• Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události
Žádné výsledky
Zobrazit všechny výsledky
ITBiz.cz
ITBiz.cz
Žádné výsledky
Zobrazit všechny výsledky

Bezpečnostní přehled: Od volantu po trezor

Pavel Houser
3. 8. 2015
| Články

Hacknutý automobil, rizika chytrých hodinek a nově také chytrých sejfů. Malware Potato Express se v Rusku podivně vetřel do šifrovacího softwaru. Zranitelnosti a opravy: Chrome, WordPress, hypervisor Xen, Stagefright na Androidu. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.
Konečně přichází Windows 10, nové vlastnosti se týkají i bezpečnostních funkcí. První dojmy z nového OS: Windows 10 na vlastní kůži a na notebooku Toshiba

Problémy hodinek: na všech úrovních

Výzkumníci z HP uvádějí, že veškeré modely testovaných chytrých hodinek obsahují nějaké bezpečnostní zranitelnosti. Testovány byly hodinky s iOS i Androidem, včetně souvisejících ekosystémů aplikací a cloudových služeb. Problémem má být např. slabá politika v oblasti hesel (neblokuje se po neúspěšných pokusech), nedostatečné šifrování komunikace (SSL se používá, ale může jít o staré verze/krátké šifrovací klíče zdolatelné hrubou silou) nebo webové rozhraní při přístupu ke cloudu – zde může útočník zkoušet třeba známé triky spojené s resetem „zapomenutého“ hesla. Nedostatky se vyskytují i při aktualizaci firmwaru, kdy se opět používá nedostatečné šifrování, někdy scházejí i podpisy/certifikáty, takže lze namísto aktualizace zkoušet podsunout malware, např. při útocích man-in-the-middle. Míra rizik samozřejmě souvisí i s tím, jaké osobní údaje a další citlivé informace konkrétní chytré hodinky obsahují.

Nový Chrome verze 44.0.2403.89 pro Windows, Mac i Linux opravuje 43 bezpečnostních chyb, mezi nimi 12 kritických (řada z nich umožňuje např. útok buffer overflow). Za reportované zranitelnosti Google tentokrát vyplatil asi 40 000 dolarů.

U auta může útočník hýbat už i volantem

Značně medializovány byly i u nás zranitelnosti chytrých automobilů Chrysler (Jeep Cherokee). Útočník mohl v tomto případě ovládnout nejen pomocné systémy, ale i vlastní řízení – převodovku a brzdy, volant při couvání. Problém se údajně týká až 1,4 milionu vozů.

Na chybu upozornili Charlie Miller a Chris Valasek. Útočníkovi stačilo znát veřejnou IP adresu systému auta, při připojení pak chyběla žádost o autentizaci. Výrobce rychle vydal aktualizaci, kterou je ale třeba nainstalovat ručně přes USB, což řada uživatelů neudělá, i když se to bude asi provádět i u prodejců nebo v servisech. Následovalo proto také jednání s poskytovateli sítí, aby možné útoky byly blokovány na této úrovni. Chrysler nicméně dodává, že Millerovi a Valasekovi trvalo hacknutí několik měsíců a není známo, že by útok vzhledem k jeho obtížnosti někdo reálně prováděl.

„Řada zavedených odvětví, která se dosud nemusela zabývat bezpečností informačních technologií jako vážnou hrozbou, bude mít značně podfinancované bezpečnostní technologie, služby a procesy v oblasti IT,“ uvádí k incidentu např. tisková zpráva společnosti Dimension Data.
Viz také: Mohou autonomní auta zabíjet své řidiče?

Ve WordPressu byla objevena cross-site scripting zranitelnost, která umožňuje uživatelům s nižšími oprávněními ovládnout celý server. Opravená verze obsahuje i další aktualizace, její číslo je 4.2.3.

