VPN Checkin kyberturvallisuustutkijat ovat havainneet, että kymmeniä vaarallisia ja haitallisia iOS-sovelluksia on ladattavissa Applen mobiilisovellusvarastossa kuukausia niiden löytymisen jälkeen.

Yhtiö huomauttaa, että virustorjuntayritys Avast löysi alun perin 133 vilpillistä sovellusta maaliskuussa 2021 ja ilmoitti nämä havainnot Applelle. VPN Check on kuitenkin yli vuosi alkuperäisten löydösten jälkeen tarkastanut tilanteen havaiten, että 84 näistä sovelluksista on edelleen toiminnassa.

Sovelluksiin lukeutuu muun muassa valokuva- ja videoeditoreita, taustakuva-, horoskooppi-, puhelimen puhdistussovelluksia sekä väärennettyjä virustorjuntasovelluksia.

Piilotettuja maksuja ja tilauksia

Sovellukset eivät välttämättä ole haittaohjelmia tai viruksia. Ne eivät ehkä yritä varastaa tietoja tai vahingoittaa ja tuhota tartuttamaansa laitetta. Sen sijaan ne yrittävät aiheuttaa ylimääräisiä kustannuksia uhreille esimerkiksi piilomaksujen, premium-tilausten tai muiden vastaavien mekanismien kautta. Lisäksi niitä on suhteellisen vaikea poistaa laitteesta.

Kaiken kaikkiaan VPN Check sanoo, että nämä sovellukset huijaavat käyttäjiltä vähintään 100 miljoonaa dollaria vuosittain.

Samalla yhtiö syyttää Applea sanomalla, että yritys kieltäytyy toimimasta nopeasti ja poistamasta haitallisia sovelluksia kauppapaikaltaan. Mobiilijätti Cupertino saa VPN Checkin mukaan edelleen osansa petollisista tuloista. Cupertinoa uhkaisi koko tulovirran menettäminen, jos se toimisi liian nopeasti sovellusten suhteen.

”Ei ehkä ole Applen edun mukaista käsitellä asiaa”, yhtiö toteaa. 

”Matkapuhelinmarkkinoilla suuria summia ansaitaan yhä enemmän App Storesta. Huijaussovellukset ovat loistavia asiakkaita. Ne tuottavat paljon rahaa, joista Apple saa osansa. Lisäksi sovelluskehittäjät käyttävät paljon rahaa mainosten näkymiseen Apple Storessa, josta Apple saa edelleen rahaa. Liian huonoa sovellusta ei olekaan, kuten Applella tavataan sanoa.”

Tämä on melkoinen syytös. TechRadar Pro on ottanut yhteyttä Appleen saadaksemme tietää mitä heillä on sanottavaa tähän. Palaamme asiaan yrityksen kommenttien kera, jos saamme heiltä vastauksen.

• Paras virustorjuntaohjelma Macille 2022

Kirjoittanut: Noora Muittari

Tutkijat ovat löytäneet uuden Windows-laitteisiin hyökkäävän haittaohjelman, jonka toiminnasta he eivät ole kuitenkaan täysin tietoisia.

Red Canaryn kyberturvallisuustutkijat löysivät hiljattain uuden matomaisen haittaohjelman, joka leviää saastuneiden USB-asemien kautta.

Tutkijat eivät ole vielä kuitenkaan nimenneet haittaohjelmaa, vaan liittäneet sen osaksi "haitallisen aktiviteetin rypästä", jota he kutsuvat Raspberry Robiniksi.

Raspberry Robin

Haittaohjelma on löydetty useiden teknologia- ja teollisuusorganisaatioiden lähiverkkojen päätelaitteista.

Tutkittuaan saastuneen laitteen tutkijat huomasivat madon leviävän uusiin laitteisiin pahansuopaisen .LNK-tiedoston avulla. Kun uhri liittää USB-aseman koneeseen, mato käynnistää uuden prosessin cmd.exen kautta ja aktivoi tiedoston.

Heidän mukaan mato saavuttaa C2-palvelimet käyttämällä Microsoft Standard Installer -ohjelmaa (msiexec.exe). Spekulaation mukaan palvelin sijaitsee murretussa QNAP-laitteessa ja TOR-verkon exit node -solmuja käytetään ylimääräisenä C2-infrastruktuurina.

"Kun msiexec.exe lataa ja pyörittää aitoja latauspaketteja, haittatekijät hyödyntävät sitä samalla levittääkseen haittaohjelmia", raportissa kerrotaan. "Raspberry Robin käyttää msiexec.exeä tehdäkseen ulkoisia yhteydenottoja haitallisiin verkkosivuihin C2-käyttötarkoituksia varten."

