Tag Archives: Security Response

Regin: Una herramienta de ciberespionaje que permite vigilar sigilosamente

Hacker Medic November 23, 2014 No Comments

Esta avanzada herramienta de espionaje muestra un grado de competencias técnicas que no se ven con frecuencia y ha sido usada en operaciones de espionaje con foco en gobiernos, operadores de infraestructura, negocios, investigadores e individuos específic

Twitter Card Style:

summary

Una malware avanzado conocido como Regin, se ha utilizado en campañas de espionaje sistemático contra una serie de objetivos internacionales desde al menos 2008. Regin es una pieza compleja de software malicioso del tipo backdoor cuya estructura muestra un grado de competencia técnica que no es muy común. Permite personalizar una amplia gama de capacidades en función del objetivo, ofrece a sus controladores un marco de gran alcance para la vigilancia de masas y se ha empleado en operaciones de espionaje contra organizaciones gubernamentales, operadores de infraestructura, empresas, investigadores y personas privadas.

Es probable que su desarrollo tomara meses, si no es que años, para ser completado y sus autores han hecho todo lo posible para cubrir sus pistas. Sus capacidades y el nivel de recursos detrás de Regin, indican que es una de las principales herramientas de ciberespionaje utilizadas por un Estado-Nación.

Como se indica en un nuevo informe de Symantec[DOB1] , Backdoor.Regin [DOB2] es una amenaza de múltiples etapas y cada una está oculta y cifrada, con la excepción de la primera, en la que se inicia una cadena dominó de descifrado y se carga cada etapa posterior, dando un total de cinco etapas. Cada etapa individual proporciona poca información sobre el paquete completo. Sólo mediante la adquisición de las cinco etapas es posible analizar y comprender la amenaza.

Figura 1. Las 5 etapas de Regin

Regin también utiliza un enfoque modular, lo que permite que se carguen o incluyan características personalizadas adaptadas al objetivo. Este enfoque modular se ha visto en otras familias de malware sofisticado tales como Flamer y Weevil (La Máscara), mientras que la arquitectura de carga multi-etapa es similar a la observada en la familia de amenazas Duqu/Stuxnet.

Línea de tiempo y perfil del objetivo

Las infecciones Regin se han observado en una variedad de organizaciones, entre 2008 y 2011, tras lo cual, se retiró abruptamente. Una nueva versión del malware resurgió a partir de 2013. Los objetivos incluyen empresas privadas, entidades gubernamentales e institutos de investigación. Mientras que casi la mitad de todas las infecciones se produjeron en direcciones que pertenecen a los proveedores de servicios de internet (ISPs), los objetivos de estas infecciones eran miembros de esas empresas. Del mismo modo, los ataques a empresas de telecomunicaciones parecen estar diseñados para tener acceso a las llamadas que se enrutan a través de su infraestructura.

Figura 2. Infecciones confirmadas de Regin por sector

Las infecciones son también geográficamente diversas, habiendo sido identificadas en diez países diferentes.

Figura 3. Infecciones confirmadas de Regin por país

Vector de la infección y cargas útiles

El vector de la infección varía entre objetivos y ningún vector reproducible se ha encontrado al momento de la escritura. Symantec cree que algunos objetivos pueden ocultados para visitar versiones falsas de sitios web conocidos y la amenaza puede ser instalada a través del navegador web o mediante la explotación de una aplicación. En una computadora, los archivos de registro mostraron que Regin se originó de Yahoo! Instant Messenger, a través de una secuencia de mandos sin confirmar.

Regin utiliza un enfoque modular, lo que da flexibilidad a los operadores de estas amenazas, ya que pueden cargar características personalizadas adaptadas a cada objetivo individual cuando sea necesario. Algunas cargas útiles personalizadas son muy avanzadas y exhiben un alto grado de conocimientos en sectores especializados, una prueba más del alto grado de recursos de los que disponen los autores de Regin.

Hay docenas de cargas útiles Regin. Las capacidades estándar de la amenaza incluyen varias características de acceso remoto troyano (RAT) tales como: captura de pantalla, control de las funciones del mouse, robo de contraseñas, monitoreo del tráfico de la red y la recuperación de archivos borrados.

Más específicos y avanzados módulos de carga útil también fueron descubiertos, tal es el caso de un monitoreo del tráfico del servidor web Microsoft IIS y un rastreador de tráfico de la administración del control de estaciones base de telefonía móvil.

Precauciones

Los desarrolladores de Regin ponen un considerable esfuerzo para hacerlo altamente discreto. Su carácter discreto significa que potencialmente puede ser utilizado en las campañas de espionaje que duran varios años. Incluso, cuando se detecta su presencia, es muy difícil determinar lo que está haciendo. Symantec sólo fue capaz de analizar las cargas útiles después de descifrar archivos ejemplo.

Tiene varias características “de precaución”. Éstas incluyen capacidades anti-forenses, un sistema virtual hecho a la medida de encriptado de archivos (EVFS) y cifrado alterno en la forma de una variante de RC5, que no se usa comúnmente. Regin utiliza múltiples sofisticados medios para comunicarse secretamente con el atacante, incluso a través de ICMP/ping, la incrustación de comandos en las cookies de HTTP, TCP personalizado y protocolos UDP.

Conclusiones

Regin es una amenaza altamente compleja que se ha utilizado en recolección sistemática de datos o campañas de recopilación de inteligencia. El desarrollo y el funcionamiento de este malware han requerido una importante inversión de tiempo y recursos, lo que indica que detrás es probable que esté un Estado/Nación. Su diseño hace que sea muy adecuado para las operaciones de vigilancia persistentes y de largo plazo contra objetivos.

El descubrimiento de Regin destaca las grandes inversiones que se siguen haciendo en el desarrollo de herramientas para su uso en la recopilación de inteligencia. Symantec cree que muchos de los componentes de Regin permanecen sin ser descubiertos y pueden existir funciones y versiones adicionales. Un análisis adicional continúa y Symantec publicará cualquier actualización de futuros descubrimientos.

Otras lecturas

Indicadores para los administradores de seguridad e información técnica y detallada sobre Regin se puede encontrar en nuestro whitepaper – Regin: Top-tier espionage tool enables stealthy surveillance

Información de protección

Symantec detecta esta amenaza como Backdoor.Regin[DOB4] .

Whitepaper – Regin: Top-tier espionage tool enables stealthy surveillance

Regin: Ferramenta sofisticada de espionagem permite vigilância discreta

Hacker Medic November 23, 2014 No Comments

A ferramenta avançada de espionagem exibe um grau de competência técnica raramente visto e foi usada em operações contra governos, operadores de infraestrutura, empresas, pesquisadores e indivíduos.

Twitter Card Style:

summary

Um malware avançado conhecido como Regin foi utilizado em campanhas sistemáticas de espionagem contra uma variedade de alvos internacionais desde, pelo menos, 2008. Considerado um Cavalo de Tróia do tipo Backdoor, o Regin é um malware complexo, cuja estrutura exibe um grau de competência técnica raramente encontrado. Customizável através de uma ampla gama de capacidades, dependendo do alvo, ele oferece aos controladores um framework poderoso para vigilância em massa, e foi utilizado em operações de espionagem contra organizações governamentais, operadores de infraestrutura, empresas, pesquisadores e indivíduos.

É provável que seu desenvolvimento tenha consumido meses, ou até mesmo anos, até ser concluído, e seus autores se empenharam em apagar seus rastros. Suas capacidades e o nível dos recursos por trás do Regin indicam que ela é uma das principais ferramentas de ciberespionagem utilizadas por um Estado-nação.

Conforme destacado em um novo relatório técnico da Symantec, o Backdoor.Regin é uma ameaça de múltiplos estágios, e cada um deles está escondido e criptografado, com exceção do primeiro. A execução do primeiro nível inicia uma cadeia em dominó de decodificação e carregamento de cada estágio subsequente, em um total de cinco. E assim eles fornecem poucas informações sobre o pacote completo. Somente ao obter todos os cinco estágios é possível analisar e entender a ameaça.

Figura 1. Os cinco estágios do Regin

O Regin também utiliza uma abordagem modular, permitindo que carregue recursos customizados sob medida para o alvo. Esta abordagem modular foi vista em outros grupos sofisticados de malware, como Flamer e Weevil (The Mask), enquanto a arquitetura de carregamento em múltiplos estágios é semelhante à vista na família de ameaças Duqu/Stuxnet.

Linha do tempo e perfil do alvo

Infecções por Regin foram observadas em uma variedade de organizações entre 2008 e 2011, quando ele foi repentinamente recolhido. Uma nova versão do malware reapareceu em 2013. Entre os alvos estão empresas privadas, órgãos governamentais e institutos de pesquisa. E quase metade de todas as infecções foi dirigida a indivíduos e pequenas empresas. Ataques contra empresas de telecomunicações parecem projetados para obter acesso a ligações direcionadas ao longo de sua infraestrutura.

Figura 2. Infecções confirmadas por Regin por setor

As infecções também foram geograficamente variadas, tendo sido identificadas principalmente em dez países diferentes

Figura 3. Infecções confirmadas por Regin por país

Vetor de infecção e payloads

O vetor de infecção varia e nenhum vetor reprodutível foi encontrado até o momento. A Symantec acredita que alguns alvos podem ser enganados e levados a visitar versões falsas de sites conhecidos, além de a ameaça poder ser instalada através de um navegador ou pela exploração de uma aplicação. Em um computador, os arquivos de registro mostraram que o Regin foi originado no Yahoo! Instant Messenger através de uma exploração não-confirmada.

