Tag Archives: Endpoint Protection (AntiVirus)

?? ?? ??? ???? ?? ???(IoT) ?

Hacker Medic April 29, 2014 No Comments

시만텍 보안 연구소는 지난 11월 Linux.Darlloz라는 사물 인터넷(IoT, Internet of Things) 웜을 발견했습니다. 이 웜은 Intel x86 아키텍처 기반의 컴퓨터를 공격합니다. 뿐만 아니라 라우터와 셋톱 박스에서 흔히 볼 수 있는 ARM, MIPS, PowerPC 아키텍처 장치도 주요 표적입니다. 시만텍 보안 연구소는 Linux.Darlloz를 처음 발견한 후 1월 중순에 이 웜의 새로운 변종을 찾아냈습니다. 시만텍의 분석에 따르면, 이 웜의 개발자는 특히 웜을 통한 수익 창출에 초점을 맞추고 지속적으로 코드를 업데이트하고 새로운 기능을 추가하고 있습니다.

시만텍이 2월에 전체 인터넷 IP 주소 범위를 대상으로 조사를 실시한 결과, 31,000대 이상의 장치가 Linux.Darlloz에 감염된 것으로 드러났습니다.

코인 채굴

또한 시만텍은 현재 이 웜이 암호 통화(cryptocurrency)를 채굴하는 데 이용되고 있다는 사실도 확인했습니다. Intel 아키텍처를 실행하는 컴퓨터가 이 새로운 변종에 감염되면 cpuminer라는 오픈 소스 기반의 코인 채굴 소프트웨어가 설치됩니다. 그런 다음 이 웜은 감염된 컴퓨터에서 민코인(Mincoin) 또는 도기코인(Dogecoin)을 채굴하는 작업을 시작합니다. 2014년 2월 말까지 도기코인(이 글의 작성 시점 기준 약 46달러) 42,438개, 민코인(동일 시점 기준 약 150달러) 282개가 공격자에 의해 채굴되었습니다. 하지만 일반적인 사이버 범죄와 비교할 때 금액이 적은 편이므로 공격자가 수익을 늘리기 위해 더욱 보안 위협을 지능화하는 데 주력할 것으로 예상됩니다.

이 웜의 새로운 코인 채굴 기능은 Intel x86 아키텍처 기반 컴퓨터에만 영향을 미치며, 사물 인터넷 장치에 대한 공격 사례는 아직 확인되지 않았습니다. 코인 채굴은 일반적으로 장치에 넉넉한 메모리와 강력한 CPU가 있어야 가능합니다.

민코인과 도기코인이 표적이 된 이유

이 웜은 더 높은 유명세와 가치를 누리고 있는 암호 통화인 비트코인(Bitcoin)을 노리기보다 민코인과 도기코인의 채굴에 주력하는 것으로 보입니다. 이는 민코인과 도기코인이 Scrypt 알고리즘을 사용하기 때문입니다. 따라서 수익을 내려면 맞춤형 ASIC 칩이 필요한 비트코인과 달리 가정용 PC에서 수월하게 채굴할 수 있습니다.

새로운 표적

최초의 Darlloz 버전은 라우터 및 셋톱 박스에 사용되는 사용자 이름과 암호의 9개 조합을 사용했습니다. 반면 최신 버전은 13개의 로그인 인증 정보 조합을 사용하는데, 그로 인해 사내 원격 감시에 널리 사용되는 IP 카메라도 공격할 수 있습니다.

사물 인터넷 장치를 노리는 이유

사물 인터넷은 사실상 인터넷에 연결된 모든 유형의 장치를 가리킵니다. 많은 사용자들이 컴퓨터 보안에는 만전을 기하지만 사물 인터넷 장치도 함께 보호해야 한다는 사실을 깨닫지 못할 수 있습니다. 상당수의 사물 인터넷 장치는 일반 컴퓨터와 달리 기본 사용자 이름과 암호가 함께 제공되는데, 아마도 이 정보 자체를 변경하지 않은 사용자가 많을 것입니다. 이렇듯 기본 사용자 이름과 암호를 사용하는 것 자체가 사물 인터넷 장치에 대한 대표적인 공격 벡터 중 하나로 작용합니다. 또한 이러한 장치 중 상당수에는 사용자가 알지 못하는 취약점이 있으며 그에 대한 패치도 설치되어 있지 않습니다.

이 보안 위협은 컴퓨터, 라우터, 셋톱 박스, IP 카메라를 주 공격 대상으로 하지만 향후 이 웜이 업데이트되면 홈 오토메이션 장치, 웨어러블 기술과 같은 다른 사물 인터넷 장치도 표적이 될 수 있습니다.

