Flash Player-gebruikers ook buiten browser aangevallen
Vanwege de recente beveiligingsproblemen met Adobe Flash Player zijn er gebruikers die de plug-in in hun browser hebben uitgeschakeld of alleen nog via click-to-play activeren, maar wie Flash Player op zijn computer heeft geïnstalleerd kan ook buiten de browser worden aangevallen. Dat meldt Trend Micro.
De aanvallers embedden in dit geval een Flash-bestand in een Word-document. Zodra de gebruiker het document opent zal het Flash-bestand proberen om een beveiligingslek in Flash Player te misbruiken en zo malware op de computer te installeren. Deze aanvalsmethode wordt al enige tijd gebruikt en is niet nieuw. Recentelijk heeft Trend Micro echter aanvallen gezien waarbij de tactiek weer werd ingezet.
Het ging om e-mails die van de Taiwanese overheid afkomstig leken en een document bevatten. Het document maakt vervolgens gebruik van een kwetsbaarheid in Adobe Flash Player waar het Italiaanse HackingTeam over beschikte. Daarbij zou de aanvalscode in staat zijn om zowel 64-bit versies van Windows als Mac OS X aan te vallen. Het Japanse anti-virusbedrijf adviseert security-bewuste internetgebruikers dan ook om Adobe Flash Player volledig van hun systeem te verwijderen als dit mogelijk is.
Je kunt zo'n killbit zetten ook als de ActiveX Flash plugin (momenteel c:\Windows\System32\Macromed\Flash\Flash64_18_0_0_209.ocx en mogelijk c:\Windows\SysWOW64\Macromed\Flash\Flash32_18_0_0_209.ocx) niet -of vooral: nog niet is geïnstalleerd.
Je zou de gebruiker eventueel een andere browser (Firefox bijv.) kunnen laten gebruiken waarin Flash wel wordt ondersteund doch met click-to-play (of beter, met NoScript). Firefox gebruikt een andere plugin (momenteel NPSWF32_18_0_0_209.dll; deze negeert killbits in het register).
In mijn reacties in https://www.security.nl/posting/437593/Eerste+beveiligingsupdates+voor+Windows+10+al+uitgerold beschrijf ik hoe je die killbits kunt zetten.
Ik kwam ook dit nog tegen: "Internet Explorer's HTML application host also respects the killbit when processing the OBJECT tag in HTML, but not when processing scripts in HTML."
De enige waterdichte methode is dan om Flash uit je hele systeem te slopen?
Ik durf gewoon de deur niet meer uit!
Eh, alle gekheid op een stokje, nergens, ook in de 2012 verwijzingen lijkt iets essentieels niet beschreven.
Via welke route haalt de Flash malware de gewenste extra code op?
Het lijkt me dat een en ander simpel wordt tegengehouden als je met whitelisting bij een geïnstalleerde outbound firewall werkt.
Mits het aangeroepen proces niet al gewhitelisted is, Office hoeft geen contact met internet, PDF readers ook niet, eigenlijk een grote meerderheid van je programma's niet.
(m.u.v. de keren dat je een update ronde doet).
In geval de malware extra code wil ophalen middels het openen en verder gebruik van je browser, valt daar ook nog wel wat op te verzinnen, als je dat niet al gedaan had.
De gevonden hacking team Office versies waren overigens allen bedoeld voor Windows en worden inmiddels steeds beter door tal van AV scanners herkend.
2015-010-Excel.zip
2015-007-PowerPoint.zip
2015-006-Word.zip
Heb de exemplaren niet uitgeprobeerd op werking.
Pas er maar goed mee op als je dat wel gaat doen, reserveer er maar een apart systeem voor dat je nergens anders voor gebruikt.
Ik kan mij overigens vaag herinneren dat de eerste keer dat deze wijze van misbruik al langer geleden in het nieuws kwam en dat het een probeersel in Excel betrof, waarbij ik mij toen al afvroeg waarom je in vredesnaam de functionaliteit van embedded Flash content in Excel of een spreadsheet zou willen hebben.
Ik kwam ook dit nog tegen: "Internet Explorer's HTML application host also respects the killbit when processing the OBJECT tag in HTML, but not when processing scripts in HTML."
De enige waterdichte methode is dan om Flash uit je hele systeem te slopen?
Yep... En dan bv. Google Chrome of Microsoft Edge gebruiken omdat die een embedded Flash player hebben (wel click-to-play natuurlijk, als MS Edge dat ondersteunt?)
Blijft drama dat flash
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
