Yesterday, a number of Twitter users were duped into following fake Twitter accounts known as @VerifiedReport and @MagicReports. Both accounts claimed to be part of a Twitter experiment between users, news organizations, and journalists, and foll…
The value of Bitcoin has surged dramatically in recent weeks, fuelling fears that a bubble is forming around the virtual currency. As investors pile in, a crash in Bitcoin prices isn’t the only thing they have to worry about. There has been a spate of incidents in recent weeks in which Bitcoin wallet and banking services have been attacked and millions of dollars worth of the currency stolen.
Figure 1. Size of recent Bitcoin heists (US$ value on November 29)
The current round of attacks began on November 7, when Australian Bitcoin wallet service Inputs.io announced that it had closed its doors after two attacks resulted in around 4,100 Bitcoins (US $4.34 million at the time of writing) being stolen. Inputs.io said the attackers were able to bypass two-factor authentication due to a flaw on the server host side. The attacks left the site unable to pay all of its user balances.
Why did people keep their Bitcoins with Inputs.io? One of the services it offered was that it “mixed wallets up”, swapping Bitcoins around between users. It effectively was a type of anonymizing service, making Bitcoin transactions harder to track. However, giving Inputs.io that level of access to Bitcoin wallets may have left it more vulnerable to attack.
Inputs.io was run by a young Australian who goes by the moniker of TradeFortress. Following the theft, he gave an interview to Australia’s ABC news, denying that he taken the Bitcoins himself. Interestingly, he said that he wasn’t going to report the incident to the police. “The police don’t have access to any more information than any user does when it comes to Bitcoin. Some say it gives them control of their money,” he said.
Within days, there was another incident, this time in China. GBL, a Bitcoin exchange, suddenly closed its doors on November 11. Approximately US $12.7 million in investors’ money disappeared along with the site. A closer look at GBL revealed that it wasn’t all it claimed to be. It asserted it was licensed by the Hong Kong government, but it transpired that it was simply registered as a business there and had no license to operate as a financial services company.
This incident was quickly followed by news of an attack on Czech exchange, Bitcash.cz. Roughly 4,000 people were affected by the breach, which saw the equivalent of $514,000 taken by attackers. Obviously this haul wasn’t enough as the attackers then used Bitcash.cz email addresses to send emails to site users, claiming that they were using a U.S. recovery firm to retrieve the stolen money and asking for 2 Bitcoins from each user to cover the costs.
The most recent incident involved BIPS, a Danish Bitcoin payment processor and wallet provider, which this week confirmed it was the target of a coordinated attack that resulted in a breach of its systems. The company said that several consumer wallets had been compromised. It is estimated that around 1,295 Bitcoins (worth approximately US $1.37 million) were taken in the attack, but most of the Bitcoins stolen belonged to the company itself rather than customers. Following the attacks, BIPS has said that it will close its consumer wallet services to focus on merchant processing.
While Bitcoin is commonly talked about as being secure, that, in essence, refers to the fact that it cannot be counterfeited, at least not yet. However, it doesn’t mean that it can’t be stolen, as these recent thefts have illustrated.
What can Bitcoin owners do to prevent theft? Given the kind of attacks we have witnessed, proper due diligence on where you are storing Bitcoins should be a priority. For example, GBL claimed that it was licensed in Hong Kong, but it wasn’t. Similarly, while Inputs.io’s service of mixing wallets up might have appealed to the privacy conscious, the level of access it had to user funds was a possible security risk.
After Inputs.io was attacked, its owner TradeFortress said: “I don’t recommend storing any Bitcoins accessible on computers connected to the internet”. The attack on BIPS also prompted its chief executive Kris Henriksen to change his opinion on the security of online wallets. He went as far as to advise his customers to avoid online wallets altogether.
While a lot of people think that the only way to store Bitcoins is in online, virtual wallets, it is also possible to store them offline. This involves creating a wallet that is stored on an offline device, such as a USB key and then sending your Bitcoins to this wallet address. The best practice procedure for creating an offline wallet is somewhat lengthy, but it is, in theory at least, safer than online storage. Technically, the Bitcoins themselves remain online. What is being taken offline is the means of accessing them, the private key.
It is also possible go one step further in offline storage, by taking electronic devices out of the equation entirely and creating a paper wallet. However, a paper based wallet bears the same risk as cash. It needs to be stored somewhere securely.
