SafeGroup - Grupa ds. bezpieczeństwa

Platforma Android celem ataków metodą „drive-by download”

Paweł Smotryś — Thu, 03 May 2012 14:37:12 +0000

Analitycy z firmy Lookout Mobile odkryli prawdopodobnie pierwszą próbę infekcji systemu mobilnego za pomocą metody „drive-by download”.
Ta metoda ataku polega na cichej instalacji przez stronę WWW złośliwego kodu na urządzeniu ofiary, poprzez wykorzystanie ramki iframe, która pozwala m.in. na załadowanie innej strony w tle.
W tym konkretnym przypadku wygląda to następująco:

W przypadku Androida, aby próba infekcji zakończyła się sukcesem, urządzenie musi mieć włączoną opcję instalacji oprogramowania z nieznanych źródeł – w innym przypadku instalacja zostanie zablokowana.
Jeżeli natomiast dojdzie do infekcji, wówczas użytkownik zostanie jedynie poproszony o potwierdzenie instalacji programu:

Źródło: Lookout Mobile

Szkodnik wykryty przez Lookout Mobile został nazwany NotCompatible i póki co, zostały zidentyfikowane dwie strony, poprzez które odbywa się dystrybucja trojana:

- gaoanalitics.info

- androidonlinefix.info

Jako, że ta metoda ataku jest nowością w świecie urządzeń mobilnych, to wciąż trwają analizy nowego zagrożenia, może się więc okazać, że spreparowanych stron jest znacznie więcej.

Póki co, pocieszeniem może być fakt, że nie odnotowano znacznego ruchu na wyżej wymienionych stronach, więc istnieje szansa, że ilość urządzeń zarażonych nowym malware jest niewielka.

Źródło: Lookout Mobile, VentureBeat

CERT Polska podsumował 2011 rok

Eugeniusz — Sun, 29 Apr 2012 18:09:09 +0000

Zespół CERT Polska opublikował ponad siedemdziesięciostronicowy dokument podsumowujący ubiegły rok. Raport zawiera wybrane statystyki oraz najciekawsze incydenty zagrażające bezpieczeństwu internautów oraz pozostałe wydarzenia z dziedziny bezpieczeństwa internetowego. Zapraszam do lektury ;)

Najważniejsze obserwacje

Od kwietnia do czerwca 2011 roku miały miejsce bardzo intensywne ataki internetowe na infrastrukturę sieciową światowego potentata w dziedzinach rozrywki i technologii, firmy Sony. Zaatakowano sieci PlayStation Network (PSN) oraz Sony Entertainment Network (SEN), w wyniku czego skradziono dane ponad 100mln użytkowników i prawdopodobnie 10mln numerów kart kredytowych. Zaatakowano także firmy Nintendo i Codemasters, pornograficzny serwis pron.com oraz Citibank. Pradopodobnie w atakach brali udział członkowie grup Lulzsec oraz Anonymous.

W maju wyciekł kod źródłowy trojana bankowego ZeuS. Chociaż zdobyte informacje pozwoliły chwilowo zwiększyć bezpieczeństwo użytkowników programów antywirusowych, chwilę po tym zdarzeniu pojawiły się doniesienia o nowych wersjach tego bardzo groźnego trojana.
Najczęściej skanowanym portem był port o numerze 445, związany z usługą SMB w Windows, natomiast najczęściej niebezpieczne strony znajdowały się na darmowych serwerach Republiki.pl, Interii.pl oraz Friko.pl. Najpopularniejszy robak sieciowy to okryty złą sławą Conficker – 2.1mln zgłoszeń dotyczyło właśnie tego bota.
W Polsce znajduje się ponad 160 tysięcy źle skonfigurowanych serwerów nazw domenowych (DNS), problem ten dotyczy wszystkich operatorów.

