Backdoor in updates Oekraïense boekhoudsoftware M.E.Doc
Onderzoekers van het Slowaakse anti-virusbedrijf ESET hebben in updates van de Oekraïense belasting- en boekhoudsoftware M.E.Doc een backdoor gevonden die aanvallers hebben toegevoegd en gebruikt om de XData- en Petya-ransomware onder gebruikers van de kantoorsoftware te verspreiden.
Op 14 april, 15 mei en 22 juni verschenen er updates voor M.E.Doc waar aanvallers een module met de backdoor aan hadden toegevoegd. Het verschijnen van de updates valt samen met twee incidenten. Zo raakten op 18 mei systemen in voornamelijk Oekraïne besmet met de XData-ransomware en vond op 27 juni de uitbraak van de Petya-ransomware plaats. Hoewel M.E.Doc 400.000 klanten heeft infecteerde de XData-ransomware iets meer dan honderd systemen. De onderzoekers denken dat dit komt omdat op 17 mei een update verscheen die de backdoor niet bevatte.
Mogelijk kan dit het kleine aantal infecties verklaren, omdat de meeste gebruikers met de backdoor inmiddels de update van 17 mei hadden ontvangen waarin de backdoor niet aanwezig was. Deze update kwam volgens de onderzoekers als een verrassing voor de aanvallers, die op 18 mei besloten de XData-ransomware te verspreiden. Op 22 juni werd er weer een update verspreid met de backdoor, die vijf dagen later tot de uitbraak van Petya-ransomware leidde. De onderzoekers gaan ervan uit dat de aanvallers toegang tot de broncode van M.E.Doc hadden om de backdoor te ontwikkelen.
"Zoals ons onderzoek laat zien is dit een zeer goed geplande en uitgevoerde operatie", aldus onderzoeker Anton Cherepanov. "Ze hadden de tijd om de code te leren kennen en een zeer sluwe en vernuftige backdoor toe te voegen." Het is echter onbekend hoe lang de backdoor in gebruik is geweest en welke malware er op deze manier is verspreid. Cherepanov stelt dat ESET niet heeft kunnen controleren of er nog andere backdoors in de software aanwezig zijn. Het softwarebedrijf dat M.E.Doc ontwikkelde ontkent dat de software is gebruikt voor de verspreiding van de Petya-ransomware, ook al stelde Microsoft eerder al dat dit wel het geval is geweest.
Dat lijkt te suggereren dat de backdoor niet in de officiële broncode aanwezig is maar dat de dll een aantal keer in de build-resultaten is geïnjecteerd, en dat dat voldoende moeite kostte om het niet routinematig bij elke release voor elkaar te krijgen. ESET stelt dat de makers van de backdoor waarschijnlijk over de broncode beschikten. Dat doet vermoeden dat iemand die toegang had tot de systemen van het softwarebedrijf die dll vanuit een eigen build de officiële build in heeft weten te smokkelen.
Als de verklaring van het softwarebedrijf dat hun software geen sporen van manipulatie vertoont gebaseerd is op inspectie van de broncode dan zou het kunnen dat ze op de verkeerde plek hebben gezocht. Dat ze geen sporen van hacking op hun servers hebben gevonden zou erop kunnen duiden dat iemand die er legitieme toegang toe heeft bij betrokken is.
Ergens heb ik gelezen dat M.E.Doc (updates) gehost worden op Wnet servers, en dat deze voor een korte tijd gekaapt zijn door een russiche hoster o.i.d. Ben alleen de link kwijt en kan dat bericht zo snel niet terugvinden.
Het is hoe dan ook lastig om fake news van de waarheid te onderscheiden.
Het zijn aannames op basis van gokken op basis van aannames van geruchten.
Een gemiddeld vrouwen / roddelblad bevat meer waarheden.
Bijvoorbeeld de aanname dat de source code beschikbaar was op basis van niets, waar dan weer een andere aanname komt dat iemand toegang had tot de systemen (ook weer een aanname van niets, ik heb ook de source code van Windows en ik kan echt niet in alle systemen van Microsoft)...
Geen sporen van hacking is niet bewijs dat er geen hacking heeft plaatsgevonden. En zeker niet bewijs dat iemand aan de binnenkant heeft meegeholpen. Goede hackers laten geen sporen na, degene die niet door landen gesponsord worden... die laten immers false-flag sporen na om anderen te impliceren.
Echt een hoop onzin, geen bewijs, alleen maar aanname gestapeld op verzinsels op basis van andere aannames en conclusies die niet getrokken kunnen worden uit het luttele "bewijs" dat wel getoond wordt..
Er is dan ook maar 1 conclusie... ESET is zwaar onder de paplepel van de NSA/CIA whatever 3 letter afkorting in de VS.
Mogelijk gevalletje van "hey, jullie publiceren dit verhaal, anders zorgen we dat jullie nooit meer een product in de VS verkopen"...
Of misschien zijn het wel gewoon echte prutsers met een anti rusland of anti korea sentiment. Heel oost europa zit er vol mee.
Ergens heb ik gelezen dat M.E.Doc (updates) gehost worden op Wnet servers, en dat deze voor een korte tijd gekaapt zijn door een russiche hoster o.i.d. Ben alleen de link kwijt en kan dat bericht zo snel niet terugvinden.
Het is hoe dan ook lastig om fake news van de waarheid te onderscheiden.
Vage reacties van anoniemen met niet onderbouwde argumenten, kunnen we daar dan wel op afgaan?
Niet bepaald heel sterk allemaal hè?
Beste Security.nl let eens op de door U gebruikte termen. U beschuldigt nu de fabrikant van deze software. Tevens geeft U een nieuwe draai aan de mogelijke oorzaak / besmetting zonder enige onderbouwing.
Beste Security.nl let eens op de door U gebruikte termen. U beschuldigt nu de fabrikant van deze software. Tevens geeft U een nieuwe draai aan de mogelijke oorzaak / besmetting zonder enige onderbouwing.
In dit geval is er een backdoor door aanvallers aan een update toegevoegd. Duidelijk dus GEEN exploit, maar een achterdeur.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
