Security News : اخبار و هشدارهاي امنيتي

[VAHID]

ایتنا- افسانه‌هایی در مورد جاوا! خواندن این مقاله شاید شما را با واقعیت‌هایی در مورد جاوا آشنا کند!

آیا جاوا، بزرگ‌ترین فعال‌كننده برنامه‌های مفید است یا این‌كه یك هدر دهنده فضا است كه زیان آن بیشتر از سود آن است؟

به گزارش ایتنا از ماهر، در اواخر آگوست اخباری منتشر شد مبنی بر دو آسیب‌پذیری جدید و اصلاح نشده و جدی در جاوا (CVE-2012-4681 به همراه شواهد متعدد و معتبری كه نشان می‌داد مجرمان سایبری در حال سوءاستفاده از این آسیب‌پذیری‌ها هستند.
همین موضوع ادامه استفاده از جاوا را در معرض سؤال قرار داد.

اوراكل این نقص امنیتی را در یك اصلاحیه خارج از نوبت و فوری ترمیم كرد.

اما به گفته شركت امنیتی لهستانی Security Explorations، اوراكل ماه‌ها قبل در مورد این آسیب‌پذیری آگاه شده بود و در مورد آن كاری صورت نداده بود.

مدت كوتاهی پس از عرضه این اصلاحیه، محققان لهستانی اعلام كردند كه یك آسیب‌پذیری جدید در این اصلاحیه كشف كرده‌اند، كه اجازه عبور از sandbox این نرم‌افزار را صادر می‌نماید.

حال سؤال اینجاست كه آیا كاربران و شركت‌ها باید جاوا را بر روی سیستم‌های خود نگاه دارند؟ در هر دو مورد پاسخ مثبت است، اما به این شرط كه واقعا به آن نیاز داشته باشند.

حال به برخی افسانه‌ها و تصورات موجود در این مورد می‌پردازیم.

افسانه اول - من فقط در شرایط خاص به جاوا بر روی سیستم خود نیاز دارم
برای شركت‌ها، تصمیم‌گیری در مورد این‌كه JRE مورد نیاز است یا خیر، بسیار سرراست و راحت است و در اغلب موارد نیز جواب این سؤال مثبت است.

احتمالا ادمین‌ها اجازه استفاده از جاوا را بر روی كامپیوترهای دسكتاپ صادر نمی‌كنند، مگر این‌كه دلیل مشخصی داشته باشد.

اما مصرف‌كنندگان در بسیاری موارد جاوا را بر روی سیستم خود دارند، در حالی‌كه نیازی به آن ندارند.

بر روی بسیاری از كامپیوترها نیز جاوا به‌طور پیش‌فرض نصب شده است.

به خاطر داشته باشید كه جاوا بر روی كامپیوتر نصب می‌گردد، اما در داخل مرورگرها نیز می‌تواند فعال یا غیرفعال گردد.

افسانه دوم- جاوااسكریپت همان جاوا است
این اشتباه است! صرفنظر از استفاده از لغت جاوا، این دو كاملا غیرمرتبط هستند.

جاوااسكریپت در سال ۱۹۹۵ توسط «برندان ایخ» و در حالی كه برای Nestscape كار می‌كرد، اختراع شد.
وی اعتقاد داشت كه واسط اسكریپتی وی برای تعاملی كردن مرورگرها و وب‌سایت‌ها بسیار مفید است.

افسانه سوم- نسخه‌های قدیمی بی‌ضرر هستند
این یك افسانه دیگر در مورد جاوا است.
بسیاری از كاربران حتی پس از دانلود به‌روز رسانی‌های امنیتی، باز هم فراموش می‌كنند كه نسخه‌های قدیمی را حذف نمایند.

همان‌طور كه اوراكل در ماه می اظهار داشت، نگه داشتن نسخه‌های قدیمی و بدون پشتیبانی جاوا بر روی سیستم، یك خطر امنیتی جدی به حساب می‌آید.
این شركت به كاربران خود راهنمایی می‌كند كه چه‌طور این كار را انجام دهند.

انجام این كار بسیار ساده و در عین حال مهم است. اما بسیاری از كاربران كامپیوتر، از اهمیت این موضوع آگاه نیستند و ترجیح می‌دهند وقت خود را با كارهای دیگری پر كنند.

