ИТ-безопастность

[ADMIN]

Секьюрити-стартап Bromium предлагает защитить данные от хакеров с помощью своего клиента виртуализации

Секьюрити-стартап Bromium начал поставку своего клиента виртуализации, который размещает любой потенциально опасный клиент в собственную виртуальную машину microVM, полностью изолируя его от внешней среды, операционной системы и других программ на ПК.

Этот же подход не позволяет потенциальным злоумышленникам получить доступ к данным, расположенным за пределами виртуальной среды.

Программное обеспечение VSentry предназначено для блокировки угроз, о которых в данный момент никому, кроме их инициаторов ничего не известно. Блокировать такие угрозы сигнатурными методами невозможно, поэтому большинство антивирусных и антишпионских программ неэффективны против таких угроз. В Bromium говорят, что их продукт позволяет защитить компьютеры, независимо от того, с каким типом контента и в каких типах сетей они работают.

Программное обеспечение фильтрует другие приложения, веб-страницы, приложения к электронным письмам и все остальное, для чего в принципе можно определить правило. Далее программа сама будет на лету создавать виртуальную машину и запускать каждое приложение в отдельной "песочнице", завершая ее после того, как закрывается приложение. К примеру, если все интернет-подключения у пользователя отмечены как недоверенные, все, что скачивается из интернета автоматом стартует в собственной виртуальной машине. Для запуска microVM современному компьютеру требуется всего 30 миллисекунд, поэтому задержка при запуске не ощущается.

"Наш подход позволяет гарантировать, что вредоносный контент или код не получают доступ к ресурсам в системе. Созданная нами архитектура позволяет запускать сотни виртуальных машин единовременно", - рассказывает Гаурав Банга, генеральный директор Bromium.

Register or Login" border="0" alt=""/>

"Попытки защитить пользователей от всего подозрительного, исходящего из внешнего мира, вредят продуктивности работы, так как самим пользователям необходимо для нормальной работы постоянно взаимодействовать со внешним миром", - говорит он. "Сегодня ИТ решает проблему созданием более высоких заборов, но это бесконечная борьба, потому, что нельзя вообще заблокировать все попытки исполнения внешнего кода в системе".

По его словам, неважно, какое именно задание выполняется внутри виртуальной машины, однако сама виртуальная машина заботится о том, чтобы работающее приложение имело доступ к системным библиотекам и необходимым для работы ресурсам, но не имело доступа к файлам и сторонним приложениям. Если браузер работает с потенциально опасным сайтом, то все cookie-файлы и скрипты находятся в приложении VSentry, а не в системе. Если в процессе работы пользователь запускает несколько окон браузера, то каждое из них работает в своей виртуальной машине.

"Под капотом" у разработанной Bromium системы находится технология Microvisor, которая по своему устройству напоминает обычный гипервизор, но может в отличие от последнего генерировать виртуальные среды для отдельных объектов, а не для всего компьютера. Задача приложения VSentry - защита компьютера от любого противоправного воздействия. VSentry разворачивается как приложение для виртуализации и берет под свой контроль ресурсы компьютера. Гипервизор делает примерно то же самое, но на уровне компьютерного железа, здесь же подход более гранулированный.

При помощи microVM можно защищать веб-транзакции, вкладки в браузере, работу конкретной программы или обращение к данным. Сами microVM невидимы для пользователя и программа выполняет все операции в фоновом режиме. С точки зрения системы, microVM также выступают в роли ограничителя системных ресурсов, выделяя программе лишь тот необходимый минимум, без которого она не сможет работать.

Доступ к аппаратным ресурсам обеспечивается за счет возможностей современных x86-чипов, связанных с виртуализацией. Ввиду этого, продукт пока поддерживает только x86-чипы (поддержка ARM ожидается в 2013 году).

Приложение VSentry привязано напрямую к аппаратному обеспечению, а сама по себе архитектура Microvisor очень надежна, уверены разработчики. В Bromium говорят, что пока продукт поддерживает только x86 и только Windows 7, однако версия для Mac OS X также находится в разработке. В более далекой перспективе ожидается и Android-версия технологии.

