Sigurnosni propusti u programima i na društvenim mrežama

Koji su to sve češći sigurnosni propusti i trojanci u browserima, popularnim programima i na društvenim mrežama koje svakodnevno koristimo? I kakve sve opasnosti leže u zanemarivanju i ignorisanju tih propusta?

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Kod većine korisnika interneta vlada mišljenje da se hakerski napadi dešavaju nekom drugom, daleko od njih i njihovog računara. Međutim, činjenica je da su sigurnosni propusti pošast modernog doba u kojem živimo i radimo. Situacija je postala toliko ozbiljna da je Evropski parlament u junu ove godine objavio prijedlog nacrta zakona u kojem se u zemljama članicama Evropske unije predlaže zabrana upotrebe backdoor alata u servisima koji nude enkripciju. Odbor za građanske slobode, pravosuđe i unutrašnje poslove Evropskog parlamenta želi da sva buduća sredstva komunikacije, uključujući pristup internetu, aplikacije za razmjenu poruka, pozive, e-mailove i poruke na društvenim mrežama, budu u potpunosti sigurna od hakera i vladinih agencija. Ukoliko ovaj nacrt zakona bude usvojen, kompanije za pružanje pristupa internetu, browseri, proizvođači pametnih telefona i aplikacija bit će prisiljeni poštivati želje svojih korisnika da ne budu praćeni i da se bez njihove saglasnosti ne smiju prikupljati podaci o njima.

Opasnost backdoora

Backdoor predstavlja način zaobilaženja autentifikacije, odnosno manu u softveru koja hakerima i policiji omogućava neovlašten upad u sistem i pristup svim podacima korisnika. Neke države, poput SAD-a, često od popularnih servisa i kompanija zahtijevaju backdoor pristup za potrebe svojih tajnih službi i policije. U takvim slučajevima enkripcija vam ne vrijedi mnogo, jer vašim podacima mogu pristupiti ne samo državni organi nego i hakeri i svi oni koji imaju prave alate za iskorištavanje slabosti u popularnim programima i servisima. Nacrtom spomenutog zakona Evropske komisije predlaže se uvođenje potpune (end-to-end) enkripcije gdje god je to moguće, bez mogućnosti korištenja backdoora, kojeg bi, kao što je to do sada bio slučaj, mogle iskoristiti neke treće stane u svoju korist. “Države članice neće nametati bilo kakve obaveze pružaocima usluga elektronskih komunikacija koje bi rezultirale slabljenjem sigurnosti i enkripcije njihovih mreža i usluga”, stoji u nacrtu zakona.

Međutim, ovim zakonom nije u potpunosti riješen problem interneta stvari, u okviru kojeg sve više povezanih uređaja komunicira između sebe. Iako nisu trošili mnogo vremena na objašnjavanje toga kako bi ova vrsta komunikacije mogla izložiti građane sigurnosnim propustima, ipak su naveli da bi se ovaj prijedlog zakona trebao primjenjivati i na komunikaciju u okviru IoT-a.

Dumbo: ni web-kamere nisu sigurne

U augustu je WikiLeaks objavio dokumente o CIA-inom Dumbo hakerskom alatu, preko kojeg se udaljenim putem mogu kontrolisati web-kamere. Dumbo je u stanju suspendovati procese koji koriste kamere i uništiti videozapise koji bi mogli ugroziti CIA-in pristup napadnutom sistemu. Dakle, glavni cilj ovog alata jeste omogućavanje i iskorištavanje fizičkog pristupa ciljanim računarima tokom CIA-inih terenskih operacija.

Dumbo omogućava identifikaciju i kontrolu sistema za nadzor i detekciju, poput web-kamera i mikrofona, na Windows računarima. Međutim, alat zahtijeva direktan pristup ciljanom računaru pošto se pokreće s USB-a. Nakon toga operater alata može zaustaviti sve procese povezane s detektovanim uređajima (poput snimanja i nadgledanja) te detektovati audio, video i mrežne signale. Brisanje ili neki drugi vid manipulacije nad snimcima operateru olakšavaju stvaranje lažnih dokaza ili uništavanje pravih dokaza upada. Zaključak se sam nameće: mi, obični korisnici, nemamo potpunu kontrolu ni nad jednim modernim uređajem, iako volimo misliti drugačije.