다른 공격자 차단

이전 블로그에서 설명한 것처럼, 이 웜은 Linux.Aidra와 같은 다른 공격자나 웜이 Linux.Darlloz에 감염된 장치를 공격하지 못하도록 차단합니다. 실제로 이 악성 코드 개발자는 지난 11월에 유포한 웜에서 이 기능을 구현했습니다.

1월 초, 다수의 라우터에서 발견된 백도어에 관한 보고가 있었습니다. 원격 공격자는 이 백도어를 이용하여 라우터에 액세스한 다음 사용자의 네트워크를 감염시킬 수 있습니다. 이는 Darlloz 개발자에게 불리하게 작용했기 때문에 이 개발자는 백도어 포트에 대한 액세스를 차단하는 기능을 구현했습니다. 즉 감염된 장치에 새로운 방화벽 규칙을 만들어 다른 공격자들이 동일한 백도어를 통해 침투할 수 없도록 한 것입니다.

감염 현황

일단 어떤 장치가 감염되면 Darlloz는 감염을 확산시키기 위해 포트 58455에서 HTTP 웹 서버를 시작합니다. 이 서버는 웜 파일을 호스팅하며 아무나 이 포트를 통해 HTTP GET 요청을 사용하여 파일을 다운로드할 수 있도록 합니다. 시만텍은 이 포트가 열린 채로 정적 경로에서 Darlloz 파일을 호스팅하는 IP 주소를 검색했습니다. 그런 다음 Darlloz 웜이 다운로드 가능하다는 전제 하에 호스트 서버의 OS 지문을 수집해 보았습니다. 아래의 통계치를 보면 감염 실태를 대략적으로 파악할 수 있습니다.

31,716개의 IP 주소가 Darlloz에 감염된 것으로 확인되었습니다.
139개 지역에서 Darlloz 감염이 발생했습니다.
감염된 IP 주소로부터 449개의 OS 지문이 식별되었습니다.
Darlloz 감염 중 43%는 Linux를 실행하는 Intel 기반 컴퓨터 또는 서버에서 발생했습니다.
Darlloz 감염의 38%는 라우터, 셋톱 박스, IP 카메라, 프린터 등 다양한 사물 인터넷 장치에서 발생한 것으로 보입니다.

그림 1. Darlloz 최다 감염 5개 지역

중국, 미국, 한국, 대만, 인도의 5개 지역이 전체 Darlloz 감염의 50%를 차지했습니다. 인터넷 사용자 수가 많거나 사물 인터넷 장치가 널리 보급된 것이 주 원인으로 보입니다.

감염된 사물 인터넷 장치

개인 사용자는 본인의 사물 인터넷 장치가 악성 코드에 감염될 수 있다는 사실을 인식하지 못할 수 있습니다. 그 결과, 이 웜은 4개월 만에 31,000대의 컴퓨터 및 사물 인터넷 장치를 공격했으며 지금도 계속 확산되고 있습니다. 이 악성 코드 개발자는 앞으로도 계속 기술 환경의 변화에 발맞춰 새로운 기능을 추가하면서 웜을 업데이트할 것으로 예상됩니다. 시만텍 역시 이 보안 위협에 대한 감시를 늦추지 않을 것입니다.

완화 조치

컴퓨터 또는 사물 인터넷 장치에 설치된 모든 소프트웨어에 보안 패치를 적용하십시오.
모든 장치의 펌웨어를 업데이트하십시오.
모든 장치의 기본 암호를 새 암호로 변경하십시오.
필요하지 않은 경우 포트 23 또는 80을 통한 외부의 연결을 차단하십시오.

Symantec Alerta para Golpe Online que Promete Dietas Milagrosas a Partir do Twitter

Hacker Medic April 29, 2014 No Comments

A Symantec chama atenção para a mais recente ameaça online que usa o chamariz da “dieta milagrosa” para aliciar internautas descuidados, usuários das redes sociais. De acordo com a companhia, o golpe consiste em atrair indivíduos ávidos para emagrecer a clicarem em links que prometem dietas eficazes e revolucionárias, para então, redirecioná-los a páginas promocionais e convencê-los a comprarem os produtos.

Neste contexto, os criminosos virtuais preferem os meios sociais de comunicação para tentar atrair um maior número de usuários, expor suas identidades e obter ganhos financeiros. De acordo com o Relatório Anual da Symantec sobre Ameaças à Segurança na Internet, durante 2013, mais de 552 milhões de identidades foram expostas na Internet por meio de ataques virtuais.

