Bezpečnostní střípky: předpovědi na rok 2012 nehýří optimismem

Přehledy

ENISA zveřejnila zpráva k námořní kybernetické bezpečnosti – Analysis of Cyber Security Aspects in the Maritime Sector. Zpráva kromě analýzy situace obsahuje sadu doporučení. Komentář k této zprávě (ta má 31 stran) je v článku First EU report on maritime cyber security.

Obecná a firemní bezpečnost IT

Čínský komentář říká, že americká média to s kybernetickou válkou přehání – People Daily. Prý k tomu chybí důkazy.

Rising Cybercrime Pushes African Governments to Take Action – Afrika a kybernetická kriminalita, CERT nyní funguje v následujících zemích: Jižní Afrika, Keňa, Maroko, Pobřeží slonoviny a Tunisko. Celoafrickou koordinaci provádí AfricaCERT.

K výsledkům studie: The Insecurity of Privileged Users (Ponemon Institute) se obrací článek Research Exposes Security Risks of Mismanaged User Access – HP. Informuje o podrobnostech obsažených v této studii. Další komentář je na stránce With great privilege comes great responsibility. Zmíněna je zde řada konkrétních případů.

Jižní Korea vydala varování ohledně možných útoků v návaznosti na smrt Kim Čong Ila – South Korea Warns of Potential Cyber-Attacks With Kim Jong-il's Death. Toto varování vydal jihokorejský telekomunikační operátor.

Bezpečnostní tipy od legendárního hackera najdete na stránce Security tips from a legendary hacker. Kevin Mitnick charakterizuje dnešní hrozby a předkládá cesty k tomu, jak na ně odpovědět:

• Attacks are becoming more complex
• The risk landscape is increasingly difficult to understand
• Outgoing network traffic can be as dangerous as inbound
• Desktop software is often out of date
• Humans can be the biggest problem

Manningův výslech ohledně WikiLeaks ukázal laxní přístup armády k bezpečnosti – Army's Lax Security Revealed in Manning Hearing on WikiLeaks Breach. Článek informuje o zjištěných podrobnostech tohoto bezprecedentního úniku informací. Viz také článek – In WikiLeaks Case, Bradley Manning Faces the Hacker Who Turned Him In.

Slabým článkem kybernetické bezpečnosti je nepochybně člověk. Jak se s tím vyrovnat? Jeff Schmidt – How To Manage the Weak Link in Cybersecurity: Humans – poukazuje na známý problém, popisuje některé situace. Dává pak sadu pěti doporučení organizacím:

• Audity používaných postupů a procedur
• Častá školení specifického zaměření
• Analýzy typu náklady vs. užitek
• Výzkum chování
• Znejte své lidi

Írán přesunul své vládní weby – Cyber attacks: Iran moves govt websites. Většinou hostovaly v Severní Americe, nyní budou umístěny na kapacitách uvnitř země.

Enterprise Data Breaches: Insider Threats That Cause Most Losses – k průnikům v podnicích, k hrozbám mající původ v interních zaměstnancích, a to těm, které způsobují nejvíce škod. Vyjmenovává je v slideshow Fahmida Y. Rashid.

Wiretapper’s Ball, to je veletrh odposlechových technologií, hlavní město Malajsie Kuala Lumpur hostilo v prosinci ISS World – Spies Fail to Escape Spyware in $5 Billion Bazaar for Cyber Arms.

A fresh perspective on internet security – dnešní pohled na bezpečnost na internetu. Toto zamyšlení (sepsal je Douglas Gantenbein) přináší názory bezpečnostního odborníka Microsoftu Cormaca Herley.

Defense Against the Black Arts, to je recenze knihy, jejíž celý název je Defense against the Black Arts: How Hackers Do What They Do and How to Protect against It. Jejími autory jsou: Jesse Varsalone, Matthew Mcfadden, Michael Schearer, Sean Morrissey. Kniha má 412 stran, vydalo ji nakladatelství CRC Press v září 2011, zakoupit ji lze např. na Amazonu.

Smoke Screening – bezpečnost na amerických letištích, o svých zkušenostech na cestách (spolu s Bruce Schneierem) vypráví Charles C. Mann. Doporučení pro cestovatele jsou v článku – Six Safety Tips for Holiday Travelers.

