Flame besmet computers via Windows Update
Het geavanceerde Flame spionagevirus blijkt Windows Update te gebruiken om computers te infecteren, zo heeft Kaspersky Lab ontdekt. De onlangs ontdekte malware die voornamelijk als doel had om informatie te stelen, bestaat uit allerlei modules. Eén van deze modules, de 'Gadget' module, voert een man-in-the-middle-aanval tegen Windows Update uit. Hiervoor gebruikt het een vals certificaat dat het via een kwetsbaarheid in de Terminal Server Licensing Service kon aanmaken.
Zero-day
Om de aanval uit te voeren moet wel tijdszone GMT+2 op de computer zijn ingesteld. "Dit verklaart mogelijk de geografische locatie van Flame", zegt Kaspersky Lab-analist Costin Raiu.
"Ons vermoeden over een zero-day in Flame klopte, alleen was het niet per se een zero-day, maar een man-in-the-middle aanval via valse certificaten", laat Raiu weten. "Dit is enorm. Het gebruik van Windows Update als een aanvalsvector is altijd iets waar we bang voor zijn geweest", aldus Mikko Hypponen van het Finse F-Secure.
betekend dus, imho, dat MS een meuk besmette servers heeft.
of dat er al een infectie plaats vond, om de DNS te wijzigen.
Nb. genoemde *.microsoft.com sites zijn feitelijk Akamai sites, Akamai verzorgt de distributie van bestanden voor Microsoft.
Het zou mij niet verbazen als deze aanval onmogelijk was geweest als Microsoft van een dubbele beveiliging gebruik gemaakt had, nl. door de update-bestanden via https te verzenden en de digitale handtekeningen erop te controleren (het Microsoft updateproces verstuurt via http en vertrouwt dus uitsluitend op digitale handtekeningen onder bestanden). Aan de andere kant is het wel zo dat beide mechanismen bouwen op de dezelfde publieke PKI infrastructuur, en gemeenschappelijke fouten zijn dus denkbaar.
Ook had Microsoft hard-coded fingerprints van de certificaten, gebruikt voor het valideren van updates, kunnen opnemen in het Windows subsysteem dat update bestanden ophaalt en installeert. Dan was deze aanval ontdekt (cq niet mogelijk geweest), net zoals destijds de Google webbrowser waarschuwde toen Iraniërs naar een gespoofde GMail site werden gestuurd in plaats van naar de echte.
Ik ben van mening dat we, in elk geval voor hoog-kritische systemen, een soort parallel PKI-achtig systeem zouden moeten hebben om zo een two-factor principe te realiseren. Uitsluitend baseren op PKI is duidelijk een single point of [security] failure...
Steeds maar willen afbreken wat een ander heeft gebouwd.
Ga alsjeblieft iets nuttigs doen.
Desondanks is een gepatchte Windows XP computer met adequate bescherming behoorlijk veilig.
Voor top-secret gegevens blijft een offline computer de beste oplossing.
2) Zelfs al zou je malware als signed by Microsoft maken, dan verklaart dat niet hoe een virusscanner dat zomaar zou doorlaten - of het nu een MS update is of via een andere weg op het systeem komt.
Het ziet er naar uit dat twee partijen enorme gaten hebben laten vallen in de verdediging:
- Microsoft heeft bevoegdheid te ruim uitgedeeld - code signing voor een dienst waar dit niet thuis hoorde. En Microsoft heeft meermaals een zwakte in hun CA-systeem laten zitten;
- Anti-virus leveranciers hebben grof zitten slapen en veel te makkelijk bronnen geloofd op basis van signing met als gevolg te snel bestempelen als goedaardige software.
Het is al heel wat jaren duidelijk dat je niet blind op een CA of signing kan varen en dat je software niet op vermeende afkomst moet geloven. Waarom falen twee giganten van peilers in de ICT-secor dan zo enorm??!!
betekend dus, imho, dat MS een meuk besmette servers heeft.
of dat er al een infectie plaats vond, om de DNS te wijzigen.
In feite ligt maar een hele smalle strook van het midden-oosten in GMT+2.
West Europa ligt gedurende de zomertijd ook in GMT+2.
http://upload.wikimedia.org/wikipedia/commons/1/18/Worldwide_Time_Zones_%28including_DST%29.png
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
