Onderzoekers laten 100.000 malware-sites offline halen
Een groep van 265 beveiligingsonderzoekers heeft in tien maanden tijd zo'n 100.000 websites offline weten te krijgen die voor de verspreiding van malware werden gebruikt. De takedowns waren onderdeel van URLhaus, een project dat begin vorig jaar werd gelanceerd.
Via URLhaus worden door malware gebruikte url's verzameld en gedeeld. Sinds de lancering hebben onderzoekers gemiddeld 300 malware-sites per dag bij het project gerapporteerd. Na de ontdekking van een url moet die vervolgens door de betreffende provider uit de lucht worden gehaald. Gemiddeld zijn malware-sites meer dan een week actief voordat ze offline gaan. "Dat is meer dan genoeg om elke dag duizenden apparaten te infecteren", zegt Roman Hussy, de man achter URLhaus en Abuse.ch. Met name de drie Chinese partijen waar de meeste malware-sites werden gevonden reageren langzaam. De abuse-afdeling van deze providers hebben meer dan een maand nodig om op abusemeldingen te reageren.
Volgens Hussy is URLhaus dankzij de "infosec community" een groot succes. "Het is het bewijs dat het delen van informatie de sleutel is in het bestrijden van malware en botnets." Er is echter nog een lange weg te gaan wat betreft de reactietijd van abuse-afdelingen bij providers, aldus Hussy. "Een gemiddelde reactietijd van meer dan een week is gewoon te lang en het bewijs van slechte internethygiëne." De onderzoeker hoopt dat Chinese hostingproviders in de toekomst sneller zullen gaan reageren op de abusemeldingen over hun netwerk. "Het is gewoon niet acceptabel dat malware-sitess meer dan een maand actief blijven."
Ik vraag me af of PiHole op URLhaus let? De verversingssnelheid van de host domain lists uit PiHole zou uit diens bronpagina's moeten blijken. Ik heb nog te weinig ervaring met het tempo van uitdaten, of dat ik zeker weet dat ze voorrang geven aan betaalde abonnementen.
Maar sommige bronnen zijn selectief bij detectie (vooral voor PUP detecties en generieke adware) of vanwege afspraken om het "under the radar" te laten gaan. VT is zo'n bron. Helaas is het altijd zo dat detectie altijd achter de feiten van een zero-day of nieuwe malcode aanloopt. Zo houden blacklisting en white listing elkaar in evenwicht en is 3rd party script en andere content blocking een vrij effectief concept. Ook is het valse postieve detectie probleem groeiend, zeker waar files niet juist gesigneerd zijn.
Helaas zijn er ook negatieve bewegingen in browsers gaande, zoals bij Google om de functionaliteit van bepaalde ad-blockers aan te tasten of extensies simpelweg te weren. Dan heb je dus niet langer de vrije hand om bepaalde vormen van malware (mal-ads) nog langer te kunnen blokkeren. Hele zorgwekkende ontwikkeling voor de eindgebruiker.
Dit alles onder het mom van meer privacy voor de Alphabeth en Google core-business. Wij beheren en versleutelen uw data voor u en verdienen daarna aan de verkoop, daar wij slechts weten bij wie die data-algoritmen horen. Wij vallen u niet meer lastig, wel even hier akkoord klikken graag.
Ik vermoed zo dat de onderzoekers en sinkholers in de toekomst drukke tijden tegemoet zullen gaan.
#sockpuppet
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