Cryptome – dopadení Íránem špionážního letadélka a šifra RSA. Diskuze uvádí řadu spekulací okolo algoritmu RSA – možné rozbití šifry, ukradený klíč, rozbití použitého generátoru náhodných čísel. A to včetně odkazů na informace pocházející od Comodohackera.

Hidden Dragon: The Chinese cyber menace – skrytý drak – čínští hackeři fungují organizovaně. John Leyden v článku (uvedeném slovem analýza) zmiňuje podrobnou studii, kterou zpracoval Moustafa Mahmoud (president of The Middle East Tiger Team), čínský Programme 863, zprávu, kterou připravil úřad The Office of the National Counterintelligence Executive ONCIX a další informace (možná méně známé).

Průběh roku 2011

V přehledu Top security incidents of 2011 autor vyjmenovává a popisuje čtyři situace (včetně poučení z nich vyplývajících):

• Tehran Bob (Comodo)
• Sony
• LulzSec
• RSA

Top 10 IT bezpečnostních článků na TechRepublic najdete na stránce Top 10 IT Security posts of 2011. Žebříček (podle zájmu čtenářů) sestavila Selena Frye. Obdobný žebříček se objevil také na Threatpost (blog KasperskyLab) – Slideshow: Threatpost Top Security News Stories of 2011.

Šest nejhorších datových průniků roku 2011 – The six worst data breaches of 2011, autor je vyjmenovává následovně:

1. The HBGary Federal hack
2. Texas Comptroller´s Of­fice web exposure incident
3. The Arizona Department of Public Safety hack
4. The stolen SAIC/TRICARE backup tapes
5. Insurance Corporation of British Columbia insider breach
6. Hemmelig.com hack

Vize pro rok 2012

Příští rok budeme svědky prvního velkého průniku do veřejného cloudu – LogLogic: The public cloud will be breached next. Předpovídá to CEO společnosti LogLogic – Guy Churchward.

Co říkají bezpečnostní předpovědi pro rok 2012? Zamyšlení Billa Brennera najdete na stránkách csoonline.com – Stop them before they predict again!

Osm předpovědí pro mobilní bezpečnost v roce 2012 připravil Nicholas Banks – 8 Mobile Security Predictions For 2012. Vzdálení pracovníci vytváří nové bezpečnostní výzvy organizacím. Dvacet pět procent USB pamětí je infikováno malwarem a 75 procent CEO oznamuje, že data jejich společnosti byly předmětem průniku. Další vývoj situace charakterizuje v osmi bodech.

Bezpečnostním minovým polem roku 2012 budou vlastní soukromá zařízení zaměstnanců – Security minefield: ‚Bring your own device‘ will bedevil IT security in 2012. Týká se to zejména chytrých mobilů a tabletů (iPhone, iPad atd.). V nedávné studii (Ponemon Institute)bylo konstatováno, že již dnes velké procento zaměstnanců používá soukromá zařízení na pracovišti.

7 Housekeeping Duties For Better Database Security In 2012 – pro lepší bezpečnost databází v roce 2012, Ericka Chickowski uvádí sedm rad, které pochází od bezpečnostních expertů:

• Make Sure Your Database Isn´t Easily Searchable On The Web
• Segment Your Data Better
• Ensure Passwords Aren´t Stored In Plain Text
• Harden Your Configurations
• Check For Blatant Encryption Gaffes
• Think Twice About Insurance
• Get A Breach Notification Plan In Order

Také Elinor Mills připravila pět předpovědí pro bezpečnost v roce 2012 – Five predictions for security in 2012. Jsou to následující:

• Malicious Android apps will increase
• A(nother) utility will get hacked
• E-voting machines will have security hiccups
• People will continue over-sharing despite the privacy ramifications
• Hacktivists will form a new 99 Percent Party

Sociální sítě

Timeline na Facebooku, to je nová podoba vašeho profilu – Prep for Facebook's Timeline Layout: 6 Must-Do Privacy Tweaks. Uživatelé mají sedm dní, aby se na novinku připravili. Viz také paralelní článek – Facebook Timelines: How to Get Started.

Další podvod na Facebooku: vyhrajte “Lady Gaga Edition iPad”! Podvodníkům se příslušný odkaz podařilo zabudovat na stránky Lady Gaga (které mají pochopitelně vysokou návštěvnost) – iPad scammers pwn Lady Gaga's Facebook page. Z oběti jsou klasickou cestou dolovány osobní údaje. Záznamy ukazují, že na podvržený odkaz kliklo 120 000 lidí. Viz také – Lady Gaga´s Twitter Hacked.

