Networksecurity.fi Weblog - Juha-Matti Laurio

Linux-sivustot menestyivät saavutettavuusvertailussa

Applen verkkosivut olivat kartoituksessa saavuttamattomissa kaksi minuuttia kuukauden aikana.

Applen ja Linux-jakelijoiden sivustojen saavutettavuusarvot päihittävät Microsoftin lukemat, kertoo ruotsalaiskartoitus.

Käyttöjärjestelmätoimijoiden sivustojen saavutettavuuden kartoitti seurantapalveluihin erikoistunut ruotsalainen Pingdom, joka kertoo kartoituksen tuloksista blogissaan. Kaikkiaan 18 eri sivustoa seurattiin yhtäjaksoisesti kuukauden ajan.

Mukana olivat Windows-käyttöjärjestelmävalmistaja Microsoft, OS X –käyttöjärjestelmän valmistaja Apple sekä 16 eri Linux-käyttöjärjestelmän jakelijaa. Viimeksi mainittuja edustivat mm. Debian, Gentoo, Mandriva, OpenSUSE, Slackware ja Ubuntu.

Sivuston katkosaikoja kutsutaan it-slangilla downtime-ajoiksi. Ilman katkoksia selvisivät toimijoista Fedoran, Knoppixin, Mepisin ja Red Hatin sivustot.

Pisimmät niin sanotut downtime-ajat olivat Microsoftilla sekä linux-jakeluilla Gentoo ja Mandriva. Linux-jakeluiden sivustoja ylläpitävät sekä yritykset että vapaaehtoisyhteisöt, muistuttaa blogikirjoitus.

Applen katkos parisen minuuttia

Microsoft.com:n katkoksien pituus oli yhteen laskettuna tarkalleen yksi tunti 19 minuuttia. Apple.com oli saavuttamattomissa kaksi minuuttia ja Linux-jakeluiden katkokset kestivät keskimäärin muutamia minuutteja. Arch Linuxin katkokset olivat pituudeltaan kuitenkin yli 29 tuntia.

Kartoitus selvitti myös sivustojen vasteaikoja. Linux-jakeluista lähes kaikilla eli 13 toimijalla latausajat olivat Microsoftia nopeampia. Myös Apple.com ohitti Microsoftin latausaikoja vertailtaessa. Jakelu- tai päivityspakettien latausaikoja ei laskettu.

Käyttöjärjestelmätoimijat näyttävät myös luottavan pääsääntöisesti omiin tuotteisiinsa sivustoillaan. Linux-jakelijat toimivat Linux-alustalla, Microsoft Windows Server 2008 –alustalla ja Apple Unix-alustalla. Mac OS X:hän pohjautuu Unix-käyttöjärjestelmään.

Kirjoitusten päiväykset muutettu 9/11/2008-muotoon

Six Apartin alustauudistuksessa viime viikolla automaattisesti toteutettu päiväysmuodon muutos on nyt korjattu. Muutin entryjen päiväyksen muodoksi tutumman pp/kk/vvvv-muodon. Nyt välivaiheessa esim. tämän entryn pysyvä linkki on sisältänyt aikaleiman 11/09/2008 klo 01:55 ap, jonka on voinut tulkita joko 11. syyskuuta tai 9. marraskuuta.

Myös kellonaikakentät on muutettu takaisin suomalaisemmiksi.

Valitettavasti vaihtoehtoja on päivityksen jälkeen valittavissa vähemmän. Kellonajoissa suomalaisin muoto oli tt:mm, johon päädyin. Etunollia en kannata, mutta noihin vaihtoehtoihin oli tyytyminen.

Puolan tiedustelupalvelu skannannut postilähetysten tietoja vuosia

Kirjekuoren vastaanottaja- ja lähettäjätiedot lukeva skannauslaitteisto käyttää myös käsialatunnistuksen tekniikkaa.

Sisäisen turvallisuuden virasto on taltioinut Puolan postin lajittelukeskuksissa vastaanottajatietoja kirjekuorista useiden vuosien ajan.

