Avast, een ontwikkelaar van antivirussoftware, heeft maar liefst 28 extensies voor Google Chrome en Microsoft Edge ontdekt waar malware in zit. Deze malware is in staat om persoonlijke data te stelen én om je internetverkeer naar malafide adverteerders en phishingwebsites te sturen.
Het gaat voornamelijk om extensies voor sociale media zoals Facebook en Instagram, extensies die bij elkaar overigens zo’n drie miljoen keer zijn gedownload.
De malafide browserextensies zijn in staat om internetverkeer door te sluizen naar partijen met slechte bedoelingen. Dat kan gaan om doorverwijzingen naar irritante advertenties, maar de malware kan je ook doorsluizen naar phishingsites. In die gevallen zit er óók nog een financieel risico aan.
De Avast-onderzoekers hebben daarnaast ontdekt dat de malware in staat is om persoonlijke gegevens zoals geboortedata en mailadressen te stelen. Informatie waar kwaadwillenden wellicht misbruik van kunnen maken.
Tot slot is sommige malware in staat gebleken om aanvullende malware op jouw computer te installeren.
Voornamelijk extensies die met sociale media te maken hebben
Het gaat volgens Avast vooral om extensies die je ervaring met sociale media- en videowebsites moeten verrijken. Zo gaat het bijvoorbeeld om een add-on waarmee je Instagram Stories kunt downloaden, maar de malware is ook aangetroffen in extensies waarmee je filmpjes van Facebook lokaal kunt opslaan.
Getroffen gebruikers hebben opgemerkt dat de extensies resulteren in afwijkend internetgedrag: elke klik geeft een signaal aan de server waar degenen achter de malware toegang toe hebben, en vanaf deze server wordt dan een opdracht verstuurd om je naar een andere – kwaadaardige – url te verwijzen in plaats van naar de pagina die je eigenlijk dacht te bezoeken.
Alle kliks worden bovendien gelogd, en per klik geef je dus informatie weg over je surfgedrag.
Maar ook toestelinformatie wordt opgeslagen, net als informatie over welke browser je gebruikt, en zelfs je IP-adres is niet veilig.
Wat is het doel van deze malware?
Volgens Avast is het de ontwikkelaars van deze malafide browserextensies in beginsel maar om één ding te doen: geld.
Algemeen wordt aangenomen dat elke verwijzing naar een extern domein – in de meeste gevallen dus advertenties en in een aantal gevallen regelrecht gevaarlijke, malafide websites met phishinggerelateerde doeleinden – de ontwikkelaars van de extensies geld oplevert.
Avast denkt dat de malware in een aantal gevallen bewust aan de extensie is toegevoegd voordat de extensie beschikbaar is gemaakt.
In andere gevallen zou het kunnen dat de ontwikkelaars hebben gewacht tot de extensie door een representatieve, omvangrijke groep gebruikers is geïnstalleerd, waarna de malware in een update is verwerkt.
Ook zou het kunnen dat de oorspronkelijke ontwikkelaars de extensies van de hand hebben gedaan aan kwaadwillenden.
Het valt op dat het om geavanceerde malware gaat.
Er zijn aanwijzingen dat een aantal van deze extensies al in december 2018 te vinden waren in de Chrome Web Store.
De zogenaamde ‘achterdeurtjes’ – waar mensen met kennis van zaken toegang kunnen krijgen tot de code, simpel gezegd – zijn volgens de onderzoekers goed verborgen.
Ook begint de malware pas een paar dagen na de installatie met afwijkend gedrag, waardoor ze in eerste instantie door de viruscontrole glippen.
Ook heeft de malware de eigenschap om zichzelf te kunnen ‘verstoppen’: wordt bijvoorbeeld opgemerkt dat iemand een malafide domein opzoekt waar de malware naar verwijst, dan wordt de activiteit tijdelijk gestaakt om geen alarmbellen te doen rinkelen.
De app is op basis van jouw internetgedrag in staat om te zien wat je technische kennis en vaardigheden op het gebied van webdevelopment zijn: wordt aangenomen dat je goed op de hoogte bent van cybersecurity, dan doet de malware niks omdat de ontwikkelaars liever niet hebben dat iemand met verstand van zaken gaat rondneuzen.
Om welke extensies gaat het precies?
Het gaat voornamelijk om extensies die te maken hebben met grote sociale mediakanalen en -platformen. Bij elkaar zijn ze zo’n drie miljoen keer gedownload en belangrijker nog, op het moment van schrijven kun je de extensies nog altijd downloaden.
Avast heeft de bevindingen gedeeld met Google en Microsoft; beide bedrijven bevestigen dat ze ermee aan de slag gaan.
