Bezpečnostní střípky - prosinec 2006
připravil Tomáš Přibyl, konzultant v oblasti ICT bezpečnosti
- Na počátku listopadu byla populární otevřená encyklopedie Wikipedia zneužita k šíření škodlivých kódů. Útočníci využili otevřeného formátu encyklopedie, napsali článek o nové variantně internetového červa Blaster a přidali externí odkaz – údajně na stránku se záplatou. Ve skutečnosti ale odkaz směřoval na stránku https://www.wikipedia-download.org (které s vlastní Wikipedií nemají nic společného) se škodlivým kódem, který zneužíval bezpečnostní chybu „Přetečení vyrovnávací paměti v rozhraní protokolu RPC“ (MS03-026). Zajímavé je, že kód skutečně záplatu od Microsoftu instaloval (!) – ale zároveň do počítače zavedl trojského koně. Doporučujeme instalovat záplatu přímo ze stránek Microsoftu (https://www.microsoft.com/technet/security/bulletin/MS03-026.mspx), je to jistější a zaručeně bez škodlivého kódu…
- Šest oblastí a šestnáct okruhů obsahuje dokument U.S. Cybe Consequenses Unit sumarizující jednotlivé typy zranitelností (dokument je výtečný pomocník třeba při sestavování bezpečnostních politik) https://www.ussecurityawareness.org/docs/US-CCU%20Cyber-Security%20Check%20List%202007.pdf
- Více než atraktivním cílem pro hackery se stávají on-line počítačové hry. Důvod je jasný: peníze. V minulosti sloužily škodlivé kódy k odcizení přihlašovacích jmen a hesel, takže útočník mohl hráče „obrat“ o jeho postavu, kouzla, artefakty (nesmějte se, za podobné propriety se v internetových aukcích platí běžně i stovky dolarů!). O víkendu 18. a 19. listopadu 2006 byla škodlivým skriptem zasažena populární hra Second Life. Skript se projevoval zobrazováním zlatých prstenů ve hře a poté, co jej jednotliví uživatelé nevědomky aktivovali, zahlcoval centrální servery a databáze. Hra kvůli němu dokonce musela být vypnuta…
- O (ne)bezpečnosti bezdrátových technologií se hovoří poměrně často, mnoho oponentů argumentuje tím, že jde pouze o teoretické koncepty. Že tomu tak není, předvedli na konferenci Hack.lu 2006 pánové Thierry Zoller a Kevin Finistere, kteří představili nástroj BTCrack schopný téměř v reálném čase cracknout v Bluetooth PIN a Linkkey (za předpokladu, že odchytí počáteční párování). Nepodceňujte bezpečnost jen proto, že existují „pouze“ teoretické koncepty útoků!
- Už minulý měsíc jsme informovali o problémech způsobených e-mailovým červem Stration/Warezov. Tyto jako by nechtěly ustat, objevují se jeho další a další varianty (jejich celkový počet překročil tři stovky – upozorňujeme jen, že různí výrobci mají na počítání různé metodiky). Proč? Do napadených počítačů je instalována aplikace zajišťující rozesílání spamu, spamu, spamu… Opět se potvrdil současný trend: škodlivé kódy se nepíší pro zábavu, ale pro peníze.