Online service providers have also begun to beef up their own security. Mt.Gox, ones of the world’s biggest Bitcoin exchanges, has implemented an additional layer of security by introducing a One Time Password (OTP) card, which will be shipping to all of its users immediately. The company said that the card can be used on its own or in conjunction with other two factor authentication methods, such as a Yubikey, a USB key the user must insert to verify their identity.
Once the user has input the card into their preferences on Mt.Gox, they can configure their account to require an additional password on login. Pushing a button on the card will generate a unique password for every login.
The upsurge in Bitcoin theft is more than likely linked to the fact that the value of the currency has shot through the roof in recent weeks. At the time of writing, one Bitcoin was valued at approximately $1,060. Its value has grown by more than 45 times this year and much of the gains have come in recent weeks. One month ago, it was trading at around $190.
The result of this boom is that what were once relatively minor holdings of Bitcoin can now be quite valuable. Nothing illustrates this better than the story of the IT professional who realized he had thrown out a laptop with a wallet containing 7,500 Bitcoin. He had mined the Bitcoins himself in 2009 and at the time they were only worth a few dollars.
Figure 2. Bitcoin/US$ exchange rate for the past six months (Credit: bitcoincharts.com)
Since then, their value has increased dramatically, with occasional dips along the way. When Silk Road, the underground drugs bazaar was shut down by the FBI in early October, it led to some speculation that the value of Bitcoin would plummet, since the currency is widely used in the underground. While there was a sell-off in the immediate aftermath of the bust, Bitcoin recovered within days and then began to climb quickly.
Part of the surge may be attributable to the fact that regulators are beginning to take the currency more seriously. For example, the U.S. Senate’s Homeland Security and Governmental Affairs Committee last week held a hearing on virtual currencies, at which the Department of Justice’s representative described Bitcoin as a “legal means of exchange”. Committee chairman Tom Carper meanwhile said Congress and government needed to develop “smart, sensible, and effective policies” around the currency.
However, Bitcoin’s steep appreciation has led to widespread fears that a bubble is forming. One look at the graph charting its dollar exchange rate is enough to prompt questions. While the number of businesses accepting Bitcoin as a form of payment has undoubtedly grown, it has not been at the same rate as its appreciation. Instead, speculation appears to be driving much of the current boom and, as history has shown; such buying frenzies can often end in tears.
Word Salad, a workaround method invented by spammers to counter Bayesian spam filtering, is an old trick in the spammer’s manual, but cutting edge anti-spam filtering technology has made this ploy blunt.
As a form of Bayesian poisoning, Word Salad is an incongruous string of words. It uses words that are very legitimate and can be seen in any form of legit prose. From the perspective of Bayesian filtering, there is a large volume of legit data in emails which employs Word Salad. The word salad are often seen in the form of HTML, where nonsensical tags are used to break URLs up so analysers will have a hard time tracking down the spammy URL. The latest trend in word salad is to add the most current keywords, like the hottest news or an upcoming event.
The demise of Paul Walker, the ‘Fast and Furious’ franchise star, in a fiery car accident on Saturday, is the latest example exploited by spammers. Within hours of this breaking news, Symantec observed snowshoe spam or hit-and-run attacks, using “PAUL WALKER” in Word Salad. This topic is a highly searched topic at the moment, as his fans anxiously wait for his autopsy report. Earlier on, there was also fake news circulating claiming that Paul Walker has survived the crash.
Figure 1: An email body with the keyword “PAUL WALKER” using word salad.
The spam in discussion had no relevant ties to any news on Paul Walker, except for the Word Salad. The preview is that of a TV/Phone/Internet promo spam which has the headers below:
Subject: Cheap Cable-TV, Internet & Phone – Free Equipment, Premium Channels & Install
From: ~CABLETVSpecialS* <[name]@[domain].com>
Figure 2. A preview of the spam
As we remember Paul Walker, we should also be reminded this is another example of how spammers don’t hesitate to manipulate various incidents in their bid to promote spam.
RIP Paul Walker.
