InfoProf Feed (2013-05-24)

Rejestracja zbiorów danych osobowych w GIODO

Profesjonalna oferta analizy przetwarzania danych osobowych, przygotowania dokumentacji (Polityka Bezpieczeństwa, Instrukcja Zarządzania Systemem Informatycznym) wraz ze zgłoszniem do rejestracji zbiorów danych osobowych w GIODO. Realizowane były z powodzeniem prace zarówno dla małych i średnich przedsiębiorstw, instytucji jak też korporacji.Wdrożenie Polityki Bezpieczeństwa, opracowanie procedur dla Administratorów Bezpieczeństwa Informacji, opieka powdrożeniowa. Oferta kompleksowej obsługi ochrony danych osobowych obejmuje również indywidualne szkolenia z zakresu ochrony danych osobowych. Opracowywane przez firmę InfoProf dokumentacje były pozytywnie weryfikowane podczas kontroli GIODO.

Nowa wersja iTunes, stare luki

Po opublikowaniu przez Apple kolejnej wersji iTunes, która była reklamowana jako nowa, rewolucyjna i dogłębnie przeprojektowana, w sieci ukazało się kilkanaście raportów wskazujących na błędy w nowo wydanej wersji. Część z błędów rzecz jasna dotyczy też starszych wydań oprogramowania Apple`a. Po przeliczeniu, okazało się, że łącznie w iTunes doszukano się czterdziestu nowych oraz znanych już wcześniej podatności, które w przeważającej ilości dotyczyły zewnętrznych bibliotek, wykorzystywanych przez wiele rodzajów oprogramowania.

Szkodniki z AutoIt

AutoIt to bardzo elastyczny, łatwy do opanowania język programowania. Powstał w 1999 roku, w wyniku poszukiwań szybkiego elastycznego języka programowania na platformę Windows. AutoIt umożliwia zarówno tworzenie prostych skryptów, które zmieniają pliki tekstowe jak i skrypty, które wykonują masowe pobieranie ze złożonymi GUI. Nic zatem dziwnego, że język ten został "doceniony" przez twórców szkodliwego oprogramowania, którzy coraz chętniej sięgają po ten język i wspomagające tworzenie w nim narzędzia.

Trojan.Smackup

Po uruchomieniu szkodnik tworzy w lokalizacji Dysk systemowy%\MSOCache\ następujące pliki: test.vbs, start.bat, start1.bat, 1.pdf, Ron.exe, Hen.exe, Info-[DATE].log, MS[trzy znaki].log. Trojan modyfikuje atrybuty plików w celu ukrycia ich przed użytkownikiem. Szkodnik tworzy mutex umożliwiający na pracę tylko jednej instancji robaka na komputerze: [MONTHLYDESX]. Trojan gromadzi informacje o systemie i zapisuje je w pliku Info-[DATE].log. Ponadto szkodnik gromadzi pliki o rozszerzeniach: .doc, .docx, .xlsx, .ppt, .pptx, .pdf i zapisuje je w pliku o nazwie csb.log. Szkodnik korzysta także z modułu keyloggera w celu zapisywania nazw otwieranych okien. Zdobyte w ten sposób dane zapisuje w pliku MB145.log. Ukradzione informacje są następnie wysyłane do lokalizacji: kungfu-panda.info/serverinfo.php, kungfu-panda.info/admin/setup.php

Trojan.Smackdown

Szkodnik gromadzi następujące informacje: data infekcji, położenie szkodliwych plików, informacje o karcie sieciowej, nazwa systemu. Zebrane informacje wysyłane są na serwer C&C (command-and-control). Szkodnik pobiera i uruchamia na skompromitowanej maszynie następujące moduły rozpoznawane jako Trojan.Hangove: Uploader, Info Get, Keylogger, Cameraman, Backdoor Shell

Trojan.Modred

W trakcie instalacji szkodnik tworzy w lokalizacji %UserProfile%\Application Data\Mozilla\ dwa pliki o nazwach złożonych z losowych znaków i rozszerzeniu .exe. Trzeci plik o rozszerzeniu .job umieszczany jest w lokalizacji %Windir%\Tasks\. Trojan będzie monitorował wejścia na strony o adresach: a5.userdail.ru, b5.userdail.ru, m.vk.co, vk.com, mc2.userdail.ru, e.mail.ru, google.com, google.com.ua, google.ru, help.mail.ru, m.odnoklassniki.ru, mail.ru, my.mail.ru, www.e.mail.ru, www.google.com, www.google.com.ua, www.google.ru, www.odnoklassniki.ru, www.yandex.ru. Szkodnik zakłada haki na usługi systemowe tak, aby w momencie otwarcia predefiniowanej strony przekierować użytkownika pod adres 91.208.16.246

