Bezpieczeństwo

Anubis chce okraść Twoje konto

2 sierpnia 2018

Anubis chce okraść Twoje konto

Statystyki naszych sond z ostatnich dni pokazują znaczący wzrost ruchu, związanego ze złośliwym oprogramowaniem Bankbot.Anubis. To kolejne potwierdzenie rosnącej aktywności przestępców, wykorzystujących to złośliwe oprogramowanie. Robią to w ramach podstawionych aplikacji dla systemu Android, również takich udających prawdziwe aplikacje banków.

41 procent całości

Aktywność oprogramowania Bankbot.Anubis w ostatnim czasie dochodzi do 41 procent całej złośliwej aktywności w sieci mobilnej Orange Polska. Przekładając to na wartości bezwzględne, próby odwołań do infrastruktury sieciowej cyberprzestępców. sięgają kilkunastu milionów. Oczywiście w przypadku sieci Orange Polska adresy serwerów Command&Control botnetu są sinkholowane, co oznacza, że dopóki pozostajecie w naszej sieci, nawet jeśli daliście się zainfekować, Wasze dane nie trafią do przestępców.

Anubis, czyli banker

Bankbot.Anubis to oprogramowanie na urządzenia z systemem Android. Udaje niegroźną aplikację. Następnie usiłuje przekonać ofiarę do udzielenia jej dodatkowych uprawnień w zakresie ułatwień dostępu. W końcu często i tak klikamy „ok” w tych wszystkich okienkach. Niby nic – ale to właśnie one pozwalają w niewidoczny dla nas sposób sczytywać wpisane przez nas znaki (np. loginy i hasła) a także wykonywać zrzuty ekranu i wszystko to wysyłać do przestępców. Jak wskazuje nazwa złośliwego oprogramowania, jest to tzw. banker. Specjalizuje się ono w kradzieży danych, związanych z aplikacjami bankowymi.
Ciekawostka – urządzenie/a rekordzisty w zakresie prób kontaktu z serwerem C&C, klienta indywidualnego Neostrady, w ciągu ostatnich 30 dni usiłowały łączyć się z serwerami Anubisa… niemal 130 tysięcy razy!

Co robić?

Jeśli nie jesteście pewni, czy nie padliście przypadkiem ofiarą Anubisa, otwórzcie w urządzeniu z Androidem menu Ustawienia/Ułatwienia Dostępu. Jeśli wśród aplikacji z dostępem do ułatwień dostępu znajdziecie jakąś nieznaną – odbierzcie jej prawa, usuńcie ją, a najlepiej zmieńcie również hasło dostępu do swojego banku. I pamiętajcie, że używamy wyłącznie oryginalnych, oficjalnych aplikacji naszego banku, ściąganych z oficjalnego sklepu.

Udostępnij: Anubis chce okraść Twoje konto

Bezpieczeństwo

To phishing, to nie od nas

29 marca 2018

To phishing, to nie od nas

Phishing nie zanika i jeszcze długo nie zaniknie. W sumie to pewnie nigdy. Zastanawiałem się, czy opisywać na Blogu powtarzające się ostatnio kampanie, skoro regularnie wrzucam informacje na ich temat na stronę CERT Orange Polska, ale w sumie niekoniecznie grupy odbiorców obu witryn muszą mieć znaczną część wspólną.

Nie opłacajcie tej faktury

Do polskich internautów od przeszło miesiąca nieregularnie trafiają fale wiadomości, a w nich phishing z „fakturami”. Nadawcą jest zawsze konto w domenie @orange.pl, zwięzła treść sugeruje opłacenie zaległej faktury, która ma się znajdować w załączonym pliku XLS. W większości przypadków plik zawiera trojana Nymaim – tzw. bankera, tj. złośliwy program wyspecjalizowany w wykradaniu loginów i haseł do kont bankowych. W momencie wysyłania przez przestępców kolejnych kampanii, zawarty w nich malware był wyjątkowo groźny, wykrywało go bowiem zazwyczaj ok. 10 procent silników antywirusowych.

