Malware op NU.nl zeer gevaarlijk
De malware die gisteren korte tijd op NU.nl bezoekers infecteerde is zeer gevaarlijk en kan geld van bankrekeningen afhalen, zo laten beveiligingsexperts aan Security.nl weten. Aanvallers wisten de inloggegevens van het NU.nl content managementsysteem te achterhalen. Via dit systeem worden berichten op de nieuwssite geplaatst. De aanvaller gebruikte de gegevens om een kwaadaardig script op de website te verstoppen, dat controleerde of bezoekers geen verouderde software zoals Adobe Reader of Java gebruikten. Was dit het geval, dan werd er vanaf een Indiase server een exploit gebruikt die vervolgens de Sinowal Trojan installeerde. Een berucht Trojaans paard, dat al sinds 2007 wordt ingezet om Nederlandse gebruikers van internetbankieren aan te vallen.
"Sinowal, ook bekend als Torpig, is een zeer actieve banking Trojan", zegt Ralf Benzmüller, hoofd van G Data Security Labs. De besmette computers worden onderdeel van een botnet dat ook aanvullende malware kan installeren. De besmette machines kunnen zo worden ingezet voor het uitvoeren van DDoS-aanvallen tegen websites, maar ook de installatie van spyware en spamtools is mogelijk.
Installeren
De virusbestrijder stelt dat de eigen BankGuard de meeste exemplaren herkent, maar ook niet allemaal. Verder vindt hij HitmanPro een goede keus. Sinowal wordt beschermd door de TDL of MBR-rootkits en zijn daardoor zeer lastig te identificeren en te verwijderen. Wie dan ook echt veilig wil zijn zal volgens Benzmüller drastische stappen moeten nemen. "Om het zekere voor het onzekere te kiezen is het opnieuw installeren van de machine de veiligste optie, wat natuurlijk slecht nieuws voor de bezoekers is."
Getroffen gebruikers moeten volgens Nicolas Brulez van Kaspersky Lab vooral hun bankrekening en afschriften in de gaten houden, aangezien Sinowal vooral ontwikkeld is om internetbankieren aan te vallen. "Sinowal is een serieuze dreiging die geavanceerde rootkit-technologieën en bootvirus-methoden gebruikt om de Master Boot Record (MBR) te infecteren." Vanwege deze eigenschappen is het lastig om de malware te detecteren. Helemaal voor eindgebruikers, aangezien er geen zichtbare "symptomen" op de computer waarneembaar zijn.
Updaten
Hij adviseert internetgebruikers die NU.nl gisteren tussen 11:30 en 12:30 bezochten, het moment dat de malware online stond, om de gratis TDSS killer tool van Kaspersky te gebruiken. Wie in de tussentijd de online bankrekening heeft bezocht moet er daarnaast rekening mee houden dat de inloggegevens zijn buitgemaakt. Inmiddels is duidelijk geworden dat de infectie tussen 11:30 en 13:45 speelde. Tevens zou TDSS killer niet de gehele infectie kunnen verwijderen.
Het verwijderen van Sinowal alleen is daarnaast niet voldoende. Uit deze analyse blijkt dat er kwaadaardige PDF- en Java-bestanden werden gebruikt om de computers te infecteren. Wie de laatste Java en Adobe Reader updates niet installeert is dan ook nog steeds kwetsbaar voor nieuwe infecties, merkt Brulez op. Voor geavanceerde gebruikers adviseert hij de Firefox uitbreiding NoScript, die het uitvoeren van willekeurige scripts voorkomt.
Opzet
NU.nl werd vorig jaar in de categorie nieuws & informatie verkozen tot website van het jaar. "De cybercriminelen die de aanval uitvoerden hebben dus juist NU.nl misbruikt omdat dit een ontzettend populaire website is", stelt Mark Loman van beveiligingsbedrijf SurfRight. "Het tijdstip van de aanval was ook belangrijk, want rond lunchtijd lezen veel mensen bij bedrijven het laatste nieuws via NU.nl."
Het lijkt er volgens Loman op dat computers bij bedrijven het doelwit waren. "Systeembeheerders kunnen vaak de webbrowser en Java of PDF reader soms jarenlang niet bijwerken omdat een belangrijke bedrijfsapplicatie niet overweg kan met de actuele en veel veiligere versie."