A ameaça utiliza uma abordagem modular, dando flexibilidade aos operadores, que podem carregar recursos customizados sob medida para alvos individuais, conforme necessário. Alguns payloads customizados são muito avançados e apresentam um alto grau de conhecimento em setores especializados, indicação maior do nível de recursos disponíveis aos autores do Regin.

Há dezenas de payloads do Regin. As capacidades padrão da ameaça incluem diversos recursos de Trojan de Acesso Remoto (RAT), como captura de imagens de tela, tomada de controle das funções de apontar e clicar do mouse, roubo de senhas, monitoramento do tráfego da rede e recuperação de arquivos apagados.

Módulos de payload mais específicos e avançados também foram descobertos, como um monitor de tráfego do servidor de web Microsoft IIS e um sniffer de tráfego da administração de controladores de estações base de telefonia móvel.

Furtivo
Os desenvolvedores do Regin empenharam esforços consideráveis para torná-lo extremamente discreto. Sua natureza discreta significa que pode potencialmente ser empregado em campanhas de espionagem com diversos anos de duração. Mesmo quando sua presença é detectada, é muito difícil determinar o que estava fazendo. A Symantec só foi capaz de analisar os payloads depois de decodificar arquivos de amostra.

Ele tem vários recursos “furtivos”. Entre eles, capacidades anti-forenses, um sistema de arquivo virtual criptografado sob medida (EVFS), e criptografia alternativa na forma de uma variação do RC5, que não é comumente usada. A ameaça usa diversas formas sofisticadas para se comunicar secretamente com o atacante, inclusive através de ICMP/ping, integrando comandos em cookies HTTP, e protocolos TCP e UDP customizados.

Conclusões
O Regin é uma ameaça extremamente complexa que foi utilizada em campanhas de coleta sistemática de dados e de inteligência. O desenvolvimento e a operação deste malware devem ter exigido investimentos significativos de tempo e recursos, indicando que um Estado-nação seja o responsável pelo malware. Seu design o torna perfeito para operações de vigilância persistentes, de longo prazo, contra os alvos.

A descoberta do Regin destaca como investimentos significativos continuam sendo feitos para o desenvolvimento de ferramentas para uso na coleta de inteligência. A Symantec acredita que muitos componentes da ameaça continuam desconhecidos e devem existir funcionalidades e versões adicionais. As análises adicionais continuam e a Symantec publicará quaisquer atualizações sobre futuras descobertas.

Leitura adicional

Indicadores de comprometimento para administradores de segurança e informações técnicas mais detalhadas podem ser encontrados em nosso relatório técnico – Regin: Top-tier espionage tool enables stealthy surveillance

Informações de proteção

Produtos Symantec e Norton detectam esta ameaça como Backdoor.Regin.

??: ??? ?? ??? ?? ??? ?? ?

Hacker Medic November 23, 2014 No Comments

지능적인 스파이 툴인 레긴은 매우 높은 수준의 전문 기술을 갖추고 정부, 기간 산업 기관, 기업, 연구 기관, 개인 사용자를 겨냥한 각종 스파이 작전에 사용되고 있습니다.

Twitter Card Style:

summary

지능적인 악성 코드 중 하나인 레긴(Regin)은 적어도 2008년부터 전 세계의 다양한 표적을 대상으로 한 조직적인 스파이 작전에 활용되어 왔습니다. 백도어 유형의 트로이 목마인 레긴은 매우 높은 수준의 기술 전문성을 갖춘 복잡한 악성 코드입니다. 레긴은 광범위한 기능을 활용하여 표적에 따라 맞춤 구현할 수 있으며, 관련 제어 권한을 가진 사용자에게 대규모 정탐을 가능케 하는 강력한 프레임워크를 제공하므로 정부 기관, 기간산업 기관, 기업, 연구 기관, 개인 사용자를 대상으로 한 스파이 작전에 이용되어 왔습니다.

레긴을 개발하는 데 수개월에서 많게는 수년이 소요되었을 것으로 보이며 개발자들이 관련 행적을 감추기 위해 많은 노력을 기울였을 것으로 추측됩니다. 레긴의 기능과 그를 뒷받침하는 리소스의 수준으로 미루어볼 때 이 악성 코드는 일부 국가 정부에서 사용되는 주요 사이버 첩보 수단 중 하나로 보입니다.

시만텍이 새로 발표한 기술 백서에서 소개하는 것처럼 Backdoor.Regin은 다단계 보안 위협으로, 첫 단계를 제외한 모든 단계가 암호화되고 숨겨져 있습니다. 첫 단계를 실행하면 후속 단계가 차례로 해독되고 로드되어 총 5단계가 수행되는데, 개별 단계만으로는 전체 패키지를 파악하는 것이 거의 불가능합니다. 이 보안 위협을 분석하고 이해하려면 다섯 단계 전체를 획득해야 합니다.

Page 2.png
그림 1. 레긴의 5단계

또한 레긴은 모듈 방식을 사용하므로 공격 표적에 따라 맞춤 기능을 로드하는 것이 가능합니다. 이러한 모듈 방식은 Flamer, Weevil(The Mask)과 같은 다른 정교한 악성 코드 그룹에서도 확인된 바 있으며, 다단계 로딩 아키텍처는 Duqu/Stuxnet 보안 위협 계열과 유사합니다.

추이 및 공격 대상
레긴 감염 사례는 2008년에서 2011년 사이에 다양한 조직에서 발견되었다가 갑작스럽게 사라졌습니다. 2013년부터는 이 악성 코드의 새로운 버전이 활동하기 시작했는데, 민간 기업을 비롯하여 정부 기관, 연구 기관 등이 공격 표적에 포함되었습니다. 절반에 가까운 감염 사례가 개인 사용자와 소기업에서 발견되었습니다. 통신 회사에 대한 공격은 해당 인프라스트럭처를 통해 통화 라우팅에 접근하는 데 주안점을 두고 설계된 것으로 보입니다.

Page 3-1.png
그림 2. 확인된 레긴 감염 사례(부문별)

한편 감염 사례는 다양한 지역에서 나타나고 있는데, 특히 10개국에서 그 활동이 두드러졌습니다.

Page 3-2.png

그림 3. 확인된 레긴 감염 사례(국가별)

감염 벡터 및 페이로드
레긴의 감염 벡터는 표적에 따라 달라지며, 현재로서는 재현 가능한 벡터가 발견되지 않았습니다. 시만텍은 일부 피해자들이 유명 웹 사이트를 사칭한 스푸핑 버전에 방문하도록 유인되었을 것으로 보고 있습니다. 이 경우 보안 위협이 웹 브라우저 또는 애플리케이션 익스플로잇을 통해 설치될 가능성이 있습니다. 실제로 일부 시스템의 로그 파일을 보면 Yahoo! Instant Messenger의 미확인 익스플로잇을 통해 레긴이 유입된 것을 알 수 있습니다.

레긴은 모듈 방식을 사용하므로 공격자가 필요에 따라 표적에 적합한 맞춤형 기능을 추가할 수 있는 유연성을 제공합니다. 일부 맞춤형 페이로드는 매우 정교하고 특정 분야에 대한 고도의 전문성을 보여주는데, 이 역시 레긴 개발 조직이 보유한 리소스의 수준을 가늠케 합니다.

레긴 페이로드는 수십 가지에 달합니다. 이 보안 위협은 다양한 RAT(Remote Access Trojan) 기능을 표준으로 제공하며, 여기에는 스크린샷 캡처, 마우스의 포인트 앤 클릭 기능 제어, 암호 도용, 네트워크 트래픽 감시, 삭제 파일 복구 등이 포함됩니다.

그 외에 Microsoft IIS 웹 서버 트래픽 모니터, 휴대폰 기지국 제어 장치 관리에 대한 트래픽 감시 프로그램 등 보다 정교하고 특화된 형태의 페이로드 모듈도 발견되었습니다.

은닉 기능
레긴 개발자들은 이 악성 코드가 이목을 끌지 않도록 하는 데 각별한 노력을 기울였습니다. 이러한 은닉성은 수년에 걸친 첩보 작전에 이용될 가능성을 시사합니다. 심지어 악성 코드의 존재가 드러나는 경우라도 구체적으로 어떤 활동을 수행하는지 파악하기가 매우 어렵습니다. 시만텍은 샘플 파일을 해독한 후에야 페이로드를 분석할 수 있었습니다.

레긴은 다양한 “은닉” 기능을 갖추고 있습니다. 그중에는 분석 차단(anti-forensics) 기능, 맞춤형 암호화 가상 파일 시스템(EVFS), 일반적으로 사용되진 않지만 RC5 변종의 형태를 띤 대체 암호화 기능이 포함되어 있습니다. 레긴은 ICMP/ping, HTTP 쿠키에 포함된 명령, 맞춤형 TCP 및 UDP 프로토콜 등 여러 정교한 수단을 통해 공격자와 은밀하게 소통합니다.

결론
레긴은 매우 복잡한 보안 위협으로 조직적인 데이터 수집 또는 첩보 작전에 이용되어 왔습니다. 공격자가 이 악성 코드를 개발하고 운영하는 데 상당한 시간과 재원을 투자했을 것으로 보이며, 이는 배후에 국가 정부가 개입되어 있을 가능성을 시사합니다. 이 악성 코드는 표적을 지속적이고 장기적으로 정탐하는 데 최적화되어 있습니다.

