avatar

Bolesław Harla

Redaktor działu aktualności WebSecurity.pl. Pasjonat komputerów od czasów epoki "bezmyszkowej".

dodany: 28.07.2013 | tagi: , ,

Tylko 3 tysiące $ wystarczą do niezwykle niebezpiecznej zabawy z GPS

3

We wcześniejszym wpisie informowaliśmy o hakingu samochodów (zobacz newsa: Car-haking, czyli „nowe” niebezpieczeństwo dla właścicieli także starszych samochodów), ale niniejsza sprawa jest jeszcze bardziej poważna, ponieważ dotyczy pośrednio samolotów i statków. Konkretnie chodzi o słabości zaszyte w systemie globalnej nawigacji satelitarnej (w skr. GPS). Na możliwość wykorzystania luk tego systemu zwraca uwagę ekspert z tej dziedziny – Todd Humphreys z Uniwersytetu w Teksasie. Żeby nie być gołosłownym, zbudował urządzenie imitujące sygnał GPS za jedyne 3 tysiące dolarów! Całość w połączeniu z laptopem pozwoliła na wprowadzenie błędu systemu nawigacji zamontowanego na jachcie, który pływał po wodach Morza Śródziemnego.

Jak mogą być niebezpieczne skutki takiej modyfikacji sygnału GPS na skalę światową, nie trzeba nikomu przedstawiać – sparaliżowane lotniska, statki, a nawet system do śledzenia ciężarówek, w który wyposażonych jest 90% tego typu pojazdów.

Zderzenie np. dwóch tankowców prowadzi do poważnej tragedii nie tylko w ofiarach ludzkich, ale także dla ekosystemu. Niestety historia pokazuje, że takie przypadki się zdarzały, mimo że nie były sterowane bezpośrednio przez sam system nawigacji (np. katastrofa tankowca Exxon Valdez, która w 1989 roku spowodowała spustoszenie flory i fauny u wybrzeży Alaski).

Jeszcze większe niebezpieczeństwo kryje się w systemach bezzałogowych – Irańskiemu inżynierowi udało się w 2011 roku przejąć drona należącego do wojska USA.

W stacji Fox News ukazał się film demonstrujący eksperyment Humpreysa:

http://video.foxnews.com/v/2567988429001/gps-hacking-and-terrorism-is-system-vulnerable?intcmp=related?playlist_id=929831913001

Oczywiście urządzenie zbudowane przez naukowca posiadało stosunkowo słabą antenę, ale to tylko kwestia odpowiednich rozmiarów…

Na pocieszenie pozostaje fakt, że budowany od lat europejski odpowiednik GPS o nazwie Galileo od niedawna pozwala już na „złapanie” pozycji.

dodany: 28.07.2013 | tagi: , , ,

Car-haking, czyli „nowe” niebezpieczeństwo dla właścicieli także starszych samochodów

0

Pod tytułem tym nie kryje się bynajmniej możliwość skradzenia samochodu, ale sterowania jego kluczowymi systemami – do takich wniosków doszli badacze Chris Valasek, który jest dyrektorem wydziału bezpieczeństwa firmy IOActive oraz Charlie Miller, będący inżynierem bezpieczeństwa Twittera.

Myślicie pewnie, że problem dotyczy tylko najnowszych aut – niestety podatność na haking odnaleziono nawet w modelach samochodów z USA wyprodukowanych w 1996 roku!

Badania zleciła amerykańska agencja DARPA (z ang. Defense Advanced Research Projects Agency). Badacze przedstawili nawet film demonstrujący hakowanie Priusa i Forda Escape za pomocą MacBooka podłączonego do samochodu przez popularne złącze diagnostyczne OBD II (z ang. On Board Diagnostic):

Możliwości są spore, bo poza aktywacją klaksonu, czy modyfikacją reakcji czujników parkowania i możliwością sterowania światłami dochodzą większe zagrożenia, jak sterowanie hamulcami czy też możliwość sterowania kierownicą (ten problem nie będzie dotyczył wyłącznie starszych modeli, które mają klasyczny hydrauliczny układ wspomagania).