اما چرا اوراكل در هنگام نصب جاوای جدید، نسخه‌های قدیمی را حذف نمی‌كند؟ زیرا ممكن است نسخه‌های قدیمی توسط برخی برنامه‌ها مورد استفاده قرار گیرند و به همین دلیل اوراكل این كار را انجام نمی‌دهد.

یك نكته مهم حصول اطمینان از این موضوع است كه نسخه‌های جدید جاوا به‌طور خودكار دانلود می‌گردند و سیستم نیز به‌طور مرتب و در فواصل زمانی مناسب، عرضه نسخه‌های جدید را مورد بررسی قرار می‌دهد.
این مدت زمان به‌طور پیش‌فرض یك ماه است كه شاید بهتر باشد كمتر گردد.

در ویندوز، برنامه جاوا را از كنترل پنل اجرا كرده و بر روی سربرگ Update/advanced كلیك نمایید تا این فاصله زمانی را به مدتی كمتر (مثلا یك بار در هفته) كاهش دهید.

افسانه چهارم - آسیب‌پذیری‌های جاوا، یك مشكل ویندوز هستند
نقایص امنیتی جاوا می‌توانند بر روی تمامی پلتفورم‌هایی كه runtime در آنها وجود دارد، از جمله اپل و لینوكس تأثیر بگذارند.

البته این بدان معنا نیست كه هر نقص امنیتی جاوا تمامی این پلتفورم‌ها را به‌طور یكسان تحت تأثیر قرار می‌دهد.

اغلب بدافزارهای سوءاستفاده كننده از نقایص امنیتی جاوا، كاربران ویندوز را هدف قرار می‌دهند.
اما تروجان فلش‌بك كه اوایل سال میلادی جاری شناسایی شد، ثابت كرد كه كاربران Mac نیز در برابر خرابكاری‌های جاوا مصون نیستند.

این بدافزار از یك آسیب‌پذیری جاوا (CVE-۲۰۱۲-۰۵۰۷) سوء استفاده می‌كند كه باید توسط خود اپل اصلاح می‌شد. در حقیقت كاربران اپل با دو لایه وابستگی روبرو هستند، اوراكل و اپل.

افسانه پنجم- اوراكل از من محافظت خواهد كرد
اگر این موضوع كه اوراكل در پاسخ‌گویی به آسیب‌پذیری‌ها ماه‌ها تعلل كرده است، این افسانه خود به خود از جرگه واقعیت خارج می‌گردد.

بدافزارنویسان سال‌هاست كه در حال شكار نقایص جاوا هستند و به نظر می‌رسد كه این موضوع، چندان اوراكل را تحت تأثیر قرار نداده است.










itna.ir

[tanha.2011]

به تازگی حفره خطرناکی در نرم افزار پایگاه داده شرکت اوراکل شناسایی شده که هکرها با سوءاستفاده از آن می توانند به کلمات عبور کاربران دسترسی پیدا کنند.



به گزارش فارس به نقل از سی اس او آنلاین، حفره یاد شده مربوط به پروتکل تشخیص هویت و شناسایی کاربران این نرم افزار است که به هکرها امکان دستکاری و دسترسی به اطلاعات شخصی کاربران را می دهد.

حفره یاد شده توسط یک محقق امنیتی مستقل به نام اشتفان مارتینز فایو شناسایی شده است.

وی در جریان یک سخنرانی در کنفرانس امنیتی اکوپارتی به جزییاتی در این زمینه اشاره کرده است.

وی مدعی است نقص یاد شده به هکرها امکان می دهد در کمتر از 5 ساعت به کلمات عبور ساده ای که بر روی پایگاه داده ها ذخیره می شوند، دسترسی یابند.

اگر چه اوراکل قبلاً مشکل مربوط به نسخه 12 پروتکل شناسایی هویت یاد شده را برطرف کرده، اما در حال حاضر برنامه ای برای رفع مشکلی که مربوط به نسخه 11. این پروتکل است، ندارد. کارشناسان امنیتی هشدار داده اند که بدون برطرف کردن این مشکل هکرها به سادگی می توانند پایگاه های داده متعلق به شرکت های مختلف را هدف قرار دهند.

