Hardwarové zabezpečení volí i menší firmy. Bezpilotním letounům jde opravdu podvrhnout GPS souřadnice. Jak funguje obchod se zero day zranitelnostmi? Novinky ze světa bankovních trojanů. Následuje pravidelný čtvrteční bezpečnostní přehled.
Proč dosud existují nigerijské podvody, tedy včetně takových, které v průvodním textu přímo zmiňují Nigérii? Cožpak na to někdo někdy naletí? Jistěže ne, kromě člověka totálně hloupého nebo zcela nezkušeného… a právě proto tyto podvody prý existují. Kdo totiž odpoví na takový e-mail, ukazuje naprostou neznalost fungování internetu a je proto ideálním cílem, aby se stal obětí a podvodníci se mu dále věnovali.
Právě zmínka o Nigérie, tisíckrát „profláklá“, má být v tomto typu podvodů klíčová. Jistěže lze průvodní e-mail zformulovat tak, aby působil důvěryhodněji. Pak by na něj odpovědělo více lidí, o to ale podvodníci ani nestojí, protože by jejich činnost byla méně efektivní.
Někdo dejme tomu zareaguje na e-mail s nabídkou sexu, ale to ještě neznamená, že pak prozradí citlivé bankovní informace a podvodníci komunikací jenom ztrácejí čas. Nejstupidnější metoda je prý ve skutečnosti výjimečně efektivní. Tvrdí to alespoň analýza Microsoftu, jejímž autorem je výzkumník Cormac Herley.
Zdroj: The Register
Poznámka: Přesněji řečeno, jistěže existují i sofistikovanější podvody. Podstata je zhruba taková, že i nejstupidnější metody mají „svůj trh“.
Trh se specializovanými hardwarovými bezpečnostními zařízeními (appliance) roste. Příjmy dodavatelů se v posledním čtvrtletí zvýšily meziročně asi o 10 % na 1,9 miliard dolarů. Podle IDC bylo prodáno asi půl milionu zařízení. Zajímavé je, že z hlediska regionů největší meziroční nárůst zaznamenaly země střední a východní Evropy, meziročně až neuvěřitelných 40 %, alespoň co se týče počtu prodaných zařízení. Naopak v USA došlo k velkému nárůstu tržeb – firmy začaly ve velkém nakupovat dražší hardwarové firewally a systémy prevence vniknutí (IPS). Víceméně stagnovat mají prodeje zařízení pro UTM a content management, klesá prodej pro VPN – jakkoliv je otázkou, nakolik dnes podobné dělení dává smysl. Obecně na náročnější bezpečnostní řešení přecházejí i menší firmy.
Pořadí prvních pěti dodavatelů na trhu je následující: Cisco, Check Point, Juniper, McAfee, Fortinet. Těchto pět firem získává podle IDC asi polovinu celkových tržeb.
Zdroj: ZDNet
Google opravil 20 zranitelností v Chrome. Žádná z nich nebyla označena jako kritická, nicméně několik z nich se vztahuje k práci s pamětí a bezpečnostní rizika potenciálně představovat mohou. Nová verze prohlížeče má shodou okolností také číslo 20.
Zdroj: The Register
Kdo dnes kupuje zero day zranitelnosti a co se s nimi děje? V poslední době do hry výrazně vstoupily společnosti, jako je Vupen, které příslušné informace dále prodávají jednotlivým vládám, ale nijak o nich neinformují dodavatele softwaru ani uživatele. Jen v případě, že informace je dodána jako exkluzivní, za ni prý může reportující strana obdržet maximální odměnu – údajně až 250 000 dolarů (při splnění dalších podmínek, např. musí jít o exploit proti nejnovější verzi apod.). Mimochodem, nejvíce se prý cení zranitelnosti v systému iOS.
Analýza se omezuje na procesy, které jsou alespoň trochu zdokumentované, tedy prodej zranitelností západním vládám. Jak to funguje v Číně nebo při prodeji mafiánským strukturám, to pořádně neví asi nikdo. Situace údajně zavdává nebezpečnou motivaci vývojářům – vytvořit při své práci schválně chybu a pak si nechat zaplatit za její odhalení.
