Když heslo nestačí

(inzerce) Kriminální akci, která vedla k infikování 25 tisíc serverů, umožnila nedokonalost v autentizaci administrátorů a jejich nezodpovědnost.
Když heslo nestačí

Bezpečnostní experti společnosti ESET spolu s kolegy z dalších institucí odhalili největší známou síť internetových serverů, ovládaných internetovým podsvětím a zneužívaných k rozesílání spamu, přesměrovávání internetového provozu a k infikování počítačů. Experti ESET se dokázali dostat dovnitř kriminální infrastruktury a odchytávat tam řídící komunikaci, což jim umožnilo útok, nazvaný „Operace Windigo“, detailně popsat. Zjistili, že operace využívala kombinaci důmyslného malware, který se dokázal v systémech dlouhodobě skrývat. Malware obsahuje řadu kontrolních mechanismů, kterými se aktivně brání odhalení. Například jeden ze vzorků s názvem Linux/Cdorked, který se stará o přesměrování uživatele na stránky se škodlivým obsahem, hlídá adresy, z nichž dostává požadavky.  Pokud v http adrese najde výrazy jako "support", "webadmin" nebo "webmaster", vyhodnotí to jako hrozbu odhalení ze strany systémového administrátora a vůči tomuto uživateli se chová, jako by v systému neexistoval.  Důkazem efektivního skrývání malware je fakt, že deset tisíc serverů je stále ovládáno a denně rozesílá 35 milionů nevyžádaných emailů a pokuší se přesměrovat půl milionu počítačů na stránky obsahující malware a exploit kity. Jde však současně o důsledek ignorance některých administrátorů, kteří své systémy nevyčistili, přestože dostali upozornění, že jejich server je kompromitován.

Klepněte pro větší obrázek

Velmi zajímavý je zejména způsob, jak se útočníci vlastně dovnitř systémů dostali.

Terčem operace Windigo byly servery s operačním systémem Linux, které představují 60 procent ze všech internetových serverů. Klíčovou komponentou útoku je trojan Linux/Ebury, který byl odhalen již v roce 2011. Ovládnutí serverů však nebylo založeno na zneužití nějaké bezpečnostní díry v systému. Útoky spočívaly ve zneužití přístupových oprávnění administrátorů, která se útočníkům podařilo získat.

Analýza kompromitovaných serverů ukázala, že hesla, která administrátoři používali, neodpovídala standardům zabezpečení. Ve dvou třetinách případů byla složena pouze z číslic, přičemž nejmenší délka hesla byly pouhé 3 znaky. To jsou ze strany administrátorů velká pochybení, která ukazují na nízkou míru jejich obezřetnosti.

Počet serverů, které útočníci dokázali s využitím ukradených přístupových údajů ovládnout, je alarmující. Tento případ ukazuje, že pouhé heslo k zabezpečené serveru nestačí, a že je potřeba ochranu přístupu zásadně posílit.

Nejjednodušším nástrojem k řádovému zvýšení bezpečnosti autentizace je dvoufaktorová autentizace. Například řešení ESET Secure Authentication, které funguje na bázi jednorázového hesla generovaného zabezpečenou aplikací ve smartphonu, se dá ve standardních podmínkách nasadit do deseti minut. Výhodou tohoto autentizačního řešení je, že obsahuje rozhraní API, a také sadu vývojářských nástrojů (SDK). To dává možnost podmínit autentizací nejen spuštění aplikace, ale také definovat konkrétní operace uvnitř aplikace, jejichž provedení má být umožněno pouze autentizovaným uživatelům. 

Další článek: Google připravuje rozsáhlý výzkum svých zaměstnanců. Bude trvat sto let

Témata článku: Heslo, Dvoufázové ověření, Škodlivý obsah, Internetový server, Hesl, Nejmenší procento, Skrývání, Infekce, Přístupový údaj, Nesta, Nést



Sex manželských párů? Jen výjimečně. Ložnice ovládnou roboti s umělou inteligencí

Sex manželských párů? Jen výjimečně. Ložnice ovládnou roboti s umělou inteligencí

** Sex manželských párů jen při zvláštních příležitostech. ** Ložnice ovládnou sexuální roboti s umělou inteligencí. ** I to je jeden ze závěrů Mezinárodní robotické konference.

Filip KůželJiří Liebreich
RobotiSexUmělá inteligence
Recenze mobilu Tecno Camon 18 Premier. Exotika pouze pro odvážné

Recenze mobilu Tecno Camon 18 Premier. Exotika pouze pro odvážné

** Snad žádný telefon na trhu se nehoupe na stole jako tento ** Update vylepšil děsivý software na software, který už je jen špatný ** Když si sama značka hází klacky pod nohy, je vstup na trh těžký

Jakub Michlovský
Střední třídaRecenze
Philips Screeneo U4. Kompaktní projektor, nejen k mobilu, se hodí i do extrémně malých prostor

Philips Screeneo U4. Kompaktní projektor, nejen k mobilu, se hodí i do extrémně malých prostor

** Philips ukázal kompaktní projektor nejen k mobilu ** Už za pár hodin se na něj vybraly miliony korun ** Projektor je určen do malých místností a nezruinuje vaši peněženku

Martin Chroust
IndiegogoProjektory
Herní filosofie: jak se hrálo před čtvrt stoletím aneb počínající krize průmyslu

Herní filosofie: jak se hrálo před čtvrt stoletím aneb počínající krize průmyslu

Máte rádi nostalgické vzpomínání? My ano a dost věcí jsme si díky tomu uvědomili.

Ladislav Novák
Retro
Jak poznat, že máte možná hacknutý telefon? Toto je devět symptomů, které můžete pozorovat

Jak poznat, že máte možná hacknutý telefon? Toto je devět symptomů, které můžete pozorovat

** Jak poznat, že je váš smartphone hacknutý? ** Hledejte známky po nestandardním chování telefonu ** Stačí když telefon vydrží méně nebo topí i v klidovém režimu...

Martin Chroust
Jak...Malware
Nový hit. Tahle appka vám udělá profilovku jako od pouličního ilustrátora

Nový hit. Tahle appka vám udělá profilovku jako od pouličního ilustrátora

** Aplikace NewProfilePic se na Androidu stala hitem ** Můžete si v ní vytvořit profesionálně vypadající profilovky ** Pozor ale na agresivní cenovou politiku za Pro verzi

Martin Chroust
FotografieUmělá inteligenceMobilní aplikace