Работать с технологиями Bromium в корпоративной сети, когда решения установлены на сотни компьютеров, системные администраторы могут при помощи Microsoft System Center и Active Directory. В будущем ожидается интеграция с продуктами для обеспечения ИТ-безопасности HP ArcSight и McAfee ePolicy Orchestrator.

В Bromium рассказали, что уже сейчас у них 43 клиента, но называть компании-пользователи разработчики отказались.

[ADMIN]

uTorrent будет генерировать peer-id каждый час

Новая функция усложнит процесс отслеживания пользователей uTorrent, а также обеспечит более высокий уровень защиты приватности.

Как сообщает TorrentFreak, корпорация BitTorrent Inc решила защитить своих пользователей от любых видов слежки, генерируя peer-id каждый час. Отметим, что 20-байтовое значение peer-id генерируется каждый раз при запуске торрент-клиента. Оно содержит версию клиента и случайное значение. Peer-id передается трекеру и используется при соединениях с другими клиентами.

В настоящее время в Интернет существуют сервисы, которые отслеживают и идентифицируют пользователей торрент-трекеров по peer-id по заказу владельцев авторских прав и полиции.

В BitTorrent Inc отмечают, что хотя нововведения и усложняют процесс отслеживания по peer-id, IP-адреса все еще остаются общедоступными и будут отслеживаться.

Новая функция, которую вводит BitTorrent Inc будет затрагивать только общественные торренты. Изменения будут внесены в код ядра службы, поэтому пользователям не придется настраивать нововведение самостоятельно.

По словам представителей BitTorrent Inc., новая функция вводится для того, чтобы защитить приватность пользователей, которая важна не только для пользователей торрентов, но и для всех пользователей сети Интернет в целом.

[ADMIN]

Почта Rambler восстановила работу после DDoS-атаки

Продолжительная DDoS-атака привела к неполадкам в работе почтового ресурса, а также системы авторизации Rambler-ID.

Как сообщает РИА Новости, в понедельник, 24 сентября, пользователи столкнулись с проблемами при работе почтового сервиса Rambler. Неполадки в работе системы были вызваны мощной DDoS-атакой. Кроме того, злоумышленники атаковали не только почтовый клиент, но и систему авторизации Rambler-ID. В связи с этим, пользователи могли столкнуться с неполадками в работе не только с почтой, но и с другими службами компании.

«В настоящий момент работа «Рамблер-Почты» почти восстановилась, и большинство пользователей могут заходить в свои ящики уже сейчас», - цитирует издание технического директора службы Александра Кононенко.

По словам специалиста, DDoS-атака на ресурс продолжается с пятницы, 21 сентября. «В пятницу работу сервиса удалось полностью восстановить к 11 вечера, и атака на выходных не мешала его функционированию», - заявил Кононенко.

Однако в понедельник атака на ресурс усилилась, нагрузка превысила обычную почти в 5 раз. По состоянию на 16:30 МСК доступ к ресурсу был заблокирован для пользователей из России, Германии, Польши, Франции, Нидерландов, Великобритании, Канады, Казахстана и ряда других стран.

По данным сервиса You are not allowed to view links. Register or Login, на момент публикации новости проблемы с доступом к электронной почте зафиксированы только в Нидерландах.

[ADMIN]

Бэкдор в phpMyAdmin

В последней версии на You are not allowed to view links. Register or Login обнаружен бэкдор.

На сайте phpMyAdmin опубликовано сообщение о том, что последняя версия SQL-клиента phpMyAdmin, распространяемая ресурсом You are not allowed to view links. Register or Login, содержит бэкдор.

До недавнего времени зеркало cdnetworks-kr-1 на You are not allowed to view links. Register or Login распространяло модифицированную версию клиента, содержащую бэкдор в файле server_sync.php, а также измененный файл js/cross_framing_protection.js. Обнаруженный бэкдор позволяет злоумышленнику удаленно выполнить произвольный PHP код.

На момент публикации новости производитель знал только о том, что скомпрометированной является версия You are not allowed to view links. Register or Login.

Для того чтобы проверить, содержит ли ваша версия phpMyAdmin бэкдор, проверьте приложение на наличие файла server_sync.php. Если вы используете скомпрометированную версию, производитель рекомендует удалить ее и скачать вновь из доверенного репозитория.

