Tammikuu

29.01.2010

Muistio tietoja varastavista haittaohjelmista julkaistu

Muistiossa kuvataan tietoja varastavien haittaohjelmien sähköisten palveluiden käyttäjille muodostamaa uhkaa.

CERT-FI on julkaissut muistion, jonka tarkoituksena on lisätä sähköisten palveluiden käyttäjien yleistä tietoisuutta tietojen varastamiseen tähtäävistä tietoverkkorikoksista ja keinoista, joilla varkauksilta voi suojautua. Muistiossa kuvataan myös tietoverkkorikosten toteuttamistapoja ja CERT-FI:n toimintamahdollisuuksia.

Muistioon voi tutustua ohjeet-osiossa.

29.01.2010

Suomalaisia IRC-kanavia vallattu

Eräillä kanavilla on jopa esitetty lunnasvaateita kanavan palauttamiseksi

Internet Relay Chat, eli IRC tai tuttavallisemmin irkki, kuuluu internetin vanhimpiin pikaviestintäpalveluihin. Palvelu tarjoaa käyttäjille mahdollisuuden käydä tosiaikaista keskustelua keskusteluhuoneissa tai niin sanotuilla kanavilla.

CERT-FI tutkii tapausta jossa tietomurron kohteeksi joutunutta suomalaista palvelinta on käytetty hyväksi IRC-kanavien valtauksessa. Tietomurron tekijä on tehokkaasti peittänyt jälkiään palvelimella, mutta talteen saatu aineisto viittaisi siihen, että palvelimelle tavalla tai toisella on päästy sisään murretun SSH-tunnuksen avulla. Palvelimelta on myös löytynyt jälkiä jotka viittaavat siihen, että käyttövaltuuksia on yritetty laajentaa käyttäen hyväksi Linux-käyttöjärjestelmässä ollutta haavoittuvuutta.

Tietomurron yhtenä motiivina lienee ollut hyökkääjän jälkien peittäminen. Hyökkääjä on myös pystynyt hyödyntämään sitä, että murretun palvelimen on tunnistettu olevan Suomessa. Eräiden IRC-kanavien osalta kyseinen tunnistus on riittänyt kanavan valtaamiseen tarvittavien ylläpito-oikeuksien saamiseksi. Nyt tutkitun suomalaisen palvelimen lisäksi IRC-kanavien valtauksessa on hyödynnetty myös ulkomailla sijaitsevia palvelimia.

28.01.2010

Tietovarkaat ja sovellusistuntojen kaappaajat

Haittaohjelman avulla toteutettu rikollinen tilisiirto tai identiteettivarkaus on Suomessa hyvin harvinainen tapahtuma. Haittaohjelmatartunnoilta suojautumiseen on kuitenkin syytä, sillä haittaohjelmien avulla pyritään yhä useammin hankkimaan taloudellista hyötyä saastuneen työaseman käyttäjän kustannuksella. CERT-FI on perehtynyt Suomessa tavattuihin tietoa varastaviin haittaohjelmiin ja pankkitroijalaisiin ja vertaillut näiden toimintaa ulkomailla raportoituihin tapauksiin.

Haittaohjelmatartuntojen ehkäiseminen on paras suojautumiskeino

CERT-FI:ltä on tiedusteltu, miten viime aikoinakin uutisoitujen verkkopankkien käyttäjiin iskeneiden haittaohjelman toiminnan voi havaita ja miten niiden toimintaa voisi häiritä. Yleispätevien ohjeiden antaminen on vaikeaa, koska haittaohjelmia on monenlaisia ja niiden toimintaa muunnellaan tarkoituksella, jotta tunnistaminen olisi mahdollisimman vaikeaa.

Yleensä ottaen suositeltavinta on pyrkiä estämään haittaohjelman tarttuminen jo ennalta, koska kerran saastuneen tietojärjestelmän "puhdistaminen" on erittäin työlästä ja vaikeaa. Tietokoneen käyttöjärjestelmä ja varusohjelmistot on syytä pitää jatkuvasti ajantasaisina. Palomuurin ja virustorjuntaohjelmiston käyttö on erittäin suositeltavaa ja myös niiden asetukset ja tunnisteet on syytä pitää ajan tasalla. Verkkopankkia ja muita luottamuksellisia tietoja käsitteleviä verkkosovelluksia olisi syytä käyttää vain asianmukaisesti ylläpidetyltä päätelaitteelta käsin.