레긴의 발견은 첩보 활동을 위한 툴 개발에 지속적으로 얼마나 많은 투자가 이루어지는지 보여줍니다. 시만텍은 레긴의 구성 요소 중 상당수가 아직 밝혀지지 않았으며 또 다른 기능과 버전도 존재할 가능성이 있다고 판단합니다. 시만텍은 추가적인 분석을 통해 새롭게 밝혀지는 정보를 업데이트할 계획입니다.

추가 자료
보안 관리자가 주목해야 할 감염 지표를 비롯하여 보다 자세하고 기술적인 정보는 시만텍 기술 백서, 레긴: 은밀한 감시 기능을 갖춘 최첨단 첩보 툴을 참조하십시오.

시만텍의 보호
시만텍 및 노턴 제품은 이 보안 위협을 Backdoor.Regin으로 탐지합니다.

Regin??????????????????

Hacker Medic November 23, 2014 No Comments

Regin 是一款先進的窺伺工具，本身具有極為罕見的技術專業能力，並且已經運用於窺伺政府機關、基礎設施營運商、各級企業、研究機構乃至於平民個人。

Twitter Card Style:

summary

這款先進的惡意軟體，名稱為 Regin；至少自 2008 年起就已經開始用運用在有系統的窺伺活動中，針對許多跨國目標進行窺伺。Regin 屬於後門類型的木馬程式，是一款複雜的惡意軟體，其結構呈現出罕見的技術專業能力。這款惡意軟體藉由依目標而定的眾多功能實現自訂目標，能夠使其操控者得以運用功能強大的架構進行大規模監視，並且已經運用在以政府機關、基礎設施營運商、各級企業、研究機構乃至於平民個人為對象的窺伺行動當中。

這款惡意軟體的開發時間，就算不是耗時數年，也是耗費數個月才完成的；而且作者也花費許多心思隱匿其蹤跡。Regin 的功能及其背後所投注的資源層級，在在顯示，這是一款國家級的重大網路刺探工具。

正如賽門鐵克在新發行的技術白皮書中所言，Backdoor.Regin 是一項分段式威脅，而且除第一階段外，各個階段都經過隱藏並以加密處理。執行第一階段會啟動一連串的解密作業，並載入所有後續階段，一共五個階段。而各別階段皆提供少量有關完整套件的資訊。只有集合全部五個階段，才能分析並瞭解這項威脅。

圖 1.Regin 的五個階段

Regin 也採用模組化方式，載入專為特定目標而設計的自訂功能。這種模組化方式也已經在其他系列的精密惡意軟體系列中發現，例如 Flamer 與 Weevil (即「面具」)，而分段式載入架構，也類似於 Duqu/Stuxnet 系列威脅所呈現的情況。

時間進程與目標相關資料
在 2008 年至 2011 年之間，我們觀察到 Regin 感染各種組織機構，而在此之後，它卻突然隱匿。而此惡意軟體的新版本，則是自 2013 年起重新出現。攻擊目標包含民營公司、政府機關以及研究機構。將近半數的感染，都是以平民個人與小型企業做為目標。針對電信公司的攻擊，顯然意在取得透過其基礎設施傳送的通話內容。

圖 2.經各部門所確認的 Regin 感染事件

感染事件發生在各個不同的地區，已經獲悉的感染，主要發生於十個不同的國家地區。

圖 2.經各部門所確認的 Regin 感染事件

感染事件發生在各個不同的地區，已經獲悉的感染，主要發生於十個不同的國家地區。

POS malware: Potent threat remains for retailers

Hacker Medic November 20, 2014 No Comments

The retail industry continues to be a low-hanging fruit for attackers and attacks are likely to continue until the full transition to more secure payment technologies.

Twitter Card Style:

summary

As Americans gear up for another holiday shopping season, the threat posed by point-of-sale malware remains high. More than a year after the discovery of the first major attacks against POS networks, many US retailers are still vulnerable to this type of attack and are likely to remain so until the complete transition to more secure payment card technologies in 2015.

While some retailers have enhanced security by implementing encryption on their POS terminals, others have not and retailers will continue to be a low-hanging fruit for some time. While the introduction of new technologies will help stem the flow of attacks, it will not eliminate fraud completely and attackers have a track record of adapting their methods.

Point-of-sale malware is now one of the biggest sources of stolen payment cards for cybercriminals. Although it hit the headlines over the past year, the POS malware threat has been slowly germinating since 2005 and the retail industry missed several warning signals in the intervening period. This allowed attackers to hone their methods and paved the way for the mega-breaches of 2013 and 2014, which compromised approximately 100 million payment cards and potentially affected up to one-in-three people in the US.

Attacks have reached epidemic proportions in part because POS malware kits are now widely available, which means attackers can target retailers without having to develop their tools from scratch. For example, BlackPOS (detected by Symantec as Infostealer.Reedum), which was used in the some of the most high profile attacks, has been for sale since February 2013 with a price tag of US$2,000. This is a relatively small investment for attackers, who are likely to net millions from a successful operation.

Figure 1. Point-of-sale attacks exploded once malware kits became widely available on the cyberunderground

Hopelessly exposed
Attacks on point-of-sale terminals had their genesis as far back as 2005, when attackers began using networking-sniffing malware to intercept payment card data while in transit. A group of attackers led by Albert Gonzalez were the main perpetrators, stealing more than 90 million card records from retailers.

As payments processors and retailers tightened up their security, the attackers adapted and attention turned to the point-of-sale terminal. When a card is swiped, its details are briefly stored in the terminal’s memory while being transmitted to the payment processor. This provides a brief window for malware on the terminal to copy the card data, which it then transmits back to the attackers. The technique is known as “memory scraping”.

POS malware was first discovered October 2008, when Visa issued an alert on a new type of exploit. During a fraud investigation, it found that attackers had been installing debugging software on POS systems that was capable of extracting full magnetic stripe data from its memory. Little heed appears to have been taken of this warning, giving malware developers time to perfect their methods. In the intervening period, developers have worked to streamline the malware, integrating all functionality into a single piece of software.

This development process eventually led to fully featured POS malware kits emerging on underground markets from 2012 onwards. US retailers were hopelessly exposed and what followed was a flood of high profile breaches, with several major US retailers hit by POS malware attacks.

Spotlight: BlackPOS
One of the most widely used forms of POS malware is BlackPOS which is also known as KAPTOXA, Memory Monitor, Dump Memory Grabber, and Reedum. Variants of BlackPOS have been used to mount some of the biggest retail POS breaches.

Its development mirrors the evolution of the broader POS malware market. The earliest versions of BlackPOS date from 2010. Over time, it has evolved into a highly capable cybercrime tool which employs encryption to cover its tracks and can be customized to suit the target environment.

By February 2013, BlackPOS was ready for the mass market and the group behind one of its variants began selling it on underground forums, charging customers $2,000 for the package.

Thriving marketplace
While the malware used to mount POS attacks is usually sold on underground forums, these forums are also often where the bounty of those attacks returns to be sold. For example, stolen credit card details from some of the biggest US breaches were sold on a forum known as Rescator.

New research from Symantec found that prices can vary heavily depending on a number of factors, such as the type of card and its level, i.e. gold, platinum or business. Card data originating from the US tends to be cheaper because of the widespread availability stolen US cards. Card details along with extra information, known as “Fullz”, tend to attract higher prices because details such as someone’s date of birth or credit card security password make it easier to perform fraudulent transactions or other activities.

Single credit cards from the US tend to cost $1.50 to $5, with discounts often available for those who buy in bulk. Single cards from the EU tend to cost more, selling for $5 to $8. Fullz start at $5 and can range up to $20. A single embossed plastic card with custom number and name meanwhile will sell for approximately $70. The stolen cards uploaded to Rescator were initially selling at a cost of $45 to $130 per card before prices later settled down.

Will new technologies render POS malware obsolete?
New payment card technologies, many of which are already in use in Europe, have been promoted as effective countermeasures for POS malware but are not a silver bullet. Their arrival is likely to herald the end of the large-scale POS breaches seen in recent years, but they will not eradicate theft of credit card data completely.

The adoption of EMV, chip-and-pin cards to replace traditional magnetic stripe cards ought to render the current generation of memory-scraping POS malware ineffective. However, chip-and-pin cards are still susceptible to skimming attacks and stolen credit card numbers can still be used in “card-not-present” transactions, such as online purchases.

Additionally, stolen credit card information in Europe is often used in the US since it doesn’t have chip and pin as a verification method. Going by this precedent, the advent of chip and pin in the US may mean attackers will continue to attempt to steal card information but use it in other countries that don’t use the chip-and-pin standard.

The chip-and-pin standard itself may be superseded at some point by the adoption of NFC mobile payment solutions such as Apple Pay, Google Wallet or CurrentC. With these payment technologies, the credit card number isn’t transmitted during the transaction. NFC is still susceptible to exploitation by attackers, but most attacks require physical proximity, making large-scale thefts almost impossible.

Advice for consumers
Some retailers are rolling out encryption on their point-of-sale networks to prevent memory scanning, which is encouraging. However, attackers have a tendency to adapt and evolve, and will no doubt look to circumvent these additional countermeasures.

