Nederlandse banken doelwit Carberp Trojan
Drie Nederlandse banken zijn het doelwit van een Trojaans paard dat volgens sommigen de beruchte Zeus Trojan van de troon moet stoten. De Carberp Trojan kan zonder adminrechten draaien. Is in staat om Windows XP, Vista en Windows 7 machines te infecteren. Maakt geen aanpassingen aan het register en heeft volledige controle over al het verkeer van en naar de browser, waaronder HTTPS met EV-SSL certificaat. De gegevens die de Trojan steelt, worden in real-time naar de criminelen doorgestuurd, die hier vervolgens online bankrekeningen mee leegroven.
Onderzoekers ontdekten verder dat de malware niet alleen aanwezige beveiligingssoftware uitschakelt, maar ook andere aanwezige Trojaanse paarden. Volgens analisten van TrustDefender bevindt Carberp zich al op het niveau van Zeus en kan het een grote dreiging worden. Veel bekende virusscanners blijken de malware niet te detecteren, waaronder Microsoft, Sophos, Symantec en Trend Micro.
"Carberp heeft geen adminrechten nodig om te draaien. De Trojan is zeer voorzichtig om geen bestanden aan te maken of iets te gebruiken waarvoor adminrechten nodig zijn", aldus TrustDefender. "Dit betekent dat de Trojan standaard op beveiligde machines draait, alsmede op Windows 7 en Vista, het betekent ook dat de Trojan alleen de ingelogde gebruiker besmet. Het infecteert geen andere gebruikers of kernelonderdelen van het systeem." Verder merkt het beveiligingsbedrijf op dat de Trojan de gegevens meteen gebruikt. "Het verstuurt de informatie vanaf de computer voordat het naar de echte ontvanger wordt gestuurd, de bank."
Detectie van Carberp schijnt zeer lastig te zijn. De beste manier om een infectie te vinden is via Microsoft's Process Explorer. De Trojan kan zowel alle gegevens van Internet Explorer als Firefox manipuleren. Gebruikers van Google Chrome zijn geen specifiek doelwit.
Nederland
Ook beveiligingsbedrijf Trusteer onderzocht de Trojan en ontdekte dat die negen banken aanvalt. Drie daarvan zijn Nederlandse banken. Welke banken staat niet vermeld. We vroegen Trusteer de naam van de drie banken, maar dat wilde daar niet op reageren.
Aan de hand van de informatie in de analyse, de broncode en Google, wordt echter duidelijk dat het onder andere om de Rabobank gaat. Verder zijn banken in Denemarken, Duitsland, Israël en de VS het doelwit.
Het rapport noemt:
* Dropper maakt een verborgen bestand aan in "%UserProfile%\Start Menu\Programs\Startup" met de naam chkntfs.exe of syscron.exe
* In het rapport staat een voorbeeld URL ".nl/klanten", volgens Google (inurl:.nl/klanten bank) hebben Alex en Rabobank zo'n submap.
Nou daar hoef je niet veel onderzoek voor te doen...
https://www.rabobank.nl/download/
CompanyName: Fox-IT
FileDescription: Carberp Cleaner
FileVersion: 2, 0, 0, 2
InternalName: Carberp Cleaner
LegalCopyright: Copyright (C) 2010 Fox-IT
is van 13 september en versie 2.0.0.2... is dus vast al ouder... ;)
De Rabobank had hun rekening geblokkeerd en per mail een cleaner gestuurd.
Hieronder staat voor de liefhebbers het rapport gemaakt na het schoonmaken, wat teruggemaild kon worden om de rekening te laten deblokkeren. ( Bij [] stond een accountnaam tussen de haakjes.)
Overigens bleek het systeem nog eens 17 andere stuks malware te bevatten.
Dat bleek na een volledige scan met Security essentials terwijl de wekelijkse snelle scan nauwelijks iets detecteerde.
In feite was de computer volledig gecompromitteerd.Het systeem bevatte o.a verschillende keyloggers, wachtwoordstelers en het DNS verkeer kon worden omgeleid. De klachten in het gebruik van de computer waren dat Firefox tergend langzaam was en soms werd afgesloten direct na het opstarten.Er waren geen vreemde processen zichtbaar in taakbeheer.
Inmiddels is de computer geformatteerd en opnieuw geinstalleerd en zijn alle wachtwoorden veranderd.
Overigens wilde Rabo de rekening pas weer deblokkeren na een persoonlijk bezoek aan de bank.
