CERT-FI tietoturvakatsaus 2/2012
Johdanto Verkkosivujen käyttäjä voi saada haittaohjelmatartunnan aivan huomaamatta myös "tuttujen ja turvallisten" sivujen kautta. Tällöin sivulle on lisätty haitallista sisältöä sivuston ylläpitäjän sitä huomaamatta. Tämän vuoden aikana on yleistynyt ilmiö, jossa haittaohjelmia sisältäville sivuille ohjataan luotettavilta tuntuvien sivujen mainosten avulla. Haittaohjelmien levittäjät ovat murtautuneet ja tehneet muutoksia mainosjakeluja hallitseville palvelimille. Suomalaisten verkkopankkien käyttäjiä kiusaavat edelleen varsinkin Zeushaittaohjelmaperheeseen kuuluvat haittaohjelmat. Suomalaispankit eivät ole pääasiallisia kohteita, vaan haittaohjelmat tunnistavat suuren joukon verkkopankkipalveluja eri puolilta maailmaa. Syksyn aikana on nähty poikkeuksellisen paljon palvelunestohyökkäyksiä sekä Euroopassa että Yhdysvalloissa. Suomessa hyökkäykset ovat olleet melko harvinaisia ja vaikutuksiltaan vähäisiä. Sanoman palveluihin kohdistunut hyökkäys sai meillä eniten huomiota. Lähialueilla palvelunestohyökkäyksistä ovat kärsineet varsinkin ruotsalaiset ja virolaiset valtionhallinnon sivustot. Hyökkäykset on tehty lähes aina Anonymous-ryhmittymän nimissä. Viestintävirasto on saanut tänä vuonna 20 sähköisen viestinnän tietosuojalain perusteella tehtyä ilmoitusta teleyritysten järjestelmiin kohdistuneista tietoturvaloukkauksista. Varmenteisiin kohdistuneita murtotekniikoita on kehitetty edelleen. Uusin, CRIMEtekniikka perustuu SSL/TLS-protokollien pakkausmenetelmän heikkouksien hyödyntämiseen. Avainpituus on olennainen osa varmenteiden turvallisuutta. Microsoft poisti ohjelmistoistaan tuen sellaisilta varmenteilta, joiden avainpituus on alle 1024 bittiä. Tietoturvakatsaus 2/2012 2
Haittaohjelmaan voi törmätä tutullakin verkkosivulla Verkkosivujen käyttäjä voi saada haittaohjelmatartunnan myös "tuttujen ja turvallisten" sivujen kautta. Tällöin sivulle on lisätty haitallista sisältöä sivuston ylläpitäjän sitä huomaamatta. Drive-by-download Aina pelkkä käyttäjän valppaus ei riitä haittaohjelmien väistämiseen, sillä tartunnan voi saada myös pelkästään avaamalla haitallista sisältöä tarjoavan verkkosivun selaimella. Tällaista haittaohjelmien levittämistä kutsutaan nimellä "drive-by download". Usein on kyse sivustosta, jolle haittaohjelmien levittäjä on luvatta lisännyt haittaohjelman lataamiseen johtavaa sisältöä. "Drive-by"-lataukseen valjastetut www-sivut ovat yleensä tavalla tai toisella murrettuja www-palvelimia. Sivujen sisällön sekaan on ujutettu esim. iframe-viittaus tai javascript-koodia, joka saa sivuilla vierailevan käyttäjän selaimen ohjautumaan uudelle sivulle noutamaan sisältöä. Selain voi uudelleenohjautua useankin eri murretun palvelimen kautta, kunnes se lopuksi päätyy sellaiselle www-sivulle, jonka tarkoituksena on yrittää tartuttaa tietokoneeseen haittaohjelma. Tartuttajana exploit kit Haittaohjelmien tartuttamiseen erikoistuneet www-sivut kulkevat nimellä "exploit kit". Näitä sivuja