| W08 | Weekacht – Week zero eight – Dachtseweek
Microsoft liet weten dat ze een veiligheidsbug uit hun virusscanner hebben gehaald. Indien een malafide hacker deze tekortkoming misbruikte, kreeg hij/zij toegang tot een windows box. En we weten allemaal wat we daar zoals kunnen in uitspoken ;-) Woensdag kregen we met z’n allen een patch op onze machines. Volgens MS heeft niemand de bug effectief misbruikt, ook al werd ze op de Black Hat 2010 bekendgemaakt. Een Cracker moest nochtans wel al de mogelijkheid hebben om code op de IIS (Internet Information Server) uit te voeren, op zich ook niet zo voor de hand liggend, wat ongetwijfeld de verklaring is waarom er geen inbraken werden gemeld. MS vond deze bug ‘belangrijk’ en maakte daarom meteen een pleister. Voor de geïnteresseerden: de bug werd eruit gehaald in versie 1.1.6603.0 van de Malware Protection Engine die heden te vinden is in Windows Live OneCare, Windows Defender, Forefront Client Security, Forefront Endpoint Protection 2010 Microsoft Security Essentiels en MS Security Essentials en de
Microsoft Malicious Software Removal Tool.
Mozilla liet weten dat de Firefox update (2.5.17 - 3.6.14 – 3.6.17) effectief de CSRF bug zal patchen. Voorziene lanceringsdatum is 1 Maart. Het betreft de befaamde cross-site request fogery bug die via Flash misbruikt kan worden om de machine van het slachtoffer over te namen. Mozilla kon voor geen betere timing zorgen, net voor de Pwn2Own hacking wedstrijd die aanvangt op de negende Maart (bezoekers kunnen 15 tot 20.000 Dollar verdienen door Firefox, Explorer, Safari of Chrome te hacken). Het Iranian Cyber Army is terug actief! De pro-Iraanse hacktivist groep lanceerde een succesvolle aanval op de ‘Voice of America’ website. Maandag was de site tijdelijk onbereikbaar omdat de groep de DNS instellingen had weten te manipuleren en alle bezoekers kon afleiden. Zij kregen een webpagina te zien die Hillary Clinton, de Amerikaanse Secretary of State, werd gezegd dat ze beter kon stoppen met zich te bemoeien in Islamitische landen. Het manipuleren van DNS instellingen is één van
de geliefkoosde bezigheden van deze Crackers groep.
In hun palmares vinden we onder andere amerikaninsesi.com, amerikaninsesi.net, amerikaninsesi.org, amerikisxma.com, dengeamerika.com, engiamerika.com, glasnaamerika.com, golosameriki.us, studio7news.com, studiosevennews.com, usavotes2008.com en xinwencn.com. Deze week vernamen we ook dat er een nieuwe bank Trojan actief was. Deze zou uit Oost-Europa komen, draagt de naam ‘OddJob’ en richt zich hoofdzakelijk op Amerikaanse bankrekeningen. De makers lijken hun odd job goed onder de knie te hebben: de trojan gaat ‘live’ meespelen tijdens echte banksessies van zijn slachtoffer, d.m.v. het stelen van ID tokens die de bank uitgeeft om de gebruiker te kunnen identificeren. Met deze tokens kunnen de Crackers de bankrekening overnemen tijdens de live verbinding van hun slachtoffers. Zodra het slachtoffer is uitgelogd, gaan de Crackers rustig verder en bedienen zich van alle mogelijkheden die de rechtmatige eigenaar normaal ter zijner beschikking heeft (inclusief geldoverschrijvingen).
De Trojan richt zich op twaalf specifieke banken in Amerika, Denemarken en Polen. Specialisten die op machines kunnen werken die geïnfecteerd werden zien steeds nieuwigheden en verbeteringen tevoorschijn komen in deze Trojan, wat bewijst dat we hier te maken hebben met een ‘Work in progess’. Tenslotte liet Microsoft deze week ook nog weten dat de Windows Zero-day van vorige week (de SMB bug) in feite toch niet zo gevaarlijk blijkt te zijn. Ze stellen ons allemaal gerust (nouja) en zeggen dat de kans dat een Cracker deze bug succesvol zou misbruiken écht wel heel gering is. In het beste geval zou een DOS (Denial of Service) kunnen uitgelokt worden, maar volgens MS is zelfs die kans vrij klein. Er komt wel een patch en ongetwijfeld een fix bij een volgende update.