margin-top: 125px; border: 1px solid gray; } -->

Bezpečnostní přehled: Zranitelnost chytrých měřáků elektřiny

Pavel Houser , 12. duben 2012 08:00 0 komentářů
Bezpečnostní přehled: Zranitelnost chytrých měřáků elektřiny

Dubnové záplaty Microsoftu, hned několik kritických. Počítačoví podvodníci se přidávají do ekonomických systémů jako zaměstnanci. Nejvíce chyb bylo z aplikací loni reportováno v Chrome. Malware FlashFake zasáhl Mac OS X. Pastebin bude více hlídat zveřejňování citlivých informací. Následuje pravidelný čtvrteční bezpečnostní přehled.

Microsoft v úterý vydal své dubnové bezpečnostní záplaty, které opravují 11 zranitelností. U jedné z nich Microsoft připustil, že proti chybě už byly zaznamenány cílené útoky. Jedná se díru ve zpracování komponent ActiveX, konkrétně v technologii Windows Common Controls. Chybu lze zneužít vzdáleně, k infekci stačí navštívit podvodný web (není jasné, zda přitom musí oběť zobrazit web v Internet Exploreru nebo stačí mít tento browser nainstalován). Zranitelnost popisuje bulletin zabezpečení MS12-027.

Microsoft doporučuje urychlenou instalaci záplaty výše uvedeného problému. Dále firma doporučuje věnovat pozornost také balíčku záplat MS12-023, které jsou určeny pro Internet Explorer. Zde mohou zranitelnosti vést k tomu, že při návštěvě podvodného webu získá útočník stejná práva, jako má aktuálně pracující uživatel.

Třetí kritický balíček zabezpečení MS12-024 opravuje chybu zneužitelnou pomocí speciálního souboru ve formátu PE (portable executable). Kritická je rovněž záplata MS12-025 týkající se rozhraní MS.Net. Tuto chybu lze zneužít opět při návštěvě webové stránky, přičemž svůj kód může útočník spustit i na MS Internet Information Serveru (pokud se mu sem podaří stránku nějak uploadovat). Méně závažné chyby byly opraveny v MS Forefront a MS Office.

Zdroj: ZDNet, The Register a další

Bankovní trojský kůň Zeus se začíná používat pro další typ finančních podvodů. S jeho pomocí se podvodníci pokoušejí kompromitovat ekonomické (mzdové apod.) systémy, především v malých firmách, které obvykle nemají tak propracované zabezpečení. Následně mohou do systémů třeba přidávat fiktivní zaměstnance, jimž se pak vyplácí mzda. Pro převod použijí jako obvykle bankovní účty bílých koní (mules). Podle analýzy společnosti Trusteer jsou k těmto útokům zvlášť náchylné ekonomické systémy provozované jako cloud, kdy k přístupu stačí webový prohlížeč a ukradené přihlašovací údaje. Trusteer předpokládá, že tento typ útoků bude stále populárnější, slibuje větší zisky než vysávání bankovních účtů jednotlivých uživatelů.

Zdroj: The Register

Chytré měřicí systémy pro sledování spotřeby elektřiny jsou údajně běžně zranitelné a umožňují vzdáleně vsunout neautorizovaná data. Problém je především v implementovaných komunikačních protokolech, které neobsahují dostatečné záruky pro integritu dat. Tvrdí to na základě výsledků svého průzkumu firma nCircle.

FBI dodává, že hack chytrých měřičů již každoročně působí v USA škody v řádu stovek milionů dolarů. Podvody je těžké odhalit, když se odečet provádí na dálku a měřiče jsou pochopitelně upraveny tak, aby nějakou (uvěřitelnou) spotřebu hlásily. Liší se názory na to, jaký přístup k měřicímu zařízení musí podvodník mít - je nutná fyzická manipulace, nebo lze provést i bezdrátové připojení počítače a následně je úprava čistě softwarová?

Zdroj: SecurityNewsDaily

Největším bezpečnostním rizikem mají dnes pro firmy představovat špatně nastavené interní procesy, tvrdí společnost AlgoSec. V důsledku toho je třeba mnoho procesů provádět ručně a s chybami, nasazení aktualizací trvá dlouho, správci nemají přehled o tom, co se vlastně v podnikové síti děje. Dokonalejší moderní nástroje, např. firewally nové generace, s sebou prý přitom jako daň přinášejí ještě větší složitost.

Zdroj: HelpNet Security

Čína tvrdí, že prostřednictvím internetu probíhá stále častěji ilegální dovoz zbraní do země. Transakce v e-shopech jsou pak doprovázeny použitím expresních doručovacích služeb pro fyzickou dodávku zboží. Tvrzení čínských vládních představitelů publikované v China Daily je ale současně pokládáno za záminku pro ještě větší vládní kontrolu nad Internetem.

Zdroj: The Register

Provozovatelé webu Pastebin.com najímají zaměstnance, kteří budou rychle mazat citlivé informace, které prostřednictvím tohoto webu publikují např. hakctivisté (především uniklé databáze hesel, údajů o platebních kartách nebo osobních údajů). Pastebin.com dosud mazal data na vyžádání (takových upozornění provozovatelé mimochodem prý dostávají až 1 200 denně), nyní najme lidi, kteří budou obsah i aktivně prohlížet. Počítačovým zločincům by v důsledku toho mohla být trochu zkomplikována komunikace, i když si bezpochyby najdou jiné cesty... Mimochodem Pastebin si stěžuje také na to, že jej útočníci velice často používají jako cvičný cíl, na němž si testují účinnost útoků DDoS.