[tanha.2011]

پایگاه اینترنتی بوستون گلوب با اشاره به انجام حملات سایبری به 6 بانک آمریکایی در هفته گذشته اعلام کرد یک گروه به نام مبارزان سایبری عزالدین قسام مسئولیت این حملات را برعهده گرفته است.



به گزارش گروه اقتصاد بین الملل فارس به نقل از پایگاه اینترنتی بوستون گلوب، یک گروه از ه.کرهای اینترنتی به نام مبارزان سایبری عزالدین قسام مسئولیت حملات سایبری به بانک آمریکا و چند موسسه مالی دیگر این کشور را بر عهده گرفت.

هفته گذشته، 6 بانک بزرگ آمریکایی هدف یک رشته حملات سایبری قرار گرفتند که این حملات اینترنتی موجب از دسترس خارج شدن سایت های اینترنتی این بانک ها و ایجاد وقفه در ارائه خدمات بانکداری اینترنتی شد.

جی پی مورگان و بانک آمریکا پیش تر نیز هدف حملات سایبری قرار گرفته بودند.

مشتریان بانک آمریکا، جی پی مورگان چیس، سیتی گروپ، یو اس بانک، ولز فارگو و پی ان سی موفق نشدند از طریق اینترنت به حساب های خود دسترسی پیدا کنند و قبوض خود را به صورت آنلاین پرداخت نمایند. عدم ارائه توضیحات قانع کننده از سوی این بانک ها موجب سردرگمی و نگرانی مشتریان شده است.

بانک های آمریکایی هدف حملات عدم ارائه سرویس قرار گرفته اند، که در آن هکرها با بالابردن ترافیک ورود به یک سایت، موجب از کار افتادن آن سایت می شوند. چنین حملاتی از نظر فنی چندان پیچیده نیستند و تاثیر مخربی بر شبکه کامپیوتری شرکت مورد هدف بر جای نمی گذارند. اما این حملات برای سردرگم کردن و نگران ساختن مشتریان کافی هستند.

گروه مبارزان سایبری عزالدین قسام اعلام کرده که این حملات را به تلافی انتشار فیلم اهانت آمیز به ساحت پیامبر اسلام ترتیب داده است. این گروه تاکید کرده که تا زمانی که این فیلم از روی شبکه اینترنت برداشته نشود، به حملات سایبری روزانه خود علیه موسسات اعتباری و مالی آمریکایی و احتمالا موسسات فرانسوی، اسرائیلی و انگلیسی ادامه خواهد داد. بازار بورس نیویورک و نزدک نیز از دیگر اهداف این حملات اعلام شده اند.

برخی از کارشناسان امنیت شبکه معتقدند، شیوه های بکار گرفته شده در این حملات کاملا اولیه هستند و احتمالا هکرها از عده زیادی از افراد داوطلب خواسته اند تا در انجام این حملات به آنها کمک کنند.

اما برخی دیگر از کارشناسان می گویند، احتمال کمی وجود دارد که بتوان با استفاده از این شیوه، حمله ای در این مقیاس را ترتیب داد.

آلین والت، که در مورد این حملات تحقیق می کند، گفت: «تعداد کاربرانی که شما برای از کار انداختن سایت های هدفتان نیاز دارید خیلی زیاد است... آنها باید از منابع دیگری کمک گرفته باشند.»

هفته گذشته، سناتور جوزف لیبرمن، رئیس کمیته امنیت داخلی مجلس نمایندگان آمریکا گفته بود که ایران به تلافی تحریم های اقتصادی غرب اقدام به طراحی و اجرای این حملات کرده است. اما گروه سایبری عزالدین قسام این ادعا را رد کرده است.

جیمز لوئیس، یک کارشناس امنیت کامپیوتر در مرکز مطالعات بین المللی و استراتژیک گفت، شیوه های بکار گرفته شده در این حملات بیش از حد ابتدایی بوده اند که بتوانیم آن را به یک کشور ارتباط دهیم.

[tanha.2011]

یک شرکت امنیتی برای ایمن‌سازی سیستم عامل اندروید، برنامه‌های امنیتی رایگانی ارائه کرده است.



