Hlavní navigace

Bezpečnostní střípky: množství podvodů na internetu narůstá

22. 3. 2010
Doba čtení: 10 minut

Sdílet

Pravidelný pondělní přehled informací vztahujících se k problematice bezpečnosti IT. Z novinek právě uplynulého týdne upozorníme především na další informace, které se týkají soukromí v sociálních sítích, pokračující profesionalizaci software pro botnety a některé nedávné a zajímavé aktivity hackerů.

Obecná a firemní bezpečnost IT

FBI – v roce 2009 nastal dramatický růst online podvodů  – FBI: Online Fraud Costs Skyrocketed in 2009. Brian Krebs komentuje zprávu FBI, podle které objem těchto podvodů činil v roce 2009 560 miliónů dolarů (zatímco v roce 2008 to bylo 265 miliónů dolarů). Celou zprávu si lze přečíst zde – 2009 Internet Crime Report. Další komentář (Robert McMillan) si lze přečíst na stránkách Computerworldu – FBI: Cyberfraud losses doubled in 2009.

The dark side of the web – jaká je skrytá temná strana internetu? Google vidí jen malou část obsahu internetu. Stuart Andrews ve svém článku popisuje, co vše se (a proč) skrývá pod jejím zbytkem.

Proč uživatelé zamítají bezpečnostní doporučení – So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice by Users. Zajímavý rozbor jehož autorem je Cormac Herley. Jeho obsah je komentován Michaelem Kassnerem na stránce Are users right in rejecting security advice?.

Sedm aktuálních hrozeb, které se týkají běžných uživatelů – 7 Common Targets of Stealth Threats. Serdar Yegulalp vysvětluje současné hrozby a uvádí potřebnou prevenci.

Podvody s prodejem podhodnocených aut na Internetu – k podvodům s prodejem podhodnocených aut na Internetu. V poslední době se objevují na zahraničních, ale i domácích internetových inzercích nabídky podhodnocených vozidel. (není to sice bezprostředně počítačová bezpečnost, ale případného poškozeného se to dotkne určitě nemálo).

Google z Číny brzy odejde – http://www.com­puterworlduk.com/ma­nagement/gover­nment-law/legislati­on/news/index­.cfm?newsid=19397. I když jednu chvíli to vypadalo, že se obě strany dohodnou, nyní se v médiích objevují informace opačného charakteru.

Proč jsou výpočty v oblacích (cloud computing) obtížně řešitelným problémem? Ellen Messmer přináší názory odborníků pěti společností : Microsoft, Trend Micro, EMC's RSA division, McAfee a Symantec – Why is cloud computing hard? Top tech execs explain.

Wikileaks je hrozbou pro operační a informační bezpečnost americké armády – U.S. Army worried about Wikileaks in secret report. Declan Mccullagh informuje o obsahu uniklého dokumentu amerických vojenských zpravodajců (stupeň utajení dokumentu byl tajné) a souvisejícím dění.

Deset cest, kterými s vaším počítačem můžete porušit zákon – 10 ways you might be breaking the law with your computer: UPDATED. Popisován je sice vztah k americké legislativě, ale většina problémů má odpovídající podobu i v naší (resp. evropské) legislativě.

Které bezpečnostní technologie jsou nejvíce podceňované? What Are the Most Underrated Security Technologies? – autor navazuje na svůj článek z minulého týdne – What Are the Most Overrated Security Technologies? – pohledem z druhého pólu. Zmiňuje následující:

  • Whitelisting
  • CPU stress testers
  • Firewalls and AV

UK : jsme připraveni i na kybernetický útok velkého rozsahu  – UK can cope with cyber attack, says Lords committee . Británie je v tomto směru na tom nejlépe ze zemí EU. V článku je také zmínka o připravované operaci White Noise (má simulovat katastrofický pád telefonní sítě v národním měřítku). Pro podobné cvičení, které by mělo proběhnout v zemích EU koncem roku 2010, považuje Evropská komise jeho termín za nereálný. Evropské dění v tomto směru popisuje článek Protecting Europe against large-scale cyber-attacks.

