Per Hellqvist om IT-säkerhet och sånt

Imorgon torsdag står jag på scenen på IT Security Expo i Göteborg med en namnkunnig panel och diskuterar det här med säkerhet och tillgänglighet. Det blir en rätt bred debatt och jag hoppas på en hel del matnyttigt från panelen. Jag kommer själv fungera som moderator, vilket är en utmaning i sig :-)

Paneldebatten börjar kl 11.15  på ICT-scenen.

Kom gärna förbi och ställ frågor eller bara säga hej!

Är du inte i Göteborg så ge inte upp hoppet. Vi kör en repris i Stockholm den 17 februari kl 12.30, men då med en delvis annan paneluppsättning.

Taggar: Allmänt, Framträdanden, Intressant

Goda nyheter! Jag fick just reda på att Microsoft kommer släppa en extra uppdatering som täpper till det säkerhetshål i Internet Explorer 6, 7, 8 som dubbats till “Google-hålet”, dvs det säkerhetshål som drabbade Google och ett 30-tal andra företag runt om i världen.

Mer information här

Vad jag förstår så finns alltså hålet i versionerna 6, 7 och 8 av Internet Explorer, men attack-koden (som nu är publikt publicerad) finns endast för IE 6 vad man vet. Det är en god idé att uppgradera Internet Explorer till version 8 om du inte gjort det då det finns ett antal nya säkerhetsfunktioner i den som försvårar attacken som den utfördes på IE 6 även om man skulle lyckas skriva attack-kod till IE 8. Så vänta inte. Uppdatera om du kan.

Jag läser med stor förvåning att det både i Frankrike och Tyskland höjs röster som rekommenderar användarna att byta webbläsare på grund av denna attack. Det är en dålig rekommendation. Låt mig förklara varför jag tycker det.

För en hemanvändare kanske det är en smal sak att ha flera webbläsare installerad (jag har t ex 4 st), men för ett företag är det inte lika lätt. Man kan inte byta applikationer bara på grund av ett säkerhetshål, oavsett hur allvarligt det är. Dels på grund av att det man byter till också kan ha säkerhetshål, dels på grund av kostnaderna det medför att byta plattform och dels på grund av att tillverkaren med största sannolikhet tillverkat en patch långt innan du hunnit byta klart. Du har alltså slösat en massa tid och pengar i onödan.

Ett eventuellt beslut att byta plattform ska tas på helt andra grunder.

Kom också ihåg att denna attack, även om den är nog så allvarlig, är mycket riktad. Den har av allt att döma endast drabbat ett 30-tal noga utvalda mål i hela världen.

Men, attack-koden är nu som sagt publik och den ligger till och med i Metasploit, så risken för allmänna attacker ökar var dag. Denna extrapatch från Microsoft är mycket välkommen.

Taggar: Intrång, Säkerhetshål, Webbläsare

Och  så kom det sig vid den tiden att en IT-säkerhetsspecialist befann sig på en av huvudstadens stora nybyggda hotell. Väntandes i lobbyn på en kamrat som dröjde slog han sig ned vid en av de datorer som ställts ut till allmänhetens förnöjelse. Som den nyfikne strut han var började han titta runt lite i den allmänt tillgängliga datorn.

Döm om hans förvåning när han öppnade mappen “Mina dokument” och hittade ett antal filer av stort intresse. Där låg färdplaner och förteckningar över deltagare på en nyligen avslutad internationell konferens som av resultatet att döma handlade om hur man bäst fortsätter smutsa ned vår planet.

Nu var det väl för väl att hjälten i vår saga är en snäll typ. Raderandes känsliga filer nynnade han på “Gläns över sjö och strand” och smuttade på hotellbarens hemgjorda glögg ety denna kväll hade bilen fått stanna hemma.

Midvinternattens köld är hård,
stjärnorna gnistra och glimma.
Alla sova i enslig gård
djupt under midnattstimma.
Månen vandrar sin tysta ban,
snön lyser vit på fur och gran,
snön lyser vit på taken.
Endast IT-säkerhetsspecialisten sitter och raderar känslig information från publika datorer.

