Cyber-ketju: verkkovakoilu,kännyköiden ja wlanien seuranta, hakkerointi, virukset, DoS etc

[ctg]

Joskus olen selittänyt asiakkaille että jos pääsen konsolille niin se on game over, koska fyysinen kontakti on root access.

Side-channel attacks that monitor a computer's electromagnetic output to snaffle passwords are nothing new. They usually require direct access to the target system and a lot of expensive machinery – but no longer.

Researchers at Fox‑IT have managed to wirelessly extract secret AES-256 encryption keys from a distance of one metre (3.3 feet) – using €200 (~US$224) worth of parts obtained from a standard electronics store – just by measuring electromagnetic radiation. At that distance sniffing the keys over the air took five minutes, but if an attacker got within 30 centimetres (11.8 inches) of a device, the extraction time is cut down to just 50 seconds.

The research team used a simple loop antenna, attached it to an external amplifier and bandpass filters bought online, and then plugged it into a software defined radio USB stick they bought for €20. The entire cost of the setup was less than €200 and the device could be hidden in a jacket or laptop case.

http://www.theregister.co.uk/2017/06/23/aes_256_cracked_50_seconds_200_kit/

 

[ctg]

Syyttäjä halusi 90 vuotta ja 3 miljoonan sakon cyberteroilusta. Tuomari antoi vuoden. Hyvä päätös.

A Pennsylvania man was sentenced to one year and one day in prison for hacking and disabling base stations belonging to water utility providers in five cities across the U.S. East Coast. Called TGB, these devices collect data from smart meters installed at people's homes and relay the information to the water provider's main systems, where it is logged, monitored for incidents, and processed for billing. Before he was fired by the unnamed TGB manufacturing company, Flanagan's role was to set up these devices.

After he was fired, Flanagan used former root account passwords to log onto the devices and disable their ability to communicate with their respective water utility providers' upstream equipment. He wasn't that careful, as the FBI was able to trace back the attacks to his home. Apparently, the guy wasn't that silent, leaving behind a lot of clues. Flanagan's attacks resulted in water utility providers not being able to collect user equipment readings remotely. This incurred damage to the utility providers, who had to send out employees at customer premises to collect monthly readings. He was arrested in Nov 2014, and later pleaded guilty

https://www.bleepingcomputer.com/ne...s-down-smart-water-readers-in-five-us-cities/

Adam Flanagan, 42, of Bala Cynwyd, Pennsylvania, worked as an engineer for a company that built radio masts used by utility companies to collect power and water usage data from home energy meters.

When he was let go in 2013 after an unsatisfactory employment review and then failing to pull his socks up, he took revenge on his ex-bosses after some boozy nights on the town.

Within weeks of leaving his job, the base stations built by his former employers – who have not been named – began to disconnect from the radio network. Access logs showed that Flanagan had taken to remotely connecting into the towers at night using their root passwords, which still worked for him. He then changed the passwords – in some cases to "fuckyou" – uploaded Pink Floyd song lyrics in place of key code, changed the radio frequencies used by the towers, and added ASCII art to the masts' firmware.

Between March and May, 2014, six base stations were deactivated across the US East Coast. After discovering that the failures were deliberately caused, the company called in federal investigators, who quickly identified Flanagan as the chief suspect.

A master criminal Flanagan certainly wasn't. He performed the vandalism from his home internet connection, and his public IP address was all over the intrusions like greasy fingerprints. Agents were able to quickly link him to the unauthorized accesses, although he did tell investigators that he occasionally used a Verizon wireless card too.

http://www.theregister.co.uk/2017/06/26/engineer_imprisoned_for_hacking_exemployer/

 

[StepanRudanskij]

Kiristyshaittaohjelma WanaCry'n variaatio leviää taas. Tarkkana niiden vieraiden fileitten kanssa.

 

[Tyrsky]

Kiristyshaittaohjelma WanaCry'n variaatio leviää taas. Tarkkana niiden vieraiden fileitten kanssa.

F-Securen virustorjunnan 'DeepGuard' käsittääkseni suojasi WannaCrylta täydellisesti ja muistelisin että eräässä webinaarissa mainittiin ettei yksikään F-Securen asiakas kärsinyt WannaCrystä. Itse luotan muutenkin mieluiten kotimaiseen toimijaan cyberturvallisuuden puolella, koska piilaaksossa toimivat yritykset ovat jatkuvasti mm. NSA:n ja CIA:n (ja mitä näitä akronyymejä nyt onkaan) painostuksen alaisuudessa.

Löysin myös F-Securen sivuilta tähän vahvistuksen: "F-Secure’s Deepguard functionality provides host-based behavioral analysis and exploit interception that proactively blocks ransomware such as WannaCry." @ https://business.f-secure.com/wannacry-the-biggest-ransomware-outbreak-ever

 

[scip10]

WannaCryn uusin inkarnaatio Petya aiheuttaa massiivista vahinkoa maailmalla. Tartunnan ensisijainen lähde näyttää olevan Ukrainassa käytössä oleva taloushallinnon softa, jota kautta Petya on levinnyt Ukrainaan ja kans.väl. yritysten kautta maailmalle.

