Op de website van de Telegraaf hebben aanvallers kwaadaardige code geplaatst om de computers van bezoekers met een kwetsbare Java-versie te infecteren, zo laat de Waarschuwingsdienst weten. Via de aanval wordt een nep-virusscanner genaamd Live Security Platinum geïnstalleerd. Dit is een bekende vorm van scareware die slachtoffers laat geloven dat hun computer met malware is besmet. Voor het verwijderen van de malware moeten slachtoffers het programma activeren, waarvoor moet worden betaald.

Volgens de Waarschuwingsdienst is er momenteel nog geen oplossing bekend voor deze aanval. Woordvoerster Mary-Jo van de Velde laat tegenover Security.nl weten dat de aanvallers een extern bedrijf hackten dat de nieuwsbriefregistratie voor De Telegraaf verzorgt. De aanval werd in het begin van de middag bij het Nationaal Cyber Security Center (NCSC), dat ook de Waarschuwingsdienst verzorgt, bekend.

Exploit
De aanmeldlink voor de nieuwsbrief staat op de frontpage van De Telegraaf, maar bezoekers moesten eerst op de link klikken voordat het scherm met de kwaadaardige code werd getoond. Vervolgens werd via het aanmeldscherm een Java-exploit geladen die bezoekers met een verouderde Java 7-versie infecteerde, aldus de woordvoerster.

Het gaat om dezelfde exploit die eerder ook bij OmroepWest werd gebruikt. De Telegraaf heeft de gewraakte link inmiddels verwijderd.

Het bedrijf dat de nieuwsbriefregistraties verwerkt doet dit ook voor andere partijen. Daardoor bestaat het risico dat ook andere sites door de aanvallers zijn getroffen. In het geval van de Telegraaf zou het om de aanmelding op de Telesport nieuwsbrief gaan.

Update 16:31
Mark Loman van het Nederlandse anti-virusbedrijf SurfRight laat Security.nl weten dat de eerste infecties vanochtend al bij het bedrijf binnenkwamen. Loman bevestigt dat de aanvallers inderdaad via CVE-2012-4681 binnenkwamen. Afgelopen vrijdag kwam Oracle met een noodpatch voor dit lek. Wat betreft de verspreidde malware zou het voor zover bekend alleen om scareware gaan.

Het iframe in het aanmeldvenster stuurde bezoekers door naar ambareiki.com/counter.php "Vervolgens werd er verwezen naar verschillende sites, waaronder ladysarah-ecrivain.com en extremehealthmakeovers.com, die de daadwerkelijke exploit en malware hosten", aldus Loman.

Mogelijk zouden de aanvallers naast de Java-exploit ook een PDF-exploit voor een lek in Adobe Reader hebben gebruikt.

Update 16:48
SurfRight heeft sinds de eerste infecties 140 slachtoffers gezien. Daarbij gebruiken de aanvallers nu ook het domein moneymakingphones.com. De kwaadaardige links worden inmiddels ook in de X-serie 2 routers van Sitecom geblokkeerd. Live Security Platinum is via deze manier te verwijderen.

Update 16:58
"Sinds 16:00 uur zijn de links naar de malware verwijderd van de website van de Telegraaf. De website kan dus weer veilig bezocht worden", aldus een update van de Waarschuwingsdienst.

Update 17:16
"Het kan niet zo zijn dat bezoekers van onze site die naar derden worden gestuurd worden geconfronteerd met malware", stelt Jan-Kees Emmer adjunct-hoofdredacteur van De Telegraaf. "Zelfs nu het betrokken bedrijf de link naar de malware heeft verwijderd, hebben we de relatie nog niet hersteld. Dat kan pas als duidelijk is hoe dit heeft kunnen gebeuren."

Update 17:37
4 van de 42 virusscanners op VirusTotal herkennen de nep-virusscanner. Bij de downloader slaan van 5 van de 42 virusscanners alarm.