In de tussentijd raadt Avast aan om de malafide extensies te verwijderen en de virusscanner even grondig op malware te laten zoeken. Wordt er wat aangetroffen, dan kun je dat door je virusscanner laten verwijderen.
Dit zijn de extensies waar het om gaat. Via Avast kun je de exacte links naar de betreffende extensies in de Store(s) achterhalen. Heb je één (of meerdere) van deze extensies geïnstalleerd? Dan weet je dus wat je te doen staat.:
App Phone for Instagram (zowel voor Chrome als Edge)
DM for Instagram
Direct Message for Instagram (zowel voor Chrome als Edge)
Downloader for Instagram
Instagram App with Direct Message DM
Instagram Download Video & Image
Invisible mode for Instagram Direct Message
Odnoklassniki UnBlock. Works quickly.
Pretty Kitty, The Cat Pet
SoundCloud Music Downloader
Spotify Music Downloader
Stories for Instagram (zowel voor Chrome als Edge)
The New York Times News
Universal Video Downloader (zowel voor Chrome als Edge)
Upload photo to Instagram™ (zowel voor Chrome als Edge)
VK UnBlock. Works fast.
Video Downloader for FaceBook™ (zowel voor Chrome als Edge)
Video Downloader for YouTube
Vimeo™ Video Downloader (zowel voor Chrome als Edge)
Cybercriminelen spelen in op de angst, onzekerheid en twijfel rond de Corona pandemie om er financieel beter van te worden. We zetten enkele van de huidige cybercrime trends en mogelijke maatregelen om de nieuwste tactieken aan te pakken op een rij.
De toename van COVID-19-gerelateerde domeinen sinds januari is op zich al een bewijs van de mogelijke toename van criminele activiteiten. Dit, in combinatie met de groeiende onzekerheid en de wijdverbreide paniek, creëert de perfecte omgeving voor criminelen om kwetsbare doelwitten uit te buiten.
Escalerende phishing-zwendel
Er is een aanzienlijke toename van phishing-zwendel. Burgers worden gemanipuleerd om via e-mails en sms’jes op kwaadaardige links te klikken die informatie over COVID-19, niet-bestaande vaccins, handreinigers en maskers aanbieden, en worden vervolgens overgehaald om persoonlijke gegevens te overhandigen.
Identiteitsdiefstal
Dit leidt natuurlijk tot identiteitsdiefstal en de toegang tot en het in gevaar brengen van bankrekeningen. Deze e-mails bevatten ook vaak documenten, ingebed in malware die toegang kan krijgen tot bestanden, toetsaanslagen van gebruikers kan controleren en, erger nog, uw hele harde schijf kan versleutelen.
Criminelen slagen er ook in om de website-domeinen van geloofwaardige instellingen zoals de Wereldgezondheidsorganisatie of overheidsdepartementen te vervalsen en de ontvangers van phishing mail zo te overtuigen van de authenticiteit van de COVID-19-gerelateerde inhoud van de e-mail.
Te mooi om waar te zijn
Kortom, als er een gevoel van urgentie is of een “te mooi om waar te zijn”, dan is het waarschijnlijk een hackpoging. Neem de tijd om verzenders en websites te authenticeren, klik niet op verdachte links en verwijder onmiddellijk alle e-mails of sms’jes die ongewoon lijken.
Pas op voor real-time coronavirusinfo
Een van de meest productieve, kwaadaardige apps die de rondes doen, is beweren dat ze real-time coronavirusinfo geven, inclusief statistieken en heat maps. De app bevat echter, onbewust van de gebruiker, geavanceerde malware die nu “CovidLock” wordt genoemd.
Dit omvat een schermvergrendelingsaanval, waarbij gebruikers de toegang tot hun telefoon wordt ontzegd door middel van het vragen van een wachtwoordwijziging. Zodra hackers de volledige controle hebben, worden slachtoffers gevraagd om binnen 48 uur $100 in Bitcoin te betalen voor het verkrijgen van een ontcijferingscode om hun telefoons te ontgrendelen.
Het risico van videovergaderingen
Met de toename van het aantal videovergaderingen op afstand worden hackers zeker creatief.
Als ze zich daar niet aan houden, dreigen ze hun foto’s, contacten en gegevens te laten verwijderen of hun social media-accounts te laten blootleggen.
De beste manier om dit te voorkomen, is om geen apps van onbekende derden te vertrouwen, maar om gekeurde applicaties te downloaden van officiële platforms zoals Google Play of Apple Store.
Misleiden van thuiswerkers
Door de Corona crisis werken veel mensen thuis. Veel van deze thuiswerkers hebben amper verstand van techniek. Ze zijn daardoor bijzonder kwetsbaar. Dat biedt natuurlijk ruime mogelijkheden voor cybercriminelen om daarvan te profiteren.
