KPN Security deelt data over ransomware-infecties met politie en FBI
KPN Security deelt realtime data over ransomware-besmettingen met de Nederlandse politie en buitenlandse opsporingsdiensten zoals de FBI, zo laat het bedrijf zelf weten. Het gaat onder andere om data over de REvil-ransomware, waar het bedrijf in 2019 voor het eerst onderzoek naar deed.
"We kwamen erachter dat REvil bij een bepaalde configuratie statistieken verzendt naar een lange lijst met domeinnamen”, vertelt beveiligingsonderzoeker Jordi Scharloo. “Waarschijnlijk gebruikt de REvil-bende deze functie om het overzicht te behouden en voor de afdracht van commissies. In de lijst stonden allerlei websites, waarvan een deel niet eens geregistreerd was."
KPN Security registreerde deze domeinen waarop mondjesmaat informatie vanaf besmette systemen binnendruppelde. Deze informatie was alleen versleuteld. De ip-adressen waarvandaan de informatie afkomstig was maakte het echter mogelijk om REvil-infecties vroegtijdig te signaleren. Zo konden bedrijven ingrijpen voordat de ransomware geactiveerd werd.
In eerste instantie waarschuwde KPN Security zelf een aantal Nederlandse bedrijven die met de ransomware waren besmet. “Maar dat was tijdrovend en voelde een beetje als dweilen met de kraan open. Bovendien ontvingen we ook veel informatie over buitenlandse organisaties die KPN Security niet kennen. Daarom besloten we de samenwerking te zoeken met het Team High Tech Crime van de Nederlandse politie. Via hen kwamen we in contact met Europol en buitenlandse opsporingsdiensten zoals de FBI", merkt Scharloo op.
Inmiddels is er sprake van een structurele samenwerking waarbij er realtime data over REvil-besmettingen met opsporingsdiensten wordt gedeeld. "Op deze manier krijgen de diensten een beeld van de omvang van het probleem. Daarnaast kunnen ze bedrijven in een vroegtijdig stadium waarschuwen en zo de impact van een aanval beperken", stelt Scharloo. De onderzoeker is positief over de samenwerking met politie. "We horen regelmatig dat een buitenlandse opsporingsdienst met behulp van onze data een grootschalige besmetting heeft weten te voorkomen."
Lekker makkelijk, Microsoft de schuld geven, terwijl de meeste ransomeware via social engineering op PC's terecht komt.
Niet via een lek maar simpelweg fout klikgedrag.
Laten we het even bij de feiten houden. Windows is een ransomware magneet volgens onderzoek: https://www.windowscentral.com/windows-ransomware-magnet-according-new-virustotal-report
Laten we het even bij de feiten houden. Windows is een ransomware magneet volgens onderzoek: https://www.windowscentral.com/windows-ransomware-magnet-according-new-virustotal-report
En dat heeft veel meer met het Target te maken dan met het OS. Een individuele smartphone-eigenaar levert minder op dan wanneer een bedrijfsnetwerk wordt plat gelegd. Bovendien is de maatschappelijke verontwaardiging stukken minder als wanneer je veel mensen direct treft.
Samenvattend: Wat levert het meeste op met het minste gezichtsverlies.
Succes Jordi, goed werk.
Ik hoop dat het vruchten gaat opleveren.
M.v.g.
TC
Succes Jordi, goed werk.
Ik hoop dat het vruchten gaat opleveren.
M.v.g.
TC
Laten we het even bij de feiten houden. Windows is een ransomware magneet volgens onderzoek: https://www.windowscentral.com/windows-ransomware-magnet-according-new-virustotal-report
En dat heeft veel meer met het Target te maken dan met het OS. Een individuele smartphone-eigenaar levert minder op dan wanneer een bedrijfsnetwerk wordt plat gelegd. Bovendien is de maatschappelijke verontwaardiging stukken minder als wanneer je veel mensen direct treft.
Samenvattend: Wat levert het meeste op met het minste gezichtsverlies.