Mitä luulette, onko kyseessä Venäjän Ukrainaan kohdistama kyberhyökkäys oheisvahinkoineen, vai venäläisen rikollisorganisaation rahankiristysoperaatio? Itse luulen että molempia, eikä näitä kahta varmaan voi nykyisin täysin erottaa toisistaan.



http://www.hs.fi/ulkomaat/art-2000005270111.html

Heikki Aittokoski HS, Anna-Mari Hänninen HS, Pauliina Jokinen HS, Mikko Paakkanen HS

Julkaistu: 27.6. 16:43 , Päivitetty: 28.6. 12:58



Kymmeniä maita on joutunut tiistaista alkaen verkkohyökkäyksen kohteeksi.

Tartuntalähteeksi on varmistumassa M.E.Doc-niminen kirjanpito-ohjelmisto, kertoi Viestintävirasto keskiviikkona. Tartunta käyttää hyväkseen Microsoftin Windows-käyttöjärjestelmässä olevaa haavoittuvuutta. Microsoftin mukaanhttps://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/ tartunta on havaittu yli 60 maassa.

Viestintäviraston erityisasiantuntija Ilkka Sovannonhttp://www.hs.fi/haku/?search-term=ilkka+sovannon mukaan tartunta on todennäköisesti lähtenyt leviämään kirjanpito-ohjelmistosta, joka on laajalti käytössä Ukrainassa esimerkiksi verojen maksussa.

”Tämä selittää pitkälti sitä, miksi uhreina on ollut paljon ukrainalaisia yrityksiä sekä isoja, monessa maassa toimivia yrityksiä, joilla on voinut olla toimintaa Ukrainassa.”

Verkkohyökkäyksen uhreina on ollut pääosin juuri suuria yrityksiä, ei kotikäyttäjien koneita. Kyseessä on Viestintäviraston mukaan Petya-kiristyshaittaohjelman uusi versio.

”Siitä ei ole vielä täyttä varmuutta, onko ollut lisäksi muita menetelmiä, jolla ohjelma on päässyt yhden yrityksen verkosta seuraavan yrityksen verkkoon, vai ovatko kaikki tartunnat liittyneet tämän kirjanpito-ohjelmiston käyttöön.”

Suomalaisyrityksistä ilmoituksia tartunnoista on tullut Viestintävirastoon edelleen ”pieni määrä, ei välttämättä edes kymmeniä”, kertoo Sovanto. Kohteina ovat olleet etenkin isot ja monissa maissa toimivat yritykset.

Sovannon tiedossa ei ole, että pelkästään kotimaassa toimiva yritys olisi joutunut kiristysohjelman kohteeksi. Ohjelma lukitsee saastuttamansa koneen ja vaatii tiedostojen avaamiseksi 300 dollaria bitcoin-virtuaalivaluuttana.

Viestintäviraston mukaan saastuneelle tietokoneella tulee tällainen viesti:

<img itemprop="url" src="http://hs.mediadelivery.io/img/978/dcb44bd401ac4ae1beacd25e19f6d067.jpg" alt="Jumiutuneen tietokoneen ruutuun tulee viesti, jossa pyydetään rahaa salauksen purkamiseksi."> <meta itemprop="width" content="978"> <meta itemprop="height" content="581.54584">
Jumiutuneen tietokoneen ruutuun tulee viesti, jossa pyydetään rahaa salauksen purkamiseksi.

Petya-kiristyshaittaohjelma alkoi levitä maailmalla nopeasti tiistaina iltapäivällä, ja ilmoituksia tartunnoista tuli edelleen keskiviikkona aamulla Suomen aikaa. Yön aikana virus levisi muun muassa Australiaan, jossa ainakin suklaatehdas ilmoitti joutuneensa hyökkäyksen kohteeksi.

Suomeen hyökkäys ulottui Viestintäviraston mukaan tiistai-iltana, ja sitä ennen listalle päätyi esimerkiksi Yhdysvallat, jossa lääketeollisuusyritys Merck kertoi uutistoimisto AFP:n mukaan kamppailevansa kyberhyökkäystä vastaan.

Häiriötilanteista on kerrottu lukuisissa Euroopan maissa: ainakin Ukrainassa, Venäjällä, Saksassa, Britanniassa, Tanskassa, Ranskassa, Hollannissa ja Espanjassa.

Viestintäviraston Sovannon mukaan kansainvälisesti haittaohjelma levisi M.E.Doc-ohjelmiston kautta varsin nopeasti, ja tartunta pääsi aika tehokkaasti koneisiin, joihin sen oli mahdollista päästä.

”Tällä perusteella uskoisin, että suurin osa tartunnoista on jo tapahtunut, mutta varmuudella ei pysty vielä sanomaan, että ohjelma ei enää leviäisi.”

Ukrainassa hyökkäys näyttää kohdistuneen miltei koko valtiokoneistoon ja yhteiskunnan kannalta olennaisille toimialoille kuten energianjakeluun ja pankkeihin.