ylläpidetään ja kehitetään jatkuvasti ja onkin yleistä, että uudet ja tehokkaaksi osoittautuneet haavoittuvuudet tulevat viipymättä käyttöön. Tartuttaminen toimii yleensä siten, että selaimelle tarjotaan sivulta useita eri haavoittuvuuksia hyödyntävää sisältöä. Jos yhteyttä ottaneesta tietokoneesta löytyy jokin näistä haavoittuvuuksista, tietokoneeseen ladataan haittaohjelma, joka suoritetaan saman tien. Tämä kaikki tapahtuu yleensä taustalla, käyttäjän huomaamatta. Blackhole on yksi yleisesti käytetty "exploit kit". Blackholen uusin versio yrittää käyttää hyväksi kolmea eri haavoittuvuutta. Vanhin niistä on Microsoftin käyttöjärjestelmistä löytynyt MDAC-haavoittuvuus vuodelta 2006 (CERT-FI:n haavoittuvuustiedote 021/2006). Toinen haavoittuvuus on Adobe Reader ja Acrobat - sovellusten tavassa käsitellä PDF-tiedostoissa olevia kuvia (CERT-FI:n haavoittuvuustiedote 032/2010). Näinkin vanhojen haavoittuvuuksien käyttäminen kielii siitä, että paljon päivittämättömiä ja siten myös haavoittuvia koneita on edelleen käytössä. Kolmas ja uusin haavoittuvuus on vastikään julkisuuteen tullut Oracle Javan ajoympäristössä oleva haavoittuvuus (CERT-FI:n haavoittuvuustiedote 135/2012). Tämä haavoittuvuus tuli Blackholen käyttöön vain muutamia päiviä sen hyväksikäyttömenetelmän tultua julki. Mainospalvelimet tarkkailuun CERT-FI haluaa muistuttaa eteenkin keskustelupalstojen ja www-sivujen ylläpitäjiä julkaisu- ja muiden taustajärjestelmien päivitysten tärkeydestä. Tämän vuoden aikana etenkin mainoksia www-sivuilla näyttävät OpenX-palvelimet ovat olleet murtajien Tietoturvakatsaus 2/2012 3
suosiossa. SQL-injektiohaavoittuvuuden kautta usealle vanhaa ohjelmistoversiota käyttävälle OpenX-palvelimelle on onnistuneesti ujutettu haitallista sisältöä. Kerran saastunut mainospalvelin tarjoaa tämän jälkeen kaikille www-sivuilla vieraileville mainoksia, jotka saavat selaimen uudelleenohjautumaan haittaohjelmia tarjoaville sivuille. Haittaohjelmat yhä verkkopankkien kiusana Suomalaisten verkkopankkien käyttäjiä kiusaavat edelleen haittaohjelmat. Haittaohjelmien tutkinnassa on käynyt ilmi, että haittaohjelmien ja niiden osien levittämiseen on käytetty hyväksi murrettuja verkkosivustoja. Citadel, Ice-Ix ja muut ZeuS-yhteensopivat, tietoja varastavat haittaohjelmat vaikuttavat edelleen olevan yleisimpiä. Haittaohjelmia ei levitetä pelkästään suomalaisia verkkopankkikäyttäjiä varten, vaan niiden asetustiedostoista löytyy käytännössä aina myös useita ulkomaisia verkkopankkeja. Virustorjuntaohjelmistot eivät yleisesti tunnista uusimpia haittaohjelmien versioita, koska ne pyrkivät kiertämään niiden tunnistamismekanismeja. Haittaohjelmaa hieman muokkaamalla sen jättämä "sormenjälki" muuttuu, minkä jälkeen sitä ei enää tunnisteta samaksi haittaohjelmaksi. Tämän vuoksi voi kestää useita päiviä ennen kuin virustorjuntaohjelmistot tunnistavat uuden version. Kiristyshaittaohjelmia yhä liikkeellä Haittaohjelmat, jotka lukitsevat tietokoneen ja vaativat käyttäjältä maksua