Zero Day Weekly: uporabniki Xfinity doxing, D-Link razkriva omrežja, kitajski pametni telefon, ki ga ni mogoče vlomiti

Dobrodošli v Teden ničelnega dne v varnosti, ZDNet-ov pregled pomembnih varnostnih novic za teden, ki se je končal 20. novembra 2015.

Od CNET: Glede šifriranja Clinton Silicijevi dolini reče, naj bo timski igralec "Hillary Clinton želi, da Silicijeva dolina preneha biti tako trmasta. To je sporočilo demokratskega favorita v ameriški predsedniški tekmi po napadih v Parizu prejšnji teden, ki so obnovili razpravo o vlogi tehnologije pri terorizmu. Clinton je tehnološki industriji povedal, da ne more preprosto prezreti potrebe zvezne vlade, da izsledi skrajneže. "Potrebujemo Silicijevo dolino, da na vlado ne gledamo kot na svojega nasprotnika," je dejala Clintonova v četrtek v govoru o nacionalni varnosti v Centru za zunanje odnose v New Yorku. Glej tudi: Pogovarjajmo se o šifriranju (Engadget)

Od Hrib: Tehnična skupina zavrača pritisk, da bi federalcem dovolila dostop do šifriranih podatkov

"V svojih prvih komentarjih po napadih, v katerih je bilo ubitih najmanj 129 ljudi in več sto ranjenih, je informacija Svet tehnološke industrije (ITI) je trdil, da bi bilo zagotavljanje dostopa do šifriranih naprav uničujoče za globalno varnost. "Zelo cenimo delo organov pregona in nacionalne varnostne skupnosti, da nas zaščitijo," je v izjavi dejal izvršni direktor ITI Dean Garfield. "Toda oslabitev šifriranja ali ustvarjanje stranskih vrat do šifriranih naprav in podatkov za uporabo dobrih fantov bi dejansko ustvarilo ranljivosti izkoriščajo slabi fantje, kar bi skoraj zagotovo povzročilo resno fizično in finančno škodo v naši družbi in gospodarstvu.""

Od CSO na spletu: Comcast Xfinity Wi-Fi razkriva imena in naslove strank "Storitev Xfinity Wi-Fi iz Comcasta razkriva polno ime in domači naslov rezidenčnih strank, kar je nekaj, kar podjetje pravi, da se ne bi smelo zgoditi. Razkritje takšnih informacij poveča že izpostavljeno površino napadov, saj omogoča vsakomur z zlonamernimi nameni, da selektivno cilja na njihove oznake... težava je v tem, da so bila navedena imena in naslovi, ki pa so še vedno prikazani v rezultatih iskanja, ko nekdo išče dostopno točko Wi-Fi Xfinity."

Od Revija SC: Proizvajalci avtomobilov pozivajo kongres, naj omeji regulacijo interneta avtomobilov "Vodstvo avtomobilske industrije je v sredo pozvalo kongres, naj omeji zakonodajo v zvezi s povezanimi avtomobili razpravo o kibernetski varnosti in vdorih v avtomobile ter na zaslišanju o "Internetu avtomobilov", ki je potekalo pred dvema predstavnikoma pododbori. Na zaslišanju so bila poudarjena prizadevanja proizvajalcev avtomobilov, da bi obravnavali pomisleke glede kibernetske varnosti in da bi članom Pododbor za informacijsko tehnologijo in Pododbor za promet in javna sredstva priložnost, da izveste več o povezanih vozila."

Od SecurityWeek: Napaka v stikalih D-Link razkriva korporativna omrežja: raziskovalci "Ranljivost v določenih pametnih stikalih D-Link lahko oddaljeni napadalci izkoristijo za dostop do dnevniških in konfiguracijskih datotek brez kakršnih koli poverilnic za preverjanje pristnosti, trdijo raziskovalci. Neodvisni varnostni raziskovalec Varang Amin in Aditya Sood, glavni arhitekt pri podjetju Elastica's Cloud Threat Labs, sta poročala o odkritju napake v gigabitnih pametnih stikalih serije DGS-1210 podjetja D-Link."

Od ZDNet: MSP glavna tarča zlonamerne programske opreme PoS v tretjem četrtletju: Trend Labs »Majhna in srednja podjetja (SMB) so bila v tretjem četrtletju 2015 donosna in enostavna tarča napadov zlonamerne programske opreme (PoS) po podatkih varnostnega podjetja Trend Micro. V varnostnem pregledu TrendLabs tretjega četrtletja 2015 podjetja Trend Micro, nevarnosti pred nami: trenutne ranljivosti napovedujejo grozeče napade, za tri mesece do konca Septembra 2015 je podjetje s sedežem v Tokiu povedalo, da so napadalci prestregli čim več ranljivih naprav PoS z namenom, da "zadenejo jackpot"."

