Gehackte website EC-Council verspreidt ransomware
Aanvallers zijn erin geslaagd een website van EC-Council te hacken, een bedrijf dat cursussen over ethisch hacken geeft, en gebruiken die voor de verspreiding van ransomware. Dat meldt beveiligingsbedrijf Fox-IT. Op het trainingsportaal van het bedrijf is code geplaatst die bezoekers ongemerkt naar een pagina met de Angler-exploitkit doorstuurt. Dit doorsturen gebeurt alleen in bepaalde gevallen.
Zo moet de bezoeker Internet Explorer gebruiken, van een zoekmachine zoals Google of Bing afkomstig zijn en mag het ip-adres niet op een blacklist voorkomen. Als eraan de voorwaarden is voldaan wordt stilletjes de Angler-exploitkit geladen. Deze exploitkit maakt gebruik van bekende kwetsbaarheden in Adobe Flash Player en Microsoft Silverlight. Als bezoekers deze software niet hebben gepatcht kunnen ze met de Teslacrypt-ransomware besmet raken. Deze ransomware versleutelt allerlei bestanden voor losgeld.
De aanvallers hebben de kwaadaardige code direct in de php-code van de website weten te plaatsen. Volgens Fox-IT is dit waarschijnlijk gedaan via een kwetsbaarheid in de website van EC-Council. De website maakt gebruik van WordPress. Het beveiligingsbedrijf waarschuwt dat de infectie nog steeds aanwezig is. Pogingen om EC-Council te waarschuwen leverden niets op. "Er werd weinig interesse getoond toen we ze informeerden", zegt onderzoeker Yonathan Klijnsma.
..
Pogingen om EC-Council te waarschuwen leverden niets op. "Er werd weinig interesse getoond toen we ze informeerden", zegt onderzoeker Yonathan Klijnsma.
Eh hoezo Ethisch?
Retorische vraag: zou het in het kader van het fenomeen ethisch hacken ook ethisch houdbaar kunnen zijn dat een ethische ex-cursist heel ethisch het besmettende deel van de website heel ethisch tijdelijk op zuiver ethisch wit zet om vanuit een echt ethische moraal heel ethisch de nietsvermoedende bezoeker te beschermen tegen een bedrijf dat kennelijk volkomen lak heeft aan een werkelijk ethische houding?
Vermoedelijk niet, je mag natuurlijk niet voor eigen rechter spelen en zal je aan de wet moeten houden.
De nietsvermoedende bezoeker heeft daar alleen niets aan, ook niet aan een achteraf wettelijk gelijk in de vorm van schadevergoeding.
Als je je data kwijt bent ben je ze kwijt.
En bedankt!
Aan de andere kant, als de doelgroep hackers betreft zal het besmettingspercentage wel niet heel hoog zijn.
Vanuit dat oogpunt best een vreemde keuze om dit bedrijf dan aan te vallen.
Protestsignaal van gray en blackhats omdat onder ethisch hacken misschien ook het zeer discutabele 'terughacken valt?'
Dan valt er ook wat voor te zeggen vooral helemaal niets te doen, een ergens begrijpelijk voorbeeld van een deels onethische houding die nog wettelijk verantwoord is ook.
Misschien is de dader een cursist die het stukje over witte hoedjes gemist heeft :-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
