ИТ-безопастность

[ADMIN]

Cloudflare рассказала о 65 Гбит/с DDoS-атаке, которая обрушилась на их серверы в субботу 15 сентября

Руководители компании Cloudflare рассказали о DDoS-атаке, которая обрушилась на их серверы в субботу 15 сентября, в результате чего сервис Cloudflare оказался временно недоступен для части пользователей.

Cloudflare —это сеть доставки контента, под управлением которой находится несколько дата-центров в разных регионах. Компания легко выдерживает DDoS-атаки в десятки гигабит, но с субботней атакой на 65 Гбит/с не справилась.

Самое интересное в рассказе Cloudflare — часть о методах организации атаки. Поскольку руководители компании являются бывшими хакерами, которые работали над проектом Project Honey Pot, то им известны эти методы, в общих чертах. Они объясняют, что для атаки подобной мощности не получится задействовать ботнет, потому что нам требуется около 65 тысяч активных ботов, которые генерируют трафик по 1 Мбит/с каждый. Это нереально, потому что подобная атака возможна при общем размере ботнета в районе 650 тыс. машин. Такое количество исходящего трафика будет легко замечено и блокировано интернет-провайдерами, да и аренда ботнета — дорогое удовольствие.

В случае атаки на Cloudflare использовался один из методов умножения запросов. Здесь умножение осуществлялось за счёт DNS reflection (отражение DNS-запросов) через DNS-резолверы, которые установлены у каждого интернет-провайдера.

Обычно DNS-резолверы сконфигурированы так, чтобы обрабатывать только запросы своих пользователей, но существует большое количество компаний, которые неправильно их сконфигурировали, так что резолверы принимают запросы от любого пользователя интернета.

DNS-запросы обычно идут по протоколу UDP, где можно легко подделать заголовок с обратным IP-адресом. Соответственно, злоумышленники направляют к плохо сконфигурированным DNS-резолверам поток DNS-запросов с IP-адресом жертвы, а резолвер отвечает на указанный адрес. Таким образом, генерируется трафик. Чтобы максимально усилить его, злоумышленники отправляют такие запросы, чтобы ответ на них был как можно больше по объёму: например, запрос списка всех DNS-записей в определённой зоне. Установленные у провайдеров серверы обычно имеют большую пропускную способность, так что сгенерировать 65 Гбит/с для них — не такая уж фантастическая задача. Жертва DDoS-атаки к тому же подвергается гонениям со стороны владельца DNS-сервера, который требует прекратить генерацию потока вредоносных UDP-пакетов.

[ADMIN]

Разработчики web-приложений не тестируют продукцию на наличие уязвимостей

По данным экспертов, более двух третьих разработчиков пренебрегают тестированием своей продукции в течение цикла разработки.

В июле текущего года американская организация Forrester Consulting, занимающаяся обеспечением качества программного обеспечения, провела опрос среди специалистов 240 европейских и североамериканских компаний, разрабатывающих различные web-приложения.

Согласно результатам исследования, большинство разработчиков web-приложений не занимаются тестированием продукции на наличие уязвимостей в течение цикла разработки. Кроме того, более половины пренебрегают проверками на наличие ошибок и брешей в системе безопасности перед проведением интегрированного тестирования.

По данным экспертов, 70% опрошенных специалистов отмечают отсутствие соответствующих технологий и процессов, обеспечивающих безопасность разработок. Кроме того, почти 79% респондентов заявили о недостаточности финансирования средств безопасности. Еще треть специалистов сообщила, что сжатые сроки на разработку заставляют уделять меньше внимания обеспечению безопасности продукции.

Только 42% участников опроса заявили, что используют механизмы кодирования, а менее 25% сообщили о моделировании угроз в процессе разработки приложений.

Как отмечают исследователи, более половины респондентов подтверждают, что за последние 18 месяцев, по крайней мере, единожды пострадали от нарушений в системе безопасности разработок. 18% опрошенных заявляют об убытках в 500 тыс. долл, 8% - о потерях в размере свыше 1 млн.долл.

