Sasfis Trojan fopt Windows met RLO-techniek
De Japanse overheid waarschuwt internetgebruikers voor een Trojaans paard dat op een Excel bestand lijkt, maar in werkelijkheid een uitvoerbaar bestand is. De Sasfis Trojan is al een aantal maanden actief en installeert volgens Trend Micro meestal een buslading malware op geïnfecteerde systemen.
Onlangs ontdekte de virusbestrijder een nieuwe variant die de right-to-left override (RLO) techniek hanteert. De malware arriveert per e-mail als .RAR bijlage, die weer een .XLS bestand bevat. Bij het uitpakken van het bestand ziet het er ook uit als een legitiem Excel-bestand. In werkelijkheid is het een screensaver, die een Trojaans paard installeert.
Extensie
Hoewel het om een Excel worksheet lijkt te gaan, bevat het een Win32 binaire header, die alleen uitvoerbare bestanden hebben. De werkelijke bestandsnaam is phone&mail).[U+202e}slx.scr, waarbij U+202e het Unicode control karakter is, dat het systeem vertelt om alle opvolgende karakters van rechts naar links te renderen. Voor de gebruiker ziet het bestand eruit als phone&mail).xls.scr. Aangezien bij Windows standaard bestandsextensies staan uitgeschakeld, kan de gebruiker denken dat het om een Excel-bestand gaat, terwijl het in werkelijkheid een uitvoerbaar .SCR-bestand is.
rcs.xls
En zal de gebruiker dat zien... Lijkt me logischer in dit verhaal, want het is dan "maar" een xls bestand.
Laten we het daarom even met een nieuwe naam proberen. Stel dat de originele, niet omgekeerde bestandsnaam "slx.scr" is. ".scr" is een uitvoerbare extensie voor Windows. Deze naam wordt voor een test omgekeerd met de unicode truuk.
Wat de gebruiker dan ziet is "rcs.xls". Deze naam is zichtbaar onder zowel Windows Explorer (XP) en WinRAR. Zodra het bestand wordt geopend zal het worden uitgevoerd als "slx.scr". Je kunt stellen dat het voor een doorsnee gebruiker van een links naar rechts schrift "rcs.xls" niet te herkennen is als een uitvoerbaar bestand, en dat ze het kunnen aanzien voor een Excel spreadsheet. Het is nog overtuigender als het uitvoerbare bestand het Excel icoontje gebruikt.
Voor degenen die zelf een unicode naam willen maken, een manier is:
1. Open WordPad.
2. Typ: 202e
3. Typ ALT-X (ALT toets ingedrukt houden, dan X toets)
4. Typ slx.scr
5. Selecteer en kopieer de getypte tekst
6. Hernoem een uitvoerbaar bestand met de gekopieerde tekst.
7. Voer het bestand uit.
Jij weet dat, ik weet dat.
de meeste hier weten dat.
Maar de rest van het DOM klik volk weet dat niet.
die zijn allang blij dat ze hun pr0n kunnen downloaden.
Na al die jaren blijf je me verbazen met dit soort opmerkingen...
Tja, onbegrijpelijk dat die idiote beslissing nog steeds niet ongedaan is gemaakt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.