HACKER MEDICINE – Page 380 – …a valuable resource for securing websites, PCs and mobile devices

Microsoft Patch Tuesday – January 2014

Hacker Medic January 14, 2014 No Comments

Hello, welcome to this month’s blog on the Microsoft patch release. This month the vendor is releasing four bulletins covering a total of six vulnerabilities. All six of this month’s issues are rated ’Important’.

As always, customers are advised to follow these security best practices:

Install vendor patches as soon as they are available.
Run all software with the least privileges required while still maintaining functionality.
Avoid handling files from unknown or questionable sources.
Never visit sites of unknown or questionable integrity.
Block external access at the network perimeter to all key systems unless specific access is required.

Microsoft’s summary of the January releases can be found here:
http://technet.microsoft.com/en-us/security/bulletin/ms13-Jan

The following is a breakdown of the issues being addressed this month:

MS14-001 Vulnerabilities in Microsoft Word and Office Web Apps Could Allow Remote Code Execution (2916605)

Memory Corruption Vulnerability in Microsoft Word (CVE-2014-0258) MS Rating: Important

A remote code execution vulnerability exists in the way that affected Microsoft Office software parses specially crafted files. An attacker who successfully exploited this vulnerability could take complete control of an affected system. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.

Memory Corruption Vulnerability in Microsoft Word (CVE-2014-0259) MS Rating: Important

A remote code execution vulnerability exists in the way that affected Microsoft Office software parses specially crafted files. An attacker who successfully exploited this vulnerability could take complete control of an affected system. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.

Memory Corruption Vulnerability in Microsoft Word (CVE-2014-0260) MS Rating: Important

A remote code execution vulnerability exists in the way that affected Microsoft Office software parses specially crafted files. An attacker who successfully exploited this vulnerability could take complete control of an affected system. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.
MS14-002 Vulnerability in Windows Kernel Could Allow Elevation of Privilege (2914368)

Kernel NDProxy Vulnerability (CVE-2013-5065) MS Rating: Important

An elevation of privilege vulnerability exists in the NDProxy component of the Windows kernel due to the improper validation of input passed from user mode to the kernel. The vulnerability could allow an attacker to run code in kernel mode. An attacker who successfully exploited this vulnerability could run a specially crafted application and take complete control of an affected system. The attacker could then install programs, view, change, or delete data, or create new accounts with full administrator rights.
MS14-003 Vulnerability in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2913602)

Win32k Window Handle Vulnerability (CVE-2014-0262) MS Rating: Important

An elevation of privilege vulnerability exists when the Windows kernel-mode driver improperly uses window handle thread-owned objects in memory. An attacker who successfully exploited this vulnerability could execute arbitrary code with elevated privileges.
MS14-004 Vulnerability in Microsoft Dynamics AX Could Allow Denial of Service (2880826)

Query Filter DoS Vulnerability (CVE-2014-0261) MS Rating: Important

A denial of service vulnerability exists in Microsoft Dynamics AX that could allow an attacker to cause a Dynamics AX server to become unresponsive.

More information on the vulnerabilities being addressed this month is available at Symantec’s free SecurityFocus portal and to our customers through the DeepSight Threat Management System.

Meet Paulius Yla AVAST Evangelist

Avast Blog January 14, 2014 No Comments

Lithuania is a small European Union country, located in Northeastern Europe. Nearly 10% of 3,000,000 Lithuanians are protected by avast! Antivirus. Among them is one special person: Paulius Yla, an AVAST Evangelist. “Evangelist” is the term we use for those people who willingly volunteer their personal time and expertise to help others benefit from avast! […]

????????????

