Dat is maar een deel van het verhaal. Door code, gekopieerd van Mimikatz, kon/kan WannaCry op PC's en servers opgeslagen (admin) credentials misbruiken om lateraal door netwerken te verspreiden. Daarvoor heeft Microsoft, voor zover ik weet, alleen op enterprise versies van Windows 10 (en server 2016) mitigerende maatregelen geïmplementeerd (waarvan nog te bezien valt of die afdoende zijn).

Als je andere Windows versies gebruikt, ook als deze 100% up-to-date zijn, kon en kan malware, die van deze PTH (Pass-the-Hash) techniek gebruik maakt, in veel gevallen in no time door je netwerk denderen. Het enige dat je daar tegen can doen is ervoor zorgen dat er nergens "cached credentials" worden opgeslagen, maar in de praktijk is dat knap lastig - Windows is primair ontworpen voor gebruiks- en beheer-gemak, niet beveiliging.

Als Brad Smith veiliger netwerken wil, moet hij de Microsoft aanpak "by default insecure, but securable (but then you'll run into all sorts of problems because nobody assumes you deviate from defaults" wijzigen in "by default secure, but insecurable". Maar dat durft hij niet.

@ Bitwiper, je bent in de war met NotPetya. WannaCry gebruikte geen mimikatz.

Daar twijfelde ik ook over voordat ik het bovenstaande postte, en heb even gegoogled. Er werd aanvankelijk veel verwarrend nieuws gepubliceerd, o.a dat Britse ziekenhuizen e.d. zo zwaar getroffen zouden zijn doordat ze nog veel van Windows XP gebruik maakten. Maar WannaCry werkte slecht of niet op XP.

Uit https://www.symantec.com/connect/blogs/wannacry-ransomware-attacks-show-strong-links-lazarus-group:

Maar mochten Symantec en ik dit fout hebben: de versie van WannaCry die destijds zoveel schade veroorzaakte, wordt ondertussen echt wel door elke -zichzelf respecterende- virusscanner herkend waardoor deze niet effectief meer zal zijn. NotPetya was waarschijnlijk veel effectiever, maar door haar targeted karakter bleef verspreiding beperkt tot een relatief klein aantal organisaties (vaak met een vestiging in Oekraïne en VPNs met zo'n locatie).

Voor zover ik weet bestaat er geen goede en eenvoudige fix tegen PTH onder Windows, zeker niet op de in organisaties nog zeer veel gebruikte versies 7/2012. Het is m.i. niet de vraag of er in de toekomst weer malware zal verschijnen die van PTH gebruik maakt, maar wanneer.

Ik denk niet dat criminelen zich iets zullen aantrekken van internationale afspraken, beveiliging moet toch komen van de leveranciers van hard- en software, waaronder Microsoft.

Allemaal aanvalswapens van de zogeheten "Lazarus" groep.

Het legt opnieuw de inherente onveiligheid van het Microsoft OS "line command interpreter" model bloot,
dat zo in aanvang natuurlijk nooit op het Internet had moeten worden losgelaten.

Het was er nog niet klaar en veilig genoeg voor.
Net als vele andere zaken zoals javascript in eerste aanleg dat niet waren.

Men is dus met iets begonnen, dat later nadat de feitelijke onveiligheid als gesloten software ervan duidelijk werd,
met geen mogelijkheid en dat geldt tot op heden, meer fatsoenlijk veilig te breien valt.

Men heeft dit nog niet toegegeven, want dat zou toch wel heel wat onrust veroorzaken.

Kijk naar Remote Desktop onder de minikatz authenticatie tool bedreiging.

Beste beveiliging is geen admin rechten gebruiken en remote desktop e.d. niet delen.

Microsoft lost het meestal op door belemmeringen op te werpen in de uitvoering van exploits,
maar dan moeten ze kort daarna weer elders aan de slag
en werken voornamelijk via het recept van "security through obscurity".

Het is constant: "pompen of verzuipen".

Laat onverlet om te werken met een gewoon user account en allerlei zaken, die niet nodig zijn,
uit te schakelen en te zorgen voor een goed monitoren van wat er gebeurt op het OS.

