Hacking & Security

Лаборатория PandaLabs опубликовала отчет о вирусной активности за II квартал 2011 года

sepos — Fri, 08 Jul 2011 05:42:07 GMT

Лаборатория PandaLabs, принадлежащая компании Panda Security, производителю решений безопасности, связанных с облачными вычислениями, опубликовала очередной отчет о вирусной активности, включающий анализ мероприятий и происшествий в сфере IT-безопасности в период с апреля по июнь 2011 года. В отчете отмечается, что за последние три месяца хакерские группировки Anonymous и LulzSec навели полный хаос в среде информационной безопасности. Жертвами деятельности хакеров стали такие организации, как RSA Security, Министерство обороны США, Международный валютный фонд, Европейское космическое агентство, Sony, Citigroup, SEGA, а также интернет ресурсы правительств ряда стран и многие другие.

При активизации деятельности интернет-хакеров, нет абсолютно никаких признаков уменьшения количества появляющегося вредоносного программного обеспечения.

По данным PandaLabs, каждую минуту в мире создаётся 42 новых образца угроз. Трояны в очередной раз стали самой популярной угрозой, составив почти 70% от всех новых вредоносных программ. Далее следуют вирусы (16%) и черви (11,6%).

Исходя из данных, полученных благодаря онлайн-сканеру Panda ActiveScan, трояны стали причиной инфицирования в 69% случаев, далее следуют вирусы (10% случаев) и черви (8,53%). Рекламное ПО (adware), которое составило лишь 1,37% от всего обнаруженного вредоносного ПО, привело к 9% заражений – это показывает, какие значительные усилия предпринимают создатели подобного программного обеспечения для его продвижения. Количество поддельныхантивирусов, которые также входят в разряд рекламного программного обеспечения, по-прежнему увеличивается.

Что касается конкретных угроз, ставших причинами большинства заражений в этом квартале, очевидно, что образцы, вошедшие в первую десятку, стали причиной более 50% всех случаев заражения. Хотя это может вызвать некоторые недопонимания, поскольку многие угрозы, входящие в первую десятку, являются представителями так называемого generic malware (обнаруженного с помощью технологии Коллективного Разума), включающего различные семейства.

В рейтинге инфицирования лидируют страны Азии

Основные инциденты в сфере IT-безопасности за последних три месяца:

LulzSec и Anonymous: Новая хакерская группировка LulzSec появилась во втором квартале 2011 года. Она специализируется на краже и публикации персональной информации компаний с низким уровнем безопасности, а также на организации атак, вызывающих сбой в работе систем (например, атака на сайт ЦРУ). Она также опубликовала полный перечень ранее украденной информации, включающей адреса электронной почты и пароли, что привело к взлому аккаунтов различных сервисных систем и другим видам кражи персональных данных. В конце июня LulzSec объединила усилия с организацией Anonymous для проведения операции «Анти-безопасность», призвав своих последователей осуществлять кражу и публикацию персональной информации любых государственных структур. 26 июня LulzSec опубликовали заявление в Twitter о том, что организация завершает свою деятельность. Тем не менее, они призвали хакеров продолжать операцию «Анти-безопасность» (#Antisec) и присоединиться к скрытым каналам Anonymous.
Корпоративные инциденты: RSA, Департамент безопасности американской компании EMC Corporation, в середине марта сделало заявление о нарушениях в работе собственной системы, которые привели к распространению частной информации о двухфакторной аппаратной системе аутентификации SecurID. В мае Lockheed Martin, крупнейший поставщик IT-услуг для американского правительства и военных структур, пострадал от сетевых вторжений, которые стали следствием кражи данных RSA. Похоже, что кибер-ворам удалось взломать алгоритм, который использует RSA для генерации ключей защиты. RSA придется заменить символы SecurID для более чем 40 миллионов клиентов по всему миру, включая некоторые крупнейшие во всем мире компании.
Sonygate: Самой печально известной атакой, произошедшей в этом квартале, стала та, от которой пострадала всемирно известная корпорация Sony. Все началось с кражи данных из собственной сети PlayStation Network (PSN), которая отразилась на 77 миллионах пользователей по всему миру. Эта атака привела к крупнейшей в истории краже данных. К сожалению, компания Sony недостаточно хорошо осведомила своих клиентов о случившейся ситуации, а потому проблема оставалась скрытой в течение нескольких дней. После этого компания Sony, наконец, придала огласке случившуюся ситуацию, но в своем заявлении представители компании ограничились лишь тем, что всего-навсего сказали об угрозе кражи некоторых пользовательских данных, хотя они должны были знать о более серьезном характере угрозы.