به گزارش فارس به نقل از آی تی پی، این دو برنامه که توسط شرکت سوفوس طراحی و عرضه شده از کاربران در برابر بدافزارها و حملات هکری محافظت می کند.

این دو برنامه که Mobile Security for consumers و Sophos Mobile Encryption نام دارند، ضمن سد کردن مسیر دسترسی بدافزارها به گوشی‌های آندروید، جلوی نشت اطلاعات کاربران و نقض حریم شخصی آنها را هم می گیرند.

برنامه های یاد شده که با نرم افزار SafeGuard Enterprise سازگاری دارند، دسترسی ایمن به اطلاعات رمزگذاری شده کاربران در سرویس های کلود را هم امکان‌پذیر می کنند.

بر اساس یافته های موسسه تحقیقاتی آی دی سی اگر چه 69 درصد از گوشی های هوشمند جهان مجهز به سیستم عامل آندروید هستند، اما ضعف امنیتی جدی این سیستم عامل مشکلات فراوانی برای کاربران ایجاد کرده و باعث شده کاربران شاهد سرقت اطلاعات حساس و نفوذ مکرر به گوشی های خود باشند.

همین مساله موجب شده دهها شرکت امنیتی برنامه های مختلفی را برای کاهش آسیب پذیری های آندروید ارائه دهند.

[tanha.2011]

تعداد قابل توجهی از بانک‌های آمریکایی در هفته های گذشته مورد حملات سایبری قرار گرفته اند اما هنوز جزئیات و عامل این حملات اعلام نشده است.



به گزارش فارس به نقل از آسوشیتدپرس، در حالی که برخی منابع غربی این حملات را به اسلام گرایان نسبت داده و آن را واکنشی به انتشار فیلم ضداسلامی در سایت یوتیوب می دانند، برخی از کارشناسان معتقدند این ادعاها درست نیست و با هدف مخفی کردن عامل اصلی این حملات صورت می گیرد.

مایک اسمیت کارشناس امنیتی شرکت آکامای معتقد است آدرس غلط دادن در مورد حملات سایبری به بانک ها می تواند تبعات خطرناکی داشته باشد و شناسایی عوامل اصلی را دشوار کند.

از جمله بانک هایی که در این حملات هدف قرار گرفته اند می توان به بانک آمریکا، JPMorgan Chase و Citigroup اشاره کرد. این حملات موجب افزایش شدید ترافیک وب سایت های این بانک ها و اختلال در عملکرد آنها شده است.

این حملات عمدتا از نوع denial-of-service بوده اند.

منابع خبری مدعی شده اند این حملات موجب سرقت اطلاعات حساس نشده و خسارات سنگینی به بار نیاورده، هر چند صحت چنین ادعاهایی مشخص نیست.

با این حال حملات یاد شده شدید بوده اند. به عنوان مثال PNC bank که روز پنج شنبه هدف حملات یاد شده بود می گوید تا به حال هرگز چنین افزایش ترافیکی را در اثر حملات سایبری تجربه نکرده بود. تحقیقات بیشتر در این زمینه کماکان در جریان است.

[tanha.2011]

هدیه‌های فیس بوک ابتکار عمل تازه این شبکه اجتماعی برای تشویق کاربران به افشای هر چه بیشتر اطلاعات خصوصی و شخصیشان است.



به گزارش فارس به نقل از کامپیوترورلد، این سرویس که به کاربران فیس بوک امکان می دهد برای هم هدیه ارسال کنند آنها را مجبور می کند اطلاعات حساس شخصی خود مانند آدرس منزل، تاریخ تولد، اندازه پا و سایز مناسب لباس ها و .... را در این سایت افشا کنند، اقدامی که تبعات خطرناک امنیتی خواهد داشت.

با توجه به مشکلات امنیتی متعدد فیس بوک دسترسی هکرها و بدافزار نویسان به چنین اطلاعاتی می تواند زمینه را برای دزدی از منازل افراد هم فراهم آورد.