Trojan.Fakesafe

Kiedy szkodnik zostanie uruchomiony tworzy w domyślnym katalogu Temp katalog SafeNet a w nim bibliotekę SafeExt.dll oraz pliki SafeCredential.DAT i SafeExt.org . Podobny katalog tworzy w lokalizacji ProgramFiles%\Internet Explorer\. W katalogu tym tworzy pliki: SafeCredential.DAT i SafeExt.dll. Oprócz tych plików szkodnik tworzy bezpośrednio w katalogu Temp plik o nazwie Rm.bat. Trojan może się równiez skopiować do lokalizacji %Temp%\SafeNet\ jako plik kernel.dat. Później szkodnik modyfikuje rejestr:
HKEY_CLASSES_ROOT\Folder\shellex\ContextMenuHandlers\SuperExtender\"(Default)" = "{B0597F7E-06FF-4A31-9C2C-11483CE7F30E}"
HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers\SuperExtender\"(Default)" = "{B0597F7E-06FF-4A31-9C2C-11483CE7F30E}"
HKEY_CLASSES_ROOT\Directory\Background\shellex\ContextMenuHandlers\SuperExtender\"(Default)" = "{B0597F7E-06FF-4A31-9C2C-11483CE7F30E}"
HKEY_CLASSES_ROOT\CLSID\{B0597F7E-06FF-4A31-9C2C-11483CE7F30E}\InprocServer32\"(Default)" = "%ProgramFiles%\Internet Explorer\SafeNet\SafeExt.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\"{B0597F7E-06FF-4A31-9C2C-11483CE7F30E}" = "QuickOpen ContextMenu Extension"
Po zmodyfikowaniu rejestru trojan otwiera backdoora i łączy się z adresem: www.getapencil.com . Teraz zdalny napastnik jest w stanie pobierać na komputer ofiary i uruchamiać szkodliwe oprogramowanie w tym również fałszywe antywirusy.

OSX.Kitmos

trojan otwiera na skompromitowanej mszynie backdoora i łączy się z domenami: [http://]docsforum.info/lang[REMOVED], [http://]securitytable.org/lang[REMOVED]. Szkodnik może podejmować następujące akcje: wykonywać zrzuty ekranowe, wykonywać polecenia, manipulować aktywnością sieciową wysyłać na zdalny serwer pliki pobrane z komputera.

Android.ZertSecurity

Pojawia się w pakiecie com.ceandroid.security.zert, w pliku zertifikat.apk. Może stanowić część kampanii phishingowej. Musi być ręcznie pobrany i zainstalowany. Po instalacji żąda zezwoleń na monitorowanie przychodzących wiadomości SMS, dostęp do informacji do sieciach i otwieranie gniazd sieciowych. Wyświetla ikonę kłódki. Po uruchomieniu pokazuje ekran logowania, żądając numeru konta i PINu. Te informacje zostają wysłane na adres [http://]app-smartsystem.net/sms/d_m00[...]. Trojan może monitorować i blokować SMSy z banków.

InfoProf - obsługa informacyjna biznesu

Firma InfoProf zajmuje się doradztwem w zakresie zarządzania bezpieczeństwem informacji, jej profesjonalnym przetwarzaniem i eksponowaniem na stronach www. Oferujemy również autorskie rozwiązania software`owe z zakresu business intelligence. Oferowane przez nas usługi zapewnią Państwa zasobom informacyjnym wysoki poziom bezpieczeństwa niezbędny do prowadzenia biznesu a także pozwolą na zgodne z obowiązującym prawem przetwarzanie i skuteczną ochronę danych osobowych.Dzięki naszym rozwiązaniom CRM oraz wyspecjalizowanym bazom danych, informacja przetwarzana w Państwa firmie trafi bezpiecznie do właściwych osób, we właściwym czasie, zaś wykorzystanie narzędzi z zakresu architektury informacji pozwoli na najlepsze wyeksponowanie najistotniejszych danych w Państwa serwisie internetowym.Tworzone przez nas rozwiązania uwzględniają wymogi i trendy w dziedzinie ochrony informacji. Bezpieczeństwo danych jest zatem obecne na każdym etapie tworzenia produktu.

Trojan.Ransomlock.AE

Szkodnik pobierany jest w sposób cichy ze strony na której został zainstalowany exploit. Po uruchomieniu szkodnik tworzy swoje pliki w katalogu który był otwarty w trakcie infekcji. Trojan gromadzi informacje o zainstalowanym systemie operacyjnym oraz nazwie użytkownika. Zdobyte dane są wysyłane na jeden z 8 serwerów command-and-control (C&C). Szkodnik może blokować desktop i wyświetlać żądania okupu za odblokowanie

Bloodhound.MalVB

Takim zbiorczym określeniem, firma Symantec identyfikuje nieznane wcześniej potencjalnie szkodliwe pliki, które mogą zawierać eksploity. Pliki te zwykle są dodatkowo szyfrowane i zaciemniane w celu utrudnienia ich rozpoznania przy pomocy technik opartych na tradycyjnych sygnaturach.

Downloader.Liftoh

Po uruchomieniu szkodnik kopiuje się do lokalizacji %UserProfile%\Application Data\ jako plik o nazwie składającej się z losowych liter i rozszerzenia .exe. Trojan zawiera w sobie wbudowany plik .dll. Zadaniem tej biblioteki jest pobieranie i uruchamianie lub wstrzykiwanie innych szkodników do działających procesów. Trojan znany jest m.in. z tego, że pobiera i uruchamia na skompromitowanej maszynie szkodnika o nazwie W32.Phopifas.

W32.Ratavar

po uruchomieniu szkodnik tworzy swój plik o losowej nazwie i rozszerzeniu .sys w domyslnym katalogu Temp. Następnie infekuje wszystkie sterowniki znajdujące się w lokalizacji %System%\drivers. ( zainfekowane sterowniki będą wykrywane jako W32.Ratavar!inf. Później szkodnik łączy się z lokalizacją [http://]www.googleudatedb4.com i pobiera z niej inne malware na skompromitowaną maszynę.