Nieuwe Conficker variant begint bij nul
Op zestien februari werd een nieuwe variant van de beruchte Conficker worm ontdekt, die de auteurs makkelijker besmette machines laat gebruiken. Dat geldt echter niet voor de al meer dan 10 miljoen met variant B geïnfecteerde computers. In eerste instantie was het onderzoekers niet duidelijk dat het om Conficker B++ ging, maar verdere analyse bracht wat kleine aanpassingen aan het licht. Zo bevat deze versie een nieuwe backdoor functionaliteit. Vorige Conficker versies patchten het beveiligingslek in de Windows Server service waardoor ze binnenkwamen, in het geheugen.
De B++ variant, of Conficker.C zoals Microsoft hem noemt, past een aangepaste patch toe, die een specifiek patroon in inkomende shellcode en een URL zoekt. De via de URL aangeboden lading wordt alleen uitgevoerd als de malware die heeft geverifieerd. Er is echter geen eenvoudige manier voor de bende achter Conficker om het bestaande netwerk met de nieuwe variant te upgraden. Dit betekent dat Conficker.C weer van vooraf aan moet beginnen.
Interessant daaruit vind ik ook:
Heeft iemand een goede verklaring waarom AV-oplossingen zo slecht presteren bij Conficker varianten?
http://ascii-table.com/img/keyboard-465.png
zo erg ziet dat er dus niet uit ;)
Ik ben dan wel geen security expert of hacker/cracker whatsoever gewoon een student aan een beheeropleiding maar ik heb wel respect voor deze coders.
Jammer dat ze kwaad in de zin hebben.
@bitwiper.
Misschien heeft het te maken met de Windows server service waar het verbinding mee legt. waarschijnlijk detecteert de AV het pas wanneer hij andere malware download.
Ik blijk toch ervaring te hebben met de conflicter.A alleen dan onder een andere naam.
Een wijze les geleerd, je kan beter updates Pushen i.p.v. wachten totdat users ze detecteren.
En het downloaden van encrypted spul helpt de antivirus ook niet. Kaspersky heeft wel de mogelijkheid tot secure verbindingen te scannen, alleen neemt dat ook weer andere risico's met zich mee.
de software voert een MITM uit waardoor je een selfsigned certificate krijgt toegeven vanuit kaspersky. Geen enkele browser pikt dit natuurlijk ;)
Heel eenvoudig: signature based AV heeft weinig toegevoegde waarde omdat de wormen meer en meer polymorf worden. Bovendien is het zo dat de eigenlijke infectie piepklein is en redelijk onschuldig maar dat die dan nieuwe payload gaat halen van andere (obscure) servers. Die nieuwe payload is dan zo specifiek dat geen enkele AV snel genoeg is om hem te detecteren. En die nieuwe payload bevat dan doorgaans de meest geavanceerde rootkit technologie om zich blijvende te verstoppen.
De enige effectieve manier om dit tegen te gaan is de administratieve rechten afpakken van al wie ze niet nodig heeft op z'n pc en een Host Based IPS (McAfee HIPS, Cisco CSA etc...) te installeren. Laat dat nu net dingen zijn waar een consument geen boodschap aan heeft.
Heel eenvoudig: signature based AV heeft weinig toegevoegde waarde omdat de wormen meer en meer polymorf worden.
Dat nageladen spul lastig te detecteren is snap ik. IPS, non-admin, allemaal prima, maar we geven met z'n allen geld uit aan AV als first line of defense (detectie van malware voordat deze wordt opgestart. Daarbij is een MS08-067 infectie in eerste instantie lastig mee te tellen omdat virusscanners op file-I/O triggeren. Aan de andere kant wordt er vervolgens een DLL naar C:\Windows\System32 geschreven en dat mag toch wel op enige aandacht rekenen! Van AV verwacht ik zekerl dat ze bij het lezen van de malware vanaf een USB-stick of netwerk-share alarm slaan.
Een bestand van ca. 60kB dat zich verspreidt moet voorspelbaar en te detecteren zijn. Behalve gissen zie ik nog geen onderbouwde verklaring waarom Conficker zo slecht gedetecteerd wordt door gangbare AV-oplossingen.
De B++-variant heeft 3 modificaties plus 39 nieuwe subroutines, waarmee de globale Cabal-samenwerking geinitieerd door Microsoft word omzeild. Zonder die samenwerking had Conficker eenzelfde of grotere impact gehad dan Sasser of Storm.
In alle varianten komt het erop neer dat er een buffer-overflow gecreeerd word.
Verdere analyse & beknopte vertaling gaat me boven de pet. ;-)
Hieronder een link naar een artikel hoe de worm te werk gaat:
http://www.dshield.org/diary.html?storyid=5842
In dat artikel concludeert de schrijver dat Conficker niet is geschreven door een amateur maar door een professional.
Deze software bevindt zich buiten de Windows partities, ze zit geëncrypteerd in ongepartitioneerde raw-data ruimte, opgedeeld in stukken. Buiten dat is er nog veel meer aandacht besteed aan het niet gedetecteerd worden.
Hahahaha =P
Dark
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.