Slo-Tech - V ZDA se je ponovno razmahnila pred dvema letoma popularna taktika podtikanja zlonamerne programske opreme na računalnike. Napadalci pošiljajo ključke USB, ki jih prejemniki vstavijo v svoje računalnike, kar sproži namestitev virusov. FBI opozarja, da je vtikanje nepreverjenih pomnilniških medijev v računalnike tvegano. A zlikovci so zelo prepričljivi.

Gre za skupino FIN7, ki se ukvarja s krajo osebnih podatkov za finančne malverzacije. Natančno izbranim tarčam dostavljajo ključke USB (tako imenovane BadUSB ali Bad Beetle USB), ki imajo logotip LilyGO. Od lanskega avgusta jih pošiljajo podjetjem, ki se ukvarjajo s prevozi in zavarovalništvom, od novembra pa tudi pogodbenikom v obrambni industriji. Pakete jim pošiljajo kar z ameriško pošto ali UPS. Oblikovani so tako, kot da jih pošilja Amazon ali HHS (Department of Health & Human Services). V nekaterih primerih jim priložijo celo kakšen dopis, denimo proticovidne smernice, zahvalo ali ponarejen darilni bon, s čimer skušajo...

Slo-Tech - Ker so moderni industrijski obrati krmiljeni z računalniki, lahko imajo virusi zelo resne posledice tudi v realnem svetu. Doslej smo videli že nekaj primerov, ko je računalniška koda povzročila poškodbe in težave na fizični opremi. Prvi primer je bil Stuxnet, ki je pred devetimi leti poskrbel za odpoved iranskih centrifug za bogatenje urana. Leta 2013 je Havex napadal evropske in ameriške naftne družbe, v letih 2015 in 2016 pa so ruski hekerji napadli ukrajinsko elektroenergetsko omrežje. Nasledni v vrsti nevarnih virusov je Triton, ki ga strokovnjaki opisujejo kot še bolj dodelani Stuxnet. O njem so prvikrat poročali že konec leta 2017, a še...

Slo-Tech - Strokovnjaki za bančno varnost iz podjetja Positive Technologies so objavili poročilo o rezultatih raziskave varnosti bankomatov. V njem ugotavljajo, da je velika večina bankomatov varnostno nezadostno zaščitenih, saj lahko hekerji v vsega nekaj minutah pridobijo nadzor nad njimi. Proučili so 26 bankomatov treh največjih proizvajalcev: NCR, Diebold Nixdorf in GRGBanking.

Ranljivosti so razvrstili v štiri kategorije: nezadostna zaščita omrežja, nezadostna lokalna zaščita, nepravilna konfiguracija sistemov oziroma naprav, ranljivosti zaradi konfiguracije nazora nad aplikacijami. Pogledali so več scenarijev, skupna imenovalca pa sta bila dva - izplačevanje denarja iz kasete ali branje informacij s kartic uporabnikov (skimming). Za nekatere vrste napadov bi moral zlikovec delati v banki ali kako...

Slo-Tech - Raziskovalci pri CTS so pri Ryzen (Ryzen Pro, Ryzen Mobile) in EPYC seriji odkrili kar 13 kritičnih ranljivosti (podobno kot pri preteklem Spectre/Meltdown), na katere so občutljivi vsi njihovi procesorji. Napadalcu omogočajo instalacijo zlonamerne kode v čip in celo popoln dostop do sistema in občutljivih podatkov.

Varnostne luknje so odkrili raziskovalci izraelskega CTS-lab, na novo odkrite ranljivosti pa omogočijo obhod tehnologije Secure Encrypted Virtualization in Microsoft Windows Credential Guard ter krajo občutljivih informacij.Odkrili so tudi dvoje zadnjih vrat, ki omogočata namestitev zlonamerne kode znotraj procesorja. Vse ranljivosti se nahajajo...

Slo-Tech - Nemški proizvajalec bankomatov Wincor Nixdorf je potrdil, da so bili njihovi bankomati na Tajvanu tarče hekerskega napada, v katerem so napadalci uspeli ukrasti za 70 milijonov novih tajvanskih dolarjev gotovine (okrog dva milijona evrov). Napad se je zgodil minuli konec tedna, osumljenca, ki sta že v ponedeljek zapustila Tajvan, pa so identificirali kot ruska državljana. Prav tako so odkrili tri različne vrste zlonamerne programske opreme (malware), ki so jih uporabili pri napadu.

Hekerski napadi na bankomate sicer niso novost, so se pa doslej v glavnem dogajali ob fizičnem dostopu do bankomata, ki seveda ni nič drugega kakor fizično zelo zaščiten računalnik. To pot pa so napadalci dostop pridobili oddaljeno, pri...

Slo-Tech - Strokovnjaki na nemški konferenci CCC (Chaos Communication Congress) so predstavili metodo ropanja bankomatov z okuženimi USB-ključi, ki je kljub precej dolgi bradi še vedno popularna in dobičkonosna. Ker mnogo bankomatov še vedno poganja Windows XP, za robustno zunanjostjo pa se skriva običajen računalnik, ki ima tudi USB-vhode, napadi niso presenetljivi.