В настоящее время неизвестно, когда вредоносный файл был добавлен в дистрибутив, и какое количество пользователей успело скачать его и установить.

Производитель благодарит за обнаружение бэкдора Tencent Security Response Center.

[ADMIN]

Trend Micro: киберпреступники в Европы технически грамотнее азиатских

В компании Trend Micro провели сравнительный анализ методов действий киберпреступников из стран Восточной Европы и Азии.

В отчете, озаглавленном «Петр Великий против Сунь-Цзы» утверждается, что преступники из стран бывшего соцлагеря применяют более совершенные и незаметные технические средства. Хотя азиатские киберпреступники тоже пользуются уязвимостями «нулевого дня» и целевым фишингом для первичного проникновения в компьютерные системы намеченной жертвы, после этого они переходят к применению стандартных, широко распространенных инструментов.

В отличие от них, восточноевропейские взломщики часто используют для первичного проникновения готовые программы, но средства для дальнейшей работы у них настраиваются под конкретные цели. Вредоносные программы, разрабатываемые в Восточной Европе, компактнее и применяют сложные методы скрытия от антивирусных программ. Азиатские хакеры в целом меньше внимания уделяют скрытию следов взлома и собственной личности.

Авторы отчета связывают высокую квалификацию восточноевропейских преступников с традиционным для этого региона качеством математического образования и уровнем научных исследований.

[ADMIN]

Новая критическая уязвимость в Oracle Java

Новая критическая уязвимость в Oracle Java является более масштабной, чем предыдущая, так как содержится сразу в трех версиях среды. Пользователям рекомендуется отключить плагин Java.

Критическая уязвимость в Java, которую корпорация Oracle пропустила в своем последнем обновлении среды выполнения, угрожает миллиарду пользователей персональных компьютеров, сообщает Computerworld со ссылкой на специалиста по информационной безопасности из компании Security Explorations Адама Говдяка (Adam Gowdiak).

По словам Говдяка, речь идет о новой критической уязвимости или так называемой уязвимости «нулевого дня» (то есть ранее неизвестной специалистам по безопасности). Напомним, в конце августа специалисты уже били тревогу по поводу кросс-платформенной критической уязвимости в Java, затронувшей пользователей Windows, Mac OS X и Linux. Издание Ars Technica добавило к списку операционных систем Solaris. После обнаружения прошлой уязвимости пользователям было рекомендовано отключить плагин Java в браузерах, или вообще удалить Java из системы.

Новая уязвимость также является кросс-плафторменной и тоже позволяет злоумышленникам получить контроль над машиной жертвы. Для этого пользователю достаточно посетить зараженный веб-сайт с помощью любого из следующих браузеров: Google Chrome, Mozilla Firefox, Microsoft Internet Explorer, Opera и Apple Safari.

Говдяк сообщил, что новая уязвимость является более масштабной в сравнении с той, которая была обнаружена в августе, потому что она содержится не в одной, а сразу в трех версиях среды выполнения - Java 5, 6 и 7. Ранее эксперты уже предупреждали, что последний патч, который выпустила Oracle, устранил не все содержащиеся в Java 7 уязвимости.

Специалист перечислил конкретные версии программного обеспечения, в которых он успешно проэксплуатировал эксплойт. Это следующие версии Java: Java SE 5 Update 22, Java SE 6 Update 35 и Java SE 7 Update 7, и браузеры: Chrome 21.0.1180.89, Firefox 15.0.1, Internet Explorer 9.0.8112.16421, Opera 12.02 и Safari 5.1.7. Все версии в процессе проверки были запущены в среде 32-разрядной Windows 7.

Эксперт рекомендует пользователям вновь отключить Java-плагин в браузерах, если они включили его после обнаружения уязвимости в августе и выпуска патча, и дождаться очередного обновления от Oracle. Следующий пакет для устранения критических уязвимостей планируется выпустить 16 октября 2012 г., поэтому, вероятно, придется дожидаться этой даты, добавил Говдяк.

