Monthly Archives: January 2015

Võltskirjade laviin

RIA infoturbe ekspert Anto Veldre kirjutab ohtlikest e-kirjadest.

Viimase mõne kuu, nädala ja päeva päeva jooksul on pidevalt sagenenud võltsitud e-mailide saatmine kasutajatele – sõltumata kas nad on eraisikud, mõne firma või riigiasutuse töötajad. Ei saa öelda, et petukirjade hulk oleks OLULISELT tõusnud, kuid kampaaniate vahelisi tavapäraseid vaheaegu pole enam – üks kampaania järgneb teisele katkematu voona. CERT-EE saab teateid nii reaalselt äratoimunud nakatumistest kui ka juhtumitest, kus ohver on õigeaegselt taibanud: see oli nakatamiskatse.

“Rechnung’ite” laine sai vaevalt meelest minna, kui arvutikasutajaid tabasid faksikirjad ning kohe seejärel gruusiakeelsed arved. Uudishimulikult ZIP-faili avades käivitas kasutaja CTB-Lockeri, mis on sisuliselt väljapressimisvara: see suudab asutuse failiserveris failid kokku krüptida ja siis väljapressimisnõude esitada. Sel hetkel, kui levitamine algas, tundis värsket viirust 57st viirustõrjest vaid neli, kuid päeva jooksul paranes olukord umbes 25ni. Lähemalt saab ohtliku lunavara kohta lugeda https://blog.ria.ee/krupteeriv-lunavara/.
Moraal: viirusetõrje enamasti päästab, kuigi garanteerida seda ei saa – pead ka ise valvsust üles näitama! Heal lapsel mitu nime: CTB Locker = Dalexis = Critoni.

On saabunud mitmeid ja mitmeid teateid inimeste Google’i kontode ülevõtmistest. Kasutaja ei saa õigeaegselt aru, et talle on saadetud võltsitud kiri, sisestab oma Gmaili kasutajanime ja parooli õngitsuslehel või mõnel teisel puhul klikib kirja lõppu lisatud lingil ja voilaa – identiteet ongi ära pätsatud. Gmail kustutatakse kirjadest tühjaks, aadressraamat varastatakse, keel keeratakse mõnda araabia või india dialekti. Mõned ohvrid on asunud pättidega läbi rääkima, kuid seda ei peaks kunagi tegema, jäetagu see ikka politsei hooleks. Mõnel õnnelikul on õnnestunud Google’i käest oma kirjad tagasi nõuelda, kuid tagasisaamist garanteerida ei saa. Mõistlik oleks oma tähtsatele erakontodele peale keerata kahetasemeline autentimine (parooli ja telefoniga), nii et saaksite oma konto teenusepakkujalt alati tagasi küsida.

Sel nädalal saime teate juhtumist, kus sõber ootas sõbralt kirja, kell oli hiline ja saaja klikkis lisatud Google Docsi lingil… loomulikult polnud see Google Docs, salasõnad võeti üle ning aadressraamat läks jalutama. Aadressraamatu põhjal asuti saatma kirju juba järgmistele ohvritele.

Kokkuvõtteks – pole andmeid, et toimuks midagi Eesti-spetsiifilist. Sarnased kampaaniad (sh väljapressimisvara levitamine) on värskelt toimunud ka naaberriikides. Ei ole võimalik kindlalt väita, et tegemist oleks mingi suunatud kampaaniaga, sest ei eelistata ei riigi- ega erasektorit. Peame oma internetikasutuses olema senisest kolm korda ettevaatlikumad.

Millega seoses soovitame inimestel lähiajal ilmutada ERILIST ETTEVAATUST e-kirjade töötlemisel, seda nii töö juures kui oma erakontodel.