Napadalci v zunanje ohišje izvrtajo luknjo, skozi katero pridobijo dostop do USB-vhoda v računalniku. Vanj priključijo USB-ključ s posebej pripravljeno zlonamerno programsko opremo, nato pa poškodovani del ohišja zamenjajo, tako da se manipulacije ne opazi. Če je bankomat nastavljen tako, da se zažene z USB-ključa,...

Slo-Tech - Zlonamerna programska oprema, ki napada mobilne naprave, postaja čedalje pogostejša. Pametni telefoni so priljubljeno gojišče te zalege, saj nam na njih lahko povzroči precej škode - klici na komercialne številke, plačljivi sms, kraja osebnih podatkov za e-bančništvo itn. Za platformo Android je zlonamerne programske opreme največ zaradi dveh glavnih razlogov - platforma je odprta (medtem ko gredo aplikacije za iOS skozi rigorozen pregled), pa tudi najbolj priljubljena je. Zanimivo pa je, da približno tretjina vse nesnage pride iz zelo ozkega kroga v Rusiji.

Na konferenci Def Con 21 v Las Vegasu so raziskovalci...

BBC - Ta četrtek je v 35. letu starosti v svojem domu v San Franciscu umrl novozelandski heker in varnostni raziskovalec Barnaby Jack. Najbolj znan je bil po svoji seriji napadov na bankomate (popularno "jackpotting"), kjer je z namestitvijo lastne programske opreme s pomočjo usb ključka dosegel bliskovito izpraznitev naprave -- ker so proizvajalci še do nedavnega dovoljevali poganjanje nepodpisane kode. V zadnjih letih se je sicer posvečal varnosti človeških implantantov, zlasti inzulinskih črpalk in srčnih spodbujevalnikov, kjer je odkril, da le te s svojim nadzornim modulom tipično komunicirajo kar preko nešifirane brezžične povezave. Črpalke je pošteno dotolkel že predlani, ko je pokazal, da bi lahko imetnike Medtronicovih modelov spravil...

PhysOrg.com - Ena izmed enostavnih metod za zaščito pred zlorabo na bančnem avtomatu je pazljiv vnos številke PIN. Kadar nepridipravi bančne avtomate opremijo z bralniki zapisa, namestijo tudi kamero, ki snema številčnico, od koder dobijo PIN. Doslej je bilo dovolj, če smo med vpisom PIN-a številčnico prekrili z roko. Raziskovalci s sandiegovske Univerze v Kaliforniji so na avgustovskem USENIX Security Symposiumu prikazali napad, ki stre tudi ta oreh.

Predstavljena zamisel je zelo preprosta. Bančni avtomat lahko opremimo z infrardečo kamero, ki beleži temperaturo posameznih tipk. Pritisnjene tipke ob vnosu PIN-a so toplejše od neuporabljenih, tako da lahko na ta način 'preberemo' kodo tudi, če uporabnik številčnico zakrije z roko.

Če posnetek preberejo takoj po vnosu številke, lahko z 80-odstotno natančnostjo povedo, katere tipke so bile pritisnjene, nato pa odstotek pada. Po...

Slashdot - Letos februarja je bilo na BBC-ju javno razkrito, da je trenutni sistem ugotavljanja istovetnosti uporabnika plačilne kartice luknjičav. Ker se pravilnost vnesenega PIN-a preverja proti kartici in ne proti centralni bazi podatkov v banki, je moč pretentati POS-terminal in z uporabo lažne kartice doseči, da se transakcije sprovede z vnosom poljubne kombinacije namesto PIN-a. Banke v desetih mesecih niso storile ničesar.

Podiplomski študent Omar S. Choudary na Cambridgeu je pripravil magistrsko nalogo The Smart Card Detective:
a hand-held EMV interceptor in jo tudi objavil na fakultetnih straneh. V njej je raziskal pomanjkljivost in...

Slo-Tech - V Moskvi so aretirali skupino kriminalcev, ki so v ruskem mestu Jakutsk napadli kar vse bankomate. Mesto ima dobrih 200 tisoč prebivalcev, tako da ne gre za trivialen dosežek. Posla so se lotili štirje. Trije so bili pravi kriminalci, medtem ko je bil četrti pomagač razvijalec zle programske opreme, ki je v zameno za 100.000 rubljev (2400 evrov) razvil posebej prilagojen virus. Tega so nato naložili na vse bančne avtomate v mestu.

Vloge so si razdelili z nemško pedantnostjo. Eden je bil zaposlen kot vodja IT-oddelka v banki in ta je priskrbel dostop do bankomatov. Drugi je bil sistemski administrator, ki je poskrbel za naložitev virusa, medtem ko je bil tretji mula. V izjavi za javnost (strojni prevod v angleščino)...

