Microsoft wijst organisaties op ransomware die via bruteforce-aanvallen binnenkomt
Organisaties die gebruikmaken van systeembeheerservers om computers te beheren en software uit te rollen moeten deze machines goed beschermen, anders lopen ze risico om slachtoffer van een ransomware-aanval te worden. Zo laat Microsoft weten, dat organisaties via Twitter op de Java-gebaseerde ransomware PonyFinal wijst. Aanvallers achter deze ransomware maken gebruik van bruteforce-aanvallen op systeembeheerservers om binnen te komen. Hoewel Java-gebaseerde ransomware niet zoveel voorkomt als andere bestandstypes, is het volgens het techbedrijf belangrijker voor organisaties om naar de gebruikte aanvalsmethode te kijken.
PonyFinal is één van de ransomware-exemplaren die bij zogeheten "human operated" aanvallen wordt ingezet. Bij dergelijke aanvallen gaan aanvallers gericht te werk en voeren zelf een groot deel van de vereiste stappen uit. Aanvallers kunnen zo veel nauwkeuriger het netwerk van een organisatie in kaart brengen en meer systemen versleutelen. De schade van deze aanvallen is dan ook veel groter dan van volautomatische aanvallen.
De aanvallers achter de PonyFinal-ransomware richten zich specifiek op de servers waarmee organisaties hun it-omgeving (laten) beheren. Via bruteforce-aanvallen wordt geprobeerd om toegang te krijgen. Zodra dit de aanvallers is gelukt stelen ze eerst allerlei data van systemen en installeren vervolgens de ransomware.
PonyFinal is Java-gebaseerd, wat inhoudt dat Java op de te versleutelen systemen aanwezig moet zijn. Microsoft is bekend met verschillende gevallen waarbij de aanvallers eerst Java op de aangevallen systemen installeerden voordat de ransomware werd uitgerold. In de meeste gevallen maken de aanvallers gebruik van informatie van de systeembeheerserver om alleen computers aan te vallen waarvan ze weten dat Java al aanwezig is.
Het techbedrijf stelt verder dat de aanvallers op het juiste moment wachten om hun ransomware uit te rollen. Vaak is dit in het weekend of op feestdagen, wanneer it-personeel niet aanwezig is. Om aanvallen door de groep te voorkomen krijgen organisaties onder andere het advies om multifactorauthenticatie toe te passen.
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
Ze komen niet verder dan een advies om multifactorauthenticatie in te stellen, maar waarom is dat eigenlijk geen defaultinstelling op beheersystemen?
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
als dit de default zou zijn. Dan zie je straks een voortdurende stroom van inlogpogingen op Administrator met als
gevolg dat die overal gelocked wordt. En dan krijg je weer die ridicule adviezen zoals "je moet een andere naam voor
je beheer account gebruiken".
default settings zijn, je zult een 2e factor moeten configureren en uitrollen voor je dit in gebruik kunt nemen.
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
Ze komen niet verder dan een advies om multifactorauthenticatie in te stellen, maar waarom is dat eigenlijk geen defaultinstelling op beheersystemen?
Nog kwalijker: de informatieveiligheid negeren want met set up enter enter hoef je er zelf niet meer naar te kijken.
De adviezen hierboven zijn gericht aan beheerders management in organisatie. Dat eigen beheer blijft een eigen verantwoordelijkheid.
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
als dit de default zou zijn. Dan zie je straks een voortdurende stroom van inlogpogingen op Administrator met als
gevolg dat die overal gelocked wordt. En dan krijg je weer die ridicule adviezen zoals "je moet een andere naam voor
je beheer account gebruiken".
default settings zijn, je zult een 2e factor moeten configureren en uitrollen voor je dit in gebruik kunt nemen.
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
Ze komen niet verder dan een advies om multifactorauthenticatie in te stellen, maar waarom is dat eigenlijk geen defaultinstelling op beheersystemen?
Nog kwalijker: de informatieveiligheid negeren want met set up enter enter hoef je er zelf niet meer naar te kijken.
De adviezen hierboven zijn gericht aan beheerders management in organisatie. Dat eigen beheer blijft een eigen verantwoordelijkheid.
Misschien kan de redactie zijn getroll eens verwijderen ipv deze reactie?
Weer een hoop bla bla, maar je laat weer zien, dat je geen kennis hiervan hebt.
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
als dit de default zou zijn. Dan zie je straks een voortdurende stroom van inlogpogingen op Administrator met als
gevolg dat die overal gelocked wordt. En dan krijg je weer die ridicule adviezen zoals "je moet een andere naam voor
je beheer account gebruiken".
Weer een hoop bla bla, maar je laat weer zien, dat je geen kennis hiervan hebt.
Waarom maakt Microsoft geen software die na 5 (default) inlogpogingen het IP een ban geeft voor 10 min (default) door de windows defender firewall dynamisch aan te passen.
als dit de default zou zijn. Dan zie je straks een voortdurende stroom van inlogpogingen op Administrator met als
gevolg dat die overal gelocked wordt. En dan krijg je weer die ridicule adviezen zoals "je moet een andere naam voor
je beheer account gebruiken".
Wat ik aandroeg zit niet in windows en is geen account lock!
Als er iets met een endpoint is moet je het endpoint aanpakken en niet het target van het endpoint. Zal wel typische Microsoft logica zijn omdat jij ook direct over het locken van een account begint. Ja dat week ik dat zit er al jaren in zodat de echte beheerder er niet meer bij kan. Als de attacker overspringt naar een ander IP moet je ook die een tijdje bannen. Ook logisch.
Naam wachtwoord via console en geen toegang via het netwerk zonder 2FA dat is het begin dat snap jij toch ook wel?
Je kan ook eenvoudig een SSH key met passphrase gebruiken (is ook 2FA) voor een initiële uitrol.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
