July 2013 – SWITCH Security-Blog

IT-Security-Links #31

Millions of SIM cards can be compromised because of wrongly configured Java Card software and weak encryption keys said security researcher Karsten Nohl. Nohl will be presenting his result on August 1st at the Black Hat security conference in Las Vegas. At least for Switzerland, the big mobile network operators assure that they never used SIM cards with weak encryption keys.
The team at Information is Beautiful published an interesting visualization about the World’s Biggest Data Breaches from the last almost ten years. Looking at the graph, it’s of no surprise we sometimes feel that there is a data breach almost every week!
URL shortener are often times used to hide malicious URLs. McAfee Labs looked at the Short-URL services most targeted by Malware in 2013 and also mentions its own secure URL shortener (mcaf.ee).
In the IT-Security-Links Week 28, we mentioned the “Master key” vulnerability that allows attackers to inject malicious code into legitimate Android applications. Symantec now found the first applications abusing this vulnerability. All of these apps are designed for Chinese language users though.
Microsoft informed that with the 1400 Citadel botnets taken down in June a total of 88 percent of the botnets spawned by that malware have been taken down. In addition, their analysis shows that approximately 40 percent of the infected computers which were impacted by their operation have been cleaned.

IPv6 für (Security-)Manager – Teil 4: Loslegen, aber sicher!

Warum IPv6 ein IT-Management-Thema ist, wie das Big Picture der IPv6-Integration aussehen kann und welche möglichen Treiber es gibt, das haben wir uns in den vergangenen 3 Teilen dieser Serie angeschaut. In diesem Teil möchte ich nun anhand von 5 Punkten aufzeigen, wie Sie das Thema IPv6-Integration in Ihrer Organisation sicher auf den Weg bringen können:

1. Operativen Betrieb absichern – IPv6 ist bereits da!

Als aller erstes sollten Sie das latente Risiko durch existierende Dual-Stack-Rechner in Ihrer IT-Umgebung einschätzen: Alle modernen Betriebssysteme sind IPv6-enabled und können mittels Autokonfiguration “von aussen” konfiguriert werden. Damit stehen einem potenziellen Angreifer einige IPv6-spezifische Attacken zur Verfügung, ohne dass Sie jemals IPv6 bewusst konfiguriert und ausgerollt haben. Auf den Systemen wird durch die Autokonfiguration ausserdem “eine zweite Tür geöffnet”, für die bestehende Sicherungsmechanismen (beispielsweise IP-basierende ACLs) unter Umständen nicht greifen. Continue reading “IPv6 für (Security-)Manager – Teil 4: Loslegen, aber sicher!”

IT-Security-Links #30

Geoff Huston (APNIC) published a long post on his DNSSEC validation measurements. Since March 2013 he has seen an rise in the number of DNSSEC validating resolvers from 3.3% to 8.1%. This increase is mainly because Googles public DNS has started to validate a few weeks ago. For Switzerland the number of validating DNSSEC resolvers is at 5.13%.
Mac OS X Malware: Malwarebytes.org reports that FBI ransomware is now targeting Apple’s Mac OS X users. The news received a lot of attention and so Malwarebytes.org posted a Q&A.
AndroRAT, is a free Trojan horse for Android devices that allows a remote attacker to gain control over the device and steal information from it. Cybercriminals have now created a tool called “binders” that easily allows users to repackage and Trojanize legitimate Android applications with AndroRAT. To date, Symantec has counted 23 cases of popular legitimate apps being Trojanized in the wild with AndroRAT.
You would think that server compromises have advanced a lot. This does not mean that old style attacks such as simple account brute-forcing still don’t work. According Sucuri SSH brute-force, an attack 10 years old still persists.
Harlan Carvey from the Windows Incident Response Blog posted the first part of the HowTo serie “Malware Detection”. An interesting read on how to easily detect malware on an infected computer.

Was kommt nach DNS Response Rate Limiting?

Werden autoritative DNS-Server über reflektierende DNS-Angriffe missbraucht, zum Beispiel um in einem Distributed Denial of Service (DDoS) Angriff ein Zielsystem zu überlasten, so ist eine der vorgeschlagenen Massnahmen DNS Response Rate Limiting (DNS RRL) zu aktivieren.

SWITCH hat auf diesem Blog bereits in früheren Posts über DNS Angriffe und Massnahmen berichtet. In diesem Artikel möchten wir unsere neusten Beobachtungen im Betrieb von DNS RRL teilen und zeigen, dass es Anzeichen gibt, dass die Angreifer die Schwächen von DNS RRL ausnutzen um weiterhin ihre Angriffe durchführen zu können.