[ADMIN]

Фишеры выманивают у пользователей PayPal данные учетных записей

Мошенники рассылают пользователям поддельные уведомление о возврате платежа.

Эксперты из Hoax-Slayer зафиксировали в сети фальшивые письма якобы от представителей платежной системы PayPal о возврате определенного платежа.

В письме пользователю предлагают пройти по ссылке, подтвердить свои учетные данные и провести возврату платежа.

Те пользователи, которые проходят по указанной в письме ссылке, попадают на созданную фишерами страницу. Учетные данные, которые вводятся на этой странице, передаются злоумышленникам. Вследствие, последние могут получить доступ к учетной записи пользователя в PayPal.

В Hoax-Slayer отметили: «PayPal является излюбленной мишенью хакеров, так как служба проводит большую часть своих операций посредством электронной почты».

Однако эксперты отмечают, что отличить настоящие письма платежной системы от поддельных легко, так как PayPal никогда не указывает ссылки и не предоставляет пользователям вложенные файлы.

[alexsf]

Самые продвинутые хакеры — в Восточной Европе

Вице-президент по кибербезопасности компании Trend Micro, специалист в области пентестинга, профессор Том Келлерманн (Tom Kellermann) высказал Register or Login" title="You are not allowed to view links. Register or Login" rel="nofollow" target="_blank">интересное мнение о профессиональных качествах хакеров в разных регионах мира. По словам аналитика, который имеет многолетний опыт анализа вредоносного ПО, именно хакеры из Восточной Европы способны осуществлять наиболее сложные и продвинутые атаки. Зачастую это специалисты-одиночки, которые работают по найму и зарабатывают деньги своим мастерством, в то время как хакеры из Китая (Юго-Восточной Азии) действуют группами и являются частью больших организаций, которые больше нацелены на кражу коммерческих и государственных тайн, а не на воровство денег.

«Восточноевропейские вредоносные программы настолько элегантно сконструированы, что их можно сравнить с яйцами Фаберже в мире зловредов», — говорит Келлерманн, приводя в качестве примера маленькую программу Tiny Banker, с помощью которой осуществлялась атака на банки в Турции. Противодействие такого рода программам и мониторинг безопасности систем требует особенно много времени.

По мнению Келлерманна, мастерство российских хакеров объясняется тремя историческими факторами. Во-первых, это культура образования, традиционно превозносившего математику и шахматы. Во-вторых, развитое подпольное сообщество и теневая экономика. В-третьих, хорошо разработанные способы и методы криминальной деятельности, которые отлично адаптировались к цифровой эпохе.

В отличие от российских мастеров, эдаких профессиональных «коммандос», говорит специалист, китайских хакеров можно сравнить с «киберпехотой» — они менее поворотливы и не так умело заметают следы.

Register or Login" title="You are not allowed to view links. Register or Login " rel="nofollow" target="_blank">You are not allowed to view links. Register or Login

[alexsf]

Microsoft выпустила патч для Internet Explorer

Microsoft объявила о выпуске патча, который устраняет критическую уязвимость в Internet Explorer, Register or Login" title="You are not allowed to view links. Register or Login" rel="nofollow" target="_blank">обнаруженную на днях.

Патч представляет собой «решение в один клик», которое никак не сказывается на возможностях веб-серфинга и устанавливается без перезагрузки компьютера.
Патч применим к Internet Explorer 7, 8 и 9, а также к Internet Explorer 6. Операционные системы - Windows XP, Windows Server 2003, Windows Vista, Windows Windows 7, Windows Server 2008.

Установить патч можно по Register or Login" title="You are not allowed to view links. Register or Login" rel="nofollow" target="_blank">этой ссылке.

В Microsoft добавили, что в пятницу, 21 сентября, они выпустят накопительное обновление для Internet Explorer, которое можно будет загрузить через «Центр обновления Windows» (Windows Update). Это обновление включит указанный патч.