Asiasta kertoo Puolassa ilmestyvä Dziennik-sanomalehti. Lehti viittaa postin työntekijän antamiin tietoihin marraskuussa 2003 solmitusta postin ja sisäisen turvallisuuden viraston välisestä sopimuksesta. Skannatut tiedot päätyvät Agencja Bezpieczeństwa Wewnętrznego –nimiselle (ABW) virastolle. Sen toimialaan kuuluvat terrorismin vastainen toiminta sekä järjestäytyneen rikollisuuden ja korruption torjunta. Virasto hoitaa myös turvallisuuspoliisin tehtävät ja on maan toinen NSA-turvaviranomainen (National Security Authority).

Myös käsiala tulkitaan

Kirjeistä luetaan vastaanottajan ja lähettäjän nimi ja käsin kirjoitetuissa osoitteissa hyödynnetään myös skannauslaitteiston grafologisia ominaisuuksia. Tällä hetkellä ei ole tietoa luetaanko tiedot myös postipaketeista.

Tarjouskilpailussa olivat mukana saksalainen Siemens ja italialainen Finmeccanica-konserniin kuuluva Elsag Datamat. Postilaitoksen lähteen mukaan myös japanilaisen Mitsuin 30 prosenttia edullisemmat laitteet pääsivät loppusuoralle, mutta niistä puuttui käsialaa tunnistava ominaisuus. Tarjouskilpailun voittaneen Siemensin laitteet ovat olleet sijoitettuina muun muassa Krakovassa, Lodzissa ja Katowicessa sijaitseviin lajittelukeskuksiin.

Puolassa on reilut 38 miljoonaa asukasta ja maan postilaitoksella työskentelee noin 10 000 henkilöä. Järjestelmä on tarkoitus laajentaa keväällä tehdyllä 65 miljoonan euron arvoisella jatkosopimuksella kattamaan koko Puolan.

Varsovalaisen ihmisoikeusjärjestö Helsinki Foundation for Human Rightsin sihteerin Adam Bondarin mukaan kirjekuoreen kirjoitettavia tietoja suojaa kirjesalaisuus. Paikallisten tiedotusvälineiden haastatteleman, hankinnan aikana viraston apulaisjohtajana toimineen Mieczyslaw Tarnowskin mukaan vastaanottajatietojen taltiointi voidaan kuitenkin rinnastaa puhelinlaskutukseen.

Maan oikeusasiamies ja tietosuojavaltuutettu ryhtyvät selvittämään toiminnan lainmukaisuutta ja sitä voidaanko kaikkien kansalaisten lähettäjätiedot tallentaa tietokantaan terrorismiepäilyjen perusteella.

Mac-troijalaiseen löytyi valmistusohjeet verkosta

Luulin julkaisseeni tämän entryn jo alkuviikosta, mutta se on näköjään unohtunut teksturiin oikoluvun jäljiltä. OSX.Lamzev-entrystä kun on jo noin viikko. Parempi myöhään kuin ei silloinkaan:

Uuden OS X –haittaohjelman nimi tulee sen laatimiseen käytetystä työkalupaketista.

Verkossa on nyt viime viikosta lähtien liikkunut pelkästään Applen Macintosh-käyttöjärjestelmälle laadittu troijalaisohjelma. Tietoturvayhtiö Symantecin mukaan kyseessä on troijalainen ja yhtiö on antanut sille nimen OSX.Lamzev.A. Troijalainen avaa takaporttiyhteyden saastuttamalleen tietokoneelle.

Tietoturvasivusto Packet Storm Security julkaisi heinäkuussa niin sanotun troijalaiskitin, jonka nimen mukainen tiedosto asentuu Lamzevin saastuttamalle tietokoneelle. Haittaohjelma on todennäköisesti laadittu työkalupaketilla, joita verkkorikolliset valmistavat myös esimerkiksi kalasteluhuijausten toteuttamista varten.

Vihamielinen tiedosto on 34,3 kilotavun mittainen. OS X –työaseman joutumisen saastumisen kohteeksi voi havaita sovelluskansioon ilmestyneestä ezmal-nimisestä tiedostosta.

Lamzev.A-nimi muodostuu kyseisen tiedoston nimestä takaperin kirjoitettuna. A-pääte puolestaan tarkoittaa sen ensimmäistä muunnosta eli varianttia.