There are several steps you can take to remain vigilant against this type of fraud:

Monitor your bank account and credit card statements for any strange or unfamiliar transactions. Notify your bank immediately if you notice anything suspicious. Small transactions, such as a $1 charitable donation, are often used by criminals to test if a card is still usable.
Carefully guard personal information such as your address, your Social Security number, or date of birth, and don’t use easily guessed passwords or PIN codes. All of these details can be used to facilitate identity theft and defeat additional security checks.

Advice for businesses
Symantec has a number of solutions for retailers who wish to guard their point-of-sale systems from attack. For more details, please read: Secure Your Point-of-Sale System

Symantec protection
Symantec products detect all of the currently known variants of point-of-sale malware, including:

BlackPOS

FrameworkPOS

Infostealer.Reedum.D

Dexter

Infostealer.Dexter

Chewbacca

Infostealer.Fysna

JackPOS

Infostealer.Jackpos

RawPOS

Vskimmer

Infostealer.Vskim

Backoff

Further information
For more information about attacks against POS systems, please read our whitepaper entitled: Attacks on point of sales systems

Annual G20 summit is attractive target for Flea attack group

Hacker Medic November 13, 2014 No Comments

Attackers attempt to steal information from targeted officials through spear-phishing emails.

G20 summit 1 edit.jpg

Each year, as world leaders come together to discuss a variety of global economic issues at the G20 summit, organizations with a vested interest in the event are the recipients of malicious emails from threat actors.

This year, the summit will be held in Brisbane, Australia on November 15 and 16 and a specific attack group, which we call Flea, has been circulating malicious emails throughout 2014 in anticipation of the event. Targets include an international economic organization as well as a group connected to multiple monetary authorities. Once the attackers have compromised their target’s computers, they identify and steal valuable information from them.

Who is the Flea attack group?
The Flea attackers have been active since at least 2010 when they sent a decoy document to target those interested in the G20 Summit held in Seoul, South Korea that year. They have typically targeted European governments, global military organizations, and financial institutions. Flea uses one particular attack tool, detected as Infostealer.Hoardy, which can open a back door, run shell commands, and upload and download files on the compromised computer.

The attackers’ primary motivation is to steal information from targeted officials. They typically send spear-phishing emails with malicious attachments to compromise their intended victims’ computers. The content of these messages usually centers on an international event or theme that is of interest to their targets, such as nuclear issues, the Olympics, and major political conferences. They may also disguise these emails as job applications and send them to HR departments of targeted firms. Once the malware infects their target’s computers, the threat gives the attackers the ability to carry out reconnaissance on the compromised computers and identify and exfiltrate valuable information.

The Flea attack group carries out new attacks every four to eight months, suggesting that the group only wishes to steal information over a short amount of time. Flea’s attack tools also indicate that the group is not interested in laterally moving across compromised networks to reach other targets.

G20 summit 2.png

Figure 1. Flea attacks since 2010

Current G20 summit campaign
The Flea group has been circulating two G20-themed emails in the run-up to this weekend’s summit. The subject of one of these emails posits, “What exactly is the point of the G20 in Australia?” The email includes a malicious Word document that attempts to exploit the Microsoft Windows Common Controls ActiveX Control Remote Code Execution Vulnerability (CVE-2012-0158) on vulnerable computers.

Another email relates to a G20 document that is of interest to financial institutions. Following each meeting between finance ministers and central bank governors, a communiqué is released which includes G20 policy discussions and commitments. The Flea attackers know about these documents and have been circulating emails with the subject “Communiqué Meeting of G20 Finance Ministers and Central Bank” along with a malicious Word document similar to the one previously discussed.

In each of these examples, the malicious Word documents have been used to deploy Infostealer.Hoardy. A non-malicious Word document is also opened up on the compromised computer to ensure that the recipient doesn’t suspect that anything is amiss.

G20 Summit 3.png

Figure 2. Non-malicious Word document

The attackers have sent these emails to multiple targets, including an international economic organization and a group connected to multiple monetary authorities. These targets have an interest in what is discussed at the G20 summit and some may have delegations attending the event. It gives the attackers a major opportunity to steal valuable data from their targets by enticing them with G20-themed communications.

Future G20-themed attacks
The Flea attack group isn’t the only threat to worry about during G20 summits. Threat actors have always found the G20 summit an opportune time to target individuals within governments and financial and economic development organizations. Prior to last year’s summit in Saint Petersburg, Russia, we observed a campaign using the Poison Ivy remote access Trojan (RAT) to target multiple groups. These targeted organizations should expect more of the same during future G20 summits. Different threat actors will no doubt continue to use organizations’ interests in the G20 summit to target them again in the coming years.

Protection
Symantec recommends that users exercise caution when opening emails and attachments from unexpected or unknown senders. Symantec detects the malware used in these latest G20-themed attacks as Infostealer.Hoardy.

Indicators of compromise
MD5s:

026936afbbbdd9034f0a24b4032bd2f8
069aeba691efe44bfdc0377cd58b16ae
072af79bb2705b27ac2e8d61a25af04b
09b5f55ce2c73883c1f168ec34d70eb9
153b035161c8f50e343f143d0f9d327f
277487587ae9c11d7f4bd5336275a906
2a3da83f4037ad82790b2a6f86e28aa2
2df1fd8d73c39dbdbb0e0cdc6dbd70de
34252b84bb92e533ab3be2a075ab69ac
4c46abe77c752f21a59ee03da0ad5011
4c86634100493f0200bbdaf75efa0ebe
56dd30a460cdd3cf0c5356558550e160
5cc39185b302cc446c503d34ce85bab7
5ee64f9e44cddaa7ed11d752a149484d
5ee81c755aa668fc12a9cbcbab51912f
5ff0cb0184c2bcfbda32354f68ca043c
62af361228a14b310042e69d6bab512c
649691e1d367721f0ff899fd31133915
6af82418fa391ea1c5b9a568cb6486b1
6cb633b371700d1bd6fde49ab38ca471
703c9218e52275ad36147f45258d540d
727ef86947f5e109435298e077296a42
745355bbb33c63ebc87d0c021eebbf67
777aab06646701c2c454db5c06982646
7fd4dcc3ae97a5cd2d229b63f1daa4b6
82b1712156c5af50e634914501c24fb1
89495d7f2f79848693f593ea8385c5cd
8aebcd65ac4a8c10f0f676a62241ca70
8c7cf7baaf20fe9bec63eb8928afdb41
8c8d6518910bc100e159b587a7eb7f8d
98f58f61f4510be9c531feb5f000172f
a8d6302b5711699a3229811bdad204ca
aa0126970bab1fa5ef150ca9ef9d9e2e
abe4a942cb26cd87a35480751c0e50ae
b391d47b37841741a1817221b946854a
b68a16cef982e6451ddf26568c60833d
b9c47a5ccd90fda2f935fc844d73c086
be58180f4f7ee6a643ab1469a40ffbca
c2c1bc15e7d172f9cd386548da917bed
c50116a3360eec4721fec95fe01cf30e
c718d03d7e48a588e54cc0942854cb9e
d03d53f3b555fe1345df9da63aca0aaf
da9f870ef404c0f6d3b7069f51a3de70
e0abc2e1297b60d2ef92c8c3a0e66f14
e4d8bb0b93f5da317d150f039964d734
e75527a20bb75aa9d12a4d1df19b91fa
e8c26a8de33465b184d9a214b32c0af8
ecc1167a5f45d72c899303f9bbe44bbc
feec98688fe3f575e9ee2bd64c33d646
14e79a4db9666e0070fe745551a2a73e
2fc6827c453a95f64862638782ffeb9d
4f2cc578e92cdf21f776cbc3466bad10
b2c51b84a0ebb5b8fc13e9ff23175596
cc92b45a6568845de77426382edf7eb0
05f854faef3a47b0b3d220adee5ccb45
db8e651a2842c9d40bd98b18ea9c4836
15302b87fe0e4471a7694b3bc4ec9192
9ee87ad0842acf7fc0413f2889c1703e
836ea5f415678a07fd6770966c208120
ea12d6f883db4415d6430504b1876dc6
88e869f7b628670e16ce2d313aa24d64

Command-and-control servers:

g20news.ns01[.]us
news.studenttrail[.]com
skyline.ns1[.]name
www.trap.dsmtp[.]com
ftp.backofficepower[.]com
news.freewww[.]info
blackberry.dsmtp[.]com
adele.zyns[.]com
windowsupdate.serveuser[.]com
officescan.securitynh[.]com
cascais.epac[.]to
www.errorreporting.sendsmtp[.]com
www.sumba.freetcp[.]com
google.winfy[.]info
cname.yahoo.sendsmtp[.]com
mail.yahoo.sendsmtp[.]com
update.msntoole[.]com
expo2010.zyns[.]com
win7.sixth[.]biz
ensun.dyndns[.]org
www.spaces.ddns[.]us
blog.strancorproduct[.]info
belgiquede[.]com
brazil.queretara[.]net
facebook.proxydns[.]com
windows.serveusers[.]com

The four most important online security events of 2014

Hacker Medic November 13, 2014 No Comments

From major vulnerabilities to cyberespionage, Symantec looks at what the past year has brought and what it means for the future.

With such an array of security incidents in 2014—from large-scale data breaches to vulnerabilities in the very foundation of the web—it’s difficult to know which to prioritize. Which developments were merely interesting and which speak of larger trends in the online security space? Which threats are remnants from the past and which are the indications for what the future holds?

