Bedrijf looft 100.000 dollar uit voor nieuwe Flash Player-aanval
Het bedrijf Zerodium heeft 100.000 dollar uitgeloofd voor een nieuwe aanval die de click-to-play-beveiliging van Adobe Flash Player omzeilt en zonder enige interactie van gebruikers Flash-content uitvoert. Vanwege de aanvallen op Flash Player hebben zowel browserontwikkelaars als Adobe de beveiligingsmaatregel click-to-play geïmplementeerd. Deze maatregel zorgt ervoor dat Flash-content niet automatisch wordt uitgevoerd.
De gebruiker moet voor het uitvoeren van Flash-content eerst een bevestiging geven. De maatregel is zowel in browsers als Microsoft Office aanwezig. De afgelopen maanden zijn er verschillende zeroday-aanvallen geweest waarbij aanvallers een kwaadaardig Flash-object in een Office-document verborgen. Bij het openen van het document werd het Flash-object geladen en vervolgens een kwetsbaarheid in Flash Player gebruikt om het systeem met malware te infecteren. Daarop besloot Adobe om click-to-play ook voor Office beschikbaar te maken. Vanwege de aanvallen nam Microsoft al eerder de beslissing om Flash-content in Office 365 standaard te blokkeren.
Zerodium, dat in het verleden vaker in het nieuws kwam vanwege hoge bedragen voor zeroday-aanvallen, looft nu 100.000 dollar uit voor een aanval die de click-to-play-beveiliging omzeilt. De aanval moet werken op Windows met Google Chrome en Microsoft Edge, alsmede Microsoft Office 365 en 2016. Via de aanval moet elke website of document willekeurige Flash-content kunnen uitvoeren zonder interactie van de gebruiker of het activeren van Flash. Hoewel Flash steeds minder wordt gebruikt staat het nog wel op veel systemen geïnstalleerd. Daarnaast beschikken Chrome en Edge over een embedded Flash Player. Zerodium verkoopt verkregen zeroday-exploits naar eigen zeggen weer door aan een "beperkt aantal" bedrijven en overheden.
In wat voor wereld leven we dat dit uberhaupt wordt toegestaan?
Ah! natuurlijk, de grootste afnemers van deze zero-leaks zijn natuurlijk overheden, want die staan boven de wet onder de kom van ' het doel (national security) heiligt alle middelen '. Maar, als zij daar zo over denken, kan een ransom-crimineel natuurlijk datzelfde motto hebben, en aangezien er een aantal van hen het voor elkaar heeft om winstgevend te zijn, kunnen zij het ook veroorloven om de hacktools van zerodium te veroorloven.
Zieke wereld waar we in leven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