Hacker Medic January 14, 2014 No Comments

エネルギーは、現代の生活になくてはならないものです。憂慮すべきことに、エネルギーを供給する企業や産業に対する攻撃未遂の報告は毎年増加しています。2013 年の上半期には、全世界で標的となった業界のうちエネルギー業界が上位 5 位を占め、サイバー攻撃全体の 7.6% に当たりました。したがって、2013 年 5 月に米国国土安全保障省が、エネルギー企業における工程の妨害を目的とした攻撃が増加傾向にあると警告したのも当然です。シマンテックの調査でも、産業施設の妨害が可能な Stuxnet や Disttrack/Shamoon などによって発生しうるシナリオについて、旧来のエネルギー企業は特に懸念しているという結果が出ています。

またシマンテックは、エネルギー業界を狙う攻撃者が、風力発電や太陽光発電などの新技術、あるいはガス田探査地図といった知的財産も盗み出そうとしていることも突きとめています。データ窃盗事案は、企業にとってすぐさま壊滅的な緊急事態になるとは限りませんが、長期的な戦略上の脅威となる恐れがあります。盗み出された情報は、今後さらに破壊的な活動を行うために利用されかねません。

攻撃の動機も発生源も多種多様です。競合他社が、不正に有利な立場に立とうとしてエネルギー企業に対する攻撃を仕掛ける可能性もあれば、Hidden Lynx グループのような「雇われハッカー」グループが、この手の活動に血道を上げている場合もあります。国家の支援を受けたハッカーが重要なインフラを停止させようとしてエネルギー企業を狙うこともある一方、ハックティビストグループが自らの政治的目標を達成するために企業を狙う場合もあります。シマンテックの調査では、こうした脅威は世界中の至るところで発生しており、ときには企業内に端を発しているケースもあることが判明しています。システムに精通したインサイダーであれば、恐喝、収賄、報復のために攻撃を実行することもできます。そして、設定の不備やシステム上の欠陥のような偶発事故が起きるだけでもシステムは停止に追いやられます。たとえば 2013 年5 月には、オーストリアの電力網が設定上の問題のためにブラックアウト寸前の事態になりました。

シマンテックが調査したとおり、現在のエネルギーシステムは複雑化の一途をたどっています。従来のセキュリティウォールの外部には、SCADA（Supervisory Control And Data Acquisition）や、産業用制御システム（ICS）が控えています。その一方で、スマートグリッド技術は勢いが衰えず、新しいエネルギーシステムがますますモノのインターネットにつながるようになれば、接続される無数のデバイスに関連して新たなセキュリティ上の脆弱性も生まれてくるでしょう。しかも、多くの国や地域でエネルギー市場が開放され、自家用の水力発電、風力発電、太陽光発電など、電力グリッドには小さな企業が増えつつあります。こうした小規模な施設は電力網のごく一部にすぎませんが、分散型の電力供給は、限られた IT リソースで管理すべきひとつの課題と言えます。グリッドの広域にわたってドミノ倒しのような影響を及ぼしかねないため、わずかな停止も発生しないよう慎重に監視を行う必要があります。

IT と産業向けセキュリティを組み合わせて産業情報を保護する協力的なアプローチが必要であることは明白です。そうした取り組みに関与するために、シマンテックは過去 12 カ月間にエネルギー業界を狙って発生した攻撃について詳しい調査を実施しました。この調査では、エネルギー業界を狙う攻撃についての事実やデータが示され、攻撃の手法、動機、経緯なども明らかにされています。

ホワイトペーパー（英語）はこちらからダウンロードいただけます。

以下の解説画像では、エネルギー業界の企業を標的とする攻撃について重要なポイントをまとめています。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Popular Japanese Publisher’s Website led to Gongda Exploit Kit

Hacker Medic January 14, 2014 No Comments

We recently encountered a website of a major Japanese book publisher and distributor, of books, magazines, comics, movies, and games, injected with a malicious iframe leading to another website hosting an exploit kit.

As far as we know, at least three files on the book publisher’s site were compromised.

Figure 1. Malicious iframe found on publisher’s site

The malicious iframe was present across multiple pages including the homepage. Our telemetry shows the first potential victim visited the site at approximately 22:00 PST on January 5, 2014 (15:00 JST on January 6, 2014). The security issue was not fixed until late on January 8, PST (in the evening of January 9, 2014 JST).