När värvet var slutfört funderade vår välmenande vän över hur många andra känsliga dokument och lösenord som i detta nu, i den djupaste vinter, lagrats på allmänna datorer runtom i världen. Väl medveten om hur illa det är ställt med säkerhetsmedvetenheten beställdes ånyo en rykande varm glögg.

För sin hand genom skägg och hår,
skakar huvud och hätta —
»nej, den gåtan är alltför svår,
nej, jag gissar ej detta» —
slår, som han plägar, inom kort
slika spörjande tankar bort,
går att ordna och pyssla,
går att sköta sin syssla.

Taggar: Allmänt, Korkat, Trams

Inatt försvann Twitter.com. Men innan dess så verkar det som om de råkat ut för en så kallad “defacement”, alltså att någon hackat webbservern och bytt ut framsidan mot något helt annat. I natt såg Twitter.com ut så här:

Twitter-defacement-by-iranian-cyber-amy

Det spekuleras lite nu på morgonen om det verkligen var en defacement (de har iofs haft flera sårbarheter tidigare), eller om det rör sig om att någon pekat om en DNS-inställning. Det innebär i lekmannatermer att alla som vill till twitter.com istället kommer till en annan webbserver. Det får väl kanske en mer noggrann utredning komma fram till.

Uppdatering: Enligt Twitters egen tweet så var det verkligen en DNS-omstyrning.

Mer information och uppdateringar på Techcrunch.com

Twitters egen blogg kommer förmodligen ha mer information

Reflektion: Jag får alltid kalla kårar när något sånt här händer. Ponera att någon lyckas ta sig in bakvägen hos en populär social nätverksplats eller liknande och skickar ut bedrägliga meddelanden till alla användare med länkar till elaka webbplatser. Då blir det snabbt riktigt illa.

Taggar: Hackers, Intrång, Säkerhetshål, Twitter

Som jag skrev om härom dagen så upptäcks det gott om säkerhetshål i Adobes produkter. Nu har det kommit lite mer information om det senaste för er som gillar “tekniska”: En ganska tekniskt beskrivning av sårbarheten

Dessvärre verkar det som om Adobe inte tänker släppa någon extra uppdatering mot detta säkerhetshål, utan vi får vänta tills den 12 januari. Detta förmodligen beroende på att attacken verkar vara riktad och inte allmän. För mig är detta fel beslut. Inte bara på grund av att det kan ske en publik attack när som helst, utan även för att de som utsätts för den riktade attacken måste lita till andra säkerhetsfunktioner för att skydda sig. Tricket är att man inte vet innan att man utsätts för en attack.

Läs även “Ny allvarlig sårbarhet i PDF. Attack redan igång“. Där finns tips på hur man kan skydda sig mot denna (och liknande) attacker genom att avaktivera JavaScript i läsaren.

Sen tycker jag vi fattar varandras händer och tillsammans sjunger denna finstämda julsång: “All I want for christmas is an Adobe patch”.

Vill även passa på att påminna om mitt tidigare löfte . Jag har lovat på heder och samvete att inte komma och sjunga julsånger på ert kontor om ni nominerar mig till “Årets säkerhetsprofil” på nästa års Säkerhetsgala.

Imorgon är dessutom sista dagen att nominera till “Stora Talarpriset“. Tycker du att jag är en kanontalare, så får du gärna nominera mig. Det betyder så mycket för en gammal sliten säkerhetsspecialist. Det är dessutom min födelsedag imorgon så en nominering skulle vara en fin present. Och så lovar jag som sagt att inte sjunga julsånger för dig.

Ingen annan svensk IT-säkerhetsexpert kommer med sådana löften! ;-) Ha det med i beräkningarna när du nominerar.

Taggar: Adobe, Och sånt, Självförhärligande

birthday cake Just idag för fem år sedan tog jag beslutet att börja blogga om säkerhet. Det betyder alltså att bloggen fyller 5 år idag! Hipp hipp hurraaaa!!