Huomionarvoista viimeaikoina tavatuissa haittaohjelmissa on se, että pelkän tietojen varastamisen lisäksi ne pystyvät myös kaappaamaan ja muokkaamaan sovellusistuntoja. CERT-FI on kuvannut kyseistä tekniikkaa aiemmin muun muassa tietoturvakatsauksessa 1/2008.

Seuraavaan olemme keränneet vastauksia CERT-FI:lle esitettyihin kysymyksiin tutkimiemme haittaohjelmien toiminnasta. Vastausten yleispätevyyttä arvioitaessa on huomioitava, että CERT-FI:n käytössä olevat tiedot eivät välttämättä ole täysin kattavia.

Miten tietoja varastavat haittaohjelmat tarttuvat?

Tietoja varastavat haittaohjelmat ja pankkitroijalaiset tarttuvat samoin kuin muutkin haittaohjelmat. Yleistä on, että käyttäjä houkutellaan asentamaan sähköpostin liitetiedostona tai verkosta ladattu haittaohjelma itse. Haittaohjelma saattaa päätyä käyttäjän työasemaan myös siirrettävien muistilaitteiden välityksellä. Tällöin käyttöjärjestelmän Autorun-asetuksilla on merkittävä rooli siinä, asentuuko haittaohjelma työasemaan itsestään vai vaatiiko tartunta sen, että käyttäjä itse asentaa haittaohjelman esimerkiksi tiedostokuvaketta klikkaamalla.

Haittaohjelmat tarttuvat myös hyväksikäyttämällä käyttöjärjestelmän ja varusohjelmien haavoittuvuuksia. Tällöin käyttäjän on tyypillisesti vierailtava haitallisella www-sivulla tai murretulla www-sivulla, jolle on sivuston ylläpitäjän tietämättä lisätty haitallista sisältöä. On myös mahdollista, että käyttäjä on vastaanottanut dokumentin tai linkin dokumenttiin, joka hyväksikäyttää dokumentinlukuohjelmissa olevaa haavoittuvuutta ja saastuttaa työaseman. CERT-FI:n havaintojen mukaan hyödynnettävät haavoittuvuudet ovat yleensä ennestään tunnettuja ja niiltä suojautumiseksi riittäisi tuoreen ohjelmistopäivityksen asentaminen. Ennestään tuntemattomien haavoittuvuuksien hyväksikäyttö laajassa mittakaavassa on hyvin harvinaista.

Estääkö virustorjuntaohjelmisto haittaohjelman toiminnan?

Yleisimmät virustorjuntaohjelmistot tunnistavat verkkopankkikäyttäjiin kohdistuvia haittaohjelmia ja erityisesti haittaohjelmaperheitä kohtuullisen hyvin ja havaitsevat tartunnan usein myös haittaohjelmien piiloutumismekanismien lävitse. Haittaohjelman tunnistanut virustorjuntaohjelmisto tarjoaa suojaa estämällä haittaohjelmakoodin käynnistymisen ja siihen liittyvien komponenttipäivitysten lataamisen.

Aivan tuoreille haittaohjelmaversioille tunnisteita ei aina ole, joten täydellistä suojaa virustorjuntaohjelmilla ei saa. Valitettavasti haittaohjelmia tehtailevat rikolliset pyrkivät aktiivisesti muuntelemaan ohjelmistojaan, jotta virustorjuntaohjelmistot eivät tunnistaisi niitä. Virustorjuntaohjelmistojen valmistajien reagointiaika ennestään tunnistamattomiin haittaohjelmiin mitataan tyypillisesti tunneissa, joskin vuorokausienkin viiveitä on rekisteröity. Tuoreutettuja sormenjälkitunnisteita jaellaan useita kertoja vuorokaudessa - virustutkan ajantasaisuus mitataan siis tunneissa.

Itse haittaohjelman toimintaa virustorjuntaohjelmat eivät yleensä estä, jos haittaohjelmatartunta on jo tapahtunut. Jopa päinvastoin: useat haittaohjelmat sisältävät itsepuolustusrutiineja. Käynnistymään päässyt haittaohjelma pyrkii sabotoimaan päätelaitteelta tavatun virustorjuntaohjelmiston - yleensä siten, ettei se enää pysty hakemaan tunnistepäivityksiä.