The malicious iframe loads another website, hosting an exploit kit, as soon as a user visits the book publisher’s site. The exploit kit has been identified as Gongda exploit kit, which in this particular attack served exploits for the following five vulnerabilities:

•   Oracle Java SE Remote Java Runtime Environment Code Execution Vulnerability (CVE-2012-0507)
•   Microsoft XML Core Services Remote Code Execution Vulnerability (CVE-2012-1889)
•   Oracle Java Runtime Environment Multiple Remote Code Execution Vulnerabilities (CVE-2013-0422)
•   Adobe Flash Player Remote Memory Corruption Vulnerability (CVE-2013-0634)
•   Oracle Java SE Memory Corruption Vulnerability (CVE-2013-2465)

Figure 2. Attack scenario

Upon successful exploitation of the vulnerabilities, Infostealer.Torpplar is downloaded. This malware is tailored to target Japanese users for information stealing purposes. The malware monitors open windows for a list of Japanese websites that include the following:
•   2 online banking sites
•   3 online shopping sites
•   3 Web mail sites
•   3 gaming/video websites
•   14 credit card sites

It is interesting that the malware targets only two online banking sites, one of which is merely a regional bank. Most banks are aware that they are a target of sophisticated malware such as Trojan.Zbot and have implemented additional layers of protection and verification for their online customers. We believe the attacker knows this and intentionally targeted other financially viable sites that have only basic security measures in place.

The stolen information is sent to a predefined website in plain text, which can be easily read if intercepted.

We have the following IPS signatures in place to block exploit attempts dished out by the Gongda exploit kit used in the attack:

• Web Attack: Gongda Exploit Kit Website
• Web Attack: Gongda Exploit Kit Website 2

In addition to the Infostealer.Torpplar detection, the following AV detections are available for the files associated with this attack:

•   Trojan.Webkit!html
•   Trojan.Malscript
•   Trojan.Maljava
•   Trojan.Swifi

To stay protected, Symantec recommends users to apply the latest patches and keep AV and IPS definitions up-to-date.

2914486 – Vulnerability in Microsoft Windows Kernel Could Allow Elevation of Privilege – Version: 2.0

Hacker Medic January 14, 2014 No Comments

Revision Note: V2.0 (January 14, 2014): Advisory updated to reflect publication of security bulletin.Summary: Microsoft has completed the investigation into reports of this vulnerability. We have issued MS14-002 to address the Kernel NDProxy Vulnerabil…

Vulnerability in Microsoft Windows Kernel Could Allow Elevation of Privilege – Version: 2.0

Hacker Medic January 14, 2014 No Comments

Severity Rating: Revision Note: V2.0 (January 14, 2014): Advisory updated to reflect publication of security bulletin.Summary: Microsoft has completed the investigation into reports of this vulnerability. We have issued MS14-002 to address the Kernel N…

Microsoft Security Advisory (2914486): Vulnerability in Microsoft Windows Kernel Could Allow Elevation of Privilege – Version: 2.0

Hacker Medic January 14, 2014 No Comments

?????????????????????????????

Hacker Medic January 14, 2014 No Comments

日本のアニメーションは「アニメ（Anime）」として、漫画は「マンガ（Manga）」として知られており、過去 20 年間で漫画アニメ産業は世界中で人気を博するようになりました。そうした最新の流行を利用するのが、ひと儲けする方法として手っ取り早いことはよく知られており、合法的にも非合法的にもその手法は広く利用されています。アニメと漫画の流行も、マルバタイジング（悪質な広告）やモバイルリスクなどを通じてサイバー犯罪者が無防備なファンにマルウェアの脅威をもたらす新たな手口を生み出しています。

1990 年代に、日本の漫画は米国の市場で大ブームとなり、大手書店の本棚にも並ぶようになりました。日本語のわからないファンが読むためには、漫画の翻訳を待たねばなりません。公式に翻訳される漫画の数は増えていますが、ファンを満足させるにはまだまだ足りないようです。しかも、翻訳対象になるのは人気の高い作品に限られています。

漫画産業が直面している問題のひとつが、日本語を母語としないファンに評価される作品をどう選ぶかということです。その判断基準として、読者コミュニティが非常に有効であることが判明しています。読者コミュニティのなかには、日本の漫画をスキャンして翻訳版を制作するグループも存在し、そのような行為はスキャンレーション（Scanlation）またはスキャンスレーション（Scanslation）と呼ばれています。

公式の出版社はそうした読者コミュニティに注目し、その動きに合わせて事業の方向性を決めていましたが、それが裏目に出てしまいました。90 年代の終わりにはインターネットにアクセスするユーザーが急増し、巨大なスキャンレーションサイトがオンラインで無料の漫画を提供するようになったため、日本の漫画アニメ産業は顧客を失い始めたのです。