Yksi tärkeimmistä kysymyksistä on silti edelleen vastaamatta: mikä haittaohjelman tarkoitus on?

"Koska meillä ei ole muita tietoja ohjelman loppupuolen aktiviteetista, meidän on vaikea päätellä sen tavoitetta tai tavoitteita", asiantuntijat sanoivat.

Tutkijoiden mukaan haittaohjelma asentaa haitallisen DLL-tiedoston todennäköisesti sen pysyvyyden takia.

"Emme myöskään tiedä, miksi Raspberry Robin asentaa saastuneen DLL:n. Yksi hypoteesi on se, että haittaohjelma pyrkii luomaan pysyvän sijainnin saastuneessa järjestelmässä. Mutta tarvitsemme lisätietoja voidaksemme varmistaa tämän hypoteesin", tutkijat kertoivat.

• Suojaa koneesi näiden virustorjuntaohjelmien avulla
• Haluatko turvata yksityisyytesi verkossa? Tutustu näihin parhaisiin VPN-palveluihin

Lähde: BleepingComputer

Google on poistanut kuusi valheellista Android-virustorjuntaohjelmaa Play Storesta, kun niiden havaittiin levittävän tarkoituksella omia haittaohjelmia.

Sovellukset löysi Check Point Research -yrityksen turva-asiantuntijat, jotka huomasivat Androidin virallisella kauppapaikalla ainakin kuusi viruksentorjuntaohjelmaa, joita käytettiin haittaohjelmien levitykseen.

Poistetut sovellukset ovat:

• Atom Clean-Booster, Antivirus
• Antivirus, Super Cleaner
• Alpha Antivirus, Cleaner
• Powerful Cleaner, Antivirus
• Center Security - Antivirus (kaksi versiota)

Nämä haittaohjelmat käyttivät Sharkbotia, joka on suunniteltu varastamaan käyttäjien salasanat ja pankkitunnukset. Sovellus jakaa ilmoituksia ja pyytää käyttäjältä valheellisia kirjautumistietoja, joiden avulla uhrit jakavat hyökkääjällä tietonsa.

Vaikka sovellukset ovat jo poistettu Play Storesta, Check Point sanoo ohjelmien olevan edelleen aktiivisia epävirallisissa kauppapaikoissa. Sovellukset ladanneita Android-käyttäjiä kehotetaan poistamaan sovellukset välittömästi.

Venäläiset ja kiinalaiset jätetty huomioimatta

Yhden viikon analyysin perusteella löydettiin yli tuhat yksilöllistä saastunutta päätettä, ja luku kasvaa noin sadalla joka päivä. Google Play Storen tietojen mukaan haittasovelluksia ladattiin noin 11 000 kertaa.

Sovelluksen takana olevia tekijöitä ei ole tunnistettu, joskin tutkijat uskovat heidän sijaitsevan Venäjällä. Kyseisessä haittaohjelmassa on geoaitaominaisuuksia, jotka jättävät huomioimatta Kiinassa, Intiassa, Romaniassa, Venäjällä, Ukrainassa ja Valko-Venäjällä sijaitsevat laitteet. Valtaosa uhreista sijaitsee Iso-Britanniassa ja Italiassa.

Sovellukset palveluun lisänneet kehittäjätilit ovat Zbynek Adamcik, Adelmio Pagnotto ja Bingo Like Inc. Kaksi tileistä voat olleet aktiivisia viimeksi syksyllä 2021.

Pelkkä sovelluksen lataaminen ei kuitenkaan riitä vielä laitteen saastumiseen. Uhrin täytyy ensin antaa sovellukselle lupa päästä laitteeseen, johon sovellus pyrkii käyttäjän huijaamaan.

Kun sovellukselle on annettu lupa, se ottaa haltuunsa valtaosan älypuhelimen toiminnoista ja voi toimia vapaasti.

• Suojaa laitteesi näiden VPN-palveluiden avulla
• Ja turvaa samalla parhailla virustorjuntaohjelmilla

Kyberrikolliset ovat onnistuneet tekemään laajan hyökkäyksen, jossa nämä ovat saaneet käyttäjät lataamaan haittaohjelmia näiden saatuaan viestin vanhentuneesta selaimesta ja sen päivityksestä päästäkseen katsomaan verkkosivun sisältöä.

Avast-tutkijat Jan Rubin ja Pavel Novak ovat löytäneet laajan kalastuskampanjan, jossa tuntematon uhkatekijä on onnistunut pääsemään käsiksi yli 16 000 WordPressin ja Joomlan isännöimään verkkosivuun, jotka käyttävät heikkoa sisäänkirjautumisvaatimuksia.