W ostatniej mutacji przestępcy postarali się – przynajmniej w pewnym aspekcie – nieco bardziej, bowiem tym razem spróbowali udawać nie faktury biznesowe, ale dokumenty od nas, wysyłane z rachunkami za telefon. Nasi klienci wiedzą, że takie maile przychodzą z adresu e-faktura@pl.orange.com (a nie używanego przez przestępców Ornge PL <e-faktura.TP@orange.com> – literówka nieprzypadkowa, jest dziełem przestępców). Na szczęście dzięki wyglądowi wiadomości (z ukrytym w załączniku trojanem vjw0rm) na taki phishing nie złapie się – w co mocno wierzę – nikt, jednak przestępcy, o ile cechuje ich choćby odrobina inteligencji, przy kolejnej kampanii mogą znacząco poprawić przekaz.

Czy te maile są od Orange?

Nie. A dlaczego mają taką domenę nadawcy? Dlatego, że niestety łatwo ją podrobić, o czym piszemy np. tutaj. Jak się przed tym zabezpieczyć? Na kilka sposobów. Przede wszystkim zdrowym rozsądkiem. Jeśli dostajecie maila od nieznajomego, który domaga się od Was pieniędzy, nie otwierajcie załącznika. Najpierw uspokójcie emocje, na spokojnie przeczytajcie wiadomość, a jeśli nie macie pewności – zadzwońcie do domniemanego nadawcy. Jeśli w mailu nie ma telefonu – niemal na sto procent mamy do czynienia z oszustwem. Jeśli jest tam numer kontaktowy – być może dodzwonicie się do faktycznie istniejącej firmy, gdzie powiadomią Was o oszustwie.

Czy Orange ze swojej strony robi coś, by takie maile nie mogły być wysyłane? Tak. Serwery pocztowe domeny @orange.pl mają zaimplementowane mechanizmy SPF (Server Policy Framework) i DKIM (Domain Keys Identified Mail). Jednak w tym cały jest ambaras, by dwoje chciało naraz – informacje dotyczące naszych domen (@neostrada.pl i @orange.pl) muszą być prawidłowo rozpoznawane u Waszych dostawców poczty. Tak jest w przypadku domeny @pl.orange.com, z której przychodzą do Was nasze faktury, tym niemniej i tak niezmiennie zachęcamy Was do sprawdzenia, czy numer klienta i dane są faktycznie Wasze, zanim otworzycie załącznik.

CyberTarcza kontra phishing

Jednego możecie być pewni. Gdy próbki takich zagrożeń trafiają do nas, powiązane z nim adresy IP/domenowe są automatycznie blokowane przez CyberTarczę. Oznacza to, że pozostając w sieci Orange Polska nawet jeśli niefrasobliwie się zainfekujecie, złośliwe oprogramowanie nie będzie w stanie połączyć się ze swoim centrum kontroli, a Wy, wchodząc na stronę CyberTarczy, zobaczycie informację o infekcji.

Jeśli chcecie być na bieżąco z Orange’owymi newsami o bezpieczeństwie w internecie, zaglądajcie na naszą stronę i obserwujcie CERT Orange Polska na Twitterze.

I oczywiście niezmiennie, jak zawsze – uważajcie na siebie.

Spokojnych Świąt.

Udostępnij: To phishing, to nie od nas

Bezpieczeństwo

Phishing na chmurę

25 stycznia 2018

Phishing na chmurę

Gdyby każdy, kto nigdy nie dostał maila phishingowego, miał położyć jeden kamień, mam wrażenie, że przez powstałą budowlę bez problemów przejechałby samochód. Ba, hulajnoga by przejechała. Może nawet by jej nie zobaczyła. Choćby dlatego, że przeszło połowa e-maili, które krążyły po internecie w 2017 roku to spam. A znacząca większość spamu to w dzisiejszych czasach właśnie phishing. Nie wiem, jak Wy, ale ja dawno nie dostałem takiego stricte spamu, reklamującego szarą strefę lekarstw sprzedawanych normalnie na receptę, czy powiększania tego i owego. Jeszcze kilka lat temu było to normą. Dziś między pojęciami spamu i phishingu można bez większego ryzyka postawić znak równości.

Dokument-niespodzianka?

Do CERT Orange Polska wpadł ostatnio ciekawy przypadek phishingu, potencjalnie niebezpieczny dla części internautów w dobie wszechobecnych internetowych chmur i udostępniania za ich pomocą plików.

Kogóż z nas choć raz w życiu nie pokonała ciekawość? Nieoczekiwana przesyłka na poczcie, niespodzianka od nieznajomego na biurku w pracy… Może więc warto kliknąć, skoro „ktoś wysłał ci dokument”, by zobaczyć co tam jest?

