En PC & Nätverksteknikers tankar

Tillmann Werner och Felix Leder vid The Honeynet Project har tillsammans med Dan Kaminsky listat ut ett sätt att upptäcka Conficker-infekterade maskiner.

Conficker modifierar delar av Windows, närmare bestämt NetpwPathCanonicalize(), på ett sådant sätt att det går att skilja en Conficker-infekterad maskin från både en opatchad maskin och en maskin som är patchad med MS08-067. Gallringen sker genom att man kan analysera felkoder från specialkonstruerade RPC-meddelanden.

Mer information och "proof-of-concept"-kod finns på The Honeynet Project och Doxpara.

För mer information om Conficker så kan du läsa SRI Internationals analys och Conficker Working Groups FAQ, eller The Honeynet Projects "Know Your Enemy: Containing Conficker" samt instruktioner för att scanna efter Conficker med nmap hittar du på Skullsecurity och Seclists.

Ett plug-in till Nessus finns också att ladda hem.

Microsofts säkerhetsbulletiner för december månad finns nu tillgängliga via Windows Update. Det är totalt åtta stycken säkerhetsbulletiner varav sex stycken betecknas som "kritiska" och två stycken som "viktiga".

MS08-071 Microsoft GDI ("Kritisk"):
Säkerhetsuppdateringen täpper till två säkerhetshål i GDI (Graphics Device Interface). En angripare kan utnyttja sårbarheterna genom att specialformatera en WMF-fil och sedan på något sätt lura en användare att köra den.

Orsaken till sårbarheterna beror bland annat att på brister i beräkningar av siffror samt hanteringen av filstorleksparametrar i WMF-filer.

Sårbarheterna kan utnyttjas till att köra godtycklig kod på det sårbara systemet.

Microsoft tackar följande personer för upptäckten av sårbarheterna:
Jun Mao, VeriSign iDefense Labs
Juan Caballero,Bitblaze group at Carnegie Mellon University

MS08-075 Windows Search ("Kritisk"):
Säkerhetsuppdateringen täpper till två säkerhetshål i Windows Search. Sårbarheterna kan utnyttjas genom att en angripare specialformaterar en sök-fil eller en sök-URL och sedan lurar en användare att köra filen.

Orsaken till sårbarheterna beror bland annat att på brister vid sparande av en specialformaterad sök-fil samt brister i hanteringen av systemanrop till "search-ms protocol handler"

Sårbarheterna kan utnyttjas till att köra godtycklig kod på det sårbara systemet.

Microsoft tackar följande personer för upptäckten av sårbarheterna:
Andre Protas, eEye Digital Security
Nate McFeters

MS08-073 Internet Explorer ("kritisk"):
Den kumulativa säkerhetsuppdateringen täpper till fyra säkerhetshål i Internet Explorer. Sårbarheterna kan utnyttjas av en angripare som lurar en användare att besöka eller klicka på en länk till en specialformaterad webbsida.

Orsaken till sårbarheterna beror bland annat att på hur IE hanterar borttagna objekt, inbäddade objekt, vissa navigeringsmetoder samt oanvänt minne i vissa situationer.

Sårbarheterna kan utnyttjas till att köra godtycklig kod på det sårbara systemet.

Microsoft tackar följande personer för upptäckten av sårbarheterna:
Carlo Di Dato
Brett Moore, TippingPoint och the Zero Day Initiative
Chris Weber, Casaba Security
Jun Mao, Verisign iDefense Labs

MS08-070 Visual Basic 6.0 ("kritisk"):
Säkerhetsuppdateringen täpper till sex säkerhetshål i Active X-kontroller för Visual Basic Runtime Extended Files. Sårbarheterna kan utnyttjas av en angripare som lurar en användare att besöka eller klicka på en länk till en specialformaterad webbsida.

Orsaken till sårbarheterna beror bland annat att på brister i hur Active X-kontrollerna:

1. DataGrid
2. FlexGrid
3. Hierarchical FlexGrid
4. Windows Common
5. Charts
6. Masked Edit

Det är hög tid att installera uppgraderingen MS08-067, som släpptes för en månad sedan. Flera maskvarianter, exempelvis W32/Conficker.worm, utnyttjar hålet aktivt. Det är ännu endast Windows 2000 som är drabbat.

Då masken har infekterat ett system laddar den ner ytterligare elak kod. För att sprida sig installeras en webbserver som lyssnar på slumpmässiga portar. Därefter scannar masken efter sårbara system som kan ladda ner en kopia av masken från det infekterade systemets webbserver.

Jag rekommenderar följande skydd:

1. Installera uppdateringen MS08-067 som finns tillgänglig på Windows Update.
2. Blocka TCP-portarna 139 och 445 i brandväggen.

