FBI waarschuwt bedrijven voor "vernietigende" malware
De FBI heeft Amerikaanse bedrijven gewaarschuwd voor "vernietigende" malware die aanvallers hebben gebruikt om bedrijven in de VS aan te vallen. Details over de aangevallen organisatie of organisaties worden niet gegeven, maar twee experts die het vijf pagina's tellende document bekeken zeggen tegenover Reuters dat het zeker om de aanval op Sony gaat.
Volgens de waarschuwing overschrijft de malware gegevens op harde schijven en computers waardoor ze onbruikbaar worden. "Deze malware heeft de mogelijkheid om het master boot record en alle databestanden van de host te overschrijven. Het overschrijven van de databestanden zal het zeer lastig en kostbaar maken, indien niet onmogelijk, om de bestanden met standaard forensische methodes te herstellen."
De FBI geeft bedrijven vervolgens tips hoe ze met dit soort aanvallen moeten omgaan en de opsporingsdienst moeten waarschuwen als ze dit soort malware tegenkomen. Bij de aanval op Sony zouden aanvallers toegang tot het netwerk van het bedrijf hebben gekregen en daar allerlei gegevens hebben gestolen. Ook werden computers onbruikbaar gemaakt.
Lekker nuttig weer. Net of mbr-overschrijvende schijf-wissende malware nieuw is. Die hadden we het vorige millennium ook al, hoor. Lijkt me prudent te zorgen dat je back-ups goed geregeld zijn, maar dat moet toch, dus waarom daar zo'n fanfare overheen moet? Wil er weer eens iemand carriere maken ofzo?
Het ligt wat genuanceerder dan dat. Op basis van dit bericht maak ik op dat de malware de data en MBR overschrijft. Dit doet twee dingen:
1) Het OS gaat niet meer opstarten (master boot record zorgt ervoor dat de onderdelen worden ingeladen om het OS op te starten)
2) De data is weg. (De data op de harde schrijf wordt overschreven. Hierdoor is het erg moeilijk al dan niet onmogelijk om de data van die specifieke harde schijf terug te brengen).
Het vraagstuk of je iets aan je backup structuur hebt hangt heel veel van de configuratie af. Als de "backup server" ook te pakken is genomen heb je een serieus probleem. Als deze ergens anders en veilig en ongedeerd staat, ben je maximaal een paar uur werk kwijt.
De vraag is dan wel of je simpelweg kan restoren. Je kan de data op de schijf wellicht terug zetten, maar bij het ontbreken van de MBR kan je dan nog steeds niet starten. Ik denk, door de lange uitval bij Sony, dat bij hun in ieder geval de MBR niet in de backup zat (=aanname). Dan moet je eerst alle computers opnieuw inspoelen, en daarna kan je een backup van de data terugzetten.
On-site? Neen.
Off-site? Jazeker wel. Het (her-)partitioneren heeft automatisch tot gevolg dat het MBR wordt overschreven, aangepaste HD-firmware is echter een heel andere uitdaging.
Als data op schijf is overschreven, hoe ga je de oude data dan nog kunnen herstellen met niet-reguliere, forensische methodes? Bij de NSA aankloppen voor een backup? Of mis ik iets?
Het ligt wat genuanceerder dan dat. Op basis van dit bericht maak ik op dat de malware de data en MBR overschrijft. Dit doet twee dingen:
1) Het OS gaat niet meer opstarten (master boot record zorgt ervoor dat de onderdelen worden ingeladen om het OS op te starten)
2) De data is weg. (De data op de harde schrijf wordt overschreven. Hierdoor is het erg moeilijk al dan niet onmogelijk om de data van die specifieke harde schijf terug te brengen).
Het vraagstuk of je iets aan je backup structuur hebt hangt heel veel van de configuratie af. Als de "backup server" ook te pakken is genomen heb je een serieus probleem. Als deze ergens anders en veilig en ongedeerd staat, ben je maximaal een paar uur werk kwijt.
De vraag is dan wel of je simpelweg kan restoren. Je kan de data op de schijf wellicht terug zetten, maar bij het ontbreken van de MBR kan je dan nog steeds niet starten. Ik denk, door de lange uitval bij Sony, dat bij hun in ieder geval de MBR niet in de backup zat (=aanname). Dan moet je eerst alle computers opnieuw inspoelen, en daarna kan je een backup van de data terugzetten.
Format + Windows opnieuw erop zetten > data kopieren.
Duh!
Het ligt wat genuanceerder dan dat. Op basis van dit bericht maak ik op dat de malware de data en MBR overschrijft. Dit doet twee dingen:
1) Het OS gaat niet meer opstarten (master boot record zorgt ervoor dat de onderdelen worden ingeladen om het OS op te starten)
2) De data is weg. (De data op de harde schrijf wordt overschreven. Hierdoor is het erg moeilijk al dan niet onmogelijk om de data van die specifieke harde schijf terug te brengen).
Kan me niks schelen dat de MBR overschreven wordt door een boefje.
Ik schrijf 'm toch weer over met mijn tib-bestand en na een uurtje (of twee a drie uur bij een grote windows-partitie) werkt alles weer als vanouds.
Ik weet niet of dit gerucht inmiddels ontkracht is, maar met hulp van binnenuit wordt het al een heel ander verhaal. Over kansloos (als organisatie) gesproken.
http://tweakers.net/nieuws/99891/sony-hackers-hadden-hulp-van-binnenuit.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