Jag är väl kanske inte den bloggare som bloggar mest frekvent, men det beror på att detta är ett privat initiativ så det får inte påverka min arbetstid.

Ibland känner jag dåligt samvete för att jag inte bloggar oftare, men det är väl så att ha en blogg antar jag. Men en sak är säker – man lär sig enormt mycket på att blogga. Nästan för varje bloggpost har jag lärt mig något nytt. Det är fantastiskt roligt! Och om du samtidigt lär dig något nytt så blir jag ännu gladare!

Ibland är jag snabbt ute med en nyhet, ibland låter jag det gå lite tid för att nyhetsflödet ska stabilisera sig. Jag tycker det är viktigare med korrekt information än snabb. Det beror lite på tillfället vad jag väljer. Men jag försöker alltid vara noga med att skriva posterna så enkelt som möjligt. Det är meningen att alla ska kunna hänga med och förstå hur man blir lite säkrare.

Det vore rätt enkelt att göra djupdykningar i teknik, men då tappar jag de flesta läsare. Jag satsar istället på att visa på hur det kan se ut när du håller på att råka illa ut. I framtiden lovar jag bli ännu bättre på det. Fler bilder på luringar är något som jag hoppas kunna bjuda på.

Jag tänkte det kunde vara kul att göra en liten tillbakablick över de gångna åren. Här är en topplista över de 10 mest lästa posterna (mest populär överst):

Hoax på svenska – Welcome to the Matrix
Ett mycket seglivat hoax som aldrig verkar dö ut. Denna post är från mars 2005. Då hade den redan snurrat runt ett tag. Fortfarande idag är detta ett av de vanligast förekommande hoaxen.

Bilddagboken hackad. Lösenord på vift
Detta hack skapade såklart mycket uppmärksamhet. Det kanske är bra att det händer lite då och då så att vi får en påminnelse om att vi inte ska använda samma e-post/lösen på flera sajter.

Grattis! Du har vunnit 1.000.000 dollar!
Nigeriabreven roar alltid. Jag har ett par skräppost-adresser så att jag kan hålla koll på vad som händer därute. Det är spännande att se vilka vinklar de skjuter in sig på. Uppenbarligen fungerar dessa bedrägerier, annars skulle de sluta med dem för länge sedan.

Allvarligt intrång hos Aftonbladet
Kanske ett av de mest uppmärksammade hacken i Sverige de senaste åren. Inte så mycket för att de stal användarnamn och lösenord (se Bilddagboken-kommentaren ovan), utan mer för att vi måste kunna lita på att de nyheter vi läser är korrekta. Blir det intrång hos en nyhetsförmedlare måste man vara säker på att de inte kommit in i publiceringsverktygen. Gör elakingarna det så finns det risk att vi får läsa falska nyheter.

Ett hoax är ett hoax är ett hoax
Falska virusvarningar är fortsatt ett gissel. Fick ett igår från en person vars chef skickat ut det till hela organisationen… suck… Brevet började ganska typiskt: “Fått följande tillsänt till mig….jag kan inte bedöma om sant el ej.Ni får det i alla fall.”. Skicka inte dessa brev vidare. Det skrämmer i onödan och skapar osäkerhet. Dessutom slösar man bara bandbredd och arbetstid.

Hacker-fikat som uteblev – Jag har bilderna!
Fotografen Jan Lien var på plats när Aftonbladets chefredaktör Jan Helin bjöd in “Vuxna Förbannade Hackare” på försoningsfika. De kom inte. Jag blev inte förvånad. Men tack för bilderna Jan!

World of Warcraft – Varning för bedrägeri!
Denna post länkades in från en massa spelsajter i Sverige. Det kom ett snyggt utformat phishingmejl som försökte lura av dig inloggningsuppgifterna till World of Warcraft.

Polisen ringer Piratbyrån – dagens fniss
Kanske elakt att blogga om. Men den stackars konstapeln trampade rejält i klaveret.

