Lue uutinen mobiilisivustolla

CERT-FI: Kohdistettu hyökkäys ohittaa virustorjuntaohjelmat

Kohdistetussa hyökkäyksessä halutaan ottaa käyttöön käyttäjän tietokone.
Kuva: Ville Myllynen / Lehtikuva

10.7.2008 09:07 Haittaohjelmia levitetään entistä useammin kohdistetusti, jotta voitaisiin hankkia tietoja kohteena olevasta organisaatiosta. Sen lisäksi haittaohjelmia levitetään edelleen myös laajoina jakeluina sähköpostitse, murretuilla www-sivustoilla ja pikaviestimillä, kertoo Viestintäviraston tietoturvayksikkö CERT-FI.

CERT-FI:n tietoon on tullut tapauksia, joissa suomalaisiin organisaatioihin on pyritty levittämään haittaohjelmia kohdistetusti. Haittaohjelmia on levitetty sähköpostiviestien liitetiedostoina erittäin rajatulle ja tarkkaan valitulle vastaanottajien joukolle. Viestien lähettäjäksi on väärennetty tunnettu taho, ja viestien aiheet ovat olleet uskottavia ja organisaation normaaliin toimintaan liittyviä. Tyypillinen haittaohjelman sisältävä liitetiedosto voi olla esimerkiksi kutsu kokoukseen tai konferenssiin.

Kohdistetuissa hyökkäyksissä käytetyt haittaohjelmat ovat yleensä olleet sellaisia versioita, joita virustorjuntaohjelmat eivät ole hyökkäyksen toteuttamisvaiheessa tunnistaneet. Ohjelmien tarkoituksena on ollut saada käyttäjän tietokone etähallittavaksi, jolloin sen kautta voidaan hankkia tietoja organisaation toiminnasta.

CERT-FI:n mukaan www-sivustojen ja sähköpostipalvelujen tarjoajien tulee varautua siihen, että palvelujen tietoturvallisuudessa olevia puutteita pyritään käyttämään hyväksi. Sivustojen sisällön luvaton muokkaaminen voi mahdollistaa käyttäjien salasanojen urkkimisen, haittaohjelmien levittämisen ja muunlaiset väärinkäytökset.

Ohjelmistojen haavoittuvuuksia käytetään haittaohjelmien levittämiseen ja tietokoneiden kaappaamiseen. CERT-FI julkaisi toisen vuosineljänneksen aikana 41 haavoittuvuusilmoitusta. Varoituksia ei tällä neljänneksellä julkaistu.

Tiedot ilmenevät Viestintäviraston tietoturvaloukkauksia käsittelevän CERT-FI-yksikön julkaisemasta vuoden 2008 toista neljännestä koskevasta tietoturvakatsauksesta.

SQL injection -tyyppiset
haavoittuvuudet

CERT-FI:n mukaan verkkosivustoista on tullut rakenteeltaan monimutkaisia ja vaikeita hallita. Käyttäjälle näkyvän julkisivun takana on usein sivuston sisältöön liittyviä taustajärjestelmiä, kuten tietokantoja ja sisällönhallintajärjestelmiä, joiden tietoihin käyttäjät pääsevät sivuston kautta.

Jos verkkosivuston syötteentarkistusta ja taustajärjestelmän tietokannan suojaamista ei ole tehty huolellisesti, sivustolle tai sen käyttämään tietokantaan voi olla mahdollista tallettaa haluamaansa sisältöä syöttämällä taustajärjestelmän tietokannalle sopiva SQL-lause www-sivuston kautta. SQL on tietokantakyselyihin ja tietokannan sisällön hallintaan tarkoitettu kyselykieli.

Muokattuja sivuja voidaan käyttää esimerkiksi ohjaamaan käyttäjä sellaiselle sivustolle, josta selaimeen latautuu jotain tunnettua haavoittuvuutta hyödyntävää hyökkäyskoodia. Tämä voidaan toteuttaa esimerkiksi lisäämällä sivulle pätkä JavaScript-koodia, joka lataa haittaohjelman toiselta palvelimelta. Tavoitteena voi olla tietoja vakoilevan haittaohjelman tartuttaminen käyttäjän koneeseen tai sen liittäminen bottiverkon orjakoneeksi. Murrettua sivustoa voidaan käyttää myös haittaohjelmien tai niiden asetustiedostojen jakamiseen.

Yksinkertaisempi tapa käyttää hyväksi sivustojen haavoittuvuuksia on siirtää sivuille esimerkiksi poliittista materiaalia, jolla pyritään vaikuttamaan yleisön mielipiteisiin. Kesäkuun loppupuolella Liettuassa oli laaja www-sivustojen töhrimiskampanja.

SQL injection -tyyppisiä haavoittuvuuksia on löydetty useilta www-sivustoilta. Microsoft ja OWASP ovat julkaisseet ohjeita ja työkaluja, jotka auttavat välttämään SQL injection -tyyppisiä haavoittuvuuksia Windows-palvelinympäristöissä.