No caso específico desta ameaça, a Symantec destaca o grande número de sites e contas do Twitter que foram comprometidas e utilizadas pelos cibercriminosos para espalhar o SPAMs maliciosos por meio da Engenharia Social. Um dos exemplos de ataques online ocorreu na página projetada para parecer idêntica ao site oficial da Women’s Health.

Figura 1. Página promocional falsa projetada por criminosos virtuais.

Nesta recente campanha, contas pertencentes a atletas, políticos, produtores de televisão, blogueiros, comediantes e outras figuras públicas foram comprometidas e possibilitaram aos hackers atingirem centenas de milhares de seguidores de cada perfil. As celebridades são alvos frequentes, procuradas pelos criminosos para ajudar atrair mais vítimas e aumentar as chances de convencer alguém a clicar em seus links e talvez até mesmo comprar o produto que propõe grandes perdas de peso.

Figura 2. Contas comprometidas de duas figuras públicas: a primeira, de um jogador de futebol americano e, a segunda, de uma modelo dos Estados Unidos.

Arquitetura Social e Pinterest como Alvo

Além do Twitter, o Pinterest também foi vítima do ataque. Há algumas semanas, o TechCrunch publicou um artigo sobre ameaças sociais, já que uma das contas de sua co-editora foi comprometida e usada para divulgar fotos sobre sua perda de peso. Com base em pesquisa realizada pela Symantec foi possível identificar que as descrições das imagens e dos sites comprometidos, que atuam como direcionadores do golpe, são iguais aos usados na campanha maliciosa direcionada por meio do Twitter. Por isso, acredita-se que ambas estejam conectadas aos mesmos criminosos virtuais. Para que os internautas não sejam vítimas de crimes virtuais por meio das redes sociais, a Symantec oferece as seguintes dicas de comportamento online seguro:

Para usuários comuns:

Utilize senhas fortes e diferentes em seus dispositivos e perfis sociais;
Não acesse ou compartilhe links duvidosos e suspeitos que chegam no e-mail ou no perfil social;
Sempre opte por portais seguros e oficiais seja para navegação ou compras online;
Faça constantemente uma inspeção nos seus computadores e aparelhos em busca de vírus e malware – softwares de segurança como o Norton 360 Multi-Devices lhe ajudam nesta proteção.

Para donos dos sites:

Usar a versão mais recente de seu sistema de gerenciamento de conteúdo;
Sempre aplique todos os patches de segurança;
Atualize as extensões do portal;
Reveja as permissões do diretório em seus servidores web.

Para mais informações acesse este blog post ou entre em contato com a agência de comunicação da Symantec para agendar uma entrevista com algum porta-voz da companhia.

Adobe Patches Exploited Flash Player Vulnerability

Hacker Medic April 28, 2014 No Comments

Adobe has published a Security Bulletin for the Adobe Flash Player CVE-2014-0515 Buffer Overflow Vulnerability (CVE-2014-0515). The new Security Bulletin, APSB14-13, identifies a buffer overflow vulnerability that affects various ve…

Internet Explorer ???????????????

Hacker Medic April 27, 2014 No Comments

シマンテックは、すべてのバージョンの Internet Explorer に影響するゼロデイ脆弱性（CVE-2014-1776）が報告されていることを確認しています。

Microsoft 社は、限定的な標的型攻撃に悪用されている Internet Explorer の脆弱性についてセキュリティアドバイザリ（2963983）を公開しました。この脆弱性に対するパッチはまだ提供されていません。また、このブログの執筆時点で、パッチのリリース予定日も公表されていません。

シマンテックでテストしたところ、この脆弱性によって Windows XP 上の Internet Explorer がクラッシュすることを確認しています。Microsoft 社は 2014 年 4 月 8 日（日本時間の 2014 年 4 月 9 日）をもって Windows XP のサポートを終了しているため、これは Windows XP ユーザーにパッチが提供されない初のゼロデイ脆弱性となります。ただし、Microsoft 社は、Enhanced Mitigation Experience Toolkit（EMET）4.1 以降のバージョンによって、Internet Explorer に影響するこの脆弱性が緩和され、EMET を Windows XP 上でも使用できることを公表しています。シマンテックセキュリティレスポンスは、EMET を使うことに加えて、Microsoft 社からパッチが提供されるまでは、一時的に別の Web ブラウザを使用することを推奨します。

シマンテック製品をお使いのお客様は、以下の検出定義によってこの攻撃から保護されています。

ウイルス対策

Bloodhound.Exploit.552

侵入防止シグネチャ

Web Attack: MSIE Use After Free CVE-2014-1776

詳しいことがわかり次第このブログでお伝えします。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Zero-day Internet vulnerability let loose in the wild

Hacker Medic April 27, 2014 No Comments

Symantec is aware of a zero-day vulnerability (CVE-2014-1776) that affects all Internet Explorer versions.
Microsoft released recently a security advisory about an Internet Explorer vulnerability (2963983), citing that the security hole was leveraged i…

??? ??? ???? ???? Internet Explorer ???

