Hackers misbruiken jaar oud ongepatcht Windows lek
Aanvallers gebruiken een beveiligingslek in Windows waar Microsoft al een jaar van weet, maar nog geen update voor heeft uitgebracht. De "token kidnapping" kwetsbaarheid zorgt ervoor dat een aanvaller zijn rechten op het systeem kan verhogen en zo volledige controle krijgt. Het probleem, dat Windows XP, Server 2003, Server 2008 en Vista treft, werd in maart vorig jaar door de Argentijnse beveiligingsonderzoeker Cesar Cerrudo onthuld en aan Microsoft gemeld. Een half jaar later in oktober verscheen er exploitcode op het internet en gaf de softwaregigant een waarschuwing af, maar geen update. De exploit is met name gevaarlijk voor Windows systemen die IIS of SQL Server draaien.
Het Internet Storm Center waarschuwt dat aanvallers de kwetsbaarheid in een "drietraps aanval" misbruiken. Het begint met een lekke webapplicatie die aanvallers bestanden op de server laat uploaden. Aangezien de server de bestanden niet valideert, weet de aanvaller een .Net Webshell, genaamd ASPXSpy te plaatsen. Hiermee kan hij de server controleren en bestanden uploaden en uitvoeren. Toch heeft de aanvaller nog geen volledige controle over het systeem, aangezien de IIS server onder een account met onvoldoende rechten draait. Via het Windows-lek en de exploitcode die al in oktober verscheen, krijgt de aanvaller wel alle rechten en plaatst vervolgens een backdoor.
"Dit is weer een incident dat Microsoft had kunnen voorkomen. Om het nog eens te herhalen, het bedrijf wist al meer dan een jaar geleden van dit probleem en ondanks de aanwezigheid van proof-of-concept code is er geen patch voor getroffen Windows gebruikers", aldus onderzoeker Dancho Danchev. Hij adviseert gebruikers om in afwachting van een patch het advies van Microsoft te volgen. Dit is niet het enige ongepatchte lek in Windows, sommige problemen wachten al 729 dagen op een update.
Dus eigenlijk is je site dan ook al mogelijk gedefaced en is je database gepikt.
Alleen door een update die microsoft nog niet gepatched heef (111!!!111~~~~) dan kan je pas code uitvoeren.
Dus het is niet de fout van de programmeur die een foute code schrijft, maar microsoft!!!!!````~~~~.
Hij heeft weer een (of meer) servers om kwade dingen mee te doen.
Hoe het allemaal gaat werken in om een bestuuringsysteem veiliger maken mag joost weten.
En misschien gebruikt Microsoft wel VHD bestand als een gebruikers account en een map sharedfolder.vhd voor de virtueel webbrowser, en zo wanneer je iet's installeerd wordt het op een VHD bestand geinstalleerd en niet meer in system32. En met systemrestore een klik op knop pc's herstart en verwijderd alleen gegevens die zijn voorgeinstalleerd en automatisch verdwijnen dan ook je internet history, malware gegevens en foto's !
Als je een gatenkaas computer hebt moet je geen Windows installeren, omdat het anders dan op gaten gaat draaien.
Zorg er naast voor je eigen beveiliging!
Dus eigenlijk is je site dan ook al mogelijk gedefaced en is je database gepikt.
Alleen door een update die microsoft nog niet gepatched heef (111!!!111~~~~) dan kan je pas code uitvoeren.
Dus het is niet de fout van de programmeur die een foute code schrijft, maar microsoft!!!!!````~~~~.
ik sluit me aan bij Napped ;)
Hij heeft weer een (of meer) servers om kwade dingen mee te doen.
Harrie de Hacker ? .... broertje van Joe the Plummer ? :P
Tell us something new... ;)
(Virusscanners bieden praktisch uitsluitend een psychologische bescherming tegen paranoia en onbenul voor mensen met geld te veel en kennis te weinig, als beveiliging zijn ze waardeloos tenzij je misschien er 37 tegelijk hebt draaien, en zelfs dan nog moet je de eerste dagen (weken) geen bescherming verwachten tegen een actueel stukje malware.
Dat is m.i. helaas de trieste realiteit)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.