Haittaohjelma on levinnyt noin 80 yhtiöön, joista valtaosa on Ukrainassa, kertoi venäläinen tietoturvayhtiö Group-IB blogissaanhttp://blog.group-ib.com/petya.

Britannian yleisradioyhtiö BBC:nhttp://www.bbc.com/news/technology-40416611 mukaan tanskalainen rahtialan jätti Maersk on joutunut kohteeksi, samoin useat espanjalaisyritykset.

Euroopan suurimmassa satamassa, Hollannin Rotterdamissa useat konttiterminaalit ovat niin ikään olleet iskun kohteina, kertoi uutistoimisto Reuters.

Britanniassa uhrina on ainakin mainosalan jättiyritys WPP.

Brittilehti Guardianinhttps://www.theguardian.com/world/2017/jun/27/petya-ransomware-attack-strikes-companies-across-europe käsiinsä saaman WPP:n sisäisen muistion mukaan yhtiön henkilökuntaa varoitettiin, että se on ”massiivisen globaalin haittaohjelmahyökkäyksen kohteena”. Työntekijöitä kehotettiin sulkemaan ja kytkemään irti kaikki laitteet, jotka käyttävät Windows-käyttöjärjestelmää.

Venäjällä puolestaan ainakin öljyjätti Rosneft ja teräsyhtiö Evraz ilmoittivat vakavista kyberhyökkäyksistä. Molemmat ovat toimialoillaan maailman suurimpia.

”Voimakas hakkerihyökkäys on kohdistettu yhtiön palvelimiin”, Rosneft kertoo.

Myös Intiassa on raportoitu kyberhyökkäyksestä.

Hyökkäyksessä käytetyn haittaohjelman arvioitu tiistaista lähtien olevan Petya-nimisen kiristysohjelman johdannainen. Haittaohjelman nimestä ja laadusta on kuitenkin esitetty myös muita näkemyksiä. Esimerkiksi tietoturvayhtiö Kasperskyn mukaan ohjelma toimii eri tavoin kuin Petya.

Useimpien asiantuntijoiden mukaan kyseessä on joka tapauksessa kiristyshaittaohjelma, joka muistuttaa Wannacry-nimistä haittaohjelmaa. Wannacry saastutti toukokuussa satojatuhansia tietokoneita ja aiheutti liki maailmanlaajuisen häiriötilanteen.

”Petya leviää samalla tavalla kuin Wannacry, käyttäen hyväkseen Windows-käyttöjärjestelmässä olevaa haavoittuvuutta”, kertoo tutkimusjohtaja Mikko Hyppönen http://www.hs.fi/haku/?search-term=mikko+hypponentietoturvayhtiö F-Securesta.

”Käyttäjän ei edes tarvitse tehdä mitään”, Hyppönen sanoo. ”Verkossa oleva haavoittuva kone saastuu ilman käyttäjän toimia.”

Lukituksen poistamisesta kiristysohjelma vaatii rahaa.

Haittaohjelman uhriksi joutunut ukrainalainen mediayhtiö Kanava 24 kertoi saaneensa 300 dollarin ”lunnasvaatimuksen” bitcoin-valuuttana.

”Kukaan ei saa tiedostojasi takaisin ilman meidän dekryptauspalveluamme”, ukrainalaiskanavalta vaadittiin. Dekryptaus tarkoittaa tiedostojen lukituksen purkamista.

Sama uhkavaatimus ilmestyi Maerskin tietokoneisiin Rotterdamissa, Reuters kertoo.

<img itemprop="url" src="http://hs.mediadelivery.io/img/978/9b9d76c1a21141aebee2d91082b75dc1.jpg" alt="Maersk-yhtiön internet-sivut olivat keskiviikkona poissa käytöstä."> <meta itemprop="width" content="978"> <meta itemprop="height" content="506.1579">
Maersk-yhtiön internet-sivut olivat keskiviikkona poissa käytöstä.

Keskiviikkoaamuna The Guardianhttps://www.theguardian.com/world/2017/jun/27/petya-ransomware-attack-strikes-companies-across-europe -lehti kertoi kuitenkin, etteivät käyttäjät enää pysty vapauttamaan koneitaan, vaikka he haluaisivatkin maksaa haittaohjelman vaatiman summan.

Lehtitietojen mukaan maksun maksaneille luvataan vahvistussähköposti, jonka osoite on jo kuitenkin suljettu saksalaisen ylläpitäjän toimesta.

”Emme hyväksy alustamme väärinkäyttöä. Väärinkäyttö johtaa sähköpostitilin välittömään lukitsemiseen”, sähköpostiosoitteen sulkenut saksalainen Posteo kertoi julkaisemassaan blogikirjoituksessa.

<img itemprop="url" src="http://hs.mediadelivery.io/img/978/5c9b9c8aaa964b6c9fcddce93d4d2ff2.jpg" alt="Ukrainan valtionpankin Oschadbankin maksuautomaatteja oli tiistaina epäkunnossa."> <meta itemprop="width" content="978"> <meta itemprop="height" content="671.35626">
Ukrainan valtionpankin Oschadbankin maksuautomaatteja oli tiistaina epäkunnossa. (KUVA: VALENTYN OGIRENKO / Reuters)

Tuntemattomien rikollisten uhreja ovat Ukrainassa olleet muun muassa Kiovan lentokenttä Boryspil, valtiollinen energiayhtiö Ukrenergo, useat liikepankit, maan suurin puhelinoperaattori sekä lentokonevalmistaja Antonov.