lukituksen purkamisesta, ovat edelleen yleisiä. Niistä on ilmestynyt myös uusia versioita. Uudempien versioiden poistaminen tietokoneesta on vanhoja versioita vaikeampaa. Ohjelmat esiintyvät yleisesti esimerkiksi poliisin, FBI:n tai Interpolin nimissä ja voivat väittää käyttäjän syyllistyneen laittomuuksiin. Maksua ei tule suorittaa eikä siitä ole apua koneen lukituksen purkamisessa. Palvelunestohyökkäyksiä eri puolilla maailmaa Syksyn aikana on nähty poikkeuksellisen paljon palvelunestohyökkäyksiä sekä Euroopassa että Yhdysvalloissa. Suomessa hyökkäykset ovat olleet melko harvinaisia ja vaikutuksiltaan vähäisiä. Yleisesti ottaen näyttää siltä, että voimakkaimpien hyökkäysten liikennemäärät ovat kasvamaan päin, mikä viittaisi siihen, että hyökkääjillä on käytettävissään laajoja kaapattujen koneiden verkostoja tai nopeiden verkkoyhteyksien takana olevia palvelimia. Liikennemäärien kasvuun vaikuttaa myös yleinen verkkoyhteyksien nopeutuminen. Tietoturvakatsaus 2/2012 4
Sanoman palveluihin hyökättiin, viranomaisten palveluissa vikaa Sanoma Oyj:n palvelut joutuivat palvelunestohyökkäyksen kohteeksi 11.9.2012. Hyökkäys kesti noin tunnin, ja sen aikana useat Sanoma Oy:n verkkosivustot, kuten hs.fi ja iltasanomat.fi, eivät olleet saavutettavissa. Median kiinnostus hyökkäystä kohtaan oli hyvin suurta, ja spekulaatioita hyökkäyksen laadusta ja tekijöistä esitettiin monesta suunnasta. Sanoman palomuureja toimittanut Stonesoft esitti hyökkäyksen tulleen Ukrainasta, ja kertoi myös, että valtionhallinnon tietojärjestelmistä vastaava Haltik olisi samanlaisen hyökkäyksen kohteena. Poliisin ja rajavartiolaitoksen verkkopalveluihin vaikuttanut vika ei kuitenkaan liittynyt Sanoma Oyj:n palveluihin kohdistuneeseen hyökkäykseen millään laillla. Haltikin verkossa esiintyi vikoja useiden päivien ajan. Google, Akamai ja yhdysvaltalaiset rahoituslaitokset hyökkäysten kohteina Googlen DNS-palvelimet olivat palvelunestohyökkäyksen kohteena 14.9 ja 16.9. Akamain DNS-palvelimia vastaan hyökättiin 19.9. Yhdysvaltalaiset rahoituslaitokset, kuten Bank of America, New York Stock Exchange ja JP Morgan olivat hyökkäysten kohteena 18.9. Ruotsissa mielenilmaisuja Julian Assangen ja Pirate Bayn puolesta Ruotsi sai kokea lokakuun alussa useita päiviä kestäneen, www-palvelimiin kohdistuneiden palvelunestohyökkäysten aallon. Hyökkäysten tekijäksi on ilmoittautunut Anonymous-ryhmittymä. Hyökkäysten syyksi on Youtube-videoissa, Twitterissä ja Facebookissa julkaistuissa tiedotteissa mainittu Julian Assangen oikeusjuttu ja Pirate Bay -tiedostonjakosivuston perustajien aikaisemmin omistaman PRQ-operaattorin palvelinten takavarikoiminen. Ruotsin piraattipuolueen edustajat ovat julkisuudessa kritisoineet hyökkäyksiä ja valitelleet niiden olevan puolueen ajamien sananvapausihanteiden vastaisia. Virossa protesteja yhteiskunnallisia oloja vastaan Myös Virossa on nähty palvelunestohyökkäyksiä varsinkin valtiollisia sivustoja vastaan. Lokakuun alkupuolella Anonymous-ryhmittymän