[ADMIN]

«Доктор Веб» предупреждает о новой модификации Trojan.Mayachok

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает о появлении новой опасной модификации вредоносной программы Trojan.Mayachok, сигнатура которой добавлена в вирусные базы Dr.Web под именем Trojan.Mayachok.1

С начала сентября специалистами компании «Доктор Веб» зафиксировано значительное снижение числа заражений Trojan.Mayachok.1, до конца августа уверенно лидировавшего в списке наиболее распространенных угроз. Сокращение случаев инфицирования весьма значительно: по сравнению с показателями второй половины августа, общее количество инфицированных ПК сократилось на 31%. Динамика этого процесса показана на представленном ниже графике.

Подобное изменение динамики аналитики «Доктор Веб» связывают с появлением новой модификации Trojan.Mayachok, которая, судя по всему, пришла на смену первой. В новой версии троянца, получившей наименование Trojan.Mayachok.17727, был значительно видоизменен код, а главное, используются решения, направленные на обеспечение еще большей незаметности троянца для пользователя. Так, дроппер Trojan.Mayachok.17727 не перезагружает компьютер в процессе заражения, а сам момент установки остается абсолютно незаметным для жертвы.

Троянская программа состоит из двух компонентов: дроппера и динамической библиотеки, в которой реализован основной вредоносный функционал троянца. Дроппер создает в директории %MYDOCUMENTS% папку с именем IntMayak, в которую временно сохраняет троянскую библиотеку и REG-файл, предназначенный для регистрации библиотеки в системе. Затем дроппер ищет в памяти ПК запущенный процесс explorer.exe и внедряет в него вредоносный код. С использованием данного кода, уже от имени процесса explorer.exe, троянец сохраняет в системную директорию %SYSTEM32% копию вредоносной библиотеки. С помощью редактора реестра Trojan.Mayachok.17727 импортирует REG-файл, модифицируя ветвь реестра, отвечающую за загрузку вредоносной библиотеки во все процессы. Затем дроппер удаляет временные файлы и саму папку IntMayak, а также с целью сокрытия способа своего проникновения в систему уничтожает файлы cookies и очищает кеш браузера Microsoft Internet Explorer.

Вредоносная библиотека работает с браузерами Microsoft Internet Explorer, Opera, Mozilla Firefox, Google Chrome. В процессе работы Trojan.Mayachok.17727 записывает на диск зашифрованный конфигурационный файл, в котором хранит список управляющих серверов, внедряемый в просматриваемые пользователем веб-страницы скрипт и другие параметры.

В отличие от Trojan.Mayachok.1, в код троянца были внесены существенные изменения: исчезла проверка на наличие в инфицируемой системе средств виртуализации, изменено число поддерживаемых процессов, а также механизм сравнения их имен, отсутствует функция проверки конфигурационного файла на целостность. Стоит напомнить, что Trojan.Mayachok стал одним из первых троянцев, использующих технику заражения VBR (Volume Boot Record): эта техника, как оказалось впоследствии, не была разработана создателями данной угрозы, а приобреталась ими у других вирусописателей. Например, аналогичный код был обнаружен в банковском троянце Trojan.Carberp.

[Andrey36]

Сертификат Adobe использовался для подписи malware

Компания Adobe вчера объявила, что с 4 октября аннулирует один из цифровых сертификатов для программного обеспечения, которое было подписано после 10 июля 2012 года. Причина в том, что обнаружено две хакерские программы, использующих инфраструктуру Adobe.

Аннулирование сертификатов затрагивает платформу Windows, а также три приложения Adobe AIR, которые работают и на Windows, и на Macintosh: это Adobe Muse, приложения Adobe Story AIR и десктопные сервисы You are not allowed to view links. Register or Login.

Две упомянутых хакерские утилиты — это pwdump7 v7.1 и myGeeksmail.dll, обе происходят из одного и того же источника и подписаны цифровым сертификатом от Adobe. Первая программа осуществляет извлечение парольных хэшей в Windows, а вторая — фильтр ISAPI, который устанавливается на веб-сервер для перехвата и модификации HTTP-трафика.

Первоначальное расследование выявило внутренний build-сервер Adobe, который был скомпрометирован и использовался злоумышленниками для подписи своего ПО. Злоумышленники сделали это для защиты от антивирусов, потому что многие антивирусы не проверяют файлы, если те подписаны сертификатами от авторитетных компаний.