Liczby w raporcie CERT

W 2011 roku zespół CERT Polska otrzymał 21 210 508 automatycznych zgłoszeń naruszenia bezpieczeństwa. Ponad 9mln dotyczyło działalności botów (zaobserwowano 5.5mln botów), prawie 6mln to przypadki skanowania portów, za spam odpowiada 4.5mln zgłoszeń. Co najciekawsze, zarejestrowano zaledwie 16 ataków DDoS.

Zgłoszono 266 300 przypadków ataków phisingowych. Połowa z nich została przeprowadzona z terytorium Stanów Zjednoczonych (50.9%). Drugim krajem z którego wykonywano ataki był Hong Kong (6.7%), trzecim – Niemcy (4.8%). W atakach najczęściej wykorzystano darmowe domeny cc oraz tk, które nawiasem mówiąc zostały usunięte z indeksów Google, ponieważ często były zainfekowane złośliwym oprogramowaniem. Z tego wynika że bez weryfikacji abonenta domeny nie możemy liczyć na wzrost ochrony przed phisingiem.

Pełny raport dostępny jest tutaj, natomiast raporty z poprzednich lat dostępne są tutaj. Gorąco zachęcam do zapoznania się z nimi.

Konkurs – Wygraj Emsisoft Online Armor Firewall!

Łukasz Tkacz — Mon, 09 Apr 2012 11:12:52 +0000

Redakcja portalu SafeGroup ma przyjemność zaprosić Was do udziału w kolejnym konkursie. Wszystkie osoby, które udzielą poprawnych odpowiedzi staną przed szansą wygrania jednej z dwóch oryginalnych, rocznych licencji programu Emsisoft Online Armor Firewall.

Aby wziąć udział w konkursie wystarczy, skorzystać ze specjalnej strony konkursowej i odpowiedzieć na kilka prostych pytań. Spośród osób, które odpowiedzą na nie prawidłowo, wylosowanych zostanie dwóch szczęśliwców, którzy otrzymają licencje na program. Wystarczy powiedzieć, że Emsisoft Online Armor Firewall zdobył już do tej pory i ciągle zdobywa prestiżowe nagrody w testach wielu portali.

Konkurs Emsisoft Online Armor Firewall – Podstrona konkursowa

Konkurs jest dostępny dla zarejestrowanych użytkowników serwisu SafeGroup.pl i trwa od 9.04.2012r. do 16.04.2012r. Zwycięzcy zostaną powiadomieni o wygranej drogą mailową, na adres podany w formularzu. W przypadku braku odpowiedzi ze strony zwycięzcy 5 dni od zakończenia konkursu, nagroda zostanie rozlosowana ponownie.

Stwórz nowe logo SafeGroup!

Łukasz Tkacz — Sat, 07 Apr 2012 19:58:10 +0000

Nie będziemy ukrywać, że przywiązaliśmy się już granatu, który od sporego czasu jest logiem serwisu SafeGroup. Niestety nie jest to w żaden sposób grafika unikalna. Została ona pobrana z wolnych zasobów i przerobiona na nasze potrzeby.

W ostatnim czasie zdecydowaliśmy się więc na zmianę tego elementu, bowiem odnajdujemy go w przeróżnych miejscach internetu. Kilka wewnętrznych propozycji to jednak o wiele za mało, więc dajemy szansę wykazać się wszystkim użytkownikom!

Sądzisz, że jesteś stanie stworzyć logo, które mogłoby godnie reprezentować portal SafeGroup.pl?
Już teraz możesz się wykazać!

Wystarczy, że stworzycie logo i wyślecie je na adres email redakcja@safegroup.pl wraz ze swoim loginem z serwisu. Nie ograniczamy ilości wysyłanych prac, prosimy jednak o wybieranie najlepszych ;)

Co oferujemy w zamian? Najlepsze logo może stać się naszym oficjalnym symbolem rozpoznawczym. Ponadto, osoby wyróżniające się swoimi pracami mają szanse na dołączenie do naszej redakcji jako graficy, oczywiście o ile będą zainteresowane wejściem w skład naszej ekipy.