”Energianjakeluun tällä ei ole vaikutusta”, sanoi Ukrenergon tiedottaja Reutersin mukaan.

Myös Tšernobylin ydinturma-alueen säteilynmittausjärjestelmä on kokenut häiriöitä, kertoi AFP.

Tiistaina alkuillasta Kiovan lentokentän johtaja Jevhen Dyhnehttp://www.hs.fi/haku/?search-term=jevhen+dyhne tiedotti, että lentoliikenne saattaa häiriytyä palvelunestohyökkäyksen takia.

Ukrainan hallituksen tietojärjestelmä niin ikään kaatui. Varapääministeri Pavlo Rozenkohttp://www.hs.fi/haku/?search-term=pavlo+rozenko julkaisi Twitterissä kuvan virheilmoituksesta, joka ilmestyy näytöille.

Та-дам! Секретаріат КМУ по ходу теж "обвалили". Мережа лежить. pic.twitter.com/B74jMsT0qshttps://t.co/B74jMsT0qs

— Rozenko Pavlo (@RozenkoPavlo) June 27, 2017https://twitter.com/RozenkoPavlo/status/879677026256510976

Aiemmin tiistaina Ukrainan keskuspankki ilmoitti, että lukuisat liikepankit ja valtion- sekä yksityiset yritykset ovat joutuneet kyberhyökkäyksen kohteiksi. Keskuspankin mukaan häiriötilanteita aiheuttaa ”tuntematon virus”.

Ukrainan sisäministeriön lähde ilmoitti Reutersin mukaan, että meneillään oleva kyberhyökkäys on ”Ukrainan historian laajin”. Lähde epäili hyökkäyksen alkuperämaaksi Venäjää.

”Jo ensimmäinen analyysi osoittaa, että on mahdollista puhua venäläisistä sormenjäljistä”, sanoi Ukrainan kansallisen turvallisuusneuvoston johtoon kuuluva Oleksandr Turtšynov http://www.hs.fi/haku/?search-term=oleksandr+turtsynovReutersin mukaan.

Ukraina ja Venäjä ovat vihamielisissä väleissä Ukrainan sodan takia. Venäjä on siinä käytännössä osapuoli.

 

[ctg]

Mitä luulette, onko kyseessä Venäjän Ukrainaan kohdistama kyberhyökkäys oheisvahinkoineen, vai venäläisen rikollisorganisaation rahankiristysoperaatio? Itse luulen että molempia, eikä näitä kahta varmaan voi nykyisin täysin erottaa toisistaan.

Molempi. Presidentti kontrolloi mafiaa ja mafia kontrolloi sitten hakkereita. Jotkut kiristyksen kautta, toiset ostamalla ja loput pieksemällä.

 

[Maidan]

Ukraina ja Venäjä ovat vihamielisissä väleissä Ukrainan sodan takia. Venäjä on siinä käytännössä osapuoli.

Tähän pitää lisätä kuten mm Ranskan uusi presidentti Macron sanoi: Venäjä on agrresori, ei Ukraina.
"Pitää ymmärttää agression lähtevänä Venäjältä. Ukraina ei ole agressori. Me tuomitaan myös Krimin laitonta anneksiota. Me tiedämme kuka aloitti sodan" - sanoi Macron.

 

[ctg]

Olen ehkä sanonut myös täälläkin muutamaan kertaan mutta kertaus on opintojen äiti. M$ automatic update on hyökkäysväylä, koska sen voi myös toteuttaa man-in-the-middle periaattella kuten petyan tapauksessa on käynyt. Vuosien varrella protokolla oli laittaa automatic update service disabled muotoon jotta nämä hyökkäyset eivät saisi aikaan suoraa putkea koneeseen. Nyt hyökkääjä on käyttänyt tätä hyväkseen. En usko että kyseessä on valtiollinen, mutta ongelma kohdistuu valtiollisiin ja yhtiöllisiin toimijoihin joiden protokollat on hieman erillaisia, eivätkä he voi käyttää joka päivitystä testipalvelimen kautta.

Yksityisella kansalaisella on vaikeuksia ymmärtää hardening periaatteita, joten update palvelu pysyy automaattisella listalla. Suosittelen kuitenkin kaikille softa palomuuria koneeseen minimissään.

Tässä kasperkyltä analyysiä.

“To our knowledge no specific exploits were used in order to infect victims. Instead, visitors were served with a malicious file that was disguised as a Windows update,” Kaspersky Lab said in a statement. “We are investigating other leads in terms of distribution and initial attack vector.”

