Trickbot malware netwerk door Microsoft verstoord

Wat u moet weten

Het Trickbot-botnet

Trickbot heeft sinds eind 2016 meer dan een miljoen computerapparatuur over de hele wereld geïnfecteerd. Hoewel de exacte identiteit van de operators onbekend is, suggereert onderzoek dat ze zowel natiestaten als criminele netwerken dienen voor verschillende doeleinden.

Trickbot is een van de recentere banktrojanen, met veel van de originele kenmerken die zijn geïnspireerd door Dyreza, een andere banktrojan. Naast het richten op een breed scala aan internationale banken via zijn webinjects, kan Trickbot ook stelen van Bitcoin-portefeuilles.

Enkele van de andere mogelijkheden zijn het verzamelen van e-mails en inloggegevens met behulp van de Mimikatz-tool. De auteurs laten ook zien dat ze constant nieuwe functies en ontwikkelingen kunnen gebruiken.

Trojan.TrickBot wordt geleverd in modules die vergezeld gaan van een configuratiebestand. Elke module heeft een specifieke taak, zoals persistentie verkrijgen, doorgeven, inloggegevens stelen, codering, enzovoort. De C & C’s  zijn opgezet op gehackte draadloze routers.

Tijdens het onderzoek van Microsoft naar Trickbot hebben we ongeveer 61.000 voorbeelden van Trickbot-malware geanalyseerd. Wat het zo gevaarlijk maakt, is dat het modulaire mogelijkheden heeft die voortdurend evolueren en slachtoffers infecteren voor de doeleinden van de operators via een “malware-as-a-service” -model. De operators zouden hun klanten toegang kunnen geven tot geïnfecteerde machines en hen een afleveringsmechanisme kunnen bieden voor vele vormen van malware, waaronder ransomware. Naast het infecteren van computers van eindgebruikers, heeft Trickbot ook een aantal “Internet of Things” -apparaten, zoals routers, geïnfecteerd, waardoor het bereik van Trickbot is uitgebreid naar huishoudens en organisaties.

Naast het onderhouden van modulaire mogelijkheden voor een verscheidenheid aan einddoeleinden, hebben de operators bewezen bedreven te zijn in het veranderen van technieken op basis van ontwikkelingen in de samenleving. De spam- en spearphishing-campagnes van Trickbot die worden gebruikt om malware te verspreiden, bevatten onderwerpen als Black Lives Matter en COVID-19, waardoor mensen worden verleid om op kwaadaardige documenten of links te klikken. Op basis van de gegevens die we zien via Microsoft Office 365 Advanced Threat Detection, is Trickbot de meest productieve malwareprocedure met kunstaas met COVID-19-thema.

Microsoft heeft vandaag actie ondernomen nadat de Amerikaanse rechtbank voor het oostelijk district van Virginia haar verzoek om een ​​gerechtelijk bevel om de activiteiten van Trickbot te stoppen, had ingewilligd.

Bron: Microsoft

Tijdens het onderzoek dat tegen Trickbot ten grondslag lag, was Microsoft in staat om operationele details te identificeren, waaronder de infrastructuur die Trickbot gebruikte om te communiceren met en controle over de computers van slachtoffers, de manier waarop geïnfecteerde computers met elkaar kunnen praten, de mechanismen van Trickbot om detectie te omzeilen en pogingen om de werking ervan te verstoren. Toen ze bij Microsoft zagen dat de geïnfecteerde computers verbinding maakten met en instructies kregen van command and control-servers, konden ze de precieze IP-adressen van die servers identificeren. Met dit bewijs gaf de rechtbank toestemming aan Microsoft en hun partners om de IP-adressen uit te schakelen, de inhoud die op de command and control-servers is opgeslagen ontoegankelijk te maken, alle services voor de botnet beheerders op te schorten en elke poging van de Trickbot beheerders om te kopen of extra servers leasen te stoppen.