Rusové zpřísňuji požadavky na přidělování domén – To fight scammers, Russia cracks down on .ru domain. V rámci boje proti internetovým podvodům a zveřejňování nevhodného obsahu se od 1.dubna mění v Rusku podmínky u domén .ru.

Google kritizován – chová se neodpovědně ve vztahu k ochraně soukromí – FTC Commissioner: Google Is ‚Irresponsible‘ on Privacy. Kritiky přichází od FTC (Federal Trade Commission), a to ve vztahu ke Google Hláškám. Soukromí nemůže být spouštěno v podobě beta verze, říká Pamela Jones Harbour.

Sociální sítě

Tweeps and Facebook Friends, Let's Smarten Up, to je článek Billa Brennera na csoonline.com k sociálním sítím. Známý komentátor vysvětluje svůj postoj k aktivitám v těchto sítích. Upozorňuje (na základě zkušeností svých a svých přátel) čeho je třeba se vyvarovat.

Sociální sítě jako hackerský nástroj, Vojtěch Bednář na Lupě: „Problematika bezpečnosti či přesněji nebezpečnosti sociálních sítí je palčivým tématem nejenom odborných diskuzí, ale i ryze praktického života. Nakolik mohou být tyto sítě využity, respektive zneužity k průniku do firemního prostředí? Měrou větší, než je zdrávo“.

Soukromí v éře sociálních sítí není mrtvé, jen potřebuje pečlivě ošetřit – Privacy is not dead, says SXSWi keynoter Boyd. Článek komentuje vystoupení Danah Boyd na akci „South by Southwest Interactive (SXSWi) festival“. Například podle ní udělal Google velkou chybu, když spojil Hlášky (Buzz, systém, jehož účelem je čelit veřejnosti) s G-mailem, což je naopak systém zasahující hluboko do soukromí.

Federálové skrytí v sociálních sítích – Undercover Feds on Social Networking Sites Raise Questions. FBI, policie, vyšetřovatelé různých typů samozřejmě také navštěvují sociální sítě a to s profesionálními cíly. Autor článku se v tomto smyslu odkazuje na materiál amerického ministerstva spravedlnosti ( viz také – Break the law and your new ´friend´ may be the FBI), který charakterizuje související cíle vyšetřovatelů. Dokument 2009 IRS training course je také komentován na stránkách Computerworldu IRS, DOJ use social media sites to track deadbeats, criminal activity. Viz také komentář – Feds on social networks: What can they do?

Italská policie s úspěchem využila Facebook k vystopování jednoho z šéfů mafie – Mafia don suspect tracked down via Facebook. Dopaden byl 33letý Pasquale Manfredi, který je obviňován za vraždu a kvůli drogám.

Rozsáhlý spamový útok na uživatele Facebooku, informace k němu přináší článek  – Facebook users targeted in spam attack. Zprávy zdánlivě přicházely z Facebooku, informovaly uživatele o potřebě změny hesla a stáhnutí přílohy e-mailu s novým heslem. Příloha ve skutečnosti obsahuje malware, trojského koně.

Software

Uncle Buck Security – to je soubor bezpečnostních prověrek pro Linux. Beta verzi 0.4 lze využít pro libovolný linuxový systém (i když vyvíjena je pro Ubuntu a Debian servery). Stručný komentář najdete na stránce Collection of security checks for Linux.

Sedm pluginu pro Firefox, které zlepší online soukromí, uvádí Joseph Guarino – Seven Firefox Plug-ins That Improve Online Privacy.

SANS vydalo varování okolo podvodných mailů vztahujících se k chystanému vydání IE9 – Security organisation gives IE9 warning. Podvodníci mohou nabídnout instalaci (předběžné verze) IE9, místo toho vám však vnutí něco, co určitě nechcete.

Malware

Scareware v roce 2010 – podvod, který stojí uživatele nejvíce peněz – Scareware: Most Costly Security Scam of 2010. Carrie-Ann Skinner zde komentuje informace, které poskytla společnost McAfee.

