Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
elemző szotver adatvédelem Rodriguez Karoblis Portugália Norsk Hydro Motherboard Google autóipar titkosítás Secutech Galois Matrix CrowdStrike spyware CyberLens nyílt forráskódú szoftver biztonsági frissítés Flash SIS Iridium GoBrut Stuxshop WhatsApp felhasználói fiók TLS IoT alkalmazás DPA Duqu
 2018. november 29. 10:54

Az Akamai „EternalSilence” néven azonosítja a nemrég felfedezett malware kampányt, amely otthoni és SOHO routereket céloz.

Bővebben

Az Akamai „EternalSilence” néven azonosítja a nemrég felfedezett malware kampányt, amely otthoni és SOHO routereket céloz. Az alkalmazott technika (UPnProxy) április óta ismert: a támadók az UPnP szolgáltatások sérülékenységeit használják ki, amelyek segítségével kompromittálják az eszközök NAT tábláit, hogy eltereljék a webes forgalmat, valamint ─ egy új funkcióként ─ hogy megnyissák az alapértelmezett SMB portokat (TCP 139, 445), utat biztosítva a belső hálózat felé. Az Akamai szerint körülbelül 277 000 sérülékeny UPnP implementációt alkalmazó hálózati berendezés érhető el az interneten, ebből pedig már körülbelül 45 ezer fertőzött is. A cég becslései alapján ezeken keresztül mintegy 1,7 millió eszközbe fecskendezhettek már káros kódot, amelyről ─ bár pontos információval nem rendelkeznek ─ feltételezik, hogy köze lehet az NSA-től kiszivárgott, majd a WannaCry és a NotPetya zsarolóvírusok terjedésében is közrejátszott „EternalBlue” exploithoz, valamint annak egy Linuxra írt változatához („Eternal Red”). A szakértők nem tartják valószínűnek, hogy állami támogatású csoport állna a támadási kampány mögött.

(zdnet.com)
Kevesebb
Hasonló hírek
 április 18. 15:57

Kizárólag iOS felhasználókat céloz egy malvertising (reklámalapú vírusterjesztés) kampány, amelynek során a támadók online hirdetésekbe rejtett káros kódokkal káros webhelyekre irányítják át a felhasználókat.

Bővebben

Kizárólag iOS felhasználókat céloz egy malvertising (reklámalapú vírusterjesztés) kampány, amelynek során a támadók online hirdetésekbe rejtett káros kódokkal rosszindulatú webhelyekre irányítják át a felhasználókat. A támadók az iOS Chrome mobilböngésző egy sérülékenységét kihasználva képesek megkerülni a Chrome beépített sandboxát is. A Google megkezdte a biztonsági rés vizsgálatát, amelyről már kiderült, hogy a Google Chrome más platformokon futó verzióit és a Safarit sem érinti. A kampányt felfedező Confiant vállalat szerint a korábbi támadásokhoz hasonlóan valószínűleg a mostaniért is az az „eGobbler” nevű malvertising csoport felel, akik jellemzően amerikai iOS felhasználókat céloznak, különösen az ünnepeket megelőző időszakokban. Februárban,  az amerikai Elnökök Napjához (Presidents Day) kapcsolódó ünnepi hétvégén 800 millió, április 6. és 10. között pedig körülbelül 500 millió rosszindulatú hirdetés került kiküldésre.

(zdnet.com)
Kevesebb
 április 18. 14:00

A Cisco Talos fenyegetés elemző csapata egy agresszív DNS eltérítéses támadási műveletet azonosított, amely már nagyjából két éve zajlik és eddig körülbelül 40 szervezetet érintett.

Bővebben

A Cisco Talos fenyegetéselemző csapata egy agresszív DNS (Domain Name System) eltérítéses támadási műveletet azonosított, amely már nagyjából két éve zajlik, és eddig körülbelül 40 szervezetet érint. A „Sea Turtle”-re keresztelt művelet hátterében egy állami támogatású APT csoport állhat, azonban konkrét nemzetállamot eddig nem neveztek meg. Az összetett támadások célja a kiszemelt weboldalak felé irányuló hálózati forgalom elterelése a támadók irányítása alatt álló káros weboldalak felé, amelyet a DNS rekordok módosításával érnek el. A kampány célpontjában ezért számtalan szervezet állhat: domain nyilvántartók és regisztrátorok, DNS gyökérzóna szerver üzemeltetők, webtárhely szolgáltatók, stb. A Talos arra is felhívja a figyelmet, hogy bár a támadások jelenleg a közel-keleti és észak-afrikai régiókra fókuszálnak, az alkalmazott technikák magas sikerességi rátája más fenyegetési csoportok számára is vonzó lehet. Szakértők szerint javasolt védelmi intézkedésként az ún. domain zár (registry lock) szolgáltatás használata, a DNS rekordok menedzselését lehetővé tévő fiókok tekintetében többfaktoros hitelesítés bevezetése, valamint a szoftverfrissítések rendszeres telepítése. Kiemelendő, hogy a Talos elemzésében több technikai információt is elérhetővé tesz, köztük azon sérülékenységek listáját, amelyeket az eddigi támadások során kihasználtak.

