Captain Kirk

Microsoft heeft een onderdeel van Windows verwijderd omdat het allerlei beveiligingslekken bleek te bevatten. Het gaat om het notitieprogramma Windows Journal dat sinds november 2002 met het verschijnen van Windows XP Tablet PC Edition onderdeel van Windows uitmaakt. Het bestandsformaat dat Windows Journal gebruikt, Journal Note File (JNT), blijkt voor een "groot aantal aanvallen" kwetsbaar te zijn. Het openen van een kwaadaardig JNT-bestand zou een aanvaller willekeurige code op de computer kunnen laten uitvoeren, zoals het installeren van malware, zo waarschuwt beveiligingsbedrijf Fortinet. Daarom besloot Microsoft Windows Journal permanent uit Windows te verwijderen. Hiervoor bracht de softwaregigant vorige maand beveiligingsupdate KB3161102 uit. Gebruikers die de update nog niet hebben geïnstalleerd krijgen het advies dit alsnog te doen. In Windows 10 is het onderdeel via de "Anniversary Update" verwijderd. bron: security.nl

Een functie in Firefox en Google Chrome die gebruikers in het geval van crashes moet helpen kan er juist voor zorgen dat ssd-schijven minder lang meegaan, zo heeft een onderzoeker ontdekt en is inmiddels door Mozilla bevestigd. Firefox maakt continu een back-up van de huidige sessie op de harde schijf. De browser doet dit zodat in het geval van een crash alle geopend tabs en websites bij een herstart kunnen worden hersteld. De manier waarop Firefox dit doet genereert echter zeer veel data die continu naar de harde schijf worden geschreven. Het kan om meer dan 10GB aan data per dag gaan, zo ontdekte Sergei Bobik. De hoeveelheid data die naar een ssd kan worden geschreven is echter beperkt. Firefoxgebruikers kunnen de interval waarop de back-ups worden gemaakt in de browser aanpassen door eerst "about:config" in de adresbalk in te voeren en vervolgens naar de optie "browser.sessionstore.interval" te zoeken. Standaard staat het op 15 seconden ingesteld. Bobik veranderde dit naar 30 minuten en zag de hoeveelheid data naar 2GB per dag afnemen. De onderzoeker adviseert eigenaren van goedkopere ssd-schijven om hun Firefox-instellingen aan te passen, aangezien deze harde schijven zijn beoordeeld om 20GB aan data per dag weg te schrijven en Firefox in dit geval al voor meer dan de helft verantwoordelijk is. Firefox-ontwikkelaar David Rajchenbach-Teller laat op het blog van Bobik weten dat hij één van de verantwoordelijken voor deze functie en de belasting van ssd-schijven is. "We zijn bekend met het probleem, maar het verhelpen vereist een compleet nieuwe architectuur van de sessieherstelfunctie. Dit is iets dat we nog niet hebben gedaan, aangezien sessieherstel erg belangrijk voor gebruikers is, dus dit moet zeer zorgvuldig met voldoende mankracht worden uitgevoerd." Nadat Bobik het probleem in Firefox had aangetroffen besloot hij ook Google Chrome te testen. Deze browser bleek 24GB per dag aan data weg te schrijven. bron: security.nl

Internetgigant Yahoo is getroffen door het grootste datalek in de geschiedenis, zo heeft de internetgigant bekendgemaakt. Aanvallers wisten eind 2014 van tenminste 500 miljoen gebruikers de gegevens te stelen. Het gaat om namen, e-mailadressen, telefoonnummers, geboortedata, gehashte wachtwoorden en in sommige gevallen versleutelde en onversleutelde veiligheidsvragen en antwoorden. Een groot deel van de wachtwoorden is met het bcrypt-algoritme gehasht, wat het moeilijker voor een aanvaller maakt om de wachtwoorden te achterhalen dan bij bijvoorbeeld het md5-algoritme het geval is. Yahoo vermoedt dat de aanval door een staat gesponsorde aanvaller is uitgevoerd, maar verdere details hierover worden niet gegeven. De internetgigant gaat alle getroffen gebruikers waarschuwen en vragen om hun wachtwoorden te wijzigen en alternatieve accountverificatie te gebruiken. Verder zijn alle onversleutelde veiligheidsvragen en antwoorden ongeldig gemaakt, zodat die niet meer te gebruiken zijn om een wachtwoord te resetten en zo een account te benaderen. Ook adviseert Yahoo gebruikers die hun wachtwoord sinds 2014 niet hebben gewijzigd om dit alsnog te doen. Wanneer Yahoo het beveiligingslek precies ontdekte en waarom het nu pas gebruikers heeft gewaarschuwd is onbekend. In augustus bood een hacker op internet de gegevens van 200 miljoen Yahoo-gebruikers aan die een paar jaar geleden bij de internetgigant zouden zijn gestolen. Volgens beveiligingsexpert Bruce Schneier is dit het grootste datalek in de geschiedenis. bron: security.nl

