Gemeente Lochem getroffen door ransomware
De Gelderse gemeente Lochem is getroffen door ransomware, waardoor medewerkers niet meer bij bestanden konden komen, zo heeft de gemeente via de eigen website bekendgemaakt. De infectie vond gisteren plaats via een e-mail die niet door het spamfilter van de gemeente werd tegengehouden.
"Het virus zette een deel van het netwerk op slot", aldus de gemeente. Het ging om crypto-ransomware die bestanden op het gemeentenetwerk versleutelde, waardoor het niet meer mogelijk was die te gebruiken. Om weer toegang tot de bestanden te krijgen werd een back-up van het systeem teruggezet. Inmiddels zouden de noodzakelijke bestanden hierdoor weer zijn hersteld.
"Een andere mogelijkheid is dat er geld betaald wordt aan degene die de Cryptolocker heeft verzonden. De gemeente betaalt uiteraard geen geld aan een hacker om weer toegang te krijgen tot de bestanden en heeft inmiddels aangifte gedaan bij de politie", zo laat de gemeente verder weten. De infectie zou er alleen voor hebben gezorgd dat gemeentemedewerkers niet meer bij de bestanden konden komen.
Gegevens van burgers zouden geen risico hebben gelopen. Ook zijn er, voor zover nu bekend, dankzij de recente back-up geen gegevens verloren gegaan. "Helaas bestaat 100% veiligheid niet maar een goede back-up is heel belangrijk, dat blijkt nu maar weer. Ik ben blij dat onze inwoners hiervan geen hinder ondervinden en ook de verkiezingen morgen gewoon door kunnen gaan", aldus burgemeester Sebastiaan van 't Erve.
Ik zou meer details willen weten, bijvoorbeeld of de e-mail slim vermomd was of dat men
Heb jij een baan ergens, eigenlijk ?
Want wat heeft een voorlichter (info@), HR medewerker (pz@ ), medewerker belastingzaken (woz@ ) , bouwambtenaar (vergunning@ ) sociale zaken (uitkering@ ) nu precies voor verwijtbaars gedaan als die mail krijgen en een word of pdf file openen, of op een schijnbare LinkedIn link klikken ?
Bonuspunten als die mail afkomstig is van een adres waarmee ze al een lopende correspondentie hebben.
Reken maar dat het advies "is in slecht nederlands geschreven" als spam/phish indicator voor een hoop gemeente afdelingen erg veel vals-positieven geeft.
Een mail zonder tekst body met alleen Word/PDF eraan zal ook best 'redelijk normaal' zijn voor diverse afdelingen.
Hoe deze trojan eruit gezien heeft weet ik niet. Maar ik kan me een aantal situaties indenken waar het volkomen logisch is dat een normale medewerker die normaal z'n werk doet een besmetting activeert en feitelijk niks verkeerd gedaan heeft.
"Hoe dom kun je zijn" is soms terecht, maar lang niet overal en altijd.
En dan kun je beter een snelle detectie , isolatie en recovery hebben dan een betweter op een zolderkamer die vindt dat iedereen een IT guru moet zijn (headers lezen, obfuscated javascript decoden ) of maar gestraft moet worden voor al die gevallen waar de IT techniek (virusscanner,OS, applicatie) gefaald hebben.
In het artikel lees ik dat het gaat om een e-mail, maar betreft het hierbij om een bijlage die door een gebruiker zelf geactiveerd moet worden of is er sprake van een url die de eindgebruiker stuurt naar een geinfecteerde website?
Hier is een antwoord op je grote vraag. Het heet kans. Je hebt altijd een kleine response, zelfs bij de slechtste spam ooit. Die regel wordt ook gebruikt bij sales, telemarketing, etc. Als je de populatie maar hoog genoeg maakt zijn er altijd wel mensen die klikken.
"In verband met ransomware infectie in ons netwerk moet u een extra bedrag betalen van 1250,-.
P.S: Uw project komt ook een week later."
Ik doe hier als klant natuurlijk nooit moeilijk over. Ik vind het gewoon heel reëel te betalen voor malware infecties waar ik niks mee te maken heb. Collega's van andere bedrijven delen deze mening.
In het artikel lees ik dat het gaat om een e-mail, maar betreft het hierbij om een bijlage die door een gebruiker zelf geactiveerd moet worden of is er sprake van een url die de eindgebruiker stuurt naar een geinfecteerde website?
Gemeenteambtenaren krijgen constant de meest vreemde bijlagen van bewoners over vanalles en nog wat. Het nadeel van (bijna) perfecte virusscanners is dat op een gegeven moment niemand meer verwacht dat er een virus doorheen komt.
Peter
Bedankt voor je reactie, maar geeft geen antwoord op mijn vraag!
Om te beoordelen of de huidige beheersmaatregelen voldoende zijn, is er meer informatie nodig!!!
De laatste methode was een bijlage met een zip extensie, waarbij het uitgepakte bestand een extensie .CHM-bestand was (gecompileerd helpbestand).
Is er al meer informatie beschikbaar?
De grote vraag is waarom een operating systeem niet ALLES in een sandbox draait. Het is ooit al gebouwd door HP Labs voor Windows XP.
Zie: http://www.hpl.hp.com/personal/Alan_Karp/polaris/index.html
Alleen jammer dat Dronten hier dan weer niet open over is..
Bedankt voor je reactie, maar geeft geen antwoord op mijn vraag!
Omdat ik aannam dat het niet relevant was. Cryptolocker e.d. is malware die (voor zover ik tot nu toe heb gezien) als bijlage meekomt met een mail. Of ergens op een share is gezet, omdat de mailserver automatisch bijlagen uitpakt en klaarzet voor gebruik.
Vooral dat laatste is wel gevaarlijk omdat de relatie met de oorspronkelijke mail vaak weg is. Zo heb je systemen waarbij op basis van geaddresseerde en, soms, sleutelwoorden in de mail, bijlagen worden opgeslagen en ter beoordeling, behandeling en/of beantwoording worden klaargezet voor anderen dan de ontvanger. Als er uberhaupt nog een ontvanger is voor dergelijke mail.
Peter
Mail kwam van onderstaande adressen:
facturatie@intrumjustitia.com
facturatie@intrummm.com
facturatie@intrum-incasso-justia.com
En onderstaande blokkeren in de firewall. Vanwege command and controle.
blokkeren zodat het geinfecteerde systeem niet kan communiceren naar deze servers:
193.23.244.244 - Poort 443
zsn5qtrgfpu4tmpg.onion.cab - poort 443
zsn5qtrgfpu4tmpg.tor2web.blutmagie.de - poort 443
zsn5qtrgfpu4tmpg.tor2web.org - poort 443
zsn5qtrgfpu4tmpg.tor2web.fi - poort 443
76.73.17.194 - Poort 9090
zsn5qtrgfpu4tmpg.onion.gq - poort 80
ip.telize.com - Poort 80
Is het mogelijk om te controleren of de mail herkomst genept is, ook daar kan hun mailclient op controleren toch?
Waarom onderdrukt de mailclient de extensies van bijlages eigenlijk?
Is het mogelijk om te controleren of de mail herkomst genept is, ook daar kan hun mailclient op controleren toch?
Waarom onderdrukt de mailclient de extensies van bijlages eigenlijk?
Outlook zelf of een andere mailclient blokkeert standaard executables maar alleen executables die outlook als executables herkend.
Outlook zal niet een hernoemde executable blokkeren dit wordt wel door een antispam/virusscanner gedaan die de mailstroom scant.
Dit is ook een stap die aangezet moet worden om infecties vanuit de mailstroom te voorkomen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.