Microsoft waarschuwt voor RTLO-aanvallen
Een manier om de extensie van een bestandsnaam te verhullen wordt steeds vaker toegepast om computers met malware te infecteren, zo waarschuwt Microsoft. Het gaat om de zogeheten RTLO-truc. RTLO staat voor Right-to-Left-Override en zorgt ervoor dat via een speciaal unicode karakter de volgorde van karakters van een bestandsnaam kan worden omgedraaid. Hierdoor wordt SexyPictureGirlgpj.exe als SexyPictureGirlexe.jpg in Windows weergegeven.
"De meeste gebruikers kennen het gevaar om op onbekende uitvoerbare bestanden te klikken, dus gebruiken de aanvallers RTLO-karakters om de bestandsnaam te vermommen", zegt Raymond Roberts van het Microsoft Malware Protection Center. Hij merkt op dat deze truc niet nieuw is. "Maar dat betekent niet dat de methode niet veel gebruikt wordt, sterker nog, we zien dit regelmatig gebeuren."
Windows-gebruikers die detailweergave instellen zullen echter zien dat de zogenaamde afbeelding, Word of tekstbestand in werkelijkheid een applicatie is, zoals Security.nl in dit artikel uitlegt.
Maar RTLO is maar een van de manieren om een gebruiker op een bestand te laten klikken, werkt overigens wel lijkt me.
Quick fast en je blokeerd meteen een hoop nieuwe virussen.
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Quick fast en je blokeerd meteen een hoop nieuwe virussen.
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Heel netjes, Rolfieo, dankjewel.
Ik vraag me af waarom dit hier niet eerder door iemand is aangestipt. Of heb ik daar eerder overheen gelezen?
Een kanttekening bij de beschreven methode is wel dat secpol.msc (Local Security Policy Editor, Lokaal beveiligingsbeleid) alleen beschikbaar is onder de Windows Professional (Business onder Vista), Ultimate en Enterprise edities.
[wijziging 1: (4) tussengevoegd]
[wijziging 2: correctie in de Windows edities]
Aanvulling op het bovenstaande betreffende "Countermeasures against a virus that exploits RLO",
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Onder I (4) <iii> Step 5 wordt een handeling niet vermeld die wel nodig is:
het kiezen van Apply (Toepassen), vóór het bevestigen met OK.
N.B.
Aanvulling op het bovenstaande betreffende "Countermeasures against a virus that exploits RLO",
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
Onder I (4) <iii> Step 5 wordt een handeling niet vermeld die wel nodig is:
het kiezen van Apply (Toepassen), vóór het bevestigen met OK.
Help!
Je snapt er niks van. Ten eerste moet je verborgen extensie in spiegelbeeld zijn.. dus virussbv.doc in plaats van virusvbs.doc en ten tweede moet je de juiste unicode karakters gebruiken, normale karakters op jouw toetsenbord werken niet.
Nog even oefenen ;-)
http://www.ipa.go.jp/security/english/virus/press/201110/E_PR201110.html
en naar wat beschreven wordt onder I (4) <iii>Countermeasures against a virus that exploits RLO
Alleen op Wilders Security Forums vind ik er een verwijzing naar:
http://www.wilderssecurity.com/showthread.php?t=317694
Die maatregel tegen Right-to-Left-Override malware aanvallen die beschreven wordt op die www.ipa.go.jp/ pagina zou toch meer belangstelling moeten wekken, zou je denken?
Of wordt het enthousiasme geremd doordat de beschreven methode door middel van secpol.msc (Local Security Policy Editor, Lokaal beveiligingsbeleid) alleen beschikbaar is onder de Windows Professional (Business onder Vista), Ultimate en Enterprise edities?
Of is er iets mis met die methode en is ie niet zo nuttig als ie wordt voorgesteld?
Heeft iemand het getest?
Onder I (4) <iii> Step 5 wordt een handeling niet vermeld die wel nodig is:
het kiezen van Apply (Toepassen), vóór het bevestigen met OK.
Dat is toch helemaal niet nodig?
Zonder "Toepassen" werd ingesteld op Beveiligingsniveau "Basisgebruiker", in plaats van "Niet toegestaan".
Die maatregel tegen Right-to-Left-Override malware aanvallen die beschreven wordt op die www.ipa.go.jp/ pagina zou toch meer belangstelling moeten wekken, zou je denken?
Of wordt het enthousiasme geremd doordat de beschreven methode door middel van secpol.msc (Local Security Policy Editor, Lokaal beveiligingsbeleid) alleen beschikbaar is onder de Windows Professional (Business onder Vista), Ultimate en Enterprise edities?
Of is er iets mis met die methode en is ie niet zo nuttig als ie wordt voorgesteld?
Heeft iemand het getest?
Die methode is heel nuttig, maar je moet het niet zo specifiek aanpakken als daar als voorbeeld staat.
Als je een aantal rules maakt dan kun je het zo instellen dat exe bestanden (en de rest van de lijst extensies die er default in staat) wel mogen op C:\ maar niet op C:\Documents and Settings (of C:\Users) en ook niet op de netwerkschijven.
Dit uiteraard gecombineerd met het werken als gewone user en niet als administrator, en het op de juiste manier instellen van de schrijfrechten op C: (users mogen wel in hun profieldirectory schrijven maar verder nergens anders). Wil je schrijftoegankelijke mappen hebben voor algemeen gebruik sluit dan ook daar de exe bestanden uit.
Je kunt de LNK extensie beter verwijderen uit de lijst, anders werken snelkoppelingen op het bureaublad niet meer.
Gevolg: alle software mag alleen gerund worden als deze eerst door een administrator is geinstalleerd.
Drive-by downloads, gemailde bestanden, etc worden niet uitgevoerd.
Dit beschermt tegen de meeste aanvallen die de laatste tijd de ronde doen omdat die allemaal uitmonden in het downloaden van een exe bestand naar de TEMP map en vervolgens uitvoeren hiervan. Dat mag nu niet meer.
Help!
zie volgende video
http://www.security.nl/artikel/43123/1/RTLO.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
