SWITCH Security-Blog

IT-Security-Links #5

HITB2012KUL: Around 30 hours of fresh Security Conference Talks from Hack-in-the-box 2012 are now available on youtube. The corresponding slides can be found here.
More Security Conference slides, this time from Passwords^12 – held on December 3-5, 2012 in Oslo – are available. “This is the first & only conference of its kind, focusing ONLY on passwords & PIN codes in all forms, shapes and sizes.”
Sophos released a 44-page Security Threat Report 2013 (PDF) where they reflect on “a very busy year for cyber security”.
Kaspersky published their Security Bulletin 2012 including “The 10 Security Stories That Shaped 2012” and a “Security forecast for 2013“
ENISA – Good Practice Guide for Addressing Network and Information Security Aspects of Cybercrime – Legal, regulatory and operational factors affecting CERT co-operation with other stakeholders
Checkpoint Case Study: Eurograbber – How 36 million Euro were stolen via malware (PDF)

DDoS-Angriffe durch Reflektierende DNS-Amplifikation vermeiden

Das DNS (Domain Name System) Protokoll ist momentan das häufigst missbrauchte Protokoll für Distributed Denial of Service (DDoS) Angriffe. Wurden früher vor allem öffentlich erreichbare DNS-Resolver (Open Resolver) als Amplifikator verwendet, werden heute zunehmend autoritative DNS-Server benutzt.

Was sind reflektierende DNS-Amplifikation-DDoS-Angriffe?
Bei reflektierenden DNS-Amplifikation-DDoS-Angriffen versenden infizierte Clients (meistens aus einem Botnet) tausende von DNS-Anfragen an autoritative DNS-Server, welche als Amplifikator missbraucht werden. Die DNS-Anfragen werden mit der IP-Adresse des Opfers gefälscht. Die autoritativen DNS-Server beantworten die DNS-Anfragen, wobei die Antwort ein Mehrfaches der Anfragegrösse sein kann. Für DNSSEC-signierte Zonen kann schnell ein Amplifikationsfaktor von über 40 entstehen.

Continue reading “DDoS-Angriffe durch Reflektierende DNS-Amplifikation vermeiden”

IT-Security-Links #4

A final report on “Proactive Detection of Security Incidents” (through honeypots) has been released by ENISA (PDF, 183 pages).
Learn how users most likely get infected with malware: Journey inside the Blackhole exploit kit (Technical paper) by Gabor Szappanos, SophosLabs.
Trendmicro issued a report about new security features of the three major smartphone platforms iOS, Android, and Windows Phone (PDF).
Some cyber security survival tips for the holidays from Cisco.
Für Einsteiger: Ein deutschsprachiges Tutorial zum Thema Network-Ports und Portscanner.

Reducing malware infections in Switzerland

SWITCH helps reducing malware infections in Switzerland by a factor of four!

Malware is a big issue in Switzerland too. It comes in many flavours, there is malware which tries to get at your bank account, there is malware, that converts your PC in to a spam machine, the list could be extended.

Last we reported how we remedy websites that distribute this malware. But websites are not the only source of malware. Top on the list are also e-Mail attachments, supposedly originating from Lotteries, Postal offices and so on.

Many internet users get infected, worldwide and in Switzerland. So is that it? After an infection, will you be an eternal net-zombi? Not if you live in Switzerland. Thanks to its international network SWITCH-CERT receives a daily dose of reports about infected IP-addresses in Switzerland. By far the largest number come from Team Cymru‘s CSIRT Assistance Programm. But there are other sources, such as MELANI or our own sensors.

Continue reading “Reducing malware infections in Switzerland”

Schutzmassnahmen gegen Drive-by-Attacken – Teil II

Dieser Artikel wurde von Renato Ettisberger geschrieben.