  1. Oma meilide lugemisel nutiseadmes arvesta, et seal pole näha postiaadressi, on näha vaid isiku nimi (igaüks võib panna endale suvalises meilisüsteemis suvalise nime).
  2. Ole paranoiline: kui tegu on lingiga, jäta see parem klikkimata. Mõtle enda jaoks selgeks uudishimu ja vastutuse vahekord.
  3. Kui saabub link, mida Sa ootad ja mille juures olev tekst tundub Sulle adekvaatne, aseta hiirekursor lingile ning veendu, et brauseri allaäärde tekkiv tegelik link on asjalik. Kui Sa asjalikku linki petukast eristada ei oska, ära kliki, vaid toimeta kiri IT-spetsialistidele kontrolli! NB! Ohtliku lingi äratundmist ei ole paraku võimalik ammendavalt kirjeldada.
  4. Kui saabub manus, mida Sa otseselt ei oota, jäta see avamata ja saada itimeestele kontrolli.
  5. Kui saabub kiri, mille manuses on faks, pista see viiruskontrolli. Väheste eranditega Eestis fakse sedamoodi ei saadeta.
  6. Kui Sinu erakonto võetakse üle, anna sellest kohe teada ka töö juures.
  7. Kui leiad oma koduarvutist pahavara, anna sellest kindlasti teada ka töökoha itimeestele.
  8. Kui Sinuga midagi juhtus, palun säilita tõendid. Jäta kirjad, failid ja muu säärane itimeestele uurimiseks – see võib hiljem aidata kurjategijateni väljajõudmisel.
  9. Kui manus või kirja lõpus asuv link suunab Sind GoogleDocsi, GoogleDrive’i või DropBoxi ja selle käigus küsitakse Sinult kasutajanime ja parooli – ole üliettevaatlik! See on tõenäolisim stsenaarium Sinu konto ülevõtmiseks.
  10. Mõtle uuesti läbi oma Gmaili, GoogleDocsi ja muude asutuseväliste kontode kasutus. Kui Sa sunnid oma kaastöötajaid dokumendi vaatamiseks nimega sisse logima, siis paned Sa nad olukorda, kus nad on sunnitud oma parooli sisestama veebisaiti, mille autentsust nad ei suuda kontrollida. Mille tulemusel varastatakse ära kaastöötaja konto, mille tulemusel saad Sa justkui oma kaastöötajalt usaldusväärsena näiva kirja ning pihta saab Sinu enda arvuti.
  11. Ära reageeri edevust utsitavatele kirjadele, kus antakse teada pärandusest, loteriivõidust, Sinu isiku valimisest aasta tippspetsialistiks ja muust säärasest.
  12. Varusta ohuinfoga oma töökoha IT-inimesi ja CERT-EEd. Vaid kümned vabatahtlikud kirjasaatjad võimaldavad meil toimuvast näha täispilti ning saada aru, kui hull asi tegelikult on (või ei ole).

Lingid lugemiseks:

Varasemad postitused samal teemal:

Krüpteeriv lunavara

Viimase paari päeva jooksul on kurjategijad aktiivselt levitanud pahavara nimega CBT-Locker. Nakkus saabub kirjaga, millel on juures manus. Manus on nakatunud ning sellel klikkides nakatab kasutaja oma Windowsi arvuti. Kiri on nimme vormistatud selliselt, et tekitada uudishimu manuse suhtes või siis tuleb kiri justkui mõne sõbra nimelt, aga tegelikult temalt ülevõetud kontolt.

CBT-Locker on eriti ohtlik seetõttu, et krüpteerib kasutaja kettalt leitud failid ning nõuab siis nende avamise eest lunaraha. Juhul kui varukoopia puudub, on kasutaja väga halva dilemma ees – kas jäädagi failidest ilma või rahaliselt toetada kuritegevust. Suurim oht on firmades ja asutustes, kus õnnetus võib edasi kanduda ka failiserveritele.

your-personal-files-are-encrypted

Pilt: virusresearch.org

CTB-Locker osutus eriti ohtlikuks seetõttu, et esimestel levikutundidel ei tulnud viirustõrjed toime tema äratundmisega (nakkuse peitmiseks oli tehtud jõupingutusi).

Soovitused:

  1. Kontrolli üle, et Sul oleks oma andmetest sõltumatu varukoopia ning et seal oleksid ka viimaste päevade failid.
  2. Ära kliki manustel, kui Sa täpselt ei tea, millega tegemist (löögi all on tööprotseduurid, mille sisuks ongi saabunud kirjade avamine, seal tuleb iga manust kontrollida ükshaaval).
  3. Ära kliki e-kirjaga tulnud linkidel.
  4. Vähimagi kahtluse korral küsi nõu IT-spetsialistilt.
  5. Ära unusta, et Sinu valesammude tõttu võivad kannatada Sinu sõbrad ja kaastöötajad.

Ingliskeelne selgitus: http://www.virusresearch.org/personal-files-encrypted-cbt-locker-critoni-ransomware/

Soomekeelne hoiatus: https://www.viestintavirasto.fi/tietoturva/tietoturvanyt/2015/01/ttn201501211410.html

ELGO-õngitsuse teine laine

Esmaspäeva, 12. jaanuari õhtul hakkasid taas levima kohalikele omavalitsustele suunatud ELGO-kirjad. RIA infoturbe ekspert Anto Veldre selgitab, millega on tegemist.

Juunis 2014 hakkasid kohalike omavalitsuste töötajad saama e-kirju “asutuselt” nimega ELGO ehk European Local Government Officers (Database). Kirja sees oli kasutajanimi ja parool, millega paluti end sisse logida “andmebaasi” ning ühtlasi anda oma täpsemad isikuandmed.

CERT-EE väljastas teemakohase hoiatuse, mis ilmus ka KOV-portaalis: http://kov.riik.ee/cert-ee-hoiatusteade-omavalitsustele/.