Hacker Medic April 27, 2014 No Comments

시만텍은 모든 버전의 Internet Explorer에 영향을 미치는 제로데이 취약점인 Microsoft Internet Explorer 원격 코드 실행 취약점(CVE-2014-1776)이 보고되고 있음을 확인했습니다.

Microsoft는 일부 표적 공격에 이용되고 있는 Internet Explorer의 취약점에 대한 보안 권고를 발표했습니다. 현재 이 취약점에 대한 패치는 없으며, 이 글의 작성 시점에는 Microsoft에서 패치 발표일을 밝히지 않은 상태입니다.

시만텍의 테스트에 따르면, 이 취약점은 Windows XP의 Internet Explorer에서 문제를 일으킵니다. Microsoft에서 2014년 4월 8일 자로 이 운영 체제에 대한 지원을 종료한 가운데 이번 취약점은 Windows XP 사용자에게 패치가 제공되지 않은 최초의 제로데이 취약점입니다. Microsoft는 자사의 EMET(Enhanced Mitigation Experience Toolkit) 4.1 이상으로 이 Internet Explorer 취약점을 완화할 수 있으며 해당 툴킷이 Windows XP에서 지원된다고 밝힌 바 있습니다. 시만텍 보안 연구소는 사용자에게 EMET를 사용하면서 벤더가 패치를 제공할 때까지 임시로 다른 웹 브라우저를 사용할 것을 권장합니다.

시만텍은 아래와 같은 탐지 활동을 통해 이 공격으로부터 고객을 보호합니다.

추가 정보가 입수되는 대로 이 블로그를 통해 게시하겠습니다.

업데이트 – 2014년 4월 28일:

Microsoft Internet Explorer 원격 코드 실행 취약점(CVE-2014-1776)을 완화하기 위한 시만텍 권장 사항은 아래와 같습니다.

Microsoft에 따르면, EMET(Enhanced Mitigation Experience Toolkit) 4.1 이상 버전을 사용하여 이 Internet Explorer의 취약점을 완화할 수 있습니다. 이 툴킷은 Windows XP 사용자도 이용 가능합니다. EMET를 사용하기 어려운 경우 VGX.DLL이라는 DLL 파일을 등록 취소하는 방법으로 이 문제를 완화할 수 있습니다. 이 파일은 해당 브라우저에서 VML(Vector Markup Language)을 지원합니다. 대부분의 사용자는 이 방법을 사용할 필요가 없습니다. 하지만 라이브러리의 등록을 취소할 경우 이 DLL을 사용하는 애플리케이션이 더 이상 정상적으로 작동하지 않을 수 있습니다. 또한 시스템에 설치된 일부 애플리케이션에서 이 DLL을 다시 등록할 가능성도 있습니다. 이러한 사항을 고려하여 이 취약점을 노리는 공격으로부터 시스템을 보호하기 위해 아래의 한 줄짜리 명령어를 실행할 수 있습니다. 이 명령어는 해당 취약점의 영향을 받는 모든 운영 체제에서 사용할 수 있습니다.

“%SystemRoot%\System32\regsvr32.exe” -u “%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll”

시만텍은 대규모 IT 인프라스트럭처를 관리해야 하는 고객을 위해 배치 파일을 개발했습니다.

참고: 사용자는 .bat 확장자를 사용하여 파일 이름을 변경해야 합니다.

이 배치 파일은 DLL 파일의 현재 상태를 확인하고 필요한 경우 DLL을 등록 취소하는 기능을 수행합니다. 배치 파일의 스크립트는 매우 간단하며 이를 바탕으로 특정 시스템 환경의 요구 사항에 맞게 코드를 커스터마이즈할 수 있습니다.

이 취약점을 완화하는 데 특별한 툴이 필요한 것은 아니지만, 향후 발견될 취약점에 대해서는 여기서 소개한 것과 같은 권장 사항의 적용이 불가능할 수 있습니다. 따라서 Windows XP와 같이 지원되지 않는 운영 체제는 가급적 빨리 지원되는 버전으로 대체하는 것이 좋습니다.

Update – May 02, 2014:
Microsoft has released an out-of-band security update to address this vulnerability. For more information, see the following Microsoft security advisory:

Out-of-Band Release to Address Microsoft Security Advisory 2963983

Operation Francophoned: The Persistence and Evolution of a Dual-Pronged Social Engineering Attack

Hacker Medic April 23, 2014 No Comments

Contributor: Andrea Lelli

Operation Francophoned, first uncovered by Symantec in May 2013, involved organizations receiving direct phone calls and spear phishing emails impersonating a known telecommunication provider in France, all in an effort to install malware and steal information and ultimately money from targets.