The following are four of the most important developments in the online security arena over the past year, what we learned (or should have learned) from them, and what they portend for the coming year.

The discovery of the Heartbleed and ShellShockBash Bug vulnerabilities
In spring 2014, the Heartbleed vulnerability was discovered. Heartbleed is a serious vulnerability in OpenSSL, one of the most common implementations of the SSL and TLS protocols and used across many major websites. Heartbleed allows attackers to steal sensitive information such as login credentials, personal data, or even decryption keys that can lead to the decryption of secure communications.

Then, in early fall, a vulnerability was found in Bash, a common component known as a shell, which is included in most versions of the Linux and Unix operating systems, in addition to Mac OS X (which is, itself, based around Unix).

Known as ShellShock or the Bash Bug, this vulnerability allows an attacker to not only steal data from a compromised computer, but also to gain control over the computer itself, potentially providing them with access to other computers on the network.

Heartbleed and ShellShock turned the spotlight on the security of open-source software and how it is at the core of so many systems that we rely on for e-commerce. For vulnerabilities in proprietary software we just need to rely on a single vendor to provide a patch. However, when it comes to open-source software, that software may be integrated into any number of applications and systems. This means that an administrator has to depend on a variety of vendors to supply patches. With ShellShock and Heartbleed there was a lot of confusion regarding the availability and effectiveness of patches. Hopefully this will serve as a wake-up call for how we need greater coordinated responses to open-source vulnerabilities, similar to the MAPP program.

Moving forward, new threats like these will continue to be discovered in open-source programs. But while this is potentially a rich, new area for attackers, the greatest risk continues to come from vulnerabilities that are known, but where the appropriate patches aren’t being applied. This year’s Internet Security Threat Report showed that 77 percent of legitimate websites had exploitable vulnerabilities. So, yes, in 2015 we’ll see attackers using Heartbleed or ShellShock, but there are hundreds of other unpatched vulnerabilities that hackers will continue to exploit with impunity.

Coordinated cyberespionage and potential cybersabotage: Dragonfly and Turla
The Dragonfly group, which appears to have been in operation since at least 2011, initially targeted defense and aviation companies in the US and Canada, before shifting its focus mainly to energy firms in early 2013. Capable of launching attacks through several different vectors, its most ambitious attack campaign compromised a number of industrial control system (ICS) equipment providers, infecting their software with a remote access-type Trojan. This gave the attackers full access to systems where this software was installed. While this provided the attackers with a beachhead into target organizations in order to carry out espionage activities, many of these systems were running ICS programs used to control critical infrastructure such as petroleum pipelines and energy grids. While no cybersabotage was seen in these attacks, no doubt the attackers had the ability and could have launched such attacks at any time. Perhaps they chose to lie in wait and were interrupted before they could move on.

Dragonfly also used targeted spam email campaigns and watering hole attacks to infect targeted organizations. Similarly, the group behind the Turla malware also uses a multi-pronged attack strategy to infect victims through spear-phishing emails and watering hole attacks. The watering hole attacks display extremely targeted compromise capabilities, with the attackers compromising a range of legitimate websites and only delivering malware to victims visiting from pre-selected IP address ranges. The attackers would also save their most sophisticated surveillance tools for high-value targets. Turla’s motives are different to Dragonfly, however. The Turla attackers are carrying out long-term surveillance against embassies and government departments, a very traditional form of espionage.

Both the Dragonfly and Turla campaigns bear the hallmarks of state-sponsored operations, displaying a high degree of technical capability and resources. They are able to mount attacks through multiple vectors and compromised numerous third-party websites, with their apparent purpose being cyberespionage—and sabotage as a secondary capability for Dragonfly.

These campaigns are just examples of the many espionage campaigns we see on an almost daily basis. This is a global problem and shows no sign of abating, with attacks such as Sandworm also leveraging a number of zero-day vulnerabilities. Given the evidence of deep technical and financial resources these attacks are very likely state-sponsored.

Credit cards in the crosshairs
The lucrative business of selling stolen credit or debit card data on the black market makes these cards a prime target for bad guys. 2014 saw several high-profile attacks targeting point-of-sale (POS) systems to obtain consumers’ payment card information. One factor making the US a prime target is the failure to adopt the chip-and-PIN system, known as EMV (Europay, MasterCard and VISA), which offers more security than magnetic stripe-based cards. The attacks used malware which can steal the information from the payment card’s magnetic stripe as it is read by the computer and before it is encrypted. This stolen information can then be used to clone that card. Because EMV card transaction information is uniquely encoded every time, it’s harder for criminals to pick up useful payment data pieces and use them again for another purchase. However, EMV cards are just as susceptible to being used for fraudulent online purchases.

Apple Pay, which basically turns your mobile phone into a “virtual wallet” by using near-field communication (NFC) technology, was also launched in 2014. NFC is a type of communication that involves wirelessly transmitting data from one hardware device to another physical object nearby, in this case a cash register.

While NFC payment systems have been around for a while now, we expect to see an uptick in consumer adoption of this technology in the coming year, as more smartphones support the NFC standard. It’s worth noting that while NFC systems are more secure than magnetic stripes, there is still a possibility of hackers exploiting them, although this would require the bad guys to target individual cards and wouldn’t result in large scale breaches or theft like we have seen in the US. However, the payment technology used won’t protect against retailers who aren’t storing payment card data securely, they’ll still need to be vigilant in protecting stored data.

Increased collaboration with law enforcement
Now, for a bit of good news: 2014 saw many examples of international law enforcement teams taking a more active and aggressive stance on cybercrime by increasingly collaborating with the online security industry to take down cybercriminals.

Blackshades is a popular and powerful remote access Trojan (RAT) that is used by a wide spectrum of threat actors, from entry-level hackers right up to sophisticated cybercriminal groups. In May of 2014, the FBI, Europol, and several other law enforcement agencies arrested dozens of individuals suspected of cybercriminal activity centered on the use of Blackshades (also known as W32.Shadesrat). Symantec worked closely with the FBI in this coordinated takedown effort, providing information that allowed the agency to track down those suspected of involvement.

Just one month later, the FBI, the UK’s National Crime Agency, and a number of international law enforcement agencies, working in tandem with Symantec and other private sector parties, significantly disrupted two of the world’s most dangerous financial fraud operations: the Gameover Zeus botnet and the Cryptolocker ransomware network. This resulted in the FBI seizing a large amount of infrastructure used by both threats.

While these takedowns are part of an ongoing effort, we won’t see cybercrime disappearing overnight. Both private industry and law enforcement will need to continue to cooperate to have long-lasting impact. As the rate and sophistication of cyberattacks grows, we expect to see a continuation of this trend of collaboration to track down cybercriminals and stop them in their tracks.

So, there you have it, my take on the four most important online security events of 2014. Of course, there’s still a few weeks left before we ring in 2015, so we may yet see other events arise, but you can trust that Symantec is here and that we’ve got your back, no matter what the future may bring!

Los cuatro eventos más destacados de seguridad en Internet del 2014

Hacker Medic November 13, 2014 No Comments

Desde importantes vulnerabilidades hasta el ciberespionaje, Symantec revisa lo sucedido este año y lo que significará para el futuro.

Con tanta variedad de incidentes de seguridad en 2014 -desde las fugas de datos a gran escala hasta las vulnerabilidades en la web- es difícil saber qué destacó más. ¿Cuáles situaciones fueron meramente interesantes y cuáles tienen que ver con las tendencias más grandes en temas de seguridad en Internet? ¿Qué amenazas son restos del pasado y cuáles son indicaciones de lo que nos depara el futuro?

A continuación presentamos cuatro de los acontecimientos más importantes en el ramo de la seguridad en línea del último año, lo que aprendimos (o deberíamos haber aprendido) a partir de ellos y lo que presagian para el próximo año.

El descubrimiento de las vulnerabilidades Heartbleed y ShellShock Bash Bug

En la primavera de 2014, se descubrió Heartbleed, una grave vulnerabilidad en OpenSSL. Es una de las implementaciones más comunes de los protocolos SSL y TLS que se utilizan en muchos sitios web populares. Heartbleed permite a los atacantes robar información confidencial como credenciales de acceso, datos personales o incluso las claves de cifrado que pueden llevar a la revelación de comunicaciones seguras.

Luego, a principios de otoño, una vulnerabilidad fue encontrada en Bash, un componente común conocido como un caparazón, que se incluye en la mayoría de las versiones de los sistemas operativos Linux y Unix, además de Mac OS X (que en sí mismo está basado en Unix). Conocida como ShellShock o Bash Bug, esta vulnerabilidad permite a un atacante no sólo robar datos de una computadora infectada sino también tener control sobre el propio equipo, lo que podría darle acceso a otros equipos de la red.

Heartbleed y ShellShock se convirtieron en el centro de atención en seguridad del software de código abierto y se identificó como el núcleo de muchos sistemas de los que dependemos para el comercio electrónico. Para las vulnerabilidades en software patentado dependemos de un solo proveedor para proporcionar un parche. Sin embargo, cuando se trata de un software de código abierto, éste puede estar integrado en cualquier número de aplicaciones y sistemas. Esto significa que un administrador tiene que depender de una variedad de proveedores para el suministro de parches. Con ShellShock y Heartbleed hubo una gran confusión en cuanto a la disponibilidad y eficacia de los parches. Esperemos que esto sirva como una llamada de atención para la necesidad de contar con mayores respuestas coordinadas a las vulnerabilidades de código abierto, similares al programa MAPP.

