Networksecurity.fi Weblog - Juha-Matti Laurio

The victims of RPC Trojan Gimmiv were XP boxes in Asian area

A list of hundreds Windows machines has been released by 0x000000.com. The list entitled RPC Worm Victim List states that the victim machines are mainly Windows XP machines (i.e. MSIE 6.0 or MSIE7.0; Windows NT 5.1 in browser’s user agent).

I made a script yesterday to generate WHOIS queries and the results say that the victim machines are located mainly in Asian area.

There is one machine registered to Microsoft IP too.

Link to my newest SecuriTeam blog entry.

Webbitietokanta siirtyi sulavasti taulukkolaskentaan

Brittiläismies onnistui hakemaan tietoja Amazon-verkkokaupasta osaksi taulukkolaskentadokumenttia.

Iso-Britanniassa asuva Tony Hirst on onnistunut kokeiluissaan noutaa tietoja taulukkolaskentaohjelmistoon esimerkiksi Wikipedia-dokumenttiin kuuluvista taulukoista. Mies kertoo onnistuneensa hakemaan brittiläistaajamien asukaslukuja Wikipediasta sekä tietyn kirjailijan teoksia suoraan Amazon-verkkokaupan tietokannasta.

Kokeiluista ensimmäinen koski The New York Timesin julkaisemien Yhdysvaltain presidenttiehdokkaiden osavaltiokohtaisia kampanjamenoja. Tiedot lehden sivuilla tietokantana julkaissut kehittämisyksikkö saa paikallisilta viranomaisilta.

Mies toteutti kirjahaun puolestaan Amazonin sivuilta ladattavissa olevan erityisen REST-rajapinnan avulla. Hirst keksi käyttää verkkokauppaan rekisteröitymisen yhteydessä saatavaa tilaajatunnusta lomakkeessa, jolla tehdään haku esimerkiksi tietyn aihepiirin kirjoista Amazonin verkkopalveluun. Vastauksena lomake antaa yksilöllisen nettiosoitteen.

Kyseiset nettiosoitteet on tarkoitettu esimerkiksi omille verkkosivuille sijoitettavaksi, mutta Hirst keksi sijoittaa linkin taulukkolaskentaohjelman soluun. Kokeiluaan mies perustelee sillä, että Amazonin antamaassa osoitteessa sijaitseva tieto on xml-muotoista.

Google Docs osasi lukea tietoa

Esimerkissään Hirst haki sikäläisen scifi-kirjailijan Terry Pratchettin teoksia, kertoo työkseen robotiikkaa Cambridgen yliopistossa opettava Hirst OUseful-blogissaan.

Kun mies syötti nettiosoitteen Googlen Spreadsheet-taulukkolaskentaohjelmaan järjestyivät ISBN-numerot ja kirjaesittelyjen linkit automaattisesti omiin sarakkeisiinsa. Hirst totesi tiettyjen parametrien avulla muun muassa kirjan nimen mukaisen lajittelun onnistuvan ja soluun tehdyn haun kohdistuvan todellisuudessa Amazonin tietokantaan.

Vaalikampanjabudjetteja koskevan Google Docs –taulukon mies päätti julkaista esimerkinomaisesti myös verkossa.

Several updates to Windows RPC vulnerability FAQ done

The FAQ document includes the following new information (from Revision History):

1.2 26-10-2008 Major updates to Trojan section, added credits, information of non-affected dll versions and Snort rule reference
1.3 27-10-2008 Added information about the various file names and sizes, a separate Arpoc section and Nessus plugin reference

Microsoft Windows RPC Vulnerability MS08-067 (CVE-2008-4250) FAQ - October 2008

I have released an FAQ document about critical Windows RPC vulnerability MS08-067 at SecuriTeam Blogs site. The document will be updated during the Sunday (Finnish time) and hyperlinks will be added.