Analýza společnosti Forensiq tvrdí, že podvodné mobilní aplikace, které stahují bez vědomí uživatele reklamu a simulují na ní lidské interakce, připraví inzerenty ročně až o miliardu dolarů. Sledováno bylo asi 5 000 druhů tohoto typu malwaru; některé aplikace dokázaly stáhnout na zařízení denně až 2 GB reklamy.

Bezpečnostní výzkumník Robert Simmons uvolnil pod open source licencí skenovací framework PlagueScanner. Jedná se o rozhraní, které pomocí agentů sjednocuje antivirové motory Avast, BitDefender, Eset, Trend Micro, Microsoft (Windows Defender) a Clam. Produkt je určen pro ty, kdo chtějí takto skenovat soubory obsahující citlivé firemní informace, takže je nehodlají nechat analyzovat ve veřejných internetových službách kombinujících více motorů, ale preferují on-premise řešení.

Kde je USB, je i problém

Další věc, kterou lze dnes hacknout: chytré sejfy. Na Defconu, který se příští týden koná v Las Vegas, má být demonstrováno, jak ovládnout zařízení Brink CompuSafe Galileo, která se používají hlavně v maloobchodním prodejnách, fast foodech apod – jen v USA má být v provozu asi 14 000 těchto zařízení. U zařízení tohoto typu bývá rizikem už samotný fakt, že mají USB vstup (The Register prostě říká, že systém je USBed), k tomu se mohou přidávat i rizika zastaralých operačních systémů (embedded Windows XP apod.). Podle demonstrátorů ze společnosti Bishop Fox stačí přijít se speciální klíčenkou/diskem, zjistit, kolik je v zařízení peněz, asi za minutu trezor otevřít atd.
Samozřejmě pro zloděje stále zůstávají rizika, např. kamerové systémy, ty by mohl někdo narušit, ovšem pak postup nejspíš zase vyžaduje insidera.

Objevena byla nová zranitelnost v hypervisoru Xen. Chyba CVE-2015-5154 znamená, že hostovaná aplikace může získat přístup k hostitelskému systému. Jako možné řešení se uvádí zakázat funkci emulovaných jednotek CD-ROM.

CSIRT.CZ varuje

Mobilní telefony s Androidem ohrožuje chyba v nástroji Stagefright, který zajišťuje přehrávání videa. Pro provedení útoku stačí útočníkovi uživatelovo telefonní číslo, na které zašle speciální MMS zprávu. Problém spočívá především v tom, že aplikace Stagefright má téměř rootovská práva, takže jejím ovládnutím útočník prakticky získá kontrolu nad telefonem. Není zatím jasné, kdy bude k dispozici oprava a jak se bude na dotčená zařízení (mohlo by jít až o miliardu smartphonů) distribuovat.
Poznámka: Bližší informace nejsou známy, vlastní ukázka má být tento týden předvedena na Black Hatu v Las Vegas.

Ze světa firem

Gemalto zveřejňuje výsledky nejnovějšího průzkumu 2015 Data Security Confidence Index (DSCI). Průzkum probíhal v řadě zemí včetně ČR. 62 % českých manažerů odpovědných za IT bezpečnost by nesvěřily svá osobní data do „správy“ vlastní organizace. IT a bezpečnostní ředitelé z ČR patří mezi nejpesimističtější co do důvěry v bezpečnostní nástroje pro odhalování nových hrozeb – plných 84 % se nedomnívá, že by tato řešení byla letos účinnější než před rokem. Závěr studie: Více se soustředit na citlivá data, méně na perimetr – tak, aby data zůstala nějak chráněná i po neoprávněném průniku do sítě organizace.
Zdroj: tisková zpráva společnosti Gemalto

62 % majitelů společností a zaměstnanců po celém světě užívají k práci soukromá mobilní zařízení. Čím menší společnost, tím víc majitelé i zaměstnanci podceňují rizika související s BYOD.
Zdroj: tisková zpráva společnosti Kaspersky Lab

