Zwitserse overheid: Blokkeer gevaarlijke e-mailbijlagen
Nu internetcriminelen steeds vaker van e-mailserviceproviders (ESP's) gebruikmaken om ransomware en andere malware te verspreiden, doen organisaties er verstandig aan om gevaarlijke e-mailbijlagen en het downloaden van zip-bestanden te blokkeren, zodat die niet bij eindgebruikers terecht kunnen komen.
Dat adviseert het Computer Emergency Response Team van de Zwitserse overheid (GovCERT). Aanleiding voor het advies is een spamrun die de Dridex-malware verspreidde. Dit is een banking Trojan die speciaal ontwikkeld is om gegevens voor internetbankieren te stelen zodat criminelen geld van rekeningen kunnen stelen. De e-mails waren via de ESP SendGrid verstuurd.
Een ESP is een bedrijf dat mailings voor andere bedrijven verzorgt. Daardoor hebben veel e-mailservers en spamfilters de ip-adressen van een ESP gewhitelist. In het geval cybercriminelen via een ESP hun mails laten versturen is de kans ook veel groter dat de berichten aankomen. GovCERT zag het aantal meldingen van phishingmails met een factor 8 toenemen nadat de Dridex-mails via SendGrid waren verstuurd. De overheidsinstantie benaderde SendGrid, maar heeft nog altijd geen reactie op de abusemelding ontvangen.
GovCERT geeft daarom verschillende adviezen zodat gebruikers en organisaties zich kunnen beschermen. Zo moeten gebruikers niet alleen op hun virusscanner vertrouwen. "Hoewel belangrijk kan anti-virus je niet tegen alles beschermen en zorgt er niet voor dat je onvoorzichtig kunt zijn." In het geval van bedrijven doen die er verstandig aan om gevaarlijke e-mailbijlagen met zip-, rar-, js-, jar-, bat-, exe-, cpl-, scr-, com-, pif-, vbs-, ps1-, wsf-, docm-, xlsm- en pptm-bestanden te blokkeren.
Daarnaast moeten ook Office-bestanden met macro's door de e-mailgateway worden geblokkeerd. Ook moet het voor werknemers niet mogelijk zijn om zip- en rar-bestanden te downloaden. Dit kan via een webproxy worden geblokkeerd. Verder wordt nog geadviseerd om e-mailstandaarden zoals SPF, DKIM en DMARC te implementeren.
Het blokkeren van bepaalde email bijlagen is een maatregel die sind jaar en dag gangbaar is dan wel hoort te zijn.
Email is dood, leve de snailmail (als we deze optie gaan volgen).
Het blokkeren van bepaalde email bijlagen is een maatregel die sind jaar en dag gangbaar is dan wel hoort te zijn.
Email is dood, leve de snailmail (als we deze optie gaan volgen).
Email zou terug moeten naar platte tekst zonder html en attachments, indien je toch bestanden/attachments uit wilt wisselen huur/maak/koop je een transfer-dienst (aka wetransfer) incl. virusscanning op de server.
Kan allemaal incl. 2 factor etc. etc.
Minder gebruiksvriendelijk, stuk veiliger.
Dat hangt er maar vanaf. Als bedrijf is het heel normaal om macro's en andere bijlagen te ontvangen die je voor de administratie of bedrijfsvoering nodig hebt. Het is iets te makkelijk geredeneerd vooral als je zelf geen bedrijf hebt en niet weet waar je precies over praat.
In een grotere organisatie met echte scheiding van functies worst dat een heel ander verhaal. Als je software ontvangt gaat dat eerst door een validatie proces. Nee juist de boekhouder heeft dan niet alle vrijheid om zelf van alles en nog wat te gaan installeren. Je geeft wel duidelijk een gangbaar spanningsveld aan. Shadow it.
Nee, dat volgt niet uit de gepubliceerde blog post van de Zwitserse govcert van 20 februari.
Er wordt aangeraden onder andere deze bijlagen te blokkeren:
.js (JavaScript)
.jar (Java)
.bat (batch file)
.exe (Windows executable)
.cpl (Control Panel)
.scr (screen saver)
.com (COM file)
.pif (program information file)
.vbs (Visual Basic Script)
.ps1 (Windows PowerShell)
.wsf (Windows Script File)
.docm (Microsoft Word with macros)
.xlsm (Microsoft Excel with macros)
.pptm (Microsoft PowerPoint with macros)
En bijlagen die macro's bevatten.
