Besmette advertenties op bekende Nederlandse sites
Verschillende bekende Nederlandse websites hebben vanwege een gehackte advertentieplatform bezoekers geïnfecteerde advertenties getoond, maar door een fout van de aanvallers werkt de aanval niet. Dat meldt Mark Loman van het Nederlandse beveiligingsbedrijf SurfRight op Twitter.
De besmette advertenties maken gebruik van beveiligingslekken die niet door gebruikers zijn gepatcht om een banking Trojan te installeren. De Sinowal-malware die via de besmette advertenties wordt verspreid blijkt door weinig virusscanners te worden herkend.
Fout van de aanvallers
Volgens Loman wisten de aanvallers de OpenX-server van Adfactor te compromitteren. OpenX is een populair advertentieplatform voor het tonen en beheren van online advertenties. Veel bekende websites tonen advertenties die via Adfactor worden aangeleverd. De besmette advertenties werden vanochtend onder andere op de website van SlamFM getoond.
Door een fout van de aanvallers blijkt dat de aanval niet goed functioneert. "De aanval werkt niet goed omdat de aanvaller html code achter een gif-beelding plakt", aldus Loman op Twitter. De onderzoeker waarschuwt dat dit echter kan veranderen als de aanvallers nog toegang tot de gehackte OpenX-server hebben.
Is het wettelijk gezien niet mogelijk om eventuele schade te verhalen op de beheerder van de website die je bezoekt?
Dat zet meer zoden aan de dijk lijkt me, laat die beheerder zijn schade dan maar verhalen op die ad-aanbieder, daar kan ik echt geen medelijden mee hebben.
Is het wettelijk gezien niet mogelijk om eventuele schade te verhalen op de beheerder van de website die je bezoekt?
Dat zet meer zoden aan de dijk lijkt me, laat die beheerder zijn schade dan maar verhalen op die ad-aanbieder, daar kan ik echt geen medelijden mee hebben.
Let wel, ik ben geen jurist, maar dit klinkt als iets dat je misschien kan proberen in de United Sues of America.
Waarom en bij wie is dat populair dan? Bij mensen die niks willen betalen ofzo?
Bij security-bewuste mensen is hij volgens mij niet populair. Het is de ultieme bagger onder de advertentieplatforms.
Als je als high-profile site advertenties op je site wilt dan zou het 1e criterium bij het selecteren van je advertentiehoster
moeten zijn: gebruiken ze OpenX? Zoja, dan mijden als de pest.
Hoezo ? Indien jij de beveiliging van je computer op orde hebt, dan heb je nergens last van. Dus als je wordt besmet, dan valt jou net zoveel te verwijten als de eigenaar van de website. Al is het gemakkelijk om naar anderen te wijzen, en je schade op hen te willen verhalen.
"Dat zet meer zoden aan de dijk lijkt me, laat die beheerder zijn schade dan maar verhalen op die ad-aanbieder, daar kan ik echt geen medelijden mee hebben."
Je hebt geen medelijden met hen, indien zij hun beveiliging niet op orde hebben, maar wel met jezelf, wanneer je vervolgens besmet wordt doordat je zelf security updates niet op tijd installeert. Indien je dat wel had gedaan, was je immers niet kwestbaar geweest.
Mocht je computer besmet worden, en mochten er vervolgens aanvallen vanaf jouw computer gelanceert worden, ga jij dan eventuele slachtoffers van die activiteit compenseren ?
Immers hoeven die mensen met jou ook echt geen medelijden te hebben, uitgaande van je eigen redenering.
"doordat je zelf security updates niet op tijd installeert. Indien je dat wel had gedaan, was je immers niet kwestbaar (sic) geweest"
Deze Sinowal-malware, die binnendringt via de "ultieme bagger onder de advertentieplatforms" komt ook *echt* niet je systeem binnen met een up-to-date Internet Explorer, Java, Acrobat Reader en Flash !
Nee, die bedrijven kennen geen zero-day's of mislukte patches (Microsoft) Over Java's updatebeleid en hun gratis reclamezoekbalkentroep (bij de zoveelste updates die je *ook* niet beschermen !) zal ik verder maar zwijgen...en Adobe wordt nooit gehackt en levert altijd veilige software. Wordt eens wakker...
Waarom na zoveel keren ellende nog zaken doen met OpenX-server van Adfactor ? Zal wel weer veel geld achter zitten en dat mensen besmet raken en rekeningen geplunderd zal ze worst wezen. Opvallend is ook hoe de kranten dit uit het nieuws houden. Net als in augustus dit jaar met de Telegraaf-besmetting.
Je hebt geen medelijden met hen, indien zij hun beveiliging niet op orde hebben, maar wel met jezelf, wanneer je vervolgens besmet wordt doordat je zelf security updates niet op tijd installeert. Indien je dat wel had gedaan, was je immers niet kwestbaar geweest.
Jij gaat er vanuit dat die hackers alleen kwetsbaarheden gebruiken waar al een update voor is.
Dat lijkt me een gevaarlijke basis. Als ze een huidige versie van een van de bekende zwakke applicaties weten aan te
vallen dan kun je nog zo goed zitten met je updates, dan word je alsnog slachtoffer.
De advertentiehoster heeft weldegelijk een belangrijke verantwoordelijkheid in deze. Als hij niet kan zorgen dat hij
veilige advertenties levert dan gaat ie maar lekker out of business, met of zonder dikke claim erachteraan.
Prutsers hebben we niet nodig.
Mooie vraag voor onze vriend Arnoud, ik ga hem dan ook maar even mailen.
Bedankt voor alle reacties, zowel vóór als tegen, de discussie is in ieder geval op gang gebracht!
@Anoniem - Dinsdag 15:11:
Er is nog altijd een verschil tussen verwijtbaar en met opzet / intentie !!!
Als particulier is het niet bepaald wettelijk verplicht om ICT-goeroe te zijn, als commercieel bedrijf dat particulieren alleen maar wil bestoken met (ongevraagde) reclame en daar nog (veel) geld voor krijgt (lees met nadruk géén: "verdiend") heb je een stuk meer verantwoordelijkheden, me dunkt!
Daarnaast had ik het niet bepaald over mij persoonlijk, maar meer over mensen die een computer door hun strot geduwd krijgen omdat ze anders nauwelijks meer iets kunnen doen in Nederland...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
