Networksecurity.fi Weblog - Juha-Matti Laurio

Acrobat-troijalaisella taas moninaisia nimiä

Acrobat-haavoittuvuutta hyödyntävät haittaohjelmat ovat jälleen saaneen melkoisen nimikirjon.

Trend Micron mukaan vihamieliset PDF-tiedostot ovat hieman yli 117 kilotavun mittaisia. Yhtiö tunnistaa tiedostot nimellä TROJ_PIDIEF.UO eli troijalainen-kategoriassa (ns. Troijan hevonen). Aktivoituessaan Windows-tietokoneelle dropataan toinen tiedosto, jonka Trend tunnistaa BKDR_PROTUX.BD:na.

McAfee tunnistaa hyökkäyksissä käytetyt tiedostot Exploit-PDF.w-nimellä. On kuitenkin hyvin epätodennäköistä, että uusiin kohteisiin hyökätään täsmälleen samalla tavalla. PDF-tiedostoon upotettu ajaettava .exe on luultavasti seuraavilla kerroilla "heapsprayatty" eri tavoin.

Myös PDF/Exploit.Pidief.NN-tyylisiä nimiä on käytössä.

12.10.: Sophosin käyttämä nimi on Troj/PDFJs-DS.

TCP/IP-aukkojulkistusten viikko lopuillaan

Tällä viikolla saapuivat sitten korjaukset yli vuosi sitten julkisuuteen tulleisiin TCP/IP-haavoittuvuuksiin. Olikin hyvin odotettua, että Windows-korjausten (MS09-048:een sisältyvät kolme CVE:tä) kanssa samanaikaisesti julkaistiin myös Ciscon korjauksia.

Kuten jo toisessa blogissa eilen pohdiskelin, saattaa tarkempaa dokumentaatiota, white paper jne. olla aiheesta olemassa, mutta Jack C. Louisin menehdyttyä alkukeväästä voivat nuo mahdolliset dokumentit jäädä ikuisesti julkaisematta.

Tutkijoista toinen - Robert E. Lee - tyytyy blogissaan viittaamaan CERT-FI:n englanninkieliseen tiedotteeseen.

WTC-iskujen 8-vuotispäivä herätti hakukonehuijarit

Syyskuun yhdennentoista terrori-iskuista on nyt kulunut tasan kahdeksan vuotta.

Ikävä tosiasia on, että esim. hakusanoja '9 11 Victims" hakukoneissa käyttävät voivat joutua sivuille, joilla heitä odottaa valevirustorjuntaohjelman mainos, joka tietenkin sisältää haittaohjelman.

Historiaan jäävistä iskuista on julkaistu nyt myös kaksi uutta silminnäkijävideota.

iPhonen SMS-kaappausaukosta on nyt lisätietoja

Eilisessä BlackHat-luennossa käsitellystä iPhone-haavoittuvuudesta kertoo lisää esimerkiksi tämä The Registerin artikkeli.

Teknisesti ongelma on puhelimen käyttöjärjestelmän CommCenter-osiossa, kertoo Charlie Miller.

Lista ydinlaitoksista joutui vahingossa nettiin USA:ssa

260-sivuinen atomienergiajärjestö IAEA:lle laadittu dokumentti on poistettu Yhdysvaltain hallinnon sivuilta, mutta sen kopio jatkaa elämäänsä verkossa.

Verkkoon epähuomiossa joutunut salainen dokumentti sisälsi tiedot kymmenistä ydinlaitoksista pohjapiirustuksia myöten.

Pdf-muotoinen dokumentti sisälsi tiedot siviilikäyttöön tarkoitetuista ydinlaitoksista sekä rakennuksista, joissa radioaktiivista materiaalia säilytetään.

Luettelo oli ladattavissa valtionhallinnon julkaisuista vastaavan Government Printing Office –viraston kotisivuilla noin vuorokauden ajan. 1860-luvulla perustettu GPO painaa myös Yhdysvaltain biometriset passit.