Ett flertal sårbarheter har identifierats i Apples webbläsare, Safari. Vid ett effektivt utnyttjande kan sårbarheterna bland annat utnyttjas för att samla in känslig information och för att exekvera godtycklig kod på ett sårbart system.

Apple har släppt uppdateringar till Safari för både OS X "Tiger" och OS X "Leopard", samt Microsoft Windows.

En säkerhetsbrist har upptäckts i MS Windows Server service. Bristen beror på att server-tjänsten felar i hanteringen av specialformaterade RPC-förfrågningar. En angripare kan manipulera ett RPC-paket som skickas till det sårbara systemet. Om attacken lyckas kan angriparen få total kontroll över systemet.

För att utnyttja sårbarheten i Windows Vista samt Windows Server 2008 krävs att angriparen har ett lokalt konto på systemet.

Microsoft har kategoriserat sårbarheten som "kritisk".

Påverkade versioner:

• Microsoft Windows 2000 SP4
• Microsoft Windows XP SP1/SP2/SP3
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows XP Professional x64 Edition SP1/SP2
• Microsoft Windows Server 2003 SP1/SP2
• Microsoft Windows Server 2003 x64 Edition
• Microsoft Windows Server 2003 x64 Edition SP2
• Microsoft Windows Server 2003 SP1/SP2 (Itanium)
• Microsoft Windows Vista
• Microsoft Windows Vista SP1
• Microsoft Windows Vista x64 Edition
• Microsoft Windows Vista x64 Edition SP1
• Microsoft Windows Server 2008 (32-bit/x64/Itanium)

Ett säkerhetsföretag som heter SkyRecon Systems har upptäckt två nya säkerhetsbrister i kärnan på flera versioner av operativsystemet Windows, inklusive server versioner. Sårbarheterna finns inte bara på x86-baserade 32- och 64-bitarsversioner utan också på 64-bitars Itanium-maskiner.

Som vanligt vid den här typen av brister är det ett resultat av ett fel i Windows-designen och inte ett resultat av felaktig hårdvara. SkyRecon arbetar med Microsoft för att släppa uppdateringar för sårbarheterna senare under den här månaden.

Påverkade operativsystem inkluderar alla versioner av Windows XP Professional, Windows 2000 Server, Windows 2003 Server och Windows Vista. De här sårbarheterna lämnar systemet öppet för en typ av attack som låter invaderade kod (ett virus eller en mask) få tillgång till kärnan.

Resultatet är i stort sett att ingenting inom kärnan av operativsystemet är säkert och allt går att komma åt, när en sådan sårbarhet utnyttjas.

Källa: THG

Rootkits är det mest vanliga sättet för virusspridare att attackera Windows operativsystem. I en längre artikel ger Kaspersky Labs virusanalytiker, Alisa Shevchenko, en historisk översikt över utvecklingen av rootkits fram till idag.

Trots att rootkits har sitt ursprung i UNIX-världen, så härstammar moderna Windows rootkits från DOS-virus med stealthteknik som först dök upp under 1990-talet. Dessa virus utvecklades för att gömma sig för användaren och för antivirusprogrammen. Det var först senare som dessa tekniker användes av Windows rootkits för att dölja andra sabotageprogram.

Rootkits kan delas in i tre kategorier:

• Trojaner som använder sig av färdiga verktyg och bibliotek för att gömma sig i systemet.
• Färdiga skadliga rootkits, som kunde modifieras av användaren.
• Anpassade rootkits, som utvecklades speciellt för riktade attacker.

Ett populärt spel till Iphone, Penguin Panic, utnyttjas av för att sprida skadlig kod till Windows datorer. Vad som påstås vara en Windows-version av spelet är det i själva verket en trojan.

Spam med rubriker som ”virtual iphone games” innehåller bifogade zip-filer som innehåller programmet. Öppnas filen så infekteras datorn med trojanen ”troj/agent-hny”.

Ett uppdaterat antivirusprogram bör hitta filen och varna att den är skadlig, men det generella rådet är ändå att inte öppna några filer bifogade i mail man inte efterfrågat.

OBS: Trojanen inte drabbar Iphone och Apples Mac OS

Källa: Sophos/IDG

Apple QuickTime är en mediaspelare som bl.a. ingår i iTunes. Produkten innehåller totalt nio säkerhetsbrister, vilka kan leda till att oönskade program körs då en specialkonstruerad fil öppnas. Bristfällig indatakontroll av exempelvis QTVR-filer (QuickTime Virtual Reality) och PICT-filer (PICTure) är orsaken till säkerhetsbristen.