Vuxna Förbannade Hackare outar Aftonbladet igen
Eftersom man inte riktigt gjorde sin hemläxa kom VFH på återbesök. B

Basshunter hackad och journalist blev varse Stasi-övervakning
Att Basshunters sida blev hackad var kanske inte huvudnyheten här. Jag träffade den mycket trevlige Jan Mosander i TV4s morgonsoffa. Det blev ett spännande och intressant program.

Jag vill tacka alla er som följer bloggen och särskilt er som tar er tid att kommentera posterna. Det är oerhört viktigt för mig med feedback och vidare tips och tricks. Det tjänar vi alla på. Sköt om er, surfa lugnt och uppdatera mera!

Taggar: Allmänt, Kul, Läsvärt, Och sånt

adobe-logoEftersom det ligger i tiden att göra återblickar över det gångna året ska väl inte jag vara sämre. Vi går ut hårt: Gissa vilken produkt som attackerats mest under året?

Gissade du Internet Explorer eller någon annan produkt från Microsoft så gissar du fel.

Gissar du Adobe Acrobat Reader så gissar du rätt.

Under året har det hittats en stor mängd “farliga” säkerhetshål i Adobes produkter. Jag antar att de har haft det hektiskt i kodarverkstaden. Det som är jobbigt i mitt tycke är att de är mycket långsamma ut med uppdateringar. Med tanke på hur vanligt förekommande PDF’er är så önskar man att Adobe skulle ta sina användares säkerhet på större allvar. Nu har man ju försökt göra bättring i och med att man infört en kvartalsvis uppdatering (japp, tre månader emellan…), men det är ju långt ifrån tillräckligt.

En annan anledning till att jag reagerar så starkt när det upptäcks säkerhetshål i Adobes produkter är att allmänheten anser dem vara “säkra”. Under masspostarnas glada dagar för 5-10 år sedan så varnade vi varandra för att skicka och ta emot dokument, kalkylark och okända Powerpoint-filer. Istället valde många att gå över till vad som då, och fortfarande idag, ansågs vara säkrast – PDF. Och det finns många därute. Kolla bara denna Google-sökning:

Pdf-sökning

Google-sökning som visar att det finns 110 miljoner PDFer publikt tillgängliga på Internet…

Elakingarna är ju inte dummare än att man då följer flocken och börjar leta sätt att infektera oss via dessa “säkra” filer. Samtidigt kladdar Adobe ned koden med fler och fler funktioner som vi inte behöver. Det gör att filerna blir större och klumpigare och det finns fler saker som kan innehålla säkerhetshål. Microsoft har ju tidigare kritiserats för att man öppnar filerna i “fullt läge”, dvs att alla makron körs och man är i editeringsläge. I princip samma sak sker med PDFer. Men ser man krasst på det så är det oerhört sällan man behöver göra annat än att läsa filen. För Microsofts filer finns olika “tittarprogram” som bara visar upp själva dokumentet utan att makron körs. Detsamma finns för Adobe PDFer . Men, de är också program och alla program kan ha sårbarheter. Hur man än vänder sig har man rumpan bak.

Under året i år har problemen med elaka PDFer verkligen eskalerat. Elaka PDFer används till allt från drive-by-downloads, där du får en preparerad PDF tillskickad dig när du besöker en hackad webbplats, till riktade attacker, där elakingarna skickar preparerade PDFer till chefer på stora företag eller andra intressanta personer. När dessa PDFer öppnas infekteras datorn med trojaner. Vanligast idag är som vanligt de trojaner som stjäl information (kreditkortsnummer, inloggningsuppgifter, etc) och öppnar bakdörrar. De kan också användas till att ladda ned ytterligare elak kod på den infekterade datorn. Allt för att man lurats att öppna en fil i ett format som man tror är säker.

Låt mig återigen upprepa en viktig sak: ALLA nya filer i datorn kan medföra problem.