Link to the document below:
Microsoft Windows RPC Vulnerability MS08-067 (CVE-2008-4250) FAQ - October 2008

Update: hyperlinks added, new information added and several updates

TCP/IP-protokollahaavan salat pysyvät piilossa

Elokuussa löydetyn TCP/IP-protokollan turva-aukon yksityiskohdat tulevat julkisuuteen vasta ensi vuoden puolella, mahdollisesti vasta keväällä.

Tällaiseen päätökseen on päätynyt CERT-FI-yksikkö, joka otti koordinoinnin ohjelmisto- ja laitevalmistajien suuntaan hoitaakseen alkukuusta.

Cisco on julkaissut oman, hyvin ympäripyöreän dokumenttinsa aiheesta viime perjantaina.

Robert E. Lee writes about discussion around the TCP/IP DoS issue

Robert E. Lee of Outpost24 has posted a new entry entitled A more detailed response to Gordon "Fyodor" Lyon's post describing the recent state of TCP/IP issue, i.e. discussion around the TCP/IP protocol stack Denial Of Service vulnerability.

There is a FAQ type section included too.

T2 '08 -seminaari alkaa Helsingissä

Vuosittainen T2-tietoturvaseminaari sijoittuu tälle viikolle. Tänään ja huomenna tiedossa on mm. TCP/IP-haavoittuvuutta valottava Outpost24:n luento sekä Adam Laurien esitys.

Seminaarissa nähdään taas.

Three good reasons why iPhone isn’t the major corporate smartphone

Overall three vulnerabilities have been reported in Apple's iPhone this month.

All of these affect to the most recent Phone version 2.1.

The summary about SMS information disclosure vulnerability and Mail's phishing and spamming vulnerability can be read via my newest SecuriTeam Blogs entry. Visit the link here.

Windows Mobile iPhonessa paljastui huijaukseksi

Norjalaiskoodaajan kertoma tieto Windows Mobile -käyttöjärjestelmän ajamisesta Applen iPhonessa on osoittautunut perättömäksi.

Uutissivustoilla ja blogosfäärissä levinneen tiedon mukaan Windows Mobilen käyttö olisi toteutettu PC:istä tutulla dual boot -toiminnolla. Käyttöjärjestelmän ajamista iPhonen 3G-mallissa demonstroitiin myös videolla, joka on kuvattu Las Vegasissa pidetyssä MyPhone2008-seminaarissa. Puolen minuutin mittaisella videolla norjalainen 15-vuotias sovelluskehittäjä Erik Kristiansen esittelee esimerkiksi kalenteritoimintoon siirtymistä käynnistettyään puhelimen Windowsiin. Myös Excel Mobile käynnistyy Windows Mobile 6.1 Pro -käyttöjärjestelmässä.

Engadget Mobile -sivusto päivitti uutistaan aiheesta eilen ja vahvisti videolla esitettävän demonstraation huijaukseksi. Lisäksi Pocketnow-blogia ylläpitävä Brandon Miniman havaitsi, että miehen esitellessä Käynnistä-valikkoa valikko häipyy näytöltä itsestään ilman kosketusnäytön käyttöä. Lisäksi sivuston mukaan Windows Mobile ei tue iPhonen 480x640-resoluutiota 192 DPI:n tarkkuudella.

Miniman uskookin käyttöjärjestelmädemon olevan animoituihin GIF-kuviin perustuva iPhone-sovellus. Beetavaiheessa olevan toteutuksen piti videon mukaan tulla saataville ensi tammikuussa.

Windowsin sovittamista iPhoneen on pidetty tähän mennessä mahdottomana toteutuksena. Windows Mobilessa on sitä vastoin mahdollista ajaa Palm OS:lle suunniteltuja sovelluksia StyleTap-nimisen emulaattoriohjelmiston avulla.

Kun videon on katsonut ei sen tunnistaminen hoaxiksi kyllä erityisen vaikeaa ole...

Päivitys: Kristiansen demoaa "tuotostaan" noin kohdassa 1:30.

