Ransomware omzeilt antivirus door pc in veilige modus te starten
Onderzoekers hebben een ransomware-exemplaar ontdekt dat antivirussoftware probeert te omzeilen door Windowscomputers in de veilige modus te starten. In de veilige modus is de meeste beveiligingssoftware namelijk niet actief, waardoor de ransomware ongehinderd bestanden op de computer kan versleutelen. Snatch, zoals de ransomware door antivirusbedrijf Sophos wordt genoemd, maakt voor zichzelf een service aan die in de veilige modus wordt geladen.
Vervolgens wordt de computer van het slachtoffer in de veilige modus herstart en de ransomware geladen. De criminelen achter de Snatch-ransomware zoeken naar kwetsbare, toegankelijke services. Het gaat dan bijvoorbeeld om systemen die via het Remote Desktopprotocol (RDP), TeamViewer en VNC toegankelijk zijn. Sophos is bekend met een incident waarbij de aanvallers via een bruteforce-aanval het beheerdersaccount van een Microsoft Azure-server wisten te achterhalen. Vervolgens werd er via RDP op de server ingelogd.
Vanaf de Azure-server gebruikten de aanvallers het beheerdersaccount om op een domeincontrollermachine op hetzelfde netwerk in te loggen. Gedurende een aantal weken werd het netwerk van het slachtoffer verkend, waarna geprobeerd werd de ransomware te installeren. Het Amerikaanse securitybedrijf Coveware, dat voor bedrijven met cybercriminelen onderhandelt over het losgeld en ontsleutelen van bestanden, heeft tussen juli en oktober voor twaalf klanten met de criminelen achter de Snatch-ransomware onderhandeld.
Om infecties door de ransomware te voorkomen adviseert Sophos om RDP-toegang niet voor heel het internet toegankelijk te maken. Organisaties die remote toegang willen bieden moeten dit via een VPN doen. Verder wordt het gebruikt van multifactorauthenticatie voor gebruikers met beheerdersrechten aangeraden. Tevens doen organisaties er verstandig aan om al hun machines te monitoren. De meeste infecties en aanvallen vonden plaats via onbeschermde en niet gemonitorde systemen.
Er is blijkbaar niet goed nagedacht bij het kiezen van de naam "veilige modus".
Maar dat doet elke beheerder toch allang?
Maar dat doen ze toch allang?
Maar merk op dat het advies twee keer is "doe extra werk". En jij vindt het volstrekt normaal dat iedereen dat toch wel zal doen. Wat twee keer best raar is, aangezien "automatisering" ons nu juist minder werk op zou moeten leveren. Dan dringt zich toch een donkerbruin vermoeden op dat we iets niet helemaal goed doen.
Nee in safe mode staat de agent waarschijnlijk uit of op inactief, dan heb je als het goed is ook geen netwerk verbinding dus monitoren gaat dan ook niet. Veilige modes had Microsoft beter basis mode kunnen noemen.
Er is blijkbaar niet goed nagedacht bij het kiezen van de naam "veilige modus".
In Windows NT heette deze "VGA mode". In Windows '95 heeft men dit veilige modus genoemd.
Noot: er was toen nog niet eens internet explorer, die kwam pas een jaar later met OSR 1.
Ik kan me wel voorstellen dat het management twee cursussen per jaar duur genoeg vindt en dagelijks blogjes lezen niet als werk ziet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