Een aantal werknemers heeft mails ontvangen (schijnbaar van werkgevers) met valse links naar cloud-opslagplaatsen of e-mailplatforms van het bedrijf, waar hackers gemakkelijk logingegevens kunnen verkrijgen en toegang hebben tot vertrouwelijke bedrijfsinformatie.
Valse bedrijfsinkooporders en facturen
Criminelen creëren ook valse bedrijfsinkooporders en facturen voor ontsmettingsmiddelen of andere benodigdheden, waardoor werknemers worden opgelicht om geld over te maken naar frauduleuze rekeningen.
Bovendien zijn de bedrijfsservers, met zoveel werknemers die vanuit huis toegang hebben tot (vaak onbeveiligde) virtuele privénetwerken, ook vatbaarder voor crypto-malware. Hier versleutelen hackers servers en eisen ze Bitcoin in ruil voor toegang.
Het is ook logisch dat, met de toename van het aantal videovergaderingen op afstand, hackers zeker creatief worden.
Zoombombing
“Zoombombing” komt steeds vaker voor, waarbij hackers “gate-crashende” zoomvergaderingen houden, de controle over de schermen overnemen en pornografische of gewelddadige beelden laten zien. Niet alleen overheidsdiensten en bedrijven zijn kwetsbaar voor deze specifieke tactieken, ze lopen ook het risico dat vertrouwelijke informatie in verkeerde handen valt.
Zorg ervoor dat u geen koppelingen naar vergaderingen, PIN-codes of schermafbeeldingen deelt (met iemand anders dan de deelnemers aan de vergadering) en zeker niet op sociale media; zorg er altijd voor dat er een sterk wachtwoord nodig is om deel te nemen; stel wachtruimtes in om de aanwezigheid te controleren; en zorg ervoor dat alleen de hosts hun schermen kunnen delen.
Ontwikkel passende beveiligingsmaatregelen en protocollen voor werken op afstand
De kwetsbaarheden spreken ook de noodzaak uit voor bedrijven om passende beveiligingsmaatregelen en protocollen voor werken op afstand te ontwikkelen.
Uiteindelijk profiteren cybercriminelen ten volle van de heersende angst, onzekerheid en twijfel. Helaas vechten we niet alleen tegen een verwoestend wereldwijd virus dat het leven van miljarden mensen beïnvloedt, maar ook tegen criminele individuen die financieel voordeel willen behalen.
Neem geen risico
Neem geen risico tijdens de Corona crisis. Wees uiterst kritisch op alles wat u ontvangt rond COVID-19 en raadpleeg de officiële kanalen voor actuele en accurate informatie.
Hackers hebben met behulp van ransomware een computernetwerk platgelegd dat gebruikt wordt door elf ziekenhuizen en vier bejaardentehuizen in de Duitse deelstaten Rijnland-Palts en Saarland. In de getroffen ziekenhuizen moesten artsen uit nood met pen en papier werken om hun medische diagnose vast te leggen en recepten te kunnen schrijven.
De hackers troffen onder meer medische klinieken in Worms, Mainz, Alzey en Bad Kreuznach met de ransomware-aanval.
De aangevallen ziekenhuizen behoren tot het Duitse Rode Kruis (DRK).
De ransomware heeft servers en databases versleuteld. Volgens het magazine Spiegel Online, kon het medisch personeel niet langer toegang krijgen tot de gegevens omdat die versleuteld bleken door de ransomware.
Tijdens de aanval moesten het medisch personeel en de administratie met potlood, balpen en papier opnames van patiënten en laboratoriumbevindingen opschrijven.
De zorg voor de patiënten zou echter niet in gevaar zijn geweest, medische hulpmiddelen niet aangetast en er zijn tot nu toe geen aanwijzingen dat er vertrouwelijke informatie is gestolen.
De hack werd zondagochtend opgemerkt. Het encryptieproces kon pas op zondagmiddag worden gestopt. Het Staatscentrum voor Cybercrime bij het Openbaar Ministerie in Koblenz deed onderzoek.
De zwakke plek in het netwerk waardoor hackers met hun ransomware konden infiltreren is nu geïdentificeerd. Volgens de regionale publieke omroep SWR, worden de betrokken computers inmiddels geleidelijk weer op het netwerk aangesloten.
Het beveiligingsbedrijf Check Point waarschuwt voor denieuwe Android-malware Agent Smith die wereldwijd al zo’n 25 miljoen smartphones zou hebben besmet. Hoe groot is het risico voor Nederlandse smartphones?
