Belgische en Nederlandse WinRAR-gebruikers doelwit aanval
Belgische en Nederlandse gebruikers van de archiveringssoftware WinRAR zijn deze zomer het doelwit van een groep cyberspionnen geworden, zo meldt het Russische anti-virusbedrijf Kaspersky Lab vandaag. De groep wordt StrongPity genoemd en zou interesse in versleutelde data hebben.
De cyberspionnen hebben afgelopen zomer via misleidende domeinnamen besmette versies van WinRAR en de versleutelingssoftware TrueCrypt verspreid. Links naar de misleidende domeinnamen werden vervolgens op de officiële Benelux support- en registratiesite voor RAR & WinRAR en andere websites geplaatst. Zestig bezoekers van deze website werden vervolgens naar de misleidende domeinnaam doorgestuurd, voornamelijk uit België, alsmede ook Nederland.
De aanval op Italiaanse WinRAR-gebruikers had meer succes. Via de Italiaanse WinRAR-supportsite werden meer dan 600 gebruikers naar de kwaadaardige website doorgestuurd en raakten zo geïnfecteerd. Een soortgelijke aanval werd ook met de populaire versleutelingssoftware TrueCrypt uitgevoerd. De aanvallers registreerden een domeinnaam die op die van TrueCrypt lijkt en boden daarop een besmette versie aan. Via de besmette versies van WinRAR en TrueCrypt raakten uiteindelijk meer dan duizend computers met malware besmet.
Deze malware heeft het vervolgens op verschillende programma's voorzien, zoals putty, FileZilla, WinSCP, de Windows Remote Desktop-client en mRemoteNG, een programma om op afstand computers te beheren. Daarnaast kan de malware toetsaanslagen opslaan en andere gegevens stelen. Volgens Kaspersky Lab moeten downloadsites die geen PGP of digitale signeercertificaten gebruiken, zodat hun gebruikers de authenticiteit van de aangeboden downloads kunnen controleren, opnieuw bekijken of dit toch niet noodzakelijk is.
Bart
Gebruikers die software downloaden horen zo security-aware te zijn dat ze:
1) Nagaan of de software een digitale handtekening heeft;
2.a) Zo ja, wie die gezet heeft;
2.b) Zo nee, uitzoeken of ze een authentiek exemplaar van de software hebben gedownload. Door te Googlen kun je er meestal wel achter komen of software van een digitale handtekening hoort te zijn voorzien.
TrueCrypt v7.1a (dat is, bij mijn weten, de laatste volledig werkende officiële versie) heeft gewoon een Authenticode handtekening, en dat was allesbehalve de eerste versie daarmee (in elk geval versie 4.3 van 20070503 had al een Authenticode signature).
De laatste volledig werkende versie van TrueCrypt vind je in [1], hashes daarvan in [2] en specfiek voor "TrueCrypt Setup.exe" in [3].
Als een bestand geen digitale handtekening heeft, upload het dan naar VirusTotal.com; authentieke exemplaren hebben vaak veel positieve votes (stemmen) en 0 of enkele hits (vaak false positives, tenzij er sprake is van bijgesloten adware/malware).
[1] https://www.grc.com/misc/truecrypt/truecrypt.htm
[2] https://defuse.ca/truecrypt-7.1a-hashes.htm
[3] https://www.virustotal.com/en/file/e95eca399dfe95500c4de569efc4cc77b75e2b66a864d467df37733ec06a0ff2/analysis/
Dat VirusTotal van de (bij mijn weten) laatste versie v16.04, van zowel de 32-bit [1] als de 64-bit [2] .exe installer, aangeeft dat de daar volgens virusscanner "Antiy-AVL" in zou zitten: "GrayWare[AdWare]/Win32.Phorpiex.c", stelt niet gerust.
Echter de eerste submission van deze files waren resp. 2016-10-04 15:51:24 UTC en 2016-10-04 15:51:53 UTC; als het echt om malware of adware zou gaan, hadden ondertussen wel meer virusscanners alarm geslagen. Het gaat dus hoogstwaarschijnlijk om een false positive.
[1] https://www.virustotal.com/en/file/9bb4dc4fab2a2a45c15723c259dc2f7313c89a5ac55ab7c3f76bba26edc8bcaa/analysis/
[2] https://www.virustotal.com/en/file/dbb2b11dea9f4432291e2cbefe14ebe05e021940e983a37e113600eee55daa95/analysis/
Zinloos! Dat helpt geen zier tegen kwaadaardige sites, en bovendien horen niet downloadsites digitale handtekeningen te zetten, maar de makers van de betreffende software!
Kasperksy zegt niet dat die checksum ook gehost moet worden op de downloadpagina zelf (want dat is inderdaad een slecht idee), maar slechts dat deze gecontroleerd moeten kunnen worden door de eindgebruiker.
Authenticode is één manier om dat te doen. Maar dat is natuurlijk ook op andere manieren (PGP WoT, repo servers) te verwezenlijken.
Overigens zijn die digitale handtekeningen allemaal leuk en aardig, maar zonder deterministische/reproducable build weet je alsnog niet 100% zeker of de betreffende source code (hetzij alleen in handen van de dev, of open source) ook zonder backdoors gecompileerd is naar de binaries die jij en ik gebruiken.
Dat is niet bijzonder. RAR5 is superieur aan andere veel gebruikte archivers.
7Zip is bruikbaar in bepaalde situaties, maar het is onhandig in gebruik door de slecht ontworpen niet-intuitieve GUI.
Bart
Is dat toevallig ook in Nederland ergens te koop?
Zinloos! Dat helpt geen zier tegen kwaadaardige sites, en bovendien horen niet downloadsites digitale handtekeningen te zetten, maar de makers van de betreffende software!
Kasperksy zegt niet dat die checksum ook gehost moet worden op de downloadpagina zelf (want dat is inderdaad een slecht idee), maar slechts dat deze gecontroleerd moeten kunnen worden door de eindgebruiker.
1) Derden kunnen de source (op een kwaadaardige) manier wijzigen zonder dat de (hoofd-) auteur dit merkt;
2) Derden kunnen een certificaat aanvragen dat lastig te onderscheiden is van het certificaat van de echte auteur;
3) Derden kunnen wellicht de private key van de auteur bemachtigen;
4) Derden kunnen wellicht toegang krijgen tot de "build straat" van de ontwikkelaar(s) en daar hun aangepaste code doorheen halen (zoals bijv. ooit bij Adobe gebeurd is).
Maar dit is allemaal veel lastiger en "strafbaarder" dan malware toevoegen aan een (signed) binary installer en die voor download aanbieden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
