Networksecurity.fi Weblog - Juha-Matti Laurio

Tulostanpa turvamiesten nimilistan tuolta yleisökoneelta - ei näin

Viikonloppuna ja alkuviikosta on uutisoitu tapauksesta, jossa prahalaishotellin julkisella tietokoneella oli käsitelty tiedostoa, joka sisälsi tietoja EU-huippuvirkamiesten lentoreiteistä ja veriryhmistä.

Huhtikuun alkupuolella järjestettiin Tšekissä ns. EU-USA-huippukokous - sama jossa Obamakin vieraili. Noin 200 osanottajien passinnumeroita ja matkustus- eli lentoreittitietoja löytyi kokouksen jälkeen prahalaishotellin julkiselta koneelta. Ja noihin tietoihin kuuluu mm. tasavallan presidentin sekä pää- ja ulkoministerin tietoja. Suomen osalta yhdeksän henkilöä sisältäneessä tiedostossa oli myös suomalaisten turvamiesten nimet.

Tiedosto on uutislähteiden mukaan tällä hetkellä STT:n hallussa.

Osasta kokouksen osallistujista on mainittu jopa ruokarajoitukset ja -allergiat sekä veriryhmä. Arkaluontoisinta tietoa listassa lienevät julkisuudelta salassa pidetyt suomalaisten turvamiesten nimet.

Miten tietoja voitaisiin sitten käyttää väärin? Teoriassa mm. suunniteltaessa esimerkiksi sabotaasia jotain osallistujaa vastaan esim. lennon tai aterioinnin aikana. Käytännössä tämä edellyttäisi kuitenkin melko hyvää soluttautumista organisaatioon.

Suojelupoliisi eli turvallisuusyksikön päällikkö Kari Harju kommentoi asiaa näin:

"Enemmän tämä on kiusallinen kuin konkreettisesti Suomen valtiojohdon turvallisuutta vaarantava asia", Harju sanoo.

Paljolti olen eri mieltä. Turvamiehillä on toivottavasti turvakielto suojanaan, mutta kyllä tässä on kyse paljon muustakin kuin kiusallisuudesta. Järjestelmä on kokousjärjestelyissä pettänyt pahasti, kun valtionjohtoa käsittelevää tietoa on noin surutta käsitelty. Asiaa ei yhtään lievennä lausunto, jonka mukaan tuollaiset listat ovat järjestelyissä yleisiä. Oleellista on se kuinka niitä koko ketjun läpi käsitellään.

Tsekeissä reagoitiin - ehkä kuulemme vastauksenkin joskus

Tšekkien hallituksen edustajan Michaela Jelinkovan STT:lle antaman lausunnon mukaan tietovuodossa on ollut kyse yhden työntekijän inhimillisestä virheestä, joka on jo johtanut välittömiin henkilöstötoimenpiteisiin. Tehtävien uudelleenjärjestelyjä lienee siis tehdyn.

Osa Suomessa tietovuodon kohteeksi joutuneista virkamiehistä on julkisuudessa ilmoittanut varotoimenpiteenä uusivansa passinsa, jolloin myös passin järjestysnumero vaihtuu. Supo on kertonut myös pyytäneensä tsekkiviranomaisilta tietovuodosta selvitystä.

Olisi jo tavallisen veronmaksajankin kannalta kaikkien etu, että selvityksen saapumisesta kerrottaisiin julkisuuteen.

Terrorismintorjuntajohtajan salaisen muistion salat julki

Poliisioperaation uskotaan käynnistyneen tietovuodon seurauksena. Nyt julkaistu video paljastaa ratsioiden kohdistuneen salaisen muistion käsittelemille paikkakunnille.

Brittiläisen poliisipäällikön suojaamattomana kuljettaman muistion teksti on videokuvan suurennoksesta täysin luettavissa.

Scotland Yardissa palvellut, terrorisminvastaista työtä johtanut Bob Quick kuvattiin saapumassa pääministerin virka-asunnolle arkaluontoisia asiakirjoja käsissään pidellen. Operation Pathway -otsikoidun salaisen muistion teksti on täysin luettavissa brittiläisen Channel 4 News -uutissivuston julkaisemassa videossa.

Poliisin siis etuajassa toteuttamien pidätysten suunnittelua kuvaava teksti kuuluu suomeksi käännettynä näin:

''Tämä on Salaisen palvelun toimintasuunnitelma liittyen Al-Qaidan kaavailemaan iskuun Isossa-Britanniassa. Suunnitelma liittyy 11 epäiltyyn, jotka asuvat seitsemässä eri osoitteessa.
Suur-Manchesterin poliisi: Rynnäkkö tuliasein
Mersyside: Rynnäkkö tuliasein
Lancashire: Aseeton rynnäkkö aamiaismajoitusta tarjoavaan kohteeseen.
Kohteina kymmenen opiskelijaviisumilla maassa oleskelevaa NNN alueelta (Quickin peukalo peittää sanan).'

Teksti jatkuu kertoen suunnitelluista pidätyksistä Manchesterissa, Leedsissä ja Birminghamissa.

Liverpoolin alueella tehtiin pääsiäisviikonloppuna useita ratsioita ja kotietsintöjä juuri mainituilla alueilla. Quick ilmoitti eroavansa tehtävästään pääsiäisen alla.