Na szczęście póki co tego typu haking wymaga adaptera podłączonego do złącza OBD – trzeba pamiętać, że są dostępne także wersje z interfejsem Bluetooth.

Powyższe badania miały za zadanie skierować producentów do baczniejszej kontroli bezpieczeństwa, nie tylko wyposażając auta w nowe systemy bezpieczeństwa, ale także wykluczenie udziału osób trzecich.

Niestety problem ten w obecnych autach może zostać zbagatelizowany – część tych funkcji ma pomóc także w diagnostyce.

Analitycy mają szczegółowo omówić powyższy problem na nadchodzącej konferencji DEFCON.

dodany: 27.07.2013 | tagi: , , ,

Niespodziewana śmierć legendarnego hakera

1

Barnaby Jack to znany haker, który miał przedstawić prelekcję na nadchodzącej konferencji Black Hat 2013. Niestety tak już się nie stanie, gdyż odnaleziono go martwego we własnym mieszkaniu w San Francisco.

Nie wiadomo, co było przyczyną śmierci Jacka, do której doszło w ubiegły czwartek. Okoliczności smiercią są o tyle podejrzane, gdyż haker miał jedynie 35 lat.

Nie można wykluczyć udziału osób trzecich – być może ktoś miał interes w tym, by zapobiec prezentacji, którą Barnaby miał przeprowadzić na Black Hat – tym razem miał zająć głos w sprawie możliwości hakowania implantów serca.  Problem był nie lada, gdyż chodziło o możliwość zmiany dawek pomp z insuliną, co jest niezwykle niebezpieczne dla organizmu. Nie od dziś wiadomo, że przemysł farmaceutyczny, to jeden z niewielu, który nie jest zależny od sytuacji ekonomicznej świata.

Przypomnijmy, że możliwość taka dotyczyła także innych urządzeń, o czym informowaliśmy w czerwcu (zobacz newsa: Ataki na urządzenia medyczne są realne).

Śmierć białego-hakera potwierdził jego pracodawca – firma IOActive, która zapowiedziała także odpowiednie upamiętnienie Jacka Barnaby.

Jako przypomnienie jego sylwetki na poniższym wideo jest jego prezentacja z Black Hat 2010, na której przedstawił technikę jackpotting:

R.I.P.

dodany: 27.07.2013 | tagi: , ,

Nowe wydanie Kali Linux

0

Po trzech miesiącach od poprzedniego wydania Kali Linux doczekał się kolejnej aktualizacji. Najnowsza edycja nosi numer 1.0.4Data tego wydania nie jest przypadkowa i wiąże się z imprezami dotyczącymi bezpieczeństwa, tj. Black Hat oraz DEF CON.

W wydaniu tym oprócz poprawieniu wszelkich błędów, które zidentyfikowano za pomocą społeczności  Kali Bug Tracker, wprowadzono wiele nowych narzędzi do testowania zabezpieczeń:

Oprócz tego zakutalizowano obecne:

Z racji dużego zainteresowania Kali Linux, na procesorach ARM wprowadzono dedykowane obrazy dla następujących urządzeń: BeagleBone Black, CuBox oraz Efika MX.

Jeśli posiadamy już poprzednie wydanie wystarczy komenda „apt-get update && apt-get dist-upgrade”, aby cieszyć się najnowszym wydaniem. W pozostałych przypadkach gotowe obrazy możemy pobrać bezpośrednio ze strony projektu.

dodany: 27.07.2013 | tagi: , ,

Nowe wydanie polskiego Gargoyle

1

Ukazało się kolejne wydanie polskiego Gargoyle. Jest ono oznaczone numerem 1.5.10.8. Tradycyjnie do obrazów dołączono bieżące poprawki z wydania w Attitude Adjustment. Najświeższe wydanie AA r37559 zawiera obrazy dla TP-LINK TL-WR941ND v6, TL-WR710N v1 oraz zawiera aktualizacje dla układów mac80211 (ath5k, ath9k, broadcom, ramips). Oprócz tego poprawiono obsługę protokołu IPv6 oraz działanie demona netifd.