The Washington Postin haastatteleman, kansainvälisen tiede- ja turvallisuusinstituutin presidentin David Albrightin mukaan on mahdollista, että verkossa saatavilla olleet tiedot ovat apuna terroristien mahdollisten iskujen suunnittelussa.

Myös pohjapiirustuksia mukana

Dokumentti on laadittu Kansainvälistä atomienergiajärjestöä IAEA:ta varten ja etusivun mukaan Yhdysvaltain kongressin on tarkoitus käsitellä dokumentin sisältö ennen sen luovuttamista IAEA:lle.

Dokumentti poistettiin verkkosivuilta median otettua yhteyttä virastoon. Lista on kuitenkin ehditty jo julkaista useilla verkkosivuilla.

267-sivuinen dokumentti on päivätty 6. toukokuuta. Enimmäkseen skannatuista kohdekorteista koostuva dokumentti on luokiteltu erittäin luottamukselliseksi. Dokumentissa on myös kymmeniä yksityiskohtaisia pohjapiirustuksia ja karttoja. Ydinaseiden sijoituspaikkoja ei raportissa sen sijaan ole mainittu.

Jordanian valtion sivut valjastettiin kalasteluun

Valtionhallinnon palvelimella sijainnut kalastelusivu uteli myös luottokorttimaksamisessa tarvittavaa kortin takapuolelle painettua CVV2-turvakoodia.

Verkkorikolliset ovat onnistuneet pystyttämään henkilötietojen kalasteluun tarkoitetun sivuston Jordanian valtionhallinnon palvelimelle.

Organisaatio jonka sivuilla kalastelusivusto sijaitsi on Jordanian eli Jordanian hasemiittisen kuningaskunnan ammatilliseen koulutukseen ja työturvallisuusasioihin keskittynyt virasto.

Kalastelu- eli phishing-sivu oli suunnattu PayPal-verkkomaksupalvelun käyttäjiä vastaan.

Tapauksesta kertoneen verkkosivustojen krakkerointien tilastointiin keskittyneen Zone-H-sivuston Boris Mutinan mukaan Gov.jo-osoitteessa toimivan huijaussivuston osoite oli http://www.vtc.gov.jo/accounts.paypal.us/www.paypal.com/cgi-bin/webscr/cmd=_login-run/. Niinpä niin, paypal.us- ja  paypal.com-osilla viestin saajaa pyrittiin uskottelemaan viestin olevan aito ja saapuneen PayPalin ylläpidolta.

Palvelimen IP-osoite on rekisteröity Batelco Jordanille, joka on Ammanissa toimiva internet-operaattori.

Englanninkielinen huijausviesti väitti vastaanottajan PayPal-tilin joutuvan kuoletetuksi, ellei vastaanottaja tarkista käyttäjätietojensa oikeellisuutta.

Teknisesti sivusto uteli PayPal-käyttäjän sähköpostiosoitetta, salasanaa, luottokorttinumeroa ja kortin voimassaoloaikaa, tunnuslukua sekä korttiin painettua ns. CVV2-koodia. Card Verification Value on kortin takapuolella allekirjoituksen vieressä oleva kolminumeroinen luku, jota kysytään usein maksettaessa kortilla verkossa.

Tietomurron kohteiksi joutuneita verkkosivuja voidaan käyttää myös haittaohjelmien levittämiseen ja muihin rikollisiin tarkoituksiin, muistuttaa Mutina.

Terrorismintorjuntajohtajan salaisen muistion salat julki

Poliisioperaation uskotaan käynnistyneen tietovuodon seurauksena. Nyt julkaistu video paljastaa ratsioiden kohdistuneen salaisen muistion käsittelemille paikkakunnille.

Brittiläisen poliisipäällikön suojaamattomana kuljettaman muistion teksti on videokuvan suurennoksesta täysin luettavissa.