Eile õhtul (12. jaanuaril 2015) hakkasid säärased kirjad taas levima, mistõttu selgitan ELGO tausta põhjalikumalt.

Saabunud e-kiri palub kasutajal minna domeenile elgo.eu. See domeen on registreeritud Inglismaal ning pole teada, et see oleks kuidagi seotud mõne ametliku EU organisatsiooniga. Veebisait kasutab EU lipule eksitavalt sarnast logo. Lehe allservas paiknev registreerimisinfo osutab, et tegemist on hoopis eraettevõttega (Elgo Ltd). Teave firma kohta on kättesaadav aadressil http://www.endole.co.uk/company/08325123/elgo-limited, tegevusalaks on märgitud kirjastustegevus. Tegemist EI OLE Euroopa Liidu ametliku organisatsiooni ega allasutusega, vaid eraõigusliku firmaga, mis üritab endast jätta vale muljet.

Tegutsemismuster on koostatud sedasi, et juriidiliselt oleks kõik korrektne ja kinni võtta ei saaks kuskilt (kasutaja sisestas oma andmed vabatahtlikult), kuid tegu on etteplaneeritud eksitamisega. Kirja saajale jäetakse soliidsem mulje sellega, et saadetakse talle kasutajanimi ja parool ning palutakse need sisenedes kohe ära vahetada. Kahjuks ei piirdu asi paroolivahetusega, vaid ühtlasi palutakse sisestada ka mõningad isikuandmed.

Probleem seisneb asjaolus, et veebisaidil pole selgitatud, milleks õngitsemise teel saadud andmeid edaspidi kasutatakse või mis on nende kasutamise tingimused. Võimalik, et äriidee sisu on väikese tünga ja masside lollitamise abil koguda Euroopast kokku kohalike omavalitsuste kõigi ametnike andmed, et nendega edaspidi mingil moel raha teenida.

Ühtlasi kasutab ELGO võrkturunduse meetodit, suunates pahaaimamatuid ametnikke “üles andma” ka oma töökaaslasi. Kasutaja, kes ei saa aru, et tegu on andmeõngitsusega, ohustab seega ka oma kaasametnikke.

Kokkuvõttes: selle õngitsuse puhul seisneb oht asjaolus, et kasumit taotlev erafirma jätab oma olemusest täiesti vale mulje – esineb justkui asutusena – ning selle varjus korjab kokku isikuandmeid, mille kasutustingimuste kohta puudub lähem info. Võimalik, et nende andmetega teenitakse raha, võimalik, et soodustatakse mingeid taunitavaid tegevusi (rämpspost vms).

12. jaanuaril 2015 levima hakanud kirjad

Eilsete kirjade teemareale on märgitud “Oma aktsiate noteerimist ELGO”, mis on eesti keeles selge mõttetus. On näha, et keegi eestlane on kunagi ELGO õngitsusteksti kvaliteetsesse eesti keelde tõlkinud, kuid pisiparanduste tegemiseks kasutab firma Google’i tõlkurit, mis nii erilise keele puhul, kui eesti keel teeb olulisi vigu.

Kirja sees on esitatud link, mis viib küll lõpuks elgo.ee lehele, kuid teeb seda variorganisatsiooni kaudu (wrcis*.com). Oht seisneb selles, et säärase ümbersuunamise käigus saab kasutaja brauseris käivitada erinevat koodi, mõõta ja seostada kasutaja identiteeti (näiteks CANVAS tracking meetodiga http://www.propublica.org/article/meet-the-online-tracking-device-that-is-virtually-impossible-to-block) mõnel teisel moel (FB, Google) eelnevalt kogutud andmetega. Tavakasutaja jaoks on säärased ümbersuunamised üliohtlikud, rääkimata sellest, et ei-tea-kust saadud e-kirja linke ei tohiks kunagi klikkida.

Täiendav oht on see, et kui inimene valib endale uue parooli, mis langeb kokku tema mõne olemasoleva parooliga, kergendab ta oma identiteedi ülevõtmist teistes saitides (Facebookis, tööl, mujal).

Soovitused:

  • Soovitame tungivalt: jäta elgo.eu veebisait külastamata ja isikuandmed sinna sisestamata.
  • Ole õngitsus- ja viiruskirjade suhtes jätkuvalt üliettevaatlik. Neid saabub pidevalt.
  • Ära kunagi ava e-kirja manuseid, kui pole eelnevat kokkulepet, et keegi need saadab.
  • Arvesta, et isegi viirustõrje ei suuda Sind 100% kaitsta.
  • Enne klikkimist mõtle!
  • Ära sisesta isikuandmeid ega ametialast infot mingitesse võõrastesse veebivormidesse.
  • Alati kui kahtled, kutsu IT-spetsialist, keerulisemate juhtumite puhul teavita CERT-EEd või Andmekaitse Inspektsiooni.