Nieuwe Conficker variant begint bij nul
Op zestien februari werd een nieuwe variant van de beruchte Conficker worm ontdekt, die de auteurs makkelijker besmette machines laat gebruiken. Dat geldt echter niet voor de al meer dan 10 miljoen met variant B geïnfecteerde computers. In eerste instantie was het onderzoekers niet duidelijk dat het om Conficker B++ ging, maar verdere analyse bracht wat kleine aanpassingen aan het licht. Zo bevat deze versie een nieuwe backdoor functionaliteit. Vorige Conficker versies patchten het beveiligingslek in de Windows Server service waardoor ze binnenkwamen, in het geheugen.
De B++ variant, of Conficker.C zoals Microsoft hem noemt, past een aangepaste patch toe, die een specifiek patroon in inkomende shellcode en een URL zoekt. De via de URL aangeboden lading wordt alleen uitgevoerd als de malware die heeft geverifieerd. Er is echter geen eenvoudige manier voor de bende achter Conficker om het bestaande netwerk met de nieuwe variant te upgraden. Dit betekent dat Conficker.C weer van vooraf aan moet beginnen.
Interessant daaruit vind ik ook:
Heeft iemand een goede verklaring waarom AV-oplossingen zo slecht presteren bij Conficker varianten?
http://ascii-table.com/img/keyboard-465.png
zo erg ziet dat er dus niet uit ;)
Ik ben dan wel geen security expert of hacker/cracker whatsoever gewoon een student aan een beheeropleiding maar ik heb wel respect voor deze coders.
Jammer dat ze kwaad in de zin hebben.
@bitwiper.
Misschien heeft het te maken met de Windows server service waar het verbinding mee legt. waarschijnlijk detecteert de AV het pas wanneer hij andere malware download.
Ik blijk toch ervaring te hebben met de conflicter.A alleen dan onder een andere naam.
Een wijze les geleerd, je kan beter updates Pushen i.p.v. wachten totdat users ze detecteren.
En het downloaden van encrypted spul helpt de antivirus ook niet. Kaspersky heeft wel de mogelijkheid tot secure verbindingen te scannen, alleen neemt dat ook weer andere risico's met zich mee.
de software voert een MITM uit waardoor je een selfsigned certificate krijgt toegeven vanuit kaspersky. Geen enkele browser pikt dit natuurlijk ;)
Heel eenvoudig: signature based AV heeft weinig toegevoegde waarde omdat de wormen meer en meer polymorf worden. Bovendien is het zo dat de eigenlijke infectie piepklein is en redelijk onschuldig maar dat die dan nieuwe payload gaat halen van andere (obscure) servers. Die nieuwe payload is dan zo specifiek dat geen enkele AV snel genoeg is om hem te detecteren. En die nieuwe payload bevat dan doorgaans de meest geavanceerde rootkit technologie om zich blijvende te verstoppen.
De enige effectieve manier om dit tegen te gaan is de administratieve rechten afpakken van al wie ze niet nodig heeft op z'n pc en een Host Based IPS (McAfee HIPS, Cisco CSA etc...) te installeren. Laat dat nu net dingen zijn waar een consument geen boodschap aan heeft.
Heel eenvoudig: signature based AV heeft weinig toegevoegde waarde omdat de wormen meer en meer polymorf worden.
Dat nageladen spul lastig te detecteren is snap ik. IPS, non-admin, allemaal prima, maar we geven met z'n allen geld uit aan AV als first line of defense (detectie van malware voordat deze wordt opgestart. Daarbij is een MS08-067 infectie in eerste instantie lastig mee te tellen omdat virusscanners op file-I/O triggeren. Aan de andere kant wordt er vervolgens een DLL naar C:\Windows\System32 geschreven en dat mag toch wel op enige aandacht rekenen! Van AV verwacht ik zekerl dat ze bij het lezen van de malware vanaf een USB-stick of netwerk-share alarm slaan.
Een bestand van ca. 60kB dat zich verspreidt moet voorspelbaar en te detecteren zijn. Behalve gissen zie ik nog geen onderbouwde verklaring waarom Conficker zo slecht gedetecteerd wordt door gangbare AV-oplossingen.
De B++-variant heeft 3 modificaties plus 39 nieuwe subroutines, waarmee de globale Cabal-samenwerking geinitieerd door Microsoft word omzeild. Zonder die samenwerking had Conficker eenzelfde of grotere impact gehad dan Sasser of Storm.
In alle varianten komt het erop neer dat er een buffer-overflow gecreeerd word.
Verdere analyse & beknopte vertaling gaat me boven de pet. ;-)
Hieronder een link naar een artikel hoe de worm te werk gaat:
http://www.dshield.org/diary.html?storyid=5842
In dat artikel concludeert de schrijver dat Conficker niet is geschreven door een amateur maar door een professional.
Deze software bevindt zich buiten de Windows partities, ze zit geëncrypteerd in ongepartitioneerde raw-data ruimte, opgedeeld in stukken. Buiten dat is er nog veel meer aandacht besteed aan het niet gedetecteerd worden.
Hahahaha =P
Dark
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