Daarnaast kan ook helpen om veiliger hashes te genereren, servers zo in te stellen,
dat daar al de onveilige boel al gepareerd kan worden.
Geen niet veilige random key generators meer gebruiken etc. etc.

De doorsnee M$ gebruikers zijn en blijven al lang vogelvoer voor de "forces that be".
Ik vraag me soms wel eens af of dat niet "by design" is gebeurd?

Ware dat zo, dan zouden alle 'linux mannetjes" nu verzuchten:
"Heb ik het jullie dat al niet al die tijd gezegd".
We blijven voorlopig dus leven in onzalige onzekerheid.

Wat stond de techno reuzen voor de geest in eerste aanleg? M$, Google, etc.
Ik weet het niet, ik ben er niet bij geweest.

Mijn eerste computer was destijds een Atari met hulp van een pientere lokale politieman geconfigureerd.

Maar de conclusie - je krijgt bepaalde software nooit meer echt veilig - klopt wel
en daar maken surveillance krachten en geavanceerde spooks en hackers natuurlijk dankbaar gebruik van.

Bitwiper weet zich in zulke gevallen wel aardig te verdedigen binnen deze a prori geborkte infrastructuur.
Maar kan de gemiddelde gebruiker dat wel, die ook nog eens vaak geheel op het verkeerde been is gezet?

Wat in ieder geval moet gebeuren is het totale gebrek aan security in servers en IOT uhh dat is Linux op orde brengen.
Het opnieuw claimen van dns met slechte bedoelingen ofwel fake informatie zo mogelijk nog belangrijker.
Zo jammer weer dat vervallen in merk bashing waarbij het grotere geheel en het belangrijke echte doel gemist wordt.

De twee andere artikelen vandaag:
- https://www.security.nl/posting/538647/Onderzoekers+weten+Boeing+757+op+afstand+te+hacken
- https://www.security.nl/posting/538643/Politie+haalde+dit+jaar+al+160+malafide+webwinkels+offline

Gewoonlijk gaat men compleet los op merk bashing maar niet als het serieuzer is en met andere techniek te maken heeft. Deze zal nog wel komen: https://www.nu.nl/binnenland/5003450/flitspalen-langs-binnenwegen-uitgerust-met-kentekenregistratie.html op zoek naar bekende kentekens zou niet het probleem mogen zijn maar alles maar vastleggen omdat het kan vind ik niet goed. Wat zou zo'n ANPR voor OS draaien en is het te hacken?

Dat ben ik wel in grote lijnen met karma4 eens. Buiten het M$ platform gaat het ook vaak gigantisch verkeerd of net niet zo als het volgens best practices zou moeten met alle (in aanleg) onveilige gevolgen van dien.

Hier geldt voor allles nog steeds "sh*t in = sh*t out", ook bijvoorbeeld bij slecht geconfigureerde en kwetsbare servers bijvoorbeeld en die draaien ook heel vaak helemaal geen Windhoos. Een klein iets niet voorgedefinieerd en later zit je met de nodige moeilijk op te sporen errors - fast forward prompt error bijvoorbeeld en de nodige hick-ups.

Altijd beginnen aan jezelf te twijfelen en dan later pas naar anderen wijzen is een wijze instelling.
Het brengt je snel verder, echt!

Voor asp sites heb je de asafaweb scanner, die test op Tracing: Pass Custom errors: Pass Stack trace: Pass Request validation: Not tested HTTP to HTTPS: Pass Hash dos patch: Not tested ELMAH log: Pass Excessive headers: Warning HTTP only cookies: Pass Secure cookies: Pass Clickjacking: Warning View state MAC: Not tested bij voorbeeld.

Het inherente onderliggende veiligheidsprobleem geldt dus nog van voor de telefoonfluitjes-hackers, die later hun eigen OS gingen ontwikkelen. Verder versterkt probleem toen men het ontwikkelde aan Internet ging hangen.

Problemen met DNS, naamservers, rogue dhcp enz, te veel om allemaal op te noemen. Verdiep je eerst eens in protocollen en implicaties van dien, een hacker moet zich ook eerst goed inlezen, iemand die commentaar geeft op technische zaken eveneens.

Iets met klokken en klepels...