Vajaan kolmen vuoden lyhyt historia

Mm. F-Secure ja Sophos luokittelivat helmikuussa 2006 löydetyn Leap.A-viruksen kaikkien aikojen ensimmäiseksi varsinaiseksi Mac-haittaohjelmaksi. Leap.A:han levisi iChat-pikaviestimen avulla ja pyrki Lamzevin tavoin saastuttamaan paikallisesti asennetut sovellukset.

Tämän vuoden kesäkuussa verkosta löytyi OS X –käyttöjärjestelmän etätyöpöytähaavoittuvuutta hyödyntävä Mac.Hovdy.a-haittaohjelma

IBM jakoi Lenovo-sivuillaan haittaohjelmaa

Troijalainen sisältyi ohjelmistopakettiin, jolla Windowsin salasanasuojaus korvataan USB-liitäntäisellä laitteella.

IBM:n ajurisivuston Windows XP- osion tiedostoissa majaili takaporttitroijalainen.

Haittaohjelma on ns. dropper-tyyppinen Win32/Meredrop-troijalainen. Dropper tarkoittaa ohjelmaa, joka asentaa eli "pudottaa" aktivoituessaan tietokoneelle useita vihamielisiä ohjelmia.

Lymysi 3000- ja ThinkCentre-ohjelmistoissa

Ohjelmistopaketti tuntee ZDNetin mukaan nimen Lenovo Key Trust, mutta se ei ole enää IBM:n lataussivuilla saatavilla. Googlen välimuistiin tallennetun version mukaan ohjelmisto on julkaistu toukokuussa ja se on tarkoitettu 3000 J200 – sekä ThinkCentre A – ja M-sarjan tietokoneille.

Key Trust on tietokoneen usb-porttiin liitettävä laite, joka korvaa Windowsin kirjautumisen ja työaseman lukituksen.

Virustorjujat tuntevat troijalaisen myös nimellä Backdoor.Win32.Oderoor. XP-tietokoneen järjestelmäkansioon kopioituneet tiedostot puolestaan ovat bori.exe ja zudouv.exe.

Viime kuussa Asusin toimittamista tietokoneista löytyi haittaohjelma, joka oli tarkoitettu verkkopelien käyttäjätunnuksien varastamiseen.

Finnish police investigating forged invitations to president’s reception

Here in Finland

number of fake invitations to the president's annual Independence Day reception had been sent to people the president's office had not invited.

Lieutenant-Commander Janne Muurinen considers this a security threat.

It really is a serious threat. There is no information about this kind of attempts during the past years.

According to news sources the police laboratory is investigating these invitation cards and fingerprints have been taken from the person reporting about the invitation.

Nordea-phishingillä ongitaan luottokorttinumeroa ja PIN-koodia

Viikonloppuna alkanut huijauskampanja kalastelee suomalaissähköpostien käyttäjiltä luottokorttinumeroa sekä viimeistä voimassaolokuukautta, kortin takapuolella olevaa CVV-tunnusta ja pankkiautomaattikäyttöön tarvittavaa tunnuslukua.

Huijaussivu ADSL-liittymässä Btopenworld.com-verkossa näyttää hakevan mm. Nordean logot samalta palvelimelta missä itse huijaussivu on. Ainoastaan vasemmassa yläkulmassa oleva Nordean logo johtaa Nordea.com:iin.

Sivu toimii tälläkin hetkellä, mutta ainakin Firefoxin ja uusimman Safari 3.2:n phishing-estot torppaavat sivun.

Phishing-viestejä on kolahdellut suomalaissähköposteihin nyt yli kolmen vuoden ajan.
Päivitys 20.11.: Sivusto on saatu hengiltä myöhään tiistai-iltana.

OS X malware family has a new member: OSX.Lamzev.A

The new Trojan for Mac was found and the name of the malware is OSX.Lamzev.A.

This Trojan has been covered at my most recent SecuriTeam Blogs entry.

On taas Firefoxin päivittämisen aika

Mozilla Firefoxin 3.0.4-versioon sisältyvistä haavoittuvuuksista kaikkiaan neljä on saanut Critical-luokituksen.

Latausosoite (kaikki kieliversiot) on tuttuun tapaan täällä.

Uusi kategoria Web/Tekniikka

Blogiin on avattu uusi (TypePadin tarjoama) kategoria Web/Tekniikka. Kategoriaan tulee aikaisemmin IT-uutisiin sijoitettuja kirjoituksia, jotka käsittelevät mm. web-teknologioita. Myös vanhoja kirjoituksia siirretään kategoriaan kun sopiva rako löytyy.

