Adatbiztonsági összefoglaló 2005. második félév Az F-Secure Corporation, az IT-biztonsági megoldások egyik vezető szállítója közzétette adatbiztonsági beszámolóját 2005 második félévéről. Az év utolsó hat hónapjában jelentősen visszaestek a hálózati férgekkel végrehajtott tömeges támadások. Mindössze két nagyobb fertőzés történt, melyek közül az első szeptemberben okozott nagyobb károkat, a második pedig novemberben árasztotta el az internetet. A vírusok száma soha nem látott mértékben, hat hónap alatt 110 ezerről körülbelül 150 ezerre emelkedett. A bírósági ítéletek számát tekintve a 2005-ös év nehéz időszak volt a rosszindulatú kódok szerzőinek. Júliusban három huszonéves zsarolót tartóztattak le Oroszországban, miután botnetek segítségével DDos támadásokat (Distributed Denial of Service elosztott túlterheléses támadásokat) hajtottak végre szerencsejáték-oldalak ellen, és 50 ezer dollárt követeltek az oldalak üzemeltetőitől, hogy ne ismételjék meg a támadást. Bár a pénz útja a Karib-szigeteken és Lettországon keresztül vezetett Oroszországba, az Egyesült Királyság rendőrségének sikerült letartóztatnia az elkövetőket. Több más vírusírót is elért a törvény keze: a VBS/Lasku vírus szerzőjét Finnországban, a Peep hátsó ajtó program készítőjét Tajvanban tartóztatták le. A Sasser és a Netsky szerzőjét, Sven Janschent felfüggesztett börtönbüntetésre és harminc óra közmunkára ítélték egy olyan féreg létrehozásáért, amely több millió dolláros kárt okozott. A spam ártalmas az egészségre Néha a rosszindulatú kódok és a levélszemét megfékezéséhez nem csak IT-biztonsági eszközöket használnak. Júliusban meggyilkolták Vardan Kushnirt, az American Language Center (Amerikai Nyelvi Központ) tulajdonosát, aki egyes források szerint megszervezte az orosz történelem legnagyobb spam kampányát. A levélszemét-kampány keretében több mint húszmillió orosz nyelvű felhasználó e- mail címére érkezett kéretlen reklámlevél. (Bár lehetséges, hogy Kushnir meggyilkolása nem áll összefüggésben a spamküldéssel, az mindenesetre biztos, hogy sokan kívánták a halálát ) Az orosz hatóságok jelenleg is vizsgálják a bűnügyet több ezer gyanúsítottjuk van. Az adathalászat nyilvánvalóan megéri Júliusban a Financial Times Deutschland közzétette jelentését, miszerint a német bankok az elmúlt év során 70 millió eurót vesztettek adathalászati csalások miatt, és ez az összeg folyamatosan növekszik. A németországi helyzetből arra következtethetünk, hogy óriási üzlet a phishing. Bár az adathalászat egyre szélesebb körben terjed, a hatóságok is egyre több esetben figyelnek fel ezekre a bűntényekre. Az adathalászok a nagyobb célpontok, mint a Citibank, az ebay, a Paypal és a US Bankhave helyett, inkább kisebb célpontok ellen indítanak támadásokat, mivel kisebb intézmények ügyfelei között nagyobb valószínűséggel lehetnek olyanok, akik válaszolnak az általuk elküldött adathalász e-mailekre.