Zmiany w samym „gargulcu” są następujące:

  • wprowadzono różnorodne poprawki kodu systemowego, CSS, stron HTML (m.in zmiany w CSS pozwalające na przyszłą implementację bardziej zaawansowanego menu);
  • zaktualizowano polskie tłumaczenie;
  • ujednolicono wygląd niektórych elementów sterujących GUI;
  • dokonano zmian w gpkg;
  • naprawiano sposób wyliczania zakresu adresów przy DHCP;
  • uzupełniono listę polskich operatorów dla połączeń sieci komórkowych;
  • przedstawiono nowe obrazy dla routerów: TP-LINK TL-WR941ND v6, TL-WR710N v1.

Najnowsze obrazy można pobrać bezpośrednio ze strony projektu.

dodany: 25.07.2013 | tagi: , ,

Usłyszeli zarzuty za nawiększą kradzież numerów kart kredytowych

2

Czterech Rosjan i jeden Ukrainiec usłyszało dzisiaj zarzuty kradzieży danych dotyczących 160 milionów kart kredytowych! Jest to największy znany incydent tego typu. Grupa przestępców dokonywała podobnych wykroczeń  już od 2005 roku.

Zostały już ujawnione nazwiska przestępców: Vladimir Drinkman (32 lata), Roman Kotov (32); Dmitriy Smilianets (29),  Aleksandr Kalinin (26) oraz Mikhail Rytikov (26-letni Ukrainiec). Włamywacze najczęściej posługiwali się hakowaniem baz danych poprzez wstrzyknięcia SQL.

Śledczy w tej sprawie odkryli także współpracę grupy z Albertem Gonzalezem, który od 2010 roku odsiaduje w więzieniu 20-letni wyrok  za podobny wyczyn.

Złodzieje mogą poszczycić się zdobyciem danych od takich potentatów finansowych jak Dow Jones, NASDAQ, JCPenney, JetBlue, Wet Seal oraz 7-Eleven. Łączne straty wynoszą w tym wypadku około 300 milionów dolarów amerykańskich.

Grupa była dobrze zorganizowana, ponieważ każdy jej członek miał swoją rolę: Drinkman i Kalinin włamywali się głównie do firm oraz zdobywali ważne dane klientów, Kotov zajmował się wykradaniem cennych informacji, a Rytikov starał się zacierać wszelkie ślady przestępczości.

Grupa nie korzystała  bezpośrednio ze zgromadzonych danych, ale odsprzedawała je dalej w formie bazy – jeden numer kosztował od 10$ do 50$ w zależności do kogo należała karta kredytowa. Najtańsze były te należące do obywateli USA, droższe natomiast do Kanadyjczyków i Europejczyków.

Większości załogi grozi 35-letni wyrok – wyjątkiem jest tutaj Mikhail Rytikov, który może liczyć na wyrok o 5 lat niższy.

dodany: 25.07.2013 | tagi: , , , ,

Luka w serwerach Barracuda

3

W urządzeniach firmy Barracuda Networks odkryto poważną lukę, która pozwala na odczytanie haseł wszystkich użytkowników serwera. Problem ten odkrył Ebrahim Hegazy.

Słabość w zabezpieczeniach pojawia się w przypadku, gdy chcemy zwiększyć poziom zabezpieczeń, wprowadzając dwuetapowe uwierzytelnianie. W urządzeniach Barracuda można to zrobić na kilka sposobów – jednym z nich jest odpowiednia konfiguracja plików .htaccess oraz .htpasswd. 