Nee hoor. Feit blijft staan niet je mening. Een Linux server is als target veel interessanter omdat daar de kroonjuwelen liggen (zie o.a. Maastricht ) en toch 0% ransomware incidenten.
Een Linux server is geheel niet interessant, Linux servers zijn stand-alone dus verder dan die ene server kom je niet.
Een Windows netwerk is vaak groter en ontregelt vaker de bedrijfsvoering.
Feit is dat ransomware meestal door gebruikers wordt geïntroduceerd op een netwerk van waaruit het zich kan verspreiden op plekken waar die gebruiker rechten heeft. Geeft meteen te denken dat een aanval bij Mediamarkt bijvoorbeeld veroorzaakt is door een beheerder en niet door een kassiere (om maar wat te noemen).
Ook stat vast dat ransomware op Linux meestal wel via een lek geïntroduceerd wordt, lekken met remote code execution in combinatie met verhoogde rechten. Maar dan nog is de impact van een encrypted Linux server veel kleiner.
Nee hoor. Feit blijft staan niet je mening. Een Linux server is als target veel interessanter omdat daar de kroonjuwelen liggen (zie o.a. Maastricht ) en toch 0% ransomware incidenten.
Een Linux server is geheel niet interessant, Linux servers zijn stand-alone dus verder dan die ene server kom je niet.
Een Windows netwerk is vaak groter en ontregelt vaker de bedrijfsvoering.
Feit is dat ransomware meestal door gebruikers wordt geïntroduceerd op een netwerk van waaruit het zich kan verspreiden op plekken waar die gebruiker rechten heeft. Geeft meteen te denken dat een aanval bij Mediamarkt bijvoorbeeld veroorzaakt is door een beheerder en niet door een kassiere (om maar wat te noemen).
Ook stat vast dat ransomware op Linux meestal wel via een lek geïntroduceerd wordt, lekken met remote code execution in combinatie met verhoogde rechten. Maar dan nog is de impact van een encrypted Linux server veel kleiner.
Of te wel kroonjuwelen. De hele (supply chain) monitoring draait onder Linux om die windows servers en desktops te montoren. zijn ook kroonjuwelen. Juist een windows desktop is niet interessant omdat daar geen data op staat maar veroorzaken wel 99% van de incidenten.
Nee hoor. Feit blijft staan niet je mening. Een Linux server is als target veel interessanter omdat daar de kroonjuwelen liggen (zie o.a. Maastricht ) en toch 0% ransomware incidenten.
Een Linux server is geheel niet interessant, Linux servers zijn stand-alone dus verder dan die ene server kom je niet.
Een Windows netwerk is vaak groter en ontregelt vaker de bedrijfsvoering.
Feit is dat ransomware meestal door gebruikers wordt geïntroduceerd op een netwerk van waaruit het zich kan verspreiden op plekken waar die gebruiker rechten heeft. Geeft meteen te denken dat een aanval bij Mediamarkt bijvoorbeeld veroorzaakt is door een beheerder en niet door een kassiere (om maar wat te noemen).
Ook stat vast dat ransomware op Linux meestal wel via een lek geïntroduceerd wordt, lekken met remote code execution in combinatie met verhoogde rechten. Maar dan nog is de impact van een encrypted Linux server veel kleiner.
Of te wel kroonjuwelen. De hele (supply chain) monitoring draait onder Linux om die windows servers en desktops te montoren. zijn ook kroonjuwelen. Juist een windows desktop is niet interessant omdat daar geen data op staat maar veroorzaken wel 99% van de incidenten.
Precies! Stel je voor dat de Linux servers van Google zouden worden gehackt, waarop al die gebruikersdata van Android telefoons staan. Over kroonjuwelen gesproken. Dat is natuurlijk ook waarom Microsoft zelf Linux gebruikt voor de servers waarop de gebruikersdata van Office 365, etc. staan. Ze kunnen het risico niet lopen om zelf hun eigen besturingssysteemsoftware voor lichte consumententoepassingen voor dergelijke gevoelige data te gebruiken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