The ransomware, which shares similarities to the destructive Petya strain that surfaced in 2016, is also being spread using the leaked NSA EternalBlue and EternalRomance exploits, infecting machines that still have not applied the MS17-010 Microsoft update that patches a handful of SMBv1 vulnerabilities targeted by the exploit. Unlike WannaCry, which had worming capabilities that allowed it to spread rapidly across the internet, this attack spreads itself only locally using a pair of Windows utilities, PSEXEC and WMIC, to do so, allowing it to infect machines patched against the vulnerabilities exploited by EternalBlue.

https://threatpost.com/new-petya-distribution-vectors-bubbling-to-surface/126577/

Like Petya, this attack overwrites the Master File Table and Master Boot Record on computers it infects. One organization reports that one unpatched machine was the culprit at its location, adding that it lost PCs due to a corrupted MBR, while other machines were showing the ransom note.

Researcher Matt Suiche of Comae Technologies said the malware is more wiper than ransomware, akin to Shamoon, the wiper malware behind the attacks on Saudi Arabia’s Aramco oil company. Suiche said this malware destroys the first 25 sector blocks of a hard disk, and the MBR section of the disk is purposely overwritten with a new bootloader.

“The ransomware was a lure for the media, this version of Petya actually wipes the first sectors of the disk like we have seen with malwares such as Shamoon,” Suiche wrote in an analysis published today. “The goal of a wiper is to destroy and damage. The goal of a ransomware is to make money. Different intent. Different motive. Different narrative.”

 

[Maidan]

Olen ehkä sanonut myös täälläkin muutamaan kertaan mutta kertaus on opintojen äiti. M$ automatic update on hyökkäysväylä, koska sen voi myös toteuttaa man-in-the-middle periaattella kuten petyan tapauksessa on käynyt. Vuosien varrella protokolla oli laittaa automatic update service disabled muotoon jotta nämä hyökkäyset eivät saisi aikaan suoraa putkea koneeseen. Nyt hyökkääjä on käyttänyt tätä hyväkseen. En usko että kyseessä on valtiollinen, mutta ongelma kohdistuu valtiollisiin ja yhtiöllisiin toimijoihin joiden protokollat on hieman erillaisia, eivätkä he voi käyttää joka päivitystä testipalvelimen kautta.

Yksityisella kansalaisella on vaikeuksia ymmärtää hardening periaatteita, joten update palvelu pysyy automaattisella listalla. Suosittelen kuitenkin kaikille softa palomuuria koneeseen minimissään.

Tässä kasperkyltä analyysiä.

https://threatpost.com/new-petya-distribution-vectors-bubbling-to-surface/126577/

________________________

"Näyttää siltä, USA:ssa vihdoinki vakavasti kiinnittäneet huomiota "Laboratorio Kashperskogo". Tämä "Laboratorio.." on FSB:n lavka, ja nk Kaspersky anti-virus on itse asiassa virus. Sen avulla Kaspeskyn kopla on voinut tartuttaa yli 400 miljoona käyttäjä maailmassa, luomalla jättikokoisen bonetin, jota FSB käyttää hyökkäyksiin. Tämän anti-viruksen avulla FSB varastaa informaatiota käyttäjiltä ja myös suorittaa muiden maiden kyberhyökkäyksiä teollisuus ja sosiaali kohteisiin".
Kasperskyn perustaja Evgenyi Kasperskyi kävi KGB:n korkeakouulua.



________________________
FBI kuulustellut Kasperskyn työnteköjoita. Kasperskyn päätoimisto on Moskovassa. Siihen ei voi luottaa.


Bill Would Bar Pentagon From Business With Russian Cyber Firm Kaspersky
http://www.nbcnews.com/news/us-news/fbi-interviews-employees-russia-linked-cyber-security-firm-kaspersky-lab-n77757

 

[Lunni]

WannaCryn uusin inkarnaatio Petya aiheuttaa massiivista vahinkoa maailmalla.

Se on nykyisin "NotPetya". Muitakin nimiä löytyy.

Tuohan siis ei ollut "kiristysohjelma", vaan pelkkä "wiperi" jonka tarkoitus oli tuhota mahdollisimman paljon tiedostoja. Kiristys oli ilmeisesti vain tehokeino mediaa varten.

Tekijöillä ei ole edes mahdollista avata salattuja tiedostoja, koska sitä avainta ei ole. Se "avain" siinä näytössä on täysin satunnaisesti luotu. Myöskään sähköpostiosoitetta ei ole enää olemassa. Toivottavasti oli varmuuskopiot, sillä mitään ei pystytä palauttamaan.

 

[ctg]

+

 

[ctg]

Hyvä

A quiet revolution has been rumbling in Leeds. It may not seem revolutionary: a gathering of software developers is scarcely going to get people taking to the barricades in these uncertain times, but the results of this particular meetup could shape access to NHS PCs in the coming years.

The gathering in question was a hack week that ran until June 30 is to find a way to deploy NHSbuntu, a version of Ubuntu built for the NHS, on 750,000 smartcards used to verify clinicians accessing 80 per cent of applications – excluding those for clinical use – on millions of NHS PCs.

If successful, NHSbuntu would replace the current system using Windows. Ultimately, the aim is to replace Windows on the desktop, too. Smartcard recognition has been the huge barrier.