Sęk w tym, że w tym wypadku .htpasswd powinien znajdować się poza webowym katalogiem, tj. każdym innym niż główny (np. C:\Dowolny\.passwd). Niestety w przypadku Barracudy, plik ten znajduje się wewnątrz katalogu z panelem administracyjnym.

Powyższy fakt daje każdemu możliwość na bezpośrednie odwołanie się do pliku z hasłami przez następujący adres:

Odwołanie to daje bezpośredni dostęp do wszystkich haseł użytkowników serwera Barracuda. Dlaczego? Ano dlatego, że plik ten zawiera hasła w otwartej postaci.:

Przykładowa zawartość pliku .htpasswd (źródło TheHackerNews)

Przykładowa zawartość pliku .htpasswd (źródło: TheHackerNews).

Odkrywca problemu zgłosił tę lukę producentowi, a ten wydał już stosowną poprawkę, dlatego wszyscy administratorzy urządzeń Barracuda Networks powinni ją zainstalować.

dodany: 24.07.2013 | tagi: , , ,

Uwaga na malware wykorzystujący dziurę Androida

17

Niedawno pisaliśmy o poważnej luce w systemie Android (zobacz newsa: Poważna dziura w niemal każdym Androidzie), która pozwala  na modyfikację kodu plików APK, bez potrzeby zmiany sygnatury. Przez to zmodyfikowana aplikacja, która może być złośliwa, nadal będzie odczytywana jako bezpieczna.

Niestety jak się nie trudno domyślić, większość producentów zignorowała ten problem… Tymczasem firma Symantec namierzyła już dwa złośliwce wykorzystujące wspomnianą słabość.

Na razie problem dotyczy co prawda regionu chińskiego, gdyż owe szkodliwe programy udają aplikacje, które mają nam pomóc w odnalezieniu lekarza i umówieniu się z nim na wizytę

Jeśli zainstalujemy malware, to musimy się liczyć z możliwością zdalnej kontroli naszego smartfonu przez atakującego, a tym samym z wydatkami na SMS-y premium, kradzieżą naszych numerów telefonów czy też naszego numeru IMEI.

Złośliwiec ten blokuje także działanie kilku najpopularniejszych programów antywirusowych.

Część złośliwego kodu wykorzystującego dziurę w niemal każdym Androdzie (źródło Symantec).

Część złośliwego kodu wykorzystującego dziurę w niemal każdej wersji Androida (źródło: Symantec).

 

Jak się bronić?

Z uwagi na to, że producenci zlekceważyli kwestie bezpieczeństwa, mimo że Google wydało już odpowiednią łatkę, musimy radzić sobie sami.

Instalujmy przede wszystkim dobrze znane aplikacje. Z pomocą przychodzą nam też sami odkrywcy tej luki – firma BlueBox Security przedstawiła darmowy skaner, który pozwala sprawdzić, czy nasz system jest już poprawiony:

 

Dardmowy skaner od BlueBox Security

Darmowy skaner od BlueBox Security.

Oprogramowanie Symanteca wykrywa złośliwe aplikacje jako Android.Skullkey.

dodany: 24.07.2013 | tagi: , , ,

Oficjalna strona Simple Machine zhakowana

42

Oficjalna strona open-sourcewego projektu  Simple Machines Forum (w skr. SMF) została zhakowana. Administratorzy podają, iż włamanie miało miejsce 20 lipca.

Włamywacze przejęli konto jednego z administratorów, które pozwoliło na dostęp do bazy danych serwera. Jak nie trudno się domyślić, w ten sposób zostały skradzione wszystkie dane użytkowników, włącznie z hasłami.

Administratorzy SMF zastrzegają, że nie grozi nam przez to atak na nasze forum – oczywiście pod warunkiem, że stosujemy inne hasło – jeśli tak nie jest, zmieńcie je koniecznie natychmiast.