This highly targeted dual-pronged attack has proven to be very persistent in the French speaking world. Keeping a close eye on the Francophoned campaign, Symantec observed a resurgence in October 2013 and, early this year, witnessed some changes to the social engineering attack including the use of new malware.

Figure 1. How Operation Francophoned works

According to our telemetry (Figure 2), the Francophoned operation reemerged in October 2013 with a new campaign of spear phishing emails, immediately followed by a lull in activity that could be due to the attackers using this time to process the data acquired from successful attacks and preparing for the next campaign. A few months later, two new campaigns were observed, with a much shorter processing/preparation period in-between. Both of these campaigns used a completely new threat.

Figure 2. Francophoned attacks detected overtime

October 2013 – January 2014: The resurgence of Operation Francophoned
The attackers did not change much during this time period, the social engineering tactics and malware used in the initial campaign (W32.Shadesrat aka Blackshade) remained the same. Victims received spear phishing emails, which impersonated a well-known company, and were lured into downloading fake invoices hosted on a new compromised domain. In some instances, the attackers were more aggressive and called the victims in order to enforce the spear phishing emails over the phone.

February 2014 – Present: Operation Francophoned changes
In February of this year, the campaign took a new turn. The attackers began distributing a new payload from a number of freshly compromised domains, resulting in a sudden increase in infection numbers. However, the payload was different from that used previously (Blackshade), though the attackers still used the same command-and-control (C&C) server. The move to a different payload shows that those behind these attacks are eager to evolve their business and innovate new ways of making money. The new threat used by the attackers, named Trojan.Rokamal, is obfuscated with a DotNet packer and can be configured to perform the following actions:

Downloading and executing potentially malicious files
Performing distributed denial-of-service (DDoS) attacks
Stealing information
Mining cryptocurrency
Opening a back door

The cryptocurrency mining and DDoS functions were not enabled in the Trojan.Rokamal samples used in the operation. As Operation Francophoned is aimed at organizations, disabling these functions makes sense because they would raise several flags and be easily spotted if active in a business environment.

The organizations targeted by Operation Francophoned fall into the sectors shown in Figure 3.

Figure 3. Sectors targeted by Operation Francophoned

Despite an increase of activity this year with the use of Trojan.Rokamal, Operation Francophoned still focuses only on French organizations and speakers based in and outside of France. The following heatmap shows the concentration of the Francophoned attacks around the world.

Figure 4. Operation Francophoned detections worldwide

Language and cybercrime
Operation Francophoned was specifically crafted to target French speakers and proves that language is a major (and often underestimated) factor in the reach and effectiveness of cybercrime campaigns. For example, in terms of countries it is spoken in, French is the second most widely spoken language. It is an official language in 29 countries, spoken by 110 million native speakers, and by another 190 million as a second language. French speakers are concentrated not just in France, but also in wide areas of Africa, nearby European countries, Canada, and various islands around the world. As such, French speakers present a large pool of potential victims who may not have been targeted as heavily as English speakers.

Protection
Symantec advises users to be careful when dealing with suspicious emails and to avoid clicking on suspicious links or opening suspicious attachments. Symantec also recommends verifying a person’s identity when receiving a business related call.

Symantec has the following antivirus, reputation, and heuristic detections in place to protect against this threat:

Aprovechan Interés en Adopción de Bebés para Estafas Electrónicas

Hacker Medic April 21, 2014 No Comments

Una variación de la popular estafa cibernética 419 (419 email scam) está siendo usada por defraudadores electrónicos para aprovecharse de parejas desesperadas por adoptar un niño(a). Una vez que los interesados han sido cuidadosamente involucrados en un proceso de adopción falso, se les pide dinero para cubrir los trámites legales y administrativos.

Aunque los más recientes fraudes 419 se basan principalmente en la inocencia de las víctimas (más que en la ingenuidad por parte de los spammers, quienes distribuyen los correos), algunos defraudadores están empezando a hacer mayores esfuerzos por comunicarse directamente con la víctima para ganarse su confianza. La investigación que hizo Symantec sobre este tipo de fraudes electrónicos reveló que están bien preparados, se presentan de forma convincente y pueden tomar hechos de la vida real para hacer que sus historias sean más creíbles y más coherentes ante cualquier sospecha.

Aunque los fraudes de adopciones falsas ya se habían visto antes, en esta ocasión Symantec observó detalles de antecedentes de la vida real y a defraudadores que hacen un gran esfuerzo por enganchar a sus víctimas.

