Malware verstopt zich volledig in Windows Register
Malware gebruikt al jaren het Windows Register om zich bijvoorbeeld tijdens het opstarten van Windows te laden, maar onderzoekers hebben nu een malware-exemplaar ontdekt dat zich volledig in het Windows Register verbergt. Dit zou het lastiger moeten maken om te malware te vinden en te analyseren.
De Poweliks Trojan, zoals de malware wordt genoemd, kan aanvullende malware downloaden en installeren en systeeminformatie stelen. Eenmaal actief zal Poweliks eerst controleren of Windows PowerShell aanwezig is. Dit is een scripttaal waarmee systeembeheerders allerlei taken kunnen automatiseren. Het is standaard in Windows 7 aanwezig en kan ook op andere Windows-versies worden geïnstalleerd.
In het geval PowerShell niet aanwezig is wordt het gedownload en geïnstalleerd. PowerShell zal later worden gebruikt om een gecodeerd scriptbestand uit te voeren. Dit scriptbestand bevat de malware aanvullende malware kan downloaden en installeren. Vervolgens wordt er een sleutel in het Windows Register aangemaakt zodat de malware ook bij een volgende herstart van het systeem wordt geladen.
De sleutel krijgt echter een specifieke waarde mee waardoor gebruikers de inhoud van de registersleutel niet kunnen bekijken. Ook is het niet mogelijk om de sleutel te verwijderen, aangezien dit vanwege de opgegeven waarde een foutmelding veroorzaakt. Verder wordt er een registersleutel aangemaakt die de code van de malware bevat. Deze code is in werkelijkheid een DLL-bestand dat in een draaiend Windowsproces wordt geïnjecteerd en het mogelijk maakt om andere malware te downloaden.
"Hoewel het gebruik van het Windows Register niet nieuw is, kan het erop duiden dat cybercriminelen en aanvallers continu hun malware-arsenaal verbeteren om onzichtbaar te blijven", zegt Roddell Santos van anti-virusbedrijf Trend Micro. Hij merkt op dat het Windows Register helpt bij het onopgemerkt blijven, aangezien virusscanners die alleen bestanden scannen niets op de computer zullen aantreffen. Poweliks wordt geïnstalleerd door malware die al op computers aanwezig is en verspreidt zich via kwaadaardige websites.
Opvallend in die VirusTotal scores is dat van de top-producten Kaspersky de enige was die die malware niet herkende.
Misschien een goed plan om als je een nieuwe installatie (OS) op je PC zet direct een copy van je register te maken?
Quick View Plus gebruiken om een DLL na te kijken (Softonic)
Een deftige oplossing voor mensen die er met 'besmet' geraakt zijn heeft men blijkbaar niet?
Betaalde versie EmsiSoft Anti-Malware ...
Bij mij staat dat uit al geruime tijd zelfs.
Een deftige oplossing voor mensen die er met 'besmet' geraakt zijn heeft men blijkbaar niet?
De meeste AV's pikken deze malware inmiddels op. (Zie de links van Peter V.).
Bij mij staat dat uit al geruime tijd zelfs.
Hoewel de code goed verborgen is, is de malware wel makkelijk te detecteren:
http://blog.trendmicro.com/trendlabs-security-intelligence/files/2014/07/POWERLIKS2.jpg
De "default" -sleutel hoort leeg te zijn.
Misschien een goed plan om als je een nieuwe installatie (OS) op je PC zet direct een copy van je register te maken?
Verstandiger is het om direct na installatie een systeem-image te maken en dat na een serieus probleem terug te zetten.
En helemaal verstandig is het om behalve het systeem-image van na installatie tevens ook elke maand een image te maken, zodat het in de meeste gevallen niet noodzakelijk zal zijn om het oude eerste image van direct na installatie te moeten gebruiken.
(N.B. Een voorwaarde is uiteraard wel dat je met gescheiden partities voor systeem en persoonlijke data werkt.)
dat het misschien handig is in de Services (services.msc) -> Remote registry uit te zetten.