Schneier.com - Thai Duong in Jualiano Rizzo, varnostna raziskovalca, ki sta pred enim letom odkrila resno napako v storitvi Flickr sta na konferenci Ekoparty pred kratkim razkrila novo resno ranljivost, tokrat v šifriranju v ASP.NET.

Duong in Rizzo sta napad prikazala s programom POET, ki implementira tim. Padding Oracle Attack, ki je bil prvič predstavljen na konferenci Eurocrypt 2002.

Gre za napad na CBC način bločnega šifriranja. S pomočjo padding napada, ki izkorišča dejstvo, da je začetke ali konce npr. uradnih sporočil oziroma podatke, ki so potrebni za zapolnitev zadnjega bloka v CBC šifriranem sporočilu pogosto mogoče uganiti. S pomočjo tovrstnega ugibanja in dešifriranja uganjenega koščka sporočila je nato mogoče po koščkih odkriti oziroma dešifrirati celotno sporočilo.

Podrobnosti o napadu in ranljivosti je na svoje blogu opisal tudi Scott Gu's (prvi prispevek, drugi prispevek in tretji prispevek), gre pa za težavo v implementaciji AES šifriranja, ki je namenjeno zaščiti sejnih...

Wired News - Na BlackHat konferenci prejšnji teden v Las Vegasu je po poročanju medijev največ zanimanja požel prikaz napada na bančne avtomate.

Barnaby Jack je namreč prikazal dva napada na bančne avtomate. Prvi napad zahteva fizični dostop: bančni avtomat (proizvajalca Triton) je potrebno odpreti (vsi bančni avtomati tega proizvajalca uporabljajo isti ključ) in vanj vtakniti USB ključek z zlonamerno programsko opremo. Drugi napad (na avtomat proizvajalca Tranax) pa je mogoč kar preko omrežja. Na obeh sistemih teče operacijski sistem Windows CE. Triton je sicer lansko leto že izdal popravek, ki omogoča samo poganjanje digitalno podpisane programske opreme, tako da ta napad na posodobljenih napravah ni več mogoč.

Oddaljeni...

Slo-Tech - Letošnja varnostna konferenca Black Hat USA+2010 v Las Vegasu je največja doslej: več kot 4000 obiskovalcev lahko izbira med 11 sočasnimi sekcijami. Prvi dan smo lahko videli nekaj zanimivih prispevkov.

Raziskovalec Dan Kaminsky, sicer znan po odkritju zelo učinkovitega napada z zastrupljanjem predpomnilnika DNS iz leta 2008, je tokrat v duhu nedavnega podpisa korenskih območij (root zones) predstavil svojo vizijo varnejšega interneta - Domain Key Infrastructure. Gre za koncept, ki naj bi dokončno rešil problem zaupanja na internetu pod pogojem, da zaupamo korenskim podpisom strežnikov DNS. Predstavil je nekaj zanimivih idej in implementacij v...

Slo-Tech - Rafal Wojtczuk in Alexander Tereshkin iz Invisible Things Lab sta na včerajšnji predstavitvi na konferenci Black Hat predstavila Ring -3 rootkite.

Kot je znano, so rootkiti posebna (zlonamerna) programska oprema, ki se skuša prikriti na računalniku. Bolj znani so tim. Ring 3 in Ring 0 rootkiti (prvi tečejo s privilegiji uporabnika, drugi s privilegiji jedra operacijskega sistema). Med manj znanimi pa so Ring -1 oziroma (strojni) hipervizorski rootkiti in Ring -2 rootkiti (ki izkoriščajo ranljivosti v SMM pomnilniku). Kot sta februarja letos pokazala Wojtczuk in Rutkowska je namreč s pomočjo ranljivosti v SMM mogoče izvesti uspešen napad na Intel TXT (Trusted Execution Technology) ter tako računalnik okužiti z "nevidno" zlonamerno programsko kodo.

Največ odkritij na področju Ring -1 in Ring -2 rootkitov si lastijo v Invisible Things Labu, ki ga vodi Joanna Rutkowska. Včeraj pa je ista ekipa predstavila še Ring -3 rootkite.

Pokazali so, kako je mogoče zaobiti zaščito, ki...

Schneier.com - Kot na svojem blogu poroča Schneier, je v ZDA za zdaj še neznani storilec oropal nekaj bančnih avtomatov na precj hi-tech način.

Storilec je namreč za bančni avtomat Tranax Mini Bank 1500 iz spletne strani proizvajalca pridobil uporabniški priročnik. V njem je med drugim lahko prebral navodila kako vstopiti v administracijski način s privzetimi gesli. Ker bančni avtomat ni imel spremenjenega privzetega gesla, je storilec preprogramiral avtomat tako, da je namesto 5-dolarskih bankovcev izplačeval 20-dolarske.

Kljub varnostnim kameram in domnevni visoki varnosti avtomatov, je za zdaj še neznani storilec po izplačilu veselo odkorakal z štirikratno vsoto denarja prigoljufanega denarja v žepu. Goljufijo so odkrili šele po devetih dneh.