Malware in drivers Japanse hardwarefabrikant verstopt
Aanvallers zijn erin geslaagd om drivers van de Japanse hardwarefabrikant Buffalo van malware te voorzien. Het gaat om de Bankeiya Trojan, die ontwikkeld is om gegevens van Japanse online bankklanten te stelen. De malware werd via de officiële website van Buffalo verspreid.
Het Japanse bedrijf houdt zich vooral bezig met de ontwikkeling van randapparatuur zoals externe harde schijven. De aanvallers hadden verschillende installatiebestanden van stuurprogramma's voor de randapparatuur veranderd. Zo was een zichzelf uitpakkend RAR-bestand genaamd setup.exe aangepast zodat het tijdens de installatie een kwaadaardig DLL-bestand uitvoerde. Dit DLL-bestand was een Trojan-downloader die de Bankeiya Trojan downloadde.
De tweede methode die de aanvallers toepasten was het aanbieden van een zogenaamd legitiem installatieprogramma via de driverpagina. Dit installatieprogramma bevatte zowel het bestand dat de driver installeerde alsmede het Trojaanse paard. De driverpagina zou op 27 mei van de kwaadaardige bestanden zijn voorzien.
Drie dagen later, op 30 mei, werd de malware ontdekt. In de tussentijd waren de tien aangepaste bestanden 856 keer gedownload. De kwaadaardige bestanden zijn inmiddels van de officiële website verwijderd en het bedrijf heeft excuses aangeboden, zo meldt Symantec.
mogelijk door de pgp signatures?
Neen dit kun je op geen enkele wijze zien, het enige wat je kan doen is software Sandboxed draaien met een goede realtime scanner zoals Malwarebytes in combinatie met Kaspersky en een goede Firewall zoals Comodo
Een scanner helpt niet tegen een zero day issue
Een firewall kan inzicht geven in calling home features, maar dat doet steeds meer software onder de druk om bijgewerkt (up to date) te blijven.
sandboxing heeft m.i. geen zin als de device drivers (inzoemen op huidig hardware verhaal) uitgerold moeten worden op bv meerdere machines.
ook minder inzichtelijk wanneer het bv neteerk drivers zijn.
Wat je eivenlijk beschrijft is een volledige (malware) analyse van nieuwe software of ge-updated drivers vor uitrol.
Lijkt mij voor de meeste bedrijven en personen geen haalbare zaak.
pgp gesigneerde software / hashes zou in iedergeval de leverancier met een grotere zekerheid kunnen vast sgellen, t.o.v.alleen maar de websife als bron.
Mee eens dat dit nogsteeds geen garantie biedt., maar een pgp signature controle lijkt mij eenvoudiger te automatiseren en daardoor berijkbaarder voor de meeste gebruikers dan een sandboxed analyse.
Goed sleutelbeheer is dan natuurlijk weer een zwak punt.
Onkwetsbaarheid bestaat niet, beveiligen gaat om het reduceren van risico's. En ja, op een officiele site loop je gemiddeld natuurlijk een veel lager risico dan als je elders gaat downloaden.
"Neen dit kun je op geen enkele wijze zien, het enige wat je kan doen is software Sandboxed draaien met een goede realtime scanner zoals Malwarebytes in combinatie met Kaspersky en een goede Firewall zoals Comodo"
Of je gooit de software door een malware analyser die niet alleen kijkt wat AV bedrijven weten, maar ook kijkt naar de vraag hoe malware zich gedraagt (bijv. www.malwr.com).
Je firewall zal verder geen enkele toegevoegde waarde leveren in deze situatie. Immers neem ik aan dat je mag downloaden vanaf internet volgens de configuratie van je firewall.
Hoezo, scanners kijken naar meer dan alleen bekende hashes (i.e. heuristic scanning). De kans dat je de malware detecteert is natuurlijk kleiner, maar wel aanwezig.
wanneer je host based firewall outbound traffic alleen van goedgekeurde applicaties toestaat en dan heb je wel degelijk een kans om 'malware' die aan calling home doet kans op detectie en dus wat aan je firewall, want je moet een nieuwe applicatie toegang tot internet gaan geven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
