Bicololo-virus verspreidt zich via 404 foutmelding
Een Trojaans paard dat Russische internetgebruikers aanvalt, gebruikt een nieuwe truc om zichzelf te verspreiden. Bicololo, zoals de malware wordt genoemd, is ontwikkeld om inloggegevens van gebruikers te stelen. Het doet dit door het Hosts-bestand aan te passen. Daardoor worden gebruikers van sociale netwerksites en e-mailaanbieders naar phishingsites doorgestuurd.
Op de phishingpagina's wordt een inlogvenster getoond waar gebruikers met hun gegevens kunnen inloggen. Aangezien alle aangevallen diensten geen HTTPS gebruiken, is het lastig voor een gebruiker om te bepalen dat hij naar een phishingsite is doorgestuurd. Door de aanpassing van het Hosts-bestand verschijnt de originele URL in de adresbalk van de browser.
Om zichzelf op het systeem te verbergen maakt Bicololo het originele Hosts-bestand onzichtbaar en plaatst vervolgens een bestand genaamd 'hOst'. Daarin worden de aanpassingen niet weergegeven. De O is hier een Cyrillische letter. Aangezien Windows verborgen bestanden niet toont, lijkt het voor een gebruiker dat er niets aan de hand is.
Bicolo doet zich voor als allerlei programma's, waaronder een Windows 8 Activator, Minecraft en FileZilla. De eerste versies werden vanaf gehackte websites, en dan voornamelijk gehackte WordPress en Joomla-sites, aangeboden. De gebruikte links waren echter eenvoudig te blokkeren.
Webserver
Een nieuwe truc moet dit voorkomen. De nieuwste versie gebruikt namelijk een zeer effectieve manier om zich te verspreiden, aldus anti-virusbedrijf Avast. De standaard 404 foutmelding (pagina niet gevonden) wordt gebruikt om het virus te verspreiden. "Dit geeft de aanvallers bijna een oneindig aantal mogelijke URLs om de malware aan te bieden", zegt Martin Smarda.
Het volstaat voor de aanvallers om een niet bestaande link op de gehackte website op een forum of website te plaatsen. Zodra een gebruiker op de niet bestaande link klikt zou hij normaal de 404-foutmelding krijgen, maar in dit geval wordt een kwaadaardig bestand aangeboden.
Ik heb een tijd geleden al eens onderzocht waarom een gebruiker bij ons de melding van de virus scanner
kreeg dat een site besmet was, terwijl dit helemaal niet zo leek te zijn. Google zag ook geen probleem.
het grappige was dat hij via IE wel een virusmelding kreeg maar via Seamonkey niet.
De zogenaamd besmette pagina bleek /favicon.ico te zijn, een bestand wat IE ongevraagd ophaalt, wat niet
bestaat, en wat een 404 error gaf en in die 404 error pagina zat de trojan.
Die pagina kreeg de gebruiker natuurlijk nooit te zien want IE negeert gewoon die 404 reply op /favicon.ico
en ik neem aan dat besmetting op die manier ook niet optreedt.
Die pagina kwam van een van de bekende gammele PHP-MySQL based CMS'en.
Kennelijk was het een attacker gelukt daar een custom 404 pagina in te frommelen.
Wat de meeste gebruikers niet doen, noch kijken ze in <WINDIR>System32\drivers\etc of daar een bestandje met een cyrillische 0 staat. Of doe jij dat wel dagelijks?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