Acrobat-haittakoodin tekijä on surkea koodari

Acdobat-haavoittuvuutta hyödyntävä haittakoodi on laadittu yritysten ja erehdysten kautta, kertoo belgialaisasiantuntija.

Verkossa levitettävien vihamielisten tiedostojen nimet ovat data.pdf ja info.pdf, raportoi belgialainen Didier Stevens blogissaan. Pdf-tiedostojen analysointiin erikoistunut it-ammattilainen on laatinut useita Python-kielisiä ohjelmia Acrobt-dokumenttien tutkimista varten.

Stevens on todennut haittaohjelman laatijan hyödyntäneen Adoben Incremental Updates –nimellä tuntemaa toimintoa, joka sallii dokumentin muokkauksen jälkikäteen. Dokumenttiin tehdyt lisäykset tallentuvat konkreettisesti tiedoston loppuun eikä alkuperäiseen sisältöön tallennusprosessissa puututa, kertoo mies blogissaan.

Stevens löysi tiedostoista toisesta viisi eri tallennusversiota. Tiedoston metadatan mukaan tiedostot on puolestaan laadittu aamuyöllä viime viikon torstaina. Troijalaisen tietokoneelle asentavat tiedostot ovat olleet levityksessä viikonlopusta lähtien.

Tiedoston versiohistoriasta löytyy tarkalleen tieto siitä, miten tiedostoon upotettua JavaScript-koodia on muutettu muutaman minuutin välein yrittäen saada koodia toimimaan. Stevensin mukaan tekijän koodaustaidot ovatkin vaatimattomat.

Acrobat 8 –versiot päivitettävä

Vihamielisiä pdf-muotoisia dokumentteja on levitetty palvelimelta, jonka verkkotunnus on .cx-päätteinen. Cx-verkkotunnus kuuluu Australian hallinnoimalle Joulusaarelle.

Noin 11 kilovatun mittaiset pdf-tiedostot hyödyntävät haavoittuvuutta, jonka Adobe korjasi ohjelmistoistaan viime viikolla. Haavoittuvuus on myös lisäosassa, jolla Acrobat-dokumentit voi lukea selaimen sisällä. Aukko on ainoastaan ohjelmiston 8.x-sarjassa ja paikattu versio tuntee versionumeron 8.1.3.

Ellei ohjelmiston päivittäminen ole välittömästi mahdollista voi virustorjuntaohjelmistosta olla hyötyä hyökkäyksiä vastaan. Virustorjuntatoimijat ovat saaneet kattavamman suojan kehitettyä haittaohjelmille eilisestä lähtien. Suoja vihamielisiä tiedostoja vastaan on julkaistu Trojan.Pidief– ja PDF/Utilf-muotoisilla nimillä.

Rekisterien väärinkäyttöä myös verohallinnossa

Verovirastossa Jyväskylässä on havaittu tapaus, jossa työntekijä oli tutkinut yksityishenkilöiden verotietoja omiin, kuolinpesään liittyviin tarkoituksiinsa. Nainen tuomittiin teoista 600 euron sakkoihin.

Jyväskylän käräjäoikeuden hiljattain antaman tuomion mukaan rikosnimikkeet olivat henkilörekisteririkos ja virkavelvollisuuden rikkominen.

Tapauksia tulee ilmi tasaisesti eri hallinnonaloilta. Olisikohan valtiovarainministeriön kaltaisten tahojen aika puuttua asiaan esimerkiksi ohjeistusta ja lokikäytäntöjä lisäämällä ja yhtenäistämällä?

PDF-aukon virustorjuntasuoja paranemassa

Kun Internet Storm Center (ISC) sai tiedon liikenteessä olevista vihamielisistä PDF-dokumenteista ei mihinkään markkinoilla olevaan yli 30 virustorjuntaohjelmaan sisältynyt suojaa ko. tiedostoja vastaan.

F-Secure tuntee exploit-koodia sisältävät PDF-tiedostot Exploit:W32/Pidief.AQ- ja Exploit:W32/Pidief.AP-nimisinä uhkina. Microsoftin virustorjuntamoottori puolestaan tunnistaa ne Exploit:JS/ShellCode.gen-nimellä. Myös McAfeellla on suoja tiedostoja vastaan.

