image

Ransomware gebruikt virtual machine om bestanden te versleutelen

maandag 25 mei 2020, 10:12 door Redactie, 8 reacties

Onderzoekers hebben een ransomware-exemplaar ontdekt dat bestanden van slachtoffers vanuit een speciaal geïnstalleerde Windows XP virtual machine versleutelt. Een maatregel die detectie door beveiligingssoftware moet voorkomen, zo stelt antivirusbedrijf Sophos in een analyse.

De ransomware in kwestie wordt Ragnar Locker of Ragnarok genoemd en was eerder verantwoordelijk voor aanvallen op de Portugese energiemaatschappij Energias de Portugal (EDP) en klanten van managed service providers. Onlangs probeerden aanvallers nog een zerodaylek in de firewalls van Sophos te gebruiken om Ragnar Locker te verspreiden. Daarnaast maken de aanvallers gebruik van een bekende kwetsbaarheid in Citrix om toegang tot systemen te krijgen. Ook wordt het Remote Desktop Protocol (RDP) van Windows hiervoor gebruikt.

Zodra er toegang tot een systeem is verkregen proberen de aanvallers domeinbeheerder van het gehele netwerk te worden en zo overige systemen te infecteren en te versleutelen. Bij de aanval waarover Sophos schrijft werd er een Group Policy Object voor alle systemen ingesteld om een 122MB groot installatieprogramma van virtualisatiesoftware VirtualBox en een 282MB grote Windows XP virtual machine te downloaden. Vervolgens werd vanuit de virtual machine het Ragnar Locker-bestand van 49KB geladen.

Virtual Machine

Een virtual machine wordt vaak gebruikt om een besturingssysteem los van het onderliggende besturingssysteem te draaien. Dit wordt bijvoorbeeld gedaan voor het onderzoeken van malware. De virtual machine wordt dan zo ingesteld dat het onderliggende besturingssysteem niet vanuit de virtual machine benaderbaar is. Het is echter ook mogelijk om de schijven van het onderliggende besturingssysteem in de virtual machine beschikbaar te maken. En dat is precies wat Ragnar Locker doet.

Alle lokale schijven, externe schijven en gekoppelde netwerkschijven die voor de fysieke machine benaderbaar zijn worden toegankelijk gemaakt binnen de virtual machine. Naast het koppelen van alle beschikbare schijven probeert Ragnar Locker ook aanwezige antivirussoftware uit te schakelen en verwijdert aanwezige schaduwkopieën, zodat slachtoffers niet eenvoudig de versleutelde data kunnen herstellen. Uiteindelijk wordt vanuit de virtual machine de ransomware gestart die op alle toegankelijke schijven de bestanden versleutelt en een bericht achterlaat dat er moet worden betaald voor het ontsleutelen van de data.

Reden voor deze werkwijze is het ontlopen van de aanwezige beveiligingssoftware. "Aangezien de ransomware binnen de virtual guest machine wordt geladen, kunnen diens processen ongestoord draaien, aangezien ze niet toegankelijk zijn voor beveiligingssoftware op de fysieke computer. De data die op schijven van en via de fysieke machine toegankelijk is wordt aangevallen door de legitieme VirtualBox-software", stelt onderzoeker Mark Loman.

Reacties (8)
25-05-2020, 10:40 door souplost
Mooi gemaakt. De ransomware onder XP ge-NAT binnen windows zelf. Wordt XP weer het meestgebruikte OS binnen de windows familie?
25-05-2020, 11:02 door Anoniem
Ik vind het meest verontruste stukje van het artikel dat voordat de virtuele machine wordt gedeployed via GPO, dat ze al Domein Beheerder rechten hebben gekregen waardoor dit mogelijk wordt.
Als voorkomen wordt dat ze dit niet kunnen worden, komen ze niet zover....
25-05-2020, 11:05 door Anoniem
Er bestaat natuurlijk een "simpele" oplossing voor dit probleem. Het is tegenwoordig mogelijk om virtualisatie op machineniveau uit te schakelen. Wanneer je dat doet, kan deze truc niet gebruikt worden, lijkt me. Probleem voor bedrijven is vaak, dat virtualisatie op sommige plekken echt wel gebruikt moet worden, juist om testomgevingen van productie te scheiden.

Maar het is wel iets om mee te nemen als veiligheidsmaatregel.
25-05-2020, 11:51 door botbot - Bijgewerkt: 25-05-2020, 11:51
Door Anoniem: Er bestaat natuurlijk een "simpele" oplossing voor dit probleem. Het is tegenwoordig mogelijk om virtualisatie op machineniveau uit te schakelen. Wanneer je dat doet, kan deze truc niet gebruikt worden, lijkt me. Probleem voor bedrijven is vaak, dat virtualisatie op sommige plekken echt wel gebruikt moet worden, juist om testomgevingen van productie te scheiden.

Maar het is wel iets om mee te nemen als veiligheidsmaatregel.

Eigenlijk zouden alle "features" unless needed uitgeschakeld moeten zijn, maarja dan balanceer je op het koordje van gebruiksvriendelijkheid en beveiliging. Zoals gewoonlijk. En daar val je, links of rechts, makkelijk van af.
25-05-2020, 12:10 door karma4
Door Anoniem: Ik vind het meest verontruste stukje van het artikel dat voordat de virtuele machine wordt gedeployed via GPO, dat ze al Domein Beheerder rechten hebben gekregen waardoor dit mogelijk wordt.
Als voorkomen wordt dat ze dit niet kunnen worden, komen ze niet zover....
Ze hebben toegang tot het systeem … Volledige toegang als domainbeheerder. Dat is het punt waar alle alarmen af zouden moeten gaan.

Inderdaad is de wijze hoe er daarna schade aangericht wordt nog een andere stap.
Virtualisatie wordt vaak gebruikt met het idee dat dan alles wel veilig is en dat men niet meer hoeft nat te denken of op te letten.
25-05-2020, 14:02 door Anoniem
Uiteindelijk gaan antivirus bedrijven hun ransomware detectie technieken gewoon ook op virtualisatie software toepassen. Zou niet al te moeilijk moeten zijn.

Verder wel een slim idee dat ze het zo gedaan hebben.
25-05-2020, 14:30 door svkost
Slim stukje code. Ik weet dat het voor developer PC's virtualisatie heel lastig is om uit te schakelen, aangezien de Kubernetes implementatie (minikube) gebruikt maakt van virtual box als virtualisatieplatform, net als 'vagrant'. En ik weet niet alle ins en outs van deze malware, maar ik kan me zomaar voorstellen dat nu ook een Mac geïnfecteerd kan worden, aangezien het guest-OS Windows is....
25-05-2020, 16:01 door souplost
Door svkost: Slim stukje code. Ik weet dat het voor developer PC's virtualisatie heel lastig is om uit te schakelen, aangezien de Kubernetes implementatie (minikube) gebruikt maakt van virtual box als virtualisatieplatform, net als 'vagrant'. En ik weet niet alle ins en outs van deze malware, maar ik kan me zomaar voorstellen dat nu ook een Mac geïnfecteerd kan worden, aangezien het guest-OS Windows is....
Heeft er niks mee te maken. De VM is de malware. Maakt niet uit wat er in zit. Je moet het er alleen eerst op zien te krijgen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.