B\u0142\u0105d wyst\u0119puj\u0105cy w wybranych no\u015bnikach SSD skraca ich \u017cywot do 32 768 godzin, czyli dok\u0142adnie 3 lat 270 dni i 8 godzin. Korzystasz z dysk\u00f3w SSD od Hewlett Packard? Szybka aktualizacja firmware mo\u017ce uratowa\u0107 Twoje dane. W ostatnim tygodniu by\u0142o r\u00f3wnie\u017c g\u0142o\u015bno o DeathRansom, kt\u00f3ry po poprawkach zacz\u0105\u0142 realnie szyfrowa\u0107 dane, Dexphot oraz niebezpiecznych smartwatcha\u2019ach SMA-WATCH-M2. <\/p>\n\n\n\n\n\n\n\n
DeathRansom da\u0142 si\u0119 pozna\u0107 jako ransomware, kt\u00f3ry tylko udawa\u0142, \u017ce szyfruje dane u\u017cytkownik\u00f3w. Ale wszystko uleg\u0142o zmianie. Dok\u0142adnie gdzie\u015b w okolicy 20 listopada.<\/p>\n\n\n\n
Analiza wczesnych atak\u00f3w wykaza\u0142a, \u017ce dane mo\u017cna by\u0142o odzyska\u0107 usuwaj\u0105 z plik\u00f3w rozszerzenie .wctc. Czy to by\u0142 bug? Trudno powiedzie\u0107, jednak developerzy w ostatnich tygodniach ci\u0119\u017cko pracowali nad swoim programem (czyt. rozwi\u0105zali kilka wa\u017cnych problem\u00f3w). W efekcie, DeathRansomware jest ju\u017c gro\u017any.<\/p>\n\n\n\n
Zmiana.<\/strong> Zagro\u017cenie szyfruje pliki na komputerze ofiary z wyj\u0105tkiem tych, kt\u00f3rych nazwy \u015bcie\u017cek zawieraj\u0105:<\/p>\n\n\n\n programdata, $recycle.bin, program files, windows, all users, appdata, read_me.txt, autoexec.bat, desktop.ini, autorun.inf, ntuser.dat, iconcache.db, bootsect.bak, boot.ini, ntuser.dat.log, thumbs.db<\/strong><\/p>\n\n\n\n Co istotne, <\/strong>DeathRansom nie dodaje ju\u017c rozszerzenia do zaszyfrowanych plik\u00f3w. Jedynym sposobem stwierdzenia, \u017ce dane zosta\u0142y zaszyfrowane, jest znacznik pliku o warto\u015bci \u201eABEFCDAB\u201d do\u0142\u0105czony do zaszyfrowanych zasob\u00f3w.<\/p>\n\n\n\n Po zainfekowaniu urz\u0105dzenia, ransowmare pr\u00f3buje usun\u0105\u0107 shadow volume copies, zanim przyst\u0105pi do szyfrowania danych. Na koniec umieszcza w folderach plik tekstowy z indywidualnym ID infekcji oraz adresem e-mail do kontaktu. Dopiero w dalszych krokach u\u017cytkownik otrzymuje instrukcj\u0119, w jaki spos\u00f3b ma zap\u0142aci\u0107 okup i w jakiej wysoko\u015bci. <\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Szyfrowanie end-to-end, czyli szyfrowanie po stronie klienta, to jedna z najlepszych metod zapewnienia poufno\u015bci. Korzystasz z komunikatora, kt\u00f3ry to umo\u017cliwia? Jego tw\u00f3rcy nie s\u0105 w stanie odczyta\u0107 twoich wiadomo\u015bci. Hackerzy r\u00f3wnie\u017c. Niestety rz\u0105d USA tak\u017ce. To chyba dobrze? Jak si\u0119 okazuje, nie dla wszystkich.