En el futuro, amenazas como éstas seguirán descubriéndose en programas de código abierto. Pero, si bien esto es potencialmente una rica y nueva área para los atacantes, el mayor riesgo viene de las vulnerabilidades conocidas, en las que no se están aplicando los parches adecuados. El Informe sobre las Amenazas de Seguridad de Internet de este año mostró que 77% de los sitios web legítimos tenía vulnerabilidades explotables. Así que, en 2015 probablemente veremos atacantes utilizando Heartbleed o ShellShock, pero hay cientos de otras vulnerabilidades sin parches que los hackers continuarán explotando libremente.

Ciberespionaje coordinado y potencial: Dragonfly y Turla

El grupo Dragonfly que parece haber estado en funcionamiento por lo menos desde 2011, inicialmente se enfocó en atacar empresas de defensa y aviación en Estados Unidos y Canadá, antes de cambiar su blanco a empresas de energía, a principios de 2013. Capaz de lanzar ataques a través de varios vectores diferentes, su más ambiciosa campaña de ataque infectó una serie de sistema de control industrial (ICS) de proveedores de equipos, dañando su software con un tipo de acceso remoto troyano. Esto dio a los atacantes acceso completo a los sistemas en los que se había instalado este software. Si bien esto permite a los atacantes llegar a las organizaciones objetivo con el fin de llevar a cabo actividades de espionaje, muchos de estos sistemas estaban utilizando programas ICS para controlar infraestructura crítica, tales como oleoductos y redes de energía. Si bien no se vio ciberespionaje en estos ataques, no hay duda que los atacantes tenían la capacidad y podrían haber puesto en marcha este tipo de acciones en cualquier momento. Quizás eligieron esperar y fueron interrumpidos antes de que pudieran seguir adelante.

Dragonfly también utiliza campañas dirigidas de correo electrónico spam y ataques de tipo watering hole para infectar organizaciones seleccionadas. Del mismo modo, el grupo detrás del software malicioso Turla también utiliza una estrategia de ataque múltiple para infectar a las víctimas a través de correos electrónicos de suplantación de identidad y ataques watering hole. Los ataques infectan una serie de sitios web legítimos y sólo “entregan” el software malicioso a los visitantes de cierto rango de direcciones IP preseleccionados. Los atacantes también podían dejar sus herramientas de vigilancia más sofisticadas para objetivos de alto valor. Los motivos de Turla son diferentes a los de Dragonfly. Los atacantes detrás de Turla están vigilando a largo plazo embajadas y departamentos del gobierno, una forma muy tradicional de espionaje.

Sin embargo, tanto las campañas de Dragonfly y de Turla llevan el sello de operaciones patrocinadas por algún Estado, mostrando un alto grado de capacidad técnica y recursos. Ellos son capaces de montar ataques a través de múltiples vectores e infectar numerosos sitios web de terceros, con el propósito aparente de ser ciberespionaje -y sabotaje- como una capacidad secundaria de Dragonfly.

Estas campañas son sólo ejemplos de las muchas otras campañas de espionaje que vemos y se crean a diario. Este es un problema mundial y no muestra señales de disminuir, como por ejemplo ataques como Sandworm , relacionados con una serie de vulnerabilidades de día-cero. Dada la evidencia de los amplios recursos técnicos y financieros, es muy probable que estos ataques estén patrocinados por el Estado.

Tarjetas de crédito en la mira

El lucrativo negocio de la venta de datos de tarjetas de crédito o débito robadas en el mercado negro las vuelve un objetivo prioritario para los cibercriminales. En 2014 se presentaron varios ataques de alto perfil dirigidos a sistemas de punto de venta (POS) para obtener información de tarjetas de pago de los consumidores. Un factor que hace de Estados Unidos un objetivo prioritario es la falta de adopción del sistema chip-and-PIN, conocido como EMV (Europay, MasterCard y Visa), que ofrece más seguridad que las tarjetas de banda magnética. Los ataques utilizan malware que puede robar información de la banda magnética de la tarjeta de pago, al momento de ser leída por el equipo y antes de que se encripte. Esta información robada puede entonces ser utilizada para clonar esa tarjeta. Debido a que la información de transacciones de tarjetas EMV se codifica de forma única, cada vez, es más difícil para los criminales recoger pedazos de datos útiles de pago y utilizarlos de nuevo para otra compra. Sin embargo, las tarjetas EMV son tan susceptibles de ser utilizadas para compras en línea fraudulentas como las tarjetas tradicionales.

Apple Pay, que básicamente convierte tu teléfono móvil en una “billetera virtual” utilizando tecnología de comunicación de campo cercano (NFC), también se lanzó en 2014. NFC es un tipo de comunicación que implica la transmisión de datos de forma inalámbrica desde un dispositivo a otro objeto físico cercano, en este caso una caja registradora.

Mientras que los sistemas de pago NFC han estado disponibles por un tiempo, esperamos ver el próximo año un aumento en la adopción de esta tecnología en los consumidores, a medida que más teléfonos inteligentes son compatibles con él. Vale la pena señalar que, si bien los sistemas NFC son más seguros que las bandas magnéticas, todavía hay una posibilidad de que los hackers lo exploten, aunque esto requeriría que los atacantes se enfoquen en tarjetas individuales y no daría lugar a fugas a gran escala o robos como los que hemos visto. Sin embargo, la tecnología de pago utilizada actualmente no protegerá contra las tiendas que no almacenan los datos de las tarjetas de pago de sus clientes de forma segura, así que ellos todavía tendrán que estar al pendiente en proteger los datos almacenados.

El aumento de la colaboración con la policía

Ahora, para hablar un poco de buenas noticias: en 2014 vimos muchos ejemplos de equipos internacionales de aplicación de la ley que tomaron una postura más activa y agresiva sobre los delitos informáticos, colaborando cada vez más con la industria de la seguridad en Internet para acabar con los criminales cibernéticos.

Blackshades es un troyano de acceso remoto (RAT) muy popular y poderoso utilizado por una amplia gama de agentes de amenaza, desde piratas informáticos principiantes hasta sofisticados grupos de ciberdelincuencia. En mayo de 2014, el FBI, Europol y varias otras agencias de aplicación de la ley arrestaron a decenas de personas sospechosas de actividad criminal cibernética centradas en el uso de Blackshades (también conocido como W32.Shadesrat). Symantec trabajó en estrecha colaboración con el FBI en este esfuerzo coordinado para acabar con ellos, compartiéndoles información que permitió a la agencia localizar a los presuntos implicados.

Apenas un mes después, el FBI, la Agencia Nacional de Crimen del Reino Unido y una serie de agencias internacionales encargadas de hacer cumplir la ley, trabajaron en conjunto con Symantec y otras empresas del sector privado, para detener dos de las operaciones de fraude financiero más peligrosas del mundo: el botnet Gameover Zeus y la red de ransomware CryptoLocker. Y, como resultado, el FBI confiscó una gran infraestructura utilizada por ambas amenazas.

Si bien estos desmantelamientos son parte de un esfuerzo continuo, no veremos a la ciberdelincuencia desaparecer de la noche a la mañana. Tanto la industria privada como las autoridades tendrán que seguir cooperando para tener un impacto duradero. En este sentido, a medida que la tasa y la sofisticación de los ataques cibernéticos se incrementa, esperamos ver la continuación de esta tendencia de colaboración para localizar a los delincuentes y detenerlos en el camino.

Así que, estos son los cuatro eventos más importantes de seguridad en línea que hemos visto este 2014. Por supuesto, todavía quedan algunas semanas antes de que llegue el 2015, por lo que todavía podríamos ver que aparezcan otros eventos, pero se puede confiar en que Symantec está aquí y protegemos tu información, sin importar lo que venga a futuro.

Os quatro eventos de segurança online mais importantes de 2014

Hacker Medic November 13, 2014 No Comments

De grandes vulnerabilidades a ciberespionagem, a visão da Symantec sobre o que o último ano apresentou e o que significa para o futuro.

Com uma ampla variedade de incidentes de segurança em 2014 – de violações de dados em larga escala a vulnerabilidades na própria base da rede – é difícil saber o que é prioridade. Quais acontecimentos foram apenas interessantes e quais se referem a tendências na área de segurança online? Que ameaças são resquícios do passado e quais são indicação do que virá no futuro?

Abaixo estão os quatro acontecimentos mais importantes da área de segurança online do último ano, o que aprendemos (ou deveríamos ter aprendido) com eles, e que alerta eles enviam para o ano que vem.

A descoberta das vulnerabilidades Heartbleed e ShellShockBash Bug

No primeiro semestre de 2014, a vulnerabilidade Heartbleed foi descoberta. Ela é uma vulnerabilidade séria em OpenSSL, uma das implementações dos protocolos SSL e TLS mais utilizada em sites. O Heartbleed permite que os atacantes roubem informações sensíveis como dados pessoais, de login, ou mesmo chaves de criptografia que podem levar à decodificação de comunicações protegidas.

Além disso, alguns meses depois foi encontrada uma vulnerabilidade em Bash, um componente comum também conhecido como shell, que está incluído na maioria das versões dos sistemas operacionais Linux e Unix, além do Mac OS X (também baseado em Unix). Conhecida como ShellShock (ou Bash Bug), ela permite que um cibercriminoso não apenas roube dados de um computador comprometido, mas também ganhe controle sobre o aparelho em si, potencialmente obtendo acesso a outros dispositivos na rede.