Nástroje k analýze malware popisuje Daniel Bachfeld  – Tracking down malware. Jsou to

Narůstá počet botnetů, které řídí amatéři – The rise of amateur-run botnets. Podle analýzy společnosti Cisco stačí 2500 dolarů k tomu, aby si zájemce nakoupil potřebný SW a k tomu rady „odborníka“.

Autorun – jak ho využít pro vyčištění infikovaného PC? Manuální odstranění virů a spyware může být v některých situacích nejlepším řešením. V článku Use Autoruns to Manually Clean an Infected PC je rozebírán SW Autoruns od společnosti SysInternals (nedávno ji zakoupil Microsoft).

Nejnovější varianta kitu obsahujícího nástroje pro botnet Zeus má antipirátskou ochranu – Hackers lock Zeus crimeware kit with Windows-like anti-piracy tech. Zeus 1.3 se spouští pomocí aktivačního kódu, který závisí na konfiguraci HW daného PC. Je to něco takového jako licence pro Windows.

Podrobnou zprávu o bankovním trojanu Zeus najdete na stránce – odkaz. Autoři popisu (ze společnosti Secure Works) podrobně popisují vlastnosti tohoto trojana (až k poslední „chráněné“ verzi 1.3.4), ukazují, jak funguje, jak ho lze na vašem počítači detekovat, jaké cíle Zeus vyhledává, jak schraňuje a přenáší získané informace. Materiál uzavírá několik doporučení (používat pro online bankovnictví počítač, který je určen pouze k tomu atd.). Viz také zprávu společnosti RSA – AS-Troyak Exposes a Large Cybercrime Infrastructure a komentář k ní – Cybercrime´s bu­lletproof hosting exposed.

Microsoft prohlašuje, že zdecimoval botnet Waledac – Microsoft says it decimated Waledac botnet. O významu dnešních botnetů svědčí i takovýto fakt – jedna z nejvýznamnějších firem se chlubí likvidací jednoho z nich… Viz také – Microsoft action on Waledac saw between 70,000 and 90,000 users taken off the network, but computers remain infected and half are still trying to send spam.

Pozor na některé volně dostupné programy – Beware of malicious freebies. Zeljka Zorz uvádí příklad, kdy tyto obsahují malware.

Viry

Antiviry stále ještě nedokážou blokovat útoky typu Aurora – Anti-virus suites still can't block Google China attack. John Leyden komentuje výsledky nedávných testů.

Antiviry a antimalware programy nejsou užitečné? S takovýmto tvrzením z jedné konference v italském Milánu polemizuje autor článku Marco Giuliani – Anti-malware software is not all that useless.

Hackeři

Pentagon trénuje své vlastní hackery – To Battle Computer Hackers, the Pentagon Trains Its Own. Pentagon umožňuje svým odborníkům získat certifikát etického hackera (těchto je ve světě nyní již okolo 20 000). Pentagon se nebojí, že jeho lidé se stanou hackery v kriminálním slova smyslu.

Jak hackeři (když už se dostali k vám dovnitř) vytěžují data? Nicholas J. Percoco vysvětluje v tomto směru výsledky své společnosti Trustwave's Spi­derLabs – Data Exfiltration: How Data Gets Out.

Zkušený hacker najde bezpečnostní díry v SW snadno – Researcher Will Expose 20 Hackable Apple Security Flaws. Článek popisuje Charlie Millera, hackera, který prošel tréninkem NSA a jeho výzkum (informoval o svých výsledcích na nedávné bezpečnostní konferenci ve Vancouveru).

SEC (Securities and Exchange Commission – USA) : hackeři manipulují s cenami akcií. Umělý pohyb cen umožňuje přijít k neoprávněným ziskům – SEC: Hacker Manipulated Stock Prices.

Hacker znehybnil (dálkově) více než stovku aut – Hacker Disables More Than 100 Cars Remotely. Odehrálo se to ve městě Austin v Texasu. Zneužit byl systém Webtech Plus, který se používá pro zjištění neplatičů (aut). Viz také diskuzi na Schneierově blogu – Disabling Cars by Remote Control.