Het virus vervangt ongemerkt geïnstalleerde apps door geïnfecteerde dubbelgangers die reclame verspreiden. Volgens Check Point heeft Agent Smith ook de mogelijkheid om bankgegevens, wachtwoorden en andere gevoelige informatie te bespioneren.
Check Point gaf de malware de naam Agent Smith omdat het overeenkomsten ziet met de agent met dezelfde naam in de Matrix films.
Maar in de media werd het al snel een “whatsapp-virus”, omdat het ook de populaire chatapp kan vervangen.
Ongeveer 60 procent van de getroffen gebruikers woont in India, Pakistan, Bangladesh en andere Aziatische landen. Maar volgens Check Point neemt het aantal besmette Android smartphones in Westerse landen als VS, Australië, Groot-Brittannië, Duitsland en Hongarije inmiddels ook snel toe.
Agent Smith is geen virus
De dreiging lijkt groot, maar Nederlandse gebruikers hoeven zich niet echt zorgen te maken als ze zich niet onzorgvuldig gedragen.
Agent Smith is namelijk geen virus. Om deze naam te verdienen, zou het een programma moeten zijn dat zichzelf kan repliceren en andere apparaten kan infecteren. Er zijn echter nog geen Android- of iOS-virussen.
Agent Smith is een Trojaan. Dit is een kwaadaardig programma dat een echte applicatie simuleert maar zichzelf niet kan verspreiden.
Het verschil is belangrijk. Omdat het betekent dat gebruikers de kwaadaardige app zelf moeten installeren. In Nederland kan dat meestal alleen als cybercriminelen de malware in de Google Play Store hebben weten te sluizen.
Ze moeten Google’s veiligheidsmaatregelen weten te omzeilen. Dit is niet onmogelijk. Het gebeurt regelmatig. Maar meestal vallen kwaadaardige apps in de Play Store vrij snel op als ze vaker worden geïnstalleerd en zo in de schijnwerpers komen te staan.
Volgens Check Point hebben de mensen achter Agent Smith tot nu toe vrijwel uitsluitend gebruik gemaakt van de Chinese App Store apps om hun malware te distribueren.
In deze apps vonden de veiligheidsonderzoekers de code van Agent Smith.
Check Point heeft echter elf toepassingen in de Westerse Play Stores ontdekt die malwarecode van Agent Smith bevatten. Maar de trojan is nog steeds inactief, schrijven de veiligheidsonderzoekers. Ze concluderen dat de hackers hun malware via de Play Store proberen te verspreiden. Maar dit zal nu niet meer zo eenvoudig zijn.
Check Point heeft de geïnfecteerde apps gemeld en Google is gewaarschuwd. Nederlandse gebruikers die uitsluitend apps installeren vanuit de Play Store hebben op dit moment absoluut niets te vrezen. Zeker als ze hun handen van dubieuze toepassingen afhouden.
Verreweg de meest geïnstalleerde “Agent Smith” app was de “Girl Cloth Xray Scan Simulator”. Een toepassing die doet alsof hij met behulp van röntgenstralen door de kleding van meisjes kijkt.
Het Team High Tech Crime van de Landelijke Eenheid van de politie heeft een 20-jarige man uit Utrecht aangehouden op verdenking van het maken en verhandelen van malware.
De man zou malwareprogramma’s met de namen Rubella, Cetan en Dryad gemaakt en verspreid hebben.
Met de malware kan kwaadwillende code worden toegevoegd aan Word- en Excelbestanden. Als deze bestanden door slachtoffers worden geopend wordt er op de achtergrond nog meer malware gedownload en geïnstalleerd op de computer.
De verdachte werd volgens de politie recent aangehouden. De arrestatie kon nu pas bekend worden gemaakt wegens een eerder lopend onderzoek.
Cryptomunten
De software werd soms verkocht voor enkele duizenden euro’s, aldus de politie. Bij de verdachte zijn cryptomunten ter waarde van 20.000 euro in beslag genomen.
Ook zijn bij de man gegevens van tientallen creditcards aangetroffen. Daarnaast had hij handleidingen waarin een vorm van creditcardfraude werd beschreven.
Japan blijkt een minister voor cybersecurity te hebben die nog nooit met een computer heeft gewerkt. De Japanse minister Yoshitaka Sakurada heeft geen idee wat een USB-poort is en weet ook niet wat malware is.
De minister gaf dat woensdag, een maand na zijn aanstelling, toe tijdens een debat in het Japanse parlement.
De minister reageerde verward toen hem werd gevraagd of er USB-sticks worden gebruikt bij Japanse nucleaire energiecentrales. Daarnaast begreep hij ook niet precies wat er met malware werd bedoeld.