Lösning:
Uppgradera till QuickTime 7.5.5 där säkerhetsproblemen är åtgärdade. Använd den automatiska uppdateringsfunktionen eller uppgradera manuellt:

* QuickTime 7.5.5 for Windows
* QuickTime 7.5.5 for Leopard
* QuickTime 7.5.5 for Tiger

David Wharton, Paul Byrne (NGSSoftware) och Roee Hay (IBM Rational Application Security Research Group) med flera har upptäckt sårbarheterna.

Observera att även iTunes innehåller sårbarheter, vilka är rättade i iTunes 8.0

Påverkade versioner:
Apple QuickTime Player 7.4.5 eller tidigare

Steven Sinofsky leder utvecklingsarbetet med Windows 7, driver en blogg där han skriver om hur arbetet med det nya operativsystemet fortskrider. I sitt senaste inlägg berättar han ingående om hur utvecklarna arbetar.

Bland annat så avslöjas det att 1000 personer är involverade i projektet och att dessa är indelade i 25 olika grupper. Varje grupp har en given uppgift, och några exempel på uppgifter som de arbetar med är filsystem, Internet Explorer, säkerhet, nätverk och skrivbordsgrafik.

Det finns även ett antal medlemmar i utvecklingsgruppen som arbetar med hela produkten, och de har ansvar för produktplanering, forskning och användbarhet, produktdesign och innehållsutveckling.

Ett antal säkerhetsproblem har rapporterats i Opera, som kan utnyttjas av illasinnade personer för att utföra kapningar och "cross-site scripting" attacker, kringgå vissa säkerhetsrestriktioner, avslöja potentiellt känslig information, eller kan äventyra en användares dator.

1) Ett ospecificerat fel föreligger när Opera körs som en protokollhanteraren. Detta kan utnyttjas för att orsaka en krasch och potentiellt exekvera godtycklig kod.
OBS! Denna säkerhetsbrist påverkar bara Opera för Windows.

2) Problemet är att en webbsida kan ändra adressen ramar från andra webbplatser öppnas i ett popup-fönster. Detta kan utnyttjas för att ladda skadliga innehållet i en ram av en betrodd webbplats.

3) Ett ospecificerat fel kan utnyttjas för att utföra "cross-site scripting" attacker. Ingen ytterligare information är tillgänglig.

4) Ett fel finns i bearbetningen av anpassade genvägar och meny kommandon. Detta kan utnyttjas för att exekvera applikationer med potentiellt farliga parametrar, skapad av icke initierats minne.

En lyckad exploatering kan möjliggöra genomförandet av godtycklig kod, men det krävs att en användare luras att ändra genvägar eller menyn filer.

5) Ett fel finns rapporteringen av säkra webbplatser. Detta kan utnyttjas för att bestämma rapportering av en osäker webbplats som säkra genom att inkludera en ram med innehåll från en säker webbplats.

6) Ett fel föreligger när en webbsida kontrollerar om den länkar till en lokal fil. Detta kan utnyttjas för att länka till lokala feed källor och kan avgöra om en fil är närvarande i det lokala systemet.

7) Ett fel finns vid behandling av förfrågningar av nyhets prenumeration. Detta kan utnyttjas för att förändra adressfältet till adressen för den skadliga webbsida och vilseleda en användare.

Lösning:
Uppdatera till den senaste versionen.

En 19-årig holländare och hans lillebror arresterades nyligen av Holländsk polis via samarbete med amerikanska FBI. De två misstänkta har legat bakom botnätet Shadow, och fångades när de försökte sälja nätet till en 35-årig brasilianare.

Botnät är i sig en relativt modern företeelse och bygger på ett samverkande nätverk av infekterade datorer som samordnas för angrepp mot siter och andra resurser på internet.

Även om detta botnät var uppemot 150 000 datorer stort vid ett tillfälle, var det mest utmärkande att det använde sig av social ingenjörskonst för sin spridning.

Via Windows Live Messenger skickade nätet ut meddelanden som uppmanade användare att klicka på en länk och köra igång ett program. Avsändaren var ofta maskerad till att se ut som någon offret redan hade på sin Messenger-kontaktlista. De som klickade på länken dirigerades till en webbsida och uppmanades där att ladda ned ett program för installation. Förvånansvärt nog följde många uppmaningen och gav nätet den tillväxt förövarna hoppats på.

Shadow prissattes till 25 000 euro av de två tonåringarna när de försökte genomföra försäljningen. I kronor räknat motsvarar det 237 000 kronor och är enligt polisen orimligt högt för ett nät av den storleken.