Scotland Yardissa palvellut, terrorisminvastaista työtä johtanut Bob Quick kuvattiin saapumassa pääministerin virka-asunnolle arkaluontoisia asiakirjoja käsissään pidellen. Operation Pathway -otsikoidun salaisen muistion teksti on täysin luettavissa brittiläisen Channel 4 News -uutissivuston julkaisemassa videossa.

Poliisin siis etuajassa toteuttamien pidätysten suunnittelua kuvaava teksti kuuluu suomeksi käännettynä näin:

''Tämä on Salaisen palvelun toimintasuunnitelma liittyen Al-Qaidan kaavailemaan iskuun Isossa-Britanniassa. Suunnitelma liittyy 11 epäiltyyn, jotka asuvat seitsemässä eri osoitteessa.
Suur-Manchesterin poliisi: Rynnäkkö tuliasein
Mersyside: Rynnäkkö tuliasein
Lancashire: Aseeton rynnäkkö aamiaismajoitusta tarjoavaan kohteeseen.
Kohteina kymmenen opiskelijaviisumilla maassa oleskelevaa NNN alueelta (Quickin peukalo peittää sanan).'

Teksti jatkuu kertoen suunnitelluista pidätyksistä Manchesterissa, Leedsissä ja Birminghamissa.

Liverpoolin alueella tehtiin pääsiäisviikonloppuna useita ratsioita ja kotietsintöjä juuri mainituilla alueilla. Quick ilmoitti eroavansa tehtävästään pääsiäisen alla.

Briteissä mokattu myös aikaisemmin

The Guardian kertoi viime toukokuussa asuntoministeri Caroline Flintin viime vuonna pääministerin istuntoon kävellessään paljastamasta muistiosta. Muovitaskussa olleen muistion kuvasuurennos paljasti (ja paljastaa) lauseen Emme voi kertoa kuinka pahassa kriisissä asuntomarkkinat ovat. Muistio myös totesi brittihallituksen tavoitteet asuntotuotannon kasvutoiveista epärealistisiksi.

Molemmissa tapauksissa tietovuodoilta olisi vältytty, mikäli luottamuksellisia dokumentteja olisi kuljetettu esimerkiksi kirjekuoressa tai salkussa.

Täsmähyökkääjien välineenä nyt PowerPoint

Väärennetyn PowerPoint-esitysgrafiikkatiedoston piilee organisaation tietoja varastava haittaohjelma.

Microsoft vahvistaa kohdistetuissa troijalaishyökkäyksissä käytetyn ennalta tuntematonta PowerPoint-ohjelmiston turva-aukkoa.

Microsoft vahvistaa kohdistetut hyökkäykset julkaisemassaan tietoturvatiedotteessa. Yhtiön tapana on muutaman vuoden ollut julkaista virallinen tiedote vakavista haavoittuvuuksista, joihin ei ole saatavilla turvapäivitystä. Yhtiö kertoo julkaisevansa päivityksen haavoittuvuuteen virallisen aikataulun ulkopuolella, mikäli tilanne niin vaatii.

Vakioaikataulun mukainen seuraava ns. paikkatiistai on 14. huhtikuuta eli puolentoista viikon kuluttua.

Haavoittuvuus koskee toimisto-ohjelmiston versioita Office 2003, 2002 eli XP-versio, 2000 sekä Macintosh-versio 2004 kaikilla uusimmilla huolto- ja turvapäivityksillä varustettuna.

Yleensä vain yksi uhri saa haittatiedoston

Kohdistetut eli kohdennetut hyökkäykset ovat menetelmä, jossa huolellisesti väärennetyn sähköpostiviestin liitteenä lähetetään esimerkiksi yritysvakoilun kohteelle Office-muotoinen liitetiedosto. Menetelmä on hyvin samankaltainen, jota on käytetty yli sataan maahan levittäytyneessä GhostNet-verkkovakoilutapauksessa.