Každý čtvrtý školák ve Velké Británii připouští, že se pokoušel o hacking – One in four UK schoolkids admits hacking. Kamarádův účet na Facebooku anebo e-mailové účty jsou předmětem jejich snažení. Hlavním motivem těchto školáků je zábava, ale někteří dokonce věří, že tak mohou přijít k penězům. Pouze 53 procent z nich chápe, že hacking je ilegální činnost.

Hardware

Energizer – nabíječka stále šíří trojana – Energizer battery rechargers still haunted by trojan backdoor. Zjištěno to bylo na evropském webu pro Duo USB. Viz také – Energizer site still plagued by data-stealing trojan.

Mobilní telefony

Dvacítku nejvíce vyzařujících mobilů uvádí David Carnoy (spolu s fotografiemi jednotlivých modelů) – Twenty highest-radiation cell phones.

Vodafone – malware byl nalezen na dalším mobilu – Malware found on another HTC Magic smartphone. Byl nalezen na SD kartě dodávané spolu s aparátem. A potom přišlo oznámení. Španělský Vodafone připustil: vypustili jsme do světa 3000 mobilů s malware (Mariposa) – Vodafone Spain admits 3,000 smartphones shipped with Mariposa. Následovalo po schůzce zástupců Vodafone a bezpečnostní firmy Panda Security.

Buďte připraveni na rok s malware v mobilních zařízeních – Be prepared for the year of mobile malware. Rik Ferguson zmiňuje botnety (pro Symbian a iPhone), sociální inženýrství, nedostatečně bezpečné (a neověřené) aplikace a také Adobe Flash pro mobilní zařízení.

Elektronické bankovnictví

Zákazníci skotské banky byli okradeni během 12 hodin o 6 miliónů liber – Royal Bank of Scotland raiders' huge L6m haul in just 12 hours. Jedná se o zákazníky Royal Bank of Scotland. Použity byly klonované platební karty v 2000 bankomatech ve 280 městech na celém světě. Za útokem jsou ruští hackeři. Má se jednat snad o nejsofistiko­vanější a nejorganizovanější útok tohoto typu všech dob.

Společnost Trusteer vyvíjí nástroj pro banky. který umožní zjistit typ malware na PC zákazníků – Trusteer rolls out malware forensic tool for banks. SW s označením Flashlight to bude provádět dálkově.

Falešné čtečky (PIN pad) se objevily v obchodech amerického řetězce – Fake PIN pad units in US chain store.

Autentizace, hesla

Elcomsoft přichází s rychlejším rozkrýváním hesel s pomocí nových video karet ATI – Blazing fast password recovery with new ATI cards. V článku jsou pak uvedena některá konkrétní čísla.

11 procent lidí ve Velké Británii je obětí podvodů souvisejících s krádeží ID – Eleven per cent of people in the UK are victims of identity fraud. Tato čísla se týkají situace v posledních 12 měsících (podle VeriSign Online Fraud Barometer).

DRM (digital right management) a počítačové hry, jaký je současný vývoj? Josh Lowensohn v článku How to get DRM-free PC games: Just wait popisuje poslední kroky Ubisoftu a problémy s tím související a zamýšlí se nad dalším možným vývojem v této oblasti.

Největším problémem internetu jsou stále slabá hesla uživatelů. Shodli se na tom řečníci s tří organizací – Facebooku, Twitteru a Microsoftu na průmyslovém panelu (at South by South West Interactive) – Facebook, Twitter and Microsoft claim that weak passwords still cause security headaches.

Normy a normativní dokumenty

Vyšel dokument pracovní skupiny pro TLS:

Americký NIST v uplynulém týdnu vydal:

root_podpora

Kryptografie

Autory studie i-Hop Homomorphic Encryption Schemes jsou Craig Gentry, Shai Halevi a Vinod Vaikuntanathan. i-Hop – to jsou homomorfní šifrovací schémata.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.

Byl pro vás článek přínosný?