Virusforskaren Roel Schouwenberg kommenterar samtidigt det hela med att inte mycket verkar ha hänt när det gäller säkerhetstänkande. Internetanvändare idag verkar vara precis lika lättlurade som de var för 10 år sedan.

Källa: Networkworld

Igår släppte Microsoft totalt 11 nya säkerhetsuppdateringar för Windows och Microsoft Office. Av dessa är 6 uppdateringar klassade som kritiska och 5 är klassade som viktiga.

Fokuseringen av de åtgärdade säkerhetsbristerna ligger till största del i programvaran för i Microsoft Windows, Outlook Express, Windows Mail, Windows Messenger och Microsoft Office.

Om du inte har Windows Vista så kan du ladda hem uppdateringarna via Microsoft Update.

Mer specifikt finns att läsa om uppdateringarna på: Microsoft Security Bulletin

Programmet NSlookup.exe för Microsoft Windows innehåller en säkerhetsbrist, som kan tillåta exekvering av skadlig kod på ett sårbart system. Inga detaljer om sårbarheten har publicerats än, men ett "Proof of Concept" har publicerats av Ivan Sanchez. Det finns rapporter på att säkerhetshålet redan utnyttjas men ännu finns det ingen programmrättning hos Microsoft.

Påverkade versioner:
* Windows XP Professional SP2 är sårbar
* Följande Windows versioner kan vara sårbara:
* Microsoft Windows 2000 Professional SP3
* Microsoft Windows 2000 Professional SP2
* Microsoft Windows 2000 Professional SP1
* Microsoft Windows 2000 Professional
* Microsoft Windows 98
* Microsoft Windows 98SE
* Microsoft Windows ME
* Microsoft Windows NT Workstation 4.0 SP6a
* Microsoft Windows NT Workstation 4.0 SP6
* Microsoft Windows NT Workstation 4.0 SP5
* Microsoft Windows NT Workstation 4.0 SP4
* Microsoft Windows NT Workstation 4.0 SP3
* Microsoft Windows NT Workstation 4.0 SP2
* Microsoft Windows NT Workstation 4.0 SP1
* Microsoft Windows NT Workstation 4.0
* Microsoft Windows XP Home SP1
* Microsoft Windows XP Home
* Microsoft Windows XP Professional SP1
* Microsoft Windows XP Professional

För att bättra på Vistas rykte samlade Microsoft ihop en grupp Vista-skeptiker och lät dem på video berätta om sina erfarenheter med Vista och vad de ogillade med operativsystemet. Därefter visade Microsoft upp ett "nytt" operativsystem med kodnamnet Mojave för kritikerna. Mer än 90% av dessa var positiva till det nya operativsystemet, som i själva verket visade sig vara Windows Vista.

Det framgår inte om det endast handlat om ett annorlunda användargränssnitt eller om man demonstrerat operativsystemets funktionalitet.

Vista har funnits ute i mer än ett och ett halvt år och har smutskastats ända från start. En viss skepsis brukar alltid infinna sig för nya system, och Windows XP var inget undantag. Men tveksamheten för Vista verkar hålla i sig, vilket medfört att Microsoft nu har bestämt sig för att skjuta på vagnen en aning.

Därför satsar man omkring 300 miljoner dollar på en reklamkampanj som ska rulla på under hösten, och att döma av den här nya fokus gruppens reaktioner så kanske Microsoft hittat rätt angreppssätt. Att låta vanliga användare säga sitt är ett effektivt sätt att få ut ett budskap.

Alla användare som kör Zonealarm, drabbades av att de inte kunde komma ut på nätet efter att Microsoft släppt sina säkerhetsuppdateringar i tisdags. Checkpoint har nu släppt en uppdaterad version av sina program som ska göra det möjligt att nå nätet, även efter att du har kört Microsofts senaste uppdatering.

En ny dag, ett nytt gapande hål som påverkar en fullt uppdaterd version av Microsofts Internet Explorer.

Enligt en varning från US-CERT, proof-of-concept utnyttja kod har publicerats för en ny zero-day bugg som kan användas för en mängd angrepp mot Windows-användare som kör IE 6, IE 7, och IE 8 beta 1.

Koden visar hur sårbarheten kan utnyttjas för att kapa en iframe på en legitim plats och fånga upp en persons tangentbords tryckningar. Detta beror på att Internet Explorer inte korrekt begränsar tillgången till en handlings ramar, vilket möjliggör för en angripare att modifiera innehållet i ramar i en annan domän.

Bilden är ett proof-of-concept skapad av forskaren Aviv Raff, som visar Googles startsida i en ram kapad från Microsofts Windows Update. Konsekvensen av säkerhetsbristen är ganska skrämmande...