Figura 1. Correo fraudulento sobre tema de adopción usado para fraude en línea

En lugar de usar historias comunes, donde se ofrece un premio de lotería en el extranjero o se habla de un líder africano que está por morir, este tipo de estafas tiene un enfoque diferente. Por ejemplo, en el correo que Symantec identificó había muchas señales que indicaban que era un fraude, como que, por ejemplo, el mensaje se envió a destinatarios ocultos (a través de cuentas de correo hackeadas, originarias de Hungría pero enrutadas a través de Italia) y el correo requería responder a un proveedor de correo diferente. Estas son características típicas de un fraude donde suele hablarse de una cantidad de dinero inicial, así que decidimos investigar a fondo para averiguar cómo el defraudador pretendía pedir el dinero.

En un intento por hacer que todo pareciera lo más legítimo posible, el estafador cibernético nos hizo pasar por varias etapas antes de finalmente pedir que enviáramos dinero. Durante nuestro intercambio de mensajes –que consistió de 11 correos electrónicos durante dos meses- nos informó con gran detalle sobre la historia de la madre y nos explicó sobre las regulaciones que tienen que ver con una adopción privada e independiente. Incluso nos enviaron un formato falso de adopción, junto con fotos del bebé.

Figura 2. Fotos de bebés ofrecidos en adopción forman parte de esta campaña de estafas 419

Figura 3. Formato de adopción falso usado para ganarse la confianza de la víctima

Cuando el defraudador finalmente decidió pedirnos dinero, se nos solicitó que enviáramos $2,500 dólares para cubrir la “Cuota para la Preparación de la Orden del Tribunal y Documentación”. Esto debía realizarse en un primer pago de $1,500 dólares y otro de $1,000 mediante transferencias electrónicas. Es probable que el defraudador pidiera los pagos de esta manera para que la transacción pareciera más legítima y tuviéramos más confianza.

Figura 4. El defraudador solicita el dinero por la adopción del bebé

Cuando el defraudador proporcionó un nombre y una dirección para recibir el envío del pago, asumimos que esta información era falsa. Sin embargo, buscamos la dirección y esto nos llevó a un descubrimiento sorprendente.

La dirección de la persona a quien deberíamos pagarle era la de un abogado legítimo de Asuntos Familiares y Adopciones (que no tenía nada que ver con este tipo de fraude cibernético). Esto es algo diferente pues generalmente la mayoría de los defraudadores usan un nombre falso, sin embargo, robar la identidad de una persona real puede hacer que el fraude parezca más convincente. La posible víctima, sospeche algo o no, puede buscar el nombre y confirmar que se trata de un abogado legítimo que labora en Estados Unidos. Así que todo parece ser congruente y entonces envían el dinero y con eso se convierten en una víctima consumada del fraude.

La ejecución de este fraude cibernético relacionado con el tema de una adopción muestra un nuevo enfoque por parte de los estafadores 419, algunos de los cules han regresado al punto de origen en su enfoque. En una entrevista con The Economist hace dos años, revelé como algunos defraudadores de este tipo han pasado de enviar mensajes de fraude que parecen oficiales y legítimos a misivas mucho menos profesionales donde se ofrecen grandes cantidades de dinero en escenarios poco probables. Ninguna de estas estafas son muy sofisticadas porque los defraudadores buscan víctimas que se “auto-eligen”.

Este ejemplo de estafas en línea sirve para recordar a los usuarios que no en todos los fraudes donde se pide dinero por adelantado son intentos por lograr que la víctima más crédula caiga en ellos. Algunos defraudadores usan tácticas creativas (como ésta, que durante meses tuvo detalles de antecedentes convincentes y formatos que parecían oficiales). De esta forma, no hay duda de que la imaginación de los estafadores cibernéticos y su creatividad seguirán evolucionando.

?????????? 419 ??

Hacker Medic April 21, 2014 No Comments

養子を熱望している夫婦を狙って 419 詐欺のバリエーションを利用する、新手の詐欺が発生しています。その巧妙な手口に騙されて偽の養子縁組み話に乗ってしまうと、被害者は弁護士費用や行政手続き費用を支払うよう求められます。

最近の 419 詐欺のほとんどは、スパマー自身の独創性ではなく被害者の無防備さに頼っていますが、一部の詐欺師は被害者と直接の対話を進めることで信用を勝ち取ろうと考え始めたようです。十分に調査された手口で説得力もあり、ときには話に信憑性を持たせ、詳しく調べられてもボロが出ないように、実話を拝借する場合さえあります。

