セキュリティウィーク51：JoomlaのZero Day、TwitterはMacKeeperデータベースリークを警告

今年のシリーズの最後から2番目のエピソードでは、次のニュースについて説明します。



-Twitterは、intelligence報機関によって攻撃される可能性があるという警告をユーザーに送信します。 受信者はほとんどいませんが、そのうちのいくつかは情報保護のトピックに何らかの関係があります（まあ、またはインターネットの分野での政治活動）。 警告を含めると、以前Torプロジェクトの開発とプロモーションに関与していたRuna Sandvikを受け取りました。



-Joomla CMSに重大な脆弱性が発見されました。2段階のハッキング方法には、将来脆弱なシステムでPHP言語の任意のコードを転送および実行できるブックマークの導入が含まれます。 この脆弱性は、パッチの公開の少なくとも2日前に積極的に悪用されました。



-MacKeeperユーティリティセットの1,300万人のユーザーに関するデータはパブリックドメインです。 いいえ、開発会社はハッキングされていませんでした。 構成が正しくありませんでした。



従来のルール：毎週、 Threatpostニュースサイトの編集委員会が3つの最も重要なニュースを選択し、それに拡張された容赦のないコメントを追加します。 シリーズのすべてのエピソードはタグで見つけることができます。 来週、2015年全体の非標準のトップセキュリティニュース。 それまでの間、2014年に何が起こったかを思い出すことができます。



MacKeeperは、ひどく横たわっているユーザーベースによってほとんど盗まれました。

ニュース 。 Reddit についての議論 。 アドバイザリー開発者。



今週のMacKeeperに関するイベントの簡単な説明は、次のようなものです。

-研究者のクリス・ビッカリーは、専門的な調査を通じて、ShodanはAppleコンピューター用のさまざまなユーティリティの開発者であるKromtechのオープンな顧客ベースを見つけました。

-研究者はベンダーに連絡しようとしましたが、失敗しました。

-研究者は情報をReddit Macrocode会議に投稿しましたが、リークの詳細は明らかにせず、確認として1つのスクリーンショットを添付しました。 これ ：











-その後、クリスは会社に連絡することができ、ホールは閉鎖されました。

-しかし、いいえ、研究者は、ベースがまだ利用可能な少なくとも3つのIPアドレスを発見しました。

-穴は最終的に修正され、その後クリスは発見の詳細を共有しました。



そして、問題はこれでした。Kromtechが使用するMongoDBデータベースは、保護、パスワード、またはその他のものなしで、外部からアクセスできました。 Chris Vickeryは、構成内のこのような障害の検索によって強化された、特殊なShodan検索エンジンを使用しました。 彼は特にMacKeeper開発者を調査しませんでした。「port：27017」というフレーズを検索するときに、偶然彼らのベースにつまずきました。 これは、MongoDBへのアクセスを提供するデフォルトのポートです。



今回は通過したようです：会社のかなり迅速な声明では、外部からのアクセスの1つのケースのみがログに記録されている、つまり、研究者（おそらくデータベースを使用しない）を除いて、ユーザーデータに侵入する人はいないと述べられています。 ただし、このような場合、特にデータベース内のパスワードはソルトなしのMD5を使用してハッシュ化されているため、100％確実なことは不可能です。つまり、最も信頼性の高い方法ではありません。 Kromtechに敬意を表する必要があります。事件の後、彼らはすべてのユーザーのパスワードリセットを開始しただけでなく、より信頼性の高いパスワードハッシュアルゴリズムの導入についても報告しました。



そして、事件はそれほど悪くはなかったように思えますが、いずれにしても、次のような場合には非常に厄介な瞬間の感覚が残っています。











さらに、予想どおり、MacKeeperが唯一のケースではありませんでした。 Shodanの作成者であるJohn Materley氏によると、35,000のMongoDBデータベースは 、約680テラバイトの安全でない情報の総量で自由に利用できます。



Twitterは、状態サポートの厚いレイヤーを使用して、攻撃の可能性があることをユーザーに警告します

ニュース 。



国家支援の攻撃-これは、翻訳が難しいロシアのIBニュースピークの例です。 ほとんどの場合、それも間違っています。特別なサービスは、そのオペレーションに関するデータを開示することを急ぐことはないため、1つまたは別のサイバーオペレーションへの参加について推測することしかできません。 攻撃の複雑さに基づいて推測が行われます。操作が非常に多くのリソースを必要とするため、単一の恋人やサイバー犯罪者の手の届かないところにある場合、結論は明らかです。 12月12日、少数のTwitterユーザーが、攻撃の標的になる可能性があることを警告するメッセージを会社から受信しました。 警告の例を次に示します 。