Wie van plan is een slimme koelkast, ip-camera of router aan te schaffen moet eerst de veiligheid van het apparaat controleren en kan beter geen wifi gebruiken, zo stelt Symantec. Volgens het bedrijf worden steeds meer Internet of Things-apparaten gehackt en gebruikt voor het uitvoeren van ddos-aanvallen. De afgelopen maanden zijn meerdere botnets bestaande uit gehackte routers en dvr-systemen ontdekt. Symantec stelt dat niet erg lastig is om dit soort "embedded devices" aan te vallen. Veel malware maakt bijvoorbeeld gebruik van standaardwachtwoorden die niet zijn gewijzigd om in te loggen. Om een eventuele infectie te voorkomen geeft het beveiligingsbedrijf daarom een elftal tips. Als eerste wordt aangeraden om de veiligheid van een apparaat uit te zoeken voordat er tot aanschaf wordt overgegaan. Verder krijgen gebruikers het advies een audit van de IoT-apparaten op hun netwerk uit te voeren. Een andere tip is het aanpassen van het standaardwachtwoord, gevolgd door onnodige diensten, alsmede ssh en telnet, uit te schakelen. Een ander advies richt zich op de aansluiting van de apparatuur. Volgens Symantec is het beter om waar mogelijk kabels in plaats van wifi te gebruiken. Wordt er toch met wifi gewerkt, dan moet er wpa-encryptie worden toegepast. Daarnaast horen IoT-apparaten, wanneer het niet is vereist, niet op afstand benaderbaar te zijn en moeten gebruikers regelmatig de website van de leverancier controleren of er geen nieuwe updates beschikbaar zijn. Als laatste moet er worden gecontroleerd dat het apparaat na een stroomstoring niet in een onveilige staat achterblijft. bron: security.nl

Internetcriminelen kunnen al voor een paar dollar per maand over een volledig functionele keylogger beschikken die wachtwoorden en inloggegevens van allerlei programma's en websites kan stelen en slachtoffers via hun eigen webcam kan bespioneren. Ook kan de keylogger virusscanners uitschakelen. De keylogger wordt iSpy genoemd, zo meldt beveiligingsbedrijf Zscaler en kan voor minder dan 4 dollar per maand worden gebruikt. Om de keylogger te verspreiden wordt er van kwaadaardige JavaScript of documenten gebruik gemaakt die via e-mail worden verstuurd. Eenmaal actief verzamelt de keylogger allerlei informatie over de besmette machine. Vervolgens worden toetsaanslagen opgeslagen en kan de keylogger licenties voor programma's zoals Adobe Photoshop en Microsoft Office stelen. Ook steelt iSpy opgeslagen wachtwoorden in de browser, e-mailprogramma's, ftp-clients en spelletjes zoals Minecraft. Daarnaast kan de keylogger slachtoffers via hun eigen webcam monitoren en hiervan foto's maken. Om detectie te voorkomen schakelt het virusscanners en andere beveiligingssoftware uit en kan het toegang tot bepaalde websites blokkeren. "Er zijn veel commerciële keyloggers voor criminelen beschikbaar en helaas zijn ze vrij gemakkelijk en zonder technische kennis te gebruiken. Ondanks het toegenomen gebruik van gespecialiseerde tools blijft de keylogger een populaire en schadelijke tool", zegt onderzoeker Nirmal Singh. bron: security.nl

Onderzoekers hebben een nieuw ransomware-exemplaar ontdekt dat het gevraagde losgeld aan slachtoffers baseert op de eigen bestandsnaam. De meeste ransomware-exemplaren maken gebruik van een vast bedrag dat gebruikers moeten betalen om hun versleutelde gegevens te ontsleutelen. In het geval van de nu ontdekte variant van de Fantom-ransomware wordt er een apart proces gebruikt om het losgeldbedrag te bepalen. Dit laat de ontwikkelaar met hetzelfde exemplaar verschillende campagnes uitvoeren, maar afhankelijk van de bestandsnaam verschillende bedragen vragen. Als de ransomware-ontwikkelaar thuisgebruikers als doelwit heeft geeft hij de ransomware een bestandsnaam die om een lager bedrag vraagt dan wanneer bedrijven of organisaties het doelwit zijn. Het aanpassen van de bestandsnaam is hiervoor voldoende, zo laat de website Bleeping Computer weten. Zodra de Fantom-ransomware op een systeem wordt uitgevoerd controleert die de eigen procesnaam, die hetzelfde als de bestandsnaam is. Op basis hiervan wordt het losgeldbedrag bepaald. Ook wordt de procesnaam gebruikt voor vermelden van een specifiek e-mailadres om te betalen. De nieuwste versie van de Fantom-ransomware is daarnaast ook in staat om bestanden op systemen die het heeft geïnfecteerd, maar niet over een internetverbinding beschikken, te versleutelen en kan het netwerkmappen versleutelen. bron: security.nl