<\/p>\n\n\n\n O co chodzi? <\/strong>Ameryka\u0144skie organy \u015bcigania nie chc\u0105 dopu\u015bci\u0107 do tego, aby namierzeni przez nie przest\u0119pcy i terrory\u015bci mogli korzysta\u0107 z szyfrowania do ochrony prowadzonej komunikacji. G\u0142\u00f3wny cel ca\u0142ej tej kampanii? Ca\u0142kowity zakaz stosowania szyfrowania lub wprowadzenie do system\u00f3w backdoora, przez kt\u00f3ry \u201eupowa\u017cnione\u201d podmioty b\u0119d\u0105 mog\u0142y zagl\u0105da\u0107 do podejrzanych konwersacji. Przeciwnicy wskazuj\u0105 jednak, \u017ce takie rozwi\u0105zanie to bro\u0144 obosieczna. Brak szyfrowania end-to-end znacznie u\u0142atwi zagranicznym agencjom, rz\u0105dom oraz grupom hackerskim dost\u0119p i kradzie\u017c informacji.<\/p>\n\n\n\n Unia Europejska zabiera g\u0142os<\/strong><\/p>\n\n\n\n 20 listopada poznali\u015bmy oficjalne stanowisko przedstawicieli Komisji Unii Europejskiej. UE nie zgadza si\u0119 na wprowadzenie zakazu. Powo\u0142uj\u0105 si\u0119 przy tym na zapisy RODO, kt\u00f3re wyra\u017anie wskazuje na szyfrowanie jako \u015brodek zabezpieczaj\u0105cy dane. <\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n \u015awiat us\u0142ysza\u0142 o Dexphot w pa\u017adzierniku 2018 r. Malware atakowa\u0142 w bardzo z\u0142o\u017cony spos\u00f3b. Program stosowa\u0142 r\u00f3wnie\u017c interesuj\u0105ce metody zaciemniania swojej obecno\u015bci. Mi\u0119dzy innymi skrypt, kt\u00f3ry weryfikowa\u0142, czy na urz\u0105dzeniu zainstalowano antywirusa oraz w p\u00f3\u017aniejszym czasie odpowiada\u0142 za regularne aktualizacje malware\u2019a.<\/p>\n\n\n\n W pocz\u0105tkowym stadium ataku, Dexohot zapisuje na dysku pi\u0119\u0107 plik\u00f3w KEY. Z wyj\u0105tkiem jednego z nich – instalatora z dwoma adresami URL \u2013 wszystkie odpowiadaj\u0105 za procesy, kt\u00f3re realnie zachodz\u0105 w systemie: msiexec.exe, rundll32.exe, unzip.exe, schtasks.exe, powershell.exe<\/strong>. Przez to wykrycie zagro\u017cenia jest utrudnione.<\/p>\n\n\n\n Po uruchomieniu instalatora na urz\u0105dzenie zostaje pobrany i zainstalowany z\u0142o\u015bliwy payload. Atak ko\u0144czy uruchomienie w systemie ofiary miner\u2019a kryptowalut. U\u017cytkownik szybko odczuwa skutki jego pracy. Jednak usuni\u0119cie zagro\u017cenia jest utrudnione.<\/p>\n\n\n Dexphot wykorzystuje zaawansowane metody ukrywania swojej obecno\u015bci m.in. warstwy zaciemniaj\u0105ce, szyfrowanie oraz przypadkowe nazwy plik\u00f3w do ukrycia procesu instalacji. Paczka MSI zawiera \u201ezaciemniaj\u0105cy\u201d skrypt, przeznaczony do wyszukiwania rozwi\u0105za\u0144 antywirusowych – Windows Defender, Avast i AVG. Po ich wykryciu, malware natychmiast wstrzymuje proces infekowania urz\u0105dzenia. Je\u015bli jednak ich nie znajdzie… Wtedy ofiara ko\u0144czy z miner\u2019em, kt\u00f3ry nie tylko monitoruje us\u0142ugi, ale tak\u017ce zosta\u0142 odpowiednio zabezpieczony przed pr\u00f3bami odinstalowania zagro\u017cenia.