Onbekende Trojan steelt duizenden bank accounts via SSL
Een Trojaans paard blijkt een maand lang ongestoord de online banking accounts van meer dan 5000 mensen te hebben gestolen. Per toeval kwamen beveiligers achter het bestaan van de Gozi trojan. Begin januari 2007 meldde een gebruiker dat verschillende van zijn accounts waren gekaapt. Verder onderzoek wees uit dat het om een nog onbekende malware executable ging. Het systeem bleek echter al sinds 13 december 2006 via een remote exploit geinfecteerd te zijn geweest.
Onderzoekers ontdekten ook de server waar alle gestolen accounts werden opgeslagen en aangeboden. De criminelen verkochten de gestolen logins. Zo vroeg men 100 dollar voor de accounts van een kleine retailer, terwijl die van eenk bank voor 2500 dollar van "eigenaar" verwisselden. In totaal werden op de server meer dan 10.000 verschillende accounts van zo'n 5200 slachtoffers aangetroffen, waaronder ambtenaren en andere overheidsdiensten. De totale waarde van de informatie bedroeg meer dan 2 miljoen dollar op de zwarte markt.
Gozi, waar inmiddels ook andere varianten van actief zijn, verspreidt zich via beveiligingslekken in Internet Explorer en weet via de Winsock 2 functionaliteit SSL/TLS beveiliging te omzeilen en het netwerkverkeer "on the fly" op te slaan voordat het versleuteld wordt. Don Jackson maakt de volgende uitgebreide analyse van deze zeer complexe malware.
iedere boer.
wordt opgevangen tussen de SOCKET en Internet Explorer zelf.
De data is dus nog niet eens encrypted, dus plain text. Het
omzeilt ook de SSL/TLS beveiliging dus niet.
Voor de mensen die het niet gelezen hebben, er staan onderin de analyse snort regels om de malware te detecteren.
Dit is niet complex maar prutwerk. Gewoon winsock calls
hooken can
iedere boer.
Dus mogen consumenten er van uitgaan dat hun
beveiligingsoftware nog groter prutswerk is als dit
prutswerk niet gedetecteerd word.... het zal allemaal wel..
- Spread through IE browser exploits
- Undetected for weeks, months by many AV vendors
soort dingen door elke prutser geschreven kan worden...
waarschijnlijk omdat de malware nog niet overal verspreid
werd. Verder zijn er veel bedrijven waar de updates niet
bepaald elke dag binnenstromen.
De software maakt dan ook dankbaar gebruik van deze
'gebruikersfouten' die er weer voor zorgen dat de
softwarefouten aanwezig blijven in de software.
Het is inderdaad niet echt prutswerk, maar het kost een
hedendaagse programmeur die ook verstand heeft van het OS
weinig tijd om een hook, zoals deze te programmeren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