Archiefbestanden zoals ZIP en RAR moeten worden geblokkeerd als email bijlagen als ze dergelijke gevaarlijke inhoud bevatten of als ze beschermd zijn door een wachtwoord. Javascript in gedownloade archiefbestanden moet ook worden geblokkeerd.
Er staat niet bij de aanbevelingen dat alle ZIP en RAR archiefbestanden moeten worden geblokkeerd.
Merk op dat de genoemde extensies slechts een selectie is. Er zijn meer gevaarlijke extensies en bestandstypen.
Dit was 5, 10 of 15 jaar geleden niet anders. Het verspreiden van ransomware en andere malware per email is ook niet bepaald iets nieuws. Functionaliteit om gevaarlijke bijlages te blokkeren zit ook al jaren in pakketten zoals Outlook.
Goed advies, maar de pretentie dat het nieuw is ??
Vanwaar deze uitleg, open deuren aan het intrappen ? ;))
Vanwaar deze uitleg, open deuren aan het intrappen ? ;))
Overigens heb je een mogelijk secùrity issue bij de horens. Degenen die met hart en ziel voor de goede zaak gaan worden gewoon opzij gezet door eigen management. Het vaak gehanteerde argument dat de externe leverancier wel beter zal weten hoe het moet al overhandig je hem niet eens de voorwaarden (security policies) waaraan voldaan moet worden.
Ik zit al langer met de vraag hoe in Mozilla Thunderbird onder Ubuntu Linux de ClamAV antivirus scanner ingezet zou kunnen worden om individuele berichten vanuit de inbox in quarantaire te kunnen plaatsen:
Voorkeuren > Beveiliging > Antivirus [quarantaire toestaan]
Dat schijnt in Thunderbird onder Linux ook te kunnen, en wellicht ook met ClamAV, maar onduidelijk is hoe die optie te bewerkstelligen is.
Voorts is ook de vraag opgekomen, gezien het onderwerp van dit topic, hoe onder Thunderbird binnenkomende email bijlagen op basis van hun filename extenties uit te filteren zijn:
Voorkeuren > Bijlagen > Inkomend [inhoudstype + actie]
Beide mogelijkheden lijken voorhanden te zijn onder de voorkeuren van Thunderbird, maar mij is dus niet duidelijk hoe die twee items onder Thunderbird in werking zijn te zetten. Een goede hint is dus welkom.
Het laten inspecteren van de inhoud van een zip bijlage kan mogelijk een 'decompressie bom'/'zip of death' risico zijn als dit niet goed geïmplementeerd is.
Email/smtp is nooit goed voor bijlages ontwikkelt. De base64 codering van de bestanden die als bijlage gebruikt worden, maakt de overdracht van de emails met bijlages extra groot.
Ik begin er genoeg van te krijgen.
Terug naar o.a. gewone brievenpost .
Voorkeuren > Bijlagen > Inkomend [inhoudstype + actie] (...)
Thunderbird lijkt niet te doen wat jij zoekt, ook al zag ik dat hier sinds 2003 om gevraagd wordt.
En toch wel: ik zie op onderstaande pagina dat Tom Austin gedrag per attachment type voor elkaar heeft:
http://forums.mozillazine.org/viewtopic.php?f=39&t=2776265
Weer anderen zie ik naar de Thunderbird extension FiltaQuilla verwijzen: http://mesquilla.com/extensions/filtaquilla/
Zelf geen ervaring mee, ik gebruik een simpel filter dat alle e-mails met bijlage rood kleurt. Ik trek voor het aanklikken eerst handschoenen aan :)
Ik begin er genoeg van te krijgen.
Terug naar o.a. gewone brievenpost .
Het erge hier is dat de meeste anderen deze reacties niet begrijpen voor wat ze zijn (noodkreet, en een duidelijke serieuze vraag om terugkeer naar een normaal leven waarbij je niet voor iedere scheet een stopcontact, internetaansluiting, intermediair(s), wachtwoord, gebruikersnaam, verificatie, authenticitatie nodig hebt).
Integendeel, er wordt hier herhaaldelijk geroepen dat dit domme reacties zijn en negatief en wereldvreemd, met de vraag of ze alsjeblieft eindelijk eens weggemodereerd kunnen worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
