Microsoft waarschuwt voor RTLO-aanvallen
Een manier om de extensie van een bestandsnaam te verhullen wordt steeds vaker toegepast om computers met malware te infecteren, zo waarschuwt Microsoft. Het gaat om de zogeheten RTLO-truc. RTLO staat voor Right-to-Left-Override en zorgt ervoor dat via een speciaal unicode karakter de volgorde van karakters van een bestandsnaam kan worden omgedraaid. Hierdoor wordt SexyPictureGirlgpj.exe als SexyPictureGirlexe.jpg in Windows weergegeven.
"De meeste gebruikers kennen het gevaar om op onbekende uitvoerbare bestanden te klikken, dus gebruiken de aanvallers RTLO-karakters om de bestandsnaam te vermommen", zegt Raymond Roberts van het Microsoft Malware Protection Center. Hij merkt op dat deze truc niet nieuw is. "Maar dat betekent niet dat de methode niet veel gebruikt wordt, sterker nog, we zien dit regelmatig gebeuren."
Windows-gebruikers die detailweergave instellen zullen echter zien dat de zogenaamde afbeelding, Word of tekstbestand in werkelijkheid een applicatie is, zoals Security.nl in dit artikel uitlegt.
Maar RTLO is maar een van de manieren om een gebruiker op een bestand te laten klikken, werkt overigens wel lijkt me.
Quick fast en je blokeerd meteen een hoop nieuwe virussen.
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Quick fast en je blokeerd meteen een hoop nieuwe virussen.
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Heel netjes, Rolfieo, dankjewel.
Ik vraag me af waarom dit hier niet eerder door iemand is aangestipt. Of heb ik daar eerder overheen gelezen?
Een kanttekening bij de beschreven methode is wel dat secpol.msc (Local Security Policy Editor, Lokaal beveiligingsbeleid) alleen beschikbaar is onder de Windows Professional (Business onder Vista), Ultimate en Enterprise edities.
[wijziging 1: (4) tussengevoegd]
[wijziging 2: correctie in de Windows edities]
Aanvulling op het bovenstaande betreffende "Countermeasures against a virus that exploits RLO",
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Onder I (4) <iii> Step 5 wordt een handeling niet vermeld die wel nodig is:
het kiezen van Apply (Toepassen), vóór het bevestigen met OK.
N.B.
Aanvulling op het bovenstaande betreffende "Countermeasures against a virus that exploits RLO",
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Onder I (4) <iii> Step 5 wordt een handeling niet vermeld die wel nodig is:
het kiezen van Apply (Toepassen), vóór het bevestigen met OK.
Help!
Je snapt er niks van. Ten eerste moet je verborgen extensie in spiegelbeeld zijn.. dus virussbv.doc in plaats van virusvbs.doc en ten tweede moet je de juiste unicode karakters gebruiken, normale karakters op jouw toetsenbord werken niet.
Nog even oefenen ;-)
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
en naar wat beschreven wordt onder I (4) <iii>Countermeasures against a virus that exploits RLO
Alleen op Wilders Security Forums vind ik er een verwijzing naar:
http://www.wilderssecurity.com/showthread.php?t=317694
Die maatregel tegen Right-to-Left-Override malware aanvallen die beschreven wordt op die www.ipa.go.jp/ pagina zou toch meer belangstelling moeten wekken, zou je denken?
Of wordt het enthousiasme geremd doordat de beschreven methode door middel van secpol.msc (Local Security Policy Editor, Lokaal beveiligingsbeleid) alleen beschikbaar is onder de Windows Professional (Business onder Vista), Ultimate en Enterprise edities?
Of is er iets mis met die methode en is ie niet zo nuttig als ie wordt voorgesteld?
Heeft iemand het getest?
Onder I (4) <iii> Step 5 wordt een handeling niet vermeld die wel nodig is:
het kiezen van Apply (Toepassen), vóór het bevestigen met OK.
Dat is toch helemaal niet nodig?
Zonder "Toepassen" werd ingesteld op Beveiligingsniveau "Basisgebruiker", in plaats van "Niet toegestaan".
Die maatregel tegen Right-to-Left-Override malware aanvallen die beschreven wordt op die www.ipa.go.jp/ pagina zou toch meer belangstelling moeten wekken, zou je denken?
Of wordt het enthousiasme geremd doordat de beschreven methode door middel van secpol.msc (Local Security Policy Editor, Lokaal beveiligingsbeleid) alleen beschikbaar is onder de Windows Professional (Business onder Vista), Ultimate en Enterprise edities?
Of is er iets mis met die methode en is ie niet zo nuttig als ie wordt voorgesteld?
Heeft iemand het getest?
Die methode is heel nuttig, maar je moet het niet zo specifiek aanpakken als daar als voorbeeld staat.
Als je een aantal rules maakt dan kun je het zo instellen dat exe bestanden (en de rest van de lijst extensies die er default in staat) wel mogen op C:\ maar niet op C:\Documents and Settings (of C:\Users) en ook niet op de netwerkschijven.
Dit uiteraard gecombineerd met het werken als gewone user en niet als administrator, en het op de juiste manier instellen van de schrijfrechten op C: (users mogen wel in hun profieldirectory schrijven maar verder nergens anders). Wil je schrijftoegankelijke mappen hebben voor algemeen gebruik sluit dan ook daar de exe bestanden uit.
Je kunt de LNK extensie beter verwijderen uit de lijst, anders werken snelkoppelingen op het bureaublad niet meer.
Gevolg: alle software mag alleen gerund worden als deze eerst door een administrator is geinstalleerd.
Drive-by downloads, gemailde bestanden, etc worden niet uitgevoerd.
Dit beschermt tegen de meeste aanvallen die de laatste tijd de ronde doen omdat die allemaal uitmonden in het downloaden van een exe bestand naar de TEMP map en vervolgens uitvoeren hiervan. Dat mag nu niet meer.
Help!
zie volgende video
http://www.security.nl/artikel/43123/1/RTLO.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.