Dat is een heel interessante stelling!
En dat geeft mij te denken, vanwege het volgende:
Sinds de laatste Zero-day kwetsbaarheid in Flash (medio oktober) ging ik vanwege de embedding in Internet Explorer in de security opties het een en ander ehh... doen. In de hoop het veiliger te krijgen. (Vraag me niet meer wat allemaal; doet bovendien in deze context totaal niet ter zake; vertroebeld alleen wat ik kenbaar wil maken in conjuctie met de stelling van Bitwiper )

Sinds deze aanpassingen start een executable (.exe) indien buiten de programmamap opgeslagen alleen nog op indien ik ben ingelogd als beheerder (Normaal werk ik altijd in een gebruikers-account) Als deze executable èèn keer door mij als beheerder is gebruikt start hij wel op indien ik ben ingelogd als gebruiker.

De executable betrof in dit geval: palemoon-27.6.0.win64.installer.exe (de recente update) opgeslagen in mijn downloadmap

Windows weigert in het eerste geval met de melding:
deze bestanden kunnen niet worden geopend. Vanwege uw internetbeveiligingsinstellingen kunnen één of meer bestanden niet worden geopend

Wat ik hiervan denk? In een woord fantastisch! Subliem! letterlijk! Zo zou Windows by default ingesteld moeten zijn!

Feitelijk is dit voor mij hét voorbeeld van wat Bitwiper poneert over Windows:
"by default insecure" en dan... omdat ik er geen hol van begrijp hoe ik deze uitstekende beveiligingsinstelling heb geconcretiseerd aangevuld met: "but then you may run into all sorts of problems because nobody assumes you deviate from defaults.... en dat had mij dus kunnen overkomen: Allerhande problemen omdat ik mijn Windows systeem veiliger wil krijgen dan de standaard-instelling, maar voor iemand met gemiddelde computerkennis (IK) een risico is.

kijk en hoe eenvoudig kan het zijn als er bij de installatie van windows een knop zit met de keuze, alles dicht en secure by default of als van ouds. beheerders kunnen dan een vlugge secure base installatie doen voor hun servers en dus is alle meuk die niet nodig is of nodig blijkt te zijn std uit en secure. een simpele knop maar.

Waarom zo gereageerd op kritiek op het systeem met de 280 commands genaamd CMD (voorheen dos) nu PowerShell geheten?

Geef dan ook inhoudelijk commentaar en waarom het zo veel beter is/zou zijn dan OS X.

Het is namelijk niets veiliger als elk kwetsbaar systeem.

En als je daarna eens nagaat hoeveel gebruikers bij secure niet meer normaal kunnen werken....

Want wat valt bij jou onder secure? Hierin zit een heel groot verschil, wat jij als secure vind, en wat Microsoft secure vind. Eigenlijk kunnen ze dit ook weer niet goed doen. Want er zijn veel te veel mogelijkheden en evenveel meningen.

Als je alles "echt" secure wilt doen, dan lopen veel normale gebruikers vast. En wat dan, hoe moeten zij dit fixen? Daar heeft de gemiddelde gebruiker helemaal geen weet van. Dus gaan ze bellen? Of vloeken? of......

Los van het feit dat WannaCry geen gebruik maakte van mimikatz, pass-the-hash, pass-the-ticket en gerelateerde methodes werken perfect op elk OS. Het punt is simpel: als een aanvaller de hoogste rechten op een systeem heeft (zoals nodig voor PtH/PtT), dan kan hij of zij alles. Alles.

De 10 wetten gaan op voor elk OS: https://blogs.technet.microsoft.com/rhalbheer/2011/06/16/ten-immutable-laws-of-security-version-2-0/

Heeft evenveel zin als internationale afspraken over spionage. Niemand houdt zich eraan, en iedereen ontkent verantwoordelijkheid voor de eigen akties.

Heb je mijn 2e bijdrage op deze pagina ook gelezen?

Dat is niet juist: als je de hoogste rechten hebt op één systeem, betekent dat helemaal niet dat je dan automatisch ook rechten hebt op andere systemen aan een netwerk. Dat probleem ontstaat pas als jij op een systeem, waar jij toegang tot hebt, ofwel 1) op dezelfde manier (bijv. met dezelfde credentials of dezelfde exploit) toegang kunt krijgen op andere systemen aan een netwerk, ofwel 2) als op het systeem waar je op dat moment op bent ingelogd, credentials te vinden zijn (als wachtwoorden gehasht zijn, en je daarmee kunt inloggen, is -meen ik- PTH mogelijk) waarmee je op andere systemen aan dat netwerk kunt inloggen.