Stärken und Schwächen von DNS RRL
Für viele autoritative DNS Serverbetreiber war DNS RRL eine ersehnte Lösung um die Serverlast und vor allem die ausgehende Serverbandbreite aufgrund von reflektierenden DNS-Angriffen einzuschränken. DNS RRL lässt für einen IP-Adressbereich nur eine bestimmte Anzahl identische DNS Antworten zu. Wird der konfigurierte Schwellwert überschritten, verwirft DNS RRL zum einen die DNS-Antwort. Für einen anderen Teil der Antworten wird das “Truncated”-Bit (TC) in der Antwort gesetzt, damit wird der DNS Resolver aufgefordert, die Anfrage noch einmal über TCP zu stellen. Da bei reflektierenden DNS-Angriffen die Quelladresse gefälscht wird, kommt nie eine Verbindung über TCP zu Stande. Im Gegensatz zu Firewall-Regeln hat der DNS RRL Ansatz den Vorteil, dass bei einem leicht geänderten Angriffs-Pattern (z.B. Query-Name ändert) die implementierten Firewall-Regeln nicht angepasst werden müssen. Kurz, DNS RRL ist sehr effektiv gegenüber Angriffen, bei denen DNS-Anfragen gesendet werden, welche in identischen Antworten resultierten.
Continue reading “Was kommt nach DNS Response Rate Limiting?”

IT-Security-Links #29

DEF CON 21, Black Hat 2013 and the NSA: We need some time apart – DEF CON founder Jeff Moss has asked federal agents not to attend this year’s DEF CON. At the same time the Director of the NSA, General Keith Alexander, will talk at Black Hat USA 2013.
Android Security: Last week we reported about a vulnerability that allows to modify a legitimate, digitally signed Android application (.APK-File) without breaking the app’s cryptographic signature. In the meantime Google released a fix to OEMs. But only a few have released the patch to customers yet. A proof of concept exploit code is there, released by Pau Oliva Fora. And yes, there’s also a “Master key” Security Scanner App available from Bluebox to test if your device is vulnerable.
PRISM: How Microsoft collaborates with the NSA. An article in ‘The Guardian’ which is worth reading (not only) for Hotmail, Outlook.com, SkyDrive and Skype users.
DDoS: To provide insights on the latest DDoS threats – and effective mitigation strategies – Information Security Media Group has launched a DDoS Resource Center.
Windows 7 Reinstall-How-to: Your PC has become infected with malware? You don’t know how to correctly reinstall your system, and reduce the risk of becoming reinfected at the same time? Have a look at the new How-to from EBAS. (Available in 4 languages.)

CSIRTs – Sharing to Win

Einbrüche in Datenbanken, gestohlene persönliche Daten, manipulierte Transaktionen im E-Banking, Eingriffe von staatlichen Akteuren in die Kommunikation im Internet und Angriffe auf die Verfügbarkeit von Diensten: Fast täglich wird mittlerweile über diese Sicherheitsvorfälle in den Medien berichtet.

Computer Security Incident Response Teams (CSIRTs) sind mit die Ersten, die auf solche Vorfälle reagieren und versuchen, Gegenmassnahmen zu treffen. Im Forum of Incident Response and Security Teams (FIRST) sind weltweit rund 240 dieser Teams aus der Industrie, von Regierungen und Akademischen Institutionen zusammengeschlossen, das SWITCH-CERT ist eines davon.

Continue reading “CSIRTs – Sharing to Win”

IT-Security-Links #28

PRISM: Tens of thousands Americans protest against unconstitutional surveillance.
Motorola phones phone home to send user data and passwords to Company’s servers. (Finally someone who’s listening to the customers.)
Android-Security: .APK-Code can apparently be modified without breaking the app’s cryptographic signature.
Since Spear-Phishing is on the rise, does DMARC, the Domain-based Message Authentication, Reporting and Conformance initiative help?
Multi Factor Authentication is now available for OpenSSH!

German:

Unser Security-Report für Juni 2013 ist kostenlos online abrufbar (PDF) .

IT-Security-Links #27

Android Security I: USBCleaver – How your Smartphone steals your PC’s browser passwords, the Wi-Fi password and network information.
Android Security II: Only 4% of Android users are running the latest version of the mobile OS – which can mitigate some 77% of all existing Android malware threats.
Opera network cracked, code signing certificate stolen: At least a few thousand Opera users received malware through the Opera update process.
DDoS: Have you heard about Download-Flooding-Attacks? U.S. mid-tier banks are currently facing this kind of attacks. Nothing new, but useful to get around standard DDoS-detection and mitigation measures.
PRISM: The Washington Post published some NSA slides that explain the data-collection program… …If you’re now looking for alternatives to Google, Facebook and Co, prism-break.org is worth a look… …and if you’ve decided to encrypt everything from now on, you should read this first.
An interesting view on Recycling User IDs, E-Mail-Accounts or Domains and the impact on Privacy – and what this means for providers of internet services.