As ameaças Heartbleed e ShellShock levaram a atenção à segurança de softwares de código aberto e em como elas estão no centro de tantos sistemas dos quais dependemos para e-commerce. No caso de vulnerabilidades de software proprietário, precisamos apenas contar com um único fornecedor que entregue um patch.

No entanto, quando se trata de software de código aberto, o software pode estar integrado a uma série de aplicações e sistemas, o que significa que o administrador depende de uma variedade de fornecedores para que entreguem patches. Com o ShellShock e Heartbleed, houve muita confusão quanto à disponibilidade e eficácia dos patches e esperamos que isso sirva como um toque de despertar sobre o quanto precisamos de respostas coordenadas maiores às vulnerabilidades de código aberto, semelhante ao programa MAPP.

Ou seja, daqui em diante novas ameaças como essas continuarão a ser descobertas em programas de código aberto. Ainda que seja uma área nova e potencialmente rica para atacantes, o maior risco continua a vir de vulnerabilidades conhecidas, onde os patches adequados não são aplicados. De acordo com o Relatório sobre Ameaças à Segurança na Internet deste ano, 77% dos sites legítimos tinham vulnerabilidades exploráveis. Portanto, em 2015 veremos cibercriminosos utilizarem o Heartbleed ou ShellShock, mas há centenas de outras vulnerabilidades sem patches que os hackers continuarão a explorar impunemente.

Ciberespionagem coordenada e cibersabotagem em potencial: Dragonfly e Turla

O grupo Dragonfly, que parece estar em operação desde pelo menos 2011, inicialmente visou empresas de defesa e aviação nos EUA e Canadá, antes de mudar seu foco principalmente para empresas de energia no começo de 2013. Capaz de lançar ofensivas através de diversos vetores diferentes, sua campanha de ataque mais ambiciosa comprometeu diversos provedores de equipamentos de sistemas de controle industriais (ICS), infectando softwares com um Trojan de acesso remoto.

Tal ação deu aos atacantes acesso total aos sistemas onde o software estivesse instalado, o que permitia se infiltrar nas organizações alvo para desempenhar atividades de ciberespionagem. Muitos destes sistemas estavam rodando programas ICS utilizados para controlar infraestruturas críticas como oleodutos e redes de energia, porém não houve registro de cibersabotagem nestes ataques. Sem dúvida os criminosos tinham essa capacidade e poderiam ter lançado ataques rapidamente, mas talvez tenham optado por aguardar, sendo interrompidos antes que pudessem avançar.

O Dragonfly também empregou campanhas dirigidas de spam por e-mail e ataques de watering hole para infectar organizações-alvo. De forma semelhante, o grupo por trás do malware Turla também usa uma estratégia de ataque em múltiplas frentes para infectar as vítimas através de e-mails de spearphishing e ataques de watering hole, que exibem capacidades de comprometimento extremamente dirigidas, onde os atacantes comprometem uma série de sites legítimos e entregam o malware apenas para vítimas que acessem a partir de faixas de endereço de IP previamente selecionadas. Eles também deixavam suas ferramentas mais sofisticadas de vigilância para alvos de alto valor. Porém, a motivação do Turla é diferente da do Dragonfly. Os cibercriminosos do Turla estão executando vigilância de longo prazo contra embaixadas e departamentos governamentais, uma forma muito tradicional de espionagem.

Tanto as campanhas do Dragonfly como do Turla carregam a marca de operações patrocinadas por Estados, apresentando um alto nível de capacidade técnica e de recursos. São capazes de montar ataques através de vetores múltiplos e comprometeram diversos sites de terceiros. Seu propósito aparente seria de ciberespionagem – e sabotagem como uma capacidade secundária no caso do Dragonfly.

Estas campanhas são apenas exemplos das inúmeras campanhas de espionagem que encontramos quase diariamente. Este é um problema global e não há sinais de trégua, com ataques como o Sandworm alavancando uma série de vulnerabilidades de dia zero. Considerando-se a evidência de profundos recursos técnicos e financeiros, estes ataques são, muito provavelmente, patrocinados por Estados.

Cartões de crédito no alvo

O lucrativo negócio de venda no mercado negro de dados de cartões de crédito ou débito roubados torna esse ramo um grande alvo para criminosos. Em 2014, ocorreram diversos ataques de destaque focados em sistemas point-of-sale (POS) para obter as informações do cartão de pagamento de consumidores. Um fator que torna os Estados Unidos o maior alvo é a incapacidade de adotar o sistema chip-e-PIN, conhecido como EMV (Europay, MasterCard e VISA), que oferece mais segurança que os cartões com faixa magnética. Os ataques utilizaram malwares que podem roubar informações da faixa magnética do cartão de pagamento enquanto ela é lida pelo computador e antes que seja criptografada. As informações roubadas podem então ser utilizadas para clonar o objeto. Como as informações de transações com EMV são criptografadas de modo único a cada vez, é mais difícil para os criminosos captar partes úteis de dados de pagamento e usá-las novamente para outra compra. No entanto, essa tecnologia é igualmente suscetível ao uso em compras online fraudulentas.

O Apple Pay, que basicamente transforma seu celular em uma “carteira virtual” através da tecnologia near-field communication (NFC), também foi lançado em 2014. O NFC é um tipo de comunicação que envolve a transmissão sem fio de dados, de um dispositivo de hardware para outro objeto físico que esteja próximo, neste caso, a caixa registradora.

Os sistemas de pagamento de NFC já existem há algum tempo, mas esperamos ver um aumento na adoção dessa tecnologia por consumidores no próximo ano, já que mais smartphones terão suporte a esse padrão. Vale notar que os sistemas NFC são mais seguros que faixas magnéticas, mas ainda existe a possibilidade de hackers explorarem o sistema, ainda que isso exija que os bandidos se direcionem a cartões individuais e não resulte em violação ou roubo de grande escala como vimos nos EUA. No entanto, a tecnologia de pagamento utilizada não protege contra varejistas que não armazenam dados de cartões de forma segura, eles ainda precisam ser cuidadosos na proteção dos dados armazenados.

Maior colaboração com agências de segurança

Agora, uma boa notícia: em 2014 tivemos muitos exemplos de agências internacionais de segurança adotando uma posição mais ativa e agressiva contra o cibercrime, colaborando cada vez mais com o setor de segurança online para derrubar cibercriminosos.

Blackshades é um Trojan de acesso remoto (RAT) popular e poderoso, utilizado por uma série de autores de ameaças, desde hackers iniciantes até grupos cibercriminosos sofisticados. Em maio de 2014, o FBI, a Europol e diversas outras agências de segurança prenderam dezenas de pessoas suspeitas de atividades centradas no uso de Blackshades (também conhecido como W32.Shadesrat). A Symantec trabalhou junto ao FBI neste esforço coordenado de combate, fornecendo informações que permitiram que a agência localizasse pessoas suspeitas de envolvimento.

Apenas um mês depois, o FBI, o National Crime Agency do Reino Unido, e diversas outras agências internacionais de segurança, trabalhando ao lado da Symantec e outras empresas do setor privado, interromperam significativamente duas das mais perigosas operações de fraude financeira do mundo: o botnet Gameover Zeus e a rede Cryptolocker ransomware. Com isso, o FBI apreendeu uma grande infraestrutura usada pelas duas ameaças.

Apesar de estes golpes serem parte de um esforço contínuo, não veremos o desaparecimento do cibercrime de forma rápida. Tanto o setor privado como as agências de segurança precisam continuar a colaborar para ter um impacto duradouro. Conforme a taxa e sofisticação de ciberataques aumentam, esperamos uma continuidade dessa tendência de colaboração para localizar os atacantes e interromper sua ação.

Então, aí está, minha visão sobre os quatro acontecimentos mais importantes na segurança online em 2014. Claro, ainda temos algumas semanas antes da chegada de 2015, então podemos ver o surgimento de outros eventos, mas você pode confiar que a Symantec está aqui e cuidaremos de você, independentemente do que o futuro possa trazer!

CloudyOmega ??: ??????????????????????????????????

