Overheid waarschuwt voor infectie op NU.nl
De Waarschuwingsdienst waarschuwt internetgebruikers die gisteren NU.nl bezochten dat hun computer mogelijk geïnfecteerd is. Aanvallers wisten malware op de website te verstoppen die in staat is om geld van bankrekeningen te halen. "Als je computer besmet is met Sinowal kunnen kwaadwillenden gevoelige informatie zoals je inloggegevens voor een banksite of creditcardgegevens onderscheppen", aldus de Waarschuwingsdienst, die onderdeel van het Nationaal Cyber Security Center van de overheid.
De malware werd geplaatst op de computers van bezoekers die verouderde software gebruikten. De dienst kan nog niet zeggen om welke programma's het gaat, maar uit deze analyse zou blijken dat het in ieder geval Adobe Reader en Java betrof.
Infectie
"Waarschuwingsdienst.nl onderzoekt op dit moment nog de exacte kwetsbaarheden die zijn misbruikt. Mogelijk beschikken we op een later tijdstip over meer informatie over deze kwetsbaarheden."
Verder onderzoekt de overheidsinstantie op dit moment de malware. "Zodra wij meer informatie hebben over de manier waarop je je pc kunt schonen, publiceren wij dit via deze alert. Als je gisteren NU.nl hebt bezocht, raden we je dan ook aan de berichtgeving hierover in de gaten te houden."
"
Ik negeer de waarschuwing en upload het bestand naar VirusTotal. Maar 2 van de 43 virusscanners detecteren via VirusTotal de malware, namelijk:
AVG: Script/Exploit.B
Microsoft: Exploit:JS/Blacole.CV
Opmerkelijk is dat AVG en Microsoft Security Essentials allebei gratis virusscanners zijn. De commerciële scanners laten het bij VirusTotal qua resultaten afweten.
"
Let op: dit gaat alleen over het stukje javascript wat de malware ophaalt. De malware executable zelf wordt door veel meer scanners herkend.
Helaas heb ik de via nu.nl aangeboden malware niet te pakken kunnen krijgen. Een soortgelijke java exploit, gevonden via http://www3.malekal.com/malwares/ en gisteravond door mij gedownload vanaf ingeborga.in/content/Qai.jar (gehost in NL, IP=37.58.64.197), md5=99098555be22838331907c1ebe3213f7, leverde 0/43 op bij virustotal: https://www.virustotal.com/file/4cd4d5dadd9c7b5fcf3d3728a968403067e2be7200b854619a04690a87433ea7/analysis/.
In deze qai.jar (feitelijk een zip-file) zitten 6 subclasses die mogelijk elk een andere exploit bevatten. Elk van die exploits zal proberen code op te halen door virusscanners gedetecteerd zou kunnen worden maar gezien de "ondetecteerbaarheid" van de exploits hebben de aanvallers hun huiswerk ook heus wel gedaan bij de nageladen malware.
Helaas heb ik de via nu.nl aangeboden malware niet te pakken kunnen krijgen. Een soortgelijke java exploit, gevonden via http://www3.malekal.com/malwares/ en gisteravond door mij gedownload vanaf ingeborga.in/content/Qai.jar (gehost in NL, IP=37.58.64.197), md5=99098555be22838331907c1ebe3213f7, leverde 0/43 op bij virustotal: https://www.virustotal.com/file/4cd4d5dadd9c7b5fcf3d3728a968403067e2be7200b854619a04690a87433ea7/analysis/.
In deze qai.jar (feitelijk een zip-file) zitten 6 subclasses die mogelijk elk een andere exploit bevatten. Elk van die exploits zal proberen code op te halen door virusscanners gedetecteerd zou kunnen worden maar gezien de "ondetecteerbaarheid" van de exploits hebben de aanvallers hun huiswerk ook heus wel gedaan bij de nageladen malware.
De comments op tweakers: http://tweakers.net/nieuws/80668/nu-punt-nl-serveerde-kortstondig-malware.html en communicatie met het ESET viruslab.
Als niet alles meteen wordt gedetecteerd en de rootkit wel wordt geïnstalleerd, denk je wellicht dat je safe bent omdat je virusscanner alarm sloeg.
Je belangrijkste wapen tegen deze troep is patchen en niet meer plugins enablen dan strikt noodzakelijk. Ik haat bijv. PDF inline lezen in m'n browser. Geef mij maar de vraag of ik wil downloaden of direct in een PDF lezer wil openen. Krijg ik zo onverwacht een PDF popup, dan weet ik meteen dat er wat mis is.
In Internet Explorer vanaf versie 8 kun je heel redelijk per site toestaan welke plugins er mogen draaien. Indien gewenst wil ik dat nog wel een keer uitleggen.
Ik heb dat een aantal jaren meegemaakt. Virusscanner slaat alarm voor een keylogger. Ik ga de boel analyseren en dan blijkt hij al 4 maanden op mijn machine te hebben gestaan voor de scanner hem kon vinden. Ik had gelukkig een firewall die ook uitgaande verbindingen (per proces) kon blokkeren. De keylogger had geen rechten om de gegevens naar buiten te sturen en dat is ook niet gedaan (ik heb daarna nooit gemerkt dat accounts misbruikt zijn).
Ik vond tijdens het onderzoek ook nog een backdoor. Die heb ik ook verwijderd, ondanks dat de scanner die niet vond. De volgende dag kreeg ik weer een melding van de scanner. Nu had hij de backdoor ook gevonden en wel in de "deleted" folder, waar ik hem even had bewaard voor andere controle.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.