Viestejä lähetetään yleensä vain yksi organisaatioon, jotta se hukkuisi normaalin työsähköpostiviestinnän joukkoon. Yksittäistä viestiä on myös vaikea erottaa palomuuri- ja tunkeutumisenestojärjestelmistä.

Virustorjuntatoimijat ovat ryhtyneet tänään julkaisemaan viruskuvauksia vihamielisille PowerPoint-dokumenteille, joista upotettu haittaohjelma löytyy. Muun muassa McAfee tunnistaa vihamieliset .ppt-tiedostot nimellä Exploit-PPT.k. Microsoft itse on ottanut käyttöön Apptom-nimen.

Päivitys klo 22: Liitetiedostojen on havaittu olevan .PPS-päätteisiä ja kooltaan n. 838 kilotavua. Trend Micro käyttää tunnistusnimeä TROJ_PPDROP.AB ja Sophos puolestaan Troj/ExpPPT-A:ta.

5.4. klo 23: Myös nimet Trojan-Dropper.MSPPoint.Agent.au ja Exploit/PPT ovat käytössä.

Saarijärven kohuhallista löytyi teräsrullia ja rekka

45 minuuttia -ohjelman viikon takaisen jakson myötä kohua herättäneen saarijärveläisen varastohallin kätköissä on teräslevyjä ja -rullia, kertoo Keskisuomalaisen juttu ja paikan päällä kuvattu video.

Ulkomaalaisten maahankinnat ovat herättäneet keskustelua siitä onko hankinnoilla vaikutuksia Suomen kriisivalmiuteen. Riskeinä pidetään mm. viestiliikenteen kuuntelua sekä valmisteluja elektroniikan lamauttavan tarkasti kohdennetun sähkömagneettisen pulssin eli EMP:n lähettämisen valmisteluun. Saarijärvellä kaupungin luoteisosaan Kolkanlahteen rakennettu järeästi aidattu, kameravartioitu varastohalli (kartan keskiosassa). Keskustelupalstoilla samankaltaisia maakauppoja on raportoitu tapahtuneenvarastohalli esimerkiksi sijaitsee lähellä tärkeää linkkimastoa.

Keskustelupalstoilla samankaltaisia maakauppoja on raportoitu tapahtuneen esimerkiksi itärajan tuntumasta Suomussalmessa, jossa ulkomaalaisomistuksessa on entinen rajavartioston rakennus telemaston läheisyydessä Ruukinkankaan kasarmialueen vieressä. Laajoja maahankintoja on tehty telemastojen läheisyydessä myös Saastamalan Ellivuoressa, Nurmeksessa Ukko-Kolilla sekä Kotkan seudulla.

Merkittävistä teletoimijoista TeliaSonera on jo ruotsalaisen Telian omistuksessa ja Digita ranskalaisen TDF Group -yhtiön omistuksessa.

Puolentoista minuutin mittainen video katsottavissa (Flashia tukevalla selaimella) tässä osoitteessa.

Rogue AntiSpyware vaani Oscar-googlaajia

Haittaohjelmien tehtailijat ovat hyödyntäneet Oscar-palkintogaalaa koskevia Google-hakuja.

Haettaessa tietoa hakusanoilla "oscar presenters" tai "oscar winners" on ensimmäisten hakutulosten joukossa bee . pl-päätteisiä osoitteita, joista haittaohjelma latautuu kävijän tietokoneeseen. Myös hakutulosten näyttämä kahden rivin teksti kohdesivustolta kertoo palkintojen saajista. Puolaan rekisteröidyssä osoitteessa on useita Oscar-aiheisiksi naamioituja alasivuja.

SANS-instituutin alaisen Internet Storm Center –keskuksen mukaan virustorjuntaohjelmien suoja sivustolta leviävälle haittaohjelmalle oli eilen illalla vielä hyvin vaatimaton. Haitake tunnistetaan lähinnä FakeAV-A-tyyppisillä nimillä.