One of the brains behind the project, Rob Dyke - partner at Neova, an open-source health specialist - told me of the Leeds gathering: “We think we’ll get it working this week and another week to weaponise it.”

Dyke explained the thinking behind NHSbuntu. “One of the key drivers was the immense amount we spend on desktop licensing – it’s at least £100m every year, according to figures from Digital Health Intelligence. That’s being spent on Windows XP - although that’s as widely used as you’d expect – and Windows 7. But there are moves to change that in the NHS: they want paperless systems and no Windows 7 by the end of 2020. If we can begin to show our work, then they’ve got a real choice.”

http://www.theregister.co.uk/2017/06/30/nhsbuntu_nhs_revolution/

 

[jan86]

Pyrin käyttämään MBR sijasta GPT:tä joka on uudempaa tekniikkaa ja sisältää mm varakopion levyn loppupäässä. Mutta joskus windows pakottaa käyttämään mbr:ää. En ole selvittänyt syytä.

 

[ctg]

Valtiollinen? Ajoitus oli ehkä tarkoituksella laitettu presidentin puheen päälle.

A huge power outage hit Central America on Saturday, causing blackouts from Panama to Costa Rica to Nicaragua, as authorities across the region scrambled to restore electrical service.

Officials at the Costa Rican Institute for Electricity said power was disrupted throughout the entire country.

"ICE is trying to diagnose the problem," said Communications Minister Mauricio Herrera, referring to the office by its Spanish acronym. He said that workers succeeded in restoring power to some areas of Costa Rica.

ICE said that the origins of the blackout were outside of the country and urged the public to remain indoors while they try to fix the problem.

In Panama, the ETESA government power authority said via Twitter that the nation had experienced just a "partial blackout" and that workers were trying to restore power to the affected areas.

The blackout in Panama occurred about 15 minutes into a major speech delivered by President Juan Carlos Varela to the country's legislature.

http://www.france24.com/en/20170702-massive-power-outage-hits-central-america

 

[ctg]

Organisers have drawn up their conclusions following a pan-European cyberwar exercise.

Cyber Europe 2016, the fourth cyber crisis exercise organised by the European Union Agency for Network and Information Security (ENISA), is one of the biggest international stress-test exercises to date.

Over 1,000 participants from all 28 EU member states, along with Switzerland and Norway, joined a simulated crisis lasting more than six months, culminating in a 48-hour event on 13 and 14 October 2016. The scenario featured a ransomware attack that in some ways foreshadowed the WannaCrypt and NotPetya attacks that have shaken the infosec world over recent weeks.

Cyber Europe 2016 offered opportunities for participants to increase their technical and operational expertise as well as testing their ability to handle crisis communication. National and governmental Computer Security Incident Response Teams, cybersecurity agencies, EU institutions and agencies, internet and cloud service providers, cybersecurity software and service providers, banks, energy companies and other critical infrastructure operators were all involved.

The exercise featured a dark scenario, inspired by events such as the blackout in Ukraine in Christmas 2015 or the dependence on technologies manufactured outside the jurisdiction of the EU. It also featured IoT, drones, cloud computing, innovative exfiltration vectors, mobile malware and ransomware. Previous exercises have been criticised for a focus on DDoS attacks, something the organisers appear to have addressed this time around. The exercise environment featured dozens of simulated news outlets, TV channels, search engines and social media platforms.

https://www.theregister.co.uk/2017/07/03/cyber_europe_2016/

Organisational and individual cybersecurity preparedness and capabilities in the EU were excellent overall. Technical expertise, business continuity and crisis communications procedures were of a high standard. Nevertheless, the vision required to link technical – and operational-level response activities to strategic crisis management mechanisms was sometimes lacking, which proved detrimental to fostering crisis exit strategies supporting decision-making.

 

[ctg]

Ukraina kamppailee estääkseen uuden verkkohyökkäyksen viimeviikkoisen laajamittaisen tietokonevirusongelman jäljiltä.

Ukrainan sisäministeri Arsen Avakov sanoo, että poliisi on estänyt toisen kyberhyökkäysaallon palvelimilta, joilla virusta levittänyttä ohjelmistoa esiintyy.

Tämän toisen hyökkäysaallon oli määrä huipentua kello 16:n maissa tiistaina 4. heinäkuuta.

NotPetya-viruksen levittämisessä käytettiin alustana Ukrainan suosituinta kirjanpito-ohjelmaa. M.E.Doc-ohjelmaa käyttää 80 prosenttia Ukrainan yhtiöistä ja se on asennettuna noin miljoonaan tietokoneeseen maassa. Virus levisi ilmeisesti ohjelmiston päivityksen mukana.

Ukrainan viranomaisten mukaan on vielä epäselvää, kuinka monet tietokoneet ovat yhä viruksen saastuttamia.

Virus iski viime viikolla voimakkaasti Ukrainaan ja levisi maailmanlaajuisesti, haitaten muun muassa suuren kuljetus- ja logistiikkayhtiön Maerskin toimintaa.

https://yle.fi/uutiset/3-9707875

 

[ctg]

Siitä paikallisesta yhteydestä puheenollen.