11 月 27 日、Microsoft 社は Windows XP と Windows Server 2003 のカーネルコンポーネントにゼロデイ脆弱性が最近発見されたとして、セキュリティアドバイザリを公開しました。アドバイザリによると、Microsoft Windows カーネル ‘NDProxy.sys’ に存在するローカル特権昇格の脆弱性（CVE-2013-5065）により、攻撃者がカーネルレベルの特権を使って任意のコードを実行できる恐れがあります。攻撃者が脆弱性の悪用に成功すると、影響を受けるコンピュータは完全に危殆化してしまいます。
シマンテックは、この脆弱性を悪用しようとする攻撃を認識しており、11 月始めから攻撃が活発になっていることを確認しています。この攻撃では主に、syria15.10.pdf や Note_№107-41D.pdf といった名前の悪質な PDF ファイルが電子メールに添付されて送られてきます。また、攻撃者が用意した Web サイトから、標的のユーザーが騙されて悪質なファイルをダウンロードしてしまう場合もあります。
この脆弱性の悪用に成功すると、侵入先のコンピュータに別の悪質なファイルが投下されます。この悪質なファイルは 10 月中旬以降確認されており、シマンテックでは Trojan.Wipbot として検出します。このトロイの木馬は、システム情報を収集し、コマンド & コントロール（C&C）サーバーに接続します。シマンテックの遠隔測定によると、現在、インド、オーストラリア、米国、チリ、ハンガリー、ドイツ、ノルウェイ、サウジアラビアなど、さまざまな国や地域で、悪質な PDF が少数ながらも検出されていることが報告されています。
図. この脆弱性を悪用する攻撃の分布図
シマンテック製品では、この攻撃を Trojan.Pidief または Suspicious.Cloud.7.F として検出する場合もあります。また、悪用コードを検出してダウンロードを遮断するために、以下のウイルス対策定義と侵入防止システム（IPS）のシグネチャも追加されています。
この Windows の脆弱性に対処するパッチはまだリリースされていませんが、Microsoft 社はセキュリティアドバイザリにおいて回避策を公開しています。
いつものように、最新のソフトウェアパッチを適用してコンピュータを最新の状態に保つことをお勧めします。また、このような攻撃から保護するために、シマンテックの最新技術をお使いいただき、シマンテックのコンシューマ向けまたはエンタープライズ向けの最新ソリューションを導入してください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
11 月 27 日、Microsoft 社は Windows XP と Windows Server 2003 のカーネルコンポーネントにゼロデイ脆弱性が最近発見されたとして、セキュリティアドバイザリを公開しました。アドバイザリによると、Microsoft Windows カーネル ‘NDProxy.sys’ に存在するローカル特権昇格の脆弱性（CVE-2013-5065）により、攻撃者がカーネルレベルの特権を使って任意のコードを実行できる恐れがあります。攻撃者が脆弱性の悪用に成功すると、影響を受けるコンピュータは完全に危殆化してしまいます。
シマンテックは、この脆弱性を悪用しようとする攻撃を認識しており、11 月始めから攻撃が活発になっていることを確認しています。この攻撃では主に、syria15.10.pdf や Note_№107-41D.pdf といった名前の悪質な PDF ファイルが電子メールに添付されて送られてきます。また、攻撃者が用意した Web サイトから、標的のユーザーが騙されて悪質なファイルをダウンロードしてしまう場合もあります。
この脆弱性の悪用に成功すると、侵入先のコンピュータに別の悪質なファイルが投下されます。この悪質なファイルは 10 月中旬以降確認されており、シマンテックでは Trojan.Wipbot として検出します。このトロイの木馬は、システム情報を収集し、コマンド & コントロール（C&C）サーバーに接続します。シマンテックの遠隔測定によると、現在、インド、オーストラリア、米国、チリ、ハンガリー、ドイツ、ノルウェイ、サウジアラビアなど、さまざまな国や地域で、悪質な PDF が少数ながらも検出されていることが報告されています。
図. この脆弱性を悪用する攻撃の分布図
シマンテック製品では、この攻撃を Trojan.Pidief または Suspicious.Cloud.7.F として検出する場合もあります。また、悪用コードを検出してダウンロードを遮断するために、以下のウイルス対策定義と侵入防止システム（IPS）のシグネチャも追加されています。
この Windows の脆弱性に対処するパッチはまだリリースされていませんが、Microsoft 社はセキュリティアドバイザリにおいて回避策を公開しています。
いつものように、最新のソフトウェアパッチを適用してコンピュータを最新の状態に保つことをお勧めします。また、このような攻撃から保護するために、シマンテックの最新技術をお使いいただき、シマンテックのコンシューマ向けまたはエンタープライズ向けの最新ソリューションを導入してください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
11 月 27 日、Microsoft 社は Windows XP と Windows Server 2003 のカーネルコンポーネントにゼロデイ脆弱性が最近発見されたとして、セキュリティアドバイザリを公開しました。アドバイザリによると、Microsoft Windows カーネル ‘NDProxy.sys’ に存在するローカル特権昇格の脆弱性（CVE-2013-5065）により、攻撃者がカーネルレベルの特権を使って任意のコードを実行できる恐れがあります。攻撃者が脆弱性の悪用に成功すると、影響を受けるコンピュータは完全に危殆化してしまいます。
シマンテックは、この脆弱性を悪用しようとする攻撃を認識しており、11 月始めから攻撃が活発になっていることを確認しています。この攻撃では主に、syria15.10.pdf や Note_№107-41D.pdf といった名前の悪質な PDF ファイルが電子メールに添付されて送られてきます。また、攻撃者が用意した Web サイトから、標的のユーザーが騙されて悪質なファイルをダウンロードしてしまう場合もあります。
