pátrat po lidech v pozadí (více [link] či starší [link]). Přesto se v březnu objevily mnohé nové varianty založené na Zeusu. Základem je vždy zaměření na krádeže dat, povětšinou z finančního sektoru, novější verze pozměňují také Windows Host soubor pro větší nadvládu nad systémem. Poté například zamezují uživatelům přístup na weby spojené s bezpečností.

Více zajímavých informací přímo na webu Trend Micro - [link] .

Zneužití se týká metody stream.publish, která byla zneužitelná již minulý rok. Letos FB změnil její parametry a upravil její implementaci:

- link je odkaz, na který je uživatel přesměrován po kliku na obrázek „aplikace“
- picture určuje obrázek z libovolného internetového umístění
- caption určuje web, odkud původně odkaz pochází - lze použít cokoliv důvěryhodně vypadajícího
- name určuje nadpis příspěvku

V době psaní této aktuality je vše plně funkční, pokud do url vyplníte tyto parametry včetně nějakého ID, po kliku na obrázek či nadpis jste přesměrováni přesně tam kam potřebujete. Pro příklad sledujte bílého králíčka.

Před více než dvěma lety objevil Tavis Ormandy zranitelnost ([link]), která dovolovala obcházet UAC (mechanizmus, poprvé obsažený ve WS Vista, zvyšující bezpečnost tím, že pouze důvěryhodné aplikace dostanou na dotaz systému vyšší oprávnění). Také prohlásil, že Microsoft jedná velmi nepřátelsky s výzkumníky mimo něj.

Před týdnem však zveřejnil kompletní rozuzlení toho, jak chyba funguje, včetně ukázek kritického kódu - [link] . Tato zranitelnost může být využita k pádu systému či ke zvýšení přístupových práv. Nejedná se však o kritickou zranitelnost nejhrubšího zrna, není např. využitelná ke vzdálené exploitaci.

Ke svému plnému odhalení řekl: „Nemám čas pracovat na hloupém Microsoftím kódu, takže hledám nápady jak opravit finální obtíže pro exploitaci.“ Chybu testoval na Windows 7, předpokládá že bude i ve W8. Také upozorňuje, že tento kód pochází z doby před Windows NT (tedy více jak 20 let).

Na tomto problému prý pracoval několik měsíců, poté se mu údajně podařilo vytvořit funkční exploit ([link]) povolující přístup ke kterékoliv verzi Windows. Podle svých slov tento kód zpřístupní studentům z prestižních vysokých škol, kteří o něj požádají.

Microsoft na celou věc reagoval: „Jsme si vědomi těchto tvrzení a potenciálních dopadů na Microsoft Windows, záležitost vyšetřujeme.“ Co dodat? Snad jen - klobouk dolů!

Pojišťovna AIG přišla na trh s pojištěním kybernetických rizik - jako první v České republice. Tuzemské firmy si tak mohou pojistit své „digitální majetky“. Tento produkt má název CyberEdge. Vztahuje se na odcizení či ztrátu dat, cílené útoky. Dále zahrnuje i krytí nákladů, které firmě vzniknou na základě způsobené škody (platy právníků, IT odborníků,...).

V základním nastavení je zahrnuto finanční zajištění v důsledku neoprávněného nakládání s údaji a několik dalších služeb. Není však problém zvolit některá rozšíření - výpadek serveru, únos či vydírání (ve spojení s kyberkriminalitou).

Marko Antič z AIG k tomu řekl: „Dnes již prakticky neexistuje společnost, která by nepracovala s daty prostřednictvím informačních technologií. Proto je CyberEdge koncipován tak, aby jej mohly využít různé typy společností. Od malých až po ty největší, které na českém trhu působí. Nezáleží ani na oboru, ve kterém firma podniká. Dle určených parametrů sestavíme pojištění pro velké finanční instituce, ale například i pro lokální cestovní kancelář. Nastavíme CyberEdge každému klientovi na míru jeho potřebám.“

Ucelenější informace naleznete v informační brožuře produktu (PDF - [link]).