Ühe USA Dollariga Brasiiliasse? Tõsi ka?

Kui tavaliselt näeme me rämpspostis linke või manuseid, mis “peidavad endis rohkelt raha”, siis miks mitte pakkuda imesoodsaid pileteid Brasiiliasse? Trendmicro blogis näidatakse, kuidas rämpspostis imeodavaid pileteid pakutakse:

Promotion Voegol the $1.00 is back, buy tickets or return for all of Brazil to only $1.00.
Visit our online service through the website:
http://www.voegol.co***/Atendimento/ and mention code: VG1R
After that, wait for contact from a clerk, and make the purchase.
Further promotion visit: …

Spam

See rämpspost võtab viimast Brasiilia Lennuliinide tegelikust sooduspiletite müügiperioodist.
Tegelikkuses lingil klikates möödutakse piletitest kauge kaarega mööda. Lubatud piletite asemel istutatakse arvutisse trooja, mis omakorda tõmbab pahavarajupi, milleks on Trendmicro nimistus kirje TSPY_BANKER.NGN
Viimane varastab panga paroole ja muud väärtuslikku infot.

Nagu vanasõna ütleb: Kõik pole kuld, mis hiilgab 🙂

Messengeri uss

RIA tegi “uuest” messengeri ussist juttu juba novembri esimesel nädalal. Järgnevalt kirjeldan natuke, kuidas uss levib ning kuidas seda eemaldada.

Messengeri uss levib kõige lihtsamal viisil – Messengeri kasutajale saadetakse link, mis näib olevat tuntud piltide üleslaadimiseks kasutatava Imageshack.com lingina.
Tegelikult on tegu hoopis .biz lõpulise saidiga (olen näinud ka .cn lõpulist)

Näide

Pildil näib, et avatava lingi failiformaat on .jpg, mis on piltide puhul tavaline. Linki avades suunatakse meid aga natuke teistsugusele leheküljele kust laetakse alla pic993.pif fail. Seda käivitades luuakse kaks faili.

Kiirelt VirusTotali ja CIMA raporteid vaadates näib tegu olevat uue variandiga.

Kuidas seda kurjamit eemaldada?

Kõige lihtsam viis on kasutada Malwarebytes’ Anti-Malwaret.
Andmebaas uuendatud, piisab Kiirkontrollist.

Mida mina selle ussiga tegin?

Peale allalaadimist tegin temast parooliga kaitstud .rar faili ning saatsin selle erinevatele turbetarkvarade tootjatele laiali.

SSL turvaauk – kuidas töötab

4. novembril aadressil http://extendedsubset.com/ publitseeritud info SSL protokolli nõrkuse (“SSL Authentication Gap”) kohta on leidnud elavat vastukaja, Internet kubiseb blogijate postitustest ning on olemas ka kodumaine näide.

Ette rutates võib öelda, et soovitus ID-kaardid sahtlisse panna on enneaegne. Kliendituvastusega (client authentication) SSL/TLS protokolli kasutamine on ja jääb alati turvalisemaks kui ilma selleta. Paneme tähele, et kõik teised autentimisvahendid (paroolikaart, PIN-kalkulaator, Mobiil-ID) ei kasuta kliendituvastusega SSL protokolli ning on seetõttu olulisel määral rohkem altid vahemehe (Man-in-The-Middle) rünnakutele, kus ohver juhatatakse võltslehele ning vahendatakse sobivalt tema suhtlust „pärislehega“.

Milles siis jutu all olev nõrkus seisneb?  Olukorra lihtsustamiseks vaatleme näidet, kus SSL veebiserver on konfigureeritud aktsepteerima ID-kaarti, kuid see ei ole „kohustuslik“, s.t. eksisteerib serveri alamosa, mida saab kasutada siis, kui ID-kaardiga ei ole autenditud või autentimine ebaõnnestus. Nii on meil konfigureeritud enamus veebiservereid, kuna kasutajasõbralikkuse huvides on ID-kaardiga autentimise ebaõnnestumise korral ilus näidata browser error’i asemel mingit ilusamini kujundatud pilti.

Nende kahe SSL oleku (on klient autenditud või ei) vahetamist nimetatakse SSL renegotiation’iks ehk siis maakeeli „ümberleppimiseks“. Häda on nüüd selles, et enamus SSL realisatsioone ei pea järge selle üle, kas ümberleppimise-eelne sessioon oli sama mis ümberleppimis-järgne.