Компания Adobe заверяет пользователей и партнёров, что инцидент не имеет серьёзного значения. Данный build-сервер не участвовал в инфраструктуре PKI, он не имел доступа к приватным ключам Adobe, а использовался только для запросов к хранилищу ключей. Не обнаружено никаких доказательств, что была скомпрометирована другая чувствительная информация, включая учётные данные пользователей, партнёров или сотрудников компании, финансовую информацию или исходные коды. Build-сервер имел доступ к исходным кодам только одного-единственного продукта.

[alexsf]

В Skype идет массовая вирусная рассылка

Register or Login" border="0" alt=""/>

Обнаружена массовая рассылка через Skype и социальные сети, приводящая к заражению Windows-компьютеров червем Worm.NgrBot. Опасность угрозы усугубляется тем, что вредоносную ссылку пользователи получают от имени своих авторизованных контактов.

В Рунете обнаружен интересный социальный троян, распространяемый через Skype и через социальные сети.

По всей видимости, первой угрозу описала белорусская антивирусная компания «Вирусблокада» 4 октября 2012 г. На следующий день существование угрозы подтвердили отечественные антивирусные разработчики «Лаборатория Касперского» и «Доктор Веб».

Согласно постингу в блоге «Вирусблокады», заражение вновь обнаруженным вирусом происходит после перехода по ссылке, полученной в Skype, причем жертва получает сообщение с опасной ссылкой от одного из своих авторизованных контактов.

Опасная ссылка сопровождается сообщением «Это новый аватар твоего профиля?» либо «ey eto vasha novaya kartina profil'? [ник в Skype]». При переходе по ссылке в систему загружается ZIP-архив с вредоносным исполняемым файлом с расширением .EXE.

Файл представляет собой сравнительно давно известного сетевого многофункционального червя Worm.NgrBot (или Dorkbot), включающего зараженный компьютер в ботнет и привлекающего его к DDoS-атакам.

Кроме того Worm.NgrBot способен похищать пароли как от файлообменников Letitbit, Sms4file, Vip-file, так и от почт, легальных сервисов и соцсетей (YouTube, Gmail, Facebook) и блокировать доступ компьютера к сайтам антивирусных компаний.

Компания отмечает, что, помимо рассылки сообщений в Skype, Worm.NgrBot способен распространять себя также и через сообщения в социальных сетях «Вконтакте» и Facebook, через Twitter, а также через флеш-носители.

Достоверных данных о масштабах заражения и ареале распространения Worm.NgrBot через Skype пока нет, однако, география обнаружения и специфика подозрительного сообщения, сопровождающего вредоносную ссылку, позволяет судить, что нынешняя эпидемия зародилась в странах СНГ.

Первооткрыватель новой угрозы «Вирусблокада» предостерегает пользователей от перехода по подозрительным ссылкам и, чтобы избежать дальнейшего распространения трояна, призывает отключить функцию управления Skype другими программами. Это можно сделать в меню расширенных настроек Skype, очистив пункт «Контроль доступа программного интерфейса».

«Вирусблокада» отмечает, что, поскольку троян Worm.NgrBot скрыт от обнаружения стандартными средствами Windows, для его обнаружения и удаления потребуется использовать специальные утилиты.

В российском разработчике средств безопасности «Доктор Веб» полагают, что для удаления трояна достаточно обновить вирусные базы.

[Andrey36]

Отчет McAfee об угрозах за третий квартал 2012 года

В отчете сообщаются подробности операции High Roller, отмечается, что число вредоносных программ для мобильных устройств в прошлом квартале выросло почти в два раза, а количество случаев взлома баз данных достигло рекордно высокой отметки.

Подразделение McAfee Labs отметило также рост некоторых категорий вредоносных программ, включая программы-вымогатели и двоичные файлы с цифровой подписью. Продолжают расти темпы распространения руткитов и вредоносных программ для Mac. Отмечена отчетливая тенденция роста количества троянских коней для кражи паролей и вредоносных программ с автозапуском.