Apple's massive Security Update 2008-007 has arrived

Apple's latest Security Update 2008-007 addresses tens of vulnerabilities.

Here are some useful references:

support.apple.com/kb/HT3216

secunia.com/advisories/32222/

Flaws in CUPS, QuickLook, libxslt etc. enable code execution and a patch for PHP, Tomcat etc. is being included too.

KB555965.exe-huijaus käyttää vanhaa kikkaa

Myös suomalaissähköposteihin kolahteleva Security Update for OS Microsoft Windows -huijaus hyödyntää sitä vanhaa tosiasiaa, että surullisen monet käyttäjät luottavat tällaisiin sähköpostitse saapuviin "virallisiin ilmoituksiin". Näkyvä lähettäjäosoite on niin tyypillinen kuin vain odottaa saattaisi eli  Microsoft Customer Service <customerservice @ microsoft.com>.

Huvittaa kyllä samassa viestissä runsas OS-sanan viljely an update for all Microsoft Windows OS users sekä PGP-allekirjoitus.

Allekirjoituksen vakuuttavuuden lisäämiseksi siihen on lisätty henkilön nimi:

Thank you,

Steve Lipner
Director of Security Assurance
Microsoft Corp.

Vähän niin kuin vuosia sähköposteissa liikkuneissa raiskaushuumeviesteissä, joissa allekirjoituksessa komeilee Helsingin poliisilaitoksen poliisin nimi.

Sen kun ihmiset uskoisivat, ettei Microsoft toimita turvapäivityksiä sähköpostitse - eikä varsinkaan englanninkielisellä saatetekstillä pääosin suomenkielisiin Windowseihin.

Vähintään yhtä huvittavaa on Win98:n ja WinME:n sisältyminen päivitettävien käyttöjärjestelmien listaan...

Virustorjujat näyttävät tuntevat tuon exe:n sisältämän haittaohjelman melko kattavasti, mm. Trojan-Spy.Win32.Goldun.bce:nä, Mal/EncPk-CZ:nä ja Infostealerina.

Ja muuten, Lipner työskentelee Microsoftilla tietoturvatehtävissä..

Opera altis Java-hyökkäyksille

Opera-selaimesta löytyi turvaongelma, joka mahdollistaa Java-sovelmien pääsyn tietokoneella oleviin tiedostoihin.

Teknisesti ongelma liittyy Java-sovelmien eli applettien käyttöoikeuksiin. Kun Java-sovelma on kertaalleen ajettu muistaa selain appletin sijainnin tietokoneen kiintolevyllä olevassa välimuistikansiossa. Koska paikallisella tietokoneella oleva sovelma ajetaan suuremmilla oikeuksilla, on sovelman mahdollista lukea myös muita välimuistikansiossa sijaitsevia, selailun aikana sinne tallentuneita tiedostoja.

Norjalaisvalmistajan teknisen kuvauksen mukaan tiedostot on Java-sovelman keinoin mahdollista lähettää myös hyökkääjälle. Ongelman löysi ja siitä selainvalmistajalle raportoi Ernst & Youngilla työskentelevä Nate McFeters.

Toinen samalla kertaa paikattu turvaongelma koskee selaimen tapaa käsitellä edelleenohjauksia, jolloin vihamielisen koodin ajaminen tarkoitusta varten muotoillulla linkillä on mahdollista. Tanskalainen tietoturvayhtiö Secunia luokittelee aukot viisiportaisella asteikollaan Erittäin kriittinen -tasolle eli 4/5-luokkaan. Myös Operan oma luokitus sovelma-aukolle on tasoa Erittäin vakava.

Haavoittuvuudet on korjattu 9.6-versionumeroa kantavassa selainversiossa. Päivitetty selain on ladattavissa valmistajan lataussivuilta osoitteesta www.opera.com/download/. Secunian mukaan päivitystä tarvitsevat myös aikaisemmat versiotasot 5.x-versioista lukien.