Jiný podvod na Facebooku láká na rozšíření prohlížeče – Facebook scams now spread by dodgy browser plug-ins. Jedná se o podvržená rozšíření pro Firefox a Chrome. Viz také – Facebook scams kick it up a notch with Firefox/Chrome plugins.

Software

REMnux – nástroj pro reverzní inženýrství malware rozebírá Michael Kassner v rozhovoru s Lenny Zeltserem – REMnux: Reverse-engineering malware. Vysvětlují možnosti tohoto nástroje.

Guide to Microsoft BitLocker, příručka pro Microsoft BitLocker je rozdělena do tří větších bloků, každý z nich obsahuje několik odstavců, na jejichž zpracování se podíleli různí autoři:

• Understanding Microsoft BitLocker
• BitLocker To Go basics
• The latest on BitLocker

Firefox byl vydán ve verzi 9.0 – Mozilla, posléze se objevilo několik komentářů (i k rychlé záplatě):

• Mozilla launches Firefox 9, speeds up JavaScript
• Firefox 9 closes security holes
• Mozilla re-releases Firefox 9, backs out fix causing crashes

VLC Media Player je ve verzi 1.1.13, opraveny jsou některé bezpečnostní problémy – VLC Media Player 1.1.13 fixes security vulnerability.

Siemens je obviňován ze snahy zakrýt vážné bezpečnostní problémy svého software ICS (industrial control system) – Researcher Alleges Siemens Cover-up Over Security Holes In Simatic Product. Učinil tak Billy Rios, bezpečnostní pracovník společnosti Google na svém osobním – blogu.
Viz také komentář – Researcher blasts Siemens for lying about SIMATIC bugs.
Další komentář se objevil na csoonline.com – More SCADA security flaws surface.
Siemens reaguje – Siemens To Patch Major SCADA Authentication Holes Next Month.

Správa záplat – je třeba jí věnovat nemalou pozornost. Danny Bradbury – Clever patching keeps the system serviceable – říká, že pokud se v ní budou vyskytovat nedostatky, může na to organizace ošklivě doplatit. Uvádí příklady problémových situací.

Bezpečnost SW – 25 závad, které vývojáři zaslepeně implementují do aplikací. Takovýto nepochybně užitečný přehled připravil Fahmida Y. Rashid v podobě slideshow – Software Security: Top 25 Flaws Developers Blindly Build Into Applications.

Nepleťte si Javu a JavaScript, Javu raději vypněte! Doporučuje (vzhledem k častým objevům nezáplatovaných zranitelností) Mikko Hypponen z F-Secure – Ditching Java might be a good move.

Thunderbird byl vydán ve verzi 9.0 – Mozilla updates Thunderbird to version 9.0. Zmíněna je řada úprav, včetně šesti opravených bezpečnostních chyb.

Malware

Objevil se nový vyděračský trojan, hlásí BitDefender – Trojan Cons Victims with Fake Trial. Trojan.Crypt.VB­.U k zašifrová­ní souborů obětí používá jednoduchý součet XOR.

Ransomware se tváří, jakože pochází od evropských policejních agentur – Ransomware impersonating European police agencies. Uvedeny jsou: The German Federal Police, GEMA (Germany´s per­formance rights organization), the Swiss „Federal Department of Justice and Police“, the UK „Metropolitan Police“, the Spanish Police and the Dutch Police.
Viz také – Fake Cops Hijack Computers, Demand Ransom for Locked Files .
Technické podrobnosti jsou na stránce Disorderly conduct: localized malware impersonates the police.

Localised ransomware identified by Microsoft – lokalizovaný vyděračský software, o svých zjištěních v tomto směru informuje Microsoft. Jako hlavní příklad je uváděn Win32/Ransom.DU, který je směrován na německé uživatele.

Spamem šířené malware zneužívá smrt Kim Čong Ila – Kim Jong-il death spam carries malware. E-maily obsahují přílohy brief_introduc­tion_of_kim-jong-il.pdf.pdf, resp. Kim_Jong_il_s_de­ath_affects_N._Ko­rea_s_nuclear_pro­grams.doc, které zcela jistě nejsou neškodné…

Další podrobnosti k malware Sykipot ukazují na jeho čínský původ – More Sykipot Malware Clues Point To China. Sykipot byl použit k nedávným útokům proti armádním dodavatelům. Podrobnosti o vztahu Sykipot vs. drony (špionážní letadélka) jsou na stránce Are the Sykipot´s authors obsessed with next generation US drones?

