VS waarschuwt voor SMB-worm die tegen Sony werd ingezet
Het Computer Emergency Readiness Team (US-CERT) van de Amerikaanse overheid heeft een waarschuwing afgegeven voor een SMB (Server Message Block)-worm die tegen Sony is ingezet. De worm gebruikt brute force-authenticatie om zich via gedeelde Windows SMB-shares te verspreiden.
Elke vijf minuten maakt de malware verbinding met de commandoserver van de aanvallers om gegevens terug te sturen als het succesvol een andere Windowscomputer via SMB-poort 445 heeft geïnfecteerd. De tool luistert ook naar verbindingen op TCP-poort 195 en TCP-poort 444. Verder beschikt de worm over een backdoor waarmee het mogelijk is om bestanden te downloaden en opdrachten uit te voeren. Zo kan de worm via universal Plug and Play (UPNP) poorten in de firewall openzetten om routers, gateways en port-mappings te ontdekken.
Zodoende is het mogelijk om op aangevallen computers die zich achter een NAT (Network Address Translated)-netwerk bevinden inkomende verbindingen toe te staan. Het onderdeel van de worm dat het meest opvalt is de "wisfunctie", die de Master Boot Record van de harde schijf overschrijft en zo het systeem onbruikbaar maakt. Deze wisfunctie wordt ook gebruikt tegen systemen die via gedeelde netwerkmappen toegankelijk zijn. De malware probeert op deze computers in te loggen via een aantal gebruikersnamen en wachtwoorden die van tevoren door de aanvallers zijn opgegeven.
Het US-CERT waarschuwt dat organisaties die met deze malware te maken krijgen rekening moeten houden met de diefstal van intellectueel eigendom en de verstoring van kritieke systemen. Als oplossing krijgen systeembeheerders het advies om virusscanners te gebruiken en die up-to-date te houden, besturingssystemen en software up-to-date te houden, "defense in depth" strategieën toe te passen en een plan op te stellen om met vernietigende malware om te gaan.
Er zijn overigens nog wel een paar meer protocollen die onverhoopt allerlei toegang delen, zoals hoe je regelmatig in het nieuws hoort dat er weer eens gevoelige informatie via een of ander "peer to peer" mechanisme ergens gelekt is. Maar die zijn vaak expres zo gebouwd om voor ander ("poort 80" oid) verkeer door te gaan, precies vanwege teveel blokkerende vuurmuurtjes, en als je die dan nu (netjes) wil blokkeren dan ben je wel even bezig--met DPI, en dat mag niet zomaar.
Is niet heel raar dat een grootbedrijf zoveel netwerkjes heeft dat ze zelf niet in de gaten hebben waar ze allemaal vatbaar zijn, en ook een bedrijf als sony met hun rootkits en hun technische ineptie verbaast niet door hun prestaties nu ze onder vuur liggen. Maar deze ingang had zo te zien vrij triviaal en zonder alteveel gevolgen geblokkeerd kunnen worden.
Leuk altijd die mensen denken dat ze ergens (geen) verstand van hebben. DPI is niks andersm voor de meeste bedrijven,. dan inhoudelijk traffic op malicious pakketten scannen op basis van signatures.Een beetje bedrijf heeft een IPS , jij kijkt niet in het pakket, die kan je ook niet zien, e scant alleen op malicious traffic etc. Dit omdat attacks allang niet meer alleen op de protocol layer uitgevoerd worden maar meer en meer op de application layer van het osi model.
Als je je verkeer gaat mirroren en gaat loggen om het terug te kijken met wireshark ben je verkeerd bezig. Om een IPS te gebruiken hoef je nergen aan te voldoen. IPS = DPI.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