Pozdravljena Barbie! pic.twitter.com/H3vY3Nbs8E

-- Josh Pitts (@midnite_runr) 15. november 2015

Od ZDNet: Zlonamerna programska oprema za bančništvo Dyre: zdaj ciljata brskalnika Windows 10 in Edge »Razvpita zlonamerna programska oprema za bančništvo Dyre je bila posodobljena, da prevzame stroje Windows 10 in svoje kremplje pripne na brskalnik Edge. Dyre, znan tudi kot Dyreza, se je pojavil na prizorišču kibernetskega kriminala julija 2014 in je hitro pridobil sloves grdega zlonamernega programa, katerega cilj je ukrasti poverilnice. Ugotovljeno je bilo, da cilja na uporabnike Salesforce in bančne stranke, pred kratkim pa je bilo ugotovljeno, da je prilagojen za krajo poverilnic iz nabor podjetij v dobavni verigi, vključno z izpolnjevanjem in skladiščenjem, prodajalci programske opreme za upravljanje zalog in veleprodajni distributerji računalnikov."

Od ZDNet: Zakaj Dell izbere termično skeniranje prstnih odtisov za prenosnike in tablice naslednje leto "V letu 2016 bodo Dellovi komercialni in robustni prenosniki in tablični računalniki vključevali patentirane enote skenerja prstnih odtisov norveškega podjetja NEXT Biometrics. NEXT pravi, da družbi Dell zagotavlja najmanj 1,2 milijona skenerjev, ki temeljijo na termičnem skeniranju, v nasprotju s kapacitivnimi skenerji prstnih odtisov, ki jih uporabljajo skoraj vsi drugi prodajalci. Ta pristop pomeni, da skenerji podjetja NEXT s sedežem v Oslu na Norveškem beležijo temperaturne razlike med dolinami in grebeni v prstnem odtisu. Drugi optični bralniki uporabljajo radiofrekvenčni signal, ki meri razlike v odzivu signala med funkcijami prstnih odtisov."

Od TechDirt: Ted Koppel je napisal celotno knjigo o tem, kako bodo hekerji uničili naše električno omrežje... In nikoli nisem govoril z nobenim strokovnjakom "Slavni voditelj televizijskih novic Ted Koppel je pred kratkim izdal novo knjigo z naslovom Lights Out: A Cyberattack, A Nation Unprepared, Surviving the Aftermath. Predpostavka, kot ste morda uganili, je, da se soočamo z velikim tveganjem, da bodo "kibernetski napadalci" uničili električno omrežje... Želite vedeti, kako uporabna je knjiga? Vse, kar resnično morate prebrati, je naslednje vprašanje in odgovor od Koppelov intervju za CSO Online:

Ali ste za to knjigo intervjuvali preizkuševalce penetracije, ki imajo izkušnje v sektorju proizvodnje/prenosa električne energije?

Ne, nisem."

Od ZDNet: Prevaranti uporabljajo stari šolski virus Conficker, da okužijo policijske telesne kamere "Jarrett Pavao in Charles Auchinleck iz IT integratorja iPower Technologies sta povedala, da sta odkril zloglasni virus Conficker, vnaprej nameščen na dveh policijskih telesnih kamerah Frontline podjetja Martel elektronika. iPower, ki dela na sistemu za shranjevanje v oblaku za vladne agencije in policijske uprave shranjevanje in iskanje videa kamere, je dejal, da je zlonamerno programsko opremo odkril po testiranju dveh od 499 USD vrednih telesnih kamer, ki jih je imel naročeno. Z zlonamerno programsko opremo so bili okuženi osebni računalniki, fizično povezani s telesnimi kamerami."

Od ZDNet: Poraba Microsofta za varnostne raziskave in razvoj je konkurenčna Symantecu »Microsoftova poraba za varnostne raziskave in razvoj je enaka Symantecu in poudarja, kako ima podjetje potencial, da si pridobi dodaten delež denarnice. V objavi na spletnem dnevniku, ki poudarja Microsoftove varnostne načrte, je programski velikan dejal, da porabi več kot milijardo dolarjev na leto za varnostne raziskave in razvoj. Če to postavimo v kontekst, ta vsota predstavlja nekaj več kot 1 odstotek Microsoftove letne prodaje in približno 8,33 odstotka tega, kar je podjetje porabilo za raziskave in razvoj v fiskalnem letu 2015. Microsoft porabi približno 13 odstotkov svoje letne prodaje za raziskave in razvoj."

Od Hrib: Kitajska gradi svoj pametni telefon, ki ga ni mogoče vlomiti "Kitajska želi izdelati lastne pametne telefone, ki jih ni mogoče vlomiti, da bi se izognila ameriškim programom nadzora. Prizadevanje je del prizadevanj azijske sile za razvoj domače tehnologije, ki bi nadomestila tuje izdelke. Večina operacijskih sistemov in procesorjev za pametne telefone na Kitajskem temelji na Applovi ali Googlovi tehnologiji. Hekerji se pogosto infiltrirajo v telefone prek teh komponent in Kitajska se boji, da so ameriška podjetja ogrožena s strani ameriških obveščevalnih agencij."