Register or Login" title="You are not allowed to view links. Register or Login" rel="nofollow" target="_blank">You are not allowed to view links. Register or Login

[ADMIN]

DDoS-атака на сайт через торрент-трекер

Оказывается, владельцы популярных торрент-трекеров при желании могут направить большой поток HTTP-трафика на любой сайт. Для этого им нужно просто поставить скрипт, который будет добавлять URL сайта жертвы в качестве трекера для новых раздач

Каждый клиент периодически обращается к трекеру по TCP или UDP с запросом, в котором указаны:
SHA-1 словаря info (инфохэш);
порт, на котором клиент ждёт соединений от других клиентов;
количество данных, которыми клиент успел обменяться с другими клиентами;
некоторая другая информация.
Таким образом, если посторонний сайт указан в качестве трекера для какой-нибудь популярной раздачи, то сотни тысяч пользователей начнут бомбардировать запросами посторонний веб-ресурс, даже не подозревая об этом.

В реальности, неизвестно об умышленных DDoS-атаках такого типа, но они действительно теоретически возможны. Кроме того, пользователи могут по ошибке указывать некий посторонний сайт в качестве трекера. Например, сейчас от такой «атаки по ошибке» страдают разработчики open source программы Open Tracker. Они сами не являются трекером, а просто разрабатывают соответствующий модуль для других сайтов, но по какой-то причине на них сейчас идёт перманентный DDoS с миллионами запросов в час от разных торрент-клиентов. Разработчики перешли на веб-сервер nginx и пока выдерживают нагрузку, но эффективно заблокировать подобную атаку практически невозможно.

В июле 2012 года были внесены коррективы в протокол BitTorrent, которые дают возможность владельцам сайтам через запись DNS TXT прямо декларировать, работает ли на указанном хосте торрент-трекер. Если торрент-клиент при закачке торрента получает указание отправлять данные на некий торрент-трекер, а в DNS TXT прямо указано, что на данном хосте торрент-трекера не существует, то клиентская программа не будет направлять туда трафик.

Необходимые изменения уже внесены в протокол, теперь нужно реализовать данную функцию непосредственно в торрент-клиентах. Первыми её реализовали разработчики клиента Vuze в новой версии Vuze 4.7.2 (см. раздел DNS Tracker Changes). Разработчики μTorrent внесли изменения в последнюю альфа-версию программы, и в ближайшем будущем обещают перенести в стабильный релиз.

[ADMIN]

Антивирус Sophos нашел в себе вирус

Британская антивирусная компания Sophos сегодня выпустила обновления антивирусных баз, которые собственный же антивирусный движок Sophos принял за вредоносное ПО.

В результате данного неприятного инцидента многие ПК-пользователи антивирусов Sophos получили предупреждения о том, что их система заражена кодом SSH/Updater-B, а многие корпоративные ИТ-администраторы получили сотни отчетов о том, что корпоративные сети подвержены деятельности данного вредоноса.

Отметим, что пользователи антивирусных продуктов во время скачивания новых антивирусных баз периодически получают неверные сообщения о наличии вредоносных кодов в новых базах, так как антивирус принимает сигнатуры вредоносного кода за сам вредоносный код.

[ADMIN]

Emsisoft Anti-Malware 7 – «двухмоторный» антивирус из Австрии

Вслед за выпуском бета-версии своего «двухмоторного» антивируса Anti-Malware 7 компания Emsisoft из Австрии представила официальный релиз новой версии продукта.

Несмотря на использование сразу двух антивирусных механизмов – собственного движка A2 и лицензированного BitDefender – пакет Emsisoft Anti-Malware 7 демонстрирует крайне высокую скорость проверки файлов на наличие вредоносного кода.

Бета-версия Emsisoft Anti-Malware 7 вышла совсем недавно – в августе этого года. Главным новшеством в версии 7.0 Beta для давних пользователей Emsisoft Anti-Malware стала смена второго антивирусного движка – вместо прежнего механизма Ikarus разработчики решили использовать популярный антивирусный сканер румынской компании BitDefender.

Стоит признать, что разработчикам компании Emsisoft удалось хорошо оптимизировать оба антивирусных сканера в своем обновленном продукте. Кроме того, новые параметры для настройки помогают пользователям задавать нагрузку на процессоры. В частности, пользователь может задать ограничение по числу ядер, используемых для работы сканера. Можно увеличить или уменьшить количество одновременных активных потоков обработки, повысить приоритет программы в системе. Наконец, можно включить использование добавочных способов кэширования – это обеспечивает дополнительный прирост скорости при повторном сканировании.