Tällaisia sivuja ovat usein pornosivut, käyttäjien henkilökohtaiset verkkosivut, yliopistojen kotisivut ja paikallisten hallitusten kotisivut.

• Olemme valinneet parhaat virustorjuntaohjelmat
• Näiden VPN-palvelujen avulla voit suojata internet-liikenteesi

Parrot TDS

Saatuaan pääsyn näille sivuilla hyökkääjät ovat asentaneet Traffic Direction System (TDS) -järjestelmän, Parrot TDS:n. TDS on selainpohjainen portti, joka ohjaa käyttäjät uusiksi erilaisen sisällön pariin riippuen näille asetetusta parametristä. Tämän avulla hyökkääjät ovat voineet asentaa haittaohjelman sellaisiin päätepisteisiin, jotka on todettu hyviksi kohteiksi. Näitä ovat olleet sivut, joissa on heikot suojausjärjestelmät tai jotka ovat sijainneet tietyillä alueella.

"Päivitysviestin"-saaneet käyttäjät on sen jälkeen ohjattu Remote Access Trojan (RAT) -ohjelma NetSupport Manageriin. Tämän avulla hyökkääjät ovat saaneet täyden pääsyn päätepisteessä olevasta kohteesta.

"Traffic Direction Systems -järjestelmät toimivat jakeluvälinä useille eri haittaohjelmakampanjoille saastuneiden sivujen kautta", Avastin haittaohjelmatutkija Jan Rubin sanoi. "Tällä hetkellä 'FakeUpdate'-nimistä (tunnetaan myös nimellä SocGholish) kampanjaa jaetaan Parrot TDS:n kautta. Tätä kautta voidaan myöhemmin jakaa myös muunlaisia haittaohjelmia."

WordPress- tai Joomla-isännöinnin lisäksi kohteeksi joutuneilla verkkosivuilla on keskenään hyvin vähän yhteistä. Tämän vuoksi tutkijat ovat uskoneet valintaperusteiden olleen niiden käyttämä heikko salasana.

"Ainoa yhdistävä tekijä sivuilla on WordPressin tai joissain tapauksissa Joomlan käyttö webhotellina. Siten epäilemme taustalla olleen huono suojaus, jota on hyödynnetty levittääkseen haitallista koodia", Avastin ThreatOps-analyytikko Pavel Novak sanoi. "Parrot TDS:n laajuus ja valtava ulottuvuus tekee tästä tapauksesta uniikin."

Hakkerit väittävät löytäneensä keinon hyödyntää kahta alun perin iPhone-puhelinten jailbreakaukseen käytettyä aukkoa tehdäkseen vastaavan myös Maceille ja MacBookeille. Paljastuneen keinon ovat vahvistaneet Applen turvallisuusvastaavat sekä jailbreak-asiantuntijat, joiden mukaan aukko käyttää T2-turvallisuussirusta löytyvää haavoittuvuutta. Kyseistä sirua on käytetty Applen laitteissa vuodesta 2018 lähtien.

Kun haavoittuvuutta hyödynnetään oikein, jailbreak antaa hyökkääjälle täyden käyttöoikeuden uhrin laitteelle, jolloin he voivat muokata ja varastaa tietoja sekä asentaa haittaohjelmia. Tekniikka edellyttää kahden aiemman haavoittuvuuden, Blackbirdin ja Checkm8:n, hyödyntämistä.

Vaikka molemmat näistä suunniteltiin aluksi iPhoneja varten, niitä voidaan nykyään käyttää myös Applen muissa laitteissa rauta- ja ohjelmistopuolen muuttuessa likemmäksi toisiaan T2-sirun ja Applen lippulaivamallien välillä.

• Paras tietokone työskentelyyn 2020: tehokkaat PC:t ammattilaisille
• Tämä macOS-haittaohjelma voi tyhjentää koko laitteesi
• Kehittäjät varokaa! - teihin on voinut kohdistua hiljalleen löytynyt Mac-haittaohjelmaisku

Ei korjattavissa

Ensisilmäyksellä T2-sirun hyödyntäminen haittahyökkäykseen tuntuu oudolta, sillä se suunniteltiin käsittelemään matala-arvoisia toimintoja ja äänen prosessointia vapauttaakseen pääsuorittimen kuormitusta. Se toimii kuitenkin samalla myös turvallisuussiruna suojellen käyttäjän herkkäluontoista dataa ja toimien suojattuna tallennustilana ja turvallisena koneen uudelleenkäynnistyksenä.