Zdroj: The Register

Společnost Trend Micro zveřejnila výsledky studie porovnávající jednotlivé mobilní platformy z hlediska schopnosti vyhovět při použití v podnikovém prostředí požadavkům na zabezpečení. Platformy byly hodnoceny na základě kombinace faktorů zahrnujících vestavěné zabezpečení, zabezpečení aplikací, autentizaci, mazání obsahu přístrojů, použitý firewall a virtualizaci. Nejvyšší průměrné skóre získala platforma BlackBerry, následovaly iOS, Windows Phone a Android. U Androidu sehrál v hodnocení mj. negativní roli fakt, že většina zařízení stále používá starší verzi 2.x. Dobré hodnocení BlackBerry ovšem závisí na tom, zda se současně užívá BlackBerry Enterprise Server.

Zdroj: tisková zpráva společnosti Trend Micro

Masová infekce systémů Mac OS se stala realitou. Botnet Flashfake ovládl asi 670 000 počítačů, v naprosté většině systémů Mac OS X. V posledních dnech množství počítačů komunikujících s řídicími servery botnetu pokleslo, což ale může znamenat i pokus podvodníků o lepší maskování své aktivity. Nejvíce nakažených počítačů je ve vyspělých zemích.

Kaspersky Lab nabízí zdarma nástroj pro detekci i odstranění Flashfake.

Zdroj: tisková zpráva společnosti Kaspersky Lab, Betanews.com a další

Jinak i další zdroje se shodují, že Flashfake je zatím vůbec největším bezpečnostním incidentem týkajícím se počítačů Mac. Apple už oznámil, že bez ohledu na nástroje bezpečnostních firem pracuje i na vlastním opravném mechanismu.

Podle zprávy National Vulnerability Database (NVD) ohlásilo v roce 2011 bezpečnostní zranitelnosti 722 dodavatelů. Pořadí podle firem bylo následující: Google, Oracle, Apple, Microsoft, Adobe. 85 % zranitelností objevilo v aplikacích, 12 % v operačních systémech a 3 % na úrovni hardwaru. V oblasti aplikací se nejvíce útoků objevilo u prohlížeče Google Chrome následovaným různými aplikacemi Applu, Mozilly a Adobe.

Zdroj: tisková zpráva společnosti GFI

Technologie Intel SBA (Small Business Advantage) je určena pro malé firmy, kterým by měla nabídnout prostředí prakticky bez nutnosti údržby. SBA slibuje zaručit kontrolu zabezpečení, pravidelné aktualizace, zálohování dat i optimalizaci výkonu. Všechny tyto činnosti půjde nastavit tak, aby se prováděly mimo pracovní dobu. Zdroj: tisková zpráva společnosti Intel


Komentáře

RSS 

Komentujeme

Skutečně software pohltí svět?

Pavel Houser , 22. duben 2017 14:00
Pavel Houser

Výrok, podle něhož má software pojídat svět, jako první použil (zřejmě) Marc Andreessen v roce 2011 ...

Více





RSS 

Zprávičky

O digitální transformaci usiluje více než polovina českých podniků

Pavel Houser , 27. duben 2017 18:39

Spojení IoT a AI: Zařízení internetu věcí generují velké objemy dat, které mají bez rychlého zpracov...

Více 0 komentářů

Twitter snížil čtvrtletní ztrátu na 61,6 milionu dolarů

ČTK , 27. duben 2017 15:30

Čtvrtletní ztráta americké internetové společnosti Twitter se meziročně snížila na 61,6 milionu dola...

Více 0 komentářů

Vláda indického Kašmíru zakázala na měsíc sociální sítě

ČTK , 27. duben 2017 13:00

Vláda indického státu Džammú a Kašmír nařídila nejméně na měsíc blokádu sociálních sítí na kašmírské...

Více 0 komentářů

Starší zprávičky

FlashStation pro analýzu velkých objemů dat

Pavel Houser , 27. duben 2017 11:54

Synology představuje zařízení FlashStation FS2017 Podle dodavatele jde o server NAS typu all-flash ...

Více 0 komentářů

Čtvrtletní zisk Samsungu stoupl téměř o polovinu, LG rostla ještě víc

ČTK , 27. duben 2017 10:00

Ve druhém čtvrtletí by měl výsledky dále podpořit nový Galaxy 8....

Více 0 komentářů

Kamery pro systémy SCADA

Pavel Houser , 27. duben 2017 09:00

Axis uvádí na trh kamery chráněné proti výbuchu pro rychlé zvládání nehod a efektivní běh kriticky n...

Více 0 komentářů

Praha pořídí navigaci pro návštěvníky Škodova paláce

ČTK , 26. duben 2017 15:30

Praha pořídí navigaci pro návštěvníky Škodova paláce. Na internetových stránkách karty MHD lítačka z...

Více 0 komentářů