Dat tweede is typisch iets voor computers met Windows. De reden daarvoor is dat Microsoft ervan uitgaat dat Windows systemen slechts aan "trusted networks" gekoppeld worden, en vanuit die filosofie zijn de meeste Windows PC's zeer kwetsbaar (er draait een server service op, RPC, voortdurend uitzenden van WPAD en NBNS, ondersteuning voor verouderde SMB versies, geen of gebrekkige authenticatie van servers, veel onversleuteld verkeer, blind vertrouwen in DNS, ARP en DHCP etc). Echter, tenzij je op netwerkniveau zeer ongebruikelijke maatregeken neemt, is een netwerk niet meer "trusted" zodra 1 device aan dat netwerk gecompromitteerd is.

Ik vind dan ook dat (tenzij geen enkel device aan een netwerk internetconnectiviteit heeft en andere maatregelen file-I/O met die devices serieus bemoeilijken) er in gangbare bedrijfs- en thuissituaties je er nooit vanuit hoort te gaan dat een netwerk "trusted" is. En daarom horen er, in elk geval op systemen voor eindgebruikers, geen credentials voor het inloggen op andere systemen te vinden te zijn. Iets dat veel beheerders helemaal niet weten, en zo (onbedoeld en ongemerkt) overal hun (te misbruiken) "sporen" achterlaten.

Daarin ontbreken de wetten 11 en 12:

WannaCry & MimiKatz

The attackers left behind several tools on the victim’s network that provided substantial evidence into how WannaCry spread. Two files, mks.exe and hptasks.exe (see Appendix C: Indicators of Compromise), were found on one affected computer. The file mks.exe is a variant of Mimikatz (Hacktool.Mimikatz), a password-dumping tool that is widely used in targeted attacks. The latter file, hptasks.exe, was used to then copy and execute WannaCry on other network computers using the passwords stolen by mks.exe.

The spread of WannaCry by hptasks.exe was a two-stage process. In stage one, when run, hptasks can be passed a target list of IP addresses as an argument. When given this command, hptasks reads previously stolen credentials from a file called cg.wry and uses them to connect to every computer in the set of IP address ranges. All connection attempts are logged into the log.dat file. If a successful connection is made to a remote computer, and there is no file with a .res extension in either the Admin$, or C$\Windows folders, then hptasks.exe will copy the files listed in Table 2 onto the remote computer.

https://www.symantec.com/connect/blogs/wannacry-ransomware-attacks-show-strong-links-lazarus-group

Voor de goede orde:

"Linux" is een kernel en "Linux distributie" (Debian/Ubuntu/Redhat, SUSE, enz) is een complete software-omgeving rondom een package-management voor server, desktop enz.

Er zijn ook veel systemen die Linux (kernel + minimal user space) gebruiken, wasmachines en koelkasten, radio's, TVs, leuke lampjes, enz., allemaal apparaten die traditioneel zonder cpu werden geleverd, maar die nu veelal zonder behoorlijk software-beheer met een CPU (met Linux) op de markt worden gebracht met alle gevolgen van dien.

Vergelijking van deze laatste categorie (IoT) met MS Windows is misleidend. Alhoewel, ik moet dat nageven: het MS Windows ecosysteem is vaak ... hmm, ach laat maar.

Dat de legal counsel van Microsoft nu zou oproepen tot internationale afspraken schijnt mij een vorm van damage control. Ik heb een hekel aan complottheorieën, maar dat MS her en der wat achterdeurtje voor de NSA heeft ingebouwd is wel aannemelijk, zo niet expres dan toch door stelselmatig meer acht te slaan op haar winstmarge dan op het (veiligheids)belang van haar klanten. De opmerking van Bitwiper over insecure by default snijdt hout.