In het tweede kwartaal van dit jaar zijn er bijna 7.000 WordPress-sites gehackt, vaak omdat beheerders updates voor zowel WordPress als geïnstalleerde plug-ins niet hadden geïnstalleerd, zo meldt beveiligingsbedrijf Sucuri op basis van eigen gegevens dat het verzamelde (pdf). In totaal registreerde het bedrijf meer dan 9.000 gehackte sites. 6869 van deze websites draaiden op WordPress. De overige gehackte websites die werden geregistreerd draaiden voornamelijk op Drupal, Magento en Joomla. Hoewel het aantal gehackte WordPress-sites groter is dan dat van de andere systemen, wat mede is te verklaren door de populariteit van het contentmanagementsysteem, slagen WordPress-beheerders er wel beter in om hun websites up-to-date te houden. 55% van de gehackte WordPress-sites had op het moment dat ze werden gehackt niet de laatste WordPress-updates geïnstalleerd. Bij Drupal (84%), Joomla (86%) en Magento (96%) was het aantal ongepatchte websites veel groter. Een andere reden dat WordPress-sites worden gehackt is via de plug-ins die beheerders installeren en niet updaten. Oude kwetsbaarheden in drie populaire plug-ins zijn bij elkaar verantwoordelijk voor 22% van de gehackte WordPress-sites. Het gaat om de RevSlider- en GravityForms-plug-ins, gevolgd door het TimThumb-script. Voor alle drie de plug-ins is een update al meer dan een jaar beschikbaar. De patch voor TimThumb is al sinds 2011 verkrijgbaar, terwijl RevSlider sinds 2014 is gepatcht. Volgen Sucuri laat dit zien hoe lastig het is om webmasters op dit soort problemen te wijzen en ervoor te zorgen dat ze actie ondernemen. In het geval aanvallers toegang tot een website weten te krijgen installeren ze meestal een backdoor, gevolgd door kwaadaardige code die bezoekers van de website met malware probeert te infecteren. bron: security.nl

De makers van het contentmanagementsysteem (cms) Drupal hebben een nieuwe versie van Drupal 8 uitgebracht die meerdere kwetsbaarheden verhelpt, waardoor een aanvaller in het ergste geval het systeem op afstand kan overnemen, zo meldt het CERT van de Amerikaanse overheid. De update is door het Drupal-ontwikkelteam als ernstig bestempeld. Zo zou een aanvaller via een speciaal geprepareerde url willekeurige code in de url van een gebruiker kunnen uitvoeren. Daarnaast was het mogelijk om zonder beheerdersrechten de configuratiegegevens uit te lezen. Gebruikers krijgen dan ook het advies naar Drupal 8.1.10 te upgraden. bron: security.nl

Gebruikers van de populaire digitale valuta Monero zijn gewaarschuwd voor een kwetsbaarheid in de portemonnee die wordt gebruikt om het geld te beheren. Via het beveiligingslek kan een aanvaller op afstand namelijk Monero van gebruikers stelen. Het bezoeken van een website is hiervoor voldoende. Monero is een digitale valuta die zich richt op privacy, decentralisatie en schaalbaarheid. Het was deze maand na bitcoin de meest verhandelde digitale valuta. Onderzoekers van MWR Labs ontdekten in de Monero Simplewallet een cross site request forgery (csrf) kwetsbaarheid. Via csrf kan een aanvaller de browser van het slachtoffer ongewenste acties laten uitvoeren op de webapplicatie of website waar hij of zij is ingelogd. In het geval van de Monero SimpleWallet blijkt die een rpc-webdienst te hosten die geen enkele authenticatie vereist voor het uitvoeren van betalingen. Door een gebruiker naar een kwaadaardige pagina te lokken kan de aanvaller, via de browser van de gebruiker, betalingen via zijn of haar wallet uitvoeren. Zo is het mogelijk om de digitale valuta naar zijn eigen wallet over te maken. Op 6 september waarschuwde MWR Labs de ontwikkelaar voor de kwetsbaarheid. Die gaf aan met een hotfix te komen, die op 19 september verscheen. Deze patch bleek echter standaard niet te zijn ingeschakeld, waardoor gebruikers nog steeds kwetsbaar zijn. De ontwikkelaar stelt dat dit "by design" is om zo de productondersteuning niet te breken. Gebruikers moeten de patch dan ook handmatig inschakelen. Volgens de onderzoekers is een groot aantal wallets voor Monero kwetsbaar, aangezien ze allemaal Simplewallet in rpc-mode gebruiken. bron: security.nl