Sivustolta asentuu haittaohjelma, joka väittää tietenkin olevansa haittaohjelmien ja spywaren poistotyökalu. Exe-tiedoston kooksi on vahvistunut reilut 76 kilotavua.

Haittaohjelma avaa System Security –nimisen ikkunan, joka väittää lataavansa Windows-koneelle viimeisimmät tarkistuskomponentit.

Yhdysvaltain elokuva-akatemian järjestämää Oscar-palkintogaalaa vuoden 2008 parhaiden elokuvien ja tekijöiden palkitsemiseksi vietettiin tänä vuonna Hollywoodissa. Gaalan virallinen verkkosivusto on Oscar.com-muotoinen.

Suomen puolustusvoimat säästyikin verkkomadolta

Alun perin matotartuntoja uskottiin olevan muutamissa kannettavissa tietokoneissa.

Suomen puolustusvoimien tietokoneissa ei uusimpien tietojen mukaan ole havaittu tartuntoja vakavasta Conficker-madosta.

Sotaväen Conficker-tartunnoista uutisoitiin eilen laajasti Nelosen uutisten sunnuntaisen aihetta koskevan uutisoinnin perusteella.

Matotartunnan uusi tilanne käy ilmi puolustusvoimien Pääesikunnan eilen julkaisemasta tiedotteesta. Alun perin lähinnä kannettavia, saastuneita tietokoneita uskottiin löytyneen muutamia kappaleita.

Lokakuinen haavoittuvuus taustalla

Myös Downadup-nimellä tunnettu verkkomato hyödyntää haavoittuvuutta, joka paikattiin normaaliaikataulun ulkopuolella Windows-käyttöjärjestelmästä viime lokakuussa.

Kannettavat ovat tietoturvapäivityksien hoitamisen lisäksi organisaatioille pöytäkoneita haastavampia, koska niitä liitetään verkkoon myös työpaikan ulkopuolella. Lisäksi muun muassa virustarkistamattomien USB-muistien kytkeminen kannettaviin ja niiden käyttäminen työhön liittymättömiin tarkoituksiin on pöytäkoneita yleisempää.

Puolustusvoimat kertoo, että se on tietoturvanäkökohdista johtuen pitänyt operatiiviseen toimintaan tarkoitetut tietoverkot erillään avoimista tietoverkoista. Samalla se kertoo, että muita haittaohjelmia on kuitenkin ajoittain esiintynyt yksittäisissä yleiseen Internettiin liitetyissä tietokoneissa esimerkiksi sähköpostin liitetiedostojen kautta.

PV kertoo sisäisten tietoverkkojensa toiminnan olevan tällä hetkellä normaalia.

Eri maiden armeijoista Conficker on onnistunut saastuttamaan mm. Saksan, Ranskan ja Iso-Britannian asevoimien tietokoneita.

Heartland Payment Systemsin murto voi jättää TJX:n kakkossijalle

Heartland Payment Systemsin järjestelmiin tapahtuneessa murrossa on käytetty kehittynyttä haittaohjelmaa, joka on viime vuoden puolella kerännyt pahimmassa tapauksessa sadan miljoonan korttitapahtuman tiedot. Tapausta koskeva FAQ-sivusto sijaitsee tässä osoitteessa.

Verkkorikollisten käsiin ovat joutuneet kaikki magneettiraidan tiedot, mutta ei esim. henkilötunnuksia tai salaamatonta PIN-tietoa.

TJX-tapauksen 45 miljoonaa korttitietoa voi jäädä luottokorttimurtohistorian suurimpana tapauksena nyt kakkoseksi.

Heartland Payment Systems tekee yhteistyötä myös American Expressin, Diners Clubin, Discoverin ja JCB:n kanssa.

Tänään riittää selaimissa päivitettävää

Microsoft julkaisee hetken kuluttua aikataulun ulkopuolisen päivityksen Äärimmäisen kriittinen -luokituksen saaneeseen Internet Explorerin nollapäivähaavoittuvuuteen. Päivitetyn IE:n saa konelleen tietenkin Automaattisten päivitysten kautta tai vierailemalla Download Centerissä.

