Bicololo-virus verspreidt zich via 404 foutmelding
Een Trojaans paard dat Russische internetgebruikers aanvalt, gebruikt een nieuwe truc om zichzelf te verspreiden. Bicololo, zoals de malware wordt genoemd, is ontwikkeld om inloggegevens van gebruikers te stelen. Het doet dit door het Hosts-bestand aan te passen. Daardoor worden gebruikers van sociale netwerksites en e-mailaanbieders naar phishingsites doorgestuurd.
Op de phishingpagina's wordt een inlogvenster getoond waar gebruikers met hun gegevens kunnen inloggen. Aangezien alle aangevallen diensten geen HTTPS gebruiken, is het lastig voor een gebruiker om te bepalen dat hij naar een phishingsite is doorgestuurd. Door de aanpassing van het Hosts-bestand verschijnt de originele URL in de adresbalk van de browser.
Om zichzelf op het systeem te verbergen maakt Bicololo het originele Hosts-bestand onzichtbaar en plaatst vervolgens een bestand genaamd 'hOst'. Daarin worden de aanpassingen niet weergegeven. De O is hier een Cyrillische letter. Aangezien Windows verborgen bestanden niet toont, lijkt het voor een gebruiker dat er niets aan de hand is.
Bicolo doet zich voor als allerlei programma's, waaronder een Windows 8 Activator, Minecraft en FileZilla. De eerste versies werden vanaf gehackte websites, en dan voornamelijk gehackte WordPress en Joomla-sites, aangeboden. De gebruikte links waren echter eenvoudig te blokkeren.
Webserver
Een nieuwe truc moet dit voorkomen. De nieuwste versie gebruikt namelijk een zeer effectieve manier om zich te verspreiden, aldus anti-virusbedrijf Avast. De standaard 404 foutmelding (pagina niet gevonden) wordt gebruikt om het virus te verspreiden. "Dit geeft de aanvallers bijna een oneindig aantal mogelijke URLs om de malware aan te bieden", zegt Martin Smarda.
Het volstaat voor de aanvallers om een niet bestaande link op de gehackte website op een forum of website te plaatsen. Zodra een gebruiker op de niet bestaande link klikt zou hij normaal de 404-foutmelding krijgen, maar in dit geval wordt een kwaadaardig bestand aangeboden.
Ik heb een tijd geleden al eens onderzocht waarom een gebruiker bij ons de melding van de virus scanner
kreeg dat een site besmet was, terwijl dit helemaal niet zo leek te zijn. Google zag ook geen probleem.
het grappige was dat hij via IE wel een virusmelding kreeg maar via Seamonkey niet.
De zogenaamd besmette pagina bleek /favicon.ico te zijn, een bestand wat IE ongevraagd ophaalt, wat niet
bestaat, en wat een 404 error gaf en in die 404 error pagina zat de trojan.
Die pagina kreeg de gebruiker natuurlijk nooit te zien want IE negeert gewoon die 404 reply op /favicon.ico
en ik neem aan dat besmetting op die manier ook niet optreedt.
Die pagina kwam van een van de bekende gammele PHP-MySQL based CMS'en.
Kennelijk was het een attacker gelukt daar een custom 404 pagina in te frommelen.
Wat de meeste gebruikers niet doen, noch kijken ze in <WINDIR>System32\drivers\etc of daar een bestandje met een cyrillische 0 staat. Of doe jij dat wel dagelijks?
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.