Het opensource-besturingssysteem Tails, dat volledig op privacy en veiligheid is gericht, heeft in de nieuwste versie verschillende extra beveiligingsfuncties ingeschakeld die gebruikers tegen aanvallen moeten beschermen. Tails staat voor The Amnesic Incognito Live System. Het is een compleet besturingssysteem dat op Debian is gebaseerd en allerlei tools bevat om anoniem te kunnen internetten. Tails is vanaf een dvd of usb-stick te gebruiken. In de nieuwste versie, Tails 2.6, wordt er van verschillende extra beveiligingsfuncties gebruik gemaakt. Zo is address space layout randomization (aslr) in de Linux-kernel ingeschakeld. Deze beveiligingsmaatregel moet gebruikers tegen bufferoverflow-aanvallen beschermen. Daarnaast is rngd ingeschakeld, een programma dat de entropie van willekeurige getallen verbetert die op computers met een hardwarematige 'random number generator' worden gegenereerd. Daarnaast is een aanpassing doorgevoerd die ervoor moet zorgen dat de inhoud van het RAM-geheugen tijdens het afsluiten sneller wordt gewist. Tails is daarnaast naar Linux 4.6 geüpgraded. Dit moet de ondersteuning van nieuwe video- en wifi-kaarten verbeteren. Tails 2.6 is te downloaden via tails.boum.org. Bestaande gebruikers kunnen naar de nieuwe versie upgraden. Versie 2.7 staat gepland voor 8 november van dit jaar. Vorig jaar lieten de Tails-ontwikkelaars weten dat dagelijks 10.000 mensen van het besturingssysteem gebruikmaken. bron: security.nl

Mozilla heeft een nieuwe versie van Firefox uitgebracht waarin 18 beveiligingslekken zijn gedicht, waarvan vier zo ernstig dat een aanvaller kwetsbare systemen in het ergste geval zou kunnen overnamen als gebruikers een kwaadaardige of gehackte website bezochten. Verder is ook een beveiligingslek verholpen waarbij een aanvaller die zich tussen een Firefoxgebruiker en het internet bevond en over een onterecht uitgegeven ssl-certificaat voor addons.mozilla.org beschikte, kwaadaardige updates voor geïnstalleerde extensies kon installeren. Dit beveiligingslek is echter niet als ernstig aangemerkt. Verder is de Login Manager van Firefox bijgewerkt zodat https-pagina's opgeslagen http-logins kunnen gebruiken. Volgens Mozilla is dit één van de voorbeelden waarop Firefox Let's Encrypt ondersteunt. Dit initiatief geeft gratis ssl-certificaten uit en heeft een volledig versleuteld web als doel gesteld. De lancering van Firefox 49 houdt ook in dat Mac OS X 10.6, 10.7 en 10.8 niet meer worden ondersteund. Volgens Net Applications hebben deze drie versies nog een wereldwijd marktaandeel van 0,56%. Ook is de Windows-ondersteuning van sse-processoren gestaakt en is Firefox Hello verwijderd. Updaten naar Firefox 49 zal op de meeste systemen automatisch gebeuren. bron: security.nl

Symantec heeft twee ernstige kwetsbaarheden in de beveiligingssoftware gedicht waardoor gebruikers zonder enige interactie konden worden gehackt. Alleen het ontvangen van een e-mailbijlage met een kwaadaardig rar-bestand was voldoende om een aanvaller volledige controle over het systeem te geven. De kwetsbaarheden werden door Google-onderzoeker Tavis Ormandy ontdekt. Voor het analyseren van rar-bestanden gebruikte de beveiligingssoftware van Symantec een jaren oud uitpakprogramma waarin tientallen bekende kwetsbaarheden in aanwezig zijn. De beveiligingsleverancier stelt dat een aanvaller via de beveiligingslekken alleen een denial of service kan veroorzaken, maar volgens Ormandy is dat niet waar. Hij heeft twee demonstraties online gezet waarbij een aanvaller op afstand met de allerhoogst mogelijke rechten willekeurige code op de computer kan uitvoeren, zoals het installeren van malware. De kwetsbaarheden zijn aanwezig in een groot aantal Symantec- en Norton-producten. In het geval van de Norton-producten zijn die volgens Symantec via de automatische updatefunctie bijgewerkt. Voor de zakelijke beveiligingssoftware zijn in sommige gevallen de updates ook automatisch uitgerold, maar zullen die in andere gevallen handmatig moeten worden geïnstalleerd. bron: security.nl

