Ransomware gebruikt virtual machine om bestanden te versleutelen
Onderzoekers hebben een ransomware-exemplaar ontdekt dat bestanden van slachtoffers vanuit een speciaal geïnstalleerde Windows XP virtual machine versleutelt. Een maatregel die detectie door beveiligingssoftware moet voorkomen, zo stelt antivirusbedrijf Sophos in een analyse.
De ransomware in kwestie wordt Ragnar Locker of Ragnarok genoemd en was eerder verantwoordelijk voor aanvallen op de Portugese energiemaatschappij Energias de Portugal (EDP) en klanten van managed service providers. Onlangs probeerden aanvallers nog een zerodaylek in de firewalls van Sophos te gebruiken om Ragnar Locker te verspreiden. Daarnaast maken de aanvallers gebruik van een bekende kwetsbaarheid in Citrix om toegang tot systemen te krijgen. Ook wordt het Remote Desktop Protocol (RDP) van Windows hiervoor gebruikt.
Zodra er toegang tot een systeem is verkregen proberen de aanvallers domeinbeheerder van het gehele netwerk te worden en zo overige systemen te infecteren en te versleutelen. Bij de aanval waarover Sophos schrijft werd er een Group Policy Object voor alle systemen ingesteld om een 122MB groot installatieprogramma van virtualisatiesoftware VirtualBox en een 282MB grote Windows XP virtual machine te downloaden. Vervolgens werd vanuit de virtual machine het Ragnar Locker-bestand van 49KB geladen.
Virtual Machine
Een virtual machine wordt vaak gebruikt om een besturingssysteem los van het onderliggende besturingssysteem te draaien. Dit wordt bijvoorbeeld gedaan voor het onderzoeken van malware. De virtual machine wordt dan zo ingesteld dat het onderliggende besturingssysteem niet vanuit de virtual machine benaderbaar is. Het is echter ook mogelijk om de schijven van het onderliggende besturingssysteem in de virtual machine beschikbaar te maken. En dat is precies wat Ragnar Locker doet.
Alle lokale schijven, externe schijven en gekoppelde netwerkschijven die voor de fysieke machine benaderbaar zijn worden toegankelijk gemaakt binnen de virtual machine. Naast het koppelen van alle beschikbare schijven probeert Ragnar Locker ook aanwezige antivirussoftware uit te schakelen en verwijdert aanwezige schaduwkopieën, zodat slachtoffers niet eenvoudig de versleutelde data kunnen herstellen. Uiteindelijk wordt vanuit de virtual machine de ransomware gestart die op alle toegankelijke schijven de bestanden versleutelt en een bericht achterlaat dat er moet worden betaald voor het ontsleutelen van de data.
Reden voor deze werkwijze is het ontlopen van de aanwezige beveiligingssoftware. "Aangezien de ransomware binnen de virtual guest machine wordt geladen, kunnen diens processen ongestoord draaien, aangezien ze niet toegankelijk zijn voor beveiligingssoftware op de fysieke computer. De data die op schijven van en via de fysieke machine toegankelijk is wordt aangevallen door de legitieme VirtualBox-software", stelt onderzoeker Mark Loman.
Als voorkomen wordt dat ze dit niet kunnen worden, komen ze niet zover....
Maar het is wel iets om mee te nemen als veiligheidsmaatregel.
Maar het is wel iets om mee te nemen als veiligheidsmaatregel.
Eigenlijk zouden alle "features" unless needed uitgeschakeld moeten zijn, maarja dan balanceer je op het koordje van gebruiksvriendelijkheid en beveiliging. Zoals gewoonlijk. En daar val je, links of rechts, makkelijk van af.
Als voorkomen wordt dat ze dit niet kunnen worden, komen ze niet zover....
Inderdaad is de wijze hoe er daarna schade aangericht wordt nog een andere stap.
Virtualisatie wordt vaak gebruikt met het idee dat dan alles wel veilig is en dat men niet meer hoeft nat te denken of op te letten.
Verder wel een slim idee dat ze het zo gedaan hebben.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
