Tibetanen doelwit van kwaadaardig PowerPoint-bestand
Tibetanen en mensen die de Tibetaanse overheid in ballingschap ondersteunen zijn het doelwit van een kwaadaardig PowerPoint-bestand geworden dat een remote access tool (RAT) probeert te installeren. De aanval begon met een e-mail die via de mailinglist van de Central Tibetan Administration (CTA) werd verstuurd. Een organisatie die de Tibetaanse overheid in ballingschap vertegenwoordigt. Via de mailinglist wordt nieuws over Tibet verspreid.
De e-mail heeft als bijlage het bestand "Tibet-was-never-a-part-of-China.ppsx" en claimt een presentatie te bevatten om de 60ste verjaardag van de Dalai Lama te vieren. Het PowerPoint-bestand is eigenlijk een kopie van een legitiem pdf-document van de CTA, dat vorig jaar november verscheen. Het PowerPoint-bestand bevat een exploit die misbruik maakt van een oude kwetsbaarheid. in Microsoft Office. Het beveiligingslek werd op 11 april 2017 door Microsoft gepatcht.
In het geval gebruikers deze update niet hebben geïnstalleerd en het PowerPoint-bestand openen wordt er een RAT geïnstalleerd. Via de remote access tool krijgen aanvallers volledige controle over het systeem. Volgens Cisco heeft iedereen op de mailinglist van de Central Tibetan Administration de e-mail ontvangen. De mailinglist wordt beheerd door een Indiaas bedrijf. De aanvallers wijzigden de "Reply-To" header die CTA-mailings normaal gebruiken, zodat alle reacties naar een e-mailadres van de aanvallers gaan.
Verder stellen onderzoekers van Cisco dat gezien de aard van de malware en de beoogde doelwitten, het de aanvallers waarschijnlijk om spionage is te doen in plaats van financieel gewin.
In andere frequentie is dat ook zo voor westerse doelen. Grappig is dat ze bij dit soort aanvallen wel eens onderwerpen gebruiken die het westen niet meteen interesse opwekken, zoals Zuid-Oost Aziatische onderwerpen. Er is duidelijk verschil in bekwaamheid te constateren bij de uitvoerders. De in-your-face werkwijze bij deze aanval is ook opvallend.
Sommige mailing lists werken zo dat alle berichten zijn toegestaan als de verzender matcht. Die afzender (in envelope en headers) kun je makkelijk vervalsen. Dat gebeurde Kaspersky ook een keer, toen dachten ze dat ze gehackt waren, wat niet nodig is bij dit type mailing list.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