<\/p>\n\n\n\n Dwie us\u0142ugi monitoruj\u0105ce r\u00f3wnolegle sprawdzaj\u0105 wszystkie niebezpieczne procesy. Taki podw\u00f3jny monitoring zapewnia \u201eredundancj\u0119\u201d na wypadek sytuacji, gdyby jeden z nich zosta\u0142 jednak zatrzymany. Ten kt\u00f3ry nadal dzia\u0142a, natychmiast identyfikuje zdarzenie i podejmuje stosowne \u201edzia\u0142ania naprawcze\u201d. Przerywa on wszystkie aktywne procesy i ponownie infekuje urz\u0105dzenie. Malware dodatkowo wykorzystuje hollowing. Jest to technik\u0119 stosowan\u0105 przez cyberprzest\u0119pc\u00f3w do ukrywania z\u0142o\u015bliwego oprogramowania w ramach legalnych proces\u00f3w. Tyle, \u017ce oryginalny kod zostaje zast\u0105piony z\u0142o\u015bliwym odpowiednikiem. W ten spos\u00f3b program \u0142aduje pliki .exe do wn\u0119trza systemu.<\/p>\n\n\n\n Dodatkowo (lub raczej co gorsza) mamy w tym przypadku do czynienia z dzia\u0142aniem typu fileless. Kod mo\u017ce zosta\u0107 uruchomiony bez wcze\u015bniejszego zapisania go w systemie plik\u00f3w. W ten spos\u00f3b nie tylko trudniej jest wykry\u0107 z\u0142o\u015bliwy kod podczas jego pracy, ale tak\u017ce wyszuka\u0107 przydatne informacje pomocne do skutecznego usuni\u0119cia zagro\u017cenia.<\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Hewlett Packard Enterprise ostrzega klient\u00f3w o b\u0142\u0119dzie w wybranych no\u015bnikach SSD, kt\u00f3ry powoduje, \u017ce przestaj\u0105 dzia\u0142a\u0107 dok\u0142adnie po 32 768 godzinach (a wi\u0119c 3 latach 270 dniach i 8 godzinach) od pierwszego uruchomienia. Jednocze\u015bnie zaleca piln\u0105 aktualizacj\u0119 firmware, bez kt\u00f3rej dane stan\u0105 si\u0119 niemo\u017cliwe do odzyskania. <\/p>\n\n\n\n Pow\u00f3d?<\/strong> Firma nie wyja\u015bni\u0142a \u017ar\u00f3d\u0142a problemu. Specjali\u015bci spekuluj\u0105, \u017ce mo\u017ce to by\u0107 wynik czeskiego b\u0142\u0119du w definiowaniu typ\u00f3w danych. 32768 jest najmniejsz\u0105 ca\u0142kowit\u0105 wymagaj\u0105c\u0105 w zapisie dw\u00f3jkowym 16 bit\u00f3w. W reprezentacji signed (ze znakiem) zapisanie jedynki na najstarszym bicie czyni liczb\u0119 ujemn\u0105. Oficjalnego stanowiska HP jednak zabrak\u0142o. <\/p>\n\n\n\n Sprawd\u017a, czy Twoje dane s\u0105 zagro\u017cone. <\/strong>B\u0142\u0105d dotyczy dysk\u00f3w p\u00f3\u0142przewodnikowych SCSI z Serial Attached. U\u017cywane s\u0105 w wielu serwerach i urz\u0105dzeniach pami\u0119ci masowej, r\u00f3wnie\u017c takich marek jak HPE ProLiant, Synergy, Apollo, JBOD, D3xxx, D6xxx, D8xxx, MSA, StoreVirtual 4335 czy StoreVirtual 3200. <\/p>\n\n\n\n Aktualizuj dysk albo…zginie!