Mac-malware verspreidt zich via e-mail
Mac-gebruikers zijn het doelwit van een aanval waarbij er via e-mail wordt geprobeerd om systemen te infecteren met malware die ssl-verkeer kan onderscheppen. Het gaat om een nieuw malware-exemplaar genaamd Dok die op alle macOS-versies werkt en met een geldig ontwikkelaarscertificaat van Apple is gesigneerd.
Volgens beveiligingsbedrijf Check Point is het de eerste grootschalige e-mailaanval op Mac-gebruikers waarbij malware wordt verspreid. De aanvallers zouden het voornamelijk op Europese gebruikers hebben voorzien. Zo is er een kwaadaardige e-mail waargenomen die van de Zwitserse Belastingdienst afkomstig lijkt.
Het bericht claimt dat er problemen met de Belastingteruggave zijn en er meer informatie in de meegestuurde bijlage is te vinden. Het gaat om een zip-bestand met een applicatie genaamd "Truesteer.AppStore". Eenmaal actief toont de malware boven andere vensters een venster met de boodschap dat er een beveiligingsupdate beschikbaar is en gebruikers hiervoor hun beheerderswachtwoord moeten invoeren. Als gebruikers hier gehoor aan geven verkrijgt de malware beheerdersrechten.
Met deze rechten worden aanvullende tools geïnstalleerd, zoals Socat en Tor. Hierna worden de netwerkinstellingen van het slachtoffer aangepast, zodat al het verkeer via een proxy loopt. Ook probeert de malware een nieuw rootcertificaat te installeren zodat het versleutelde webverkeer van de gebruiker, bijvoorbeeld voor webmail en internetbankieren, kan worden onderschept. Uiteindelijk verwijdert de malware zichzelf weer van het systeem. Volgens Check Point werd de malware op het moment van de ontdekking nog door geen enkele virusscanner op VirusTotal gedetecteerd.
En denk je nou echt dat cybercriminelen geen aanpassingen kunnen en zullen maken waardoor detectie van malware in de volgende spamrun naar 0 gaat?
https://blog.malwarebytes.com/threat-analysis/2017/04/new-osx-dok-malware-intercepts-web-traffic/
Ga je voorbij de eerste belangrijke waarschuwing van OS X,
https://blog.malwarebytes.com/wp-content/uploads/2017/04/osx.dok-open-600x198.png
dan wordt het steeds lastiger om er nog los van te komen en zal een reden zijn voor een gemiddelde gebruiker dan maar het proces door te zetten (je lijkt immers geen keus te hebben door een app die alleen reageert als je doet wat zij van je verlangt : password invoeren.
Een mooi uitgewerkt voorbeeld hoe een foute app zijn gang kan gaan als je haar admin rechten geeft.
Maar het gezeik begint al met het openen van de app.
Les : geen waarschuwing van het systeem negeren! Je wordt gewaarschuwd voor het openen van een app terwijl je een attachment uit je mail opent. Waarom krijg je een app via je attachment? Dat is toch vreemd?
En misschien had je de mail zelf al niet moeten vertrouwen in combinatie met een zip attachment.
Krijg je een zip dat moet je extra voorzichtig zijn.
Er moet wel bij gezegd worden dat wat vele sites op dit onderwerp suggereren niet waar is, het uitpakken (aanklikken) van de zip start niet het infectieproces!
Dat doe je zelf door het uitgepakte file aan te klikken en de waarschuwing van je systeem te negeren en weg te klikken!
Vraagje nog, kan iemand mij uitleggen wat voor soort certificaat het geïnstalleerde certificaat is?
Laat dat een groene regel zin in de url bar van de Safari browser op naam van Comodo?
http://blog.checkpoint.com/wp-content/uploads/2017/04/urgent-10.png
Is dat een gratis certificaat? Hoe komt men aan dat certificaat? Betreft dat niet de categorie veilige certificaten?
Hoe zit dat?
Laat dat een groene regel zin in de url bar van de Safari browser op naam van Comodo?
Nee, dat zijn twee verschillende certificaten. Het applicatie certificaat is door apple verstrekt aan ontwikkelaars. Je moet je dan bij Apple registreren als officiële ontwikkelaar. Kost iets van 100 dollar per jaar. Dan kun je via de XCode compiler aangeven dat de app van een officiële ontwikkelaar komt. Apple kan dit certificaat altijd weer intrekken, wat nu ook gebeurd is voor deze malware.