Društvene mreže kao kanali

Nije rijetkost da zaposlenici posjećuju društvene mreže preko kompanijskih računara, ne vodeći pri tome računa o mogućoj šteti koju time mogu nanijeti firmi za koju rade. Ni na kraj pameti im nije da se u, recimo, komentarima na društvenim mrežama mogu nalaziti zlonamjerne poruke, koje na prvi pogled mogu djelovati poput običnog i neškodljivog spama. Tako je ove godine sigurnosna firma ESET upozorila da se među komentarima na Instagram profilu pjevačice Britney Spears nalaze komentari koji možda izgledaju kao spam, ali ih, zapravo, koriste hakeri kako bi koordinirali napade. U ovom konkretnom slučaju riječ je o ruskim hakerima koji koriste Firefox ekstenziju HTML5 Encoding 0.3.7, koja ima backdoor komponentu i koja zahvaljujući tome prikuplja podatke o napadnutom sistemu. Prikupljene podatke zatim šalje serveru za komandu i kontrolu.

Ekstenzija koristi bit.ly adresu da bi komunicirala sa svojim serverom, ali ona nije uključena u kod ekstenzije, već se nalazi u komentaru ispod fotografije objavljene na Instagramu. Ekstenzija zatim provjerava sve komentare kako bi pronašla komentar sa bit.ly adresom na koju se usmjeravaju žrtve. Za ovaj malware odgovorna je hakerska grupa Turla, poznata po tome što napada kompanije, državne i obavještajne službe, krade informacije i zatim ih prodaje onome ko za njih ponudi najviše novca. Turla koristi prethodno nepoznate propuste i socijalni inžinjering za kompromitovanje Windows, Linux i Mac OS računara. Stručnjaci naglašavaju da je korištenje društvenih mreža na ovaj način otežalo odbranu od malwarea iz prostog razloga što je jako teško razlikovati zlonamjerni od običnog saobraćaja na društvenim mrežama. Dakle, ono što vam izgleda kao spam na komentarima može komotno biti i kanal komunikacije nekog malwarea.

Android

Nedavno je otkrivena nova verzija poznatog mobilnog bankovnog trojanca Svpeng, koji je samo prošle godine preko Googleovih AdSense reklama zarazio više od 318.000 Android uređaja širom svijeta, a otkrili su ga stručnjaci Kaspersky Laba. Ove godine Svpeng koristi Androidov Accessibility Services, funkciju koja pomaže korisnicima koji ne mogu koristiti uređaj ručno (osobe s invaliditetom, ali i vozači u toku vožnje). Preko nje trojanac krade uneseni tekst iz aplikacija instaliranih na uređaju, bilježeći pri tome sve što korisnik ukuca, a ovaj put ima i veći pristup opcijama koje onemogućavaju korisniku da ga izbrišu s uređaja. Dakle, ovaj alat sada radi i kao keylogger, koji napadačima omogućava da od žrtava kradu povjerljive podatke poput onih o kreditnim karticama. 

Sigurnosni propusti na popularnim online destinacijama

Nažalost, praksa pokazuje da krajnji korisnici ne samo da posljednji saznaju da su njihovi privatni podaci ugroženi nego to ponekad saznaju godinama nakon što se nešto takvo dogodi. Yahoo je tek 2016. priznao da je 2014. godine bio meta hakerskog napada u kojem su ugroženi privatni podaci 500 miliona korisnika. Nisu bili pošteđeni ni korisnici Adult FriendFindera, sajta za upoznavanje partnera. Prošle godine hakirano je više od 400 miliona profila njihovih korisnika, pri čemu su procurili njihovi lični podaci, uključujući prava imena i e-mail adrese.