Millä käyttöjärjestelmäalustalla tietoja varastavat haittaohjelmat toimivat?

Kaikki CERT-FI:n tietoon tulleet suomalaisiin verkkopankkikäyttäjiin kohdistuneet haittaohjelmat ovat olleet nk. PE-muotoisia (Portable Executable) ja ne toimivat pääsääntöisesti Windows XP -järjestelmissä, usein myös uudemmissa Windows-järjestelmissä.

Millä tavoin tietoja varastavat haittaohjelmat kytkeytyvät www-selaimeen?

Osa haittaohjelmista on nk. BHO-tyyppisiä (Browser Helper Object) ja edellyttää näin ollen, että verkkopankkia käytetään Internet Explorer -selaimella. Osa haittaohjelmista puolestaan käyttää hyväkseen Windows-käyttöjärjestelmän alemman tason sovellusrajapintoja ja kirjastoja - näin ollen niiden on mahdollista toimia käytännössä kaikkia selaimia käytettäessä. Haittaohjelmat saattavat kyetä seuraamaan ja muokkaamaan myös salattuja HTTPS-yhteyksiä käyttävää liikennettä, koska haittaohjelmat kytkeytyvät sovelluksien käyttämissä kirjastoissa sellaisiin kohtiin joiden läpi liikenne kulkee vielä salaamattomana.

Estääkö skriptiasetusten kiristäminen jo tarttuneen haittaohjelman toiminnan?

Aktiivisen www-sisällön (kuten Javascript ja Flash) estäminen on sinällään hyvä ja suositeltava ennaltaehkäisevä tietoturvatoimenpide. Useimmissa tapauksissa aktiivisen sisällön estäminen ei kuitenkaan vaikuta verkkopankkeihin kohdistuvien haittaohjelmien toimintaan.

Joidenkin HTML- ja Javascript-koodia injektointia hyödyntävien haittaohjelmien toimintaan Javascriptin estäminen saattaa periaatetasolla vaikuttaa ja täten suojata myös saastuneen työaseman käyttäjää. Tällaiset haittaohjelmat ovat kuitenkin olleet yksittäistapauksia. Osa verkkopankkien ja muiden sähköisten asiointipalvelujen käyttöliittymistä saattaa lisäksi edellyttää, että Javascript on sallittu.

22.01.2010

CERT-FI julkaisi kahden haavoittuvuuskoordinointiprojektin tulokset

Projektien tuloksena korjattiin gzip-pakkausohjelmaa ja Linuxin IPv6-käsittelyä.

CERT-FI julkaisi eilen illalla tiedotteet kahden haavoittuvuuskoordinointiprojektin tuloksista. Oululaisen OUSPG-tutkimusryhmän sekä testausfirma Codenomicon Oy:n CROSS-projektin raportoimat haavoittuvuudet liittyivät avoimen lähdekoodin gzip-pakkausohjelmaan ja Linux-käyttöjärjestelmän ytimeen. Haavoittuvuudet on julkistettu kyseisten ohjelmistoprojektien toimesta, ja niihin on saatavilla korjaukset. CERT-FI koordinoi haavoittuvuuksien korjausprosessia.

21.01.2010

Internet Explorerin haavoittuvuuksiin julkaistu korjaus

Torstai-iltana julkaistu päivitys korjaa tukun Internet Explorerin haavoittuvuuksia, joita on viime päivinä käytetty hyväksi varsinkin IE6-käyttäjiä vastaan.

Päivityksessä korjataan kahdeksan Internet Explorerin haavoittuvuutta, joiden joukossa ovat myös niin sanotussa Aurora-hyökkäyksessä käytetyt HTML-objektien ja muistin käsittelyyn liittyvät haavoittuvuudet.

Päivitykset ovat saatavilla Windowsin päivitysmekanismin kautta.

20.01.2010

Microsoft julkaisee korjauksen IE-haavoittuvuuteen torstaina

Microsoft on ilmoittanut, että se julkaisee HTML-objektien käsittelyyn liittyvään haavoittuvuuteen korjauksen huomenaamuna - eli torstai-iltana Suomen aikaa.