Nu varnas det återigen för en allvarlig sårbarhet i Adobes produkter. Idag annonseras det att man nu upptäckt en ny, okänd, attack i PDF-läsaren. Den är mycket allvarlig då det som vanligt räcker med att öppna PDFen för att infekteras med elak kod . Därefter laddas ytterligare ett program ned. Det programmet letar efter vissa filer, krypterar dem och skickar upp filerna till en publik server. Det innebär att alla i hela världen kan ta del av din hemliga information (om man lyckas knäcka krypteringen dvs). Inget man vill ha in i datorn med andra ord.

Attacken verkar vara en så kallat riktad attack, där elakingarna valt ut intressanta mål och skickar specialskrivna PDFer till dessa. Hittills idag har vi hittat 21 unika PDFer med attacken i. Elakingarna har minsann inte julledigt…

Om Adobe inte släpper en extra uppdatering mot detta gapande säkerhetshål kommer det ingen lagning före den 12 januari(!). För att skydda sina användare mot en attack som redan är på gång. En månads väntetid är en evighet i vissa fall.

Här skriver Shadowserver Foundation mer ingående om just detta problem.  De rekommenderar att man stänger av JavaScript i PDF-läsaren, och det är ett mycket bra tips. Det tillsammans med att uppdatera sina program, inte köra som admin, och hålla antivirusprogrammet uppdaterat hjälper i allmänhet till att hålla datorn säkrare. Jag visar här hur enkelt det är att stänga av JavaScript i PDF-läsaren samt hur enkelt du kan höja säkerheten genom att aktivera funktionen Enhanced Security. Öppna först Adobe Reader, välj Edit och därefter Preferences. Gå sedan ned till Security och klicka ur Enable JavaScript och klicka i Enable Enhanced Security enligt bilderna nedan (som vanligt är det de osäkra alternativen som är förvalda…). Det ska se ut så här när du är klar :

Adobe-Javascript

Adobe-enhanced security

(ledsen för de hemskt stora bilderna, men bloggen envisas med flödande text… ibland vill man inte ha det…)

Det är tyvärr inte bara i PDFer som det upptäcks säkerhetshål. Även Flash har sin beskärda del. Här är det ännu värre eftersom man har mycket liten chans att stoppa animationen innan den körs. Det finns insticksprogram till t ex Firefox som gör att man kan välja om man vill köra den eller inte, men man vet fortfarande inte om den är elak innan. En del antivirusprogram letar efter elak kod inuti Flash-animationer. Det senaste motdraget från elakingarna är att lägga en (elak) Flash-aimation inuti en annan (snäll) Flash. Det visar sig att antivirusprogrammen bara letar i det första lagret… Men det är snart ändrat. Sen ligger bollen på den andra planhalvan igen.

Här är Adobes säkerhetsblogg: Adobe Product Security Incident Response Team (PSIRT)

Här har jag tidigare skrivit om attacker och problem med Adobes produkter.

Ett av mina nyårsönskningar är att Adobe ska ta din säkerhet på större allvar.

Taggar: Adobe, Intrång, Jobbigt, Korkat, Läsvärt, Säkerhetshål, Trojaner

Förutom att klicka på länkar och bilagor i e-post, sociala nätverk och tjattprogram är det lättaste sättet att bli infekterad idag att vara ute och surfa. Jag har skrivit om det ett par gånger tidigare.

Elakingarna skriver ett verktyg som automatiskt söker igenom webbplatser efter säkerhetshål och injicerar därefter egen kod på sidan. Koden styr sedan om besökare till mer elaka sajter helt i bakgrunden. Där infekteras dåligt underhållna datorer med elak kod. Därefter används de infekterade datorerna t ex i så kallade botnät eller också stjäl man information från användaren. Man använder dem dessutom till att söka igenom Internet efter nya sårbara sajter att skjuta in elak kod på.

Och så slöts cirkeln.