Internetbankieren
Ook Loman waarschuwt internetbankierders. De malware zal namelijk een man-in-the-browser aanval proberen uit te voeren. "Hierdoor kan Sinowal bijvoorbeeld een geldbedrag en het ontvangende rekeningnummer wijzigen. Dit gebeurt precies voordat de transactie over de versleutelde verbinding naar de bank wordt gestuurd", laat de beveiligingsexpert weten.
Ook al controleert en ziet de gebruiker voor het internetbankieren dat de verbinding met de bank versleuteld is, het is niet langer veilig om gebruik te maken van internetbankieren, of om andere persoonlijke gegevens zoals creditcard-details of wachtwoorden op websites in te voeren, merkt Loman op. "Overigens is het systeem bij de Nederlandse banken principieel wel veilig, het is de computer van de klant wat de zwakste schakel is."
Gebruikers krijgen van hem het advies om de infectie via HitmanPro te verwijderen en ongebruikte applicaties, zoals bijvoorbeeld Java, te verwijderen.
Update 19 maart 2012
G Data laat in een reactie weten dat Bankguard alle exemplaren van Sinowal herkent zodra die de browser aanvalt. Maar in het geval die met een rootkit beschermd is, niet in staat is die van het systeem te verwijderen.
Vergeten we hier Chrome?
Voor Chrome heb je ScriptNo welke hetzelfde doet en nog meer in de opties om fine te tunen.
Maw, G Data's eigen produkt kan het niet altijd vinden en niet verwijderen?
Vergeten we hier Chrome?
Voor Chrome heb je ScriptNo welke hetzelfde doet en nog meer in de opties om fine te tunen.
Meerdere keren gelezen, dat Firefox met addons als Noscript en Adblock Plus, etc. vooraf filtert bij het openen van websites. In tegenstelling tot Crome met hun soortgelijke extenties. dat pas achteraf na het openen van sites die zaken wegfiltert zodat ze eerst nog even je surfgegevens, etc. zichzelf kunnen doen toekomen. Met zulk een beleid mogen ze van mij ook hun sandbox in hun **** steken met hun verder overigens erg fijne browser als je niets om je privacy geeft.
Volgens mij heeft Foxit ook een detectie tool die Sinowal detecteerd.
Ik heb geen andere virusscanner gevonden die dat betreffende exemplaar toen der tijd detecteerde; enkel de tool van Foxit die hier te downloaden is:
https://www.ing.nl/cleaner
Kreeg het virus met geen enkele antivirus zo ver verwijderd dat de ING cleaner de PC veilig bevond.
Ik moest daar voor een nieuwe MBR installeren en een wazige partitie die er bij gekomen was verwijderen
suc6!
Greetingz,
Jacco
Vanuit dat script werd een iframe vanaf servers met een .in naam geïnjecteerd. Iframes kun je ook uitzetten in NoScript meen ik (weet even niet zeker, maar wellicht doen minder gebruikers dat, en ik weet ook niet wat de default is).
Echter het lijkt er op dat vervolgens ook javascript vanaf die zogenaamd zich in India bevindende servers werd gebruikt om de exploits te laden, zie de uitstekende writeup van Sijmen Ruwhof: http://sijmen.ruwhof.net/weblog/166-nu-nl-gehackt-malware-analyse.
Als ik Sijmen goed begrijp wordt de javascript code die begint met "function ns2()" vanaf een van de .in servers gehaald. Als dat zo is helpt NoScript natuurlijk wel, want die .in servers zijn natuurlijk niet trusted.
Bijvoorbeeld door het controleren van de actieve processen?
of een registry entry?
Vanuit dat script werd een iframe vanaf servers met een .in naam geïnjecteerd. Iframes kun je ook uitzetten in NoScript meen ik (weet even niet zeker, maar wellicht doen minder gebruikers dat, en ik weet ook niet wat de default is).
Ik heb net NoScript even onder een tijdelijke user geïnstalleerd om de standaardinstellingen zichtbaar te maken. Als je die niet aanpast:
- worden iframes toegestaan;
- worden objecten die je voor niet vertrouwde sites hebt geblokkeerd toegestaan als ze van vertrouwde sites geladen worden;
- worden objecten geladen van niet vertrouwde sites geblokkeerd.
