Malware in drivers Japanse hardwarefabrikant verstopt
Aanvallers zijn erin geslaagd om drivers van de Japanse hardwarefabrikant Buffalo van malware te voorzien. Het gaat om de Bankeiya Trojan, die ontwikkeld is om gegevens van Japanse online bankklanten te stelen. De malware werd via de officiële website van Buffalo verspreid.
Het Japanse bedrijf houdt zich vooral bezig met de ontwikkeling van randapparatuur zoals externe harde schijven. De aanvallers hadden verschillende installatiebestanden van stuurprogramma's voor de randapparatuur veranderd. Zo was een zichzelf uitpakkend RAR-bestand genaamd setup.exe aangepast zodat het tijdens de installatie een kwaadaardig DLL-bestand uitvoerde. Dit DLL-bestand was een Trojan-downloader die de Bankeiya Trojan downloadde.
De tweede methode die de aanvallers toepasten was het aanbieden van een zogenaamd legitiem installatieprogramma via de driverpagina. Dit installatieprogramma bevatte zowel het bestand dat de driver installeerde alsmede het Trojaanse paard. De driverpagina zou op 27 mei van de kwaadaardige bestanden zijn voorzien.
Drie dagen later, op 30 mei, werd de malware ontdekt. In de tussentijd waren de tien aangepaste bestanden 856 keer gedownload. De kwaadaardige bestanden zijn inmiddels van de officiële website verwijderd en het bedrijf heeft excuses aangeboden, zo meldt Symantec.
mogelijk door de pgp signatures?
Neen dit kun je op geen enkele wijze zien, het enige wat je kan doen is software Sandboxed draaien met een goede realtime scanner zoals Malwarebytes in combinatie met Kaspersky en een goede Firewall zoals Comodo
Een scanner helpt niet tegen een zero day issue
Een firewall kan inzicht geven in calling home features, maar dat doet steeds meer software onder de druk om bijgewerkt (up to date) te blijven.
sandboxing heeft m.i. geen zin als de device drivers (inzoemen op huidig hardware verhaal) uitgerold moeten worden op bv meerdere machines.
ook minder inzichtelijk wanneer het bv neteerk drivers zijn.
Wat je eivenlijk beschrijft is een volledige (malware) analyse van nieuwe software of ge-updated drivers vor uitrol.
Lijkt mij voor de meeste bedrijven en personen geen haalbare zaak.
pgp gesigneerde software / hashes zou in iedergeval de leverancier met een grotere zekerheid kunnen vast sgellen, t.o.v.alleen maar de websife als bron.
Mee eens dat dit nogsteeds geen garantie biedt., maar een pgp signature controle lijkt mij eenvoudiger te automatiseren en daardoor berijkbaarder voor de meeste gebruikers dan een sandboxed analyse.
Goed sleutelbeheer is dan natuurlijk weer een zwak punt.
Onkwetsbaarheid bestaat niet, beveiligen gaat om het reduceren van risico's. En ja, op een officiele site loop je gemiddeld natuurlijk een veel lager risico dan als je elders gaat downloaden.
"Neen dit kun je op geen enkele wijze zien, het enige wat je kan doen is software Sandboxed draaien met een goede realtime scanner zoals Malwarebytes in combinatie met Kaspersky en een goede Firewall zoals Comodo"
Of je gooit de software door een malware analyser die niet alleen kijkt wat AV bedrijven weten, maar ook kijkt naar de vraag hoe malware zich gedraagt (bijv. www.malwr.com).
Je firewall zal verder geen enkele toegevoegde waarde leveren in deze situatie. Immers neem ik aan dat je mag downloaden vanaf internet volgens de configuratie van je firewall.
Hoezo, scanners kijken naar meer dan alleen bekende hashes (i.e. heuristic scanning). De kans dat je de malware detecteert is natuurlijk kleiner, maar wel aanwezig.
wanneer je host based firewall outbound traffic alleen van goedgekeurde applicaties toestaat en dan heb je wel degelijk een kans om 'malware' die aan calling home doet kans op detectie en dus wat aan je firewall, want je moet een nieuwe applicatie toegang tot internet gaan geven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?