この数年間に、スキャンレーションサービスを展開する複数の Web サイトやコミュニティが、著作権者の許可を得ていないため著作権違反であるとして訴えられています。

スキャンレーションには多くの作業が必要であり、そのチームには以下のようなメンバーが存在します。

翻訳者
クリーナー
校正者
植字工
リライター

チームのメンバーはほとんどが自主的に参加しているため、新しい作品を定期的に出版し続けるには、何らかの収益化が必要であり、また広告も無視できない収入源となります。

悪用ツールキットとマルバタイジング
こうしたサイトでは、1 章分のページに平均 10 個の広告が表示され、場合によっては 11 の広告プロバイダが利用されています。マルバタイジングや悪用ツールキット、先日公表された「Microsoft Internet Explorer に存在する解放後使用のリモートコード実行の脆弱性」（CVE-2013-2551）について実施した最近の調査でも、多くのスキャンレーションサイトが、マルバタイジングや悪用コードによって悪質なリダイレクト先にリンクされていることが確認されました。図 1 のグラフは、2013 年 7 月から 2014 年 1 月初めにかけて確認された各種マルウェアの検出状況を示しています。

図 1. スキャンレーションサイトでの IPS 検出状況（2013 年 7 月から 2014 年 1 月）

2013年 12 月に CVE-2013-2551 が公表され、Blackhole 悪用ツールキットが停止されると、傾向が一変しました。Trojan.FakeAV を送りつけるマルバタイジングタイプの攻撃が急増しています。最近のマルバタイジングの場合、悪質なコードに直接感染していたのはスキャンレーションサイトではなく、広告プロバイダでした。この場合、スキャンレーションサイトのユーザーを標的とした広告が多用されるため、スキャンレーションサイトのユーザーも被害を受けます。図 2 に、2013 年 10 月から 2014 年 1 月初めに確認されたスキャンレーションサイトでの IPS 検出状況を示します。

図 2. スキャンレーションサイトでの IPS 検出状況（2013 年 10 月から 2014 年 1 月）

読書形態の変化
スマートフォンやタブレットが人々の生活にとって欠かせないものになる一方で、紙の本や PC の利用度は少なくなってきました。大部分の Web サイトでは、モバイルアクセスが容易になるように、モバイル向けのコンテンツも公開されています。

シマンテックは、モバイルのブラウズテストを実施し、最近公開された漫画のページをランダムに読み込んだとき、読者がどのようにリダイレクトされるのかを調べました。その結果、次のページに移動しようとすると強制リダイレクトが発生する場合もあることがわかりました。リダイレクト先では、APK ファイルをダウンロードするよう指示されます。シマンテックは、「Airpush Adware」というこの Android アプリをセキュリティ上のリスクとして分類しています。Airpush Adware はデバイスの電話番号、電子メールアドレス、アプリのリストを収集して第三者に送信する可能性があり、電子メールや SMS を介してスパムが届く原因にもなりかねないからです。

図 3. Airpush のプライバシーポリシーと広告規約

さまざまなスキャンレーションサイトから漫画を収集するモバイルアプリが大量に出回り始めています。こうしたアプリは、オンラインでもオフラインでも 10,000 冊以上の漫画を複数の言語で楽しめると謳っています。ダウンロード率もインストール率も高いことから、このようなアプリは悪質な便乗攻撃や、トロイの木馬による攻撃の格好の標的です。たとえば、漫画購読サービスを謳いながら、実際はプレミアム SMS を利用させるアプリがサードパーティのマーケットで配布されていることも確認されています。シマンテックは、この脅威を Android.Opfake として検出します。

世界中に広がるスキャンレーション熱
2013 年 7 月から 2014 年 1 月にかけて、このようなスキャンレーションサイトで収集された検出データには定期的に急上昇が見られます。これが『NARUTO -ナルト-』、『BLEACH』、『ONE PIECE』、『FAIRY TAIL』、『キングダム』といった人気漫画の新刊が公開されたタイミングであることは明らかです。