(blog.talosintelligence.com)
Kevesebb
 április 12. 12:52

Az Emotet az egyik legnagyobb botnet jelenleg, jelentőségére jellemző, hogy nagyobb kiberbiztonsági cégek (CrowdStrikeFireEyeKryptos LogicMcAfeeIBMCybereason) elemzései alapján nagy szerepe van a Ryuk, a LockerGoga, valamint a BitPaymer zsarolóvírusok elterjedésében is.

Bővebben

Az Emotet az egyik legnagyobb botnet jelenleg, jelentőségére jellemző, hogy nagyobb kiberbiztonsági cégek (CrowdStrikeFireEyeKryptos LogicMcAfeeIBMCybereason) elemzései alapján nagy szerepe van a Ryuk, a LockerGoga, valamint a BitPaymer zsarolóvírusok elterjedésében is. A Cofense szerint a botnetet működtető kollektíva most új taktikát kezdett alkalmazni: egy korábbi, alapozó kampány során begyűjtött valós e-mail üzenetekre válaszolva küldenek káros hivatkozást az áldozatnak. Ez a technika ─ amelyet a Palo Alto Networks Észak-Koreához köt ─ nagyon megtévesztő, hiszen a felhasználó azt tapasztalja, hogy egy legitim e-mail beszélgetésben érkezik új üzenet. Az Emotet botnet spamelő hálózata ─ a lekapcsolás megnehezítésére ─ két fő klaszterből áll (E1, E2) és jelenleg mindkettő az új kampánnyal van elfoglalva. A ZDNet felhívja a figyelmet arra, hogy amennyiben valaki gyanús hivatkozást tartalmazó e-mailt kap egy partnerétől, javasolt korábbi Emotet-es fertőzések után kutatnia a rendszerén.

(www.zdnet.com)
Kevesebb
 április 11. 12:56

Február végén kibertámadás érte a japán HOYA vállalat thaiföldi üzemét, amely három napig részleges leállásokat okozott a gyártósoron.

Bővebben

Február végén kibertámadás érte a japán HOYA vállalat thaiföldi üzemét, amely három napig részleges leállásokat okozott a gyártósoron. A vállalat közleménye szerint körülbelül 100 munkaállomás fertőződött meg hitelesítő adatokat gyűjtő káros kóddal, valamint a támadás második fázisában kriptobányász malware-rel. Helyi hírforrások szerint – a szokatlanul magas erőforrás-felhasználás miatt – utóbbi vezetett a támadás felfedezéséhez. Habár  az üzletmenetre összességében alacsony befolyással bírt a támadás, és adatszivárgás sem történt, a termelésben keletkezett csúszás következményeivel a vállalat a mai napig küzd. A japán cég mellett márciusban hasonló kibertámadás érte a Toyota tokiói értékesítési leányvállalatát, amely során 3,1 millió vásárló érzékeny adata vált elérhetővé a hackerek számára. Szintén márciusban, a LockerGoga zsarolóvírus miatt, a norvég Norsk Hydro alumíniumipari vállalat volt kénytelen átállni a manuális műveletekre.

(www.bleepingcomputer.com)
Kevesebb
 április 11. 12:50

A FireEye nyilvánosságra hozta, hogy Triton (más néven TriSIS) támadást észleltek egy meg nem nevezett kritikus infrastruktúra ellen.

Bővebben

A FireEye nyilvánosságra hozta, hogy Triton (más néven TriSIS) támadást észleltek egy eddig meg nem nevezett kritikus infrastruktúra ellen. Említett támadási formát a szakértők rendkívül veszélyesnek tartják, mivel céljuk a fizikai károkozás olyan rendszereken, amelyek meghibásodása emberéletek veszélyeztethet. 2017 nyarán ezt a malware-t vetették be a szaúdi Petro Rabigh olajvállalat ellen, amelynek során a támadók kifejezetten a létesítmény katasztrófa állapotok megelőzésére, elkerülésére szolgáló biztonsági rendszereit (Safety Instrumented System ─ SIS) támadták. Szerencsére a támadás „csupán” az erőmű leállását okozta, azonban a következmények ennél jóval súlyosabbak is lehettek volna. A Triton támadások hátterében egy TEMP.Veles-ként hivatkozott kollektívát sejtenek, amely Oroszországhoz köthető, ugyanis az amerikai kiberbiztonsági cég szerint a malware elkészítésében lényeges szerepet vállalt egy orosz állami technológiai kutatóintézet (Central Scientific Research Institute of Chemistry and Mechanics ─ CNIIHM). A FireEye úgy véli más kritikus létesítmények ellen is folyhatnak műveletek, ezért a cég az érintett szervezetek számára javasolja a közreadott technikai információk feldolgozását.

(motherboard.vice.com)
Kevesebb
 április 10. 14:56

A Chronicle kutatói szerint egy negyedik csoport is részt vett a Stuxnet malware készítésében.