Alleen onder XP Pro stond Remote Registry ingeschakeld.
Onder Windows Vista, 7 en 8.x heeft Remote Registry standaard opstarttype Handmatig en status Gestopt.
Hou er rekening mee dat er software is die gebruik maakt van deze service!
NB: Wat bedoel je met "aan" ??? Dat de service gestart was? Als de service daadwerkelijk gestart was kan het de moeite lonen om eens te kijken wie/wat er toegang heeft. Meer info: https://support.microsoft.com/kb/314837/en-us
Deze malware (en de diverse varianten) staat onder de naam "VirTool:Win32/Obfuscator.AKK " al sinds Mei in de catalogus bij Microsoft.
Bij infectie zou het uitvoeren van een Systeem Herstelpunt misschien kunnen helpen, want dan worden de oude Registerwaarden weer teruggezet en zou deze Trojan niet meer aanwezig moeten zijn. Ik zeg hierbij duidelijk zou, want je weet immers niet wat voor trucs er nog meer met je systeem wordt uitgehaald.
Dat werkt dus niet, systeemherstel maakt een herstelpunt als software wordt geïnstalleerd, niet als een geinjecteerd proces wijzigingen aanbrengt in het register.
Maar uiteraard werd dat niet bedoeld door Peter V., maar een éérder herstelpunt van vóór de infectie, een herstelpunt gegenereerd bij installatie van software, of bij installatie van een update, of een automatisch aangemaakt (dagelijks) gepland herstelpunt.
Deze malware (en de diverse varianten) staat onder de naam "VirTool:Win32/Obfuscator.AKK " al sinds Mei in de catalogus bij Microsoft.
MS kent Poweliks.A als Trojan:Win32/Danglo!gmb.
Maar dat was de versie die een uitvoerbaar bestand gebruikte als payload. Dat de payload nu in het register wordt ondergebracht is een nieuwe ontwikkeling, voor zover ik weet tenminste, MS geeft namelijk nooit details.
Wat ik wel weet is dat Poweliks.A sinds begin februari wordt aangeboden, en het MS dus tot eind mei heeft gekost om het op te nemen in de definities. Even rekenen: dat is bijna 2 maanden...!!!
En er is pas recentelijk over deze versie geblogd, de versie die ik eerder tegenkwam leek trouwens meer op een béta dan wat anders:
https://malwr.com/analysis/NzY3YjJmYzZhYTE2NGFjOWFkNDczZmZmNDRkNDViOGI/ (22 juli)
(Geen netwerkverkeer, een behoorlijk aantal niet-werkende strings plus aanwijzingen dat nog niet alles op rolletjes liep)
Maar uiteraard werd dat niet bedoeld door Peter V., maar een éérder herstelpunt van vóór de infectie, een herstelpunt gegenereerd bij installatie van software, of bij installatie van een update, of een automatisch aangemaakt (dagelijks) gepland herstelpunt.
Meestal (met nadruk op meestal) kan het Register worden hersteld als malware is binnengekomen en het Systeem Register heeft aangetast. Met injectie gaat het herstel inderdaad via een Herstelpunt niet meer op. De malware zelf wordt door het aanspreken van een Herstelpunt niet zelf verwijderd. Daar is andere actie voor nodig.
Ik ga er verder niet al te diep op in maar kan u mededelen dat bij het verwijderen van malware systeemherstel eigenlijk altijd UIT moet worden gezet!
Dat heeft meerdere redenen, zo werkt bestandsherstel anders dan registerherstel, kan je nagenoeg onmogelijk controleren of malware zich (al-dan-niet-expres*) genesteld heeft in het systeemherstel en voor zover bekend wordt Poweliks alleen verspreid via zogenaamde trojan-downloaders (in dit geval via de SweetOrange EK).