偽の養子縁組みを利用する詐欺は、古くからあったようですが、今回シマンテックが確認した事例では、実話のような詳しい情報が使われ、詐欺師は長期にわたって徹底的に被害者との対話を続けようとします。

図 1. 養子縁組み話を悪用する詐欺メール

海外の宝くじに当選した、あるいは裕福なアフリカの指導者が死去したなどという筋書きで前渡し金詐欺を仕掛ける典型的な手口の代わりに、今回の詐欺師は、変わったアプローチを取っています。それでも、詐欺を疑わせる兆候は多く見受けられ、たとえばメッセージは匿名の受信者に宛てて送信されています（ハッキングされた Web メールアカウントが利用されており、発信元はハンガリーですがイタリアを経由しています）。また、別の Web メールプロバイダに返信するよう求めてきます。いずれも、前渡し金詐欺によく見られる特徴ですが、詐欺師がどのような方法で金銭を要求してくるのか実際に調べてみることにしました。

この養子縁組み話に少しでも信憑性を持たせようとして、詐欺師は最終的に送金という段になるまでに、いくつもの手続きを用意しています。メールをやり取りするうちに（11 通の返信が必要で、期間は実に 2 カ月にわたりました）、子供の母親についても詳しく語られる一方、公的な斡旋を利用しない私的な養子縁組みに伴う規則についても説明がありました。さらには、偽の養子縁組み書類と新生児の写真まで送ってくるほど用意周到です。

図 2. 419 詐欺で養子縁組みの対象とされた乳児

図 3. 被害者の信頼を得るために用意された偽の養子縁組み書類

最終的に金銭を要求できると詐欺師が判断した段階まで進むと、ユーザーは「裁判所命令の作成ならびに文書費用」に充当するとして 2,500 ドルを要求されます。支払いは、金融機関の電信送金を利用して、1,500 ドルと 1,000 ドルの 2 回に分けて行うよう指示されます。このような支払い方を要求してくるのも、正規の取引であるかのように演出し、被害者がこの詐欺を本物と信じ込むようにするためだと考えられます。

図 4. 詐欺師が養子縁組みの費用を請求してくる

詐欺師が電子送金を受け取るための名前と住所を公開している場合は、その情報も偽物だと考えるところですが、今回示された住所を調べると、驚くべき事実が判明しました。

記載されている受取人の住所は、養子ならびに家族法を扱う弁護士事務所の住所だったのです（もちろん、この弁護士は詐欺とはまったくの無関係です）。ほとんどの詐欺師は、昔からの偽の名前を使って前渡し金詐欺を実行するものですが、実在の人物の身元を乗っ取って使うほうが、詐欺の説得力は増します。標的が無警戒であれば、受取人の名前を探し出して、その人物が本当に米国内で事務所を構えている正規の弁護士だと信じてしまうかもしれません。こういった要素が重なって、最終的にお金を支払うと、新たな被害者の 1 人となってしまいます。

このように養子縁組み詐欺を使うのは、419 詐欺の手口として新たな傾向ですが、詐欺師の一部はちょうど一周して以前の特徴に戻っただけなのかもしれません。筆者は 2 年前のエコノミスト誌によるインタビューで、前渡し金詐欺の詐欺師から送られてくるメッセージが、いかにも正規で本物らしく見える文面から、現実味に乏しいほどの大金で誘う、およそプロらしくない内容に移り変わった経緯を明らかにしました。自ら引っ掛かってしまうような被害者を狙っているため、どの詐欺メッセージも巧妙とはほど遠いものです。

今回の例は、前渡し金詐欺のすべてが、騙されやすい被害者だけを想定して手を抜いたものとは限らないことを思い出させてくれます。なかには、今回の養子縁組みのような作り話に何カ月も掛けて、説得力のある背景情報やそれらしい書類まで用意する創造的な詐欺師もいるということです。詐欺師の想像力と創造性が、これからも進化を続けることは間違いないでしょう。

Heartbleed Representa Risco para Clientes e Internet das Coisas

Hacker Medic April 17, 2014 No Comments

A maior parte do foco com o Heartbleed tem sido referente a sites públicos, mas o bug afeta muito mais do que isso. Ainda que os sites mais populares não estejam vulneráveis, isso não significa que o usuário final possa baixar a guarda.

O Heartbleed também afeta softwares das organizações e corrompe sites, e-mail, chats, FTPs, aplicativos móveis, VPN e atualizadores de software. Em suma, qualquer cliente que se comunique através de SSL/TLS, usando uma versão vulnerável de OpenSSL, está sujeito a ataques.

