Telegraaf.nl verspreidt malware via advertenties
De website van de Telegraaf verspreidt weer malware via kwaadaardige advertenties. Dat meldt Ronald Prins van het Delftse beveiligingsbedrijf Fox-IT via Twitter. "Telegraaf .nl serveert malware via advertentie provider. Ze zijn er mee bezig." Het is niet de eerste keer dat er malware op de krantensite wordt aangetroffen. Vorig jaar september was het ook al raak.
Toen wisten aanvallers toegang te krijgen tot de server van een bedrijf dat de nieuwsbriefregistraties voor de Telegraaf verwerkt. In het aanmeldscherm werd aanvalscode voor een Java-lek verstopt dat Oracle de week daarvoor had gepatcht. Via de aanval raakten ongepatchte bezoekers met ZeroAccess-malware geïnfecteerd.
Update 11:10
Prins laat via Twitter weten dat via de Telegraaf aangevallen Windows-computers met ransomware worden geïnfecteerd. Het 'politievirus' vergrendelt de computer en stelt dat het slachtoffer een misdrijf heeft begaan. Om weer toegang tot de computer te krijgen moet er binnen 72 uur een bedrag van 100 euro via Ukash of een PaySafeCard worden betaald.
Update 11:38
Ook de Telegraaf bevestigt de aanwezigheid van malware op de website: "We zijn op de hoogte van de malware. We zijn ermee bezig."
Update 12:03
Volgens Yonathan Klijnsma wezen de besmette advertenties naar de Flimkit exploit-kit. Via welk lek bezoekers werden aangevallen is nog niet bekend, maar de geinstalleerde malware werd door respectievelijk 7 en 10 van de 46 virusscanners op VirusTotal gedetecteerd.
Klijnsma laat weten dat Telegraaf.nl niet meer naar de malware wijst, maar dat de gebruikte advertentieprovider dat nog wel doet. Daardoor lopen ook andere websites waar deze provider wordt gebruikt risico.
Update 12:15
Mark Loman van het Nederlandse beveiligingsbedrijf SurfRight laat tegenover Security.NL weten dat inmiddels zeker 100 mensen door de malware besmet zijn geraakt. Dat blijkt uit cijfers die via de gratis verwijdertool HitmanPro.Kickstart werden verzameld.
Update 12:25
Bezoekers met zeer verouderde Java-versies werden via de malware aangevallen. Het beveiligingslek dat de advertenties misbruikten werd in juni 2012 door Oracle gepatcht.
geschreven over 2 verschillende infecties op verschillende datums.
Avast 8 Free vond en maakte meldingen van trojan infecties op de telegraaf site.
in het framework,ze waren er mee bezig om het op te lossen.
Adblock is geen garantie dat de malware tegen wordt gehouden.
Geen malwarebesmetting opgelopen, alhoewel de site toch bezocht was. Adblock heeft zijn werk duidelijk gedaan.
of je java was gepatched..en dus niet infecteerbaar.
maar deze bedrijven daar wil hij geen ruzie mee hebben natuurlijk.
of je java was gepatched..en dus niet infecteerbaar.
Je kunt deze infecties wel voorkomen met een paar simpele maatregelen, maar uptodate houden van de software
is daarvan niet de meest effectieve. (getuige het feit dat iedere update altijd weer gevolgd wordt door een nieuwe
update waarin weer lekken gefixed worden die in de vorige versie zaten)
of je java was gepatched..en dus niet infecteerbaar.
Dat gold vorig jaar september (en Java is hoe dan ook vaak aanvalsvector), maar is dat nu ook het geval?
Ik heb nog geen bron gezien die dat aangeeft.
Update
Inmiddels is nu wél weer duidelijk dat ook nu Java aanvalsvector was, aldus update 12:25 in het Security.nl artikel:
Het beveiligingslek dat de advertenties misbruikten werd in juni 2012 door Oracle gepatcht.
Geen malwarebesmetting opgelopen, alhoewel de site toch bezocht was. Adblock heeft zijn werk duidelijk gedaan.
of je java was gepatched..en dus niet infecteerbaar.
Geen malwarebesmetting opgelopen, alhoewel de site toch bezocht was. Adblock heeft zijn werk duidelijk gedaan.
of je java was gepatched..en dus niet infecteerbaar.
Ja want javascript is hetzelfde als java... *ahum*not*ahum*
Hier een linkje voor Mysterio =)
http://www.java.com/en/download/faq/java_javascript.xml
Waarom zoveel moeite doen, blokkeer ze gewoon allemaal met een generieke adblocker. Scheelt ook een hoop traffic en andere ellende, en de websites zien er een stuk beter uit ook.
Ik kan dit niet zomaar bedrijfsbreed gaan uitrollen zonder een wijzigingsprocedure te doorlopen met allerlei overleg.
Echter, als een advertentieprovider gehacked is dan is het een beveiligings issue en dan gaat ie subiet (en permanent)
in de blocklist van de proxy. Vandaar dat ik wil weten welke provider het was.
(niet dat dit soort aanvallen een kans maakt op onze systemen, maar dat is een ander verhaal)
Immers van een organisatie van de orde als de Telegraaf mag de bezoeker verwachten dat
de bescherming tegen dit soort terrorisme optimaal is. Ook al heeft de consument een verouderde
versie van Sun Java dan is de Telegraaf mischien toch wel verantwoordelijk te stellen wanneer
via hun website bij een bezoeker wordt ingebroken.
Helaas is er nog geen jurisprudentie over.
webjongetjes meteen verbieden om nog gebruik te maken van externe providers voor advertenties, omdat daarmee
een aansprakelijkheid aangegaan wordt voor iets wat men niet zelf onder controle heeft.
Als iedereen nou zijn eigen advertenties host dan kan iedereen ook zelf bepalen welke adverteerders en advertenties
er binnen komen, en deze screenen op malware alvorens ze naar de site door te laten.
Zo niet -> dan aansprakelijk.
Update 12:15
Mark Loman van het Nederlandse beveiligingsbedrijf SurfRight laat tegenover Security.NL weten dat inmiddels zeker 100 mensen door de malware besmet zijn geraakt. Dat blijkt uit cijfers die via de gratis verwijdertool HitmanPro.Kickstart werden verzameld.
In ieder geval 100 mensen die of de privacy policy (Terms of Use?) van gebruikte software niet hadden gelezen of bewust ervoor kiezen scaninfo (ook 'gratis') te 'delen'.
Niet erg misschien als je deze malware ermee af krijgt, evengoed helemaal niet gek je ervan bewust te zijn wat software nog meer doet op je pc.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