Обнаружены многочисленные критические уязвимости в phpMyAdmin

sepos — Fri, 08 Jul 2011 05:40:08 GMT

Разработчики phpMyAdmin, средства управления базами данных MySQL, выпускают новые версии для двух развиваемых веток - 3.3.10.2 и 3.4.3.1. Причем все предыдущие релизы проекта имеют критичные уязвимости, а именно:

Ошибка в функции Swekey_login(), описанной в файле libraries/auth/swekey/swekey.auth.lib.php. Используя уязвимость, можно перезаписать переменные сессии, а также выполнить собственный PHP-код;
Данные, передаваемые функции PMA_createTargetTables(), описанной в файле libraries/server_synchronize.lib.php, проверяются неполностью перед вызовом функции preg_replace() с модификатором "e". Используя данную уязвимость, можно выполнить собственный PHP-код, переданный в URL через NULL-байт;
Данные, передаваемые функции PMA_displayTableBody(), описанной в файле libraries/display_tbl.lib.php, проверяются неполностью перед их использованием для включения файлов. Таким образом, у злоумышленника появляется возможность включать в текст скрипта любые локальные файлы.

В дополнение к вышесказанному были отмечены уязвимости в установочных скриптах, позволяющие выполнять любой PHP-код при перезаписанных переменных сессии.

Обнаружен бекдор в vsftpd

sepos — Fri, 08 Jul 2011 05:38:54 GMT

Программа: vsftpd 2.3.4

Опасность: Высокая

Наличие эксплоита: Нет

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольный код на целевой системе.

Уязвимость существует из-за наличия бекдора в исходном коде приложения vsftpd-2.3.4.tar.gz.

URL производителя: security.appspot.com/vsftpd.html

Решение: Установите последнюю версию с сайта производителя.

Ссылки:

http://scarybeastsecurity.blogspot.com/2011/07/alert-vsftpd-download-backdoored.html

Выполнение произвольного кода в Winamp Essentials Pack

sepos — Fri, 08 Jul 2011 05:37:48 GMT

Программа: Winamp Essentials Pack 5.6, возможно другие версии.

Опасность: Высокая

Наличие эксплоита: Да

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольный код на целевой системе.

Уязвимость существует из-за ошибки в f263.w5s при обработке полей "CustomWidth" и "CustomHeight" в H263 виде файле. Удаленный пользователь может с помощью специально сформированного мультимедийного файла вызвать переполнение динамической памяти и выполнить произвольный код на целевой системе.

URL производителя: www.winamp.com/plugin/winamp-essentials-pack-v5-6/150126

Решение: Способов устранения уязвимости не существует в настоящее время.

Ссылки:

http://aluigi.altervista.org/adv/winamp_2-adv.txt

Повышение привилегий в IBM InfoSphere Information Server

sepos — Fri, 08 Jul 2011 05:36:37 GMT

Программа: IBM InfoSphere Information Server версии 8.5 и 8.5.0.1

Опасность: Низкая

Наличие эксплоита: Нет

Описание:
Уязвимость позволяет локальному пользователю повысить свои привилегии на системе.

Уязвимость существует из-за наличия небезопасных привилегий на доступ к определенным "ds.rc" и "dsenv" файлам в директории DSEngine. Локальный пользователь может получить root доступ к системе. Для успешной эксплуатации уязвимости требуются привилегии "dsadm".

URL производителя: www.ibm.com

Решение: Установите исправление APAR JR39769 с сайта производителя.

Ссылки:

Повышение привилегий в IBM Tivoli Storage Manager Client

sepos — Fri, 08 Jul 2011 05:35:25 GMT

Программа: IBM Tivoli Storage Manager Client версии 5.x, 6.x

Опасность: Низкая

Наличие эксплоита: Нет

Описание:
Обнаруженные уязвимости позволяют локальному пользователю повысить свои привилегии на системе.

1. Уязвимость существует из-за ошибки в функции Journal Based Backup (JBB). Локальный пользователь может вызвать переполнение буфера и выполнить произвольный код на системе с повышенными привилегиями.

2. Уязвимость существует из-за ошибки в функционале обработки Alternate Data Streams (ADS). Локальный пользователь может вызвать переполнение буфера и выполнить произвольный код на системе с повышенными привилегиями.

URL производителя: www.ibm.com

Решение: Установите исправление с сайта производителя.

