Telegraaf-bezoekers besmet met gevaarlijk virus
Tientallen bezoekers van Telegraaf.nl zijn gisteren met een gevaarlijk virus geïnfecteerd dat zeer lastig is te verwijderen. Aanvallers wisten toegang te krijgen tot de server van een bedrijf dat de nieuwsbriefregistraties voor de Telegraaf verwerkt. In het aanmeldscherm werd aanvalscode voor een Java-lek verstopt dat Oracle vorige week vrijdag patchte. In eerste instantie werd aangenomen dat de aanvallers alleen een nep-virusscanner genaamd Live Security Platinum op kwetsbare systemen installeerden.
Nu blijkt dat er naast de scareware ook het ZeroAccess-virus is achtergelaten. Het Nederlandse anti-virusbedrijf SurfRight ontdekte dat de downloader die via de exploit werd verspreid ook op tenminste 80 computers ZeroAcces achterliet.
ZeroAcces was eerst een rootkit maar wordt nu als 'user-mode virus' geclassificeerd. De malware is zeer lastig te verwijderen en kan zowel 32- als 64-bit Windows-systemen infecteren.
Normaal gooi ik een advertentiehoster e.d. bij een dergelijk incident altijd meteen in een permanente blocklist, maar dit keer lukt het me niet om te achterhalen waar nou precies de schuldige zit...
(ik heb wel squid logfiles van enkele bezoekers van de telegraaf site die de bewuste .jar file hebben opgehaald maar het is door de gigantische diarree van banners op de telegraaf site niet zo simpel om te achterhalen welke nou precies geleid heeft naar het ophalen van http://ladysarah-ecrivain.com/88770.jar en zo)
In ons bedrijf van 700 computers zijn er al 5 tegen de exploit aangelopen. Gelukkig is deze tegen gehouden door regels op de firewall. Maar als bij ons al 0,7% van de pc's gevaar liepen hoe is het dan met de rest van NL.
Verder, ik weet het nog niet helemaal zeker, geloof ik niet dat er net gisteren 5 personen zich wilde aanmelden voor de nieuwsbrief. Het zal dus wel op meer pagina's van de telegraaf hebben gestaan. Nader onderzoek moet (zal :o) ) dit uitwijzen.
Site is not listed in any SPAM blacklists.
Ik denk ematters.nl. Exploit website komt altijd na:
images.ematters . nl/telesport/telesport.html
images.ematters . nl/filmenuitgaan/filmuitgaan.html
images.ematters . nl/reiskrant/reiskrant.html?positie:goodiebar
images.ematters . nl/overgeld/overgeld.html?positie:goodiebar
in voorkomt. wel:
http://admin.brightcove.com/
http://media.adrcdn.com/
http://cntr.adrcntr.com/
http://tag.admeld.com/
http://kpn.solution.weborama.fr/
http://scripts.adrcdn.com/
http://csmcampagne.consumind.nl/
http://a.visualrevenue.com/
http://pix04.revsci.net/
http://b.scorecardresearch.com/
afijn en nog wel 20 anderen.
het wordt denk ik tijd voor een grootschalige adblokkade.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