Das Problem der Plug-Ins

Im ersten Teil dieser Serie haben wir aufgezeigt, wie wenig Schutz die implementierten Gegenmassnahmen bei Windows XP in Bezug auf Drive-by-Angriffe bieten. Der Hauptgrund dafür ist, dass die Basis-Adressen von DLLs für ein bestimmtes Windows XP-System (Sprach- und Service Pack-abhängig) vorhersehbar sind. Ein Angreifer nutzt diesen Umstand, um daraus Code-Sequenzen zusammenzuhängen (ROP) und damit die „Schutzfunktion“ DEP zu umgehen.

Microsoft hat bei der Entwicklung von Windows Vista, Windows 7 und Windows 8 darauf reagiert. Zum einen ist bei neueren Windows-Systemen der „Protected Mode“ für den Internet Explorer (ab IE7) vorhanden. Ein Angreifer kann sich damit nicht mehr so einfach auf dem System permanent festsetzen. Zum anderen ist neben DEP mit ASLR eine zweite Gegenmassnahme standardmässig aktiviert. ASLR steht für „Address Space Layout Randomization“ und sorgt dafür, dass die DLLs an zufällige Basis-Adressen geladen werden. Damit kann der Angreifer die notwendigen Code-Sequenzen zur Umgehung von DEP nicht mehr zusammenstellen, weil er deren Basis-Adressen nicht mehr kennt. DEP bleibt dadurch effektiv und erstickt den Angriff im Keim – zumindest in den meisten Fällen.

Continue reading “Schutzmassnahmen gegen Drive-by-Attacken – Teil II”

More Malware distributing Websites in Q3 2012

In the 3rd quarter 2012, SWITCH-CERT has helped to clean 1260 malware distributing websites under the .ch and .li top level domains. This is more than twice than in the quarters before.

Visiting a hacked website is the most common reason to get infected with malware. Most often these are legitimate websites that are compromised by cyber criminals. The attackers inject invisible elements, such as iframes of javascript into the website. These invisible elements try to exploit vulnerabilities when a visitor opens the website with his browser. When the exploits succeed, the computer of the visitor is most likely infected with a trojan and becomes part of a botnet. The attackers now have complete remote control over the infected system and can use it to steal confidential data, attack e-banking, send SPAM or launch a Distributed Denial of Service (DDOS) attacks from the “bot client”.

The dramatic rise of compromised websites in Q3 2012 is most likely due to a vulnerability in the popular Plesk server admin software, that allowed attackers to access the websites and enabled them to inject their invisible code. Exploit kits were commercially available on the internet.

Continue reading “More Malware distributing Websites in Q3 2012”

IT-Security-Links #3

A report from Black Hat USA in Las Vegas, one of the biggest IT security conferences in the world published by Compass Security. (Scroll down for the paper.)
A new Linux rootkit which injects iframes to websites has been discovered. Georg Wicherski did a first analysis in the Crowdstrike blog.
The next trends in cyber security: Some of the top security threats we can expect to see developing over the next year – compiled by Gordon Makryllos (CSO Australia)
The IETF has published RFC 6797: HTTP Strict Transport Security (HSTS) – read a short summary here.
How Java exploit code bypasses 44 Antivirus products – A nice step by step demo.

DNSSEC – Einführung zu DNS Security Extensions

Das Domain Name System (DNS) ist ein wichtiger Bestandteil des Internets. Aus Endbenutzersicht erscheint das Internet oft zusammengebrochen, wenn die Namensauflösung nicht funktioniert. In den letzten Jahren wurden Schwachstellen im Protokoll aufgedeckt, welche es erlauben, DNS-Antworten für einen DNS-Resolver zu manipulieren. Um die Vertrauenswürdigkeit der Daten sicherzustellen, wurde die Erweiterung DNSSEC entwickelt.

Was ist DNSSEC?

DNSSEC ist eine Erweiterung des Domain Namen Systems (DNS), die dazu dient, die Echtheit (Authentizität) und die Vollständigkeit (Integrität) der Daten von DNS-Antworten sicherzustellen.

