[Osiris]

Uus aasta pole kahjuks väga hästi alanud, sest ei ole saladus, et suuremat sorti veebi kaudu nakatamise laine käib hetkel üle Eesti netimaastiku. Juba eelmise aasta lõpus täheldasime mõningaid rahutukstegevaid märke, ent praegusel hetkel tundub olukord võtvat juba pandeemia mõõte. Sellega seoses pöördume Eesti IT professionaalide poole palvega suhtuda erilise tähelepanuga kõigesse, mis veebiserveri DocRoot kataloogi jõuab. On see siis seotud sellega, mida arendate ja uploadite klientide arvutitesse või sadade klientide virtuaalkodude majutamisega.

Päevakangelast iseloomustab (NB! nimistu ei ole ammendav):
1. HTML lehele või sagedamini JS failidele obfuskeeritud javaskripti lisamine, lisatud osa algab stringiga "/*GNU GPL*/", näide lisatud
2. obfuskeeritud skript harutab ennast lahti veebiaadressiks, kuhu lehe külastaja "põhidoosi" saama suunatakse, aadressi iseloomustab:
- ebatavaliselt suur tähemärkide arv
- üldtuntud domeeninimede sisaldumine (et kehvast filtrist läbi saada)
- .ru TLD kasutamine
näide: deviantclip-com.altervista.org.bbc-co-uk.theaworld.ru
3. HTTP päring suunatakse pordile 8080
4. meieni jõudnud nimed lahenduvad reeglina IPdeks: 91.121.142.111, 94.23.14.110, 94.23.206.229, 85.25.73.243, 91.121.49.129
5. põhiviiruse allalaadija on piisavalt heasti kirjutatud, et välistada automatiseeritud analüüsi üldtuntud vahenditega, AVd klassifitseerivad kasutaja arvutisse paigaldatud binaarifaili reeglina Bredolabi troojalaseks.

Eesti IT maastikul tegutsejatelt palume me kõrgendatud tähelepanu veebide haldamiseks kasutatava FTP/HTTP liikluse montooringul!

Võimaluse korral tasuks juba hallatavad-arendatavad veebilehed üle vaadata ning kindlasti tuleks oma halduseks-arenduseks kasutatavad masinad hoida puhtana pahavarast. Võimaluse korral võiks lisada IDSi kontrollitavasse võrgusegmenti.

Tänud kõigile neile, kes kõike seda juba teevad ning tänu neile, kes seda veel ei ole teinud, aga hakkavad tegema.

NB! Asi esineb Eestis paraku juba massiliselt ja ohustab lihtkasutajat!
Täiendavat lugemist antud teemal leiab ka siit: http://blog.unmaskparasites.com/2009/12/23/from-hidden-iframes-to-obfuscated-scripts/

Mittetäielik näide .js failile lisatud obfuskeeritud javaskriptist:

[destiny12]

CERT: Eesti veebidel möllab viirusepandeemia

Riigi Infosüsteemide Arenduskeskuse (RIA) infoturbeintsidentide käsitlemise osakond CERT teatas, et Eesti netimaastikku tabas täna ulatuslik viiruserünnak.

RIA teatel täheldasid nad juba eelmise aasta lõpus mõningaid rahutukstegevaid märke, ent praegusel hetkel tundub olukord võtvat juba pandeemia mõõte.

Pikemalt siit.
http://www.e24.ee/?id=208098

Sellest need õhtule ja muude lehtede probleemid siis.

[Andrus Luht]

Huvitav, palju neid 'hostingupakkujaid' on täna Eestis, kes lubavad ebaturvaliselt (http/ftp) klientidel sisse logida ja omi virtuaalservereid hallata? Enamus vist...
Kui kontrollpaneel on veel SSL'itud (https://) siis ftp on küll enamusel kaitsmata. Selle asemel peaks kasutama SCP'd või siis veebipõhist lahendust (näiteks. Net2FTP)

[BigBabba]

BReaK da iCE, Turvalise ühenduse kasutamine võib tekitada "vale turvatunde".

Tegelikult on probleem juba sügavamal. Nimelt ei uuendata oma tarkvara (Flash, Acrobat, IE, Firefox, jne) ja ei kasutata (või kasutatakse kehva) viirusetõrjet.

Tänapäeval "varastavad" viirused FTP proole otse salvestatud paroolide failist. See, kui ftp kasutab turvalist ühendust, ei pruugi aidata paroolide pihta panemise vastu.

