Често задавани въпроси

За първи път е хванато зловредно приложение за Android, публикувано в Android Marketplace. Приложението под името Droid09 е представено като e-banking приложение и вече е премахнато от онлайн магазина. Новината е от тук.

Powered by Zoundry Raven

Technorati : android, phishing, новини

Напоследък започнаха да се появяват софтуерчета за мобилните операционни системи ( Android, Windows Mobile, Symbian и т.н. ) за следене на ползвателя на телефона. В общия случай това е повече от прост кийлогър, защото записва с кого и колко дълго е говорено, може да се записват GPS координати и т.н. Разбира се подобен род приложения се продават под благовидния повод, да бъдат използвани от собственика на телефона, но като се има в предвид, че са положени усилия да са незабележими, истинската им цел е повече от ясна.

Ето представянето на Mobile Spy за Android ( болда е от мен ):

Mobile Spy is a hybrid software/service which allows you to monitor your smartphone in real time. This unique system records the activities of anyone who uses your Google-powered device. You install a small application. It starts at every boot of the phone but remains stealth. After the software is setup on your phone it will record SMS text messages and call activities and then silently upload the data to your private Mobile Spy account using the Internet. The software also records GPS locations every 15 minutes when signal is available. The GPS rate is adjustable.When you want to view results, simply login to the Online Control Panel from any computer or phone web browser and enter your username and password to proceed.

This powerful system gives you the ability to monitor GPS, SMS text and call activities online in real time. Your logs are safely stored in your private and secure Mobile Spy account.

Подобно приложение беше обявено наскоро и за Blackberry – Phonesnoop, написано от независим експерт:

You install and run PhoneSnoop on a victims’ BlackBerry. PhoneSnoop sets up a PhoneListener and waits for an incoming call from a specific number. Once it detects a call from that specific number, it automatically answers the victims’ phone and puts the phone into SpeakerPhone mode. This way, the attacker that called can now hear whats going on at the victims end. Pretty simple right?

Същият експерт анализира друг спайуер софтуер – FlexiSpy. Ако темата ви е интересна, препоръчвам четивото -част 1( единствена ).

Също във връзка с темата можем да си припомним случая от лятото, когато зловреден код беше цифрово подписан от Symbian Foundation, което позволи той да се инсталира като легитимно софтуерно приложение.

С течение на времето мобилните телефони стават все по-умни и концентрират в себе си все повече и повече лична информация, като постепенно си заслужават името PDA¹. Разбира се подобна концентрация носи със себе си повече рискове – да загубите телефона си, а с него и информацията ( backup решава този проблем ) или телефона да бъде хакнат ( в общия случай ) и информацията да попадне в ръцете на недобросъвестни “маркетингови специалисти” ( например като дискутираните от Григор ) или още по-лошо – в ръцете на някое фирмено разузнаване, където може да нанесе сериозни финансови поражения. Темата за сигурност на мобилните устройства тепърва ще бъде все по-популярна и очаквам бурно развитие и от двете страни на фронта в следващите години.

Technorati : spyware

1. Personal Digital Assistant [обратно ↩]

Едно интересно изследване, което от известно време отлежава в купа “За публикуване”.

Експертът Bernhard Müller от Виенската SEC Consilt Vulnerability Lab е съставил сериозно изследване за търсенето на уязвимости в Symbian телефоните. Доскоро смартфони с тази ОС бяха най-разпространените на пазара и за разлика от останалите, множеството техни собственици не осъзнават телефоните си като “смартфон”. След като Nokia отвори кода, може би нещата ще се променят, но това ще покаже само времето.

От публикацията:

The goal of this whitepaper is to show that classic vulnerability analysis and exploitation is possible on Symbian OS smartphones. To this end, a set of methods and tools have been developed, and readily available standard software provided by Symbian has been modified to support debugging of memory mapped execute-in-place ROM. In this paper we will:

1. Show how to statically analyze XIP ROM images (dumping, restoring import export tables, searching for unsafe function calls)
2. Show how to enable run mode debugging of system binaries running from ROM IDA Pro, by patching the AppTRK debug agent
3. Show other of the modified AppTRK. As an example, we will show a fully automated multimedia file fuzzer
4. List and analyze the results of fuzzing the video- and audio codecs shipped with current Nokia smartphones
5. Discuss further ideas and concepts, such as jailbreak shellcode, and an IRC bot trojan for Symbian

The paper aims to show that it is possible to find and exploit bugs on Symbian phones (even in preinstalled system applications) without having access to special development hardware, and that exploits and worms similar to those found on desktop systems may be possible on Symbian based smartphones.

https://www.sec-consult.com/files/SEC_Consult_Vulnerability_Lab_Pwning_Symbian_V1.03_PUBLIC.pdf ( 40 страници много добре написан материал, гарниран с шарени картинки )