Bővebben

A Stuxnetet a világ első ─ felfedezett ─ katonai célú kiberfegyvereként tarják számon. A káros kódot, amelyet vélhetően az Egyesült Államok és Izrael vetett be egy iráni urándúsító üzem ellen, az eddigi kutatások már három másik kiberfenyegetéssel is összefüggésbe hozták (a Duqu és a Flame nevű, valamint az NSA-féle Equation Group kártékony szoftvereivel). A Chronicle legfrissebb elemzése szerint azonban a Stuxnet egy moduljának ─ a vezérlőszerverekkel való kapcsolattartást időzítő Stuxshop ─ fejlesztésében a Flowershop nevű, 2002 és 2013 között aktív malware-t készítő kollektíva is részt vett. A Chronicle az ilyen összetett kollaborációk meghatározására egy új fogalmat is bevezetett, az ún. „Supra Threat Actor”-t (STA), amely alatt egy több országot, szervezetet vagy csoportot reprezentáló, nagyobb szerveződést értenek. A Stuxnetet készítő STA-ra GOSSIPGIRL-ként hivatkoznak. A szakértők szerint a felfedezés azért is fontos, mert alátámasztja a Symantec teóriáját, miszerint a Stuxnet fejlesztése már 2005-ben megkezdődött.

(securityweek.com)
Kevesebb
 április 09. 10:43

A MikroTik biztonsági frissítéseket adott ki a hálózati eszközein futó RouterOS firmware-hez, azonban egyes biztonsági kutatók szerint ez nem minden MikroTik router számára nyújt védelmet. 

Bővebben

A MikroTik biztonsági frissítéseket adott ki a hálózati eszközein futó RouterOS firmware-hez. Ezek olyan, az IPv6 csomagok nem megfelelő kezeléséből fakadó sérülékenységeket javítanak, amelyek távoli kihasználásával kikényszeríthető az eszközök újraindulása (CVE-2018-19298), valamint RAM-kezelési problémák miatt azok túlterhelése (CVE-2018-19299). Úgy tűnik azonban, hogy a javítások ez utóbbi kapcsán nem minden MikroTik router számára nyújtanak védelmet, Marek Isalski biztonsági kutató ugyanis egy 64 MB RAM-mal rendelkező routeren tesztelve úgy találta, hogy a patch hatástalan. Isalski egyike volt azon kutatóknak, akik 2018 áprilisában elsőként jelentették a hibákat, emellett aktív támadásokról is közölt információkat. Javier Prieto MikroTik oktató szintén vizsgálódott az ügyben, ő úgy találta, hogy a rendszer egy névlegesen 256 MB RAM-mal rendelkező router esetében körülbelül 180 MiB-nyi (kb. 188 MB) memória „lopást” képes tolerálni, 200 MB esetén azonban az eszköz már újraindul. A szakemberek remélik, hogy a gyártó a szoftver következő béta verziójában már optimalizálja a RAM-használatot. (Szerk: Megjegyzendő, hogy az IPv6 csomagok kezelése alapértelmezetten tiltott a jelenlegi MikroTik firmware-ekben, így csak azon eszközök vannak veszélyben, amelyeken a felhasználók manuálisan engedélyezték azt.)

(securityaffairs.co)
Kevesebb
 április 04. 13:00

A nápolyi rendőrség közleménye alapján a hatóságok razziát tartottak a hivatalosan biztonsági kamera megfigyelő rendszert működtető, azonban a Motherboard információi szerint kémprogramokat is gyártó eSurv nevű cégnél.

Bővebben

A nápolyi rendőrség közleménye alapján a hatóságok razziát tartottak a hivatalosan biztonsági kamera megfigyelő rendszert működtető, azonban a Motherboard információi szerint kémprogramokat is gyártó eSurv nevű cégnél. Egy korábbi publikációjuk szerint a cég felelős több, mint 25, a Google Play Store-ba juttatott káros kódért, amelyekre az eset kapcsán vizsgálódó kutatók összefoglaló néven, Exodus-ként hivatkoznak. A spyware-t több komoly kritika is érte, mert bár a fejlesztő cég rendelkezik érvényes, „passzív és aktív elfogó rendszerek fejlesztésére” szóló szerződéssel, a hatályos olasz jogszabályok értelmében a kémkedési célú szoftverek nem telepíthetők a célpont megfelelő leellenőrzése nélkül. Az Exodus készítői ezt azonban nem végezték megfelelően, ráadásul nem ez volt az egyetlen súlyos hiba. Mint kiderült, a fertőzött eszközökön az Exodus hátsó ajtót is nyitott, ezzel bárki számára támadhatóvá téve őket. Helyi lapok információi szerint a rendőrségi eljárás már a Motherboard múlt heti cikke előtt megindult, amelynek részeként most az eSurv teljes infrastruktúráját lekapcsolták, egy, a céghez közel álló forrás szerint illegális lehallgatás vádjával.

(motherboard.vice.com)
Kevesebb