<\/strong> W sumie problem dotyczy 20 dysk\u00f3w. Poprawka jest ju\u017c dost\u0119pna dla 8 z nich. Aktualizacje oprogramowania uk\u0142adowego dla pozosta\u0142ych zostanie wydane w drugim tygodniu grudnia. Wykaz podatnych dysk\u00f3w oraz nowe wersje firmware znajdziesz na stronie wsparcia technicznego<\/a> producenta. Zalecamy piln\u0105 aktualizacj\u0119 – odliczanie do utraty danych trwa\u2026<\/p>\n\n\n\n Tik, tok…<\/p>\n\n\n\n \u0179r\u00f3d\u0142o: 1<\/a> | 2<\/a><\/p>\n\n\n\n Chi\u0144ski dzieci\u0119cy smartwach SMA-WATCH-M2 posiada luk\u0119, kt\u00f3ra pozwala na wyciek danych osobowych, odczyt danych GPS dzieci oraz pods\u0142uchiwanie rozm\u00f3w i manipulowanie informacjami. Zaleca si\u0119 pilne wy\u0142\u0105czenie lub nawet wyrzucenie podatnego sprz\u0119tu. <\/p>\n\n\n\n Kto zagro\u017cony? <\/strong>Zegark\u00f3w u\u017cywa co najmniej 5 tys. dzieci na ca\u0142ym \u015bwiecie. Firma AV-TEST, kt\u00f3ra odkry\u0142a problem przygotowa\u0142a map\u0119 aktywnych u\u017cytkownik\u00f3w. Wida\u0107 z niej, \u017ce lwia cz\u0119\u015b\u0107 pochodzi…z Polski. <\/p>\n\n\n\n Mia\u0142o by\u0107 dobrze\u2026<\/strong> W za\u0142o\u017ceniu SMA-WATCH-M2 mia\u0142 zapewnia\u0107 rodzicom dzieci poczucie bezpiecze\u0144stwa. Wyposa\u017cenie go w GPS i kart\u0119 SIM umo\u017cliwia\u0142o sprawdzenie lokalizacji dziecka oraz wysy\u0142anie wiadomo\u015bci i wykonywanie po\u0142\u0105cze\u0144 g\u0142osowych. Niestety, te funkcjonalno\u015bci s\u0105 r\u00f3wnie\u017c \u0142atwo dost\u0119pne dla przest\u0119pc\u00f3w. <\/p>\n\n\n\n Wysz\u0142o, jak zwykle\u2026<\/strong> Serwer, na kt\u00f3rym przechowywane s\u0105 dane dzieci nie posiada praktycznie \u017cadnych zabezpiecze\u0144. Winne jest r\u00f3wnie\u017c niezabezpieczone API. Wystarczy, \u017ce atakuj\u0105cy pobierze aplikacj\u0119 i wprowadzi identyfikator dziecka, aby po\u0142\u0105czy\u0107 si\u0119 z jego urz\u0105dzeniem i wysy\u0142a\u0107 wiadomo\u015bci oraz dzwoni\u0107 podszywaj\u0105c si\u0119 pod rodzica. Je\u017celi nie chcecie nara\u017ca\u0107 swoich pociech na powy\u017csze zagro\u017cenie – natychmiast wy\u0142\u0105czcie lub wyrzu\u0107cie wadliwy sprz\u0119t. <\/p>\n\n\n\n Tym bardziej, \u017ce w pi\u0105tek Miko\u0142ajki – to dobra okazja, aby wymieni\u0107 go na inny – sprawdzony i bezpieczny. <\/p>\n\n\n\n \u0179r\u00f3d\u0142a: 1<\/a> | 2<\/a><\/p>\n\n\n\n2. USA chce zakazu szyfrowania end-to-end. UE m\u00f3wi NIE<\/strong> <\/h2>\n\n\n
3. Microsoft ostrzega przed Dexphot, kt\u00f3ry zainfekowa\u0142 ju\u017c ponad 80 tys. urz\u0105dze\u0144<\/strong> <\/h2>\n\n\n
Metody zaciemniania<\/h6>\n\n\n
4. HP ostrzega – Tw\u00f3j dysk SSD umrze po 32768 godzinach<\/strong> <\/h2>\n\n\n
5. Twoje dziecko ma smartwatcha SMA-WATCH-M2? Natychmiast go wy\u0142\u0105cz! <\/strong> <\/h2>\n\n\n