image

Duizenden Opera-gebruikers besmet via valse update

donderdag 27 juni 2013, 09:09 door Redactie, 7 reacties

Duizenden gebruikers van Opera zijn mogelijk met malware besmet geraakt nadat aanvallers een certificaat van de browserontwikkelaar wisten te stelen en vervolgens gebruikten voor het signeren van een valse update. Dat laat Opera op het eigen weblog weten. De Noorse browserontwikkelaar stelt dat het op 19 juni een aanval op het interne netwerk ontdekte en stopte.

De systemen zouden inmiddels zijn schoongemaakt en er is geen bewijs dat de aanvallers gebruikersgegevens hebben buitgemaakt. Wel wisten de aanvallers een oud en verlopen certificaat van Opera te stelen wat voor het signeren van programma's wordt gebruikt. Gesigneerde code laat gebruikers onder andere controleren van wie de software afkomstig is.

Valse update
In dit geval gebruikten de aanvallers het gestolen certificaat om malware te signeren en te verspreiden. De malware gaf ten onrechte weer dat het door Opera Software was gesigneerd, of dat het om de Opera browser zou gaan. Volgens de browserontwikkelaar is het mogelijk dat een 'paar duizend' Windowsgebruikers die Opera op 19 juni gebruikten automatisch de malware hebben ontvangen en geïnstalleerd.

Opera gaat een nieuwe versie uitrollen die van een nieuw certificaat is voorzien om code te signeren. Wat de mogelijk getroffen gebruikers betreft krijgen die het advies om hun computer te scannen.

Volgens VirusTotal wordt de malware door 27 van de 47 virusscanners herkend. Hoe de aanvallers toegang tot het netwerk van Opera wisten te krijgen is nog onbekend. De Noorse browser heeft wereldwijd al jarenlang een aandeel van rond de één procent.

Methode
Gisteren werd bekend dat aanvallers in Zuid-Korea een soortgelijke aanvallen hebben uitgevoerd. Daar werd een online opslagdienst vergelijkbaar met Dropbox gehackt. De aanvallers gebruikten vervolgens het automatische updatesysteem om malware naar de computers van gebruikers te sturen die de software van de opslagdienst hadden geïnstalleerd.

Met dank aan Peter voor de tip

Reacties (7)
27-06-2013, 09:30 door [Account Verwijderd]
[Verwijderd]
27-06-2013, 09:58 door steve sh1t
Door NordicTrack: Stond ook op Twitter. https://twitter.com/briankrebs

Twitter or it didn't happen.
27-06-2013, 10:22 door [Account Verwijderd]
[Verwijderd]
27-06-2013, 12:20 door Anoniem
Redactie dit is een beetje vreemd verhaal. Software wordt niet gesigneerd met een certificaat, maar met de private key die behoort bij een certificaat!
Als de aanvallers in staat zijn om software te signen, moeten ze dus de beschikking hebben over de private key, die behoort bij het gestolen certificaat. Het lek bij de Noorse ontwikkelaar is dus bijzonder groot geweest. Men zou de private key namelijk normaal niet online moeten hebben!
Dit is dus eigenlijk een debacle a la Diginotar, maar dan op een kleinere schaal!
27-06-2013, 12:22 door Anoniem
Raar verhaal. Certificaten zijn gewoon publiek en dus makkelijk te pakken te krijgen. Geheime sleutels, waarmee je je software signed zodat de gebruiker aan de hand van eht certificaat kan vaststellen of alles in orde is, die moet je heel goed bewaken. Als iemand die te pakken krijgt heb je iets erg fout gedaan, verlopen of niet.
27-06-2013, 13:43 door 0101
Wat meer informatie van het VirusTotal rapport:

1. De malware probeert FTP-gegevens te stelen, onder andere van FileZilla en CuteFTP
2. De malware verschaft zich ook toegang tot de Windows Protected Storage (http://www.theeldergeek.com/protected_storage.htm).
3. De malware download een executable van http://ngnetworld.com/6.exe, en doet zich daarbij voor als Mozilla/4.0 (compatible; MSIE 5.0; Windows 98).
4. Het IP-adres van ngnetworld.com was op het moment van de scan 67.228.177.174 (http://whois.domaintools.com/67.228.177.174), gehost door SoftLayer.
27-06-2013, 14:06 door Anoniem
"De systemen zouden inmiddels zijn schoongemaakt en er is geen bewijs dat de aanvallers gebruikersgegevens hebben buitgemaakt."

en daarna

"Hoe de aanvallers toegang tot het netwerk van Opera wisten te krijgen is nog onbekend."

ROFLOL :)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.