Arra utal néhány jel, hogy a phishing támadások mögött álló szervezetek új célpontokat keresnek. Először az Egyesült Államokra koncentráltak, majd Ausztráliára, később pedig az Egyesült Királyságra. Németországban az adathalász e-maileket német nyelvre fordították, ugyanúgy, ahogy pár hónnappal korábban Dániában tették. Augusztusban nagyszabású támadássorozat indult a svédországi Nordea Sweden az északi-európai országok legnagyobb bankja és egyben a világ egyik legnagyobb internetes bankja ellen. A Nordeánál használt biztonsági rendszer kaparós kártyát használ, ami tartalmazza a következő belépéshez szükséges PIN kódot. Az adathalász e-mailek azt állították, hogy a Nordea új biztonsági előírásokat vezetett be, melyek a Dél-Koreában üzemeltetett megtévesztő www.nordea-se.com vagy a www.nordea-bank.net címen érhetők el. A felhasználótól az azonosítószámát, a hozzáférési kódját és a következő kaparós kódot kérték. Függetlenül attól, hogy milyen adatokat adtak meg az ügyfelek, a weboldal hibásnak ítélte a beírt kódot, és kérte a következőt. Valójában az adathalászok minél több kódot igyekeztek szerezni. Általánosságban: szeptemberben az adathalászati próbálkozások száma csökkent, a kéretlen levelek mennyisége azonban növekedett. Az elgépelés veszélyei Az év elején már láttunk arra példát, hogy az internetes bűnözők, hogyan használják ki a honlapok rosszul begépelt címeit. Tavasszal azok a Google felhasználók, akik a honlap címét googkle -ként írták be, egy rosszindulatú kódokkal teli oldalra jutottak. Ősszel egy az elgépeléseket kihasználó még nagyobb támadássorozat indult adatbiztonsági vállalatok ellen, mely során összesen 150 hamis domaint hoztak létre. Az F-Secure többek között a következő hamis címekkel találkozott: www-fsecure.com, wwwf-secure.com, f-secue.com, mesagelabs.com, mcafeeantiviru.com, bitdefneder.com, pestpatorl.com, wwwbullguard.com, pandafirewall.com, sendamil.org és centralcomand.com. Terrortámadások, természeti katasztrófák, visszaélések 2005-ben számos természeti katasztrófa és terrortámadás történt, és a rosszindulatú kódok írói ezen események kapcsán is pénzt akartak kicsalni a segítőkész emberekből. 2005 júliusában a londoni metrón elkövetett terrortámadás után e-mail üzenetekhez csatolt állományként érkezett egy trójai alkalmazás. A ZIP fájl a London Terror Moovie.avi <124 spaces> Checked By Norton Antivirus.exe fájlt tartalmazta. Az F-Secure a trójai alkalmazást SpamTool.Win32.Delf.h néven azonosította, és azonnali frissítést tett közzé.
Szeptemberben a Katrina hurrikán pusztításai után Katrina killed as many as 80 people (a Katrina legalább 80 embert ölt meg) tárgyú e-mailek érkeztek a felhasználók postafiókjaiba. Az üzenet látszólag egy újságcikket tartalmaz, amely a Katrina hurrikán által okozott pusztításról ír, de valójában a nextermest.com weboldalra irányítja az olvasót, amely egy másik honlapról letölti a Trojan- Downloader.JS.Small.bq rosszindulatú kódot. Bot-háború augusztusban Augusztusban az F-Secure adatbiztonsági laboratóriuma az első pillanattól nyomon követte a nemzetközi méretű bot-háborút. Az internetes bűnözőcsoportok közötti rivalizálás azzal kezdődött, hogy megjelent egy olyan vírus, amely a Microsoft frissítőcsomag sebezhetőséget, az MS05-039 PnP rést használta ki. A vírus megjelenésével szinte egy időben a CNN-t, a Financial Timest, a The New York Timest és az ABC-t is elérte a fertőzés. A Zotob víruson alapuló támadást más férgek követtek, amelyek egymással vetélkedtek a fertőzött számítógépekért: eltávolították a már meglévő fertőzést, és saját kódjukkal helyettesítették azt. Valójában két csoport küzdött egymással: az IRCBot és a Bozori írói, illetve a Zotobok és más botok szerzői. A széles körben különösen