TrueCryptRussia.ru: zamotaný příběh

Malware Potato Express útočil na různé cíle především na Ukrajině. Útoky tohoto malwaru jsou vedené dosud nepoužívanými metodami. Pozoruhodná je zejména souvislost s šifrovacím softwarem TrueCrypt. Do ruské verze TrueCryptu útočníci vložili trojského koně, který jednak dokáže instalovat malware skupiny Potato, a také funguje jako plně vybavený špionážní modul. Ten dokáže působit v utajení: směřuje pouze na vybrané cíle a navíc se aktivuje pouze na počítačích dlouhodobých uživatelů aplikace TrueCrypt. Pouze na těchto počítačích prohledává podle zadaného algoritmu data a odesílá je na řídící servery.

Skrývat soubory malware za názvy odvozené od některého známého software je starý trik. Ale v daném případě experti společnosti Eset zjistili, že stránky TrueCryptRussia.ru slouží nejen k distribuci infikovaného šifrovacího softwaru TrueCrypt, ale také k hostování malwaru ze skupiny Potato – a dokonce fungují i jako řídící server pro „trojanizovanou“ verzi TrueCrypt.

Zdaleka ne veškerý software TrueCrypt ze zmíněné ruské stránky je ale infikovaný. „Trojanizovanou“ verzi nabídne server ke stažení pouze počítačům, které splňují specifická (zatím neodhalená) kritéria. Toto opatření ukazuje, že celá operace je řízena profesionály, kteří jdou po omezeném okruhu cílů.
Zdroj: tisková zpráva společnosti Eset

Psali jsme na ITBiz

Na téma zabezpečení na ITBiz viz také:

  • Datacentra ČRa – kvalita a bezpečnost
  • Bezpečnostní přehled: Otázky po útoku – Kdo vs. Jak
  • BlackBerry ve snaze dosáhnout dalšího růstu sází na prodej bezpečnostního softwaru
  • Bezpečnostní přehled: Flash musel být látán několikrát
Rubriky: Operační systémySecurity

Související příspěvky

Zprávičky

Polský premiér obvinil ruské hackery z útoku na weby vládních stran před volbami

16. 5. 2025
Sophos představil XDR řešení pro synchronizované zabezpečení
Zprávičky

Největší americkou kryptoměnovou burzu Coinbase napadli hackeři

16. 5. 2025
Články

Izraelská společnost Cato Networks ztrojnásobí kapacitu svého pražského vývojového centra

15. 5. 2025
Padla další rekordní pokuta za porušení GDPR
Zprávičky

Česko v dubnu zasypaly desítky tisíc škodlivých e-mailů

14. 5. 2025

Zprávičky

Polský premiér obvinil ruské hackery z útoku na weby vládních stran před volbami

ČTK
16. 5. 2025

Polský premiér Donald Tusk dnes obvinil ruské hackery z útoku na internetové stránky své

Sophos představil XDR řešení pro synchronizované zabezpečení

Největší americkou kryptoměnovou burzu Coinbase napadli hackeři

ČTK
16. 5. 2025

Na největší americkou kryptoměnovou burzu Coinbase zaútočili hackeři. Získali data k omezenému počtu účtů,

Trump nechce, aby Apple vyráběl v Indii; pře se kvůli tomu s šéfem podniku

ČTK
16. 5. 2025

Americký prezident Donald Trump si nepřeje, aby americká společnost Apple vyráběla své produkty v

Informační systémy státní správy asi bude nově monitorovat vládní centrum

ČTK
16. 5. 2025

Komunikační a informační systémy státní správy asi bude do budoucna místo ministerstva vnitra monitorovat

Brusel obvinil provozovatele TikToku z porušování pravidel EU, hrozí mu pokutou

ČTK
15. 5. 2025

Evropská komise (EK) obvinila provozovatele čínské platformy TikTok z porušování pravidel EU kvůli netransparentnosti

ÚOHS začal posuzovat převzetí Dotykačky softwarovou skupinou Seyfor

ČTK
15. 5. 2025

Úřad pro ochranu hospodářské soutěže (ÚOHS) začal posuzovat převzetí společnosti Dotykačka, která poskytuje pokladní