Kujutame nüüd ette olukorda, kus ohver alustab serveriga sessiooni nii, et kliendituvastust veel ei nõuta. Kommunikatsioonikanalil asuv ründaja aga varastab selle sessiooni ning asub suhtlema ohvri eest. Peale SSL ühenduse saavutamist teeb ründaja päringu, mille täitmiseks server nõuab kliendituvastust. Hakkab toimuma ümberleppimine, ründaja annab nüüd „otsad ära“, vahendades pakette edasi-tagasi, ja laseb ohvril sooritada kliendi autentimise. Peale edukat autentimist on aga serveril kohustus täita esitatud päring (mida ründaja tegi). Päringu tulemused kuvatakse muidugi ohvrile, ründaja neid enam ei näe.

Tüüpiliselt kasutatud näide on see, kui ohver on näljane ning teeb päringu:

GET /pizza?täidis=kana?aadress=Kana8 HTTP/1.1
Cookie: minuküpsis

Singilembeline ründaja aga topib selle päringu ette paar rida (ilma reavahetuseta lõpus) ja tulemus on:

GET /pizza?täidis=sink;aadress=Kurja3 HTTP/1.1
X-Ignore-This: GET /pizza?täidis=kana?aadress=Kana8 HTTP/1.1
Cookie: minuküpsis

Tulemuseks saab ohver jahmatava kinnitusteate väärastunud soovi kohta, kurjam aga võib palvetada (kuna ta serveri vastust ei näe), et kunagi tasuta pizza tuleb. Rohkem ründaja selles seansis osaleda ei saa.

Paneme tähele, et sellise ründe edukus sõltub mitmest asjaolust:

  • Ründaja peab asuma ohvri ja serveri-vahelise kommuikatsioonikanali vahel, s.t. ründajal peab olema kontroll mõne marsruuteri või tulemüüri üle ning olema võimeline manipuleerima seal infovooge. Lihtsalt ohvriga samas kohtvõrgus viibides võiks see ka teoreetiliselt võimalik olla kuid praktikas on rünne kohtvõrgust väga väikese õnnestumise tõenäosusega.
  • Server aktsepteerib GET-päringuid, mille esmakordse töötlemise tulemuseks on kohe reaalne tegevus (s.t. pizza pannakse teele).
  • Server peab olema konfigureeritud nii, et ta suhtleks nii ID-kaardiga autendituna kui ka ilma ning seetõttu SSL ümberleppimine on võimalik.

Kokkuvõtteks võib öelda, et ajalugu on näinud palju hullemaid SSL turvaauke, kummatigi pole maailm veel kokku vajunud ning tundlikud e-teenused eksisteerivad edasi. Eriti paranoilistele e-teenuste pidajatele võiks aga soovitada seda, et ID-kaardi autentimist kasutav e-teenus asuks eraldi IP-aadressil ning kliendituvastus oleks konfigureeritud kohustuslikuks. Võib-olla kaalub 100% turvalisus (antud puuduse mõttes) üles kasutaja frustratsiooni, kes autentimise ebaõnnestumise korral browser error’i saab.

Rate.ee kavalad rahapommijad

Kahe päevaste vahedega on mu meestuttavatele saadetud  rate.ee postkasti mesimagusid kirju. Kirjad on täpselt samasisulised, ehkki saatjateks on erinevate nimedega tüdrukud – Reili ja Angel. Avaldan ühe kirja postituse saaja teadmisel ja nõusolekul, kaasaarvatud suhteliselt hägusa pildi, mis õnnestus enne kätte saada, kui saatja selle rate keskkonnast eemaldas.

” Tere kenake:) Mul oleks üks palve. Kas saaksid mind aidata mõne SOL´ga kuna tahaksin panna mõned kümned. Võiksin siis sulle ka panna koos armsa kommentaariga. Ma ei oska sulle midagi vastutasuks pakkuda kui aidata saaksid. Väljavalituks sa ilmselt ei soovi mind aga kui tahad siis võin panna. Tutvuda võime alati kui soovid.
Palun saada, sest väga on vaja ja ei oska enam kuskilt küsida. Kalli

Saada sms sisuga: SOL 2141612
Numbrile: 15154 ”