Het logboek:
Searching for Carberp hosting process
--------------------------------------
smss.exe [SYSTEM] -> Clean
csrss.exe [SYSTEM] -> Clean
winlogon.exe [SYSTEM] -> Clean
services.exe [SYSTEM] -> Clean
lsass.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
MsMpEng.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
spoolsv.exe [SYSTEM] -> Clean
explorer.exe [] -> Clean
E_FATIAIE.EXE [] -> Clean
RTHDCPL.exe [] -> Clean
rundll32.exe [] -> Clean
iTunesHelper.exe [] -> Clean
msseces.exe [] -> Clean
jusched.exe [] -> Clean
nmctxth.exe [] -> Clean
reader_sl.exe [] -> Clean
ctfmon.exe [] -> Clean
msmsgs.exe [] -> Clean
uTorrent.exe [] -> Clean
TomTomHOMERunner.exe [] -> Clean
CoreAudio.exe [] -> Clean
ntvdm.exe [] -> Clean
audiorepeater.exe [] -> Clean
PConTV.exe [] -> Clean
svchost.exe [] -> Infected!
\-> Carberp hosting process successfully killed
AppleMobileDeviceService.exe [SYSTEM] -> Clean
mDNSResponder.exe [SYSTEM] -> Clean
svchost.exe [SYSTEM] -> Clean
jqs.exe [SYSTEM] -> Clean
McSACore.exe [SYSTEM] -> Clean
NMSAccessU.exe [SYSTEM] -> Clean
nvsvc32.exe [SYSTEM] -> Clean
Het rapport noemt:
* Dropper maakt een verborgen bestand aan in "%UserProfile%\Start Menu\Programs\Startup" met de naam chkntfs.exe of syscron.exe
* In het rapport staat een voorbeeld URL ".nl/klanten", volgens Google (inurl:.nl/klanten bank) hebben Alex en Rabobank zo'n submap.
hahahahahah
Ik denk dat hij snail mail bedoelde. Een brief met een link naar de Rabobank website.
De Rabo vraagt in zijn challenge response pas bij grotere bedragen om ook het bedrag als tweede challenge op te geven, en bij nog grotere bedragen om het tegenrekeningnummer als derde challenge. Als je óf de user interface, óf de HTTP-berichten in onversleutelde vorm kan manipuleren, en Carberb haakt op beide in, dan ben je in staat om kleinere bedragen tot de limiet voor de tweede challenge te verhogen, en om tegenrekeningnummers aan te passen zo lang je onder de drempel voor de derde challenge zit. Alles zonder dat het voor de gebruiker zichtbaar is.
Omdat in TAN-codes noch het bedrag, noch het tegenrekeningnummer verwerkt zijn, bieden die geen enkele bescherming tegen dit soort aanvallen.
"You see what you sign" kan duidelijk niet meer door een desktop-machine gegarandeerd worden, en dat zou dus uitbesteed moeten worden aan een apparaat dat aanzienlijk moeilijker te manipuleren is. Met de huidige random reader zou dat kunnen door altijd bedrag en tegenrekening als challenge te gebruiken, ook voor kleinere overboekingen, alleen is het nogal omslachtig als je meerdere overboekingen in een keer wilt ondertekenen. Een aan de computer gekoppeld apparaatje zou de volledige transactiegegevens kunnen ontvangen en tonen op een voldoende groot schermpje, en je die met een pincode op een ingebouwd toetsenbordje laten ondertekenen. Dat apparaatje mag niet via die verbinding te compromitteren zijn, ongeautoriseerde firmware-upgrades langs die route moeten dus onmogelijk zijn. Je hebt als klant de verantwoordelijkheid om niet blind te tekenen maar elke keer zorgvuldig te kijken of de bedragen en rekeningnummers wel kloppen. Als je dat niet doet houdt alles op.
Je vertrouwelijkheid ligt op straat met dit soort aanvallen, maar een cryptografisch sterke digitale handtekening kan veilig over een onveilige verbinding gestuurd worden, daarvoor moeten alleen de eindpunten robuust zijn. Dat eindpunt moet dus niet de computer zelf zijn maar een gespecialiseerd apparaatje, en het moet minstens bedragen en tegenrekeningnummers mee-ondertekenen om een gecompromitteerde pc te ondervangen.
Bij mijn vader hadden ze dat inderdaad wel gedaan. Toegang tot internetbankieren geblokkeerd en vervolgens een echte brief gestuurd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