スキャンレーションサイトで確認されたマルバタイジングの分布図を見ると、読者率が最も高いのは米国であり、ヨーロッパ、オーストラリアがそれに続いていることがわかります。漫画の読者は中東やブラジルにも広がっており、スキャンレーショングループは現在、漫画を 6 言語（英語、ドイツ語、イタリア語、スペイン語、ロシア語、フランス語）に翻訳しているようです。

図 4. スキャンレーションサイトでの IPS 検出状況とマルバタイジング（2013 年 7 月から 2014 年 1 月）

出版されている漫画の数は膨大ですが、新刊漫画のうち圧倒的多数は日本語を理解できなければ読むことができず、そうでなければ公式の翻訳を待つしかありません。

新人の漫画家は、ファンの人気を獲得したいあまり、スキャンレーションサービスを許す、あるいは見て見ぬふりをする傾向があります。そのため、スキャンレーションサービスは本質的に法律上の問題や著作権侵害をないがしろにしがちです。そして、スキャンレーションサービスの人気が高くなるほど、サイバー犯罪者の注目も集めるようになっています。

ソフトウェアは脆弱性の悪用を防ぐために、常に最新の状態に保つことをお勧めします。また、アプリケーションは信頼できるアプリストアだけからインストールするようにしてください。

How to clean your hacked OpenX server

Avast Blog January 13, 2014 No Comments

Christmas is a time of peace, but it does not apply to hackers and creators of malware. In the middle of the holidays, the AVAST Virus Lab found a new type of infection targeting advertisement servers with OpenX installed. Unfortunately, the only antivirus detecting this threat is avast! which leads to the erroneous conclusion that […]

Attacks Against the Energy Sector

Hacker Medic January 13, 2014 No Comments

Energy is crucial to our modern lifestyle. Disturbingly, reports of attempted attacks against the companies and industries that supply it are increasing every year. In the first half of 2013, the energy sector was the fifth most targeted sector worldwide, experiencing 7.6 percent of all cyberattacks. So, it’s not surprising that in May 2013, the US Department of Homeland Security warned of a rising tide of attacks aimed at sabotaging processes at energy companies. At Symantec, our researchers are finding that traditional energy utility companies are particularly concerned about scenarios created by the likes of Stuxnet or Disttrack/Shamoon which can sabotage industrial facilities.

We are also learning that aggressors who target the energy sector also try to steal intellectual property on new technology, like wind or solar power generators or gas field exploration charts. While data theft incidents may not pose an immediate and catastrophic threat to a company, they can create a longer term strategic threat. Information stolen could be used in the future to perform more disruptive actions.

The motivations and origins of attacks can vary considerably. A competitor may commission actions against energy companies to gain an unfair advantage. There are “hackers for hire” groups such as the Hidden Lynx group, who are more than willing to engage in this type of activity. State-sponsored hackers could target energy firms in an attempt to disable critical infrastructure. Hacktivist groups may also victimize companies to further their own political goals. Symantec researchers know these threats can originate from all over the world and sometimes from within company walls. Insiders who are familiar with the systems can carry out attacks for extortion, bribery or revenge. And disruptions can simply happen by accident such as a misconfiguration or a system glitch. For example, in May 2013, the Austrian power grid nearly had a blackout due to a configuration issue.

Our research has found that modern energy systems are becoming more complex. There are supervisory control and data acquisition (SCADA) or industrial control systems (ICS) that sit outside of traditional security walls. And as smart grid technology continues to gain momentum, more new energy systems will be connected to the Internet of Things, which opens up new security vulnerabilities related to having countless connected devices. In addition to this, many countries have started to open the energy market and add smaller contributors to the electric power grid, such as private water power plants, wind turbines or solar collectors. While these smaller sites make up only a small portion of the grid, the decentralized power input feeds can be a challenge to manage with limited IT resources and need to be carefully monitored to avoid small outages that could create a domino effect throughout the larger grid.

We see the need for a collaborative approach combining IT and industrial component security to protect the industry’s information. To partner in this effort, Symantec has conducted an in-depth study into attacks focused on the energy sector that took place in the past 12 months. This research presents the facts and figures, and covers the methods, motivations, and history of these attacks.

Download a copy of the whitepaper.

The following infographic illustrates some of the key points around attacks against the industries in the energy sector.