Microsoft julkaisee muun muassa Internet Exploreria vaivaavan haavoittuvuuden vuoksi ohjelmistopäivityksen huomenna torstaina.

Tietoon on tullut kaupallisesti saatavana oleva DEP-suojauksen ohittava haavoittuvuuden hyväksikäyttömenetelmä. Tähän saakka DEP on suojannut tuoreen selainversion käyttäjiä.

Hyökkäyksiä, jotka käyttävät uutta menetelmää ei ole ilmeisesti vielä tavattu yleisesti levityksessä. Internet Explorer -selaimen vanhempaa versiota 6 vastaan suunnatut hyväksikäyttöyritykset ovat sitä vastoin lisääntyneet. Hyökkäykset vanhempaa versiota vastaan myös onnistuvat edelleen helpommin.

Lisätietoja hyväksikäyttömenetelmien tilanteesta ja päivityksestä löytyy englanniksi Microsoftin sivuilta.

20.01.2010

CERT-FI:n vuosikatsaus 2009 on julkaistu

CERT-FI:n vuosikatsaus 2009 on julkaistu. Siinä luodaan katsaus viime vuoden tietoturvatapahtumiin ja CERT-FI:n toimintaan.

CERT-FI:n vuosikatsaus 2009 on luettavissa osoitteessa http://cert.fi/katsaukset/2009.html.

19.01.2010

Internet Explorerin haavoittuvuus vaikuttaa myös muihin ohjelmistoihin

Microsoft Internet Explorerista löydetty haavoittuvuus vaikuttaa myös muihin käyttöjärjestelmän osiin ja ohjelmistoihin, jotka käyttävät HTML-tiedostojen käsittelyyn tarkoitettua kirjastoa mshtml.dll.

Saksalainen Bürger-CERT on kertonut, että selaimen lisäksi ovat haavoittuvia ainakin Microsoft Outlook, Microsoft Outlook Express, Microsoft Windows Mail, Microsoft Windows Live Mail, Microsoft Ohje (Help) ja Microsoft Sivupalkki (Sidebar) jos niissä käsitellään HTML-sisältöä.

Jos haavoittuvuutta aletaan käyttää laajamittaisesti hyväksi ennen kuin Microsoft julkaisee korjaavan ohjelmistopäivityksen, CERT-FI varautuu julkaisemaan aiheesta vuoden 2010 ensimmäisen varoituksen.

CERT-FI:n haavoittuvuustiedote 004/2010 on päivitetty.

Microsoft on ilmoittanut julkaisevansa päivityksen haavoittuvuuteen nopeutetulla aikataululla.

16.01.2010

Haitin maanjäristyksen varjolla myös huijausyrityksiä

Haitin maanjäristykseen liittyvistä uutisista tai hädänalaisten auttamisesta kiinnostuneet ihmiset ovat houkutteleva kohde huijareille. Katastrofiin liittyviin sivustoihin ja sähköpostiviesteihin kannattaa suhtautua varauksellisesti.

internetissä liikkuu Haitiin katastrofiapua pyytäviä sähköpostihuijauksia. Sähköpostiviesteinä mahdollisesti tulleisiin avustuspyyntöihin ei pidä vastata eikä varsinkaan luovuttaa luottokorttitietojaan avustusten pyytäjille. Mahdolliset avustukset kannattaa suunnata tunnettujen avustusjärjestöjen kautta, mutta myös niiden nimiä voidaan käyttää hyväksi huijauksissa.

CERT-FI:n tietoon ei ole tullut suomenkielisiä Haitiin liittyviä sähköpostiviestejä. Ajankohtaisten aiheiden käyttäminen huijauksissa on sinänsä tavallista.

On myös tavattu www-sivustoja, joilla vieraillessa sivusto tarjoaa asennettavaksi tietoturvaohjelmaa, joka todellisuudessa onkin haittaohjelma. Haittaohjelmien levittäjät pyrkivät nostamaan sivustojaan hakukoneiden tuloksissa kärkipäähän ja houkuttelemaan sillä tavoin niille kävijöitä.

16.01.2010

Internet Explorer -haavoittuvuuteen julkaistu hyväksikäyttömenetelmä

Internet Explorer -selaimessa olevaan korjaamattomaan haavoittuvuuteen on julkaistu hyväksikäyttömenetelmä.