Based on the analysis that is detailed below, the following key findings are presented:

• On 7/5/2016 at approximately 6:45 PM Eastern time, someone copied the data that eventually appears on the “NGP VAN” 7zip file (the subject of this analysis). This 7zip file was published by a persona named Guccifer 2, two months later on September 13, 2016.
• Due to the estimated speed of transfer (23 MB/s) calculated in this study, it is unlikely that this initial data transfer could have been done remotely over the Internet.
• The initial copying activity was likely done from a computer system that had direct access to the data. By “direct access” we mean that the individual who was collecting the data either had physical access to the computer where the data was stored, or the data was copied over a local high speed network (LAN).
• They may have copied a much larger collection of data than the data present in the NGP VAN 7zip. This larger collection of data may have been as large as 19 GB. In that scenario the NGP VAN 7zip file represents only 1/10th of the total amount of material taken.
• This initial copying activity was done on a system where Eastern Daylight Time (EDT) settings were in force. Most likely, the computer used to initially copy the data was located somewhere on the East Coast.
• The data was likely initially copied to a computer running Linux, because the file last modified times all reflect the apparent time of the copy and this is a characteristic of the the Linux ‘cp’ command (using default options).
• A Linux OS may have been booted from a USB flash drive and the data may have been copied back to the same flash drive, which will likely have been formatted with the Linux (ext4) file system.
• On September 1, 2016, two months after copying the initial large collection of (alleged) DNC related content (the so-called NGP/VAN data), a subset was transferred to working directories on a system running Windows. The .rar files included in the final 7zip file were built from those working directories.
• The computer system where the working directories were built had Eastern Daylight Time (EDT) settings in force. Most likely, this system was located somewhere on the East Coast.
• The .rar files and plain files that eventually end up in the “NGP VAN” 7zip file disclosed by Guccifer 2.0 on 9/13/2016 were likely first copied to a USB flash drive, which served as the source data for the final 7zip file. There is no information to determine when or where the final 7zip file was built.

https://theforensicator.wordpress.com/guccifer-2-ngp-van-metadata-analysis/

 

[Fencer]

Hämmästyttävän suoraa puhetta.

"Puolustusvoimain tiedustelupäällikkö: Suomeen olisi helppo tehdä kyberhyökkäys
Keskiviikko 12.7.2017 klo 09.08
http://www.iltalehti.fi/digi/201707122200259765_du.shtml

Ensimmäisen maailmansodan alussa lentokoneita pidettiin leikkikaluina, vaikka sodan lopussa ne olivat merkittävässä asemassa. Kyberaseiden kohdalla tilanne on nyt hyvin samantyyppinen.

Viisas kyberhyökkääjä ei pelkästään peitä jälkiään vaan johtaa jäljen esimerkiksi vieraaseen maahan, Puolustusvoimain pääesikunnan apulaistiedustelupäällikkö eversti Martti J. Kari kertoo. Aalto-yliopiston kyberturvallisuuden professori Jarno Limnéll kirjoitti tiistaina, että jos kriittiseen infrastruktuuriin kohdistuu laajamittainen kyberhyökkäys, siihen pitäisi olla mahdollista vastata jopa fyysisellä voimalla. Tällä hetkellä Venäjän kybersodankäynnin suorituskyvystä väitöskirjaa tekevän Karin mukaan kysymys kyberhyökkäyksiin vastaamisesta on vaikea.

- Esimerkiksi Natohan on jo päättänyt, että periaatteessa Naton viidettä artiklaa voidaan soveltaa myös, jos joku käyttää kybervoimaa, Kari kertoo.
Ongelmana vain on se, että usein ei oikeasti tiedetä kuka hyökkää. Vaikka tiedettäisiinkin, niin Karin mukaan on hämärän peitossa, mitkä ovat kansainvälisten sopimusten mukaiset perusteet voimankäytölle kyberhyökkäyksessä.

Puolustusvaliokunnan puheenjohtaja Ilkka Kanerva (kok.) ei pidä sotilaallisen voiman käyttöä kovin realistisena ajatuksena.
- Fyysisen voiman kohdistaminen voi olla hankalaa, jos kyberhyökkääjä on maantieteellisesti kaukana Suomesta. Siinä joutuisi muuttamaan paljon puolustusvoimien luonnetta.

"Ei ole yhtä tahoa, joka suojaa"

Karin mukaan Puolustusvoimat suojaa vain omat verkkonsa. Lisäksi Suomen Kyberturvallisuuskeskuksen alla on järjestelmä, jolla suojataan huoltovarmuuskriittisiä kohteita, esimerkiksi huoltovarmuuskriittisiä suuria yrityksiä, jotka ovat mukana järjestelmässä.
- Ei ole yhtä tahoa, joka suojaa. Kyberympäristö on hahmottumatta ja Suomeen on helppo hyökätä, koska me emme tiedä, mitä meidän verkoissamme tapahtuu.