BL-5C-akku: N70-kännykkä räjähti Tampereella

Nokian N70-matkapuhelimen akku räjähti puhelimen akun ylikuumennettua kesken puhelun.

Tapauksesta kertoo Aamulehti verkkosivuillaan. Lehden mukaan tamperelainen Ilkka Immonen oli soittamassa kotinsa parvekkeella havaitessaan puhelimen yhtäkkiä lämpenevän voimakkaasti. Immonen ehti jättää tulikuuman matkapuhelimen betonilattialle ja siirtyä seuraamaan asunnon sisältä laitteen mustumista. Lopuksi akku pullistui pamahtamalla räjähtäen, kertoo Aamulehti.

Puhelin oli hankittu kesällä 2006 ja siinä oli edelleen alkuperäinen Nokian BL-5C-akku. Nokia veti kyseiset akut pois liikenteestä reilun vuoden takaisella takaisinkutsukampanjalla.

Kyseiset akut on valmistanut japanilainen Matsushita Battery Industrial joulukuun 2005 ja marraskuun 2006 välisenä aikana. Nokian mukaan oikosulun tai ylikuumenemisen aiheuttava vika ilmenee vuoden-parin käytön jälkeen.

Suomenkielinen kampanjasivu kertoo akkutyyppiä käyttävät puhelinmallit sekä opastaa akkutyypin tunnuksen löytämisessä. Sivulla on myös valmistusnumeroon perustuva hakutoiminto oman puhelimen vaarallisuuden tarkistamiseksi.

Tamperelaismies oli ladannut matkapuhelimensa juuri ennen kohtalokasta puhelua. Herkimmin oikosulku tulee täyteen ladattuun akkuun.

Akkumallin oikosulkutapauksia on Nokian tietoon tullut elokuuhun mennessä noin sata. Uuden tapauksen tekee harvinaiseksi se, että ylikuumeneminen on tapahtunut muussa kuin lataustilanteessa.

Akkuja on käytetty Nokian mukaan myös langattomissa LD-1W-sarjan GPS-vastaanotttimissa.

Picasa-sivusto ei enää vuoda yksityisiä albumeita

Picasa Web Albums -sivuston yksityisiä kuva-albumeita vuotanut turva-aukko on korjattu. Ns. ei-listatun kuva-albumin kommentoinnin myötä kuviin pääsyn salliva linkki saattoi levitä ulkopuolisille tahoille.

Teknisesti ongelma liittyi selaimien lähettämään viittaus- eli referrer-osoitteeseen, joka välittyy sivustojen ylläpitäjille ja tallentuu www-palvelimien lokitiedostoihin. Google on nyt paikannut tämän kuvankäsittely- ja jako-ohjelmistonsa aukon.

Kun yksityistä kuva-albumia katsellut käyttäjä lisäsi kuvaan myös linkin muualle verkkoon sisältävän kommentin, sisältyi kommentista muodostuvaan osoitteeseen myös autentikointitunnus. Jätettäessä kommentti tyyliin ”Omat Italian-kuvani löydät osoitteesta http://www.osoite.com näki siis Osoite.com-palvelimen ylläpitäjä autentikointitunnuksineen osoitteen, josta Picasan kommenttia klikannut kävijä saapui.

Käytännössä tämä tarkoitti, että yksityisiksi tarkoitettujen kuvien katselu oli ennen korjausta mahdollista ilman kirjautumista kuvanjakosivustolle kaverilta saadulla valmiilla linkillä. Autentikointitunnuksella Google on pyrkinyt estämään kuvien vuotamisen linkin osoite arvaamalla.

Käytännössä korjaus tapahtui siten, ettei kommentteihin jätetyistä linkeistä enää tule klikattavia.

My name is Elvis Presley and here is my RFID passport

The Hacker’s Choice group has managed to clone a chip of RFID-based passport and of course, they used the name, DOB and photo of Elvis Aaron Presley. This is the subject of my SecuriTeam Blogs entry posted recently.

Demonstration video and some technical information can be found here.