Microsoft heeft bedrijven en organisaties gewaarschuwd om te stoppen met het bijna 30 jaar oude SMB1-protocol, dat Windows gebruikt voor het het delen van bestanden en printers op een lokaal netwerk. Vorige week publiceerde Microsoft een belangrijke update voor Windows SMB1 Server. De software is onderdeel van alle ondersteunde Windowsversies. Via de kwetsbaarheid in SMB1 (Server Message Block) zou een aanvaller die over inloggegevens beschikt kwetsbare servers kunnen overnemen. "Als je deze beveiligingsupdate nodig hebt, heb je een veel groter probleem. Je maakt namelijk nog steeds gebruik van SMB1", zegt Microsofts Ned Pyle. Hij wijst erop dat het SMB1-protocol bijna 30 jaar oud is. "En net als veel andere software die in de jaren 1980 is gemaakt, was het ontwikkeld voor een wereld die niet langer bestaat. Een wereld zonder aanvallers en zonder grote hoeveelheden belangrijke data", aldus Pyle. De 'naïviteit' van het protocol is volgens hem nauwelijks te bevatten. SMB1 is namelijk onveilig en biedt geen bescherming tegen allerlei soorten aanvallen. Zo is het protocol zeer gevoelig voor man-in-the-middle-aanvallen. Daarnaast laten ook de prestaties en efficiëntie te wensen over. In de meeste gevallen is het protocol volgens Pyle niet nodig. Alleen in bepaalde situaties kan het gebruik te verantwoorden zijn, zoals bij oude multifunctionele printers, systemen die op Windows XP of Server 2003 draaien of oude beheersoftware. Pyle adviseert bedrijven dan ook om SMB1 van clients en servers te verwijderen. Microsoft heeft bedrijven inmiddels om feedback gevraagd over het standaard uitschakelen van SMB1 in Windows 10 Enterprise en Windows 10 Education. bron: security.nl

Er is er een nieuwe versie van de browser Opera gelanceerd die over een nieuwe ingebouwde gratis vpn-dienst beschikt. Opera is daarmee de eerste grote browser die een dergelijke feature aanbiedt. Via een virtual private network (vpn) wordt er een versleutelde verbinding naar een server op een bepaalde locatie opgezet. Het vpn zorgt ervoor dat al het verkeer naar de vpn-server is versleuteld, wat handig is voor gebruikers van openbare wifi-netwerken. Daarnaast kan de vpn-gebruiker hierdoor zijn locatie aanpassen, om bijvoorbeeld van diensten gebruik te maken die alleen in bepaalde landen toegankelijk zijn. In het geval van de Opera vpn-dienst kunnen gebruikers uit vijf locaties kiezen, namelijk Nederland, Verenigde Staten, Canada, Duitsland en Singapore. "We denken dat als meer mensen wisten hoe het internet echt werkt ze een vpn zouden gebruiken, en we hopen door onze browser-vpn gratis en gebruiksvriendelijk te maken, dat het een essentiële tool voor iedereen zal worden", zegt Krystian Kolondra van Opera. Hij stelt dat vpn's tot nu toe voornamelijk werden gebruikt door mensen die wisten hoe het internet werkt. De vpn-optie staat standaard niet ingeschakeld. Eenmaal ingeschakeld verschijnt er een vpn-icoon en kunnen gebruikers de vpn in- of uit te schakelen en een locatie te kiezen. Ook kan Opera zelf de meest optimale vpn-server selecteren, gebaseerd op netwerksnelheid, locatie en capaciteit. Opera 40 is nu te downloaden. bron: security.nl