Eilen tuli jakeluun puolestaan Firefox 3.0.5 sisältäen paikkauksen kahdeksaan haavoittuvuuteen. Näistä kolme kuuluu Mozillan itsensä mukaan Critical-luokkaan.

Myös Opera 9.63, SeaMonkey 1.1.14 ja Camino 1.6.6 ovat ladattavissa. Opera sisältää useita norjalaisyhtiön mukaan äärimmäisen kriittisiä korjauksia.    

WordPad on nyt kohdennettujen hyökkäysten väline

Microsoft vahvistaa uutta Windowsin Wordpad-haavoittuvuutta käytetyn rajoitetuissa, kohdennetuissa hyökkäyksissä. Asiaa koskeva Security Advisory on numeroltaan 960906 (helppo muistaa muuten) täällä. Secunia on julkaissut tapauksesta odotetusti 5/5-luokituksen saaneen SA32997:n.

Haavoittuvia Windows-versioita ovat Windows 2000 SP4, Windows XP SP2 sekä Windows Server 2003 SP1 ja SP2.

Teknisesti ongelma on WordPadin Text Converter -toiminnossa, jolla Word 97 -tiedostot avataan. Onnistuneessa hyökkäyksessä koodin ajaminen kohdetyöasemassa on mahdollista.

Kohdennetuissa hyökkäyksissä käytetyn haavoittuvuuden paikka on kuluvalta vuodelta mm. MS08-042.

Ranskalaisturvaaja muutti nimeään

Ranskalaisturvayhtiö pyrkii eroon tietoturvaloukkausten käsittelyyn viittaavista yhteyksistä nimessään.

Tietoturvayhtiö FrSIRT ryhtyi nimenvaihdoksen myötä julkaisemaan uudelleen exploit-koodeja.

Ranskalaisyhtiö lopetti hyödyntämis- eli hyökkäyskoodien julkaisun sivuillaan toissa vuonna. FrSIRT eli French Security Incident Response Team on muuttanut nimensä muotoon VUPEN Security. Nimi on lyhenne sanoista VUlnerability management and PENtesting. Nimenmuutos helpottaa yhtiön mukaan sen mieltämistä haavoittuvuushallinnan toimijaksi.

Sivuston aikaisempi nimi on myös tuonut mielleyhtymän tietoturvaloukkausten käsittelyyn keskittyneestä tiimistä. Tällaisia tiimejä toimii maailmanlaajuisesti ja Suomessa esimerkiksi teleyrityksissä, poliisissa ja puolustusvoimissa.

Hyökkäyskoodeja suojan kehittämiseksi

Osa tietoturvayhtiöistä julkaisee ns. hyökkäyskoodeja palomuuri-, tunkeutumisenesto- ja haavoittuvuusskannausjärjestelmiä varten mahdollistaakseen organisaatioiden testata verkkojaan haavoittuvuuksien hyväksikäyttöjä vastaan.

Yhtiö poisti exploit-koodiosion sivustoltaan vuoden 2006 maaliskuussa vedoten paikallisiin tekijänoikeuslakeihin.

Nyt julkaistut exploit-koodit on kuitenkin laadittu yhtiön tietoturvatutkimusryhmässä. Uusin listattu koodi koskee VLC-mediasoittimen ylivuotohaavoittuvuutta (CVE-2008-5276), joka on paikattu 0.9.8a-versiossa.

Nimenmuutos on ranskalaisyhtiölle jo toinen. Se toimi vuonna 2005 vielä nimellä K-OTiK Security. Saman vuoden alussa haavoittuvuusvaroituksia ryhdyttiin julkaisemaan ranskan lisäksi englannin kielellä. Montpellierissä toimivan VUPENin taustalla toimii A.D. Consulting Ltd –yhtiö.