Door deze actie uit te voeren, heeft Microsoft een internationale groep van industrie- en telecommunicatieproviders gevormd. De Digital Crimes Unit (DCU) van Microsoft leidde de onderzoeksinspanningen, waaronder detectie, analyse, telemetrie en reverse engineering, met aanvullende gegevens en inzichten om hun rechtszaak te versterken vanuit een wereldwijd netwerk van partners, waaronder  FS-ISAC ,  ESET ,  Lumen’s Black Lotus Labs ,  NTT  en  Symantec, een divisie van Broadcom , naast ons  Microsoft Defender team. Verdere maatregelen om slachtoffers te herstellen zullen worden ondersteund door internetproviders (ISP’s) en computer Emergency Readiness Teams (CERT) over de hele wereld.

Bron: Microsoft

Tijdens deze actie vertegenwoordigt ook een nieuwe juridische benadering die de DCU voor het eerst gebruikt. De zaak omvat volgens Microsoft “auteursrechtclaims tegen kwaadwillig gebruik van onze softwarecode door Trickbot.” Deze aanpak is een belangrijke ontwikkeling in de inspanningen die Microsoft doet om de verspreiding van malware te stoppen, waardoor ze civiele maatregelen kunnen nemen om klanten te beschermen in het grote aantal landen over de hele wereld waar deze wetten van kracht zijn.

Microsoft en hun partners anticiperen er volledig op dat de beheerders van Trickbot zich zullen inspannen om hun activiteiten nieuw leven in te blazen, we zullen samen met onze partners werken om hun activiteiten te volgen en aanvullende juridische en technische stappen te nemen om ze te stoppen.

Naast de bedreiging voor verkiezingen staat Trickbot erom bekend malware te gebruiken om websites voor internetbankieren te bereiken en geld te stelen van mensen en financiële instellingen. Financiële instellingen, variërend van wereldwijde banken en betalingsverwerkers tot regionale kredietverenigingen, zijn het doelwit van Trickbot.

Het is ook bekend dat Trickbot ook de makers zijn van de Ryuk crypto-ransomware en deze levert en gebruikt bij aanvallen op een breed scala aan openbare en particuliere instellingen. Ransomware kan verwoestende gevolgen hebben. Onlangs heeft het het IT-netwerk van een Duits ziekenhuis lamgelegd, met als gevolg de dood van een vrouw die een spoedbehandeling zocht. Ryuk is een geavanceerde crypto-ransomware omdat het netwerkbestanden identificeert en versleutelt en Windows Systeemherstel uitschakelt om te voorkomen dat mensen kunnen herstellen van de aanval zonder externe back-ups. Ryuk heeft organisaties aangevallen, waaronder gemeentebesturen, staatsrechtbanken, ziekenhuizen, verpleeghuizen, bedrijven en grote universiteiten. Ryuk is bijvoorbeeld toegeschreven aan aanvallen gericht op een aannemer van het ministerie van Defensie, de stad Durham in North Carolina, een IT-provider voor 110 verpleeghuizen,

Type en bron van infectie

Trojan.TrickBot richt zich op het stelen van bankgegevens.

TrickBot verspreidt zich doorgaans via kwaadaardige spamcampagnes. Het kan zich ook lateraal verspreiden met behulp van de EternalBlue-exploit (MS17-010) uitbraak in mei 2017.

Andere verspreidingsmethoden zijn onder meer geïnfecteerde bijlagen en ingesloten URL’s. Trojan.TrickBot wordt ook gezien als een secundaire infectie die door Trojan.Emotet wordt gedropt; dit wordt gedaan door middel van een Word of ander Office document.