فیس بوک قبلا در سال 2010 امکان ارسال هدایای مجازی را از سوی اعضای خود برای مدت کوتاهی فعال کرده بود، اما ارائه این خدمات را بعد از مدت کوتاهی متوقف کرد و حال به کاربران امکان داده برای همدیگر هدایای واقعی ارسال کنند.

نکته نگران کننده دیگر همکاری فیس بوک با دهها شرکت تجاری برای ارائه این خدمات است که موجب می شود اطلاعات شخصی کاربران در اختیار این شرکت ها و افراد هم قرار بگیرد.

از جمله هدایای قابل ارسال از این طریق می توان به انواع خوردنی ها، عروسک ها، کارت های تبریک و ... اشاره کرد. این خدمات فعلا فقط در آمریکا ارائه می شود.

[VAHID]

ایتنا- شركت Adobe در حال تحقیق بر روی دو بدافزاری است که احتمالا منجر به سواستفاده از ویندوز خواهند شد.

در پی سوءاستفاده دو بدافزار از گواهینامه دیجیتالی Adobe، این شركت اعلام كرده است كه در چهارم اكتبر گواهینامه خود را غیر فعال می‌سازد.


به گزارش ایتنا از ماهر، شركت Adobe اعلام كرده‌است كه گواهینامه دیجیتالی امضای كد خود را به علت كشف سوءاستفاده یك بدافزار از این گواهینامه غیرفعال می‌سازد.

یكی از مدیران ارشد امنیتی Adobe بر روی بلاگ خود نوشته است:
" شركت Adobe در حال تحقیق در مورد استفاده نادرست از گواهینامه این شركت بر روی ویندوز است. ما برنامه‌ریزی كرده‌ایم كه این گواهینامه در چهارم اكتبر ۲۰۱۲ برای همه نرم‌افزارهایی كه بعد از ۱۰ جولای ۲۰۱۰ امضا شده‌اند، غیرفعال شود.
شواهدی كه ما یافته‌ایم نشان دهنده سوءاستفاده دو بدافزار مجزا است كه توسط گواهینامه Adobe امضا شده‌اند.
این موضوع نشان می‌دهد كه گواهینامه به صورت گسترده مورد سوءاستفاده قرار نگرفته است.
همچنین تا كنون شواهدی را مبنی بر افشای دیگر اطلاعات حساس Adobe همچون كد منبع یا اطلاعات مالی مشتریان و كارمندان مشاهده نكرده‌ایم."








itna.ir

[VAHID]

ایتنا- این به‌روزرسانی، به منظور اصلاح در رخنه‌های امنیتی IE در نسخه‌های 6 تا 9 انجام شد. لازم به ذکر است که نسخه 10 اینترنت اکسپلورر ایمن است.

اصلاحیه اینترنت اكسپلورر با برچسب MS12-063 منتشر شده است و پنج رخنه امنیتی را در IE برطرف می‌كند.

مایكروسافت یك اصلاحیه فوری برای اینترنت اكسپلورر منتشر كرد.
این به‌روزرسانی با برچسب MS12-063، پنج رخنه امنیتی را در IE برطرف می‌كند.


به گزارش ایتنا از ماهر، اواخر هفته گذشته یكی از این رخنه‌ها توسط یك محقق امنیتی كشف شده بود.

هكرها با سوء استفاده از این رخنه می‌توانستند ویندوز كامپیوترهای شخصی را به بدافزار آلوده كنند.

روز دوشنبه مایكروسافت یك راهنمای امنیتی منتشر كرد و این آسیب‌پذیری را تایید نمود و پس از آن یك "Fixit" برای این آسیب‌پذیری منتشر كرد.

مایكروسافت در بیانیه‌ای گفت: كاربرانی كه در حال حاضر shim را فعال كرده‌اند، می‌توانند آن را حذف نموده یا "Fixit" را غیر فعال نمایند و اصلاحیه امروز را اعمال نمایند.

به‌روزرسانی امروز مایكروسافت دارای رتبه "بسیار مهم" است. از چهار آسیب‌پذیری شناخته شده، سه آسیب‌پذیری مربوط به اینترنت اكسپلورر نسخه ۹ می‌باشد كه این نسخه ماه مارس ۲۰۱۱ عرضه شده است.