Zdroj: Tech Republic
GPS systémy v amerických bezpilotních letounech (dronech) mají být snadno zranitelné. Prokázal to test, který pro americké ministerstvo vnitra provedl Todd Humphreys z University of Texas v Austinu. Podvrhnout letounu falešné GPS souřadnice údajně umožňuje už zařízení v ceně asi 1 000 dolarů. Na konci loňského roku tvrdil Írán, že se amerického letounu zmocnil právě podobným způsobem, většina odborníků to však pokládala za nepravděpodobné.
A proč že si test nyní objednalo ministerstvo vnitra a ne armáda? Od roku 2015 by se letouny tohoto typu totiž měly v americkém vzdušném prostoru začít používat i pro civilní účely. Když k tomu připočteme i nastupující automaticky řízené automobily, bude spooging GPS brzy možná celkem zásadním tématem.
Zdroj: Security News Daily
ThreatMetrix Labs objevila další verzi bankovního trojana Zeus. Nová varianta šifruje svůj konfigurační soubor, takže běžné bezpečnostní nástroje infekci nemusí odhalit. K novinkám patří pokus získat informace o platebních kartách a bankovních účtech i při přístupu na Facebook nebo GMail. Úvodní stránka služeb je nezměněná, po přihlášení se však objeví okno s příslušnou nabídkou (Facebook bude vracet podíly z transakcí/zajistí slevy, Google nabídne výhodné nákupy v síti e-shopů atd.). Další nový trik je vyskakující okno „číslo karty, které jste zadali tam a tam, neodpovídá; zadejte správné číslo“.
Dost neuvěřitelná informace ve zprávě uvádí, že tímto typem malwaru je infikováno 1 z 50 PC.
Zdroj: HelpNet Security
Studie McAfee a Guardian Analysis tvrdí, že ve světě současných bankovních trojanů je dvoufaktorová autorizace nedostatečným prostředkem zabezpečení bankovního účtu.
Současnou vlnu plenění účtů zpráva označuje jako Operation High Roller. Jako první prý byli masivně napadeni uživatelé v Itálii, ale pak se operace rozšířila i do řady dalších zemí. Novinkou je, že malware zvládá modifikovat i transakce, k jejichž autorizaci se používalo tokenů/čipových karet.
Zdroj: HelpNet Security
Systém automatických převodů (Automatic Transfer System, ATS) umožňující počítačovým zločincům prolomit nová bezpečnostní opatření bank a vyčistit bankovní účty obětí, aniž by zanechali stopy trestné činnosti. ATS funguje především ve spojení s bankovními trojskými koni SpyEye a Zeus. Základní metodou těchto útoků je Man In The Browser. Podvodníci takto mohou obejít dvoufaktorovou autorizaci přes SMS i některá další bezpečnostní opatření bank (denní limity apod.). Navrhované řešení: Na straně banky je problém řešitelný obtížně, zabezpečit je třeba koncové body.
Zdroj: tisková zpráva společnosti Trend Micro
České společnosti stále více důvěřují virtualizačním technologiím a využívají virtuální prostředí i pro klíčové obchodní aplikace. 71 % zkoumaných firem již virtualizované nástroje zavedlo nebo se k tomu chystá v průběhu příštích 12 měsíců. Nicméně firmy vesměs nedokáží virtualizaci adekvátně přizpůsobit bezpečnostní politiku. Použití totožné bezpečnostní strategie pro fyzické a virtuální prostředí může kromě jiného omezit hlavní přínos virtualizace.
Zdroj: tisková zpráva společnosti Kaspersky Lab
Technologie postavené hlavně na bázi čidel brzy zajistí například dokonalé zabezpečení domů a bytů bez nutnosti používat klíč. To alespoň soudí studie Intelu „Aspekty budoucnosti“.
Zdroj: tisková zpráva společnosti Intel
V českém prostředí mají banky poměrně dobré zabezpečení proti krádežím identit. Daleko hůře jsou na tom obchodní portály a sociální sítě. Servery, které k identifikaci uživatele používají pouze jméno a heslo, již dnes nelze pokládat za dostatečně bezpečné.
Zdroj: tisková zpráva společnosti AutoCont