En sådan attack började i slutet av november och en sökning i Google idag ger långt över 100.000 svar. Det innebär att det i Google finns uppgifter om så många infekterade sajter (en del kan vara rensade, andra är fortfarande infekterade).Samma söning i Yahoo ger 303.000 svar. Vet inte varför skillnaden är så stor…

318

Attackerarna försöker infektera dig via fyra väl kända sårbarheter. Har du uppdaterat datorn så är det ingen risk just nu. Men det verkar som om de arbetar på attacken, så andra vektorer kan tillkomma. De fyra som idag används är:

Som du ser så är två av sårbarheterna från 2007 och två från tidigare i år. Väl kända och sedan länge “patchbara”. Så se till att hålla datorn uppdaterad.

Syftet med attacken som den ser ut idag är att stjäla lösenord till datorspel, men det kan ändras när som helst. Eftersom elakingen har kontroll över servern du styrs om till kan han göra lite som han vill med de datorer som ansluter.

Surfa lugnt och uppdatera mera.

Mer information här

Taggar: Botnets, Defacement, Säkerhetshål, Trojaner

Säkert har du, precis som jag, en kompis som sagt nåt i stil med “Norton?? Använder du det skitprogrammet? Det hittar ju inga virus. Jag bytte till ett annat och då hittade jag massor med virus på datorn”. Känner du igen det? Gissa hur ofta jag får höra det…

Vad kompisen gjort är att denne har lurats att installera ett falskt säkerhetsprogram.

Falska antivirusprodukter är vanligt förekommande idag. De försöker installera sig på din dator på en mängd olika sätt. Efter en liten stund ploppar det upp en ruta som ljuger om att du har elak kod på datorn. För att söka igenom datorn ska man trycka ok. Då låtsas programmet leta igenom datorn och låtsas hitta virus. För att åtgärda problemet måste man köpa den fulla versionen av programmet med kreditkort. Man brukar bli lurad på ca 50 dollar i första vevan. Gå inte på denna luring. Detta är den typ av “elak kod” som ökar mest just nu.

Defencelab

Sunbelt har en mycket intressant bloggpost om ett falskt antivirusprogram som heter DefenceLab. Det låtsas, som brukligt är, söka igenom datorn och hittar något som är elakt (som du inte har). När du ska ta bort den dirigeras du om till Microsofts webbplats. Du tas verkligen till Microsofts webbplats, men elakingen injicerad kod i din webbläsare så att texten på Microsofts webbplats ändras. Det är elakt… På så sätt lyckas man lura dig att Microsoft rekommenderar Defence Lab för att ta bort elakingen (som du inte har).

Det är omöjligt att se att detta sker, så det finns risk att många går på luringen.

Denna teknik har tidigare använts främst av banktrojaner (ex Satiloler, SilentBanker) som försöker maskera sina egna transaktioner (läs: när de stjäl dina pengar), eller i phishingsyfte. Då injicerar man kod som visar upp extra formulärrutor där du förväntas skriva in allehanda känslig information, som till exempel kreditkortsnummer, hemadress, PIN till bankomaten eller vad som helst.

Nu har elakingarna kommit på att tekniken är användbar för andra luringar. Personligen tycker jag att detta är något av det värsta man kan råka ut för när det gäller elak kod. Alla vet ju att inte allt på Internet är sant, men med en sådan elaking på datorn kan elakingarna få det att stå vad som helst på vilket webbplats som helst. Luringen sker ju lokalt i din datorn. Huvva…

Taggar: Intressant, Jobbigt, Läsvärt, Phishing, Trojaner, Webbläsare

Microsoft logotypeJust när du trodde att det var lugna gatan så är det Patch Tuesday igen. Microsoft har precis släppt månadens patchar. Det är ett par stycken varav 6 som betecknas som kritiska. Det innebär t ex att om någon lyckas lura dig att klicka på något kan man installera (elak) kod på din dator.

Läs mer här och uppdatera din dator

FlashLogo_6Håll även ögonen på Adobes sajt. Det ska komma en uppdatering till Flash Player idag, men när detta skrivs ser jag inte att de släppts. Den bör du snabba dig på att installera när den kommer.

Stay safe out there kids

Taggar: Adobe, Flash, Microsoft, Säkerhetshål

keep looking »