Continue reading “DNSSEC – Einführung zu DNS Security Extensions”

IT-Security-Links #2

A content analysis of a major hacker forum has been released by iMPERVA (PDF).
A nice poster about common exploit kits can be downloaded from Deep End Research
Tim Sammut from Cisco explains the term “Zero-day Vulnerability”
BackTrack introduction: The Infosec Institute is working on a walktrough for the famous penetration testing and security auditing suite
av-comparatives.org released the 2012 issue of their Malware Removal Test Report

Schutzmassnahmen gegen Drive-by-Attacken – Teil I

Dieser Artikel wurde von Renato Ettisberger geschrieben.

Einführung

Internet-Kriminelle nutzen „Drive-by-Angriffe“ seit längerem um Clients mit Schadcode zu infizieren, d.h. der Besuch einer infizierten Webseite reicht dazu bereits aus. Deshalb informiert SWITCH die Halter und Betreiber von infizierten Webseiten in der Schweiz und Liechtenstein und fordert sie auf, den Schadcode innert 24 Stunden zu entfernen.

Effektiver ist es jedoch, die Client-Systeme von vornherein besser vor Angriffen dieser Art zu schützen. Dies ist mit wenig Aufwand sehr wohl möglich. Anhand eines konkreten Beispiels zeigen wir in dieser Blog-Serie auf, welche Gegenmassnahmen standardmässig auf Windows-Systemen vorhanden sind und wie sie funktionieren. Im zweiten Teil gehen wir auf die Problematik der Plug-Ins ein und demonstrieren welche negativen Auswirkungen diese auf die Sicherheit eines aktuellen Windows-Systems haben können. Im abschliessenden Teil stellen wir schliesslich ein frei erhältliches Tool von Microsoft vor, das einen sehr effizienten Schutz vor Drive-by-Angriffen bieten kann.

Solche Angriffe sind für sämtliche Client-Betriebssysteme relevant: Von Windows über Mac OS X und Linux bis hin zu iOS (iPhone oder iPad) oder Android. Als Fallbeispiel für die Blog-Serie nehmen wir eine Schwachstelle in Internet Explorer 8 auf Windows XP und Windows 7. Der Grossteil des Inhaltes spricht sicherlich die Security-Spezialisten an. Im letzten Teil geben wir jedoch einfache Tipps für jedermann und zeigen, wie man seinen Windows-PC besser vor Angriffen aus dem Internet schützen kann.

Continue reading “Schutzmassnahmen gegen Drive-by-Attacken – Teil I”

IT-Security-Links #1

DigiNotar Certificate Authority breach: Final investigation report published by Fox-IT
Security-Researcher Tavis Ormandy finds severe problems with sophos products (PDF)
And Sophos’ reaction: “Sophos has seen no evidence of this vulnerability being exploited in the wild.”
Trend Micro published a “Russian Underground 101” paper (PDF) illustrating the cybercrime marketplace
Deep Packet Inspection in a nation wide scale: Russia deploys a massive surveillance network system
Monatlicher SWITCHcert Report zu aktuellen Trends im Bereich IT-Security und Privacy (PDF)

Virus Bulletin, Dallas 2012 – Konferenzbericht

Dieser Artikel wurde von Adrian Leuenberger geschrieben.

Jedes Jahr findet die „Virus Bulletin“-Konferenz abwechselnd in Europa und Nordamerika statt. Die Konferenz gilt allgemein als eine Art Klassentreffen der Antiviren-Industrie. Alles was Rang und Namen hat ist vertreten. Dieses Jahr fand die Konferenz in Dallas, TX statt. Das Programm war wie jedes Jahr abwechslungsreich und kontrovers.

Continue reading “Virus Bulletin, Dallas 2012 – Konferenzbericht”

Dear Reader

We – the SWITCH-CERT Security Team – welcome you to our IT-Security Weblog!

The aim of this blog is to provide you with relevant news, articles, workshops, conference write-ups and other interesting topics from the world of IT security. Continue reading “Dear Reader”