Kindlasti on soovitav igal pool kasutada krüpteeritud ühendusi. Ka mailinduses (POP3S, IMAPS, SMTPS). Tänapäeval, kus enamik telefone loeb üle avalike wifi võrkude e-posti, on väga riskantne kasutada igasugust krüptimata ühendust.

[r2d2]

Kergitaks oma saba ka: http://blog.zone.ee/2010/01/05/veebimajutuse-turvalisus-paevakorral/

[tahanteada]

Tegelikult on asi palju lihtsam - kõikvõimalikke E-maili kaudu liikuvaid Spämme osatakse enam-vähem miskitmoodi juba blokeerida ning selle reklaami-müügi-kanali asemele on vaja uusi kanaleid, mille kaudu kellegi eelistusi uurida ja siis talle sobivaid reklaamlehti ette loopida.

Lisaks veel see, et veebilehtede kaudu levitatav on selles suhtes ka üsnagi turvaline, kuna paljud viirusetõrjeid ei oma ei Spy-tulemüüri - ning mis veel hullem - ei kontrollita 100% läbi kogu informatsiooni.

Kui ikka üks tõrje skännib näiteks 100 000 objekti, teatades, et 100% on skännitud, siis mingi teine annab sama 100% teate juba 40 000-50 000 objekti järel. Ning siis on veel eriti huvitav, et võtad mõne kolmanda-neljanda - siis üks neist raporteerib juba 10 000-20 000 objekti ning neljas omakorda 300 000-500 000 objekti mis on läbi skännitud.

Ja siit siis küsimus, et millise, neist neljast tulemus on siis 100% läbiskännimist.
Mina ise valiks viimase, ehk siis selle, mis kõige rohkem "läbi kedrata" suudab.

[Anna tooli]

Viirus nakatas ERRi raadiote veebiküljed
Pahalane oli end istutanud kõigi failide külge, mis kandsid nime index.html või index.php ning kõigi javascripti failide külge, mille laiend on js.
«Kuna pahalane oli suhteliselt hästi tuvastatav ja nähtav, siis kirjutasid meie spetsialistid lihtsalt ühe scripti, mis skaneeris üle kõik potentsiaalselt nakatunud failid ja kustutas selle osa failide seest ära. Hinnanguliselt võis nakatunud faile olla ligi 200,» selgitas Pau.

http://www.e24.ee/?id=208358
--

Leviva viiruse hammas ei hakka Windows 7-le

http://www.e24.ee/?id=208320

[Dijital]

Sealtsamast veel üks nupp

Leviva viiruse hammas ei hakka Windows 7-le

http://www.e24.ee/?id=208320

[janeklass]

Tere!
Kas on võimalik et antud teemas antud leht ,kust pidavat saama lugeda täientavat infot on ka nakatunud? Ma üritasin sinna minna,aga mu viirusetõrje plokkis ära selle lehe.

[Anna tooli]

[taifunk]

Mul tekib kohe küsimus, et mida saab tavakasutaja täna ise teha, et vältida nakatumist ja kontrollida, et ei oleks juba nakatunud?
Mis tegevuspunktide järgimine võiks anda 100% hetkekindluse "puhas" olemisest?

[Valvejoodik]

[mikk36]

[HacaX]

[janeklass]

[Tomorrow]

[indrek309]

kudagi tagurpidi käib see asi, blokeeritakse veebiaadresse ja uuendatakse viirusetõrjet aga kuidas selle turvaauguga jääb (flashis v. adobes või misiganes) mis viiruse üldse sisse laseb? suht niru on ikka, et lähed/suunatakse kuskile veebilehele ja siis automaatselt ongi viirus arvutis, ilma et kuskile klikkama peaksid.

keegi teab mida peab uuendama? et üldse viirust ei tulekski (javascripti keelamine v. juhtme seinast välja tõmbamine, ei tundu eriti asjalikud soovitused) mis plugina kaudu täpselt see viirus tuleb?

[Traf]

[Marie]

Kas see on tõsi, et kõik need nakatunud veebilehed kasutasid Windows serveriruumi

[poiss4]

Kõikides tänapäeva parimates veebilehitsejates saab javascript välja lülitada. Ja vajadusel ka sisse lülitada. Ja jälle välja lülitada.

[mikk36]

Marie, ei ole tõsi.

[Dirty Harry]

[tanq]

[Traf]

[poiss4]

Nii ta vist ongi.