Koodeja maksutta listaa säännöllisesti mm. Milw0rm-sivusto.

Mac-troijalaiseen löytyi valmistusohjeet verkosta

Luulin julkaisseeni tämän entryn jo alkuviikosta, mutta se on näköjään unohtunut teksturiin oikoluvun jäljiltä. OSX.Lamzev-entrystä kun on jo noin viikko. Parempi myöhään kuin ei silloinkaan:

Uuden OS X –haittaohjelman nimi tulee sen laatimiseen käytetystä työkalupaketista.

Verkossa on nyt viime viikosta lähtien liikkunut pelkästään Applen Macintosh-käyttöjärjestelmälle laadittu troijalaisohjelma. Tietoturvayhtiö Symantecin mukaan kyseessä on troijalainen ja yhtiö on antanut sille nimen OSX.Lamzev.A. Troijalainen avaa takaporttiyhteyden saastuttamalleen tietokoneelle.

Tietoturvasivusto Packet Storm Security julkaisi heinäkuussa niin sanotun troijalaiskitin, jonka nimen mukainen tiedosto asentuu Lamzevin saastuttamalle tietokoneelle. Haittaohjelma on todennäköisesti laadittu työkalupaketilla, joita verkkorikolliset valmistavat myös esimerkiksi kalasteluhuijausten toteuttamista varten.

Vihamielinen tiedosto on 34,3 kilotavun mittainen. OS X –työaseman joutumisen saastumisen kohteeksi voi havaita sovelluskansioon ilmestyneestä ezmal-nimisestä tiedostosta.

Lamzev.A-nimi muodostuu kyseisen tiedoston nimestä takaperin kirjoitettuna. A-pääte puolestaan tarkoittaa sen ensimmäistä muunnosta eli varianttia.

Vajaan kolmen vuoden lyhyt historia

Mm. F-Secure ja Sophos luokittelivat helmikuussa 2006 löydetyn Leap.A-viruksen kaikkien aikojen ensimmäiseksi varsinaiseksi Mac-haittaohjelmaksi. Leap.A:han levisi iChat-pikaviestimen avulla ja pyrki Lamzevin tavoin saastuttamaan paikallisesti asennetut sovellukset.

Tämän vuoden kesäkuussa verkosta löytyi OS X –käyttöjärjestelmän etätyöpöytähaavoittuvuutta hyödyntävä Mac.Hovdy.a-haittaohjelma

IBM jakoi Lenovo-sivuillaan haittaohjelmaa

Troijalainen sisältyi ohjelmistopakettiin, jolla Windowsin salasanasuojaus korvataan USB-liitäntäisellä laitteella.

IBM:n ajurisivuston Windows XP- osion tiedostoissa majaili takaporttitroijalainen.

Haittaohjelma on ns. dropper-tyyppinen Win32/Meredrop-troijalainen. Dropper tarkoittaa ohjelmaa, joka asentaa eli "pudottaa" aktivoituessaan tietokoneelle useita vihamielisiä ohjelmia.

Lymysi 3000- ja ThinkCentre-ohjelmistoissa

Ohjelmistopaketti tuntee ZDNetin mukaan nimen Lenovo Key Trust, mutta se ei ole enää IBM:n lataussivuilla saatavilla. Googlen välimuistiin tallennetun version mukaan ohjelmisto on julkaistu toukokuussa ja se on tarkoitettu 3000 J200 – sekä ThinkCentre A – ja M-sarjan tietokoneille.

Key Trust on tietokoneen usb-porttiin liitettävä laite, joka korvaa Windowsin kirjautumisen ja työaseman lukituksen.

Virustorjujat tuntevat troijalaisen myös nimellä Backdoor.Win32.Oderoor. XP-tietokoneen järjestelmäkansioon kopioituneet tiedostot puolestaan ovat bori.exe ja zudouv.exe.