Het laatste had in dit geval de infectie tegengehouden. Als ze de malware op de server van nu.nl hadden geplaatst in plaats van naar een andere site te verwijzen was die niet tegengehouden met de standaardinstellingen. Het is dus de moeite waard om iframes te verbieden en objecten ook op vertrouwde sites te blokkeren (bij de meeste sites is het een kwestie van het object aanklikken om het alsnog te laden, hoewel het bij sommige sites niet zo makkelijk gaat).
Vanuit dat script werd een iframe vanaf servers met een .in naam geïnjecteerd. Iframes kun je ook uitzetten in NoScript meen ik (weet even niet zeker, maar wellicht doen minder gebruikers dat, en ik weet ook niet wat de default is).
Echter het lijkt er op dat vervolgens ook javascript vanaf die zogenaamd zich in India bevindende servers werd gebruikt om de exploits te laden, zie de uitstekende writeup van Sijmen Ruwhof: http://sijmen.ruwhof.net/weblog/166-nu-nl-gehackt-malware-analyse.
Als ik Sijmen goed begrijp wordt de javascript code die begint met "function ns2()" vanaf een van de .in servers gehaald. Als dat zo is helpt NoScript natuurlijk wel, want die .in servers zijn natuurlijk niet trusted.
Iframes kun je inderdaad uitzetten in Noscript, maar dit staat default aan en ik denk dat maar weinig mensen die instelling aanpassen. Bij complexe sites als online bankieren zijn vaak wel 5 of meer domeinen betrokken. Dan laat ik Noscript 'Alles op deze pagina toestaan' (definitief, niet tijdelijk), anders blijf je bezig voordat het goed werkt.
Sommigen zullen dat ook bij Nu.nl hebben gedaan. Dat is in dit geval alleen een probleem als je Noscript gister tussen 11.30 en 13.30 instelde om alle domeinen toe te staan (want alleen toen werden die .in-domeinen aangeroepen op nu.nl).
(alles onder voorbehoud dat de info Sijmen klopt).
Het echte helaas is trouwens niet voor Java als platform (de security daarvan zou op zich veel beter in orde moeten kunnen zijn dan hij is) maar voor de manier waarop Oracle het beheert.
Ik heb dus Java geïnstalleerd, maar blokkeer het met NoScript (wat ik sowieso gebruik), ook voor websites die als vertrouwd zijn gemarkeerd. Een applet wordt pas geladen als ik daarvoor kies door op de placeholder voor het object te klikken.
LET OP: Het op eigen houtje gebruiken van TDSSKiller kan zeer schadelijk zijn, zie ook http://www.nucia.eu/forum/showthread.php?t=66959
same here
http://secunia.com/vulnerability_scanning/personal/
Er waren maar 2 virusscanners die het Trojan gisteren herkenden!
PK
Als het goed is wel he, want het systeem werkt zo dat alles binnen die beveiligde zone draait die je zonder probleem kan leegmaken als je klaar bent met surfen. Dus alles wat je download etc. dus ook die trojan beland in je sanbox
Ik ben zelf de auteur van de waarschuwing op Nucia. De mededeling dat het gebruik van TDSSKiller schadelijk kan (met nadruk op kan) zijn lijkt mij geen onjuiste weergave van wat er in de waarschuwing staat. Het gaat mij erom te voorkomen dat de gemiddelde computergebruiker zomaar met TDSSKiller aan de slag gaat, zijn Windows-installatie om zeep helpt en nog verder van huis is. Omdat TDSSKiller aan alle kanten zonder enig voorbehoud wordt aangeraden als verwijdertool voor deze infectie vond ik het noodzakelijk om daar een (misschien wat summiere, maar niet onjuiste) kanttekening bij te plaatsen.
- worden iframes toegestaan;
- worden objecten die je voor niet vertrouwde sites hebt geblokkeerd toegestaan als ze van vertrouwde sites geladen worden;
- worden objecten geladen van niet vertrouwde sites geblokkeerd.
Het laatste had in dit geval de infectie tegengehouden. Als ze de malware op de server van nu.nl hadden geplaatst in plaats van naar een andere site te verwijzen was die niet tegengehouden met de standaardinstellingen. Het is dus de moeite waard om iframes te verbieden en objecten ook op vertrouwde sites te blokkeren (bij de meeste sites is het een kwestie van het object aanklikken om het alsnog te laden, hoewel het bij sommige sites niet zo makkelijk gaat).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