Każdy z użytkowników jest zobligowany do zmiany hasła do samego konta na stronie SMF.

Zawinił admin…

Niestety wedle oficjalnych informacji ujawnieniu danych sprzyjała postawa jednego z administratorów SMF – jak się okazało był on także admnistratorem innego portalu i to właśnie to konto zostało zhakowane. Niestety admin używał także takiego samego hasła do zarządzania portalem SMF…

Powyższa sytuacja jest zdecydowanie wystarczającym dowodem na to, by do każdej usługi stosować możliwe inne hasło / login.

dodany: 23.07.2013 | tagi: , ,

Nowy lider wśród superkomputerów w Polsce

0
Narodowe Centrum Badań Jądrowych w Świerku będzie posiadało najmocniejszy superkomputer w Polsce. Jego wydajność ma wynosić 500 TeraFFLOPS-ów. Wynik ten klasyfikuje tę maszynę na liście 60 najszybszych komputerów na świecie.

Dzięki temu zakupowi nasze możliwości w zakresie przetwarzania danych wzrosną ponad 25-krotnie, co w sposób oczywisty przełoży się na dostępność i zakres oferowanych w ramach projektu usług

– komentuje profesor Wojciech Wiślicki.

Nowy superkomputer jest tworzony z myślą o wsparciu polskiej energetyki i  nauki. Obecnie klaster dysponuje 1 920 rdzeniami obliczeniowymi wspartymi pamięcią RAM o łącznej pojemności 7,5 TB pamięci RAM oraz 560 TB przestrzeni dyskowej. Teoretyczna wydajność tak skonfigurowanej infrastruktury to 17,25 TFLOPS. Instalacja ta wykorzystywana jest przede wszystkim do testów i analizy wymogów stawianych przez specjalistyczne oprogramowanie.

Znaczenie rozbudowy klastra podkreśla również prof. dr hab. Grzegorz Wrochna, dyrektor Narodowego Centrum Badań Jądrowych:

Planowany zakup to milowy krok na drodze do stworzenia odpowiedniego zaplecza informatycznego dla polskiego programu energetyki jądrowej. Pozyskane moce obliczeniowe będą również ważnym elementem realizowanych przez nas projektów naukowo-badawczych.

Zakupiona partia sprzętu wykorzystywać będzie najnowocześniejsze rozwiązania w dziedzinie chłodzenia, zasilania oraz wydajności systemów dyskowych.

Zdecydowaliśmy się na chłodzenie wodą, ponieważ odprowadza onaciepło niemal 4000 razy skuteczniej niż powietrze.Dzięki takiej technologii uzyskamy skokowy wzrost efektywności energetycznej, czyli wydajności przypadającej na jednostkę mocy zasilającą komputer. Rosnące zapotrzebowanie na zasoby obliczeniowe w połączeniu z wysokością nakładów finansowych niezbędnych do utrzymania ogromnej ilości „prądożernego” sprzętu powodują, że dzisiaj sztuką staje się nie tyle osiągnięcie wielkiej wydajności za wszelką cenę, co maksymalne wykorzystanie każdego procesora i każdego wata energii

– tłumaczy kierujący Działem Infrastruktury Obliczeniowej CIŚ mgr inż. Adam Padée.

Szacuje się, że nowa technologia  pozwoli zaoszczędzić nawet 80% poboru mocy potrzebnej do chłodzenia infrastruktury. Dalszą redukcję kosztów mają przynieść energooszczędne procesory oraz inteligentne zarządzanie  klastrem.

Nowy superkomputer zostanie między innymi wykorzystany do stworzenia nowego reaktora jądrowego IV generacji – w tym celu została nawiązana współpraca z Instytuami Badawczymi z Czech, Węgier i Słowacji.

Zachęcamy także do zapoznania się z wywiadem z W. Wiślickim, który ukazał się w dzisiejszym wydaniu telewizji TVN CNBC.