“Školní trojan” – jeho nasazení v německých školách je pozastaveno – „Schultrojaner“ vorerst ausgesetzt. Mělo ho obsahovat nejméně jedno procento školních počítačů.

Viry

Prodej antivirů v roce 2012 značně poroste – Antivirus software sales expected to show strong growth in 2012. Článek informuje o výsledcích analýzy společnosti Canalys. Je předpovídáno, že investice společností v tomto směru v roce 2012 vzrostou o 8,7 procenta.

Hackeři a jiní útočníci

Za většinou útoků APT je několik málo skupin – Dastardly Dozen: A Few APT Groups Carry Out Most Attacks. Podle analýzy bezpečnostních profesionálů jich není více než dvanáct a všechny jsou z Číny.
Čínským útokům je věnován také článek China is the No. 1 hacker threat to U.S. firms.

Britský skandál: hackování počítačů bylo stejně rozšířené jako hackování telefonů – Report: UK Newspaper Computer Hacking Could Be As Widespread As Phone Hacking. Na povrch vyplývají další výsledky již delší dobu běžícího šetření.

Existuje i taková služba pro kyberkriminalitu, jako je zahlcení telefonní linky – Busy Signal Service Targets Cyberheist Victims. Za pouhých pět dolarů na hodinu či 40 dolarů na den bude zvolený telefon tak bombardován voláními, že nebude možné, aby byla přijata ta legitimní. Viz také – Analog Attack: Hackers Flood Phone Lines to Hide Thefts.

Herní společnosti ohlašují úniky osobních dat uživatelů – Atari and Square Enix cough to exposing users' privates. Jedná se o společnosti Atari a Square Enix.

Průnik čínských hackerů do americké obchodní komory, měli tak přístup k informacím o všech 3 miliónech jejích členů – Update: Chinese hackers breached U.S. Chamber of Commerce. Průnik byl zjištěn v květnu 2010. Není jasné, které všechny informace útočníci získali. Viz také komentáře:

• China Hackers Hit U.S. Chamber
• Hackers Stole Emails From Employees in Chamber of Commerce Breach
• Chinese hackers infiltrated US Chamber of Commerce
• Chinese Hackers Infiltrate U.S. Chamber Of Commerce Computers

Chinese Software Developer Network (CSDN) ohlásil únik dat 6 miliónů uživatelů – China Software Developer Network (CSDN) 6 Million user data Leaked. Uniklá data obsahují (v otevřené podobě) jména, hesla a e-maily. CSDN je jedna z největších sítí určených pro čínské vývojáře.

Hacknuty byly stránky Amnesty International hacknuty – Amnesty International Site Serving Java Exploit. Brian Krebs – stránky nyní rozdávají malware. Viz také – Human Rights Group Used to Spy on Activists a In Possible Targeted Attack, Amnesty International Web Site Found Serving Malware.

12 skupin čínských hackerů útočících na USA – komentář k tomu obsahuje článek US claims 12 Chinese groups are behind cyber attacks. Mj. upozorňuje na blog bezpečnostního analytika Jeffrey Carra Why I Oppose The 12 Chinese Hacker Groups Claim, který v něm rozporuje oficiálně zveřejněná tvrzení (jako důvod uvádí nedostatek důkazů).

Rusko, o hacknutých telefonátech opozice informuje stránka Russia: Phone Hacking Case Unites Opposition. Konverzace opozičních leaderů se objevily na internetu.

Anonymous

Anonymous zveřejnili varování FBI ohledně zveřejňování osobních informací obětí (tzv. doxing) – Anonymous Leaks FBI Memo on Threat to Law Enforcement From „Doxing“. Toto se stalo častou praktikou a je to důsledek dřívějších aktivit AntiSec či anonymous. Kopie varování je zde.