2.kri rate

Kuna kirja saaja on neljakümnendates eluaastates mees ja rates on tal konto tema enda sõnul „ise ka ei tea millepärast“, siis ta vastus plikale oli selline (vastust lühendatud):

„Aitäh komplimendi eest.
Ausalt öeldes ei tea ma midagi SOL´idest. Sellel kontol käin ma üliharva ja pole siinsete värkidega kursis. Küll aga võin ma sind aidata arvutialaselt, kuna tööalaselt tegelen sellega. …Aga kindlasti uurin välja, mis see SOL on ja kuidas seda saaja peale kümnete panemiste veel kasutada saab. … Kuna mul on naine ja lapsed olemas, siis väljavalituks oleks vist tõesti imelik mind panna…ja ka tutvusega on raskusi eelnimetatud põhjustel, kuigi välimuselt oled sa priima – heledad pikad juuksed ja ka valge kleit on nii seksikalt rinnakõrgusele tõstetud….”

3.26dd15780874Viimase lause oli ta meelega lisanud vürtsikaks vihjeks, et on pilti näinud, ehkki see oli tüdruku poolt viimasel hetkel kustutatud.

Kui nüüd analüüsida seda kirja, siis tundub, et see tüdruk muud rohkemat ei tahagi, kui ainult panna….ma mõtlen kümneid, armast kommentaari ja väljavalituks, sest sõna „panna“ on lausa kolmel korral lühikeses tekstis esindatud.  Ja tundub, et panemisega on tal ikka üsna kiire, kuna  ta jättis tähele panemata, et mõlemal mehel olid üleval perepildid naise ja lastega. Sellegipoolest tahtis ta mehi väljavalituks ja ka lähemalt tutvuda. Huvitav, kas selliste kirjade läbi võivad tulla ka abielurikkumised?

Tõenäoliselt oli tüdruk selle peal väljas, et ka „vana hobu tahab kaeru“, kuna teine kirja saajast meesterahvas  hakkab samuti vanuselt neljakümnele lähenema. Kindlasti neiu lootis, et vanemate meeste süda heldib kiiremini ahvatlema panevalt suurest murest kuuldes … sellest, et tüdruk ei saa panna, ehkki ta nii väga tahab. See on ju tüdrukute suhtes kohutav ülekohus, et nad ei saa panna Rates kümneid!

Aga kui sellise tüdrukuga tutvuda, nagu neiu soov on?  On see üldse kindel, et kohtamisele tuleb sama isik, kes pildil? Võibolla sarnaneb see lugu siis hoopis  “hispaanlanna” juhtumile, kus väidetavast tüdrukust sai ühtäkki mees, omasooihaleja. Ma arvan, et isegi Rate.ee ei saa anda garantiid, kes tegelikult selle nn. tüdruku konto taga tegelikult peitub.

Nii et eriti just keskeas ja neist veel vanemad mehed ning vastupidi, verinoored poisid, kellel veri hakkab vemmeldama soontes iga tüdruku puusapaljastuse peale, peaksid eriliselt ettevaatlikud olema taoliste kirjade suhtes või muidu kooritakse nad lihtlabaselt paljaks. Annetusi ju võib teha, aga pigem siis lastekodudele ja –haiglatele või kasvõi loomade varjupaikadele, aga mitte omakasupüüdlikele tibidele.

Sellistest kirjadest tuleks kohe Rate tegijatele teada anda. Igas postkastis on link Anna spämmist teada. Ja pole vaja muretseda, et keegi kättemaksuks hindab teie pilti halvasti. No ja mis siis, kui pannakse pildile hindeks 1 – võõras mure. Eriti just vanemad inimesed peaksid arvestama, et rate on pigem laste ja mürsikute ning teismeliste mängumaa. Pole vaja põdeda nartsissismi, et küll ikka mina olen ilus ja hea ning et halvad hindamised hävitavad mu maine. Ei nad hävita ühtegi – ainult see, kes kahtleb iseendas, on hirmul selle üle, mida arvavad temast teised!

4.rate44 spamm

Mida saab teha SOL´idega?

