Znajdź zawartość

Wśród certyfikatów SSL ukradzionych z holenderskiej firmy DigiNotar znajdują się certyfikaty wykorzystywane przez CIA i Mossad. Gervase Markham, developer Mozilli, który bierze udział w pracach nad zabezpieczeniem Firefoksa przed atakami z użyciem skradzionych certyfikatów, poinformował, że w sumie skradziono 531 certyfikatów. Są wśród nich takie, z których korzysta CIA, MI6, Mossad, Microsoft, Yahoo, Skype, Facebook i Twitter. Zdaniem Christophera Soghaiana, znanego specjalisty ds. prywatności, certyfikaty zostały prawdopodobnie skradzione przez kogoś z Iranu. Niewykluczone, że za włamaniem stał rząd Iranu. Skradzione certyfikaty mogą zostać wykorzystane do przeprowadzenia ataku typu man-in-the-middle, który pozwala na podszycie się pod legalną witrynę i przekonanie przeglądarki za pomocą certyfikatu, że połączyliśmy się z prawdziwą witryną. Google i Mozilla oświadczyły, że w związku z włamaniem do DigiNotar zablokowały wszystkie certyfikaty wydane przez tę firmę, również te, z których korzysta rząd Holandii. Przed kilkoma dniami holenderskie Ministerstwo Spraw Wewnętrznych oświadczyło, że rząd nie jest w stanie zagwarantować bezpieczeństwa swoich witryn i poprosiło obywateli, by ci nie logowali się na żadnych rządowych witrynach do czasu, aż zostaną wydane nowe certyfikaty. Zdaniem specjalistów włamanie oznacza koniec firmy DigiNotar. Jej certyfikaty straciły bowiem wiarygodność. Tym bardziej, że do kradzieży certyfikatów doszło już w lipcu, a holenderska firma powinna natychmiast poinformować twórców przeglądarek o konieczności zablokowania jej certyfikatów.

Znaleziono wyjątkowo niebezpieczną wersję rosyjskiego konia trojańskiego Gozi. Potrafi on kraść dane przesyłane za pomocą bezpiecznego protokołu SSL. Nowy Gozi to jeden z najbardziej zaawansowanych koni trojańskich, jakie dotychczas znaleziono. Gdy wykryje on, iż została rozpoczęta transakcja SSL, aktywuje się i, wykorzystując wbudowanego keyloggera, zapamiętuje każdy klawisz wciśnięty przez użytkownika zarażonego komputera. Obecny wariant Goziego wykorzystuje dawno już załataną przez Microsoft lukę w iFrame Microsoft Explorera. Do zarażenia dochodzi zwykle gdy użytkownik odwiedzi specjalnie spreparowaną witrynę WWW czy forum. Nowy Gozi potrafi świetnie się ukrywać, zmieniając swój kod, przez co systemy antywirusowe bazujące na sygnaturach nie potrafią go wykryć. Szkodliwy kod ma wbudowany własny mechanizm kompresji, więc kompresuje i rozpakowywuje części własnego kodu, zmieniając go w ten sposób. Wystarczająco złą informacją jest sam fakt, że Gozi potrafi zmieniać swój kod i unikać w ten sposób wykrycia. Jednak dochodzi jeszcze do tego jego możliwość włączania i wyłączania wbudowanego keyloggera, co czyni go niemal niewykrywalnym dla konwencjonalnych systemów zabezpieczeń. Jedynym sposobem ochrony przed nim jest analiza behawioralna – mówi Geoff Sweeney z firmy Tier-3. Gozi został złapany przez Dona Jacksona z SecureWorks. Odkrył on, że nawet te programy antywirusowe, które posiadały jego sygnatury, nie zawsze mogły go wykryć, a bardzo niewiele uznało go za podejrzany program. Jackson prześledził trasę infekcji i dowiedział się, że dotychczas Gozi zaraził ponad 5200 domowych pecetów i ukradł z nich nazwy użytkownika i hasła dostępu do ponad 300 firm i organizacji. Wśród tych danych jest wszystko, od numerów kont bankowych po numery ubezpieczenia społecznego. Są tam hasła dostępu do największych światowych banków i firm świadczących usługi finansowe. Ukradzione dane zawierają też hasła pracowników agend rządowych i organów ścigania – mówi Jackson.