Category Archives: Allgemeine Informationen

WatchGuard Security Vorhersage 2016 #1 – Ransomware

WatchGuard 2016 Security Predictions: #1 Ransomware

by Corey Nachreiner

At the end of each year, WatchGuard’s security team and I like to spend some time imagining what the threat landscape might look like the upcoming year. This not only gives us the opportunity to analyze the security trends we’ve followed over the past year, but also allows us to creatively extrapolate what might happen next. Though our prediction don’t always hit dead on, they’re based on very real security trends, which means they could can help you prepare your defenses for 2016’s upcoming threats.

This year, I’ve come up with ten predictions covering a wide variety of security threats and trends that will impact many organizations. As 2015 comes to a close, let’s explore some of the new security threats we may see in the coming year. I’ll release one prediction a day for the next ten business days. Here’s the first of WatchGuard’s top ten new security predictions for 2016.

WatchGuard Security Prediction #1 – Ransomware Comes Looking for Your Droids

The first prediction focuses on ransomware, which has really taken off over the past three years. Ransomware has evolved from relatively feeble policeware variants like Reveton to extremely effective cryptoware samples like Cryptolocker and Cryptowall.

Unfortunately, these new strains of file encrypting malware are so good at their evil jobs that many victims have paid the ransoms. FBI agents have even gone on record recommending victims pay up.  Our acquiescence to this cyber ransom will only ensure that victims continue paying up in 2016. Proving to cyber criminals that this practice works, so expect them to up the stakes and continue refining their cryptoware techniques next year.

We expect the evolution in two main categories:

  • Targeting of wider platforms – Right now, ransomware primarily targets Windows victims. We’ve seen Mac, Linux, and Android samples, but those haven’t had much success yet. Next year, we expect this will change, and that cyber criminals will make very effective ransomware for alternate platforms; especially for Android mobile devices and Mac laptops.
  • Refinement of the extortion techniques – Now that cybercriminals have figured out victims are willing to pay for lost files, we suspect they’ll start to develop nasty new methods to tighten the screws on victims. Next year, expect them to target specific business files or other critical information. For instance, in the past they’ve encrypted web server files to temporarily take down a web server. Yet, imagine if they targeted password managers, thus preventing you from logging on to anything, or worse yet, if they targeted the SCADA systems used to run critical infrastructure. We also think they’ll up their psychological pressure by threatening to release your embarrassing files to the public or by harming your reputation in some other way.

In short, Cryto ransomware will get even worse in 2016, and will become more effective at stealing millions from Android and Mac users as well.  Visit our WatchGuard security predictions site to see a new daily security prediction over the next ten days.

— Corey Nachreiner, CISSP (@SecAdept)

WatchGuard Security Vorhersage 2016

2016-security-vorhersage

Cyber-Kriminelle kombinieren bekannte und neue Methoden, um ihren Einfluss zu vergrößern und in den Besitz von persönlichen Daten sowie geschäftskritischen Informationen zu gelangen. Setzen Sie dazu die Security Best Practices um:

  • Trainieren Sie Ihre Angestellten dahingehend, dass sie Bedrohungen und Social Engineering-Versuche frühzeitig erkennen.
  • Verwenden Sie in Ihrer IT die neuesten Sicherheitstechnologien ein, damit Sie die von uns für 2016 erwarteten Angriffe sofort bemerken und in Echtzeit dagegen vorgehen können.

#1

#2

#3

 

watchguard_2016_security_predictions_ebook

Neues Software Release Fireware 11.10.4 und WSM 11.10.4

Software Release Updates
WatchGuard is pleased to announce the availability of a significant new maintenance update, Fireware 11.10.4 and WSM 11.10.4. The new releases provide many key bug fixes, some new enhancements, and support of latest operating systems. Key highlights include:

  • SMTP proxy can be configured to block executable files within compressed archives, which can help prevent the spread of malware and ransomware.
  • Mobile VPN with SSL client now supports Mac OS X 10.11 (El Capitan)
  • XTMv support for VMware ESXi 6.0
  • Ability to deprecate SHA-1 certificates so that only the more secure SHA-256 cryptographic algorithm is used.

Please review the Release Notes to see a comprehensive list of known issues that have been fixed. Although this is primarily a maintenance update, there is a short What’s New presentation that describes the details of all new enhancements.

Does This Release Pertain to Me?
The Fireware release applies to all Firebox and XTM appliances, except XTM 21/21-W, 22/22-W, or 23/23-W.

Neues Software Release Fireware 11.10.2 Update 2

Software Release Updates
WatchGuard is pleased to announce the availability of a two important maintenance releases.

Fireware 11.10.2 Update 2
Fireware 11.10.2 Update 2, posted on Sept 17th, provides many key bug fixes, resolving some crashes in the SMTP proxy, and providing a new version of the Premium IPSec VPN client (NCP). The Firebox M200 also now includes the full enterprise anti-Virus signature set. There is no corresponding update to WatchGuard System Manager.

Dimension 2.0.1
WatchGuard Dimension 2.0.1 was posted on Sept 22nd, providing international localization along with many bug fixes. Key highlights include:

  • Localization in Japanese, Spanish, and French.
  • A number of security fixes and cipher strength upgrades, including adding TLS 1.2 support and removing TLS 1.0, which showed as an issue on PCI compliance scans.
  • Official Support of VMware ESXi 6.x
  • Performance: Improved Executive/Security Dashboard responsiveness.

As always, please review the Release Notes to see a full list of known issues that have been fixed.