この脆弱性の悪用に成功すると、侵入先のコンピュータに別の悪質なファイルが投下されます。この悪質なファイルは 10 月中旬以降確認されており、シマンテックでは Trojan.Wipbot として検出します。このトロイの木馬は、システム情報を収集し、コマンド & コントロール（C&C）サーバーに接続します。シマンテックの遠隔測定によると、現在、インド、オーストラリア、米国、チリ、ハンガリー、ドイツ、ノルウェイ、サウジアラビアなど、さまざまな国や地域で、悪質な PDF が少数ながらも検出されていることが報告されています。
図. この脆弱性を悪用する攻撃の分布図
シマンテック製品では、この攻撃を Trojan.Pidief または Suspicious.Cloud.7.F として検出する場合もあります。また、悪用コードを検出してダウンロードを遮断するために、以下のウイルス対策定義と侵入防止システム（IPS）のシグネチャも追加されています。
この Windows の脆弱性に対処するパッチはまだリリースされていませんが、Microsoft 社はセキュリティアドバイザリにおいて回避策を公開しています。
いつものように、最新のソフトウェアパッチを適用してコンピュータを最新の状態に保つことをお勧めします。また、このような攻撃から保護するために、シマンテックの最新技術をお使いいただき、シマンテックのコンシューマ向けまたはエンタープライズ向けの最新ソリューションを導入してください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
The Christmas season is a time to loosen up a few strings. The ‘how’ is obvious, and the ‘where’ is situated in your pocket.
Now that’s no joke. You draw your plans and fix your expenditure. After all, you know the frontiers of your funds. But, the one who values it the most after you is the one who pries on you! It’s amazing to see how easily they do it. All it takes is a little bit of greed, a little bit of fear and a little bit of urgency and you lose your resolutions. It’s only moments after you have allowed yourself to be cheated that you feel the remorse. After all, you have struggled for months to build your bank account balance to spend for Christmas only to have it burgled in an instance. If this detour does not bring you goosebumps, a little analysis on one such phishing sample should do the needful.
The header of the phishing email reads:
Subject: [Brand name] is giving you a chance to shop for free!
From: “[Brand name] Card” [name]@[domain].com
Figure 1. A spam email about a Christmas Phishing attack
The mail seems to come from a reputed financial institution, allegedly doling out ‘free shopping vouchers’ for Christmas. The mail also adds a hyperlink, stating ‘Kindly Click here now’ for users to qualify for a shopping voucher, and informing them the offer is valid till 31st December, 2013.
The most interesting part is that the voucher will be sent to users after they validate the voucher. It means, users must click first to be eligible! Now, that would not require second thoughts but be wary before you do it. There are many fraudulent tricks doing the rounds this Christmas.
Be aware when dealing with every financial transaction, check for discrepancies, and be absolutely certain before you click any link mailed to you. Verify that the hyperlink embedded in the email truly belongs to the financial institution to make sure you are not being taken for a ride. Don’t forget to regularly change your password and keep them secret, strong and unpredictable.
Such offers seem enticing but can wield a scattering blow to your tote and no amount of lamenting thereafter will bring back your possession. While we make every effort to protect you from online illegal activities and phishing attacks, we encourage you to follow best security practices to avoid fraudulent misdemeanors.
Symantec wishes you a safe and merry Christmas.