Além disso, o Heartbleed afeta diversos outros aparelhos além de servidores de Web. Entre eles, proxies e servidores de mídia, games, banco de dados, chat e FTP. Por fim, equipamentos de hardware não estão imunes à vulnerabilidade. Ela pode afetar roteadores, PABXs (sistemas telefônicos corporativos) e, provavelmente, uma série de aparelhos que possuem Internet – IoT (Internet da Coisas, em português).

O ataque a estes servidores de software e hardware por meio da vulnerabilidade Heartbleed é feito de forma semelhante a um ataque a sites vulneráveis. No entanto, golpes a clientes podem acontecer essencialmente da forma reversa.

Normalmente, a exploração do Heartbleed vem sendo descrita como um cliente atacante que envia uma mensagem maliciosa para um servidor vulnerável e este equipamento expõe os dados privados. No entanto, o contrário também acontece. Uma empresa vulnerável pode se conectar a um servidor e ele pode enviar uma mensagem maliciosa de Heartbeat para o cliente – que cliente responderá com dados adicionais encontrados em sua memória, potencialmente expondo credenciais e demais dados privados.

Figura 1. Como um cliente vulnerável é atacado

Felizmente, enquanto os clientes estão vulneráveis, pode ser difícil explorá-los em cenários do mundo real. Os dois principais vetores de ataque são instruir o cliente a visitar um servidor SSL/TLS malicioso ou sequestrar a conexão a partir de fraquezas não relacionadas. Ambos apresentam uma complicação adicional para o atacante.

Direcionar o cliente a um servidor malicioso

Um exemplo simples de como um cliente pode ser explorado é por meio de um navegador Web vulnerável. É preciso simplesmente convencer a vítima a visitar uma URL maliciosa para permitir que o servidor atacante consiga acesso à memória do navegador Web do cliente. Isso coloca em risco conteúdos como cookies de sessões anteriores, sites visitados, dados de formulários e credenciais de autenticação.

Os navegadores mais populares não utilizam OpenSSL, mas as bibliotecas NSS (Network Security Services) são vulneráveis ao Heartbleed. No entanto, muitos clientes Web de linha de comando usam OpenSSL (por exemplo, wget e curl) e estão suscetíveis.

O fato de um atacante precisar enganar o usuário para que visite um site malicioso pode mitigar parte do risco, mas isso nem sempre é necessário. Imagine um serviço online de tradução de idiomas que você fornece uma URL para uma página em francês a um serviço automatizado e o serviço traduzirá o conteúdo para o inglês. Nos bastidores, o serviço está buscando o conteúdo na página em francês usando seu próprio cliente de backend. Se você fornecer a URL de um servidor malicioso, o cliente de backend será explorado e o atacante pode coletar informações sensíveis como códigos ou credenciais do serviço de tradução.

Sequestro de conexão

Direcionar clientes para um servidor malicioso conforme descrito acima exige a instrução das pessoas para que visitem servidores arbitrários. No entanto, muitos clientes podem contatar apenas um domínio pré-definido, hard-coded. Nestes casos, ainda assim a pessoa pode ser explorada. Em redes abertas compartilhadas como algumas redes públicas de Wi-Fi, o tráfego pode ser visível e alterado por outros, permitindo que os atacantes redirecionem clientes vulneráveis. Normalmente, SSL/TLS (por exemplo, HTTPS, navegação Web criptografada) é uma das soluções para este problema, já que a criptografia evita o eavesdropping (espionagem do tráfego da rede) e redirecionamento. Porém, é possível enviar mensagens maliciosas de Heartbeat antes da sessão SSL/TLS estar plenamente estabelecida.

Um atacante pode entrar em uma rede pública e espionar (eavesdrop) vítimas em potencial. Quando uma vítima em potencial utiliza um cliente vulnerável para estabelecer uma conexão SSL/TLS com um servidor legítimo, o atacante redireciona a conexão para o servidor malicioso. Antes que a conexão SSL/TLS esteja plenamente estabelecida e tenha chance de bloquear qualquer redirecionamento, o atacante pode enviar uma mensagem maliciosa de Heartbeat, extraindo os conteúdos da memória do computador da vítima. Isso pode incluir dados privados como credenciais de autenticação.

Figura 2. Como um atacante pode sequestrar e redirecionar um cliente vulnerável em uma rede aberta compartilhada

Além da orientação prévia, nós também recomendamos:

Evite visitar domínios desconhecidos com qualquer software de cliente, que aceite mensagens Heartbeat usando bibliotecas vulneráveis OpenSSL;
Não utilize os serviços de proxy que não receberam patches;
Atualize softwares e hardwares conforme os fornecedores disponibilizarem patches;
Use um cliente VPN e serviço não vulnerável ao Heartbleed quando estiver em redes públicas.