VS waarschuwt voor misbruik van remote beheersoftware zoals AnyDesk
De Amerikaanse overheid waarschuwt organisaties voor misbruik van remote beheersoftware zoals AnyDesk en ScreenConnect (ConnectWise Control). Via dergelijke software is het mogelijk om systemen op afstand over te nemen. Aanleiding voor de waarschuwing zijn twee Amerikaanse overheidsinstanties die slachtoffer werden van een aanval waarbij de software werd ingezet.
De aanval begon met een phishingmail waarin over een zogenaamde abonnementsverlening werd bericht. Om de verlenging "stop te zetten" moet een opgegeven telefoonnummer worden gebeld. Het gaat hier om een nummer van de aanvaller, die het slachtoffer instructies geeft om een bepaalde website te bezoeken. Deze website bevat een uitvoerbaar bestand dat wanneer uitgevoerd de remote beheersoftware downloadt.
Het gaat hier om een portable executable die zonder installatie is te gebruiken en zo geconfigureerd is waardoor de aanvaller meteen verbinding met het systeem van het slachtoffer te maken. Vervolgens krijgt het slachtoffer, dat nog steeds met de aanvaller aan de lijn is, instructies om op internetbankieren in te loggen. De aanvaller wijzigt dan het rekeningoverzicht, waardoor het lijkt alsof het slachtoffer ten onrechte een bedrag bijgeschreven heeft gekregen. De aanvaller vraagt vervolgens dit bedrag naar een opgegeven rekening over te maken.
Zeker twee niet nader genoemde Amerikaanse overheidsinstanties zijn hier slachtoffer van geworden. Volgens het Cybersecurity and Infrastructure Security Agency (CISA) en de Amerikaanse geheime dienst NSA hadden de aanvallers een financieel motief, maar bestaat het risico dat ze hun toegang aan andere partijen verkopen, zoals buitenlandse spionagegroepen.
Het CISA en de NSA willen met de waarschuwing organisaties wijzen op het malafide gebruik van legitieme remote beheersoftware. Ook moeten beheerders beseffen dat door het gebruik van portable executables zaken als beheerdersrechten en software management control policies zijn te omzeilen. Daarnaast wordt remote beheersoftware niet opgemerkt door antivirussoftware. Om dergelijke aanvallen te voorkomen geven de NSA en het CISA meerdere adviezen, waaronder het blokkeren van inkomende en uitgaande verbindingen naar bekende poorten gebruikt door remote beheersoftware.
Het argument van dat remote desktop niet opgemerkt wordt door antivirus is natuurlijk ook kul dat kan je gewoon instellen en je mag toch wel aannemen dat organisaties die uberhaubt CISA, NSA advisories volgen op zijn minst tegenwoordig endpoint protection implementeren.
En dan het poorten blokkeren really? Meeste gaat toch echt over 80, 443. Tuurlijk hebben RATs een prefered port verschillend per leverancier maar ze hebben voor reguliere connectie maar 1 poort nodig en ik zie toch echt niemand poort 80 of 443 dichtgooien tenzij het een hele stricte omgeving is. Maar dan heb je een ander probleem als er al een RAT uberhaubt gestart kan worden. Of je moet al je verkeer willen omleiden naar een andere poort maar eer je al je software ook zo ver hebt dat het dat snap ben je veel tijd kwijt als het uberhaubt al lukt.
Moet zeggen CISA komt de laatste tijd wel vaker met dit soort onzinnige adviezen voor de industrie. Erg jammer vroeger waren ze nog een goede bron voor echte implementatie maar begin me steeds meer af te vragen of ik ze maar niet uit mijn SecOps RSS feed moet gooien of op zijn minst in een lagere prio feed.
Maar dat heeft veel te weinig zin. Er staat 3x "suspicious" in, maar wat als aanvallers hun uiterste best doen om geloofwaardig in plaats van "suspicious" over te komen?
We draaien al vele jaren elke keer hetzelfde stompzinnige liedje af in de hoop dat dit plotseling wel gaat werken: forget it.
Wanneer gaan we serieus beveiligen en computergebruikers handvatten geven om nep van echt te kunnen onderscheiden - in plaats van dat we echt steeds moeilijker te onderscheiden maken van nep?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