Zapraszamy do wzięcia udział w naszej akcji, czekamy na wasze propozycje!

Konkurs – Wygraj Emsisoft Anti-Malware!

Łukasz Tkacz — Mon, 26 Mar 2012 04:39:23 +0000

Redakcja portalu SafeGroup ma przyjemność zaprosić Was do udziału w konkursie. Wszystkie osoby, które udzielą poprawnych odpowiedzi staną przed szansą wygrania jednej z dwóch oryginalnych, rocznych licencji programu Emsisoft Anti-Malware. Aby wziąć udział w konkursie wystarczy, skorzystać ze specjalnej strony konkursowej i odpowiedzieć na kilka prostych pytań. Spośród osób, które odpowiedzą na nie prawidłowo, wylosowanych zostanie dwóch szczęśliwców, którzy otrzymają licencje na program. Wystarczy powiedzieć, że Emsisoft Anti-Malware zdobywa coraz większą popularność za sprawą bardzo wysokich wskaźników wykrywalności.

Konkurs Emsisoft Anti-Malware – Podstrona konkursowa

Konkurs jest dostępny dla zarejestrowanych użytkowników serwisu SafeGroup.pl i trwa od 26.03.2012r. do 02.04.2012r. Zwycięzcy zostaną powiadomieni o wygranej drogą mailową, na adres podany w formularzu. W przypadku braku odpowiedzi ze strony zwycięzcy 5 dni od zakończenia konkursu, nagroda zostanie rozlosowana ponownie.

Ponadto zapraszamy do obejrzenia video-testu dotyczącego właśnie Emsisoft Anti-Malware, który znajdziecie na kanale SafeGroup na YouTube.

Videotest Emsisoft Anti-Malware – Kanał SafeGroup

Nowy wariant Duqu

Paweł Smotryś — Wed, 21 Mar 2012 19:51:42 +0000

Laboratorium firmy Symantec wykryło nowy wariant bardzo znanego już Duqu.

Co prawda plik, w którego posiadanie weszli analitycy, to tylko część tego dość złożonego malware, jednak bardzo istotna część – loader, odpowiedzialny za ładowanie pozostałych komponentów szkodnika po restarcie systemu (komponenty te są przechowywane w postaci zaszyfrowanej na dysku).

Źródło: Symantec

Jak wynika z raportu firmy Symantec, nowy wariant Duqu został skompilowany 23 lutego 2012 i wnosi pewne zmiany w stosunku do poprzednich wariantów szkodnika.

Pierwszą z nich jest nowy mechanizm szyfrowania wykorzystywany do zakamuflowania elementów malware na dysku zainfekowanej maszyny.

Kolejną zmianą jest brak podpisu cyfrowego sterownika. W poprzedniej wersji, twórcy Duqu, użyli skradzionego certyfikatu – nowa wersja podszywa się pod sterownik WDM.

Odkrycie nowej wersji Duqu daje nam jasny sygnał, że jego twórcy nie złożyli broni i będą używać coraz bardziej wyszukanych metod kamuflażu szkodnika.

Źródło: eHacking News, Symantec

Avira dla Androida [BETA]

Paweł Smotryś — Thu, 01 Mar 2012 08:55:24 +0000

Znany wszystkim producent świetnego oprogramowania antywirusowego – Avira – wydał właśnie wersję BETA aplikacji zabezpieczającej smartfony wyposażone w system Android: Avira Free Android Security

Poza samym modułem ochronnym, aplikacja oferuje również funkcję „anti-theft”, s skład której wchodzą m.in.:

- zdalna blokada urządzenia

- śledzenie z wykorzystaniem GPS

- funkcja „scream”

Poza typowymi dla tego typu aplikacji funkcjami, wymienionymi we wcześniejszym akapicie, Avira posiada kilka funkcjonalności wyróżniających jej produkt spośród innych, jak chociażby dodanie specjalnego przycisku do ekranu blokady, który pozwala na połączenie z wcześniej zdefiniowanym numerem telefonu – dzięki temu uczciwy znalazca będzie mógł w prosty sposób skontaktować się właścicielem urządzenia.

