Hackers misbruiken nu ook Flash Player-lek
Ook het gisteren aangekondigde zero-day beveiligingslek in Adobe Flash Player wordt actief misbruikt voor het infecteren Windows systemen. Adobe liet weten dat alleen de zero-day kwetsbaarheid in Adobe Reader bij aanvallen was ingezet en dat er nog geen aanvallen tegen Flash Player bekend waren. Volgens anti-virusbedrijf CA gaat het om een PDF waarin een iPhone en iPad app wordt aangekondigd.
Kaspersky Lab komt vandaag met de waarschuwing dat het lek in Flash Player wel actief wordt misbruikt en dat het de bijbehorende malware heeft ontdekt. Hoewel de malware niet erg complex is, bevat die wel verschillende verrassingen, aldus Tillmann Werner. De bot maakt namelijk gebruik van een installatie optie, maar beschikt ook over een verwijder optie om zichzelf compleet van het systeem te verwijderen.
Eenmaal uitgevoerd injecteert "Sykipot.an" zich in de processen van Outlook, Internet Explorer en Firefox. De geïnjecteerde code stuurt elke vijf minuten een HTTP request naar news.mysundayparty.com en downloadt een versleuteld configuratiebestand. In dit bestand ontdekte Tillmann een string die verband houdt met een andere zero-day aanval op Internet Explorer, die begin dit jaar plaatsvond. Bij beide aanvallen probeerden de aanvallers informatie van het systeem te stelen. Een nog eerdere versie van de malware in kwestie zou ook al via een zero-day lek in Flash Player zijn verspreid.
Graag horen we van onze lezers of ze naar aanleiding van dit nieuwste zero-day lek Flash Player verwijderen, NoScript gebruiken of helemaal niets doen.
Voor Chrome lijkt er ook een FlashBlock te bestaan. Is van een andere ontwikkelaar en ik heb er geen enkele ervaring mee. Zie https://chrome.google.com/extensions/detail/cdngiadmnkhgemkimkhiilgffbjijcie.
Twee tips voor de MSIE aanhangers:
Deze volgende page vond ik zojuist toevallig: http://www.winhelponline.com/blog/disable-flash-all-but-whitelist-sites-ie8/. Hier kun je lezen hoe je Flash binnen MSIE 8 (helaas niet MSIE 7) kunt disablen voor alle sites behalve een whitelist (die je zelf moet inrichten en bijhouden, en dat gaat erg eenvoudig). Hier hoef je helemaal niets voor te installeren!
Wat minder handig wellicht is de volgende tip die ik al eerder vermeldde op deze site:
Als je bij MSIE zweert dan kun je evt. gebruik maken van "Toggle Flash" (zie http://flash.melameth.com/, heeft wel .NET framework v2.0 nodig). De versie op die site was zojuist nog ongewijzigd t.o.v. van wat ik eind 2009 heb gedownload (togflash.msi: md5=600732e2e250e1962646c6c2d149b913, sha1=fb2399e1d4927243baf79ef79e270e3fcf53d3cb).
Dit kleine programmaatje wijzigt door een klik op het icoontje (dat rechtbovenin MSIE verschijnt) de status van de Add-On "Flash" binnen MSIE tussen enabled en disabled. Helaas een wat gebruiksonvriendelijk ding omdat deze de actuele status (Flash enabled of disabled) niet laat zien in dat icoontje.
De volgende tip is dan wellicht handig:
- Download en installeer Toggle Flash
- Download http://www.adobe.com/swf/software/flash/about/flashAbout_info_small.swf en save deze bijv. als C:\hulpjes\flashAbout_info_small.swf (die map mag je zelf kiezen natuurlijk, je kunt deze swf natuurlijk ook opslaan onder C:\Program Files\Toggle Flash\).
- Start MSIE en tik in als URL: C:\hulpjes\flashAbout_info_small.swf
- Maak dat je MSIE homepage (in "Internet Opties" ziet dat eruit als: file:///C:/hulpjes/flashAbout_info_small.swf, spaties in mapnamen worden dan vervangen door %20).
Als je nu MSIE opstart en "Toggle Flash" staat aan, dan zal deze het versienummer van de geinstalleerde Flash plugin laten zien. Als Toggle Flash uit staat, krijg je een klein rood kruis en onderin MSIE een melding dat een plugin disabled is.
N.B. je "home page" wordt natuurlijk alleen getoond als je MSIE "kaal" opstart, niet als je deze opent door op een link in een mail te klikken of zo. Kwestie van discipline om Flash altijd meteen weer uit te schakelen nadat je het gebruikt hebt.
Als er een ernstig lek in het Windows besturingsysteem wordt ontdekt, maar het duurt nog 3 weken voordat het tijdens patchdinsdag pas wordt gepatched, dan ga je toch ook niet zeggen: "Ik ga 3 weken lang niet meer het internet op totdat er een patch is!"
Kom op zeg.. als je weet hebt van een lek (aanval), dan ga je er toch voor zorgen dat je zoveel mogelijk doet om te vermijden dat het misbruikt wordt (verdediging). Ja, eraf gooien is ook een optie, maar dan kom ik toch weer terug om mijn eerste stelling wanneer er in Windows zelf een kwestbaarheid zit.
Er is geen enkele reden om Flash Player te gebruiken. Dus doe ik het niet.
Als er een ernstig lek in het Windows besturingsysteem wordt ontdekt, maar het duurt nog 3 weken voordat het tijdens patchdinsdag pas wordt gepatched, dan ga je toch ook niet zeggen: "Ik ga 3 weken lang niet meer het internet op totdat er een patch is!"
Kom op zeg.. als je weet hebt van een lek (aanval), dan ga je er toch voor zorgen dat je zoveel mogelijk doet om te vermijden dat het misbruikt wordt (verdediging). Ja, eraf gooien is ook een optie, maar dan kom ik toch weer terug om mijn eerste stelling wanneer er in Windows zelf een kwestbaarheid zit.
En als je in IE "zoveel mogelijk" wilt doen is verwijderen de beste optie.
Het is altijd hommeles met Adobe.
Een kanttekening:
Die uitleg over het aanleggen van een whitelist voor flash is specifiek voor IE8, niet voor IE7.
Zie:
How to Disable Adobe Flash Animations for All but White-Listed Sites in Internet Explorer 8
http://www.winhelponline.com/blog/disable-flash-all-but-whitelist-sites-ie8/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