По словам Винсента Уифера (Vincent Weafer), старшего вице-президента McAfee Labs, "говорить о замедлении темпов распространения киберпреступности пока не приходится. Хотя мы склонны больше говорить о цифрах, остается фактом то, что мы по-прежнему наблюдаем рост изощренности атак. Киберпреступность, хактивизм и методы ведения кибервойн постоянно совершенствуются. Все — от отдельных стран и крупных компаний до малых предприятий и домашних пользователей — сталкиваются с широким спектром цифровых угроз со стороны киберпреступников. Им удается собирать все больше конкретной информации о своих жертвах и проводить киберкампании с помощью новейших платформ и средств использования уязвимостей. Мы все должны постоянно быть в курсе сетевых рисков и знать наилучшие способы их предотвращения и борьбы с ними".

Каждый квартал группа McAfee Labs, насчитывающая 500 исследователей различных профилей из 30 стран, отслеживает весь спектр угроз в реальном времени, выявляя уязвимости приложений, выполняя анализ и корреляцию рисков, что позволяет выполнять мгновенные исправления с целью защиты корпоративных и частных пользователей. В отчетном квартале подразделением McAfee Labs были отмечены следующие тенденции:
Группа финансовых мошенников начинает действовать в международном масштабе: В III квартале случаи финансового мошенничества в Интернете распространились по всему миру. Согласно новым аналитическим данным, операция High Roller, а точнее стоящая за ней шайка финансовых мошенников, которая была выявоена в начале этого года компаниями McAfee Labs и Guardian Analytics, вышла за пределы Европы, затронув США, Колумбию и другие страны. Киберпреступники создали автоматизированную систему электронных расчетов, использовали ее для атак на европейские финансовые институты, а затем решили атаковать крупное международное финансовое учреждение в США.
Продолжается эволюция программ-вымогателей: В третьем квартале количество уникальных образцов программ-вымогателей, вынуждающих своих жертв к расстаться с деньгами, выросло на целых 43 процента, таким образом создание таких программ стало одной из самых быстро развивающихся областей киберпреступности. Заражение устройств происходит посредством ссылок в электронных письмах и социальных сетях, а также через "попутные загрузки" и схемы PPI (Pay-Per-Install). В большинстве случаев вредоносная программа, как правило, "обвиняет" пользователя в том, что он посетил неразрешенный веб-сайт, блокирует компьютер, а затем требует уплатить определенную сумму за разблокирование устройства. И хотя жертвы атак в состоянии заплатить этот выкуп, полное восстановление системы им не гарантировано.
Число вредоносных программ в "зоопарке" превысило 100 миллионов: Хотя темпы распространения вредоносных программ в отчетном квартале слегка замедлились, общее количество образцов вредоносных программ в нашем "зоопарке" тем не менее превысило 100 миллионов, как и прогнозировалось ранее. Число вредоносных программ для мобильных устройств по сравнению с предыдущим кварталом увеличилось почти в два раза, при том, что крупнейшим объектом для атак остается платформа Android. В настрящее время McAfee Labs обнаруживает в среднем 100 000 новых образцов вредоносных программ в день. За период с января этого года количество вредоносных программ с цифровой подписью выросло в два раза, что негативно отразилось на глобальной инфраструктуре доверия.
Рекордно высокое количество случаев взлома баз данных: Общее количество случаев утечки данных за три квартала 2012 года уже превысило соответствующий показатель за весь 2011 календарный год. В 2012 году было обнаружено около 100 новых уязвимостей баз данных, некоторые из которых были устранены разработчиками без предания гласности.
Отмечается стабильный рост числа программ-невидимок: Данная категория вредоносных программ, показавшая стабильные темпы роста на протяжении всего третьего квартала, является одним из самых неприятных видов вредоносных программ, потому что программы-невидимки разрабатываются именно с целью избежать обнаружения.
Количество веб-угроз выросло на 20 процентов: Что касается веб-угроз и угроз, распространяемых в разного рода электронных сообщениях, то в отчетном квартале мы отметили 20-процентный прирост числа подозрительных URL-адресов. Огромное количество этих URL-адресов ведет к вредоносным программам. Почти 64 процента из этих недавно обнаруженных подозрительных URL-адресов находится в Северной Америке.