Anonymous plans Christmas offensive with ‚Lulzxmas‘ stealing from the rich and giving to the poor – Anonymous plánují vánoční ofenzivu – ´DestructiveSec´. Krádežemi z bank chtějí šťastnými učinit rodiny po celé zeměkouli (!). Viz také komentář:

• Anonymous: We´re Stealing Credit Cards, Funds From Banks for Christmas

Anonymous zveřejnili osobní data senátorů, kteří hlasovali pro zákon National Defense Authorization Act (NDAA) – Anonymous aims to make US Senators accountable for their votes. Citace: „The Pastebin entry includes information such as dates of birth, spouse and children names, addresses, phone numbers, Twitter accounts, memberships in various committees, information about education, profession and religion, their staff, previous votes on a number of issues, their campaign contributors, suites filed against them, and more.“

Hardware

Jak otevřít visací zámek s pomocí plechovky od Coly – How to Open a Padlock with a Coke Can. Námět a obsah článku zaujal i Bruce Schneiera – Blog: How to Open a Padlock with a Coke Can.

Prodáváte či zbavujete se nějakého vybavení IT? Nezapomeňte vše vymazat! Dnes už se nejedná zdaleka jen o pevné disky, Patrik Lambert v článku Selling or donating equipment? Don't forget to wipe it clean zmiňuje flash disky, chytré mobily a tablety.

Amazon's Kindle Fire Brings Hidden Security, Privacy Risks – Kindle Fire od Amazonu a nemalá bezpečnostní rizika, o existujících problémech s tímto zařízením informuje Jesse Emspak.

Aktualizace firmware řeší bezpečnostní problémy tiskáren HP LaserJet – Firmware update mitigates HP's LaserJet printer security problems . Jedná se o hrozbu, o níž byly zveřejněny informace v listopadu tohoto roku.

Mobilní zařízení

Objevil se nový útok na mobily, aparát oběti odesílá SMS na prémiová čísla – Mobiles forced to send premium-rate texts in new attack. Zranitelnost obsahuje SIM Application Toolkits, aplikace, které na SIM karty vkládají operátoři. Tyto aplikace přijímají příkazy speciálními SMS. Bogdan Alecu ukázal v prezentaci cesty k zneužití. Viz – SIM Toolkit Attack.

Chytré mobily a soukromí – jak na tom vlastně jsme? Nepřeháníme to s obavami? Ptá se autor článku Smartphones and Privacy: Are We All Overreacting?. V závěru svého zamyšlení cituje Arta Neilla, který doporučuje z obecných obav přejít ke konkrétním problémům:“I think that rather than expressing generalized fears about the potential dangers of technologies which can be used for good or evil, criticism needs to be specific and focus on making sure users are given full disclosure about how they are being tracked and how their information is being used.”

Aplikace pro Android umožňují vzdálený přístup, a to bez vyžádání svolení – Android Application Allows Remote Access – No Permissions Required. Pracovníci Viaforensics o tom informují na blogu. Viz také video.
Další komentář je na stránce No-privilege Android remote shell demonstrated by researcher.

Falešné stránky na eBay nabízí iPhone 4S za poloviční cenu – Fake eBay pages offering iPhone 4S for half the price. Stránky jinak vyhlíží jako perfektní kopie originálních a všechny odkazy kromě “Buy It” směrují na legitimní stránky. Pokud však zájemce stiskne “Buy It” dostane se na stránku, kde jsou od něho požadována osobní data a podrobnosti k platební kartě…

Forenzní analýza

Forensic Expert: Manning’s Computer Had 10K Cables, Downloading Scripts – forenzní expert: Manningův počítač obsahoval 10 000 kabelogramů. Podrobnosti byly zveřejněny u příležitosti zahájení armádního slyšení, které má rozhodnout o zahájení soudního líčení.

Autentizace, hesla

Windows 8 budou mít možnost využívat obrázková hesla – Windows 8 will have picture password sign in. Autor článku vysvětluje, jak by to mělo fungovat. Viz ale – Windows 8 picture security just a toy, claims RSA SecurID inventor.

Phishing

Phishing: přichází nová generace. Na serveru CleverAndSmart se Miroslav Čermák zamýšlí nad možností dokonalého phishingového útoku. Popisuje možné triky, slabiny a indicie, které by uživatel internetového bankovnictví neměl přehlédnout.

Agresivní phisherský útok cílí na příslušníky americké armády – Covert Trojan Targets Military Families' Bank Accounts. Online bandité chtějí takto vyčistit jejich bankovní účty. Zasílané e-maily mají jako pocházet od USAA (což je finanční služba obhospodařující vojáky, jejich rodinné příslušníky a veterány), adresáti mají otevřít přílohu, která obsahuje – trojana Zeus – Aggressive Phishing Attack Targets Military.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.