Ainakin reilun 12 kilotavun mittaisia 2008-APSB08-19.pdf-nimisiä tiedostoja on havaittu.

On tarpeen selventää, että util.printf()-haavoittuvuuden löytänyt Core Security on vastuussa vain PoC-koodin julkaisusta. Itse exploitin on loppuviikosta julkaissut Debasis Mohanty.

Arkea ja virussuojan parantumista odotellessa on Adobe Readerin päivittäminen 9-versioon varmin keino hyökkäyksiltä suojautumiseksi. 8-tason ohjelmistosta haavoittumaton on versio 8.1.3.

Trojan.Pidief.D on Adobe-aukkoa hyödyntävä haittaohjelma

Tänä iltana levinnyt haittaohjelma on saanut mm. nimen Trojan.Pidief.D. Haavoittuvuusjulkistuksen yhteydessä on kerrottu niin paljon tietoja haavoittuvuuden luonteesta, että ne ovat saattaneet auttaa haittaohjelmien tekijöitä. Myös exploit-koodiin perustuva PDF-muotoinen esimerkkidokumentti julkaistin Milw0rm-sivustolla keskiviikkona.

Paikkaus CVE-2008-2992-tunnuksella tunnettuun haavoittuvuuteen on ladattavissa Adoben sivuilta. Adobe suosittelee 8.1.x-versioiden käyttäjille versioon 9 päivittämistä, koska ko. versio ei haavoittuvuutta sisällä.

Obaman ja McCainin kampanjapalvelimien murto on vakava asia

Tällä viikolla Newsweekin kautta julkisuuteen tulleet Barack Obaman ja John McCainin vaalikampanjajärjestelmiin kohdistuneet murrot ovat vakavasti otettava esimerkki, kuten FBI ja Salainen palvelu kampanjaorganisaatoille ovat ilmaisseetkin.

Susan Ruususen nettiherjaustapauksista päiväsakkoja

Susan Ruususta koskevassa kunnianloukkausoikeudenkäynnissä on nyt tällä viikolla annettu tuomiot Espoon käräjäoikeudessa (Ruusunen asuu itse Espoossa). Tuomiot olivat kaikki päiväsakkoja:

Neljä tuomituista sai maksettavakseen 15 päiväsakkoa ja yksi 25 päiväsakkoa. Eniten sakkoja saanut oli kirjoittanut useita loukkaavia viestejä. Hänelle langetettiin myös suurin vahingonkorvaus.

Ja Hesari jatkaa:

Kaksi selvisi 100 euron ja kaksi 50 euron vahingonkorvauksilla.

Kyseessähän on tapaus, jossa Suomi24.fi-keskustelupalstalle kirjoitettiin kymmeniä tuhansia viestejä Ruususesta (ent. Susan Kuronen) Pääministerin morsian -kirjan julkaisun jälkeen.

Käräjäoikeus määräsi viime vuonna Eniron luovuttamaan tiedot 26 viestin kirjoittajan IP-osoitteesta. Kirjoittajan todentaminen oli huomattavan vaikeaa ja lopulta vain seitsemän viestin osalta päädyttiin syyteharkintaan.

Kirjoitin aiheesta ja sen taustoista kesäkuussa syytteiden noston jälkeen.

Voisi todeta, että Suomessa saa herjata toista henkilöä verkossa hyvin, hyvin halvalla. Ja kun ilman rekisteröitävää nimimerkkiä kirjoittaa kirjaston yleiseltä koneelta saa toimia vielä rauhemmassa.

Microsoft sanoi jäähyväiset Windows 3.11:lle

Microsoft on lopettanut Windowsin 3.x-sarjan lisenssien myynnin. Käyttöjärjestelmä ehtikin saavuttaa peräti 18 vuoden iän.

Windows 3.0 näki päivänvalon toukokuussa 1990. Versio 3.1 julkaistiin vuonna 1992 ja syksyllä 1993 oli sen päivitysversion eli Windows 3.11:n vuoro. Virallisestihan tuo verkkotuen sisältävä versio tuntee nimen Windows for Workgroups 3.11. Myös versio 3.2 muuten julkaistiin, mutta ainoastaan yksinkertaistetun kiinan kielituella.