Nie warto. Przede wszystkim dlatego, że tego typu informacje nigdy nie przychodzą od „Someone”. Zawsze w polu nadawcy, bądź w treści znajduje się imię i nazwisko lub przynajmniej adres e-mail nadawcy. Sytuacja, gdy otrzymujemy takiego maila, jak powyższy, powinna natychmiast zapalić Wam w głowie czerwoną latarnię, w efekcie czego skasujecie wiadomość (a jeszcze lepiej, wyślecie ją na adres cert.opl@orange.com). Jeśli otrzymacie informację z adresem e-mail, przed kliknięciem warto sprawdzić, czy jest Wam znany. W przypadku jakichkolwiek wątpliwości – skontaktować się z domniemanym nadawcą przed kliknięciem w cokolwiek. Pół biedy, jeśli przestępcy chcą tylko wyłudzić wasze loginy i hasła (choć tego ryzyka też nie wolno bagatelizować). Taki atak zazwyczaj kończy się instalacją złośliwego oprogramowania na naszym urządzeniu, po kliknięciu w link, lub otwarciu załącznika.

Udostępnij: Phishing na chmurę

Bezpieczeństwo

Androidowy Cleaner narzędziem przestępców

11 stycznia 2018

Androidowy Cleaner narzędziem przestępców

Pamiętacie jeszcze swój pierwszy smartfon? Ja tak – dostałem wtedy do testów (chyba jeszcze za czasów TP SA i PTK Centertel!) HTC Cha Cha. Ależ to była super sprawa – wypasiony Android 2.3.3, jednordzeniowy Snapdragon S1 z kosmicznie szybkim 800-megahercowym zegarem… A że Angry Birdsy można było instalować tylko „na pusty” telefon, od razu po restarcie, bo inaczej brakowało pamięci? Przecież w Sklepie Google jest jeden, czy drugi Cleaner, prawda?

„Bo Android zamula”

„Czasy się zmieniają, ale pan ciągle jest w komisjach” – legendarny cytat z „Psów”, w wykonaniu granego przez Bogusława Lindę Franciszka Maurera, to klasyk polskiego kina. Pozostając w klimatach można by rzec, że czasy się zmieniają, telefony nowocześnieją, a aplikacje „czyszczące” ciągle można znaleźć w Google Play. Nawet wtedy, kiedy ich istnienie nie ma sensu, bo nie dość, że najnowsze wersje Androida odpowiednio zarządzają pamięcią, to jeszcze nawet topowe telefony (jak choćby Huawei z serii P/Mate, czy LG G/V mają wbudowane w oprogramowanie mechanizmy  dbające o efektywną pracę systemu. Czy jednak na pewno aplikacje typu Cleaner nie są potrzebne? Nam nie – ale przestępcom jak najbardziej.

Cleaner wyczyści… konto bankowe

Bo przecież trzeba gdzieś schować malware, a skoro mit zamulającego Androida pokutuje od lat, trzeba łapać okazje na monetyzację. Jednym z przykładów jest Swift Cleaner, odnaleziony w Sklepie Play przez analityków firmy Trend Micro (co ciekawe, to pierwszy malware napisany w open source’owym języku Kotlin). Aplikacja oczywiście okazała się malwarem, a jedyne co może wyczyścić to docelowo nasze konto bankowe. Oczywiście po tym, jak się zainstaluje, wykradnie nasze loginy i hasła, a następnie bez naszej wiedzy (dzięki Mike278 😉 ) przejmie SMSy autoryzacyjne i wpisze je gdzie trzeba. To nie wszystko co potrafi. Umie także zdalnie wykonać kod na zainfekowanym urządzeniu, przekierowywać na ustawione przez przestępcę witryny internetowe i wstrzykiwać własne reklamy. No i – co może bardzo boleć – zapisywać ofiarę bez jej wiedzy do serwisów SMS Premium.

Co robić?

Przede wszystkim nie instalować niepotrzebnych aplikacji. Zanim skusimy się na kolejne cudo – choćby i z oficjalnego sklepu – zastanówmy się. Po pierwsze, czy w ogóle tego potrzebujemy, po drugie zaś: czy nasz smartfon sam tego nie potrafi. W dzisiejszych czasach już urządzenia ze średniej półki potrafią zaskakująco sporo. Jeśli – jak śpiewał Jerzy Stuhr – czasami człowiek musi, inaczej się udusi, spójrzmy chociaż przed instalacją, jakich uprawnień udzielamy aplikacji. Wysyłanie i odbieranie SMSów, wykonywanie połączeń, odczytywanie ich listy, odczytywanie kontaktów – to tylko część z uprawnień, które w większości przypadków powinny zapalić czerwoną lampkę w głowie każdego świadomego użytkownika smartfona. I nawet, jeśli mamy pewność, że te dane nie zostaną wykorzystane w niecnych celach, warto się zastanowić, czy naprawdę chcemy je komuś udostępniać?