a nemzetközi médiumoknál fennakadásokat okozó vírust megállították az F-Secure jelentése pedig több mint 500 újság címlapján jelent meg másnap. Nem sokkal a fertőzés után két húsz év körüli férfit tartóztattak le a Zotob PnP üggyel kapcsolatban: a marokkói hatóságok Diabl0-t, azaz Farid Essebart, a török hatóságok pedig a Coder fedőnevű Atilla Ekicit. A mobil kártevők elszaporodása Mobil kártevők száma 120 100 80 60 40 20 0 2004.06.15 2004.07.15 2004.08.15 2004.09.15 2004.10.15 2004.11.15 2004.12.15 2005.01.15 2005.02.15 2005.03.15 2005.04.15 2005.05.15 2005.06.15 2005.07.15 2005.08.15 2005.09.15 2005.10.15
Egyre nagyobb figyelem irányul a mobil kártevőkre, számuk ugyanis idén novemberben átlépte a százas határt. A Symbian eszközökre írott rosszindulatú kódok teszik ki a mobil kártevők legnagyobb részét. A mobilvírusok mennyisége a Symbian eszközök népszerűségét mutatja, hisz ezek a legnagyobb kihívást jelentő célpontok a rosszindulatú kódok szerzői számára. Jelenleg minden Symbian operációs rendszert támadó trójai alkalmazás és féreg engedélyt kér a felhasználótól a rosszindulatú program telepítésére vagy Bluetooth kapcsolat teremtésére. A legtöbb Cabir variáns például folyamatosan próbál Bluetooth kapcsolatot teremteni, még akkor is, ha a felhasználó folyamatosan nemmel válaszol a kérdésekre. Ebbe a felhasználó egy idő után természetesen belefárad, és a kérdésekre igennel felel, aminek aztán súlyos következményei lehetnek. Az F-Secure Mobile Anti-Virus még azelőtt képes volt észlelni és megállítani a mobilkártevők 74 százalékát, hogy adatbázisát frissítette volna. A Commwarrior tovább terjed Van néhány mobil kártevő, amely továbbra is terjed. Ezek közül az egyik a rossz hírű Commwarrior, amely már húsz országba és egészen távoli országokba, például Indiába és Dél-Afrikába is eljutott. Augusztusban az F-Secure észlelte a Doomboot.A nevű Symbian trójai alkalmazást, ami elhelyezi a készüléken a Commwarrior.B kártevőt, és olyan mértékben károsítja a telefont, hogy azt többé nem lehet bekapcsolni. Míg más trójai alkalmazások a Cabir számos különböző variánsait telepítik, a Doomboot.A az első ismert trójai, amely a Commwarriort helyez el a telefonon és e mellett egy vadonatúj technikát is alkalmaz. A Doomboot azért okoz különösen nagy gondot, mert a Doomboot és a Commwarrior együttes hatása rendkívül veszélyes. A Doomboot.A miatt a telefont többé nem lehet bekapcsolni, a Commwarrior pedig olyan mértékű Bluetooth forgalmat bonyolít, hogy a telefon akkumulátora kevesebb, mint egy óra alatt lemerül. Így azoknak a felhasználóknak, akiket a Doomboot.A megfertőz alig egy órájuk marad arra, hogy rájöjjenek, mi történik a készülékükkel, és eltávolítsák a kártevőt. Szeptemberben egy más szempontból említésre sem méltó Symbian trójai, a SymbOS/Cardtrap.A új színt hozott a mobil kártevők palettájára: a Cardtrap.A képes megfertőzni a PC-t is, ha a felhasználó behelyezi a telefon memóriakártyáját egy oylan számítógépbe, amelyen az autorun funkció be van kapcsolva. Amikor a Cardtrap.A Symbian telefont fertőz meg, két Windows férget (Win32/Padobot.Z és Win32/Rays) másol a telefon memóriakártyájára. Az F-Secure Anti-Virus a Padobot.Z és a Rays alkalmazást felismeri és eltávolítja. Vírusok MP3 lejátszókon és játékkonzolokon Augusztus végén elterjedt a hír, hogy vírussal fertőzött MP3 lejátszó került forgalomba. A gyártó, a Creative illetékesei elismerték, hogy Japánban véletlenül csaknem 4000 darab, Windows vírust tartalmazó Zen Neeons MP3 lejátszót szállítottak a kereskedőknek. A lejátszók fájlrendszere egy Wullik.B (más néven Rays.A) e-mail féreggel fertőzött fájlt tartalmazott. A féreg azonban nem terjed át a számítógépre, ha a felhasználó nem nyitja meg a fertőzött fájlt.