Kolejnym „ficzerem”, o którym warto wspomnieć jest możliwość przechowywania historii zabezpieczeń oraz zapisywania poleceń użytkownika, co z kolei może być bardzo przydatne w przypadku kradzieży urządzenia.

Nowy produkt ze stajni Aviry zapowiada się dość obiecująco i polecam go wypróbować, szczególnie biorąc pod uwagę to, że (na chwilę obecną) wszystkie funkcjonalności programu udostępnione są bezpłatnie.

Pobieranie: Android Market

Źródło: Android Police

Nowy malware atakuje Androida

Paweł Smotryś — Tue, 28 Feb 2012 07:25:33 +0000

Analitycy z SophosLabs wykryli nowego szkodnika atakującego urządzenia z systemem Android, który do rozprzestrzeniania się wykorzystuje klienta popularnego serwisu społecznościowego – Facebook.

Schemat infekcji jest bardzo prosty i najlepiej zobrazuje go video dostępne na kanale SophosLabs:

Android malware – spread via Facebook

Głównym celem szkodnika jest narażenie użytkownika na straty finansowe poprzez wykonywanie połączeń z numerami o podwyższonej opłacie i wysyłanie wiadomości tekstowych na numery Premium, przy czym należy zaznaczyć, że malware zawiera całą bazę takich numerów z niemal wszystkich krajów.

Źródło: SophosLabs

Bouncer – lekarstwo na malware w Android Market?

Paweł Smotryś — Sat, 04 Feb 2012 17:28:54 +0000

W związku z rosnącą popularnością urządzeń wyposażonych w system Android i co za tym idzie, wzrostem liczby szkodliwych aplikacji, Google uruchomiło usługę Bouncer.
Nowe dziecko Google będzie wykorzystywało dwa mechanizmy w celu określenia, czy dana aplikacja jest szkodliwa, czy też nie jeszcze zanim zostanie opublikowana w Android Market.
Pierwszy z nich to całkowicie zautomatyzowany proces skanowania aplikacji trafiających do sklepu z aplikacjami dla Androida.
Drugi natomiast, to uruchomienie programu w piaskownicy w celu określenia, czy zachowanie danej aplikacji nie jest podejrzane.
W związku z tym, że obydwa procesy będą całkowicie zautomatyzowane, rodzi się pytanie, co w przypadku kiedy Bouncer uzna aplikację „czystą” za malware i nie dopuści jej do Android Market?
Deweloperzy mogą spać spokojnie, ponieważ w takim przypadku program zostanie poddany dodatkowej analizie przez wykwalifikowanych specjalistów.

Miejmy nadzieję, że dzięki nowemu mechanizmowi weryfikującemu aplikacje dostępne Android Market, stanie się on w niedługim czasie mniej atrakcyjny dla twórców szkodliwych aplikacji.

Źródło: Google Mobile Blog

Sabelnikov zaprzecza oskarżeniom o kierowanie botnetem Kelihos

Paweł Smotryś — Mon, 30 Jan 2012 10:50:17 +0000

Andrey Sabelnikov, wskazany przez Microsoft jako operator botnetu Kelihos, nie przyznaje się do winy, o czym informuje w swoim wpisie na LiveJournal:

„I did not commit this crime, [have] never participated in the management of botnets [nor] any other similar programs, and especially not extracted from it any benefit,”

Sabelnikov przebywa obecnie w Rosji i tam też będzie sądzony, ponieważ rosyjskie prawo nie przewiduje możliwości ekstradycji swoich obywateli.

Źródło: Infosecurity