T-Mobile v prvním čtvrtletí zvýšil provozní zisk o 5 % na 3,44 miliardy

ČTK
15. 5. 2025

Operátor T-Mobile zvýšil v prvním čtvrtletí provozní zisk EBITDA o 4,8 procenta na 3,438

Siemens potvrdil výhled poté, co výsledky za druhý kvartál překonaly odhady

ČTK
15. 5. 2025

Německý průmyslový koncern Siemens zvýšil ve druhém čtvrtletí čistý zisk meziročně o 11 procent

Tiskové zprávy

Nové monitory Predator posouvají hranice díky obnovovací frekvenci 500 Hz a 4K QD-OLED panelům

Acer představuje Swift X Duo – notebook pro tvůrce s grafickými kartami NVIDIA GeForce RTX řady 50 pro notebooky

Huawei představuje řešení pro datová centra na bázi AI

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

MPO: Zrušení amerického omezení vývozu AI čipů nechává prostor pro rozvoj českého průmyslu a mezinárodní spolupráce

Místní šetření ÚOHS ve společnosti Seznam.cz bylo nezákonné, konstatoval soud

Zpráva dne

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

Redakce
15. 5. 2025

Kupte Windows 11 CDkey od Goodoffer24.com a můžete růst s tímto OS jak při...

Videa ITBiz.cz

Glenn Mallon, Dell Technologies

Elektronická recepční

FORXAI Mirror

Kamery pro průmysl a detekci požárů

Kamery pro vyhodnocení spokojenosti zákazníků

Kalendář

Kvě 27
Celý den

Kontajnery v praxi

Říj 1
Celý den

Cyber Attacks

Říj 21
Celý den

Bezpečnosť a dostupnosť dát

Zobrazit kalendář

Komentujeme

Chvála černých skřínek

Malé modely AI mají být velkým trendem

Pavel Houser
3. 1. 2025

V záplavě prognóz technologického vývoje (nejen) v roce 2025 zde prozatím trochu zapadlo jedno téma, které...

Odebírat newsletter

Zásady ochrany osobních údajů.

Zkontrolujte svoji doručenou poštu a potvrďte odběr.

Slovník

Key account manager

Archie

Database Management

Kategorie

  • Články
  • Komentujeme
  • Slovník
  • Tiskové zprávy
  • Zprávičky

Portál ITbiz.cz přináší informace z IT a byznysu již od roku 2006. Provozuje jej internetové vydavatelství Nitemedia. Hosting zajišťuje společnost Greenhousing.cz. Mezi další naše projekty patří například ABClinuxu.cz a Sciencemag.cz. Na stránce Redakce naleznete informace o redakci a možnostech inzerce.

Rubriky

Akce a události Byznys Cloud Ekomerce Hardware Internet Operační systémy Podnikový software Právo Science Security Technologie Telekomunikace Veřejná správa Vývoj a HTML Zpráva dne České IT

Píšeme jinde

RSS ScienceMag RSS

  • Tajemná velekrysa měří 85 cm
  • Čeští vědci popsali mechanismus Fabryho choroby
  • Produktivní války: Běh na dlouhou trať

RSS AbcLinuxu RSS

  • Novinky z vývoje Asahi Linuxu – květen 2025 / Linux 6.15
  • Rust slaví 10 let od vydání verze 1.0. Vydána verze 1.87.0
  • Brusel obvinil provozovatele TikToku z porušování pravidel EU

Newsletter

Zásady ochrany osobních údajů.

Zkontrolujte svoji doručenou poštu a potvrďte odběr.

Žádné výsledky
Zobrazit všechny výsledky
  • Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události

© 2019 Vydává Nitemedia s.r.o. Hosting zajišťuje Greenhousing.cz.

Tento web používá cookies. Pokračováním dáváte souhlas s jejich používáním. Více na itbiz.cz/soukromi.