Яндекс, Google, Мегафон, Вконтакте и все-все-все!

В связи с шумом в СМИ попытались научно-популярно разъяснить ситуацию в ходе вебинара , проводимого в рамках программы "Практическая безопасность".
Презентация "Почему случился Russian.Leaks?"

Sergey Gordeychik - Russian.Leaks

View more presentations from qqlan.

Запись выступления

Почему случился Russian.Leaks from phdays on Vimeo.

"Секретные ссылки", Мегафон, Яндекс и все-все-все

Продолжается тема с "утечками" данных через поисковые машины.

http://www.securitylab.ru/news/406380.php

Всегда возникает вопрос - "А как эта ссылка попала в индекс"

Пока явно видно 4 основных пути:

1. Ошибка северной части Web-приложения (возможно EMS?) которая допускала утечку (индексация директорий, user-friedly поиск а-ля WASC Insecure Indexing). 
2. Сами пользователи, публикующие в открытых источниках "секретные ссылки".
3. Системы сбора статистики, (Yandex-метрика), показа баннеров и другой внешний контент (sms.prm.ru).
4. Расширения браузеров для оптимизации (Яндекс.Бар, Chrome), которые автоматически отдают ссылки на индексацию (Мегафон?).

Понятно, что все эти направления лишь использую недочеты в сайтах, являясь "триггером", выявляющим уязвимости, а подчас и осуществляющим "несанкционированный доступ".

И снова о Chronopay

Неожиданный поворот истории с Chronopay:

ФСБ арестовала в аэропорту «Шереметьево» гендиректора платежной системы Chronopay, известного интернет-деятеля и борца со спамом Павла Врублевского. Его обвиняют в DDoS-атаке на конкурента - «Ассист», парализовавшей в прошлом году систему продажи билетов на сайте «Аэрофлота».


http://safe.cnews.ru/news/top/index.shtml?2011/06/27/445316

Немного истории:
http://www.securitylab.ru/news/tags/Chronopay/


От комментаривет воздержусь, ибо мало ли кто там компелирует в месте.

Зачем запрещать Skype?

Интересная новость о рекомендациях по запрете Skype и открытых служб электронной почты в подразделениях правительства Свердловской области.

Подробности:

http://www.rian.ru/technology/20110113/321205530.html

ЗЫ. Поможет ли это от "сливов"? Неа. Но глупых "случайностей" может быть меньше. Если, конечно, контролировать исполнение запрета.

Зачем ворошить старое?

В США вспомнили апрельский инцидент с ошибкой China Telecom, допущенной при конфигурации BGP.

Шум поднимается сильный, со всеми положенными атрибутами, включая целый доклад Конгресса США.

http://hitech.newsru.com/article/19nov2010/15percent 

http://blogs.computerworld.com/17376/china_hijacking_hacking_hit_15_of_net_us_says

Удивительным образом ошибка оказалась "перехватом" трафика и "попыткой установить контроль над Интернетом".

В принципе можно предложить, что Китай отрабатывал сценарий "закукливания" своей сети в рамках сценария масштабной кибер-войны, но немного переборщил. Надо отдать должное, Китай и в этой области рассматривает сценарий самостоятельного существования своего сегмента сети Интернет и активно к этому готовится. 

Технические детали инцидента тут: 

http://bgpmon.net/blog/?p=282

PS. Если у кого-то вдруг возникнет вопрос о том, как такое могло произойти, то ответ тривиален: очень даже запросто.

Хакеры использовали сети Microsoft

На протяжении последних трех недель интернет-адреса, входящие в сети, принадлежащие корпорации Microsoft, были использованы для маршрутизации трафика с более чем 1000 мошеннических сайтов, управляемых известной группой российских киберпреступников.

http://www.securitylab.ru/news/398515.php

Официальная причина инцидента: ошибки конфигурации сетевого оборудования.

“We have completed our investigation and found that two misconfigured network hardware devices in a testing lab were compromised due to human error”

http://www.theregister.co.uk/2010/10/14/microsoft_confirms_ip_hijack/



Что же сказать?!
.... happens...

MaxPatrol мог спасти :)

ЗЫ. На взломанных серверах использовался Linux/Unix.

RAHack - червь для Radmin

В продолжение вчерашнего сообщения.
DrWeb добавил сигнатуру и опубликовал описание червя Win32.HLLW.RAhack.

От себя могу сказать, что программа чересчур агрессивна и в крупных сетях в ходе размножения создает средней силы DDoS, занимая обслуживанием своего трафика сетевые устройства и канал связи.

Полагаю, что зловред долго не проживет, поскольку не использует дополнительные векторы размножения, такие как CIFS/WMI. Хотя, учитывая высокие привилегии службы Radmin вполне мог бы. Тогда было бы менее приятно, поскольку за счет CIFS/WMI мог бы активно расходится внутри корпоративных сетей, а используя Radmin - переходить из сети в сеть, благо этого добра на периметрах хватает.

PS. Информация virustotal по ipz.exe.

Рекомендую всем обратить пристальное внимание на Radmin

Соратники!
Есть информация, что служба Radmin сейчас/скоро будет под массовой атакой.
Рекомендую блокировать 4899 на периметре и во внутренней сети, ограничивая доверенными узлами, а также активно отслеживать попытки соединения с этим портом на IDS/IPS. Ну и использовать сложные пароли, как обычно.

Вечная тема. Пароли по умолчанию.

В интернете появились скриншоты, доказывающие взлом почты Федеральной службы охраны на сервере gov.ru

В течение нескольких часов любой пользователь интернета мог, перейдя по ссылке и введя простые имя пользователя и пароль, получить доступ к системе мониторинга и архивирования электронной почты "Дозор".

Уязвимость достаточно простая - тривиальный пароль .

Что в принципе не новость. Слабые пароли - распостраненная причина успешных внешних атак.

Обзор инцидентов: Verizon Breach Report 2010

Опубликован обзор инцидентов Verizon Breach Report 2010. Рекомендую.

http://www.verizonbusiness.com/go/2010databreachreport/

PS. В отчете широко используется WASC WATCv2. Приятно. 

PPS. Без комментариев:

История Хронопей продолжается

История продолжает быть интересной.

Неизвестные хакеры выложили новые подробности взлома процессинговой системы

Напомним, что в середине июля неизвестная группа хакеров опубликовала информацию о взломе крупнейшей российской процессинговой системы Chronopay. В качестве доказательства взлома хакеры опубликовали схемы расположения серверов, конфиденциальную переписку, а также часть базы данных, содержащую около 5 тыс. номеров кредитных карт.

В результате новой порции “утечки” были выложен новый массив данных (как сообщается, это было сделано из-за бездействия Visa и Mastercard и других официальных лиц).....

По заявлению хакеров в ближайшее время в интернете будет опубликована полная база данных кредитных карт и личных данных. Данные по кредитным картам и транзакциям будут представлены в виде зашифрованной паролем базы данных на 10Гб, пароль к которой будет представлен только правоохранительным органам и журналистам крупных федеральных СМИ.

Однако компания Chronopay отрицает факт взлома и считает выложенные данные фальшивыми. Других официальных подтверждений факта взлома также не поступало.