nimissä lähetetyssä Youtube-videossa Viron valtiota syytettiin kansalaistensa laiminlyönnistä. Myöhemmin Facebookissa esitettiin kutsu osallistumaan hyökkäyksiin perjantaina 12.10. Hyökkäysten vaikutukset jäivät vähäisiksi ja lyhytaikaisiksi. Kreikkalaisille julistettiin solidaarisuutta Anonymous-ryhmittymän julkaisemassa videossa julistettiin solidaarisuutta Kreikan kansalle ja kehotettiin hyökkäyksiin useita Kreikan valtion verkkosivustoja vastaan. Uutistietojen mukaan pääsy joillekin sivuille olikin estynyt 8.-9. lokakuuta. Saksan liittokansleri Angela Merkel vieraili samaan aikaan Ateenassa. Tietoturvakatsaus 2/2012 5
CRIME ja BEAST Tietoturvakatsauksissa 3/2011 ja 1/2012 mainitun BEAST-menetelmän kehittäjät ovat jatkaneet SSL/TLS-protokollien tutkimista ja julkaisseet uuden CRIMEhyökkäysmenetelmän (Compression Ratio Info-leak Made Easy) SSL/TLS-protokollia vastaan. CRIME-hyökkäyksen tarkoituksena on varastaa käyttäjän yhteyteen liittyvä salattu yksilöintitieto, jonka avulla hyökkääjä pystyy esiintymään verkkopalvelussa kyseisenä käyttäjänä. Kuten BEAST-menetelmä, CRIME edellyttää, että hyökkääjä pystyy kuuntelemaan kohteen verkkoliikennettä ja muokkaamaan sitä. MiTM- eli välimieshyökkäyksen suorittamiseksi hyökkääjällä tulee siis olla pääsy siihen lähiverkkoon tai langattomaan verkkoon, johon hyökkäyksen kohteena oleva kone on liitetty. Hyökkäyksen onnistuminen vaatii lisäksi, että hyökkääjä saa lähetettyä pyyntöjä käyttäjän selaimesta, esimerkiksi huijaamalla käyttäjä sivulle jossa on haitallista JavaScript-, Flash-, Silverlight- tai Java-koodia. CRIME-hyökkäys perustuu sisällön pakkauksen sivuvaikutuksena vuotavaan tietoon salattujen https-pyyntöjen sisällöstä. Hyökkääjä voi lisätä sivun sisältöön arvauksen yhteyden yksilöivästä tiedosta. Mikäli arvaus menee oikein, salatun paketin koko ei kasva, koska pakkausalgoritmi onnistuu pakkaamaan kaksi kertaa esiintyvän saman tiedon tehokkaasti. Väärin arvatessa verkkopaketin koko taas kasvaa. Arvaamista jatkamalla yhteyskohtaisen tiedon voi saada selvitettyä muutamissa minuuteissa. Vain vanhat versiot Firefox- ja Crome-selaimista ovat alttiita CRIME-hyökkäykselle. Muissa selaimissa ei ole toteutettu SSL/TLS-protokollan sisällön pakkausta. Muutoinkin hyökkäys on melko vaikeaa toteuttaa käytännössä, koska sen onnistuminen vaatii ennakkovalmistelua, tietynlaisen verkkoympäristön ja käyttäjän onnistuneen erehdyttämisen. Microsoft kiristi varmennevaatimuksia Microsofti poisti lokakuussa ohjelmistoistaan tuen sellaisilta varmenteilta, joissa on käytetty alle 1024-bittisiä salausavaimia. Lyhyiden avainparien salainen avain on nykylaitteilla murrettavissa, jolloin hyökkääjä voi tehdä väärennetyn varmenteen tai käyttää salaista avainta esimerkiksi salakirjoitettujen sähköpostiviestin avaamiseen. Myös ohjelmistovarmenteiden väärentäminen on mahdollista. Ohjelmistopäivitys estää heikkojen varmenteiden käytön koko varmenneketjussa ja kaikissa varmenteiden käyttötarkoituksissa. Väärennettyjen