Nieuws
image

"Windows 7 had RSA-hack voorkomen"

dinsdag 6 december 2011, 09:07 door Redactie, 15 reacties

De aanval op RSA had voorkomen kunnen worden als het beveiligingsbedrijf geen Windows XP, maar Windows 7 had gebruikt. Dat stelt Rodrigo Branco, onderzoeker bij Qualys. In maart wisten aanvallers bij RSA in te breken en daar zeer gevoelige informatie te stelen, waarmee later andere bedrijven werden aangevallen. Voor de aanval werd een zero-day beveiligingslek in Adobe Flash Player gebruikt. De exploit zat in een Excel spreadsheet verstopt die naar een aantal werknemers van het bedrijf werd gestuurd. Eén werknemer opende uiteindelijk de ongevraagde bijlage.

Volgens Branco wijst alles erop dat de gehackte computer een volledig gepatchte versie van Windows XP met Service Pack 3 draaide. Deze Windows-versie beschikt over DEP (data execution prevention). Een beveiligingsmaatregel die misbruik van geheugenlekken moet voorkomen. DEP staat echter niet standaard ingeschakeld en RSA zou het ook niet op het tien jaar oude besturingssysteem hebben ingeschakeld

Windows
De onderzoeker baseert zijn verdenking op het feit dat DEP op Windows 7 en Vista de werking van de exploit voorkomt. De aanvallers hebben mogelijk eerst uitgezocht of RSA het oude Windows XP draaide of gingen hier gewoon vanuit. "Het is niet lastig om dit soort informatie van bedrijven te krijgen", merkt Branco op. "Programma's zoals browsers lekken dit soort informatie continu."

RSA had de aanval, waarbij het alleen al 66 miljoen dollar betaalde voor het vervangen van SecurID tokens van klanten, kunnen voorkomen door te migreren naar Windows 7, of het inschakelen van DEP op Windows XP, concludeert Branco. Eerder liet Microsoft al weten dat de aanval via het Excel-bestand niet op computers met Office 2010 werkt, aangezien het programma DEP automatisch inschakelt.

Reacties (15)
06-12-2011, 09:28 door Anoniem
Of ze hadden NetBSD gebruikt, een systeem dat al jaren bekent staat als het OS met de minste veiligheidslekken.

Het is toch al opmerkelijk dat een bedrijf in de computer beveiliging een verouderde Windows versie gebruikte.
06-12-2011, 09:29 door Anoniem
huhh.....??

je zou verwachten dat de aanbeveling is uberhaubt geen windows te gebruiken maar nee... ze raden een besturings systeem aan waar de ene na de andere zero-day exploit wordt ontdekt..
06-12-2011, 09:33 door Anoniem
This looks like a job for CAPTAINNNNN HINDSIGHTTTTT!
After a freak accident this superhero aquired amazing hindsight!

He always knows what to do, after it happened.

Dit is echt weer een nutteloze post.
Als, Als, Als, Als,
06-12-2011, 09:38 door rob
De aanval op RSA was waarschijnlijk tailor-made. De conclusie trekken dat ze voor Windows 7 geen zero day hadden kunnen exploiteren lijkt me niet kloppen. Dit wordt min of meer ook in het artikel genoemd, toch gebruik je dit als titel?
06-12-2011, 10:17 door SirDice
Volgens Branco wijst alles erop dat de gehackte computer een volledig gepatchte versie van Windows XP met Service Pack 3 draaide.
Niet relevant aangezien de aanval zich richte op third party software (Adobe Flash).

De onderzoeker baseert zijn verdenking op het feit dat DEP op Windows 7 en Vista de werking van de exploit voorkomt.
Volgens mij maakt Adobe Flash geen gebruik van DEP en dus was de aanval ook gelukt als ze Windows 7 of Vista hadden.

RSA had de aanval, waarbij het alleen al 66 miljoen dollar betaalde voor het vervangen van SecurID tokens van klanten, kunnen voorkomen door te migreren naar Windows 7, of het inschakelen van DEP op Windows XP, concludeert Branco.
Beetje jammer dat'ie volledig voorbij gaat aan het feit dat ook de Adobe flash software dit moet ondersteunen.
06-12-2011, 10:30 door Anoniem
"Windows 7 had RSA-hack voorkomen"

Volstrekte onzin wanneer het gaat om een advanced persistent threat. Indien deze vulnerability niet had gewerkt, dan hadden de aanvallers wel een andere methode gevonden om binnen te komen. Daarnaast heeft SirDice volledig gelijk omtrent zijn commentaar mbt Adobe Flash.

Je zou toch verwachten dat de redactie van www.security.nl doorheeft dat de titel van dit bericht op zijn zachtst gezegd nogal misleidend is. Jammer.
06-12-2011, 11:13 door spatieman
goh,. wij van WC eend gehalte.
06-12-2011, 11:13 door Anoniem
Door SirDice:
Volgens Branco wijst alles erop dat de gehackte computer een volledig gepatchte versie van Windows XP met Service Pack 3 draaide.
Niet relevant aangezien de aanval zich richte op third party software (Adobe Flash).