Raportin mukaan T2-sirun jailbreakkaukseen vaaditaan tosin uhrin Mac- tai MacBook-laite fyysisesti, sillä haittaohjelma ladataan siihen USB-C-kaapelin välityksellä ajamalla Checkra1n-ohjelma koneen boottausvaiheessa. Tämä antaa hyökkääjälle silloin pääsyn Device Firmware Updateen (DFU) ilman tarvetta tunnistautumiselle, ja siten pääsyn root-tason käyttöoikeuden T2-siruun ja varsinaiseen laitteeseen.

Haavoittuvuuden seuraukset voivat olla erityisen kohtalokkaat yrityksille ja henkilöille, jotka ovat unohtaneet jättää Macin valvomatta pitkäksi aikaa esimerkiksi julkisessa tilassa. Koska haavoittuvuus hyödyntää vielä komponenteissa olevaa vikaa, sitä pidetään korjaamattomana. Mac-käyttäjät voivat asentaa T2-sirulla toimivan käyttöjärjestelmän uusiksi, jos he epäilevät joutuneensa iskun kohteeksi, mutta tämä voi olla jo siinä vaiheessa liian myöhäistä.

• Tutustu myös markkinoiden parhaisiin virusturvaohjelmiin

Lähde: ZDNet

Asus näyttäisi ajautuneen hyvin ongelmalliseen tilanteeseen, sillä hakkerien epäillään onnistuneen kaappaamaan yhtiön päivityspalvelu, jonka kautta haittaohjelmia on voitu asentaa yhtiön koneisiin.

Väitteen takana on turvallisuusyritys Kaspersky, joka kirjoitti aiheesta blogissaan. Heidän mukaan hakkerit saivat haltuunsa Asus Live Update -sovelluksen, jonka avulla Asus on päivittänyt kannettaviaan ja tietokoneita. Sen kautta tekijät ovat pystyneet asentamaan takaoven ympäri maailmaa oleviin laitteisiin ja käyttäneet sitä asentaakseen haittaohjelmia Asuksen kannettaviin.

ShadowHammeriksi nimetty takaovi on arvioiden mukaan asennettu noin miljoonaan Windows-tietokoneeseen viiden kuukauden aikana.

• Androidia hyödyntävä haittaohjelma on levinnyt entistä useampaan käyttäjään
• McAfee varoittaa, että vuosi 2019 saattaa olla "kaikkialla olevien haittaohjelmien" vuosi
• Olemme valinneet markkinoiden parhaimmat antivirusohjelmat

Saastuneiden koneiden järkyttävästä määrästä huolimatta hakkerit olivat ilmeisesti kiinnostuneita pääsemään käsiksi vain pieneen osaan näistä koneista, noin 600 kappaleeseen. Näihin laitteisiin asennettiin muita haittaohjelmia samaa takaovea hyödyntäen.

Haittaohjelma oli naamioitu siten, että se kantoi mukanaan autenttista Asusin digitaalista sertifikaattia, minkä lisäksi hakkerit pitivät huolen, että tiedostokoko pystyi täsmälleen samana kuin alkuperäisessä tiedostossa.

Koska hakkereiden kohteena oli myös vain pieni määrä laitteita, haittaohjelma onnistui pysymään sen vuoksi pitkään huomaamattomana. Nyt kun takaovi on paljastettu, mahdolliset laajemmat toimenpiteet saattavat olla huolenaiheena.

Lisää ongelmia tiedossa?

Kaspersky kertoo tiedotteessaan, että yhtiön tutkinta on edelleen kesken ja vastaavanlaista hyökkäystekniikkaa näytettäisiin yrittäneen myös kolmen muun PC-valmistajan sovelluksiin.

Kohteina olleita yhtiöitä on ilmoitettu asiasta Asuksen lisäksi, joten saatamme kuulla tulevaisuudessa muista kompromisseista, joita valmistajat ovat joutuneet laitteisiinsa tekemään.

Kaspersky on luonnollisesti päivittänyt oman turvaohjelmiston huomaamaan ja estämään nyt havaitun haittaohjelman toiminnan. Yhtiö kuitenkin neuvoo Asus-laitteiden omistajia päivittämään oman Asus Live Update -sovelluksen.

Myös turvayhtiö Symantec on löytänyt todisteita samasta haittaohjelmasta, ja yhtiön antivirusohjelmaa käyttäneistä koneista ainakin 13 000 tietokonetta on joutunut sen kohteeksi.

• Valitsimme vuoden 2019 parhaat kannettavat

Lähde: Motherboard