Photo by Christiaan Colen on CC-BY-SA-2.0 licence.

Udostępnij: Androidowy Cleaner narzędziem przestępców

Bezpieczeństwo

Malware nie ginie, Lazarus czuwa

16 listopada 2017

Malware nie ginie, Lazarus czuwa

2009 rok. Wtedy, według „czynników rządowych” w USA miała się rozpocząć aktywność północnokoreańskich hakerów. Ich celem było uzyskanie dostępu do szeregu systemów w mniejszy lub większy sposób związanych z waszyngtońską administracją. Niekoniecznie po to, by siać zamęt – choć w opinii niektórych to właśnie kojarzona z Pyongyangiem grupa Lazarus ma stać m.in. za niedawną epidemią ransomware WannaCry, przypisywany jest jej także atak na naszą Komisję Nadzoru Finansowego. Spektakularne ataki to tylko ułamek ich „osiągnięć”. Najistotniejsze z punktu widzenia tego, co po angielsku nazywa się ładnie „nation sponsored cybercrime” jest znalezienie sobie wejścia do systemu i siedzenia tam tak cicho, żeby przypadkiem nikt nas nie zauważył…

Uśpiony malware

I wygląda na to, że Koreańczykom (przy założeniu, że grupa Lazarus to faktycznie podwładni Kim Jong-Una) całkiem nieźle się to udawało, przynajmniej w ostatnim czasie. Według najświeższego alertu wydanego wspólnie przez US-CERT i FBI wykryli oni aktywności kojarzonej z Lazarusem grupy znanej jako Hidden Cobra w wielu potencjalnie krytycznych lokalizacjach w sieci, związanych m.in. z przemysłem kosmicznym, telekomunikacyjnym i finansowym. Używane przez nich złośliwe oprogramowanie Fallchill to rozbudowany RAT (Remote Access Trojan, koń trojański pozwalający na zdalny dostęp do zainfekowanego urządzenia). W opinii autorów alertu fakt, iż Fallchill trafił na urządzenia w niemal 100 firmach/agendach rządowych dowodzi wcześniejszej infekcji innym, nieodkrytym uprzednio malwarem, wykorzystanym po okresie uśpienia w roli „droppera” kolejnego złośliwego kodu.

My też się bójmy. Na wszelki wypadek.

Dlaczego ma to być nasz problem? Choćby dlatego, że sieć nie zna granic. Udowodnił to przypadek Petya/NotPetya, gdzie „odłamkami” oberwała spora część Europy i nie tylko. To także określany pierwszą cyber-bronią Stuxnet, który – choć zaatakował jedynie wzbogacające uran wirówki w irańskim Natanz – został wykryty na komputerach w wielu częściach świata. Poza tym Lazarus/Hidden Cobra to tylko jednak z wielu grup korzystających na naiwności internautów. Wiara w to, że nas/naszej firmy nie warto przecież atakować, ociera się o dużą naiwność. Dlatego niezależnie od tego, czy boimy się Koreańczyków, nieprzerwanie warto pamiętać o:

  • nieklikaniu w linki w mailach od obcych, nieotwieraniu niezamówionych załączników
  • nie uruchamianiu makr w plikach Office jeśli nie mamy absolutnej pewności, że są ich niezbędnym elementem
  • uaktualnianiu systemu operacyjnego i używanych aplikacji
  • korzystaniu z oprogramowania skanującego ściągnięte z internetu pliki przed ich uruchomieniem
  • nieprzydzielaniu użytkownikom naszej sieci automatycznie dostępu do wszystkiego

Udostępnij: Malware nie ginie, Lazarus czuwa

Dodano do koszyka.

zamknij
informacje o cookies - Na naszej stronie stosujemy pliki cookies. Korzystanie z orange.pl bez zmiany ustawień przeglądarki oznacza,
że pliki cookies będą zamieszczane w Twoim urządzeniu. dowiedz się więcej