Bezpečnostní přehled: Flash na ústupu

Pavel Houser , 05. říjen 2015 09:30 0 komentářů
Rubriky: Security
Bezpečnostní přehled: Flash na ústupu

Výdaje na zabezpečení rostou, řada firem je ale nicméně odkládá kvůli silnému dolaru; naopak prodej koncovým uživatelům vázne. Hacking Team a Saudská Arábie. Černý trh s chybami antivirů. Opravy: Apple, VMware. Kolik lidí si stáhlo malware z Google Play? Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Další komodita na černém trhu

Tavis Ormandy z Googlu upozorňuje na to, že roste černý trh s bezpečnostními zranitelnostmi přímo v antivirových produktech. V rámci projektu Google Zero byly v poslední době nalezeny chyby např. v produktech Eset a Kaspersky Lab. Před oznámením a uvolněním oprav však byly (zřejmě) tyto chyby a exploity nezávisle nabízeny na černém trhu.

Uniklých otisků prstů bylo víc

V červnu byla hacknuta americká vládní agentura Office of Personnel Management, která shromažďuje osobní data (cca) úředníků státní správy USA s bezpečnostní prověrkou. Původně se uvádělo, že útočníci se mj. zmocnili i 1,1 milionu otisků prstů, nyní bylo toto číslo, údajně na základě „post-forenzního“ zkoumání, zvýšeno na 5,6 milionu. Instituce možnosti zneužít tato data marginalizuje, ale na bezpečnostních konferencích bylo vytváření „důkazů“ na základě standardně digitalizovaného (nebo dokonce jen vyfoceného) otisku demonstrováno již opakovaně.

Prodeje koncovým uživatelům klesají, marže jsou nízké

Za zabezpečení IT se podle Gartneru celosvětově letos utratí 75,4 miliard dolarů. Oproti loňsku je toto číslo vyšší o 4,7 %. Nárůst by byl výraznější, ale kvůli kurzu dolaru někteří dodavatelé zvýšili své ceny v místních měnách a zákazníci proto nákupy odkládali (z téhož důvodu se očekává vyšší nárůst v příštím roce). Co se týče jednotlivých kategorií, pak se zvýšil např. zájem o testování bezpečnosti, řízení identit a přístupu a outsourcing. Klesají a dále budou klesat prodeje koncovým uživatelům a zájem o produkty pro zabezpečení koncových bodů; tyto produkty mají dnes navíc velmi malou ziskovost.

Kód z archivu se sám spustí

Oblíbený komprimační program WinRar může být zneužit pomocí archivu, jehož část se po rozbalení (stačí zobrazení zabalených souborů) sama spustí – i když prý nikoliv přímo jako libovolný exe soubor, ale pouze vložený kód v JavaScriptu. Na problém upozornil íránský bezpečnostní výzkumník Mohammad Reza Espargham.

Opravy: Apple a VMware

Apple vydal aktualizace pro OS X, Safari a iOS (zde má aktuální verze číslo 9.0.2). Záplaty pro OS X opravují až 101 dokumentovaných bezpečnostních zranitelností, z nichž řadu šlo zneužít ke vzdálenému spuštění kódu (aplikace Mail, jádro OS, zpracování PHP...). Další kritické chyby řeší i aktualizovaná verze Safari (např. jádro WebKit, rozšíření i problém v režimu safe browsing).

Opravy je třeba nasadit také pro produkty VMware: vCenter Sever a ESXi. U vCenter Server jsou zranitelné verze 5 a 6, problém je v konfiguraci služby Java Management Extensions (JMX), s níž lze vzdáleně manipulovat bez autentizace. Kontrola chyby již byla zařazena do nástroje pro penetrační testování Metasploit. Další chyba ve vCenter Server umožňuje útok DoS. U hypervisoru ESXi byly opraveny dvě chyby při správě paměti. Nejnovější verze 6 se tento problém netýká.

O Hacking Team prý měli zájem Saudové

O hacknutí italské společnosti Hacking Team, která dodávala řadě vlád a policejním složkám včetně Policie ČR software ke sledování uživatelů, se zde již několikrát psalo (Hackerský útok na dodavatele špionážního software vyvolal dusno). Studium uniklých dokumentů nyní vydalo další informaci. V roce 2013 chtěla Hacking Team koupit investiční skupina Safinvest, která byla tehdy napojena na saudsko-arabskou královskou rodinu. V roce 2014 z transakce sešlo údajně kvůli personálním změnám v saudsko-arabských bezpečnostních složkách. Pro Hacking Team by mohlo být výhodné stát se saudsko-arabskou firmou, protože tato země neratifikovala některé mezinárodní dohody (Wassenaar Arrangement – o exportovaných technologiích). Italská vláda údajně o jednáních nic nevěděla.

Soumrak flashových reklam

Flash je na ústupu. Důvodem je dlouhodobě se zvyšující podíl přístupů z mobilních zařízení, která Flash nepodporují. V srpnu bylo 21 % zhlédnutých stránek na internetu zobrazeno pomocí chytrých telefonů nebo tabletů, a toto číslo bude dále stoupat. Navíc i nové verze prohlížečů Firefox a Chrome na stolních počítačích zobrazení Flash reklam blokují.Zdroj: tisková zpráva Sdružení pro internetový rozvoj

Poznámky: Oznámení je vztaženo k internetové reklamě, nicméně ústup Flash a jeho náhrada HTML5 má samozřejmě dopad i na bezpečnost. Chrome sice nyní defaultně blokuje reklamy ve formátu Flash, ale ne tento obsah jako takový.