 
De malware, ook wel bekend als Geodo en 
Mealybug, werd voor het eerst ontdekt in 2014

Nasleep

Vanwege de manier waarop Trickbot de EternalBlue kwetsbaarheid gebruikt om zich via het netwerk van een bedrijf te verspreiden, zal elke geïnfecteerde machine op het netwerk machines opnieuw infecteren die eerder zijn schoongemaakt wanneer ze weer op het netwerk komen. Daarom moeten IT teams elk geïnfecteerd systeem één voor één isoleren, patchen en herstellen. Dit is een lang en moeizaam proces.

Haast bij klantenonderzoek is phishingmail

Een e-mail met als onderwerp ‘Haast u! bedankt dat u onze gewaardeerde klanten bent’ het is een valse mail. De phishingmail nodigt u uit tot verder lezen, maar u kunt hem beter ongelezen verwijderen.

Het valse mailtje heeft als afzender {K_P_N}.{NL}, een creatieve, maar ongeloofwaardige manier om de ontvangers te laten denken dat het om een e-mail van KPN gaat. U begrijpt natuurlijk al dat de afzenders criminelen zijn die proberen mensen op te lichten en hun gegevens buit te maken.

De phishingmail meldt dat KPN 100 willekeurige mensen uitnodigt voor een klantenonderzoek. U bent een van de ‘gelukkigen’ die door deelname een ouder model iPhone of Samsung kan krijgen.

Nog los van het feit dat een oude telefoon geen geweldige prijs is; waarom zou KPN willekeurige mensen ondervragen, met een klantenbestand van miljoenen?

Het verhaal van deze e-mail is niet erg overtuigend. Onder in het mailtje staat een link naar een website (klik hier NOOIT op). Die verwijst lezers niet naar de website met het onderzoek, maar naar een besmette website.

Alle SHA-1 inhoud Windows door Microsoft verwijderd van Downloadcentrum

SHA-1 is een cryptografische hash die niet langer als veilig wordt beschouwd. Als SHA-1 hash-algoritme wordt gebruikt in digitale certificaten, kan een aanvaller phishing-aanvallen of man-in-the-middle-aanvallen uitvoeren. Om zijn gebruikers te beschermen, kondigde Microsoft gisteren aan dat het inhoud die door Windows is ondertekend voor SHA-1 op 3 augustus 2020 uit het Microsoft Downloadcentrum zal verwijderen. Microsoft raadt klanten aan over te stappen op het SHA-2-algoritme voor veilige verbindingen.

Om de evoluerende beveiligingsnormen in de branche te ondersteunen en u te blijven beschermen en productief te houden, zal Microsoft inhoud die door Windows is ondertekend voor Secure Hash Algorithm 1 (SHA-1) op 3 augustus 2020 uit het Microsoft Downloadcentrum verwijderen. gebruikers die in het bezit zijn van apparaten zonder SHA-2-ondersteuning zullen geen Windows-updates ontvangen. Als u nog steeds afhankelijk bent van SHA-1, raden we u aan over te stappen naar een momenteel ondersteunde versie van Windows en naar sterkere alternatieven, zoals SHA-2.

Klanten met oudere OS-versies (Windows 7 SP1, Windows Server 2008 R2 SP1 en Windows Server 2008 SP2) moeten SHA-2-codeondertekeningsondersteuning op hun apparaten hebben geïnstalleerd om updates van Microsoft te ontvangen. U kunt er hier meer over lezen.

Wat u over SHA-1 moet weten

Security Hash Algorithm (SHA) is in 1993 ontwikkeld door het National Institute of Standards and Technology (NIST) en National Security Agency (NSA). Het is ontworpen als het algoritme dat moet worden gebruikt voor veilige hash in de Verenigde Staten Digital Signature Standard.

Hashing-functie is een van de meest gebruikte versleutelingsmethoden. Een hash is een speciale wiskundige functie die codering in één richting uitvoert. SHA-l is een herziene versie van SHA ontworpen door NIST en werd gepubliceerd als een Federaal Information Processing Standard (FIPS). Net als MD5 verwerkt SHA-l invoergegevens in blokken van 512 bits. SHA-l genereert een berichtsamenvatting van 160 bits. Terwijl MD5 een berichtsamenvatting van 128 bits genereerde.