BBC on selvittänyt, että mm. brittiläinen Virgin Atlantic Airways ja australialainen Qantas Airways käyttävät vielä vanhimmassa Boeing-kalustossaan upotettuja järjestelmiä, joiden käyttöjärjestelmä on Windows 3.11. Viihdejärjestelmässä lentomatkustajien LCD-näyttöihin jaellaan heidän tilaamiaan elokuvia (Audio Video on Demand) ja uutisia.

Laitevalmistajat saivat ennakkotietoa myynnin lopettamisesta kuluvan vuoden heinäkuussa.

Bloginpitäjä on ehtinyt ylläpitämään verkkoa, jossa oli WfW311-työasemia ennen sen tuen loppumista vuonna 2001.

Android G1 kräkätty

Roottioikeudet satiin telnet-komenon avulla. Lisätietoa täällä.

Googlen tiedottajan mukaan toimenpiteen estävä päivitys on suunnitteilla.

Sinowal Trojan - difficult to catch since Feb 2006

RSA Security’s Blog has released information about the seriousness of the Sinowal banking Trojan - including some statistics.

This was covered in my newest SecuriTeam Blogs post.

RPC-troijalaisen uhrikoneet ovat Aasiassa

Windows-troijalaisen kohteina on Aasian maiden ulkopuolelta ainoastaan yksittäisiä tietokoneita Alankomaista, Ranskasta ja Arabiemiirikuntien liitosta.

Toissa viikolla paikattua Windows-haavoittuvuutta hyödyntävä haittaohjelma valitsi kohteekseen Windows XP –tietokoneet Aasian maissa. Vakioaikataulun puolella paikattu haavoittuvuus on ollut täsmähyökkäysten kohteena jo viikkojen ajan. Tieto Gimmiv.A-troijalaisohjelman kohteista käy ilmi tiedostosta, jonka kopio [.txt] on julkaistu alankomaalaisen tietoturva-asiantuntijan Ronald van den Heetkampin verkkosivuilla.

Troijalainen tarkistaa toimintansa alkuvaiheessa kohdetietokoneen käyttöjärjestelmän ja käytössä olevan virustorjuntaohjelmiston.

Räätälöity ohittamaan virustorjunta

Seitsemästä ohjelmistosta enemmän tunnetun Trend Micron lisäksi listalle kuuluvat kohdemaissa yleiset kiinalaiset ohjelmistot Jiangmin, Kingsoft ja Rising Antivirus.

Tein viime viikolla whois-kyselyn listan IP-osoitteisiin tietokoneiden alkuperän selvittämiseksi. Kartoituksen mukaan listalla on tietokoneita Australiasta, Filippiineiltä, Intiasta, Japanista, Koreasta, Maltalta, Malesiasta, Thaimaasta, Taiwanista ja Vietnamista. Aiheesta englanniksi täällä.

Japanissa merkittävä määrä tietokoneista on NTT Communicationsin ja Kiinasssa China Network Communications Groupin verkossa. Malesiassa tietokoneet kuuluvat pääosin Telekom Malaysia –operaattorin verkkoon. Yhdysvalloista kohteita on vain muutamia, kuten Polytechnic-instituutti, joka on osa New Yorkin yliopistoa. Listalle kuuluu IP-osoitteita myös yhdysvaltalaisista yliopistoista ja yksittäisiä osoitteita Alankomaista ja Isosta-Britanniasta. Suomesta ei ole tietokoneita listalla.

Myös Microsoft kohteena

Yksi listan osoitteista on Microsoftin omistama 131.107.x-x-sarjan osoite. Tietokoneesta on saatu selville ainoastaan tieto Wget-ohjelmasta. Wget (World Wide Web Get) on yli kymmenen vuotta sitten kehitetty robottityypinen komentoriviohjelma, joka osaa noutaa tiedostoja verkosta huonosti toimivilla yhteyksillä.

Julkaistuun listaan sisältyy kohteen käyttöjärjestelmä, verkon käyttäjänimi, IP-osoite, tieto asennetuista ohjelmista ja turvapäivityksistä sekä viimeksi avatuista tiedostoista ja selaimen aktiivisesta osoitteesta. IP-osoitetta ja käyttöjärjestelmäversiota lukuun ottamatta tiedot on salattu.