Je kunt dan de conclusie trekken dat er al malware op het systeem actief is, en waar de gebruiker denkt malware te kunnen verwijderen dmv systeemherstel, blijft die downloader zelf fijn plakken. En zo kan ik nog wel even doorgaan met argumenteren...
Het is wat mij betreft niet eens de vraag of malware wel of niet onschadelijk gemaakt kan worden dmv systeemherstel, mijn punt is voornamelijk dat het simpelweg niet te vertrouwen is, en dat is één van de redenen dat ik al jaren geen gebruik meer maak van systeemherstel, ik werk liever met offline images en backups.
(Deze zijn ook fijn op een later tijdstip offline te scannen met nieuwere definities!)
@Spiff: Het is altijd maar de vraag of malware meegenomen wordt door systeemherstel. Trojans, cryptware, spyware en adware over het algemeen wel, sommige zelfs actief en met terugwerkende kracht om er voor te zorgen dat systeemherstel geen nut meer heeft.
Ik ben niet 100% bekend met MS-systeemherstel (gebruik het al jaren niet meer) maar ik weet wel te vertellen dat e.e.a. afhangt van de manier waarop malware actief wordt. Als het een op zichzelf staand programma is wordt het herkent als software en dus meegenomen (1e generatie politievirus (is geen virus) bijvoorbeeld), als het wordt geïnjecteerd in een reeds bestaand proces niet. Veruit de meeste malware wordt geïnjecteerd.
Je hebt uiteraard gelijk.
Ik maakte met mijn reactie van 11:34 uur de fout dat ik daarmee slechts reageerde op de formulering door Anoniem van zo.03-08, 22:33 uur. Ik had op dat moment het idee dat Anoniem een denk- of formuleer-fout maakte, maar achteraf beziend denk ik dat ik die reactie van Anoniem verkeerd interpreteerde.
En ik maakte de serieuze fout helemaal voorbij te gaan aan het feit dat het niet verstandig is om te proberen malware op te ruimen door middel van systeemherstel.
Daarom hartelijk bedankt voor jouw niet mis te verstane reactie, Anoniem 16:15 uur.
Je hebt uiteraard gelijk.
Ik maakte met mijn reactie van 11:34 uur de fout dat ik daarmee slechts reageerde op de formulering door Anoniem van zo.03-08, 22:33 uur. Ik had op dat moment het idee dat Anoniem een denk- of formuleer-fout maakte, maar achteraf beziend denk ik dat ik die reactie van Anoniem verkeerd interpreteerde.
En ik maakte de serieuze fout helemaal voorbij te gaan aan het feit dat het niet verstandig is om te proberen malware op te ruimen door middel van systeemherstel.
Daarom hartelijk bedankt voor jouw niet mis te verstane reactie, Anoniem 16:15 uur.
Ik ben vergeten het volgende toe te voegen aan mijn vorige reactie, dus bij deze:
@Peter V: fout klinkt zo zwaar joh, ik zie het als minder goed.
Tot dat inzicht ben ik voornamelijk gekomen dankzij de laatste reactie van Spiff, dus @Spiff:
De reden waarom ik hier op jullie reacties reageer is dat jullie beiden nogal eens willen reageren op mensen met een hulpvraag. Als er dan toch iemand voorbij komt met een malware-gerelateerde hulpvraag zie ik liever dat mensen (zoals jullie) een heel kort 'veilig' advies geven op basis van wat je weet, dan een goedbedoeld maar schadelijk advies op basis van wat logisch lijkt te zijn.
Systeemherstel lijkt heel logisch, ik heb al genoeg (ervaren) krachten uit de ICT zulke adviezen horen / zien geven. Allemaal met de beste intenties natuurlijk, maar zulke adviezen kunnen het véél erger maken dan het al was.
Dus.., namens die potentiële hulpvrager, hier of ergens anders, bedankt voor het lezen!
MvG Anon 22:33 // 16:15 // nu
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.