Hacker Medic November 13, 2014 No Comments

今回の攻撃は、LadyBoyle の実行グループや HiddenLynx など、他の悪名高い攻撃グループと密接なつながりのある攻撃グループによって実行されています。

ジャストシステム社は、一太郎製品群（日本語オフィススイートソフトウェア）のゼロデイ脆弱性を修正するための更新を公開しました。この脆弱性は、日本の組織を標的とする攻撃で活発に悪用されています。

今回の攻撃では、悪質な一太郎文書ファイルが添付された電子メールが標的の組織に送信されます。シマンテック製品は、このファイルを Bloodhound.Exploit.557 として検出します。ペイロードには、Backdoor.Emdivi、Backdoor.Korplug、または Backdoor.ZXshell が含まれている可能性がありますが、これらはすべて、侵入先のコンピュータから機密情報を盗み取るためのものです。

電子メールの内容は標的となる組織の業務に応じて異なりますが、いずれも最近の日本における政治的な出来事に関するものです。悪質な添付ファイルを一太郎で開くと、ペイロードが投下されるとともに文書が表示されます。この手の攻撃では、多くの場合、文書ビューアをクラッシュさせてから再起動してクリーンな文書を開くことによって、正規の文書に見せかけようようとします。今回の攻撃では、一太郎をクラッシュさせることなく文書を開いてペイロードを投下するため、被害者は、バックグラウンドで実際に起こっていることに気が付きません。

CloudyOmega
以前にブログで取り上げたとおり、パッチ未適用の一太郎の脆弱性に対する攻撃は、今に始まったことではありません。しかし、調査の結果、今回のゼロデイ攻撃は、日本のさまざまな組織を標的とする継続的なサイバースパイ攻撃の一環であることがわかっています。シマンテックは、この攻撃を CloudyOmega と名付けました。ペイロードとしては Backdoor.Emdivi の亜種が常に利用されており、すべての攻撃において電子メールに添付されて標的のコンピュータに送り込まれます。多くの場合、添付ファイルは、偽のアイコンが表示された単純な実行可能ファイルですが、一部のファイルは各種ソフトウェアの脆弱性を悪用しています。今回の一太郎の脆弱性は、その 1 つにすぎません。攻撃グループの主な目的は、標的の組織から機密情報を盗み取ることです。ここでは、一連の攻撃活動の時系列、感染経路、マルウェアのペイロード、そして攻撃を実行しているグループについて考察します。

活動の時系列
最初の攻撃は少なくとも 2011 年まで遡ります。図 1 は、標的となった業種と攻撃件数を年別に示しています。攻撃は初期には非常に慎重に実行されていましたが、2014 年になってから本格化しました。これまでのところ、CloudyOmega 攻撃で最も多く狙われているのは公共部門です。このことが、攻撃グループの正体を探るための手掛かりになるでしょう。

CloudyOmega 1 edit.png
図 1. 標的の業種と攻撃件数の内訳

攻撃経路
攻撃に利用されている主な感染経路は電子メールです。

CloudyOmega 2 edit.png
図 2. 攻撃に使用された電子メールの例

図 2 は最近の攻撃で使用された電子メールの一例で、一太郎のゼロデイ脆弱性を悪用する攻撃の前段階となるものです。添付されている zip ファイルはパスワードで保護されており、中にはマルウェアが含まれています。皮肉なことに、セキュリティの基本対策（ベストプラクティス）に従って、パスワードは別の電子メールで送信すると記載されていますが、これは、正規の信頼できる送信元から届いたと信じこませようとしているにすぎません。本文には、添付ファイルに医療費の通知が含まれていることが簡潔に記載され、添付ファイルを Windows コンピュータで開くよう求めています。zip 内のファイルには Microsoft Word のアイコンが表示されていますが、Windows エクスプローラで確認できるように、実際には実行可能ファイルです。

CloudyOmega 3 edit.png
図 3. 添付されている「文書」は実際には悪質な実行可能ファイル

ペイロード
ペイロードは Backdoor.Emdivi であり、侵入先のコンピュータでバックドアを開きます。このマルウェアは CloudyOmega による一連の攻撃でのみ利用されており、2011 年に日本の化学会社に対する攻撃で初めて確認されました。Emdivi を使うと、リモートの攻撃者は、HTTP を介してコマンドの実行結果をコマンド & コントロール（C&C）サーバーに送信することができます。

Emdivi の亜種にはそれぞれ一意のバージョン番号があり、タイプ S またはタイプ T のいずれかに属します。一意のバージョン番号があるのは、Emdivi が体系的に管理されている証拠です。さらに、バージョン番号に単語を追加したものをベースにハッシュ値が生成され、暗号化キーとして使用されています。

タイプ S とタイプ T では次の機能が共通しています。

リモートの攻撃者が HTTP を介してコードを実行できる
Internet Explorer に保存されている認証情報を盗み取る

CloudyOmega 攻撃で主に使用されているのは、タイプ T です。C++ プログラム言語で記述されており、2011 年に攻撃が開始されてから継続的に進化を重ねています。セキュリティ企業やネットワーク管理者から自身を保護するための技術を備え、接続先の C&C サーバーのアドレスや保護メカニズムなど、タイプ T の重要な部分は暗号化されています。また、次のような自動分析システムやデバッガの存在を検出します。

仮想マシン
デバッガ
サンドボックス

一方、タイプ S が一連の攻撃で使用されたのは 2 回だけです。タイプ S は同じソースコードに基づく .Net アプリケーションで、C&C インフラをタイプ T と共用しています。しかし、活動を継続するために不可欠な保護メカニズムや暗号化機能は備えていません。タイプ S について興味深いのは、インターネットからランダムに取得したとみられる日本語の文を使ってファイルのハッシュ値を変更する機能です。たとえば、図 4 のように、特殊相対性理論を説明する文が使用されています。

CloudyOmega 4 edit.png
図 4. Emdivi のタイプ S の亜種で使用されている日本語の文

Emdivi の通信先
Emdivi は、感染すると、ハードコード化された C&C サーバーに HTTP プロトコルを介して接続します。

これまでに、58 種類の Emdivi の亜種から、重複を含まず合計 50 件のドメインが特定されています。C&C サーバーとして利用された Web サイトは、ほぼすべてが小規模企業が所有するサイトや個人ブログなど、侵害された日本の Web サイトです。50 件の Web サイトのうち、13 個の IP アドレスに分布する 40 件は、日本に拠点を置く単一のクラウドホスティングサービスでホストされています。

CloudyOmega 5.png
図 5. 侵害された複数の Web サイトが、単一の IP アドレスでホストされている

侵害されたサイトは、さまざまな Web サイトプラットフォーム上で Apache や Microsoft Internet Information Services（IIS）など各種の Web サーバーソフトウェアによってホストされています。このことから、単一のソフトウェア製品や Web サイトプラットフォームの脆弱性を突かれて侵害されたのではないことが分かります。攻撃者は何らかの手段でクラウドサービス自体を侵害して、複数の Web サイトを Backdoor.Emdivi の C&C サーバーとして改ざんしたのです。

侵害されたクラウドホスティング会社には通知済みですが、このブログの執筆時点ではまだ返答がありません。

シマンテックでは、感染したコンピュータと Emdivi の C&C サーバーとの間のネットワーク通信を検知して遮断するために、次の 2 つの IPS シグネチャを提供しています。

ゼロデイ脆弱性と他のサイバー犯罪グループとのつながり
調査を進めるなかで一連の攻撃に関連する複数のサンプルが特定されたことから、他の攻撃グループとのつながりが見えてきました。

2012 年 8 月、CloudyOmega の攻撃者は Adobe Flash Player と AIR に存在する copyRawDataTo() の整数オーバーフローの脆弱性（CVE-2012-5054）を悪用して、日本の有名な組織を標的とする攻撃を実行しています。攻撃者は、脆弱性を悪用するように細工された SWF ファイルを含む Microsoft Word ファイルを送信しました。脆弱性の悪用に成功すると Backdoor.Emdivi がインストールされます。CVE-2012-5054 は同月に公表されたものであり、この攻撃で利用された当時はゼロデイ脆弱性でした。

さらに興味深いことに、2012 年の Emdivi 攻撃で使用された Flash ファイルと 2013 年の LadyBoyle 攻撃で使用された Flash ファイルは、非常によく似ています。

図 6 は、Adobe Flash Player に存在するリモートメモリ破損の脆弱性（CVE-2013-0634）の悪用を試みる LadyBoyle() コードを実行する、不正な形式の SWF ファイルを示しています。この Flash ファイルは、CloudyOmega グループと同じフレームワークを使って作成されたと思われますが、別の悪用コードが組み込まれています。

CloudyOmega 6 edit.png
図 6. 2013 年 2 月の LadyBoyle 攻撃で使用された不正な形式の SWF ファイル

両方の攻撃において、バックドアをインストールするための Adobe Flash のゼロデイ悪用コードを含む .doc ファイルが使用されています。2 つの攻撃を関連付ける証拠は他にはありませんが、Elderwood プラットフォームのブログで説明したとおり、単一の上位グループから複数のサブグループが派生して、それぞれが特定の業種を狙っている可能性が高いと考えられます。

一太郎の脆弱性を悪用する今回の攻撃では、収集された JTD ファイルのサンプル十数件はすべて、ペイロード以外はまったく同一のものでした。上位グループが複数のサブグループに、攻撃ツールキットの一部としてゼロデイ悪用コードを提供し、各グループがそれぞれマルウェアを選択して別々に攻撃を実行したものと思われます。今回のゼロデイ攻撃で Backdoor.Emdivi、Backdoor.Korplug、Backdoor.ZXshell という 3 つの異なるペイロードが確認されているのは、このためでしょう。

図 7. ゼロデイ悪用コードを共有する上位グループ

結論
CloudyOmega 攻撃を実行しているグループは、LadyBoyle の実行グループや HiddenLynx など、他の悪名高い攻撃グループと密接なつながりがあります。CloudyOmega 攻撃は 2011 年から確認されており、日本の組織を狙って執拗に活動を継続しています。今回、ゼロデイ脆弱性を悪用した攻撃が実行されたということは、攻撃グループは当面の間、活動を停止する気配がないということです。シマンテックセキュリティレスポンスは CloudyOmega グループに対して注意深く監視を続けていきます。

保護対策
一太郎製品をお使いのお客様は、できるだけ早くパッチを適用することを強くお勧めします。

シマンテック製品をお使いのお客様は、次の検出定義によって、CloudyOmega に関連する攻撃から保護されています。

ウイルス対策

侵入防止システム

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。