Het Comodo certificaat heeft niets met Comodo van doen. Dat is een zelf gemaakt root certificaat, waar de naam Comodo in staat om hem niet verdacht te laten lijken. Dat certificaat wordt door de malware tussen de officiële certificaten geplaatst.
Volgens de bron heeft het programma alleen een Engelse en Duitse localisatie. Als je eigen systeem op een andere taal ingesteld is, wordt het ook verdacht als je plots een Engelstalig systeemscherm ziet die om een wachtwoord vraagt.
Via een echte credential invoer krijgt een programma het wachtwoord niet in handen om later ergens anders weer te gebruiken, dus moet het via een vals invoerscherm gebeuren.
Wil je dat eens onderbouwen met een bron?
Daar geloof ik niets van,.
Er is ook geen reden om dat te veronderstellen; de app kan net zoals een andere app die admin rechten nodig heeft om diverse taken uit te voeren voor installatie via de officiële weg om meer rechten vragen, dan krijg je dus een echt login schermpje.
Zie geen enkele reden waarom dat niet zou kunnen.
Deze malware is uiteindelijk gewoon een app met code die taken uitvoert die niet helemaal overeenkomen met de verwachtingen van de gebruiker. Maar dat kan een computer lastig beoordelen.
Ergo: foute app die om actieve installatie vraagt met extra admin privileges.
Geef jij je wachtwoord niet dan komt het niet verder.
Wel heel irritant is dat het in je startup items komt te staan en de meeste gebruikers niet weten wat een Safe boot is en waar je je startupitems kunt managen.
(hint is dus, safe boot met netwerk instellingen uit en dan naar je startup-items in je systeemvoorkeuren paneel onder gebruikers om te kijken wat voor rommel daar allemaal staat, dropbox, skype, ..... :(
En geen belangrijke waarschuwingen van je systeem negeren natuurlijk.
Via een echte credential invoer krijgt een programma het wachtwoord niet in handen om later ergens anders weer te gebruiken, dus moet het via een vals invoerscherm gebeuren.
Wil je dat eens onderbouwen met een bron?
Daar geloof ik niets van,.
Er is ook geen reden om dat te veronderstellen; de app kan net zoals een andere app die admin rechten nodig heeft om diverse taken uit te voeren voor installatie via de officiële weg om meer rechten vragen,
Nee ik heb geen bron alleen mijn logica. Het programma heeft geen admin rechten nodig, maar root rechten omdat hij de sudo-ers file wil aanpassen. (Root is nog 1 stap hoger dan admin). Er is ook geen reden om onder normale omstandigheden een ww aan een applicatie te geven. De applicatie vraagt aan het systeem om toestemming voor een handeling. Daarna vraagt het systeem naar jouw ww en geeft daarna de applicatie de toestemming om verder te gaan. Wat dat ww was is voor de applicatie niet van belang
Het enige wat ik niet snap in de beschreven procedure is dat hij een 'sudo' kan doen om het account administrator rechten te geven. Als ik normaal in een user account werk, krijg ik nooit toestemming voor een "sudo" commando. Ik moet eerst inloggen met een admin account om mezelf root-rechten te kunnen geven.
Via een echte credential invoer krijgt een programma het wachtwoord niet in handen om later ergens anders weer te gebruiken, dus moet het via een vals invoerscherm gebeuren.
Wil je dat eens onderbouwen met een bron?
Daar geloof ik niets van,.
Er is ook geen reden om dat te veronderstellen; de app kan net zoals een andere app die admin rechten nodig heeft om diverse taken uit te voeren voor installatie via de officiële weg om meer rechten vragen,
Nee ik heb geen bron alleen mijn logica.
Als je dit blog even leest zie je dat er geen reden is tot deze vorm van eigen logica die je aannames niet lijkt te ondersteunen.
Concreet met afbeeldingen geillustreerd en beschrijving stapsgewijs beschreven.
https://blog.malwarebytes.com/threat-analysis/2017/04/new-osx-dok-malware-intercepts-web-traffic/
Onnodig verwarring scheppend dit.
Ten aanzien van de rest van de logica tegen de analyses van malwarebytes en checkpoint in.
Het enige wat ik niet snap in de beschreven procedure is dat hij een 'sudo' kan doen om het account administrator rechten te geven. Als ik normaal in een user account werk, krijg ik nooit toestemming voor een "sudo" commando. Ik moet eerst inloggen met een admin account om mezelf root-rechten te kunnen geven.
Vervolgens zal de installatie haar gang gaan en kan het gewoon met invoer van een admin password wijzigingen onder root aanbrengen.
Deze app zal dat dus ook gewoon als getoond in variatie kunnen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