この警告は、高給の弁護士の多くの工数の仕事がそれに投資されているように見えます。処方は可能な限り曖昧です。 名前、電話番号、IPアドレスなど、攻撃者の関心の大まかな概要が示されています。 また、このデータはまだ取得されていない可能性が高いと言われています。 残りは匿名性を維持するための推奨事項であり、EFFマニュアルへのリンクがあります。



元Tor開発者でありセキュリティスペシャリストであるRuna Sandvikは、この非常に曖昧さのためにTwitterを正しく批判しています。 ただし、Twitterの代わりに自分を置いてください。インフラストラクチャをハッキングしようとしているか、既にハッキングされているか、国の政府機関から奇妙なリクエストを受け取ります。 国際法および地方法の強力なロープに縛られているため、少なくとも何らかの形でユーザーに警告する唯一の選択肢があるかもしれません。 ここにある。 そしてもう1つ：TwitterはTorを使用してIPアドレスをマスクすることを推奨していますが、これはアクセスオプションであり、Runa Sandvikによると、多くの場合Twitter自体によるブロックにつながります。



それから、電話番号を見つけようとすることについてTwitterが警告した場合、アカウントを番号にリンクすることを常に要求するのはなぜですか？ 一般的に、今ではソーシャルネットワークになるのは簡単ではありません。一方で、あなたの利益は、とりわけ、ユーザーがあなたと情報をどれだけ積極的に共有しているかに依存します。 一方、これらのデータを所有していることが、サイバー犯罪者と他の一部の標的になります。



Joomla Zero Dayの脆弱性

ニュース 。 セキュリティ勧告 。 詳細な説明 。



Joomla CMSの重大な脆弱性は、サポートされなくなった1.5.xおよび2.xを含む3.4.6までのバージョンに影響します。 この脆弱性を悪用すると、攻撃されたシステム上で任意のコードが実行される可能性がありますが、残念なことに、調査の一部としてではなく、実際の攻撃を検出した結果として発見されました。 この脆弱性の悪用は2段階で行われます。 最初に、変更されたHTTPユーザーエージェント文字列を使用してオブジェクトが注入されます。 次に、このバックドアを介して、マシン上で任意のPHPコードを実行できます。 ユーザーエージェントの行は次のようになります（攻撃を発見したSucuriのブログからの引用です。この行は、既製のハックレシピを提供しないようにわずかに変更されています）。







Joomlaのすべてのバージョンのパッチは月曜日にリリースされました-現在のバージョンのCMSをサポートしている人は、3.4.6にアップグレードしてください。 サポートされていないバージョン（2.5以前）の修正プログラムがリリースされました。 残念ながら、Joomlaに基づくサイトに対する攻撃の事例はリリースの少なくとも2日前に記録されているため、更新が速いほど良いのです。



他に何が起こった：

ブラジルで新しいバンキング型トロイの木馬が発見され、主にソーシャルネットワークを介してユーザーを攻撃し、しばらくの間、Googleクラウドプラットフォームでホストされています（既に取り壊されています）。 情報セキュリティの観点から、ブラジルは一般的に特別な国です。 特別な調査で最近書いたように、横行しているサイバー犯罪は、インターネットをまったく使用していない人だけがデータとお金を失う危険性があるということです（ただし、これでも十分に保護されていない状態構造データベースの盗難からは救われません）。



Ciscoルーター用のソフトウェアにある一連の脆弱性 。 特に、会社はApache Commons Collectionsライブラリを使用してシステムを監査します。これについては、以前にバグについて書いたものです。



古物：

「HH＆HH-4091」



非危険な常駐ウイルス。 暗号化されています。 デフォルトでは、起動時に.COMファイルに感染します。 感染すると、ファイルの名前を* .A *に変更し、書き込みを行ってから、名前を変更します。 月曜日に、ポートA0hに0を書き込みます。 画面上で文字列「Esik」を検索し、見つかった場合は、しばらくするとグラフィックビデオモードに切り替わり、ジャンプボールを表示します。 int 1Ch、21hをフックします。 「＃（-28 = CIPV] HARD HIT＆HEAVY HATE the HUMANS !!! [HH＆HH the H.]」というテキストが含まれています。



Eugene Kaspersky著の本「MS-DOSのコンピューターウイルス」からの引用。 1992年。 69ページ



免責事項：このコラムは、著者の個人的な意見のみを反映しています。 カスペルスキーの位置と一致する場合もあれば、一致しない場合もあります。 ここは幸運です。