Võttes lahti Rate.ee reeglid ja kerides allapaoole kirjeni Sisemine valuuta, võib lugeda:

„Rate.ee kasutajatel on võimalus osta Rate.ee teenuseid eesti kroonide eest. Lehel sinu raha on sissemakse tegemiseks välja toodud erinevad makseviisid – sissemakse tulemusena tekivad kasutaja kontole SOL-id, mida saab vahetada teenuste vastu. Teenuste nimekiri ja hinnad on ära toodud teenuste lehel. …

… Rate.ee kasutajatel on teatud tingimustel õigus sissemakstud raha oma pangakontodele saada, tellides väljamakse väljamaksete lehel.  …Eduka väljamakse puhul saadetakse raha kasutaja pangakontole kolme pangapäeva jooksul, raha võib pangakontole jõuda veidi hiljem, sõltuvalt pankade kiirusest. …”

Lõpetuseks

Võibolla rahanurumissoovidega kirjad on saadetud Ratest endast eeskuju võttes. Rate on ise ka mingis mõttes hõlptulu teenimise peal väljas – pakutakse ju müüa kõiksuguseid vidinaid ja teenuseid, millest mõned tunduvad täiesti arusaamatud.

Näiteks Konto avamine(siin saad avada kellegi konto, mis on moderaatori poolt blokeeritud). Saan aru nii, et kui eelkirjutatud spämmisaatjast tüdruku konto blokeeritakse pahateo eest, siis saab ta ikkagi selle uuesti raha eest avada ja jälle spämmima hakata. No tore küll!

Või siis Sünniaja muutmine (siin saad oma sünniaega muuta). Saan aru sellest nii, et kui tahan mõnele tulisele 17-aastasele tüdrukule “keelt kõrva ajama hakata”, siis kustutan lihtsalt oma pildid ära ja muudan oma sünniaja nooremaks. Täitsa kihvt – nagu teine elu!

Ja isegi boonuspunkte saab raha eest osta! Huvitav, kas emmed-issid teavad juba, kui mõttetute asjade peale kulub nende laste taskuraha, mis on higi, vere ja pisaratega teenitud!

5.mõttetu

AVAST! Antivirus 5 Free

1.avast 5  logoAvast on üks hinnatumaid tasuta erakasutuseks pakutavaid viirusetõrjeid. Just nimelt need kaks – Avira AntiVir Personal Free (või tasuline Premium) ja AVAST! Antivirus (nii tasuta Home kui tasuline Professional) on on kiidusõnu saanud üle maailma nii kasutajate kui spetsialistide poolt. Ka pahavara avastamisprotsendilt on mõlemad tippklassi kuuluvad tõrjeprogrammid. Arvutiressursse kasutavad vähe ning omavad suurepärast reaalajakaitset.

Avast Antivirus vanemast versioonist olen juba varem Arvutikaitses juttu teinud, nüüd oli aeg proovida arendajate viimast versiooni Avast Antivirus 5 Free Beta. Loe edasi: AVAST! Antivirus 5 Free

Järjekordne Messengeri uss

RIA hoiatab, et elle nädala alguses sai CERT vihje Eesti netiavarustes aktiivselt ringiroomavast Messengeri “ussist”. Pahavara teeb raskesti leitavaks asjaolu, et viiruse levitamiseks kasutatav veebilink torgatakse Messengeri tavavestluse sekka.

“Inimesed on juba piisavalt teadlikud, et mitte klikkida linke, mis tulevad ingliskeelse sõnumiga “Hey, look at my pictures …”. Emakeelse välksõnumivahetuse sekka pakutav link tundub klikkimiseks oluliselt ohutum,” selgitab CERT Eesti infoturbe ekspert Tarmo Randel.

Linki klikkinud said suure tõenäosesega enda arvutisse pahalase, mis korjab paroole, krediitkaardiandmeid ja muud personaalset infot, mida “mustal turul” saaks rahaks teha. Samuti saab kurikael nakatatunud arvutit kasutada “hüppelauana”, mille kaudu kuritegusid sooritada.

Kuna turvaprogrammid jäävad selle pahavara tuvastamisega veel jänni, siis peaks lingile klikkinud inimene pöörduma tuttava “patsiga poisi” või IT professionaali poole ning paluma arvuti üle kontrollida. Oskuste ja tahtmise korral võib ta seda loomulikult teha ka ise. Juhised, mis on kõlbulikud järgimiseks nii proffidele kui ka asjaarmastajatele, leiab aadressilt: http://www.ria.ee/turvamelu.

CERT Eesti (Computer Emeregency Response Team) tegeleb Eesti arvutivõrkudes toimuvate turvaintsidentide käsitlemisega ja kasutajate turvateadlikkuse tõstmisega.