On November 27, Microsoft issued a security advisory regarding the recent discovery of a zero-day vulnerability in a kernel component of Windows XP and Windows Server 2003. The advisory states that the Microsoft Windows Kernel ‘NDProxy.sys’ Local Privilege Escalation Vulnerability (CVE-2013-5065) can allow an attacker to execute arbitrary code with kernel-level privileges. Successful exploits will result in the complete compromise of affected computers.
Symantec is aware of the attacks attempting to exploit the vulnerability and confirms the attacks have been active since the beginning of November. The attack arrives as a malicious PDF file with file names such as syria15.10.pdf or Note_№107-41D.pdf, likely by an email attachment, although there is a possibility that targeted users are being enticed to download the malicious file from a website prepared by the attacker.
Upon successful exploitation of the vulnerability, another malicious file, observed since mid-October, is dropped onto the compromised computer which Symantec detects as Trojan.Wipbot. This Trojan collects system information and connects to a command-and-control (C&C) server. Symantec telemetry is currently reporting a small number of detections for malicious PDFs in various countries including India, Australia, United States, Chile, Hungary, Germany, Norway, and Saudi Arabia.
Figure. Distribution of attacks exploiting the vulnerability
Symantec may also detect this attack as Trojan.Pidief and Suspicious.Cloud.7.F. The following antivirus detection and Intrusion Prevention System (IPS) signature has also been added to detect the exploit code and block any downloads:
No patch is available for the Windows vulnerability, however, Microsoft has provided a workaround in its security advisory.
As always, we recommend computers be kept up to date with the latest software patches and to use the latest Symantec technologies and incorporate the latest Symantec consumer and enterprise solutions to best protect against attacks of this kind.
スイスで、ある裁判官が、ソーシャルネットワークに投稿したコメントについて罰金の支払いを若者に命じる判決がありました。報道によると、この若者はソーシャルネットワーク上の 290 人の友人から自分の誕生日に届いたお祝いのコメントが足りないと感じたと言います。若者が投稿したコメントは、ざっと翻訳するとこんな内容でした。「誰も僕の誕生日を祝ってくれないんだな（中略）みんな、ぶっ殺してやる。今さら後悔しても、もう手遅れだよ。バーン、バーン、バーン」若者は後から、このコメントはただの嫌みのつもりで殺人の意図はなかったと釈明しましたが、裁判官はこのコメントにユーモアを認めず罰金の支払いを命じました。
これは、最近頻繁に起きている偽の脅迫的な投稿のほんの一例にすぎません。なかには、「Facebook で脅迫的な内容」を投稿したとしてテキサス州の 10 代の若者が禁固 5 カ月の判決を受けたように、もっと重い処罰を受けた例もあります。脅迫と受け取られかねないコメントは、たちまち地元当局の目にとまって手痛い結果をもたらす可能性があります。
ウインクの顔文字を付けたところで、冗談だという意図を示すには足りないということを忘れないでください。司法当局は脅迫を冗談とは見なさず、顔文字は通用しません。写真でもコメントでも、ソーシャルネットワークに投稿する前には十分に考慮することが肝心です。
ソーシャルネットワーク上のコンテンツは、またたく間に広まります。たとえば今年の初めにも、人気のスマートフォンアプリに関するデマメールが飛び交いました。デマにはいくつものパターンがありましたが、あるメッセージはコンピュータで生成された音声で「Send this message in the next 20 minutes to 20 friends or you will be dead by tomorrow.（20 分以内に 20 人の友人にこのメッセージを転送せよ。さもないと明日までの命だ）」と告げるものでした。通常であれば、これほど露骨であれば、受信したユーザーは誰も相手にせずメッセージを削除して終わるはずでした。ところが、このとき使われたのは 10 代に非常に人気のあるインスタントメッセージサービスだったため、多くの学生が怖がり、心配して次々とメッセージを転送したのです。ドイツではこのデマが山火事のように広まり、あまりに多くの未成年者の間に広がったため、このデマメールについて警察が警告を始めたほどです。
どのような内容でも、オンラインに投稿する場合にはその影響を考えることが重要です。きわどい冗談は本物の脅迫と受け取られかねないと心得るべきでしょう。投稿内容について自信がない場合には、常に控え目にしておく（あるいは可愛いネコの写真を投稿する）ほうが無難です。もちろん、自信がないのなら、そもそも投稿しないに越したことはありません。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。