De onderzoeker baseert zijn verdenking op het feit dat DEP op Windows 7 en Vista de werking van de exploit voorkomt.
Volgens mij maakt Adobe Flash geen gebruik van DEP en dus was de aanval ook gelukt als ze Windows 7 of Vista hadden.

RSA had de aanval, waarbij het alleen al 66 miljoen dollar betaalde voor het vervangen van SecurID tokens van klanten, kunnen voorkomen door te migreren naar Windows 7, of het inschakelen van DEP op Windows XP, concludeert Branco.
Beetje jammer dat'ie volledig voorbij gaat aan het feit dat ook de Adobe flash software dit moet ondersteunen.

Dit klopt niet helemaal, DEP is iets wat moet aanstaan op een heel OS, dit is niet applicatie specifiek (wat wel het geval is met bv /gs (stack canary))
06-12-2011, 11:27 door Anoniem
Ik zou zeggen:
Elk ander OS had dit RSA-lek kunnen voorkomen.
(zolang het maar geen windows versie betreft natuurlijk)
06-12-2011, 11:46 door SirDice
Door Anoniem:
Door SirDice:
Volgens Branco wijst alles erop dat de gehackte computer een volledig gepatchte versie van Windows XP met Service Pack 3 draaide.
Niet relevant aangezien de aanval zich richte op third party software (Adobe Flash).

De onderzoeker baseert zijn verdenking op het feit dat DEP op Windows 7 en Vista de werking van de exploit voorkomt.
Volgens mij maakt Adobe Flash geen gebruik van DEP en dus was de aanval ook gelukt als ze Windows 7 of Vista hadden.

RSA had de aanval, waarbij het alleen al 66 miljoen dollar betaalde voor het vervangen van SecurID tokens van klanten, kunnen voorkomen door te migreren naar Windows 7, of het inschakelen van DEP op Windows XP, concludeert Branco.
Beetje jammer dat'ie volledig voorbij gaat aan het feit dat ook de Adobe flash software dit moet ondersteunen.

Dit klopt niet helemaal, DEP is iets wat moet aanstaan op een heel OS, dit is niet applicatie specifiek (wat wel het geval is met bv /gs (stack canary))
Dit is niet juist. DEP is aan of uit te zetten per virtuele memory map.

Hardware-enforced DEP relies on processor hardware to mark memory with an attribute that indicates that code should not be executed from that memory. DEP functions on a per-virtual memory page basis, and DEP typically changes a bit in the page table entry (PTE) to mark the memory page.
http://support.microsoft.com/kb/875352
06-12-2011, 11:54 door SirDice
De DEP instellingen van Windows 7 zijn overigens hetzelfde als die van XP. DEP staat alleen aan voor essentiele Windows componenten.
06-12-2011, 12:45 door Anoniem
Door Anoniem: Ik zou zeggen:
Elk ander OS had dit RSA-lek kunnen voorkomen.
(zolang het maar geen windows versie betreft natuurlijk)
Deze aanval gebruikte een Windows lek. Als RSA met Linux werkte hadden ze juist daar een hack voor gemaakt. Dit was een gerichte aanvral. En voor Windows XP is het open doel natuurlijk wel erg groot. Voor Windows 7 is het doel kleiner, en voor Linux ook aanwezig.
06-12-2011, 12:50 door Anoniem
"Ik zou zeggen: Elk ander OS had dit RSA-lek kunnen voorkomen."

Lol, het ging om een kwetsbaarheid in Adobe Flash. De vulnerability lag op applicatieniveau, niet op OS niveau. Omtrent de gebruikte vulnerability :

Unspecified vulnerability in Adobe Flash Player 10.2.154.13 and earlier on Windows, Mac OS X, Linux, and Solaris; 10.1.106.16 and earlier on Android; Adobe AIR 2.5.1 and earlier; and Authplay.dll (aka AuthPlayLib.bundle) in Adobe Reader and Acrobat 9.x through 9.4.2 and 10.x through 10.0.1 on Windows and Mac OS X, allows remote attackers to execute arbitrary code or cause a denial of service (application crash) via crafted Flash content, as demonstrated by a .swf file embedded in an Excel spreadsheet, and as exploited in the wild in March 2011.

http://www.adobe.com/support/security/bulletins/apsb11-05.html

Het maakte dus niets uit het ging om Adobe Flash Player voor Windows, danwel voor een ander platform, zoals Mac OSX, Linux, Solaris, of Android.
06-12-2011, 13:11 door Anoniem
Hier staat overigens het artikel van Rodrigo Branco, met alle technische details :

Into the Darkness: Dissecting Targeted Attacks
https://community.qualys.com/blogs/securitylabs/2011/11/30/dissecting-targeted-attacks
06-12-2011, 13:16 door Bitwiper
Ik ben het voor 100% eens met Rob van 09:38 en zeg:
Geen enkel OS had dit RSA-lek kunnen voorkomen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search