Ссылки:

Множественные уязвимости в Opera

sepos — Fri, 08 Jul 2011 05:34:09 GMT

Программа: Opera версии до 11.50

Опасность: Средняя

Наличие эксплоита: Нет

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю обойти некоторые ограничения безопасности.

1. Уязвимость существует из-за неизвестной ошибки. Подробности уязвимости не раскрываются.

2. Уязвимость существует из-за отсутствия ограничения для "data" URL, что позволяет страницам взаимодействовать друг с другом и исходной страницей.

Также сообщается об ошибке при обработке некорректных ссылок. Удаленный пользователь может заполнить все дисковое пространство страницами с сообщением об ошибке.

URL производителя: www.opera.com

Решение: Установите последнюю версию 11.50 с сайта производителя.

Ссылки:

Эксперты обнаружили SQL-инъекцию нового типа

sepos — Wed, 22 Jun 2011 05:09:36 GMT

ИТ-компания Armorize сообщает об обнаружении нового типа атак типа SQL-инъекции, совершаемых на ряд работающих в интернете веб-сайтов. Эксперты этой компании говорят, что массовые случаи компрометации веб-сайтов при помощи SQL-инъекций давно стали головной болью для владельцев сайтов и хостинг-операторов, однако новые образцы SQL-инъекций сложнее обнаружить и предотвратить.

Armorize говорит, что новая форма SQL-инъекций использует простую форму файлообменных сетей для проникновения к скомпрометированную сеть и проникновения во взломанные серверы. Исторически массовые веб-атаки проводились довольно просто: код писался на SQL и передавался в виде запроса на СУБД, обслуживающую данные сайта. Когда SQL использовала ту или иную уязвимость в общем приложении, то компрометировались тысячи сайтов почти одновременно.

В последнем случае атаки, хакеры не используют единый образец скрипта, который отсылает пользователя на нужный хакеру сайт или передает ему злонамеренный код, а создает динамический скрипт, который перенаправляет пользователя на ранее скомпрометированный сервер. Данный трюк необходим, чтобы злоумышленников было труднее обнаружить, а их проекты внести в черные списки.

Вейн Хуанг, технический директор Armorize, говорит, что им удалось обнаружить замкнутую цепь взломанных проектов, указывающих друг на друга, точнее на вредоносное ПО, размещенное на взломанных серверах. "Технически, так в черный список можно внести кого угодно, так как здесь кто угодно может быть редиректором", - говорит Хуанг.

В Armorize говорят, что обнаружили около 700 сайтов, которые были взломаны таким способом и указывали друг на друга, причем в черный список Google были внесены не более 20% от взломанных сайтов. Всего же в результате подобных атак были обнаружены около 20 000 взломанных сайтов.

В заключении говорится, что имеющиеся сейчас в распоряжении экспертов образцы кода не используют какую-либо техническую уязвимость в одной из популярных СУБД, они опираются на проблемы в прикладных приложениях и неверном конфигурировании серверов.

Межсайтовый скриптинг в Firebug расширении к Mozilla Firebug

sepos — Tue, 21 Jun 2011 05:17:36 GMT

Программа: Firebug 1.7.2, возможно более ранние версии

Опасность: Средняя

Наличие эксплоита: Да

Описание:
Уязвимость позволяет удаленному пользователю произвести XSS нападение.

Уязвимость существует из-за ошибки в обработчике HTML кода при обработке определенных сценариев. Удаленный пользователь может с помощью специально сформированной Web страницы выполнить произвольный код сценария в браузере жертвы в контексте "chrome:" посредством панели «Сеть».

URL производителя: addons.mozilla.org/en-US/firefox/addon/1843

Решение: Способов устранения уязвимости не существует в настоящее время.

Ссылки:

http://www.80vul.com/firefox/Firebug%20Firefox%20Extension%20Cross%20C

Уязвимость в реализации WebGL в Mozilla Firefox

sepos — Tue, 21 Jun 2011 05:14:56 GMT

Программа: Mozilla Firefox 4.0.1, возможно другие версии.

Опасность: Низкая

Наличие эксплоита: Нет

Описание:
Уязвимость позволяет удаленному пользователю получить доступ к важным данным.

Уязвимость существует из-за неизвестной ошибки в реализации WebGL. Удаленный пользователь может получить доступ к потенциально важным данным, например, сделать скриншот экрана пользователя.

URL производителя: www.mozilla.com/en-US/firefox/

Решение: Способов устранения уязвимости не существует в настоящее время.

Производитель рекомендует отключить функционал WebGL. Исправление готовится к выходу 21.06.2011.