Aurora-hyökkäykseksi nimetystä menetelmästä on julkaistu Metasploit-moduuli, joka mahdollistaa haavoittuvuuden helpon hyväksikäyttämisen. On odotettavissa, että haavoittuvuutta pyritään lähiaikoina käyttämään aktiivisesti hyväksi.

Tällä hetkellä käytettävissä olevien tietojen mukaan Data Execution Protection (DEP) torjuu kyseessä olevan hyväksikäyttömenetelmän. DEP on automaattisesti käytössä Internet Explorer 8 -selaimessa seuraavissa käyttöjärjestelmissä: Windows XP Service Pack 3, Windows Vista Service Pack 1, Windows Vista Service Pack 2 ja Windows 7.

Myös Microsoft on päivittänyt tiedotettaan haavoittuvuudesta.

15.01.2010

Nordea varoittaa asiakkaitaan haittaohjelmasta

Nordea julkisti hetki sitten www-sivuillaan tiedonannon, jossa varoitetaan Nordean verkkopankille räätälöidystä haittaohjelmasta.

Nordean tiedotteesta: "Haittaohjelma näkyy asiakkaan koneella siten, että Nordean verkkopankin suomenkielinen sisäänkirjautumissivu on muuttunut englanninkieliseksi. Sivun yläreunassa on englanninkielinen teksti, jossa kerrotaan huoltotoimenpiteistä, jotka kestävät 24 tuntia sekä huomautus, että kaikki palvelut eivät toimi oletetusti."

CERT-FI on tietoinen haittaohjelmasta ja seuraa tilanteen kehittymistä.

15.01.2010

Paikkaamaton haavoittuvuus Internet Explorer -selaimessa

Internet Explorer -selaimen nollapäivähaavoittuvuutta käytetään hyökkäyksissä. Haavoittuvuuteen ei ole toistaiseksi paikkausta tai tietoa paikkauksen julkaisupäivämäärästä. Haavoittuvuutta voidaan kuitenkin rajoittaa.

Internet Explorerin useimpiin versioihin vaikuttavaa haavoittuvuutta on Microsoftin mukaan jo käytetty hyökkäyksissä. Haavoittuvuuden avulla hyökkääjä voi suorittaa omaa ohjelmakoodiaan tai komentoja kohdejärjestelmässä käyttäjän oikeuksin.

Lisätietoja CERT-FI haavoittuvuustiedotteessa 004/2010.

13.01.2010

Adoben PDF-lukijahaavoittuvuutta käytetään hyväksi hyökkäyksissä

CERT-FI tutkii tapausta, joissa Adoben tammikuun päivityksissä korjaamaa haavoittuvuutta käytetään hyväksi hyökkäyksissä.

Myös CERT-FI:n muualta saamien tietojen mukaan haavoittuvuutta käytetään hyökkäyksissä aktiivisesti. CERT-FI kehottaa päivittämään haavoittuvat Adobe-tuotteet ensi tilassa.

08.01.2010

CERT-FI julkaisi haavoittuvuuksien koordinointipolitiikan

CERT-FI on julkaissut tänään soveltamansa haavoittuvuuksien koordinoinnin periaatteet. CERT-FI on tehnyt aktiivista työtä haavoittuvuuksien korjauksen koordinoimiseksi vuodesta 2005. Koordinointityön tavoitteena on korjata haavoittuvuuksia, eli tietoturvaa vaarantavia ohjelmistovirheitä. Lopullisena tavoitteena on, että ohjelmistojen käyttäminen olisi mahdollisimman turvallista.

Haavoittuvuuksien merkitys yhteiskunnan häiriöttömän toiminnan ja yksilöiden tietoturvan ja yksityisyyden kannalta asettaa vaatimuksia haavoittuvuustietoja käsitteleville toimijoille. Haavoittuvuuksien löytäjien ja ohjelmistovalmistajien haavoittuvuustiedon käsittelyn pelisääntöjen rinnalle on luotu myös yhteiskunnan ja yksilön näkökulmia vahvemmin esille tuovia periaatteita ja suosituksia. CERT-FI vastaa nyt tähän tarpeeseen julkaisemalla ajan saatossa muotoutuneet käytäntönsä kirjallisena koordinointipolitiikkana.

