آی تی اس ان

http://www.itsn.ir itsn.ir Thu, 11 Feb 2016 11:49:46 +0000 fa-IR hourly 1 http://www.itsn.ir/?p=39119 http://www.itsn.ir/?p=39119#respond Thu, 11 Feb 2016 11:49:46 +0000 http://www.itsn.ir/?p=39119 در ایالات متحده امریکا, خدمات دهندگان برق میتوانند سیستمهای تهویه مشترکین خود را برای تعادل بار الکتریسیته از راه دور خاموش کنند اما این ارتباطات به هیچوجه ایمن نیستند.

به گزارش آی تی اس ان (پایگاه خبری امنیت فناوری اطلاعات) , اشیاء کانکت گاهی سورپرایزهای زیادی دارند. دو محقق امنیت انفورماتیک به اسامی Vasilios Hioureas و Thomas Kinsey, یک دستگاه بخصوص را از نظر امنیتی بررسی کرده اند. این دستگاه در واقع سوئیچی برای سیستمهای تهویه که از راه دور توسط شبکه برق Southe Califoia Edison کنترل میشود است.

این شرکت پیشنهاد نصب این سوئیچ ها را میدهد تا در صورت بار زیاد شبکه بتوان تهویه ها را خاموش و مقداری برق بازیابی کرد. در ازا, به مشترک داوطلب تخفیفی داده میشود. اینگونه دستگاه ها بسیار و میلیونها از ان در ایالات متحده امریکا وجود دارند.

این دو محقق در ابتدا تحقیقی پیچیده و مشکل که تشریح این سوئیچ ها بود را اغاز کردند تا فرمویر انها را به دست اورند و سناریوی اینترسپت ارتباطات با femtocell (یا HNB و یا HeNB در استاندارد ۳GPP یکی از عناصر پایه شبکه موبایل است) را مجسم کرده بودند. نتایج انها در کنفرانس Kaspersky Security Analyst Summit 2016 توضیح داده شد.

در واقع انها گمان میکردند که فرمانهای قطع و وصل همانگونه که در دفترچه راهنمای ان امده است, توسط شبکه موبایل ارسال میگردد. اما این خطا بود چون انها توضیح دادند که “میتوان با امواج رادیوئی نیز فرمانها را ارسال کرد”. اما هر چند به این روش اشاره نشده ولی وجود دارد. در واقع از همین روش هم استفاده میشود.

اما مشکل این است که این روش به هیچوجه ایمن نیست و سیگنالها رمز نگاری نشده و هیچگونه مکانیسم شناسائی وجود ندارد و نمیتواند هم وجود داشته باشد چون فرمانها از یک انتن به دستگاه ها که فقط به گرفتن ان اکتفا میکنند ارسال میگردد. انتن خدمات دهنده برق هر دقیقه یک سیگنال میفرستد که یا “روشن” و یا “خاموش” است. ترفندستان , دستگاه هائی که در منطقه دریافت هستند بطور خودکار این فرمان را اجرا میکنند.

ایندو محقق میگویند : “ناگهان کار ساده تر شد. ما امواج ارسالی و ایزوله سیگنالهای متفاوت را ضبط کردیم. کافی بود از انتنی در جائی برای فرمان دادن به دستگاه های تهویه اطراف استفاده نمائیم. اگر انتنهای زیادی نصب شوند, میتوان تاثیر زیادی روی تعادل بار شبکه SCE گذاشت.”

Vasilios Hioureas و Thomas Kinsey این موضوع را به اطلاع سازنده این دستگاه رسانده اند و همچنان به تحقیقات خود روی ان ادامه میدهند. انها اکنون میخواهند فریمور انرا به دست اورده و با مهندسی معکوس انرا انالیز کنند. انها بسیار مظمئن هستند و میگویند : “ما تا کنون توانسته ایم ببینیم که این فرمویر در سال ۱۹۹۵ نوشته شده و مطمئنا میتوانیم اسیب پذیریهائی دیگر بیابیم.”

]]> http://www.itsn.ir/?feed=rss2&p=39119 0 http://www.itsn.ir/?p=39115 http://www.itsn.ir/?p=39115#respond Thu, 11 Feb 2016 11:41:06 +0000 http://www.itsn.ir/?p=39115 پس از حدود دو تا سه سال خاموشی نسبی، گروه پشت پردهی تروجان URLZONE در چند ماه گذشته به فعالیت بیشتری پرداخته و بانکها را در اروپا و از آغاز ماه قبل در ژاپن هدف خود قرار دادهاند.

به گزارش آی تی اس ان (پایگاه خبری امنیت فناوری اطلاعات) , بر اساس اظهارات Limor Kessem یک فعال امنیت سایبری در آیبیام، که دربارهی آخرین تحرکات این بدافزار مطالبی را نوشته است، مهاجمان شروع به ارسال هرزنامههایی با ضمیمههای آلوده به مشتریان به چهارده بانک در ژاپن نمودهاند.