“Ik heb sinds mijn 25e levensjaar personeel geïnstrueerd”, aldus Sakurada. “Daarom heb ik geen computers gebruikt.”
Oppositieleden waren kritisch op de uitspraken van de minister. “Het is ongelooflijk dat iemand die geen computer heeft aangeraakt verantwoordelijk is voor onze cyberveiligheid”, aldus Masato Imai van de Japanse Democratische Partij.
Premier Wim Kok wist ook niets van computers
Sakurada is overigens niet de eerste hooggeplaatste politicus die niets weet van moderne techniek. Wijlen premier Wim Kok wist ook niets van computers. Hij had geen idee wat hij moest doen met een computermuis.
Kleine en middelgrote bedrijven hebben grote moeite om goed opgeleide privacydeskundigen aan te stellen. Er is grote concurrentie op de vacaturemarkt voor deze mensen. Het MKB delft vaak het onderspit tegen grote bedrijven.
De vraag naar interne en externe privacyspecialisten is volgens Duits en Amerikaans onderzoek booming vanwege de Algemene Verordening Gegevensbescherming (AVG) en het toenemende risico van cyberaanvallen.
De cyberrisico’s worden steeds groter. De impact van malware als WannaCry en het verstrekkende UEFI-virus Lojax zet managers aan het denken. “Stel dat onze organisatie wordt getroffen door zo’n virus, wat betekent dat dan voor ons? Hoe kunnen wij ons beter beveiligen?”
Dit komt duidelijk tot uiting in de groei van de markt voor IT-beveiligingsproducten en -diensten in het zakelijke klantensegment (B2B). De markt voor IT-beveiligingsdiensten groeit komend jaar naar verwachting met bijna 23 procent. In 2020 neemt volgens het Duitse onderzoek het huidige volume met meer dan 15 procent toe van ruim 5,7 miljard euro tot bijna 6,6 miljard euro.
De uitgaven voor IT-beveiligingsdiensten zullen nog sterker stijgen, met bijna 23 procent, van ruim 3,1 miljard euro naar ruim 3,8 miljard euro.
IT-beveiligingsmanagers kampten tot dusver heel vaak met het dillemma hoe ze investeringen in beveiliging moesten verantwoorden tegenover de Chief Financial Officer (CFO), aan wie zij vaak ondergeschikt zijn. Tegenwoordig kunnen zij wel rekenen op steun en budget.
De winstgevendheid van IT-beveiligingsmaatregelen is niet zo gemakkelijk te bewijzen als die van andere technologische investeringen. Maar de dreigende AVG-boetes en het dagelijkse nieuws over datalekken, cybercriminaliteit en de gevolgen daarvan hebben veel CFO’s en commerciële directeuren er nu van overtuigd dat er voldoende middelen beschikbaar moeten worden gesteld om de organisatie te beschermen.
Er is behoefte aan deskundig personeel dat er voor zorgt dat de technische en organisatorische maatregelen die de organisatie vanwege de Algemene Verordening Gegevensbescherming en de cyberrisico’s heeft genomen ook dagelijks gemanaged worden. Er zijn specialisten nodig die actueel veiligheidsbeleid ontwikkelen en de organisatie alert houden. Er duiken dagelijks nieuwe bedreigingen op.
KnowBe4 heeft de top 10 van phishing e-mail onderwerpregels bekend gemaakt waar in het derde kwartaal van 2018 het meest op is geklikt. KnowBe4 is een Amerikaans bedrijf dat wereldwijd privacy awareness trainingen verzorgt en trainingstools aanbiedt.
Een van de tools die KnowBe4 aanbiedt is een phishingtest waarbij bedrijven een fake phishingmail naar hun medewerkers kunnen laten sturen. Zo kunnen ze in de praktijk testen of medewerkers iets hebben opgestoken van een AVG privacy awareness training.
Social engineering
Cybercriminelen maken gebruik van social engineering. Ze passen psychologische manipulatieve trucs toe om hun slachtoffers in een phishingval te laten trappen.
Volgens Kwow2Be spelen cybercriminelen de laatste tijd bij phishingmail overduidelijk in op de angst bij gebruikers om gehackt te worden. Mensen zijn sneller geneigd te reageren op een oproep om een wachtwoord te wijzigen.
Nieuwsgierigheid is een risico
Daarnaast wordt ook ingespeeld op nieuwsgierigheid naar een nieuwe voicemail of online bestelling. “Cybercriminelen profiteren van de wens van een individu om bewust of goed geïnformeerd te blijven op het gebied van veiligheid door met zijn psyche te spelen”, zegt Perry Carpenter, Chief Evangelist en strategisch medewerker bij KnowBe4.