Briteissä mokattu myös aikaisemmin

The Guardian kertoi viime toukokuussa asuntoministeri Caroline Flintin viime vuonna pääministerin istuntoon kävellessään paljastamasta muistiosta. Muovitaskussa olleen muistion kuvasuurennos paljasti (ja paljastaa) lauseen Emme voi kertoa kuinka pahassa kriisissä asuntomarkkinat ovat. Muistio myös totesi brittihallituksen tavoitteet asuntotuotannon kasvutoiveista epärealistisiksi.

Molemmissa tapauksissa tietovuodoilta olisi vältytty, mikäli luottamuksellisia dokumentteja olisi kuljetettu esimerkiksi kirjekuoressa tai salkussa.

Microsoftin palkintoilmoitukseksi naamioitu viesti on tuttua tökerösuomea

Konekäännetyillä huijausviesteillä kalastellaan käyttäjän nimeä, osoitetta, puhelin- ja faksinumeroa, maata ja sukupuolta nyt Microsoftin nimissä.

Palkintosumma on mojovat 150 000 puntaa - tai kuten viesti kertoo

Sata ja viisikymmentä tuhatta Great British Paunaa Sterling.

Otsikko on perinteinen, enemmän englantia kuin suomea sisältävä MICROSOFT EMAIL PROMO: OFFICIAL PALKINTO NOTIFICATION.

Näin pitkänäperjantaina yksityissähköpostiin tulleen viestin headerit paljastavat lähettäjän IP-osoitteeksi osoitteen 41.220.75.3, joka kuuluu MTN Nigerialle.

Teksti vain huipentuu loppua kohden:

Your salaisuus nastainen koodi on ML0757985.Be varoitti, että tapaukset kaksinkertaisen saamiset ja aiheettomiin väärinkäyttävät tätä ohjelmasta tulee oikeudellisesti nähden.

Voisiko tuon vakuuttavammin sanoa!

Täsmähyökkääjien välineenä nyt PowerPoint

Väärennetyn PowerPoint-esitysgrafiikkatiedoston piilee organisaation tietoja varastava haittaohjelma.

Microsoft vahvistaa kohdistetuissa troijalaishyökkäyksissä käytetyn ennalta tuntematonta PowerPoint-ohjelmiston turva-aukkoa.

Microsoft vahvistaa kohdistetut hyökkäykset julkaisemassaan tietoturvatiedotteessa. Yhtiön tapana on muutaman vuoden ollut julkaista virallinen tiedote vakavista haavoittuvuuksista, joihin ei ole saatavilla turvapäivitystä. Yhtiö kertoo julkaisevansa päivityksen haavoittuvuuteen virallisen aikataulun ulkopuolella, mikäli tilanne niin vaatii.

Vakioaikataulun mukainen seuraava ns. paikkatiistai on 14. huhtikuuta eli puolentoista viikon kuluttua.

Haavoittuvuus koskee toimisto-ohjelmiston versioita Office 2003, 2002 eli XP-versio, 2000 sekä Macintosh-versio 2004 kaikilla uusimmilla huolto- ja turvapäivityksillä varustettuna.

Yleensä vain yksi uhri saa haittatiedoston

Kohdistetut eli kohdennetut hyökkäykset ovat menetelmä, jossa huolellisesti väärennetyn sähköpostiviestin liitteenä lähetetään esimerkiksi yritysvakoilun kohteelle Office-muotoinen liitetiedosto. Menetelmä on hyvin samankaltainen, jota on käytetty yli sataan maahan levittäytyneessä GhostNet-verkkovakoilutapauksessa.

Viestejä lähetetään yleensä vain yksi organisaatioon, jotta se hukkuisi normaalin työsähköpostiviestinnän joukkoon. Yksittäistä viestiä on myös vaikea erottaa palomuuri- ja tunkeutumisenestojärjestelmistä.

Virustorjuntatoimijat ovat ryhtyneet tänään julkaisemaan viruskuvauksia vihamielisille PowerPoint-dokumenteille, joista upotettu haittaohjelma löytyy. Muun muassa McAfee tunnistaa vihamieliset .ppt-tiedostot nimellä Exploit-PPT.k. Microsoft itse on ottanut käyttöön Apptom-nimen.

Päivitys klo 22: Liitetiedostojen on havaittu olevan .PPS-päätteisiä ja kooltaan n. 838 kilotavua. Trend Micro käyttää tunnistusnimeä TROJ_PPDROP.AB ja Sophos puolestaan Troj/ExpPPT-A:ta.

5.4. klo 23: Myös nimet Trojan-Dropper.MSPPoint.Agent.au ja Exploit/PPT ovat käytössä.

Targeted attacks in the wild - now with PowerPoint

New Office vulnerability used in targeted attacks is in the wild.

Microsoft has confirmed the existence by releasing a Security Advisory #969136.

The CVE entry for this vulnerability is CVE-2009-0556.

The affected Office versions are Microsoft Office PowerPoint 2003 SP3, 2002 SP3, 2000 SP3, and Office 2004 for Mac.

Microsoft uses name Exploit:Win32/Apptom.gen for .PPT documents exploiting the 0-day issue.