Kari on vahvasti tiedustelulainsäädännön kannalla, joka antaisi sotilastiedustelulle mahdollisuuden tietoverkkotiedusteluun.
- Tällä hetkellä olemme osittain kuuroja ja sokeita tällä alalla. Torjuntaa ei koskaan saada sataprosenttiseksi, mutta vielä ei pystytä paljoonkaan.

Uusi laajemmat valtuudet viranomaisille antava tiedustelulainsäädäntö vaatisi perustuslain muuttamista, ja se on herättänyt huolta muun muassa kansalaisten oikeusturvan ja yksityisyyden suojan toteutumisesta.

EU:sta resurssiapua

Kanervan mukaan Suomen pitäisi parantaa kyberturvallisuuttaan ja uhkiin varautumista. Myös kyberasioihin perehtynyt puolustusvaliokunnan varapuheenjohtaja Mika Kari (sd.) kantaa huolta varautumisen tasosta.
- Kannan kyllä huolta siitä, että herääkö yhteiskunta tähän yhtä hitaasti kuin ensimmäisen maailmansodan aikana lentokoneisiin, joita vielä sodan alkuvaiheessa kutsuttiin leikkikaluiksi.

Hänen mukaansa tänä päivänä ei tarvita enää suurta mielikuvitusta siihen, kuinka sekaisin yhteiskunta voidaan saada, kun yhteiskunnan järjestelmiä voidaan ajaa alas anonyymisti.
- Jos Krimin vihreitä miehiä oli vaikeaa tunnistaa, verkossa se on erittäin vaikeaa. Ykkösellä ja nollalla ei ole asetakkia päällä, Mika Kari sanoo.

Hänen mukaansa verrattain pienen Suomen olisikin tehtävä kyberturvallisuudessa yhä enemmän yhteistyötä EU:n kanssa, että haasteisiin voidaan vastata.
- Yhteistyöhön kuuluu pelisääntöjen luominen, tietojenvaihto, yhteiset rahastot, osaamisen ja kokemuksen vaihto, ennen kaikkia uusien innovaatioiden kehittäminen.

Karin mukaan EU on iso turvallisuuden lisäarvon tuottaja myös tässä asiassa."

 

[ctg]

Internal company emails obtained by Bloomberg Businessweek show that Kaspersky Lab has maintained a much closer working relationship with Russia's main intelligence agency, the FSB, than it has publicly admitted. It has developed security technology at the spy agency's behest and worked on joint projects the CEO knew would be embarrassing if made public. The previously unreported emails, from October 2009, are from a thread between Eugene Kaspersky and senior staff. In Russian, Kaspersky outlines a project undertaken in secret a year earlier "per a big request on the Lubyanka side," a reference to the FSB offices. Kaspersky Lab confirmed the emails are authentic.

The software that the CEO was referring to had the stated purpose of protecting clients, including the Russian government, from distributed denial-of-service (DDoS) attacks, but its scope went further. Kaspersky Lab would also cooperate with internet hosting companies to locate bad actors and block their attacks, while assisting with "active countermeasures," a capability so sensitive that Kaspersky advised his staff to keep it secret. In this case, Kaspersky may have been referring to something even more rare in the security world. A person familiar with the company's anti-DDoS system says it's made up of two parts. The first consists of traditional defensive techniques, including rerouting malicious traffic to servers that can harmlessly absorb it. The second part is more unusual: Kaspersky provides the FSB with real-time intelligence on the hackers' location and sends experts to accompany the FSB and Russian police when they conduct raids. That's what Kaspersky was referring to in the emails, says the person familiar with the system. They weren't just hacking the hackers; they were banging down the doors.

https://www.bloomberg.com/news/arti...ab-has-been-working-with-russian-intelligence

Kaspersky Lab has issued a statement in response to Bloomberg's report. It reads in part: "Regardless of how the facts are misconstrued to fit in with a hypothetical, false theory, Kaspersky Lab, and its executives, do not have inappropriate ties with any government. The company does regularly work with governments and law enforcement agencies around the world with the sole purpose of fighting cybercrime. I
n the internal communications referenced within the recent article, the facts are once again either being misinterpreted or manipulated to fit the agenda of certain individuals desperately wanting there to be inappropriate ties between the company, its CEO and the Russian government, but no matter what communication they claim to have, the facts clearly remain there is no evidence because no such inappropriate ties exist."

 

[ctg]

British signals intelligence agency Government Communications Headquarters (GCHQ) can crack end-to-end encrypted messages sent using WhatsApp and Signal, according to Australian attorney-general George Brandis.

Brandis made the claim speaking to the Australian Broadcasting Corporation's AM program, on the occasion of Australia announcing it would adopt laws mirroring the UK's Investigatory Powers Act. Brandis said the proposed law will place “an obligation on device manufacturers and service providers to provide appropriate assistance to intelligence and law enforcement on a warranted basis where it is necessary to interdict or in the case of a crime that may have been committed.”

Asked how Australia's proposed regime would allow local authorities to read messages sent with either WhatsApp or Signal, Brandis said “Last Wednesday I met with the chief cryptographer at GCHQ ... And he assured me that this was feasible.”

http://www.theregister.co.uk/2017/0...crack_endtoend_encryption_says_australian_ag/