Sähköpostipalvelimet ovat
ajoittain kuormittuneet

CERT-FI:n tietoon on tullut tapauksia, joissa sähköpostipalvelimet ovat ajoittain ylikuormittuneet postipalvelinten palauttamien virheilmoitusviestien vuoksi. Ylikuormitustilanne voi syntyä silloin, kun laajassa roskapostituskampanjassa käytetään väärennettyjä lähettäjän osoitteita, jotka kuuluvat samalle organisaatiolle tai sähköpostipalvelujen tarjoajalle. Koska merkittävä osa roskapostijakelun vastaanottajien osoitteista on aina virheellisiä, palautuu väärennettyyn lähettäjän osoitteeseen paljon postipalvelinten lähettämiä ilmoituksia perille toimittamattomista viesteistä.

Tilannetta voi olla vaikeata erottaa organisaatioon tai palveluntarjoajaan kohdistetusta palvelunestohyökkäyksestä, mutta toisaalta hyökkäys voidaan toteuttaa myös tällä tavoin epäsuorasti. Palvelimelle tulevaa sähköposti­liikennettä ei voi suodattaa IP-osoitteiden perusteella, sillä yhteydet tulevat sähköpostipalvelimilta, joilta voi tulla myös asiallisia viestejä.

Kuormitus voi kohdistua voimakkaasti myös yksittäiseen sähköpostiosoitteeseen, jos se on väärennetty laajan roskapostijakelun lähettäjäksi. Tällöin käyttäjä saa postilaatikkoonsa suuren määrän virheilmoituksia. Roskapostia voidaan myös pyrkiä lähettämään siten, että todellisena viestin kohteena onkin virheilmoituksen vastaanottaja, koska palvelinten lähettämät virheilmoitukset saattavat paremmin läpäistä roskapostisuodatuksen.

Kalevi Nikulainen toimitus@digitoday.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (4)

0

0

kiva ku on muitakin uutisia kuin f-securen mainosjuttuja.

hiphei

Lainaa Ilmoita asiaton viesti

# 10.7.2008 9:25

1

0

Koska merkittävä osa roskapostijakelun vastaanottajien osoitteista on aina virheellisiä, palautuu väärennettyyn lähettäjän osoitteeseen paljon postipalvelinten lähettämiä ilmoituksia perille toimittamattomista viesteistä.

Jep, väärin configuroituja postipalvelimia on maailmalla vielä joitakin. Harvinaisen typerää toimintaa postipalvelimien ylläpitäjiltä on lähettää bounceja ilmoitetulle lähettäjälle. Vastaanottajan tarkistus tehdään SMTP-tasolla ennen yhteyden katkaisuja, ja hylätään tai hyväksytään posti siinä vaiheessa. Sen jälkeen on enää turha tavoitella alkuperäistä lähettäjää. Vielä typerämpää on postin sisäänottamisen jälkeen bouncata se sillä perusteella, että se oli roska- tai virusposti. Tätäkin valitettavasti tapahtuu. Tämän backscatterin sijaan mielestäni nykyään on ongelmana enemmänkin erilaisten webmailien kautta lähetetty spämmi, joka sekin ilman sisältöpohjaista suodatusta pääsee läpi.

Roskapostia voidaan myös pyrkiä lähettämään siten, että todellisena viestin kohteena onkin virheilmoituksen vastaanottaja, koska palvelinten lähettämät virheilmoitukset saattavat paremmin läpäistä roskapostisuodatuksen.

No sehän se vasta typerää olisi, jättää käytössoleva sisältöpohjainen skannaus tekemättä sen vuoksi, että posti "näyttää olevan" virheilmoitus. Ei. Kyllä kaikki SMTP-tason rajoitukset läpäisevä posti pitää skannata, jos skannausta käytetään.

Mikko

Lainaa Ilmoita asiaton viesti

# 10.7.2008 10:33

3

3

F-secure ei ole artikkelissa kait siksi koska heidän tuotteensa on aivan naurettavan surkea (peränpitäjä) proaktiivisessa (heurestisessa) malware tunnistuksessa.

av-comparatives.org

Lainaa Ilmoita asiaton viesti

# 10.7.2008 10:52

0

1

Saas nähdä milloinka virusnikkarit toteuttavat viruksen nimeltään Hyppönen. Pääsisi Hyppönen taas sivulla kommentoimaan Hyppösen vaaroista.

Seven

Lainaa Ilmoita asiaton viesti

# 10.7.2008 14:11

Sivut: 1 Edellinen Seuraava

Kirjoita vastaus

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Poliisi: Ampuja kertoo katuvansa tekojaan

• Ampuja keskeytti opinnot ja varusmiespalveluksen
• Pohjois-Korean Kim kävi huvipuistossa ja herkistyi
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua