Bereme každé vaše heslo!

Není na závadu, když občas spamovým filtrem projde nějaká nevyžádaná pošta. Člověk aspoň vidí, co teď "frčí".

Pěkný příklad sociálního inženýrství aneb jak vytáhnout podvodem z lidí přístupové údaje k jejich e-mailům:

1. Přijde nevyžádaný e-mail
2. V mailu je odkaz na dokument na Google docs a nějaký důvod, proč byste se na ten dokument měli podívat (katalog produktů naší firmy, zaručený recept na zhubnutí, nové pornofotky...)
3. Pokud na odkaz kliknete (ne, nevede na stránky Googlu, ale někam jinam, ale kdo si toho všimne, že), objeví se stránka s logem Googlu a s nápisem, že pro přístup k dokumentu se musíte přihlásit
4. Nejlépe svým heslem k Gmailu, ale není to podmínka - stačí heslo k Yahoo mailu, Windows live, AOL nebo od libovolného jiného e-mailového účtu - klidně i od Seznamu nebo firemního. Nepohrdnou žádným.

Nalítne na to někdo? Asi ano :(

Našli jsme 25 milionů a nevíme, co s nimi

Tenhle kousek spamu stojí za to si přečíst, rozhodně pobaví. Autoři ho pro jistotu doplnili názorným obrázkem. Chtěl bych vidět člověka, co jim na to skočí....

První dojem z Horského lva

Mac OS 10.8 alias Mountain Lion mám nainstalovaný. Je to můj pracovní nástroj a pracuji a nemám čas ho podrobně zkoumat, tak jen první dojmy:

• Upgrade z 10.7 - bezproblémový. Vyžaduje sice stáhnout 4.3GB dat po síti, což může narazit na FUP, ale návody na vytvoření instalaček na flashdisku se vyskytují na síti ve velkém množství, nelze je nenajít.
• Kompatibilita aplikací - podle očekávání nefungují pluginy do Mailu, ale jediné opravdu důležité, co mi neběží, je bohužel VMware Fusion verze 3. Zatím mi slouží 30-denní trial verze 4, ale bude nutné buď čtyřku koupit nebo rozběhat W7 pod VirtualBoxem.
• Gatekeeper - důležitá novinka, daleko víc než změny "tlačítko xyz vypadá jinak". Defaultně je nastavený na "povolit aplikace stažené z Mac App Store a od známých vývojářů" a překvapivě ničemu nebrání. Aplikaci "od neznámého vývojáře" jsem zatím potřeboval spustit jen jednu a jde to jednoduše - kliknout na ni pravým tlačítkem a vybrat "Otevřít" v menu. Systém se zeptá, jestli ji opravdu chci otevřít (pro jistotu 2x) a pak ji spustí.
• Soukromí - systém nově hlídá přístup aplikací ke kontaktům a vyžádá si pro ně souhlas (u mě třeba pro Adium). Hodnotím kladně.
• Twitter - je hlouběji integrovaný do systému - na různých místech je nabídka "sdílení", která zahrnuje možnost poslat i přes Twitter - třeba v Safari nebo v Oznamovacím centru. Dále umí systém podle e-mailů a telefonních čísel v kontaktech dohledat na Twitteru jejich fotky a jména a doplnit je ke kontaktům. Neodvážil jsem se použít - znamenalo by to, že seznam e-mailů a telefonů z mých kontaktů se pošle po netu bůhví kam. Každopádně na to systém upozorňuje. Apple slibuje, že během roku zaintegruje stejným způsobem do systému Facebook.
• První dojem - pár nedotažených detailů. Jako příklad uvádím okno, které se mi ukázalo při prvním spuštění Safari. Záložky jsem měnit nechtěl a netuším, co tím chtěl autor říct. Bohužel mi to připomíná jiný operační systém.

Mail Unread Menu - utilitka pro Apple Mail

Mail Unread Menu je plugin pro Apple Mail. Obohacuje ho o jednu funkci, která mi chyběla. Normálně Apple Mail ukazuje počet nových mailů červeně na své ikoně v Docku. Ale já kvůli úspoře místa na monitoru nechávám Dock automaticky zajíždět a proto jsem začal hledat, jestli by šel Apple Mail nastavit tak, aby malé červené kolečko s číslem ukazoval místo na ikoně v Docku ve stavovém řádku. Aplikace sama od sebe to neumí, ale našel jsem právě skvělý plugin Mail Unread Menu.
Zhruba po měsíci můžu říct, že plugin funguje a překvapivě umí víc věcí, než jsem čekal:

• volitelně umí ukazovat počet nových, ale i nepřečtených a přečtených mailů
• poradí si s tím, že používáte víc e-mailových účtů najednou, POP3 nebo IMAP
• ukazovat počet nepřečtených mailů jen v inboxu nebo ve všech složkách
• určité složky ignorovat
• nastavit typ a barvu ikonky a čísel ve stavovém řádku
• vyvolat Mail kliknutím na ikonku ve stavovém řádku

Zkrátka je vidět, že autor na tomto pluginu pracuje už dlouhou dobu.

Utilitka je zdarma a pokud ji člověk považuje za hodně užitečnou, může autora dle vlastního uvážení obdarovat přes PayPal.

Find and Call - První malware pro iPhone?

Firma Kaspersky upozornila na problematické chování aplikace Find and Call pro iOS (a též její varianty pro Android).

Stručně - pokud si tuto aplikaci někdo nainstaloval a spustil, všem lidem, které měl na telefonu v adresáři, přišla z jeho telefonního čísla sms s výzvou, aby si tuto aplikaci nainstalovali a mohli si s ním přes ni volat. Kaspersky to označili za malware a Apple poté tuto aplikaci vyřadil z AppStoru.

Aplikace byla pravděpodobně v ruském AppStoru a komunikovala výhradně rusky a v azbuce. Ze screenshotů, které jsem na netu našel, tipuji, že se tvářila jako aplikace pro bezplatné telefonování a posílání textových zpráv přes Internet.

Po spuštění byl uživatel vyzván k registraci zadáním své e-mailové adresy a telefonního čísla, načež se ho aplikace zeptala, zda má nalézt v jeho adresáři lidi, kteří také tuto aplikaci používají a se kterými může přes ni komunikovat. V tu chvíli aplikace odeslala obsah adresáře telefonu na firemní server.

To není vůbec pěkné, ale ani mimořádné - tak se chová celá řada používaných aplikací tohoto typu (např. Path) a je to pochopitelné řešení (byť mně osobně se nelíbí a tyto aplikace raději nepoužívám - nechci vyměnit osobní údaje přátel za možnost poslat jim "zdarma" sms).

To ošklivé se stalo následně:

• Všichni lidé z adresáře dostali nevyžádanou sms s výzvou k instalaci aplikace
• SMS se tvářila, že přišla z mobilního čísla toho, kdo si aplikaci nainstaloval - příjemci si tedy museli myslet, že jim ji poslal on sám osobně
• Aplikace se tedy tímto způsobem "sama" šířila

Autor aplikace se brání nařčení ze zlých úmyslů tím, že

• Údajně šlo o chybu systému - špatně vymyšlenou reklamní kampaň
• Telefonní číslo odesílatele sms je podvržené - sms rozesílal ve skutečnosti jejich server, neposílal je telefon uživatele a tudíž je uživatel neplatil a neutrpěl žádnou škodu

Aplikací, které si vyžádají přístup k adresáři a pak ho někam odešlou, je celkem dost - např. ještě Tango Video Calls. Aplikace o to musí uživatele požádat, ovšem ten to odklikne s vidinou, že dostane něco zdarma. Někdy to může být na první pohled nenápadné (případ aplikace pro LinkedIn), jindy uživatelé naprosto nechápou o co jde a poslušně splní vše, co po nich aplikace chce a neuvažují nad možností případného zneužití (viz Facebook a podobné služby s jejich vnucujícím se "teď zadejte své login a heslo od vašeho e-mailu"). Případ Find and Call je podle mého názoru význačný tím, že na tento problém upozorňuje.

 

Publikováno z Blogsy