July 2014 – SWITCH Security-Blog

IT-Security-Links #61

McAfee Labs reports that a new ransomware called CryptoWall uses Tor for communication and demands Bitcoin from the user in exchange for the private key to decrypt the files. “The use of Tor and Bitcoin in this operation make tracing the attackers more difficult” writes McAfee.
Firefox version 31 is improving malware detection. Firefox has long been using Google’s Safe Browsing service to check for malicious web sites, now it also checks downloaded files.
Isreal’s Homeland Security writes that anonymous hackers have launched DDoS attacks against network infrastructure from Israel. The attacks also affected DNS name resolution on domain names ending in .co.il.
The Register writes that Security outlet VUPEN has revealed it held onto a critical Internet Explorer vulnerability for three years before disclosing it at the March Pwn2Own hacker competition. VUPEN makes money by selling exploits to its customers.
The Moscow Times writes that Russia’s Interior Ministry has put out a tender on its official government procurement website for anyone who can identify Tor users. On a related note, the Tor team issued a security advisory this week, warning operators of hidden services about attacks to deanonymizing users. And if that’s not enough Tor news for this week, according to the Tor project’s latest annual financial statements (PDF), the US government increased its funding to 1.8 million US dollars in 2013!

German:

Heise.de meldet, dass am IETF 90 Meeting in Toronto von vergangener Woche, die Nutzung von DANE zur Authentifizierung von OpenPGP-Schlüssel diskutiert wurde und liefert dazu eine gute Zusammenfassung der anderen diskutierten Themen der DANE working group.

Retefe Bankentrojaner

E-Banking ist seit seiner Entstehung ein attraktives Tummelfeld für Betrüger. Oft wird auf spezielle Schadsoftware, auf sogenannte Bankentrojaner, zurückgegriffen, um arglosen Opfern Geld abzuziehen.

Die meisten dieser Bankentrojaner basieren auf technisch betrachtet ziemlich komplexen Softwarekomponenten: Verschlüsselte Konfigurationen, Man-in-the-Browser-Funktionalität, Persistenz- und Updatemechanismen, um einige zu nennen. Im letzten halben Jahr hat sich eine gänzlich neue Variante behauptet, welche erst im Februar 2014 einen Namen erhielt: Retefe. Nur wenig wurde bis an hin publiziert, einer der Hauptgründe ist sicherlich, dass die Schadsoftware nur in wenigen Ländern (CH, AT, SE, JP) agiert und nur einige ausgewählte Banken angreift. TrendMicro (Blogartikel: Operation Emmental (DE), (EN)) und SWITCH-CERT möchten hiermit nun etwas detaillierter über diesen Trojaner berichten.

Das Besondere am Retefe Bankentrojaner ist seine Schlichtheit. Das infizierte System wird wie folgt manipuliert:

Auf dem PC des Opfers wird der Eintrag des DNS-Servers auf einen bösartigen DNS-Server geändert.
Auf dem PC des Opfers wird ein gefälschtes Root-Zertifikat installiert, siehe auch unser kürzlich veröffentlichten Blogartikel zu diesem Thema.

Nach der Infektion löscht sich die Installationsroutine selbst. Ausser dem manipulierten System bleibt nichts zurück, was es schwierig für Antiviren-Programme macht, im Nachhinein eine Infektion festzustellen.

An Eleganz ist diese Schadsoftware schwer zu übertreffen: Sie verzichtet auf die in der Einführung genannten Softwarekomponenten und minimiert damit die Komplexität. Es scheint auch, dass es aus Betrügersicht heutzutage ökonomischer ist, schlicht und einfach neue Opfer-PCs mittels Spam-Kampagnen zu infizieren.

Wie sieht der Modus Operandi konkret aus?

Modus Operandi eines möglichen Schadenfalls

Continue reading “Retefe Bankentrojaner”

IT-Security-Links #60

Mobile Security: FireEye researchers have discovered a new software which takes Android malware to a new level by combining multiple malicious activities into one app.
According to a new blog post from Glenn Greenwald, the GCHQ has developed tools to seed the internet with false information, including the ability to manipulate the results of online polls, artificially inflate pageview counts on web sites or censor video content.
After all, new research shows that ‘123456’ is a great password: Websites that would not present a threat if hacked should get throwaway credentials.
World Cup & Threat Intelligence: According to the Imperva Data Security Blog, Hackers like soccer so much, that they put their weapons down during the World Cup Finals. But during the rest of the matches, attacks actually increased.
‘Bill Gates’ is the name of a versatile DDoS trojan for Linux.
Countersurveillance: Germany’s government is seriously considering manual typewriters as a means to avoid spying – not electronic models of course.
Cloud Security: Everybody is talking about it, but how secure is cloud computing really? SWITCH’s Rüdiger Rissmann wrote an interesting article about the technical and non-technical aspects of Cloud security.

IT-Security-Links #59

The NSA targets the privacy-conscious: Searching the web for privacy-enhancing software tools causes the NSA to mark and track the IP address of the person doing the search.
REcon 2014: The presentation slides of this years REcon computer security conference are online.
TOR: An Austrian Tor exit relay operator has been found guilty after child sex abuse material transited his relay…
…At the same time the Electronic Frontiers Foundation issued a blog post promoting the use of Tor.
No-IP Takedown: 1’832’133 customers were impacted by Microsoft’s takedown of the dynamic DNS service No-IP. The case has raised plenty of questions…
“Every day we face millions of Cyber Attacks”: Wired.com debunks “The 5 Biggest Cybersecurity Myths“.
Twitter-Users! Don’t forget to check, if your password is still secure!

German:

Pflichtlektüre: Ladar Levison, der Inhaber des von Edward Snowden genutzten E-Mail-Dienstes Lavabit, war bei der NZZ in Zürich zu Gast für ein Interview.

Taking Advantage of DNSSEC

According to measurements by APNIC’s Geoff Huston currently 16 percent of Swiss Internet users use a DNSSEC validating DNS resolver. If you want to benefit from the added security with DNSSEC in your network then I suggest you enable DNSSEC validation in your network as well. SurfNet published a deployment guide recently that takes BIND 9.x, Unbound and Microsoft Windows Server 2012 into account.

Enabling DNSSEC validation on your DNS resolvers is one simple step and it protects you from DNS Cache Poisoning. However, if it were only for this, then the DNSSEC protocol complexity would come at a high cost for only providing this one benefit. In fact, DNSSEC is much more than only a protection from Cache Poisoning. It’s a new PKI in DNS and if you have signed your zone and are already validating then you can take advantage of that PKI. Some use cases are described below but there are many more ideas which are currently discussed.
Continue reading “Taking Advantage of DNSSEC”

Der neue SWITCH Security-Report ist da!

Die aktuelle Ausgabe unseres monatlich erscheinenden ‘SWITCHcert Reports zu aktuellen Trends im Bereich IT-Security und Privacy‘ ist soeben erschienen.

Themen diesen Monat:

Gegenwind für Schweizer Überwachungsgesetz
Versuchskaninchen Facebook-User
Cyber-Angriff auf unsere Köpfe
Was passierte mit TrueCrypt?
Und wie immer Links zu spannenden Präsentationen, Artikeln und Videos rund um die Themen IT-Security und -Privacy.

Zum Download (PDF):