Kijk als we complottheorien bezig gaan dan gaat dat met linux beter. Het is NSA die de selinux enhancements ingebracht heeft. Het is een commerciële partij als Redhat die sturing aan het gebeuren geeft Torvald heeft er een leuk centje aan overgehouden. Met dat soort gedoe van verdachtmakingen en volgen van grote partijen en dat is ookook OSS geef je je eigen onafhankelijkheid op. Vergeet niet OSS is het niet onderscheidend deel van de grote commerciëlen. Daarmee heb je de afnemer monddood gemaakt. Niets open integendeel.

Met informatieveiligheid moet je dat juist niet doen.

@karma4 en Joep Lunaar,

Maar als jullie beiden en ik zich niet met complottheorieën wensen bezig te houden,
komt het soms wel van officiële kant weer volop ons af.

Kijk naar aan de ene kant de wens van de huidige D66 minister om met Google, facebook etc. afspraken te maken over (vermeend of niet) nepnieuws uit Rusland om de Nederlandse opinie te beïnvloeden en aan de andere kant de omzichtige manier waarop men vermijdt het eigen nepnieuws verspreid bij voorbeeld door een kamerlid als Omzigt aan te pakkken.

Bij nieuwscheckers.nl zien we hoe moeilijk het soms is de weg te vinden tussen ware nieuwsfeiten en hoaxes.
Wat hoax lijkt blijkt een waar nieuwsfeit te zijn (Albanezen schuilen in bunkers bij Hoek van Holland) en wat waar zou kunnen zijn is een hoax (van susi eten kun je een lintworm krijgen).

In hoeverre kunnen we nog in vrije en betrouwbare nieuwsgaring geloven als de politiek via grote techno-bedrijven onze meningen denkt te moeten bijsturen. Vaak wil men ons dus behandelen als een soort van onmondige kleutertjes.

Ik bedoel met het bovenstaande dat het zeer moeilijk wordt achter de juiste feitelijkheden te komen ook over de ware veiligheidstoestand van de infrastructuur op het Internet.

Er wordt dus heel wat bewust of onbewust afgelogen, verdraaid of met opzet op het verkeerde been gezet.

Niet blaten, dan reageer ik niet meer op wat je schrijft en dat is jammer want soms komt er ook iets zinnigs uit.

Beste karma4 en Joep Lunaar alhier,

Reageer dan in ieder geval op mijn vaststelling dat het online heel moeilijk is om heel feit,
half feit, kwart feit of nep of hoax uit elkaar te houden, zoals ik stel in mijn posting van 12:09 heden.

Waarheidsvinding wordt dus moeilijk, nog meer als je eigen kokervisie steeds weer dreigt bevestigd te worden.

Net aan de gang gegaan met bro IDS.
Voor wie houdt van script en in bij voorbeeld DOCKER met json de resultaten bekijken wil.

Weer iets op een andere leest gestoeld als snort en Emerging threats IDS.

Rondgaand als de spreekwoordelijke sporen zoekende Indiaan met het oor op de grond
en het oog gericht op de weegbree, die de vreemde indringers verraden kan,
moet je proberen het enthousiasme en de onbevangenheid terug te brengen in het security onderzoek.

Heb je je kop in het zand zitten ? Omtzigt wordt behoorlijk aangepakt. En Omtzigt is nou juist iemand die zich (onbewust) voor het karretje van de Russen heeft laten spannen, bij het verspreiden van nepnieuws. Dacht je dat Omtzigt een anti-Russisch standpunt in nam ?

Gelukkig is er de wet van Hanlon "Never attribute to malice what can be adequately explained by stupidity".

Dat is waar. Als GroenLinks lid is de Telegraaf niet mijn krant, maar zo nu en dan lees ik die krant, omdat ik wil weten wat anders denkenden vinden en waarom. (Met Paul Jansen, voormalig chef DenHaag redactie, is de T er op vooruit gegaan).

Om dezelfde reden kan ik Karma4 zijn bijdragen wel waarderen. Niet zozeer omdat ik daarmee instem, maar omdat zijn vasthoudendheid tegen het voetstoots geloof in (de voordelen van) FOSS, door mij te irriteren, mij mijn eigen vooroordelen laat merken. Ik hoop dat ik bij hem (vast een oude mopperige knar die het allemaal wel weet -;) hetzelfde bewerkstellig.