CSIRT varuje/oznamuje

Dvě nově objevené zranitelnosti v bezplatném šifrovacím nástroji TrueCrypt mohou útočníkům umožnit získat oprávnění administrátora.

Ze světa firem

Drtivá většina uživatelů internetového bankovnictví (96 %) souhlasí, že internetové bankovnictví je v případě obezřetného chování uživatele bezpečné. Průzkum byl proveden mezi uživateli služeb Seznam.cz. Zdroj: tisková zpráva společnosti Eset

Eset přichází s novou verzí bezpečnostních produktů pro domácnosti: Eset Smart Security a Eset NOD32 Antivirus mají přepracované uživatelské prostředí. První z obou produktů navíc obsahuje novou technologii k ochraně bankovních a platebních transakcí: konkrétně přepnutí webového prohlížeče do zabezpečeného režimu a ochranu přenosu mezi klávesnicí a prohlížečem proti keyloggerům. Zdroj: tisková zpráva společnosti Eset

Čeští uživatelé se nejvíce bojí napadení svých on-line účtů (65 %) a malwaru určeného ke krádežím hesel a důvěrných informací (66 %). Ukázal to průzkum Kaspersky Lab a B2B International mezi uživateli z 26 zemí včetně ČR. Teprve třetí nejobávanější jsou finanční hrozby. Více než čtvrtina (28 %) uživatelů po celém světě neví o existenci ransomwaru. Zdroj: tisková zpráva společnosti Kaspersky Lab

Za poslední měsíc odhalil Check Point na Google Play dvě nebezpečné aplikace. Škodlivý kód byl připojen ke hře BrainTest a hra byla umístěna na Google Play hned dvakrát. Podle statistik Google Play byl pokaždé počet stažení mezi 100 000 a 500 000. Zdroj: tisková zpráva společnosti Check Point

AVG oznámila vydání nové generace produktů pro počítače a mobily ve verzích pro koncové uživatele. Aktualizované sady AVG Protection a AVG Performance pro PC a Android podle dodavatele nabízejí nové funkce na detekci škodlivého softwaru, nový ovládací panel pro ladění, lepší čištění a plnou podporu pro Windows 10. Zdroj: tisková zpráva společnosti AVG

AVG také aktualizovala produkty pro podnikové zákazníky: AVG AntiVirus Business Edition a AVG Internet Security Business Edition. Novinky: např. větší využití cloudu/crowdu a datový sejf. Zdroj: tisková zpráva společnosti AVG

Více než 2/3 sofistikovaných útoků na firemní infrastrukturu jsou v poslední době vedeny přes koncové uživatele, zejména ty, kteří k citlivým firemním aplikacím a datům přistupují mobilně. Údaje byly prezentovány na konferenci HackerFest 2015. Podle průzkumu společnosti SafeNet 76 % firem v ČR přiznalo, že za poslední rok zaznamenaly narušení svých IT systémů nebo dat. Zdroj: tisková zpráva Počítačové školy Gopas

Uveden byl software Axis Guard Suite s několika aplikacemi pro analýzu videa (pro kamery Axis). Balíček nabízí tři aplikace: Motion Guard slouží pro detekci pohybu, Fence Guard je určen pro ochranu oplocených prostor, kde detekuje pokusy o přelezení nebo poničení plotu, a Loitering Guard slouží pro detekci podezřelého chování v poloveřejných prostorech. Zdroj: tisková zpráva společnosti Axis Communications

Psali jsme na ITBiz

Na téma zabezpečení na ITBiz viz také:


Komentáře


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář

20. 03.

24. 03.
CeBIT 2017
RSS 

Zprávičky

Nový zákon o výzkumu chystá "blacklist" příjemců i ministerstvo

ČTK , 09. prosinec 2016 16:31

Velké změny ve fungování Grantové a Technologické agentury, novou vědeckou radu ČR i takzvaný "black...

Více 0 komentářů

Fitbit koupil průkopníka chytrých hodinek Pebble

ČTK , 09. prosinec 2016 15:00

Americký výrobce chytrých náramků a hodinek Fitbit koupil software, patenty a další aktiva duševního...

Více 0 komentářů

Američané možná umožní v letadlech telefonování přes wi-fi

ČTK , 09. prosinec 2016 13:00

Aerolinky ve Spojených státech by v budoucnu mohly umožňovat telefonování v letadle s použitím wi-fi...

Více 2 komentářů

Starší zprávičky

Česká pošta od ledna zdraží posílání do zahraničí o pět až 20 Kč

ČTK , 09. prosinec 2016 11:39

Česká pošta od ledna zvýší ceny za posílání listovních zásilek do zahraničí o pět korun, balíky podr...

Více 0 komentářů

Za vzněcováním smartphonu iPhone 6 jsou vnější vlivy, tvrdí Apple

ČTK , 08. prosinec 2016 11:30

Firma Apple odmítla podezření čínských uživatelů svého chytrého telefonu iPhone 6, že za problémy s ...

Více 0 komentářů

Verizon prodá firmě Equinix datová centra za 3,6 miliardy USD

ČTK , 08. prosinec 2016 10:00

Největší americký mobilní operátor Verizon Communications prodá specializované společnosti Equinix 2...

Více 0 komentářů

Tchajwanský Foxconn jedná o rozšíření svých aktivit v USA

ČTK , 07. prosinec 2016 15:00

Tchajwanská společnost Foxconn jedná o rozšíření svých aktivit ve Spojených státech. Oznámila to dne...

Více 0 komentářů