Ransomware verspreidt zich op geniepige wijze via usb-sticks
Onderzoekers waarschuwen voor een nieuw ransomware-exemplaar dat zich op geniepige wijze via usb-sticks verspreidt. Het gaat om de Spora-ransomware die recentelijk al in het nieuws kwam. De methode die Spora gebruikt om usb-sticks en externe harde schijven te infecteren was nog niet genoemd.
In eerste instantie maakt Spora gebruik van e-mailbijlagen om internetgebruikers te infecteren, zo meldde anti-virusbedrijf Emsisoft vorige week. Eenmaal actief gebruikt de ransomware dezelfde truc als verschillende computerwormen om zich verder te verspreiden, namelijk lnk-bestanden. Deze extensie gebruikt Windows voor snelkoppelingen, maar is ook te gebruiken voor het uitvoeren van code.
Zowel op usb-sticks, externe harde schijven als de systeemschijf maakt de ransomware bestanden en mappen onzichtbaar. Vervolgens vervangt het deze mappen en bestanden met een gelijknamig lnk-bestand dat de originele map of bestand opent, zodat de gebruiker niets vermoedt, en tegelijkertijd in de achtergrond de malware uitvoert. De worm verwijdert tevens een waarde in het Windows-register, zodat het snelkoppeling-icoon niet meer het bekende pijltje bevat. Zodoende ziet de gebruiker niet dat er iets mis is, tenzij hij de detailweergave van mappen heeft ingeschakeld.
"Alleen door de mappen op je systeem via dubbelklik te doorlopen activeert de worm. Via deze strategie verspreidt de worm zich niet alleen naar verwijderbare schijven zoals usb-sticks, maar zal het ook nieuwe bestanden op het systeem versleutelen. Dit maakt het systeem onbruikbaar voor het opslaan van of werken aan foto's en documenten totdat de ransomware is verwijderd", zegt Karsten Hahn van het Duitse anti-virusbedrijf G Data.
Hahn laat verder weten dat Spora de User Account Control (UAC) maatregel van Windows niet omzeilt. Dit houdt in dat de gebruiker een dialoogvenster van Windows krijgt te zien waarin de malware vraagt om aanpassingen aan de computer te maken. In dit geval is het verzoek van de "Windows Command Processor" afkomstig die als gecontroleerde uitgever Microsoft zelf heeft. Verder verwijdert de ransomware schaduwvolumes en schakelt Windows foutherstel uit. Voor het ontsleutelen van de data vraagt de ransomware bedragen tussen de 79 en 280 dollar.
Ook het aanpassen van de registry zodat je de pijltjes niet ziet op het icoontje lijkt me alleen te kunnen op een systeem dat al geinfecteerd is, dus plug je deze USB in een nieuwe machine dan zie je gewoon de pijltjes.
Volgens mij klopt er iets niet in deze analyse, vooral niet dat ik deze methode (mappen verbergen en lnk's neerzetten al minstens 2 jaar in het wild ben tegen gekomen) en het artikel noemt dit een nieuwe methode ?
Je ziet vaak dat iemand niet snapt wat er aan de hand is. Ondanks de grote ransomware mededelingen die getoond worden. Dus bellen ze de helpdesk. Die stuurt iemand er naar toe. Soms met een stick met anti-virus software e.d. Die weet ook niet wat er precies aan de hand is en hij zal in de gelinkte directories willen kijken.
Dubbel-click -> stick besmet.
En die stick wordt natuurlijk ook gebruikt op werkplekken van andere gebruikers.
Ik heb het hier zien gebeuren. Het stopte pas toen de stick in een PC met een andere niet-standaard virusscanner werd gestoken, die aangaf dat de stick besmet was.
Peter
Is ransomware niet per definitie 'geniepig'?
Of is het wel OK wanneer je eerst een beleefde aankondiging krijgt?
"Hallo, ik ben ransomware XYZ en zou mij graag op uw computer installeren. Gaat u akkoord? [Ja, graag], [Vertel meer], [Nee, liever niet]"
- niet enkel de bekende malware detectie op maar juist ook
- ander gedrag, veranderingen etc ofwel intrusion detectie.
- uitwisselen van data via usb zeker in werkomgeving = verbod
- zorg voor backups op meerdere devices.
En ja dit soort traag verval in de aanval is moeilijker te herkennen dan dat het meteen plat gaat.
Ik weet dat Microsoft UAC niet als "security boundary" positioneert maar als "convenience". Maar om dat te weten moet je technet-artikelen weten te vinden, en de mededeling "Verified publisher: Microsoft Windows" in de UAC-popup is een stevige en suggestieve uitspraak.
De betekenis van die UAC-mededeling is natuurlijk dat de command processor geverifieerd is en niet de invoer die hij verwerkt, in dit geval een commando of script, maar die nuance zal heel wat gebruikers ontgaan omdat ze er geen verstand van hebben, en wat je communiceert is niet wat jij bedoelt maar hoe de ander het interpreteert.
Als je gebruikers de indruk geeft te kunnen vertellen wie het initiatief tot een handeling neemt, dan is het niet genoeg als je dat bijna altijd goed hebt. Dat kwaadwilligen actief misbruik zullen maken van de mogelijkheid iets uit naam van Microsoft zelf te doen als die mogelijkheid geboden wordt is nogal wiedes. Dat een command processor commando's verwerkt die niet door Microsoft zijn gepubliceerd zou men bij Microsoft ook moeten weten. En dat een doorsnee-computergebruiker dat niet door heeft ook, in een tijd dat ingetypte commando's en scripts als het toppunt van gebruikersonvriendelijkheid worden bestempeld door velen.
Ik vind het daarom niet handig zoals Microsoft dit heeft ingericht. Dat bedoel ik niet als een groot verwijt aan Microsoft, ik zie het meer als een van de dingen waaraan je kan zien dat de softwareindustrie nog jong en onvolwassen is en bezig om met vallen en opstaan de juiste modus te vinden om een razend complex programmeerbaar apparaat algemeen bruikbaar te maken. Ik hoop dat ze bij Microsoft herkennen dat UAC nog niet goed genoeg is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