Еще одно достоинство антивирусного решения от Emsisoft заключается в необычной высокой частоте обновлений. Чтобы обеспечить максимальную защиту, обновления для Emsisoft Anti-Malware 7 выпускаются каждый час. Поскольку размер обновлений остается сравнительно небольшим, защитная система работает еще быстрее за счет разбиения новых сигнатур на мелкие фрагменты. Как и другие авторитетные производители антивирусов, компания Emsisoft поддерживает собственную онлайн-службу для сбора статистики по всем клиентам – сводная статистика помогает лучше обнаруживать вирусы и давать более ценные советы клиентам по защите от новых вирусов.

Пакет Emsisoft Anti-Malware 7 отличается дружественным отношением к начинающим пользователям и к тем, кто впервые работает с данной системой. Встроенный мастер конфигурации очень корректно помогает пользователю в процессе обнаружения и исправления проблем, а потом помогает включить все необходимые параметры для бесперебойной защиты от вирусов, вредоносных web-сайтов и даже еще неизученных угроз.

[ADMIN]

Symantec - Третья Мировая Война началась

Symantec опубликовала любопытное исследование, результаты которого однозначно свидетельствуют: третья мировая война уже началась. Как и предсказывали многие, война происходит в киберпространстве и отличается изощренностью применяемых приемов

По утверждениям представителей Symantec, хакерская группировка под названием Elderwood Project осуществляет целенаправленные атаки на организации, поставляющие предприятиям оборонной промышленности США электронные и механические компоненты для военных систем. Интересно, что атаки осуществляются не на сами крупные корпорации типа Boeing или Lockheed Martin, а на более мелкие компании, входящие в цепочку поставок. Это обуславливается тем, что системы киберзащиты у последних слабее и их легче преодолеть. Целью киберпреступников являются планы работ, информация о разработках, контрактах и другая интеллектуальная собственность.

Наиболее занимателен тот факт, что группировка использует 8 «уязвимостей нулевого дня» (zero day exploit) в таких программах как Microsoft Internet Explorer 8 и Adobe Flash Player. То есть, кибертеррористы обладают информацией о 8 уязвимостях, о которых не знает вся мировая индустрия информационной безопасности. Раздобыть такие данные возможно двумя путями: либо иметь исходные коды данных программ, либо долго и тщательно декомпилировать и анализировать программы с целью их изучения и нахождения уязвимостей.

В первом случае тень может падать на государства, обладающие, в силу своих внутренних законов, исходниками данных программ, во втором - прослеживается серьезная финансовая поддержка со стороны тех же государств или преступных группировок. Однако возможен вариант кражи исходных кодов у Google или Adobe (или других компаний), которые подвергались атакам ранее.

Как бы там ни было, Elderwood Project активно использует найденные уязвимости в своей деятельности. Сами атаки осуществляются двумя способами: стандартные фишинговые письма работникам компаний и тактика «водопоя», когда отслеживается активность работника компании-жертвы в интернете и выясняются сайты, которые посещает человек наиболее часто. Далее эти сайты взламываются и заражаются специальными эксплойтами. Когда человек заходит на сайт, срабатывает скрипт, заточенный именно на этого человека, и на его компьютер проникает вредоносный код.

«Если отбросить версию с кражей исходных кодов, то для того чтобы найти «уязвимости нулевого дня» в какой-либо программе, хакерам необходимо внимательно изучить исходный код этой программы и проанализировать его на наличие ошибок», - считает заместитель директора по маркетингу компании StarForce Дмитрий Гусев - «Именно программные ошибки помогают хакерам преодолевать защиту и проникать внутрь систем». Декомпиляция (или реверс-инжиниринг) – распространенный способ взлома и анализа программ. Он широко применяется хакерами всего мира. Декомпиляция незащищенной программы - задача сложная, но вполне выполнимая, особенно если действует группа опытных профессионалов».