“Ze doen dit door iemand te laten geloven dat hij of zij risico’s loopt of dat iets onmiddellijk aandacht nodig heeft. Dit type aanval is effectief omdat het ervoor zorgt dat een persoon snel reageert voordat hij of zij logischerwijs nadenkt over de legitimiteit van de e-mail. Het wordt steeds moeilijker om het voortdurende probleem van social engineering te overwinnen, omdat aanvallers menselijke emoties zoals angst en nieuwsgierigheid opwekken.”
Gesimuleerde phishingtests
In het derde kwartaal van 2018 onderzocht KnowBe4 tienduizenden e-mailonderwerpen uit gesimuleerde phishingtests om uit te vinden wat een gebruiker erop doet klikken.
Het bedrijf heeft ook onderzoek gedaan naar de werkelijke onderwerpregels die aantonen dat de e-mails die gebruikers ontvangen en aan hun IT-afdelingen melden verdacht zijn.
Top 10 meest geklikte phishing e-mail onderwerp regels wereldwijd voor Q3 2018:
Coinbase: uw Crypto Valuta portemonnee: het veranderen van Two-Factor Authenticatie
Tijd voor professioneel privacybeleid?
PrivacyZone is gespecialiseerd in privacymanagement en privacymarketing. Wij ondersteunen bij DPIA’s, algemene voorwaarden, verwerkersovereenkomsten, privacy- en cookiebeleid, actieplannen en praktijkgerichte awareness trainingen. Meer weten? Neem contact met ons op via info@privacyzone.nl of bel 06-31995740.
Vanwege alle berichten over cyberspionage en hacks door Rusland, China en Noord-Korea waren we bijna vergeten dat Edward Snowden in 2013 onthulde dat de Amerikaanse spionagedienst NSA hetzelfde doet. De malware DarkPulsar die Snowden destijds onthulde is opnieuw opgedoken.
Malware in Rusland, Iran en Egypte
Onderzoekers van het beveiligingsbedrijf Kaspersky Lab hebben malware ontdekt die wordt gelinkt aan de Amerikaanse inlichtingendienst NSA in computersystemen in Rusland, Iran en Egypte.
Malware bij telecommunicatie, kernreactoren en ruimtevaart
De malware werd gevonden op computers die gebruikt werden door organisaties die zich bezighouden met onder meer kernenergie, telecommunicatie en ruimtevaart, meldt Kaspersky Lab.
Malafide software
In totaal identificeerde Kaspersky Lab vijftig slachtoffers, maar de onderzoekers vermoeden dat veel meer organisaties door de malafide software zijn getroffen.
Met de malware, genaamd DarkPulsar, is het mogelijk om het authenticatieproces op de computer te omzeilen. Een gebruikersnaam of wachtwoord wordt dankzij de malware altijd als een correcte combinatie aangezien, waardoor de malware toegang tot beveiligde bestanden verleent.
Malware met zelfvernietigingsfunctie
Verder bevat de malware een zelfvernietingsfunctie, waarmee verspreiders hun sporen kunnen uitwissen. De onderzoekers van Kaspersky Lab spreken geen vermoedens uit over de dader achter de infecties in Rusland, Iran en Egypte.
Malware DarkPulsar origineel afkomstig van NSA
De basis voor de DarkPulsar-malware werd in april 2017 openbaar gemaakt door het hackerscollectief dat The Shadow Brokers wordt genoemd.
De groep heeft meerdere keren vermeende spionagesoftware van de NSA gepubliceerd.
DarkPulsar is krachtig platform voor cyberspionage
Kaspersky Lab noemt de basis voor DarkPulsar, die bestaat uit twee delen, een “erg krachtig platform voor cyberspionage”. Volgens de onderzoekers is het waarschijnlijk dat de doelwitten slachtoffer waren van een langdurige spionageactie.
Gijzelsoftware WannaCry en NotPetya
Onder de lekken van begin 2017 bevond zich ook een kwetsbaarheid die later werd gebruikt om aanvallen met gijzelsoftware uit te voeren. De aanvallen WannaCry en NotPetya zorgden in 2017 wereldwijd voor slachtoffers.
39 procent van de grote Nederlandse bedrijven was volgens het Centraal Bureau voor de Statistiek (CBS) in 2016 slachtoffer van een cyberaanval. Het betreft dan bedrijven met meer dan 250 medewerkers.
Onder een cyberaanval valt onder meer een DDoS-aanval, waarbij een server wordt bestookt met enorme hoeveelheden dataverkeer.
Gijzelsoftware
Ook gijzelsoftware (malafide software die bestanden versleutelt en losgeld eist) en phishing (pogingen om via e-mail inloggegevens of andere informatie te verkrijgen) worden tot dit soort incidenten gerekend.