Haavoittuvuuskoordinoinnissa joudutaan usein tasapainottelemaan haavoittuvuuden löytäjien, ohjelmistovalmistajien ja loppukäyttäjien etujen välillä. Julkistettujen periaatteiden yhtenä tavoitteena onkin kuvata koordinointityön tavoitteita ja CERT-FI:n asemaa koordinointiprosessin eri toimijoiden välisenä fasilitoijana.

Koordinaatiotyön luonne on hyvin kansainvälinen. Suurin osa ohjelmistoalan toimijoista lähtömaasta riippumatta tarjoaa tuotteitaan kansainvälisille markkinoille. Koordinointitehtävän kansainvälisen luonteen vuoksi myös CERT-FI:n periaatedokumentti julkaistaan poikkeuksellisesti englannin kielellä.

08.01.2010

CERT-FI vulnerability coordination policy

CERT-FI published today a document describing its vulnerability coordination policy. The purpose of the policy is to describe the goals and underlying assumptions of vulnerability coordination activities.

CERT-FI has been participating in vulnerability coordination projects since 2005. The most notable projects include the ISAKMP vulnerability of 2005, Archive Formats vulnerability of 2008 as well as vulnerabilities in XML Libraries and TCP Stacks (a.k.a. Sockstress) of 2009.

During these projects CERT-FI has recognized that there are mixed interpretations of the vulnerability coordination process flow and incompatible expectations among the players. CERT-FI's policy is an effort to spell out our position and to initiate discussion on the topic.

Comments are welcome at vulncoord (at) ficora.fi!

08.01.2010

ENISA keräsi hyviä käytäntöjä tietoturvaloukkausten raportoinnista

Euroopan tietoturvavirasto ENISA on kerännyt viime vuonna eurooppalaisia hyviä käytäntöjä tietoverkkojen turvallisuuden saralla. Ennen joulua julkaistiin kaksi yhteenvetoraporttia: tietoturvaloukkausten raportoinnista ja tietoturva-aiheisten valmiusharjoitusten järjestämisestä. Molempien valmistelun yhteydessä kuultiin suomalaisia toimijoita.

Hyviä käytäntöjä tietoturvaloukkausten raportoinnista:

• Good Practice Guide on Reporting Security Incidents

Hyviä käytäntöjä kansallisten tietoturva-alan valmiusharjoitusten toteuttamisesta:

• Good Practice Guide on National Exercises

Jo aiemmin ENISA oli koonnut hyviä käytäntöjä tietoturva-aiheisesta tiedonvaihdosta:

• Good Practice Guide on Information Sharing Exchange

Raportit on saatavilla ainoastaan englanniksi.

08.01.2010

Microsoft, Oracle ja Adobe julkaisevat vuoden ensimmäiset päivityksensä tiistaina

Kolmen ohjelmistovalmistajan vuoden ensimmäiset tietoturvapäivitykset korjaavat kriittisiä haavoittuvuuksia käyttöjärjestelmissä sekä palvelin- ja työasemaohjelmistoissa.

Microsoft julkaisee tiistaina 12. tammikuuta yhden tietoturvatiedotteen. Ennakkotietojen mukaan tiedote sisältää päivitykset Windowsin kaikille tuetuille käyttöjärjestelmille. Päivitys on luokiteltu kriittiseksi vain Windows 2000 -käyttöjärjestelmälle.

Myös Oracle julkaisee tiistaina neljännesvuosittaisen päivityspakettinsa. Ennakkotietojen mukaan päivityspaketti sisältää 24 tietoturvapäivitystä. Valmistajan mukaan päivitykset koskevat yli sataa eri Oraclen tuotetta ja paketti sisältää päivityksiä jotka ovat pisteytetty korkeimmalla mahdollisella CVSS-pisteytyksellä (10,0).

Adobe on ilmoittanut julkaisevansa päivitykset Adobe Reader ja Adobe Acrobat tuotteille tiistaina. Päivitykset koskevat Adobe Readerin ja Acrobatin Windows-, Macintosh ja UNIX-käyttöjärjestelmien versioita. Päivitykset korjaavat mm. julkisesti hyväksikäytetyn haavoittuvuuden joka on kuvattu CERT-FI:n haavoittuvuustiedotteessa 126/2009.