Trojaans paard verspreid via gehackte webservers
Sinds gisteren zijn tal van gehackte websites gebruikt voor het verspreiden van een Trojaans paard. De sites bevatten een script-tag die linkt naar een kwaadaardig JavaScript dat op een Chinese webserver gehost wordt. Het script probeert het bestand "install.exe" op kwetsbare systemen uit te voeren. Dit bestand installeert drie andere bestanden, "winboot.exe", "winroot.bat" en "1.exe", waarvan de laatste in het geheugen wordt geladen.
In eerste instantie werd de malware nog door geen enkele anti-virusaanbieder opgemerkt, maar inmiddels zouden de meeste virusscanners de Trojan moeten herkennen. Volgens Symantec en Kaspersky gaat het om een Trojaans paard dat de logingegevens van het online spel "World of WarCraft" steelt.
Erik van Straten en Peter V. maakten deze analyse op het Security.NL forum. Verdere informatie is te vinden via het Internet Storm Center.
wisten al een stuk meer.
die analyse had wel ff grondiger gekunt, ff reverse
engineeren en we
wisten al een stuk meer.
Dat laat ik graag aan het ISC over.
Erik van Straten en Peter V. maakten [url=http://www.security.nl/forum/i/131608/]deze analyse[/url] op het Security.NL forum.
die analyse had wel ff grondiger gekunt, ff reverse engineeren en we wisten al een stuk meer.
Interessanter vind ik (en Maarten van Hoorenbeeck trouwens ook) hoe op die websites wordt ingebroken. Ik heb gezocht naar een common factor maar dat niet boven tafel gekregen. M'n bevindingen heb ik behalve hier ook gemeld aan ISC.
Overigens worden niet alleen IIS websites gehackt. Ik kreeg dit weekend een aardig schuifspelletje genaamd Frustr8tor (beetje sudoku-achtig). http://www.frustr8tor.com/ verwijst je door naar frustr8tor.nl (zelfde NL IP-adres). Als hier niets gefaked wordt is dat een RedHat box:
Server: Apache/2.0.46 (Red Hat)
X-Powered-By: PHP/4.3.2
(img src="http://dandikse.org/dosyalar/se.gif")
Een veiliger Internet krijg je niet door steeds malware 'ff' te analyseren maar door problemen dichter bij de bron aan te pakken dan we nu doen. Klip en klaar: websites beter beveligen en het zombie probleem aanpakken.
wordt ingebroken en waar de zwakke plek zit. Weet je immers
hoe, dan kun je makkelijker tegenmaatregelen nemen.
Het pingen van het internetadres achter image source wijst
overigens naar een server in Turkije (Istanbul)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
