Malware op Telegraaf.nl verspreidde zich via Javalekken
De website van de Telegraaf heeft vandaag enkele uren lang advertenties getoond die probeerden om bezoekers met malware te infecteren. Daarbij werden twee beveiligingslekken in Java gebruikt, zo meldt het Delftse beveiligingsbedrijf Fox-IT, dat als eerste het incident opmerkte. Via de advertenties werden bezoekers naar de FlimKit exploit-kit doorgestuurd.
Deze exploit-kit maakt misbruik van CVE-2012-1723 en CVE-2013-2423, twee lekken in Java die Oracle in respectievelijk juni 2012 en april 2013 patchte. Zodra bezoekers de krantensite met een verouderde Java-versie bezochten, werden er via de exploit een DLL- en EXE-bestand geïnstalleerd. Het gaat om ransomware die de computer vergrendelt en een bericht van de 'Politie Nederland' toont. Om weer toegang te krijgen moeten slachtoffers 100 euro betalen.
"Het vreemde aan het geheel is dat het op in Nederland gebaseerde servers wordt gehost en dat de DGA (Domain Generation Algorithm - red) domeinen zich ook in Nederland bevinden, wat zeer bijzonder is", aldus beveiligingsspecialist Yonathan Klijnsma. De IP-adressen die de door de exploit-kit en malware worden gebruikt zijn 128.204.202.41 en 46.182.106.96.
Herinstallatie
"Omdat de malware alle interactie met de desktop blokkeert en verschillende registersleutels wijzigt, is die zeer lastig om handmatig of automatisch te verwijderen", stelt Klijnsma. "Er is echter een oplossing om de malware uit te schakelen zodat je je bestanden kunt back-uppen en een herinstallatie kan doen."
Deze methode werkt alleen als er een andere account op de machine beschikbaar is. In dit geval moet de machine in Veilige Modus worden herstart en via dit andere account in netwerkmodus worden gestart. Vervolgens is het mogelijk om de bestanden van de malware te verwijderen en uiteindelijk een back-up te maken.
Register
"De malware maakt verschillende aanpassingen aan het register en het opruimen van al die aanpassingen is tijdsintensief en niet per definitie succesvol", besluit de beveiligingsspecialist. Om de malware te verwijderen kunnen gebruikers ook de gratis verwijdertool HitmanPro.Kickstart gebruiken.
Uit recente onderzoeken blijkt dat veel gebruikers en bedrijven met verouderde Java-versies werken die soms jaren lang niet worden geüpdatet.
j/k , niet altijd mogelijk.
Maar na nu.nl , en nu de telegraaf zou het zinvol zijn om op z'n minst van advertentie sites te eisen dat ze voldoen aan voorwaarden. Dit kost de Telegraaf meer geld dan ze verdienen met advertenties..
Jan.
Waarschijnlijk zijn voornamelijk bedrijven getroffen want 94% van miljoenen onderzochte computers hebben daar een oude versie van Java en zijn dus vatbaar voor elke exploit aanval. Deze bedrijven 'kunnen' (willen) niet upgraden omdat een bedrijfsapplicatie dan niet meer werkt, er door de leverancier ervan veel geld wordt gevraagd of geen support meer levert, met als gevolg dat data van jan en alleman op straat komt te liggen (herinner je Dorifel en Pobelka, beide Citadel-malware die op 150.000 Nederlandse systemen maandenlang ongezien bleven op machines met up-to-date antivirussoftware, en oude Java). Een oude versie van Java wordt echt enorm onderschat - er zou een postbus 51 spotje op tv moeten komen...
-Mark
Gepatcht in Juni 2012?! Wat zijn dat voor mensen die hun systeem een jaar lang niet updaten? Misschien is een computer rrijbewijs zo'n slecht idee nog niet.
Wat zijn dat voor mensen dat ze malware toelaten op hun platform? Letten ze daar niet op ofzo?
Dat vind ik heel wat erger dan iemand die zijn locale pc'tje niet op orde heeft.
Heb wel eens een reactie gezien van zo'n advertentie platform en dat was dan zo van "We kunnen niet ..." nou
dan is mijn reactie vrij simpel: als jullie niet kunnen dan blokkeer ik je gewoon. Niet-kunners die hoef ik niet op
mijn computer.
Een advertentieserver hoeft alleen maar een JPG of GIF plaatje af te leveren, het gaat al fout op het moment dat
er weer javascript en iframes tussen zitten. Ze hebben zelf een onveilige omgeving gebouwd, als dat kennelijk
gebaseerd is op onkunde nou jammer dan, de blocklist is geduldig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