Az MP3 lejátszó botrányt októberben egy Sony Playstation riasztás követte, ugyanis egy magát firmware frissítésnek feltüntető alkalmazásról kiderült, hogy valójában olyan trójai, amely használhatatlanná teszi a PSP-t. Az F-Secure adatbiztonsági laborja az első PSP trójai alkalmazás megjelenése után szinte rögtön jelentéseket kapott a Nintendo DS kézi játékkonzol trójai programjáról. Ez az egyszerű, DSBrick néven ismert trójai kritikus fontosságú memóriaterületeket ír felül, aminek következtében a játékgép nem indul el. Novemberben ismét a Sonytól volt hangos a sajtó, mivel kiderült, hogy néhány Sony BMG zenei CD rootkitet tartalmaz azaz olyan programot, amely képes önmagát és más rosszindulatú programokat, illetve létezésükre utaló bármilyen nyomot eltűntetni a felhasználó elől. A rootkitet maga a vállalat helyezte el a hanghordozókon, hogy betartassa a zenei CD-k másolásvédelmi szabályait. A rootkit, amely a Digital Rights Management (DRM, azaz digitális jogkezelő) szoftveren keresztül rejtetten figyeli az ügyfelek tevékenységét, azonnal feltelepül, amikor a felhasználó beteszi a CD-t egy Windows-alapú számítógépbe, és elfogadja a felhasználási feltételeket. A rootkit a felhasználó tudta nélkül települ fel a számítógépre, és a későbbiekben már nem lehet eltávolítani. A rendszer emellett sebezhetővé is teszi a számítógépet, ugyanis kártevők bejutását lehetővé teszi. Az F-Secure idén márciusban bemutatott BlackLight keresője képes észlelni a Sony DRM rootkit rendszert, és bármilyen más rosszindulatú kódot, amely annak segítségével próbál elrejtőzni. Az év legnagyobb vírustámadása November végén az F-Secure legmagasabb szintű vírusriadót rendelt el egy új Sober variáns miatt, amely aztán az év legnagyobb e-mail féreg fertőzését okozta. Internetszolgáltatók a világ minden pontjáról sok millió fertőzött e-mailt jelentettek. Az FBI-tól vagy a CIA-től származó leveleknek álcázott üzenetek arra kérték a címzetteket, hogy nyissák meg a Sober.Y férget tartalmazó csatolt állományt. Az első Sober variánst több mint két éve, 2003 októberében észlelték. Az F-Secure kutatói úgy gondolják, hogy a vírus mind a 25 variánsát ugyanaz a valószínűleg német személy készítette. A szerző valószínűleg a régimódi vírusírók közül származik, akik csak hírnévre vágynak, és tetteik mögött nincs pénzügyi indíttatás. Van új a Nap alatt Júniusban az F-Secure kiadta az F-Secure Client Security 6.0 terméket. Az Infoworld a szeptemberi számában megjelent tesztjében az F-Secure megoldását az összes fő versenytárs elé helyezte. Az F-Secure szeptemberben bemutatta legnépszerűbb otthoni szoftvercsomagjának új változatát, az F- Secure Internet Security 2006 terméket, és azóta több mint 42 ezer példányt szállított le a forgalmazóknak Európában. A legújabb verzió számos új szolgáltatást tartalmaz, többek között a BlackLight rootkit kereső technológiát.
Szeptemberben az F-Secure mérföldkőhöz ért: 17 évnyi szoftverfejlesztés után elkezdte első hardvertermékének forgalmazását. Az F-Secure Messaging Security Gateway termék egy 1U méretű rackbe szerelhető e-mail biztonsági megoldást, ami egy nagyvállalati szintű levelezőszervert kombinál vírusvédelmi, spamszűrő, tartalomszűrő, perimeter tűzfal és biztonságos levelezés funkciókkal.