Lue uutinen mobiilisivustolla

MS Word on vakoojan valinta

22.5.2006 12:58 Wordin uusi haavoittuvuus tuli julki tarkoin valmistellun hyökkäyksen epäonnistuttua perjantaina. F-Securen tiedossa on viimeisen puolentoista kuukauden ajalta neljä samanlaista tapausta. Kohteet olivat samalla teollisuudenalalla toimivia eurooppalaisyrityksiä. Kaikissa tapauksissa hyökkäys tehtiin Word-dokumenteilla.

Tietoturvayhtiö Symantec varoitti Word-haavoittuvuudesta ensimmäisten joukossa perjantaina. Yhtiö kertoi, että haavoittuvuutta oli hyödynnetty hyökkäyksessä Japanin valtionhallinnon järjestelmiin. Internet Storm Center kertoi perjantaina puolestaan vastaavasta hyökkäysyrityksestä, jonka kohteena oli yhdysvaltalanen yritys.

Hyppösen mukaan perjantain hyökkäyksissä on paljon yhtäläisyyksiä F-Securen tiedossa oleviin aiempiin hyökkäyksiin.

- Mielenkiintoisempaa kuin uusi Word-haavoittuvuus on se, että kohteena oli Word.

- Meillä on kuuden seitsemän viikon ajalta tiedossa neljä vastaavaa keissiä, joissa firmoihin on tultu sisään samanlaisilla tekniikoilla. Neljä yhtiötä ovat eurooppalaisia ja kuuluvat samaan teollisuudenalaan. Näissä on ollut tarkoitus kerätä tietyn alan tietoa, sanoo Hyppönen.

Hyökkäyksissä yritysten muutamille työntekijöille on lähetetty sisäiseksi väärennetty sähköposti, jonka liitteenä matkaa Wordin .doc-tiedosto. Viesti on henkilökohtaisesti osoitettu vastaanottajalle. Liitetiedoston avaaminen laukaisee hyökkäyksen.

Hyppösen mukaan osassa sähköpostiviesteistä lähettäjäksi on merkitty jopa kohdeyrityksen oikea työntekijä.

Räätälöityjä rootkittejä

Taidoista ei hyökkääjillä ole pulaa. Vakoilukomponentti on aiemmissa tapauksissa piilotettu rootkiteillä, jotka eivät Hyppösen mukaan ole tunnettujen rootkittien lähdekoodeista kierrätettyjä vaan nähtävästi varta vasten tehty hyökkääjien tarpeisiin. - Sellaisia ei vielä vuosi sitten näkynyt. Kuka näiden takana onkaan, osaa asiansa. Perjantain hyökkäyksessä vakoiluohjelma alkoi heti käynnistyttään skannamaan järjestelmää. Se kävi läpi muun muassa My Documents -kansion sisällön ja käytössä olevat tietoturvaohjelmat. Varsinainen hyökkäysmenetelmä hyödynsi Wordin aiemmin tuntematonta haavoittuvuutta. Neljässä aiemmassa tapauksessa hyödynnetyt Word-haavoittuvuudet olivat vanhoja - jopa muutaman vuoden takaa. - Monessa yrityksessä on asennettuna viimeiset Windows-päivitykset, mutta Office on päivittämättä, sanoo Hyppönen. Suodatuksessa ongelmiaWordin haavoittuvuudet sopivat kohdennettuihin hyökkäyksiin kuin nakutettu. Doc-tiedostoja käytetään yleisesti yritysten ja organisaatioiden sisällä ja jopa niiden välisessä sähköpostivaihdossa. Siksi suodattaminen sähköpostista ei usein onnistu edes käytännön syistä. - Makrovirusten aikaan muutama vuosi sitten doc-tiedostoja ei päästetty läpi, mutta ajat ovat muuttuneet, sanoo Hyppönen. Word-komponentteja voi sisällyttää myös muun muassa Excel- ja PowerPoint-dokumentteihin, joten vaara vaanii myös .xls- ja .ppt-tiedostoissa. Kaiken lisäksi useilla kokoonpanoilla Windows tunnistaa doc-tiedoston tiedostopäätteestä riippumatta ja avaa sen Wordillä. Liikennettä Kiinan suuntaan

Mikko Hyppösen mukaan ensimmäinen suojautumiskeino on poistaa ylläpito-oikeudet rivikäyttäjiltä. Tähän mennessä tietoon tulleet hyökkäykset eivät ole toimineet, jos käyttäjä on kirjautunut sisään loppukäyttäjän oikeuksilla. Verkkotasolle hän suosittelee liikenteen tarkkailua. Erityisesti Kiinaan suuntautuvaan liikenteeseen kannattaa Hyppösen mielestä suhtautua varauksella. Kiinalaiset domain-palvelut kuten 3322.org ja 8866.org ovat olleet vakoilijoiden ahkerassa käytössä. Uusimmassa Word-hyökkäyksessä vakoiluohjelma otti yhteyden 3322.orgia käyttävään verkkotunnukseen. Palvelua käytettiin myös viime syyskuussa Euroopan parlamenttiin tehdyissä kohdistetuissa hyökkäyksissä, jotka nekin tehtiin Word-dokumenteilla. Palvelut ovat Aasiassa suosittuja ja niiden piirissä on runsasti myös harmittomia sivuja. Suodattamista kannattaisi silti harkita, jos kokee yrityksensä olevan potentiaalinen kohde, Hyppönen neuvoo. Hän kehottaa ylläpitäjiä myös tarkistamaan lokitiedoista, minkälaista liikennettä yritysverkosta on 3322.org:iin, 8866.orgiin ja vastaaviin palveluihin lähtenyt.

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Hyvinkään epäilty ampuja poistui kesken illanvieton hakemaan aseita

• Hyvinkään ampumisista epäiltyä luonnehditaan ujoksi ja hiljaiseksi
• Epäilty ampuja yöllä Facebookissa: "Oli kivaa toverit"
• Ruotsin Loreen Euroviisujen ylivoimaiseen voittoon
• Nuori mies hyppäsi mereen Naantalissa ja katosi