De procedure wordt gebruikt om een ​​niet-geheim maar ondertekend bericht van afzender naar ontvanger te verzenden. In dat geval worden de volgende stappen gevolgd:

Schematische uitleg SHA-1
  • De afzender voert een bericht in platte tekst in het SHA-l-algoritme in en verkrijgt een 160-bit SHA-l-hash.
  • Afzender ondertekent vervolgens de hash met zijn persoonlijke RSA-sleutel en stuurt zowel het leesbare tekstbericht als de ondertekende hash naar de ontvanger.
  • Na ontvangst van het bericht berekent de ontvanger zelf de SHA-l-hash en past hij ook de openbare sleutel van de afzender toe op de ondertekende hash om de oorspronkelijke hash H.

Google gebruikt geverifieerde logo’s in strijd tegen phishing in Gmail

Google zal een nieuwe beveiligingsfunctie in Gmail uitproberen die het logo van een merk als avatar laat zien om u te helpen weten dat een e-mail echt is, heeft het bedrijf aangekondigd. De functionaliteit maakt gebruik van de Brand Indicators voor Message Identification (BIMI) standaard, waarvan de werkgroep Google vorig jaar is toegetreden, en zal de komende weken worden getest met een beperkt aantal afzenders.

Volgens Google kan authenticatie met BIMI ontvangers meer vertrouwen geven in de bron van een e-mail, die oplichters proberen te verbergen om mensen ertoe te brengen op kwaadaardige links te klikken en / of hun persoonlijke gegevens op te geven in een phishing-aanval. Google gebruikt BIMI in combinatie met een andere technologie, DMARC, die probeert te voorkomen dat oplichters het ‘ van’- adres van een e-mail vervalsen om te doen alsof deze afkomstig is van een legitieme bron.

Als een geverifieerde badge, maar dan voor e-mail.

Zoals E-gadget notities., de technologie is vergelijkbaar met geverifieerde badges sociale netwerken te gebruiken voor de officiële celebrity en het merk accounts. Google zegt dat het twee certificeringsinstanties gebruikt om te valideren wie een bepaald logo bezit: Entrust Datacard en DigiCert. Google verwacht de komende maanden BIMI breder beschikbaar te maken voor merken.

Naast de BIMI-proef heeft Google ook tal van andere beveiligingsmaatregelen aangekondigd voor zijn videoconferenties, chat en bedrijfssoftware:

  • Google Meet krijgt nieuwe bedieningselementen om vergaderingen te beveiligen. Ongenode gasten mogen niet langer proberen te ‘kloppen’ en opnieuw aan een vergadering deelnemen nadat ze er uit zijn getrapt, en gebruikers kunnen ook niet worden verzocht om aan een vergadering deel te nemen nadat ze meerdere keren zijn geweigerd. Gastheren krijgen ook nieuwe veiligheidscontroles om te bepalen wie en hoe mensen kunnen deelnemen aan vergaderingen, en of ze kunnen chatten en presenteren als ze zich eenmaal hebben aangemeld.
  • Links die via Chat worden verzonden, worden gemarkeerd als Google denkt dat ze schadelijk zijn, en het is ook van plan rapportage- en blokkeringstools voor Chatrooms te introduceren.
  • G Suite-beheerders krijgen nieuwe en opnieuw ontworpen bedieningselementen voor al hun services. Inbegrepen zijn tools om het gemakkelijker te maken om te voorkomen dat bepaalde apps toegang hebben tot G Suite-gegevens, het beheren van Apple iOS-apparaten die eigendom zijn van het bedrijf, en nieuwe tools om gegevensverlies te voorkomen.

Bekijk het volledige blogbericht van Google voor meer informatie over de nieuwe beveiligingsfuncties van Google in G Suite.

Pin It on Pinterest