Однако если программа защищена от реверс-инжиниринга, анализа и взлома, то процесс декомпиляции может растянуться на очень длительное время и стать экономически невыгодным. В этом случае новые версии программ будут выходить чаще, чем хакеры взламывают старые.

По мнению Гусева, условно линию защиты можно разделить на 2 участка: 1) защита уже работающих в компаниях программ; 2) защита исходных кодов, находящихся у фирм-разработчиков программного обеспечения до их поступления к заказчику. В первом случае необходимо, чтобы наиболее критичные с точки зрения кибертерроризма программы были надежно защищены от реверс-инжиниринга и анализа в процессе их работы в организациях. Во втором случае следует убедиться, что исходные коды программ, находящихся в разработке, защищены от исследования в случае их кражи. Здесь следует отметить, что программист не может работать с защищенным исходным кодом, и такой код должен быть предварительно расшифрован для возможности его редактирования. Однако хранение исходников в защищенном виде представляется относительно легкой задачей, оно в значительной степени осложнит хакерам процесс похищения кода. Ведь для этого придется проникать напрямую на компьютер программиста и в реальном времени получать расшифрованный исходный код.

«В любом случае, становится очевидно, что текущими методами борьбы с киберугрозами эффективно им противостоять невозможно. Ошибки и «дыры» существуют в любом ПО, даже в программном обеспечении по безопасности. Угрозы нулевого дня будут обнаруживаться постоянно именно из-за того, что любое ПО содержит ошибки. Соответственно, необходимы превентивные методы борьбы, которые затруднят поиск уязвимостей и ошибок с целью их дальнейшего использования при кибератаках», - добавляет Гусев.

Сегодня атаки, в основном, идут на предприятия оборонной промышленности, а завтра - это финансовый сектор, энергетика и так далее. В России ситуация с киберзащищенностью хуже, чем в США. И если крупные отечественные министерства и госкорпорации располагают достаточными бюджетами для построения механизмов защиты, то более мелкие организации, работающие на аутсорсе, чрезвычайно уязвимы.

Только от нас зависит, насколько быстро мы сумеем положить конец разгорающемуся кибер-военному конфликту под условным названием «Третья Мировая».

[ADMIN]

Яндекс заплатит за найденные уязвимости в своих сервисах

«Яндекс» объявила о введении программы по поиску уязвимостей с выплатой вознаграждений. Программа называется «Охота за ошибками» и со всеми подробностями можно познакомиться на официальном сайте и в официальном положении о конкурсе.

Денежные призы составляют от 3000 до 30000 руб., в зависимости от серьёзности обнаруженной уязвимости. В особых случаях размер награды может быть увеличен. Принять участие в программе могут хакеры из любой страны, сообщать об уязвимостях можно через форму. В течение 90 дней после отправки сообщения об уязвимости в «Яндекс» нельзя раскрывать подробности о ней кому-либо ещё, в том числе публиковать их.

Уязвимости можно искать на веб-сервисах, а также в мобильных приложениях «Яндекса» для iOS и Android, которые так или иначе работают с личной информацией пользователей. Домены веб-сервисов: .yandex.ru, .yandex.com, .yandex.com.tr, .yandex.kz, .yandex.ua, .yandex.by, .yandex.net, .yandex.st, .ya.ru, .moikrug.ru (кроме доменов сервиса «Яндекс.Народ»). Мобильные приложения: Карты, Навигатор, Музыка, Такси, Почта, Маркет, Метро, Фотки, Электрички, Диск.

Register or Login" border="0" alt=""/>

Уязвимости в «критичных» сервисах оплачиваются дороже, к ним относятся Паспорт, Почта, Карты, Календарь, Мой Круг, главная страница «Яндекса», страница результатов поиска.

«Яндекс» уже проводил похожий «конкурс» в прошлом году, тогда в нём приняли участие около 50 человек. Сейчас программа объявлена бессрочной.

Подробнее о программе «Охота за ошибками» можно будет прочитать в журнале «Хакер» № 10/2012, для которого мы взяли интервью у главы отдела информационной безопасности «Яндекcа» — Антона Карпова.