Facebook heeft een beveiligingslek gedicht waardoor het mogelijk was voor aanvallers om willekeurige Facebookpagina's over te nemen. Waar Facebook voor gebruikers profielen heeft, kunnen merken, bedrijven, organisaties en beroemdheden speciale Facebookpagina's aanmaken. Standaard kunnen de pagina's via een Facebookaccount worden beheerd en toegevoegd. Om bedrijven met het beheren van hun pagina's uitgebreider te helpen ontwikkelde Facebook de Business Manager. Deze tool laat onder andere zien wie er toegang tot de Facebookpagina's heeft en wat hun rol is. Bedrijven kunnen personen ook toegang tot de Facebookpagina geven, zodat ze aan bepaalde onderdelen van de pagina kunnen werken. Onderzoeker Arun Sureshkumar ontdekte dat bij het verzoek vanaf de Business Manager om een gebruiker een rol op de Facebookpagina toe te kennen een gebruikers_id, rol en 'asset_id' worden meegestuurd. Door het asset_id te veranderen in die van een andere Facebookpagina, en het verzoek opnieuw naar Facebook te versturen, krijgt de opgegeven gebruiker de opgegeven rol. Zodoende is het mogelijk voor een aanvaller om zich als beheerder van een willekeurige Facebookpagina aan te melden. Facebook heeft een beloningsprogramma om hackers en onderzoekers voor het melden van kwetsbaarheden te belonen. Sureshkumar informeerde Facebook op 29 augustus van dit jaar. Een week later was het probleem door Facebook verholpen. Tijdens het onderzoek naar de bug werd nog een tweede probleem ontdekt en gepatcht. Daardoor kreeg Sureshkum uiteindelijk een iets hogere beloning, namelijk 16.000 dollar. bron: security.nl

De ontwikkelaars van OpenSSL hebben een belangrijke beveiligingsupdate aangekondigd die meerdere kwetsbaarheden zal verhelpen. De beveiligingslekken bevinden zich in versies 1.1.0, 1.0.2h en 1.0.1t. Eén van de kwetsbaarheden is als "high" geclassificeerd. OpenSSL laat niet weten wat aanvallers in dit geval kunnen doen, maar stelt dat voor kwetsbaarheden met deze classificatie er altijd een nieuwe versie wordt uitgebracht. De overige beveiligingslekken vallen in de categorie "moderate" en "low". De beveiligingsupdates, met versienummers 1.1.0a, 1.0.2i en 1.0.1u, zijn aanstaande donderdag 22 september om 10:00 uur te downloaden. OpenSSL is één van de meest gebruikte software voor het versleutelen van internetverbindingen, bijvoorbeeld tussen websites en hun bezoekers. bron: security.nl

Adobe Flash Player is nog altijd de meest aangevallen software via exploitkits, zo blijkt uit onderzoek van beveiligingsbedrijf Digital Shadows. Exploitkits zijn programma's die kwetsbaarheden in browsers en browserplug-ins gebruiken om automatisch malware bij internetgebruikers te installeren. Het bezoeken van een gehackte of kwaadaardige website of het te zien krijgen van een besmette advertentie is hiervoor voldoende. Vaak gaat het hier om kwetsbaarheden waarvoor beveiligingsupdates beschikbaar zijn, maar die gebruikers niet hebben geïnstalleerd. Digital Shadows onderzocht 22 exploitskits die cybercriminelen de afgelopen jaren hebben gebruikt. Deze exploitkits, met namen als Fiesta, Magnitude, RIG, Nuclear en Neutrino, bleken in totaal 76 verschillende kwetsbaarheden aan te vallen. Deze beveiligingslekken bevinden zich in Adobe Flash Player, Oracle Java, Internet Explorer, Mozilla Firefox, Adobe Reader en Microsoft Silverlight. Flash Player is met 27 van de 76 aangevallen kwetsbaarheden het voornaamste doelwit. Een ander belangrijk doelwit is Internet Explorer. Van de 22 onderzochte exploitkits hadden er 11 een exploit voor een beveiligingslek in Internet Explorer 6 tot en met 10 dat Microsoft in 2013 patchte. Een groot deel van de geanalyseerde exploitkits wordt inmiddels niet meer ondersteund of maakt alleen gebruik van oude kwetsbaarheden en wordt zodoende steeds minder effectief. De onderzoekers keken daarom ook naar beveiligingslekken van 2015 en 2016 waar exploitkits gebruik van maken. Dan blijkt dat de Top 6 van meest aangevallen kwetsbaarheden alleen uit Adobe Flash Player bestaat. Verder zijn ook recente kwetsbaarheden in IE en Silverlight een doelwit. Hoewel Flash Player het favoriete doelwit blijft, zijn er in de toekomst ook andere programma's die cybercriminelen kunnen aanvallen, zo concluderen de onderzoekers. bron: security.nl