Powered by Zoundry Raven

Technorati : , nokia, уязвимости

Със snowblind се означава атака, насочена срещу IDS или мониторинг система по принцип, като се претоварва самата наблюдаваща система, в резултат на което действителната атака остава незабелязана. Обикновено се търсят начини подобно “заслепяване” да бъде направено без това да причини задръстване на комуникационния канал на целта. Типичен пример е, ако имаме IDS/IPS настроен да логва пълните пакети на диска ( и разбира се знаем кои точно пакети се логват ), лесно може да генерираме достатъчно трафик, който да претовари дисковата подсистема ( особено ако разполагаме с 1 Gb връзка ), но все пак мрежата ще има достатъчно свободен ресурс да пренесе и реалната атака.

Та експерти от Пенсилванския университет са анализирали американският ANSI Standard J-STD-025, който описва как прехваната информация се препраща от доставчика на услуга към силовото министерство/заинтересувана държавна организация ( да, това е същият този “пасивен интерфейс”, за който говори Делян ). Откритието е, че комуникационните канали са дефинирани доста тесни – 64 кб/с ( което за 90-те, когато е писан стандарта си е било ехееее ) и лесно могат да бъдат претоварени като се генерирарат например множество едновременни VoIP обаждания или SMS, като по този начин се прикрива истинският трафик на наблюдаваният потребител. Разбира се, подобен фокус определено не е незабележим и най-вероятно ще последват други “репресивни действия”, но все пак е начин да прекарате системата. Интересно дали в България ще се опитат да използват нещо подобно на този стандарт, което е също така податливо…

За повече информация – ето публикацията.

Technorati : подслушване

Phishing-а вече е до болка позната техника, при която “лошият” публикува сайт, направен да изглежда точно като атакувания сайт. След това подмамва хората да посетят фалшивият сайт и прехваща цялата информация, която заблуденият посетител даде ( потребителски имена, пароли, кредитни карти, персонална информация и т.н. ). Реализациите варират от смешни до плашещи ( включително https връзки, сертификати и последващо пренасочване към истинския сайт ). Истинската причина за широкото разпространение на този похват е защото е евтино и лесно да се създаде и хостне сайт, както и да масово да се подмамят хора към него ( чрез спам или пренасочване на трафика например ) – типичен случай на печалба от мащаба¹

С широкото навлизането на VoIP подобен род измами започват да навлизат и там, тъй като рязко пада цената на гласово обаждане. Тук вече похвата се нарича vishing и чрез използване на социално инженерство и на простия факт, че хората по-лесно се доверяват на телефона, а не на Интернет сайт се постигат доста добри резултати. Най-често жертвите получават по телефона обаждане със записано съобщение съдържащо линк към сайт или при по-напредналите хакери – дори и гласово меню, в което да въвеждат информация чрез тонално набиране. Обикновено обажданията се правят от хакната VoIP централа ( например Asterisk ), като множеството от тях са с неправилна конфигурация поради неразбиране на администраторите и манталитета, че телефонията е напълно отделна и независима система. След като подобен VoIP сървър бива хакнат, той се използва като база за самата vishing атака – по този начин сметките за телефона ( известни са случаи с по 20-30 000 обаждания на ден ), се плащат от организацията собственик на централата, а и самата организация става буфер между полицията и истинските атакуващи.

Проблема е достатъчно сериозен, така че дори американската FTC взема мерки по въпроса и предупреждава и образова потребителите.

Powered by Zoundry Raven

Technorati : vishing

1. Economy of scale [обратно ↩]

Предприемчив холандец е използвал факта, че jailbreak-натите iPhone-и имат еднаква парола за root потребителя и повече хора просто не си я сменят. Сканирайки масово телефоните с SSH, той се е логвал в тях и генерира следното съобщение:”You iPhone’s been hacked because it’s really insecure! Please visit doiop.com/iHacked and secure your iPhone right now! Right now, I can access all your files.”

На въпросния сайт холандеца предлага срещу 5 евро, изпратени на неговия PayPal акаунт да изпрати информация как да си защитите телефона ( да смените паролата например ). Тази “атака” е различна от ransomware, за който писах преди, поради простата причина, че не модифицира телефона по никакъв начин, само отправя предупреждение. На сайта има следното изявление:

“If you don’t pay, it’s fine by me, but remember, the way I got access to your iPhone can be used by thousands of others-they can send text messages from your number (like I did), use it to call or record your calls, and actually whatever they want, even use it for their hacking activities! I can assure you, I have no intention of harming you or whatever, but, some hackers do! It’s just my advice to secure your phone.”

Въпреки това, тази атака си остава новаторски начин за монетаризиране на публично достъпна информация.

Powered by Zoundry Raven