Bij ongeveer een kwart (24 procent) van de cyberaanvallen van buitenaf werden gegevens vernietigd of beschadigd.
Grote bedrijven die door een cyberaanval werden getroffen, hadden in 6 procent van de gevallen te maken met openbaar gemaakte bedrijfsinformatie.
9 procent kleine bedrijven getroffen door cyberaanval
Zo’n 18 procent van de middelgrote bedrijven (tien tot vijftig werknemers) werd twee jaar geleden getroffen door een cyberaanval.
Bij kleine bedrijven (twee tot tien medewerkers) was het aandeel 9 procent.
De incidenten leidden bij middelgrote en kleine bedrijven in respectievelijk 11 en 4 procent van de gevallen tot verminkte of verdwenen data.
Ten onrechte openbaar geworden informatie kwam bij middelgrote en kleine bedrijven bij respectievelijk 2 en 1 procent van de cyberaanvallen voor.
3 en 2 procent van de middelgrote en kleine bedrijven had in 2016 te maken met personeel dat interne informatie over het bedrijf openbaar heeft gemaakt.
Bij grote bedrijven kwam dat ongeveer bij één op de zes (17 procent) bedrijven voor.
De webshop van de Beierse politieke partij CSU blijkt voor de verkiezingen in de Duitse deelstaat gehackt te zijn. Het datalek werd ontdekt door de onafhankelijke Nederlandse privacy consultant en malware hunter Willem de Groot.
De CSU verloor bij de verkiezingen afgelopen zondag fors. En naar nu blijkt liggen daarnaast ook nog de klantgegevens van alle mensen die sinds 5 oktober CSU-fanartikelen en verkiezingsmateriaal in de webshop van de partij kochten op straat.
Op dit moment is het niet duidelijk of de aanval politiek gemotiveerd was. Maar dat zou kunnen, omdat de hackers enkel contactgegevens van de klanten van een politieke partij hebben buitgemaakt. De politieke voorkeur van deze klanten ligt dan voor bijna honderd procent voor de hand.
Politieke voorkeur valt onder hogere risicoklasse in AVG
De politieke voorkeur van mensen valt net als medische gegevens en etnische afkomst binnen de AVG onder de categorie bijzondere persoonsgegevens. Dit is een hogere risicocategorie die bij aantoonbaar nalatig handelen tot hogere boetes kan leiden.
De Nederlandse privacyspecialist Willem de Groot legt op zijn website en op Twitter uit dat de hackers waarschijnlijk gebruik hebben gemaakt van een ongepatchte kwetsbaarheid in de webshopsoftware of een zwak beheerderswachtwoord.
In dat geval is er duidelijk sprake van nalatigheid bij de CSU.
Webshop CSU is gebouwd met Magento software
De webshop van de CSU is gebouwd met de wereldwijd veel gebruikte webwinkelsoftware Magento.
Volgens De Groot zijn de cybercriminelen op 5 oktober in de webshop binnengedrongen met een Javascriptvirus.
De schadelijke JavaScript-code zou de gegevens van de kopers tijdens het betalingsproces hebben onderschept.
Hackers wisten dat ze alleen contactgegevens konden buitmaken
Omdat de CSU online shop alleen gebruik maakt van externe betalingsdienstaanbieders zoals Amazon en PayPal, moet het voor de aanvallers van meet af aan duidelijk zijn geweest dat zij via de door hen gekozen aanvalsroute geen toegang hadden tot de betalingsgegevens zelf.
De hackers konden op deze manier alleen namen en postadressen onderscheppen.
De Groot zegt aan de andere kant dat Magento webshops momenteel vaak worden gehackt.
Wereldwijd 40.000 Magento shops geinfecteerd met Magecart
“Het gaat niet alleen om de Duitse coalitiepartij”, schrijft De Groot op zijn website. Magento websites worden wereldwijd met grote regelmaat op dezelfde manier gehackt. “Ik heb vorige week de 40.000ste gecompromitteerde winkel geteld. De modus operandi is algemeen bekend als “Magecart”.”
Ook de Magentowebshops van grote ondernemingen als British Airways, Ticketmaster en ABS-CBN zijn volgens De Groot op dezelfde manier gehackt.
Cybercriminelen hebben Microsoft Office ‘herontdekt’ als tool om in bedrijfsnetwerken te infiltreren. Dit blijkt uit onderzoek van Unit42, de afdeling cybersecurity van het Amerikaanse bedrijf Palo Alto Networks. Eerste tip: pas op met bestanden met de extensie .docm.
Verderop in dit artikel zetten we de mogelijke aanvalsscenario’s via Office-bestanden op een rij.