Cisco waarschuwt voor een nieuw beveiligingslek dat afkomstig van de Amerikaanse inlichtingendienst NSA is en waarmee aanvallers gevoelige data uit netwerkapparaten kunnen stelen. Het lek werd gevonden via een verzameling tools en exploits van de NSA die onlangs op internet verscheen. Eén van de NSA-exploits in deze dataverzameling was gericht tegen PIX-firewalls die Cisco al sinds 2009 niet meer ondersteunt. Verder onderzoek wees uit dat hetzelfde lek ook in Cisco IOS, Cisco IOS XE en Cisco IOS XR aanwezig is. Het probleem bevindt zich in de code die voor het verwerken van IKEv1-pakketten wordt gebruikt. Door het lek kan een aanvaller zonder inloggegevens de inhoud van het geheugen achterhalen, waardoor gevoelige informatie uit netwerkapparaten kan worden gestolen. Cisco werkt inmiddels aan een beveiligingsupdate. In de tussentijd zijn er geen "workarounds" voor de kwetsbaarheid. Het enige dat systeembeheerders kunnen doen is het gebruik van intrustion pevention of detection systemen (IPS/IDS) om eventuele aanvallen op de kwetsbaarheid te detecteren. Eind augustus kwam de netwerkgigant ook al met een beveiligingsupdate voor een kwetsbaarheid waarmee de NSA allerlei netwerkapparaten van bedrijven en organisaties kon aanvallen. Het ging om netwerkapparatuur zoals firewalls, security appliances en routers waarop de Adaptive Security Appliance (ASA) software draait. Via de kwetsbaarheid kon een aanvaller volledige controle over deze systemen krijgen. bron: security.nl

Het Tor Project heeft een ernstig beveiligingslek in Tor Browser gedicht waardoor gebruikers van de browser met malware konden worden geïnfecteerd, ongeacht welk platform ze gebruikten. De kwetsbaarheid bevindt zich in het updaten van browser-extensies en werd eerder deze week onthuld. Tor Browser bestaat uit een aangepaste Firefox-versie, software om verbinding met het Tor-netwerk te maken en verschillende Firefox-extensies voor extra veiligheid. Deze extensies kunnen automatisch worden geüpdatet via addons.mozilla.org. Een aanvaller die voor addons.mozilla.org een geldig ssl-certificaat weet te verkrijgen kan vervolgens een kwaadaardige extensie-update aanbieden en zo willekeurige code op het systeem van Tor Browser-gebruikers uitvoeren. De kern van het probleem is volgens onderzoekers dat het Tor Project/Mozilla certificaatpinning voor het updateproces van extensies niet goed hebben geïmplementeerd. In het geval van certificaatpinning accepteert de browser alleen certificaten die door bepaalde certificaatautoriteiten zijn uitgegeven. Deze controle is in het geval van Firefox en Tor Browser te omzeilen. Het vereist nog steeds dat de aanvaller over een geldig ssl-certificaat voor addons.mozilla.org moet beschikken, maar volgens het Tor Project is dit haalbaar voor landen en inlichtingendiensten. Partijen die vaak interesse in Tor-gebruikers hebben. Gebruikers krijgen dan ook het dringende advies om zo snel als mogelijk naar Tor Browser 6.0.5 te updaten, die op Firefox 45.4.0esr is gebaseerd. In deze versie is het probleem gepatcht. Mozilla heeft de kwetsbaarheid in de verschillende Firefox-versies verholpen, maar deze versies zijn op het moment van schrijven nog niet uitgekomen. Verder bevat Tor 6.0.5 nieuwe versies van de Tor-software en HTTPS-Everywhere. Updaten kan via de browser of TorProject.org. bron: security.nl

De beheerders van OpenSSL hebben laten weten dat ze binnenkort stoppen met het aanbieden van downloads via de ftp-server ftp.openssl.org. "Over een aantal weken zullen we de ftp-toegang tot tarballs en snapshots uit de lucht halen", meldt Rich Salz van het OpenSSL-team via de OpenSSL-mailinglist. Een reden voor de maatregel wordt niet gegeven. OpenSSL is één van de meest gebruikte software voor het versleutelen van internetverbindingen, bijvoorbeeld tussen websites en hun bezoekers. OpenSSL-versies die via de website zelf worden aangeboden gaan via https, dat in tegenstelling tot ftp wel is versleuteld. Vanwege de maatregel krijgen beheerders het advies om scripts aan te passen die via de ftp-server nieuwe OpenSSL-versies downloaden, aangezien die straks niet meer zullen werken. bron: security.nl

Beste leerkracht, Het zou best eens kunnen dat de school het draadloze netwerk met een IP-protocol heeft beveiligd. Dus alleen wanneer je IP bekend is, krijg je de volledige verbinding. Ik zou je adviseren contact op te nemen met je ICT-er of systeembeheerder op de school zelf.

