Hackers misbruiken jaar oud ongepatcht Windows lek
Aanvallers gebruiken een beveiligingslek in Windows waar Microsoft al een jaar van weet, maar nog geen update voor heeft uitgebracht. De "token kidnapping" kwetsbaarheid zorgt ervoor dat een aanvaller zijn rechten op het systeem kan verhogen en zo volledige controle krijgt. Het probleem, dat Windows XP, Server 2003, Server 2008 en Vista treft, werd in maart vorig jaar door de Argentijnse beveiligingsonderzoeker Cesar Cerrudo onthuld en aan Microsoft gemeld. Een half jaar later in oktober verscheen er exploitcode op het internet en gaf de softwaregigant een waarschuwing af, maar geen update. De exploit is met name gevaarlijk voor Windows systemen die IIS of SQL Server draaien.
Het Internet Storm Center waarschuwt dat aanvallers de kwetsbaarheid in een "drietraps aanval" misbruiken. Het begint met een lekke webapplicatie die aanvallers bestanden op de server laat uploaden. Aangezien de server de bestanden niet valideert, weet de aanvaller een .Net Webshell, genaamd ASPXSpy te plaatsen. Hiermee kan hij de server controleren en bestanden uploaden en uitvoeren. Toch heeft de aanvaller nog geen volledige controle over het systeem, aangezien de IIS server onder een account met onvoldoende rechten draait. Via het Windows-lek en de exploitcode die al in oktober verscheen, krijgt de aanvaller wel alle rechten en plaatst vervolgens een backdoor.
"Dit is weer een incident dat Microsoft had kunnen voorkomen. Om het nog eens te herhalen, het bedrijf wist al meer dan een jaar geleden van dit probleem en ondanks de aanwezigheid van proof-of-concept code is er geen patch voor getroffen Windows gebruikers", aldus onderzoeker Dancho Danchev. Hij adviseert gebruikers om in afwachting van een patch het advies van Microsoft te volgen. Dit is niet het enige ongepatchte lek in Windows, sommige problemen wachten al 729 dagen op een update.
Dus eigenlijk is je site dan ook al mogelijk gedefaced en is je database gepikt.
Alleen door een update die microsoft nog niet gepatched heef (111!!!111~~~~) dan kan je pas code uitvoeren.
Dus het is niet de fout van de programmeur die een foute code schrijft, maar microsoft!!!!!````~~~~.
Hij heeft weer een (of meer) servers om kwade dingen mee te doen.
Hoe het allemaal gaat werken in om een bestuuringsysteem veiliger maken mag joost weten.
En misschien gebruikt Microsoft wel VHD bestand als een gebruikers account en een map sharedfolder.vhd voor de virtueel webbrowser, en zo wanneer je iet's installeerd wordt het op een VHD bestand geinstalleerd en niet meer in system32. En met systemrestore een klik op knop pc's herstart en verwijderd alleen gegevens die zijn voorgeinstalleerd en automatisch verdwijnen dan ook je internet history, malware gegevens en foto's !
Als je een gatenkaas computer hebt moet je geen Windows installeren, omdat het anders dan op gaten gaat draaien.
Zorg er naast voor je eigen beveiliging!
Dus eigenlijk is je site dan ook al mogelijk gedefaced en is je database gepikt.
Alleen door een update die microsoft nog niet gepatched heef (111!!!111~~~~) dan kan je pas code uitvoeren.
Dus het is niet de fout van de programmeur die een foute code schrijft, maar microsoft!!!!!````~~~~.
ik sluit me aan bij Napped ;)
Hij heeft weer een (of meer) servers om kwade dingen mee te doen.
Harrie de Hacker ? .... broertje van Joe the Plummer ? :P
Tell us something new... ;)
(Virusscanners bieden praktisch uitsluitend een psychologische bescherming tegen paranoia en onbenul voor mensen met geld te veel en kennis te weinig, als beveiliging zijn ze waardeloos tenzij je misschien er 37 tegelijk hebt draaien, en zelfs dan nog moet je de eerste dagen (weken) geen bescherming verwachten tegen een actueel stukje malware.
Dat is m.i. helaas de trieste realiteit)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