Aanvalpogingen met behulp van speciaal voorbereide Microsoft Office bestanden zijn op zich niet nieuw. Op dit moment nemen de pogingen van criminelen om kwetsbaarheden in bedrijfsnetwerken via dergelijke bestanden uit te buiten volgens Unit42 echter weer toe.
Het is daarom voor organisaties van belang om medewerkers via awareness traimingen bewust te maken van de risico’s van het openen van Office documenten van onbekende afzenders.
Mensen openen Office-documenten die bijgevoegd zijn in mailberichten meestal instinctief. Voor ze zich het beseffen hebben ze vrijwel automatisch met hun muis op het Word of Excel bestand geklikt.
Dit geldt ook als deze bestanden afkomstig zijn van afzenders die niet bekend zijn bij de ontvanger. Dit wijst op een gebrek aan kennis over de mogelijke gevaren.
Maar zelfs een bekende en betrouwbare afzender beschermt niet tegen malware-infecties. Het systeem van de verzender kan het het geïnfecteerde Microsoft bestand ook ongemerkt versturen.
Mogelijke aanvalsscenario’s via Office-bestanden
Pogingen tot aanvallen via Office-bestanden zijn zeer veelzijdig geworden. Kennis van deze scenario’s draagt bij tot een effectieve preventieve bescherming van netwerken. Het is voor organisaties daarom van groot belang om medewerkers via awareness trainingen te informeren over de risico’s. PrivacyZone kan daarbij helpen.
We zetten de mogelijke aanvalsscenario’s via Office-bestanden op een rij.
Macro’s
Microsoft Office bevat een optie om zelf macroscripts te schrijven waarmee processen en handelingen kunnen worden geautomatiseerd. Dat kan met de scriptengine die is geïntegreerd in MS-Office (Visual Basic for Applications). Dit is nog steeds de gemakkelijkste manier voor aanvallers om het systeem van de gebruiker in gevaar te brengen.
De scripts kunnen direct na het openen worden uitgevoerd zonder dat het slachtoffer een actie hoeft uit te voeren. Mits macro’s zijn geactiveerd op het systeem van de gebruiker. Microsoft Office kan zo ingesteld worden dat standaard voorkomen wordt dat de macro’s na het klikken op een bestand automatisch worden uitgevoerd. Er moet dan altijd eerst nog via een popupvenster bevest worden dat het script mag worden uitgevoerd.
De ervaring leert dat veel medewerkers achterdochtig worden bij zo’n popup. Maar de kans bestaat dat ze dan naief toch nog de macroactie goedkeuren. Met alle mogelijke gevolgen van dien.
Kantoorgebruikers dienen zich er daarom van bewust te zijn dat Office-bestanden met macro’s een andere bestandsextensie (.docm) hebben. En dat ze bij deze bestanden altijd achterdochtig moeten zijn.
Ingebedde Flash-bestanden
Externe objecten uit andere programma’s en bronnen kunnen in Office-documenten worden ingesloten. En daarmee automatisch de kwetsbaarheden van deze applicaties. Er zijn succesvolle pogingen gedaan om aan te vallen met behulp van Flash-bestanden die zijn opgenomen in Excel-documenten, waarbij gebruik is gemaakt van een kwetsbaarheid in Flash Player.
Microsoft Equation Editor
Der Formel-Editor (Equation Editor) von Microsoft ist ein Hilfsprogramm für das Zeichnen und Schreiben mathematischer Ausdrücke. Dessen Dateien werden ebenfalls direkt in die Office-Dateien eingebettet. Doch auch auf diesem Weg gab es bereits erfolgreiche Exploit-Versuche. Da der Editor aus Sicht des Betriebssystems und des Office-Programms als eigener Prozess angesehen wird, greifen die im Office-Paket eingebauten Schutzfunktionen nicht.
Microsoft’s Equation Editor is een hulpprogramma voor het tekenen en schrijven van wiskundige uitdrukkingen. Deze bestanden worden rechtstreeks in Office-bestanden opgenomen. Cybercriminelen buiten deze bestanden uit om malware in te verstoppen.
Hoe kun je je als organisatie wapenen tegen dit soort aanvallen via Microsoft Office? Een softwarepakket waarmee vrijwel iedereen werkt.
Vraag als eerste uw ICT-afdeling of een extern ICT-bedrijf om Microsoft Office veilig in te stellen en laat ook actuele antivirus software installeren.
En plan vervolgens een awareness training in voor medewerkers. Zo’n awareness training is overigens volgens de Algemene Verordening Gegevensbescherming (AVG) verplicht.
PrivacyZone biedt Awareness Trainingen aan. Wil je meer weten? Neem contact met ons op. Telefoon: 06-31995740 of mail: info@privacyzone.nl.