Viime kuussa Asusin toimittamista tietokoneista löytyi haittaohjelma, joka oli tarkoitettu verkkopelien käyttäjätunnuksien varastamiseen.

Acrobat-haittakoodin tekijä on surkea koodari

Acdobat-haavoittuvuutta hyödyntävä haittakoodi on laadittu yritysten ja erehdysten kautta, kertoo belgialaisasiantuntija.

Verkossa levitettävien vihamielisten tiedostojen nimet ovat data.pdf ja info.pdf, raportoi belgialainen Didier Stevens blogissaan. Pdf-tiedostojen analysointiin erikoistunut it-ammattilainen on laatinut useita Python-kielisiä ohjelmia Acrobt-dokumenttien tutkimista varten.

Stevens on todennut haittaohjelman laatijan hyödyntäneen Adoben Incremental Updates –nimellä tuntemaa toimintoa, joka sallii dokumentin muokkauksen jälkikäteen. Dokumenttiin tehdyt lisäykset tallentuvat konkreettisesti tiedoston loppuun eikä alkuperäiseen sisältöön tallennusprosessissa puututa, kertoo mies blogissaan.

Stevens löysi tiedostoista toisesta viisi eri tallennusversiota. Tiedoston metadatan mukaan tiedostot on puolestaan laadittu aamuyöllä viime viikon torstaina. Troijalaisen tietokoneelle asentavat tiedostot ovat olleet levityksessä viikonlopusta lähtien.

Tiedoston versiohistoriasta löytyy tarkalleen tieto siitä, miten tiedostoon upotettua JavaScript-koodia on muutettu muutaman minuutin välein yrittäen saada koodia toimimaan. Stevensin mukaan tekijän koodaustaidot ovatkin vaatimattomat.

Acrobat 8 –versiot päivitettävä

Vihamielisiä pdf-muotoisia dokumentteja on levitetty palvelimelta, jonka verkkotunnus on .cx-päätteinen. Cx-verkkotunnus kuuluu Australian hallinnoimalle Joulusaarelle.

Noin 11 kilovatun mittaiset pdf-tiedostot hyödyntävät haavoittuvuutta, jonka Adobe korjasi ohjelmistoistaan viime viikolla. Haavoittuvuus on myös lisäosassa, jolla Acrobat-dokumentit voi lukea selaimen sisällä. Aukko on ainoastaan ohjelmiston 8.x-sarjassa ja paikattu versio tuntee versionumeron 8.1.3.

Ellei ohjelmiston päivittäminen ole välittömästi mahdollista voi virustorjuntaohjelmistosta olla hyötyä hyökkäyksiä vastaan. Virustorjuntatoimijat ovat saaneet kattavamman suojan kehitettyä haittaohjelmille eilisestä lähtien. Suoja vihamielisiä tiedostoja vastaan on julkaistu Trojan.Pidief– ja PDF/Utilf-muotoisilla nimillä.

Trojan.Pidief.D on Adobe-aukkoa hyödyntävä haittaohjelma

Tänä iltana levinnyt haittaohjelma on saanut mm. nimen Trojan.Pidief.D. Haavoittuvuusjulkistuksen yhteydessä on kerrottu niin paljon tietoja haavoittuvuuden luonteesta, että ne ovat saattaneet auttaa haittaohjelmien tekijöitä. Myös exploit-koodiin perustuva PDF-muotoinen esimerkkidokumentti julkaistin Milw0rm-sivustolla keskiviikkona.

Paikkaus CVE-2008-2992-tunnuksella tunnettuun haavoittuvuuteen on ladattavissa Adoben sivuilta. Adobe suosittelee 8.1.x-versioiden käyttäjille versioon 9 päivittämistä, koska ko. versio ei haavoittuvuutta sisällä.

Android G1 kräkätty

Roottioikeudet satiin telnet-komenon avulla. Lisätietoa täällä.

Googlen tiedottajan mukaan toimenpiteen estävä päivitys on suunnitteilla.