Does This Release Pertain to Me?
The Fireware release applies to all Firebox and all XTM appliances, except XTM 21/21-W, 22/22-W, or 23/23-W.

Neues Software Release Fireware 11.10.2 und WSM 11.10.2

Fireware and WSM version 11.10.2
WatchGuard is pleased to announce the General Availability (GA) of Fireware 11.10.2 and WSM 11.10.2.

What’s new in 11.10.2?
Along with many bug fixes, the new maintenance release also includes:

  • Support for Firebox M200 and M300
  •      Application Control fixes to identify applications used over proxy policies
    ·         Windows 10 verification for WatchGuard client software components
    ·         Support for new AT&T Beam and Pantech USB modems

The “What’s New in 11.10.2” presentation includes a full description of all new features.

Does This Release Pertain to Me?
The Fireware release applies to all Firebox and XTM appliances, except XTM 21/21-W, 22/22-W, or 23/23-W appliances.

Blocked Ports List

Vor ein paar Tagen kam eine Supportanfrage herein, weil eine statische NAT-Regel (eingehend) nicht funktionieren würde, die auf den Port 8000 eines bestimmten internen Servers zielte. Im internen Netz antwortete der Server aber völlig korrekt auf Port 8000 und auch das Routing war in Ordnung.
Die Lösung fand sich im Untermenü Setup > Default Threat Protection > Blocked Ports… Per Default läßt die WatchGuard Firebox keine eingehenden Verbindungen auf den Ports 1, 111, 513, 514, 2049, 6000, 6001, 6002, 6003, 6004, 6005, 7100 und 8000 zu. Diese Liste kann jedoch manuell angepasst werden.

Achtung bei „Rcpt To“ im SMTP-Proxy bei Verwendung des Webinterface

Ein offensichtlicher Bug tritt zutage, wenn das Webinterface (WebUI) verwendet wird, um in einer SMTP-Proxy Action Änderungen an der möglicherweise dort hinterlegten Rcpt To Liste mit den erlaubten E-Mail-Adressen vorzunehmen. Um in die existierende Liste z.B. eine weitere Adresse aufzunehmen, muss das Häkchen Limit email recipients aktiviert werden. Nach dem Hinzufügen mit „Add“ wird die Änderung logischerweise über den Save-Button auf die Firebox hochgeladen. Leider führt das dazu, dass alle Adressen in der Liste plötzlich nicht mehr mit der Action Allow versehen sind, sondern mit Deny!!! Es kommen also plötzlich überhaupt keine E-Mails mehr herein. Erst wenn das Häkchen wieder herausgenommen wird – und auch diese Änderung wieder mit „Save“ auf die Firebox hochgeladen wird – ist das Verhalten wieder so wie bezweckt…

Fireware XTM 11.0.1 und WSM 11.0.1

Seit dem 03.09.2009 stehen die ersten gepatchten Versionen der Fireware XTM und WSM 11 im Downloadportal zur Verfügung. Ich habe bislang etwa 20 Migrationen auf Version 11 durchgeführt und bin mit der generellen Funktionalität und Stabilität unter dem Strich ganz zufrieden. Die lange Wartezeit hat sich offenbar gelohnt, denn durch die extrem lange Beta-Phase konnten offenbar doch die meisten Bugs bereits im Vorfeld gefunden und entschärft werden. Nachdem nun hier etwas Ruhe einkehrt, werde ich in den nächsten Tagen und Wochen hier wieder häufiger über Besonderheiten und Tipps berichten.

Verbindungsprobleme wegen Ethernet Collisions

In der letzten Zeit hatte ich einige Supportfälle, bei denen zum Beispiel über Download langsam (oder fehlschlagend) bzw. VPN-Verbindung instabil geklagt wurde. Als Ursache konnte jeweils eine Inkompatibilität auf Ethernet-Ebene zwischen der WatchGuard Firebox und – entweder dem vorgelagerten Übergabe-Router des Internet-Providers (im Regelfall an eth0) – oder dem internen Netzwerk-Switch (im Regelfall an eth1) lokalisiert werden, wodurch jeweils Ethernet Errors bzw. Ethernet Collisions auftraten. Bei einer X Edge findet sich die Ethernet Statistik bei System Status > Interfaces:

Bei X Core und X Peak öffnen Sie den WSM, dann den Firebox System Manager. Auf der Registerkarte System Status scrollen Sie dann herunter, bis Sie den vergleichbaren Abschnitt finden.
Grundsätzlich sollten die Ethernet Errors und Collisions auf allen Interfaces dauerhaft auf Null bleiben. Laufen die Werte hoch, haben Sie ein Problem. WatchGuard empfiehlt, die Netzwerk-Interfaces an der Firebox auf „Auto Sensing“ zu belassen. Insofern sollte zunächst das Interface auf dem Router oder (managebaren) Switch manuell auf einen festen Wert eingestellt werden, um eine Kombination zu finden, die keine Errors und Collisions produziert. Gelegentlich hilft auch der Austausch des Netzwerkkabels.
Bei den aktuellen Supportfällen handelte es sich jeweils um eine 2 Mbit Company Connect Leitung der Telekom / T-Systems mit einem Cisco als Übergaberouter. Nach einer Störungsmeldung bei der Telekom dauerte es ca. 10 Minuten, bis die Kollegen dort ihren Router per Fernzugriff umkonfiguriert hatten und der Spuk mit den Errors und Collisions ein Ende hatte… 🙂