تنها یك آسیب‌پذیری مربوط به اینترنت اكسپلورر نسخه‌های ۷ و ۸ می‌شود.

تمامی این آسیب‌پذیری‌ها در اصلاحیه MS12-063 برطرف شده‌اند.

اصلاحیه MS12-063 بر روی تمام نسخه‌های ویندوز Xp، ویستا و ۷ اعمال می‌شود و نسخه‌های ۶، ۷، ۸ و ۹ اینترنت اكسپلورر را تحت تاثیر قرار می‌دهد

تنها اینترنت اكسپلور نسخه ۱۰ كه در مجموعه ویندوز ۸ قرار دارد، ایمن است.

به‌روزرسانی خارج از نوبت روز جمعه، اولین به روز رسانی خارج از نوبت امسال است كه مایكروسافت منتشر كرده است و از سپتامبر ۲۰۱۰، دومین به‌روزرسانی خارج از نوبت است.

این به‌روزرسانی نیز از ژانویه ۲۰۱۰، اولین اصلاحیه فوری برای یك آسیب‌پذیری zero-day در اینترنت اكسپلورر است.

كاربران ویندوز می‌توانند اصلاحیه MS12-063 را از طریقMicrosoft Update و Windows Update services اعمال نمایند.










itna.ir

[A M ! N]

و بسیار جالبه وحید جان که
درحال حاضر ایمن ترین مرورگر اینترنتی بر اساس تستهای اخیر انجام شده ، Internet Explorer هستش.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[VAHID]

ایتنا- مراقب باشید! شاید دوربین تلفن همراهتان، دستیار نیروهای امنیتی باشد!

کارشناسان ارتش آمریکا نرم‌افزار جدیدی برای تلفن‌های هوشمند ارائه کرده‌اند که می‌تواند دوربین تلفن همراه را به یک ابزار جاسوسی برای جرایم سایبری تبدیل کند.


به گزارش ایتنا از مهر، این دوربین می‌تواند به طور مخفیانه از خانه، دسته چک و دیگر اطلاعات خصوصی فرد تصویربرداری کرده و به نیروهای امنیتی بدهد.

این نرم‌افزار حتی می‌تواند یک مدل سه‌بعدی از خانه فرد تهیه کند که از آن هکرها می‌توانند اتاق‌های او را بازرسی کرده و به طور بالقوه‌ای اطلاعات را درباره مسائل ارزشمند در خانه و یادداشت‌های تقویمی جمع‌آوری کرده و همچنین از فرد جاسوسی کند.

این کاربرد که PlaiceRaider نام دارد توسط کارشناسان مرکز جنگ سطحی نیروی دریایی ارتش آمریکا در ایالت ایندیانا ساخته شده است تا چگونگی فعالیت مجرمان سایبری در آینده را نشان دهد.

مبتکران این کاربرد، زمانی که این گوشی تلفن هوشمند را در اختیار داوطلبان قرار دادند توانستند رقم‌های دسته چک آنها را بخوانند.

تا زمانی که این نرم‌افزار بر روی تلفن کاربر نصب باشد و تلفن شرایط را مناسب بداند می‌تواند تصاویر را از طریق تلفن ارسال کند.

از آن سو نرم‌افزار دیگری می‌تواند نقشه هایی را از اتاق مشاهده شده تهیه و فضا اتاق را بازسازی کند.

این گروه از پژوهشگران این تلفن‌های دارای نرم‌افزار جدید را به ۲۰ نفر دادند که از وجود این کاربرد خبر نداشتند و از آنها خواستند به طور عادی و معمولی در محیط کار از آن استفاده کنند.

آنها می‌گویند توانستند به اطلاعات مهمی از تمامی این ۲۰ کاربر دست پیدا کنند و تهیه تصویر سه‌بعدی دزدی اطلاعات را بسیار آسان‌تر کرده است.

محققان می‌گویند این کاربرد بر روی هر تلفن هوشمندی که سیستم عامل اندروئید ۲.۳ داشته باشد قابل استفاده است.

PlaceRaider از طریق استفاده از دوربین تلفن و دیگر حسگرها، می‌تواند مدل‌های سه بعدی از محیط‌های بسته تهیه می‌کند.









itna.ir