او نوشته است: «خود این بدافزار پیچیده و بغرنج تلقی میشود، اما به نظر میرسد فهرست اهداف آن و آنچه را در وب تزریق میکند، ابتدایی باشد و ممکن است توسط یک فروشنده از نفوذگران کلاهسیاه خریده و تخصصی شده باشد.»

این بدافزار میتواند به شکلی خاص آرام و آهسته حرکت کند. پس از سرقت پول قربانی، در برخی از موارد، URLZone خط تراکنش را با تزریقهای HTML پنهان میسازد، به طوری که به نظر میرسد هیچ پولی گرفته نشده است.

برای پنهان کردن فهرست حساب کاربر، معروف است که این بدافزار از کارگزار فرماندهی و کنترل خود به ارسال شمارهی حسابهای بانکی نامربوط برای گیج کردن بیشتر محققان و بانکها میپردازد.

بر اساس اظهارات Kessem این بدافزار با استفاده از ویژگیهای زیر به کلاهبرداری از مشتریان بانکی میپردازد:

سرقت اعتبارنامههای مشتری؛
گرفتن تصویر از صفحهنمایش؛
تزریق وب برای مهندسی اجتماعی و پنهان کردن ترازنامه حساب بانکی؛
استفاده از سامانهی مدیریت تنظیم تراکنش؛
استفاده از الگوریتم تولید دامنهی DGA برای برگرداندن دوباره ارتباطات باتنت؛
ارتباطات رمزگذاری شده مرکز کنترل و فرماندهی؛
رمزگذاری پروندههای پیکربندی تزریق وب، و
ویژگیهای استادانهی امنیتی در گریز از کشف و بررسی.

آیبیام اشاره میکند که در حالیکه URLZone اساساً از سالهای ۲۰۱۳ تا ۲۰۱۵ خاموش مانده بود، در ماه آگوست گذشته یک نسخهی جدید از این بدافزار ظاهر شده است. این نسخهی جدید نه تنها به خاطر اینکه در روش گریز از شناسایی هنگام پرداخت ارتقاء یافته است، بلکه به طراحی ویژهای برای هدف قرار دادن مشتریان مختلف بانکی در کشورهای انگلستان، ایتالیا، لهستان و کرواسی نیز مجهز شده است. در ماه دسامبر سال گذشته، مهاجمان با استفاده از این بدافزار به بانکهایی در اسپانیا حمله کرده بودند.

محققان اعلام کردهاند در حالیکه هنوز هم این بدافزار مشغول این کار است، اما بیشتر حملات خود را متوجه ژاپن کرده است.

URLZone آخرین عضو یک گروه سهگانه است که در سال گذشته دید خود را به ژاپن معطوف نمودهاند. یکی از گروهها از یک تروجان پیچیدهی Shifu برای حمله به ۱۴ بانک در ژاپن در ماه آگوست استفاده کرد در حالیکه گروه دیگری که کشف شده است در اوایل ماه دسامبر تروجان Rovnix را از طریق یک پروندهی پیوستی رایانامه با پسوند .zip گسترش میدادند.

برخلاف سایر تروجانها، URLZone به کرات از سال ۲۰۰۹ در آمد و شد بوده است.

گروه پشت این بدافزار در یکی از حملات روزهای اولیهی خود، این بدافزار URLZone را با ابزار نفوذی LuckySploit ترکیب کردند و موفق شدند ۳۰۰ هزار یورو از مشتریان یک بانک آلمانی در طول چند هفتهی اول فعالیت خود سرقت کنند.

تقریباً در همان زمان، مهاجمان شروع به تولید دادههای حسابهای کاربری تقلبی برای گم کردن رد پای خود از دید محققان کردند.

محققان بر این باور هستند که ممکن است Shifu و Rovnix راه را برای تجدید حیات URLZone باز کرده باشند. هر کدام از قربانیان آلوده به هرزنامه، نشان میدهند که این گروههای خلافکار حسابهای تقلبی و دیگر منابع را با خود به اشتراک میگذارند و ابزارهایی را از یکدیگر و یا از همان فروشنده خریداری میکنند.

«از آنجایی که گروه URLZone پس از دیگر گروههای دیگر به ژاپن آمدهاند، احتمال زیادی وجود دارد که آنها قادر باشند تا با تکیه بر حسابهای تقلبی و عوامل معتبر کلاهبردار به فعالیت بپردازند.»

threatpost/asis

]]> http://www.itsn.ir/?feed=rss2&p=39115 0 http://www.itsn.ir/?p=39110 http://www.itsn.ir/?p=39110#respond Wed, 10 Feb 2016 20:57:20 +0000 http://www.itsn.ir/?p=39110

- - , .