varmenteiden avulla hyökkääjä voi tehdä ns. man-in-the-middle- eli välimieshyökkäyksen (MiTM) ja kaapata käyttäjän ja palvelun välisen yhteyden. Toinen tapa käyttää väärennettyjä varmenteita hyväksi on luoda huijaussivu, jota sitten käytetään esimerkiksi käyttäjätunnusten ja salasanojen varastamiseen. Jos henkilövarmenteita käytetään organisaatiossa käyttäjän todentamiseen, voi hyökkääjä päästä väärennetyn varmenteen avulla organisaation järjestelmiin ja tietoaineistoihin. Tietoturvakatsaus 2/2012 6
Haavoittuvuuskoordinointiprojekti päätökseen Kesän aikana päättyi yksi CERT-FI;n haavoittuvuuskoordinaatioprojekti, kun ISC (Internet Systems Consortium) julkaisi päivityksen DHCP-toteutukseensa. DHCP (Dynamic Host Configuration Protocol) -protokollaa käytetään verkkomääritystietojen, kuten IP-osoitteen, välittämiseen asiakkaalle. ISC DHCP -ohjelmisto on laajasti käytetty referenssitoteutus DHCP-protokollasta. Haavoittuvuudet koskivat sekä IPv4- että IPv6-versioita protokollasta, ja ne voivat potentiaalisesti johtaa hyökkääjän oman ohjelmakoodin suoritukseen. Teleyritysten tietoturvailmoitukset Teleyrityksillä on sähköisen viestinnän tietosuojalain 21 perusteella velvollisuus ilmoittaa viestintävirastolle merkittävistä viestintäverkkoihin ja -palveluihin kohdistuneista tietoturvaloukkauksista. Virasto on kirjannut tänä vuonna lokakuuhun mennessä 20 lain perusteella tehtyä ilmoitusta. Yleisin tietoturvaloukkaus on ollut tietomurto teleyrityksen ylläpitämiin järjestelmiin tai hallintaverkkoihin. Vaikka webhosting-palveluihin kohdistuneet tietomurrot eivät kuulu lakisääteisen ilmoitusvelvollisuuden piiriin, niistäkin tuli virastolle useita ilmoituksia. Jotkin teleyritysten järjestelmiin tai hallintaverkkoihin kohdistuneista tietomurroista olisivat voineet olla varsin laajavaikutteisia. Vakavilta häiriöiltä vältyttiin teleyritysten onnistuneiden korjaustoimenpiteiden avulla. Ilmoituksista neljä koski palvelunestohyökkäyksiä. Tavallisesti ilmoitus tehtiin sellaisissa tapauksissa, joissa teleyrityksen asiakkaan verkkoliittymään kohdistunut hyökkäys oli voimakkuudeltaan niin suuri, että se vaikutti laajasti myös teleyrityksen muihin asiakkaisiin. Teleyritysten runkoverkkojen kapasiteetti kestää yleensä melkoisesti liikennettä, mutta voimakkaissa hyökkäyksissä myös hyökkäyksen kohteena olevan liittymän kanssa samoissa järjestelmissä kiinni olevat muut asiakkaat voivat kokea häiriöitä. Ilmoitusten joukossa oli yksi haittaohjelmatartunta teleyrityksen hallintaverkossa. Haittaohjelmahavainnot hallintaverkoissa ovat käytettävissä olevien tietojen perusteella harvinaisia Teleyritysten ilmoitukset ovat vain pieni osa kaikista Viestintäviraston käsittelemistä tapauksista. Vuosittain CERT-FI käsittelee useita tuhansia tietoturvaloukkauksiin liittyviä yhteydenottoja. Automaattisen Autoreporter-järjestelmän kautta lähetetään satoja tuhansia ilmoituksia haittaohjelmista ja muista tietoturvaa uhkaavista havainnoista. Tietoturvakatsaus 2/2012 7