Fijn dat je probleem is opgelost en tevreden bent. Indien je geen vragen meer hebt mag je dit topic op slot zetten. Heb je een andere vraag of probleem: je weet ons te vinden

Onderzoekers waarschuwen voor een nieuw ransomware-exemplaar dat de volledige harde schijf versleutelt, alsmede alle bestanden op aangesloten netwerkschijven. Daarnaast overschrijft deze ransomware ook de Master Boot Record (MBR) van de harde schijf, waardoor het systeem niet meer start. HDDCryptor, zoals de ransomware wordt genoemd, kan via kwaadaardige websites of al aanwezige malware op de computer worden verspreid. Eenmaal actief zoekt de ransomware naar aangesloten netwerkschijven en versleutelt alle bestanden op deze schijven. Ook zoekt het naar netwerkschijven waar eerder verbinding mee is gemaakt. Via het programma netpass.exe probeert het de inloggegevens voor deze schijven te stelen, zodat het vervolgens zelf toegang kan krijgen en de aanwezige bestanden kan versleutelen. Netpass is een freeware-programma voor het achterhalen van netwerkwachtwoorden. De versleuteling van de harde schijf vindt plaats via DiskCryptor, een opensourceversleutelingsprogramma. Via deze software wordt ook de MBR van de harde schijf overschreven. De MBR bevat gegevens over het soort en de locatie van de logische partities van de harde schijf. Het is essentieel voor de computer om te kunnen starten. Slachtoffers kunnen het systeem dan ook niet meer starten. Om slachtoffers toch instructies te geven hoe ze het losgeld voor het ontsleutelen kunnen betalen voegt de ransomware een aangepaste bootloader toe. Zodra de computer wordt gestart toont deze bootloader de instructies. Volgens het Japanse anti-virusbedrijf Trend Micro maakt de ransomware op alle besmette systemen van hetzelfde malware-id gebruik, wat suggereert dat er één decryptiesleutel is om alle systemen te ontsleutelen. Deze decryptiesleutel is echter nog niet achterhaald. bron: security.nl

Opera gaat in de nieuwste versie van de browser langere wachtwoorden voor Sync-gebruikers verplichten. De browserontwikkelaar biedt Opera-gebruikers die een account aanmaken via "Sync" de mogelijkheid om hun gegevens in de browser met andere apparaten te synchroniseren. Het gaat dan om gebruikersnamen, wachtwoorden, bookmarks en surfgeschiedenis. Onlangs werd bekend dat de Sync-server van Opera was gehackt, waarbij aanvallers mogelijk toegang tot gebruikersnamen en wachtwoorden van 1,7 miljoen Sync-gebruikers hadden gekregen. Uit voorzorg besloot Opera van alle gebruikers met een Sync-account het wachtwoord te resetten. In Opera 40 is de karakterlimiet voor wachtwoorden verlengd. Nieuwe Sync-gebruikers zullen straks een wachtwoord van minimaal 12 karakters moeten kiezen, zo blijkt uit een omschrijving van de testversie van Opera 40. De uiteindelijke versie van Opera 40 wordt volgende week verwacht. bron: security.nl

Het zero day-lek in Internet Explorer en Edge dat Microsoft dinsdag patchte blijkt al sinds 2014 te zijn gebruikt bij het infecteren van internetgebruikers via besmette advertenties. De kwetsbaarheid laat een aanvaller informatie over het systeem achterhalen en werd vorig jaar voor het eerst gerapporteerd. Beveiligingsbedrijven Trend Micro en Proofpoint rapporteerden de kwetsbaarheid dit jaar aan Microsoft, waarop het beveiligingslek door de softwaregigant werd opgepakt. Verder onderzoek wees uit dat het beveiligingslek door twee groepen cybercriminelen werd gebruikt. Deze groepen maakten gebruik van besmette advertenties om internetgebruikers met malware te infecteren. Voordat de daadwerkelijke infectie plaatsvond, bijvoorbeeld via een kwetsbaarheid in Adobe Flash Player of Internet Explorer, werd het informatielek in Microsofts browsers gebruikt om informatie over het aangevallen systeem te verzamelen. Zo konden de aanvallers bepalen of het aangevallen systeem van een onderzoeker of een geautomatiseerd systeem van een beveiligingsbedrijf was. Was dit het geval, dan werden deze systemen niet geïnfecteerd. De aanvallers konden op deze manier langere tijd onopgemerkt te werk gaan. "Aanvallers maken steeds vaker gebruik van niet-ernstige kwetsbaarheden die maanden of jaren ongepatcht blijven. In dit geval gebruikten de aanvallers een specifieke kwetsbaarheid om detectie door onderzoekers en geautomatiseerde systemen te voorkomen, ook al waren ze met een grootschalige campagne van besmette advertenties bezig", zegt onderzoeker Kafeine van beveiligingsbedrijf Proofpoint. Hij stelt dat softwareleveranciers, organisaties en gebruikers meer aandacht voor patching moeten hebben en onderzoekers naar nieuwe methodes moeten kijken om kwaadaardige activiteiten op internet te ontdekken. bron: security.nl