Onderzoekers van ESET waarschuwen Mac-gebruikers voor OSX/Keydnap. Deze trojan creëert een permanente backdoor op apparaten met Apple’s OS X-besturingssysteem. Criminelen gebruiken  deze achterdeur om wachtwoorden en sleutels te stelen van de digitale sleutelhanger van het slachtoffer.

Voor de onderzoekers van ESET is het nog niet duidelijk hoe Keydnap slachtoffers besmet. Een mogelijkheid is besmetting via attachments bij spamberichten of via downloads van onbetrouwbare websites.

Gebruikers optimaal misleid

De Keydnap-downloader wordt verspreid als een zipbestand met daarin een uitvoerbaar bestand. Meestal ziet zo’n uitvoerbaar bestand eruit als een jpg- of tekstbestand. Finder toont bovendien het icoon dat het normaal toont bij jpg-afbeeldingen of txt-bestanden, wat de kans verhoogt dat de gebruiker het vertrouwt en er daadwerkelijk op klikt. Achter de .jpg of .txt-extensie staat echter een spatie, waardoor OS X het bestand na een dubbelklik van de gebruiker in de Terminal opent en van daaruit de kwaadaardige code uitvoert.

Op dit moment is de backdoor ingesteld en sluist de malware basisinformatie naar buiten over de Mac waarop Keydnap draait. Op verzoek van de Command & Control-server kan Keydnap vragen om de beheerdersrechten door het scherm te openen dat OS X voor dit doel gebruikt. Als de gebruiker vervolgens zijn inloggegevens invoert, wordt de inhoud van de ‘keychain’ van de gebruiker via de backdoor naar buiten gesluisd. De backdoor nestelt zich bovendien in de opstartprocedure van het systeem, zodat het ook na een reboot actief blijft. 

“Hoewel er binnen OS X meerdere manieren zijn om malware aan banden te leggen, zien we hier dat er toch wel degelijk mogelijkheden zijn om de gebruiker te misleiden om kwaadaardige code uit te voeren”, zegt Donny Maasland, Head of Cybersecurity Services & Research bij ESET Nederland. “We weten nog niet hoe Keydnap wordt verspreid, en hoeveel slachtoffers er zijn. Alle OS X-gebruikers moeten dus waakzaam blijven. We raden sowieso aan om altijd Apple’s eigen Gatekeeper te gebruiken, zodat software gedownload buiten de App Store niet zomaar kan worden uitgevoerd.”

Mac-gebruikers vaker slachtoffer

Cybercriminelen hebben het steeds vaker gemunt op Mac-gebruikers. Zo dook recent de malware ‘Backdoor.MAC.Eleanor’ op. Na besmetting van de Mac kan deze malware de controle van de computer overnemen en zelfs de ingebouwde FaceTime-camera aansturen.

Meer technische details over Keydnap zijn te vinden in dit technische artikel op ESET’s officiële IT-securityblog, WeLiveSecurity.com.

bron: infosecuritymagazine.nl

ESET heeft een tool uitgebracht voor het ontsleutelen van bestanden die zijn besmet met de nieuwste versies van de TeslaCrypt-ransomware. Het maken van de tool was mogelijk doordat de criminelen de universele encryptiesleutel hebben vrijgegeven.

Met de tool kunnen bestanden die versleuteld zijn door versies 3 en 4 van TeslaCrypt ontsleuteld worden. Volgens de beveiligingsonderzoekers gaat het daarbij om bestanden die door de ransomware de extensies .xxx, .ttt, .micro of .mp3 hebben gekregen.

ESET heeft TeslaCrypt niet gekraakt, maar de verspreiders van de ransomware hebben hun activiteiten gestaakt. Een beveiligingsonderzoeker nam anoniem contact op met de groep en verzocht hen om de universele master key vrij te geven. Tot de verbazing van de onderzoekers werd daar gehoor aan gegeven. De website die slachtoffers moesten bezoeken om het losgeld te betalen toont nu de benodigde sleutel.

Na het vrijgegeven van de encryptiesleutel heeft ESET een TeslaCrypt-decryptor gemaakt. Ook bestaande tools zoals TeslaDecryptor zijn bijgewerkt. In maart waarschuwden beveiligingsonderzoekers nog dat versie 3.0.1 en nieuwer van TeslaCrypt vrijwel onmogelijk te kraken was. Voor oudere versies van de ransomware konden eerder al decryptie-tools gemaakt worden, omdat er kwetsbaarheden in de malware zaten.

Waarom de criminelen de TeslaCrypt-sleutel hebben vrijgegeven, is niet duidelijk. BleepingComputer stelt dat criminelen zijn overgestapt op het gebruik van CryptXXX. Dat is eveneens ransomware die lastig te kraken is, maar Kaspersky heeft ook daar een decryptie-tool voor uitgebracht.

Bron: Tweakers.net

Google en Facebook zijn actief bezig om oplichters aan te pakken die zich als helpdeskmedewerker van bekende bedrijven voordoen en zogenaamd allerlei computerproblemen oplossen. In tegenstelling tot de “cold call” scam waarbij mensen thuis worden gebeld, gaan deze scammers via advertenties te werk.

Via advertenties op zowel Google als Facebook wordt er reclame voor de “tech support” gemaakt. In werkelijkheid gaat het om scammers die slachtoffers voor niet bestaande problemen waarschuwen en soms software laten downloaden waardoor de oplichters volledige controle over de computer krijgen. In eerste instantie stonden Google en Facebook deze advertenties gewoon toe, maar na klachten van gebruikers besloten beide bedrijven op te treden.

Informatie van mensen die klagen wordt nu gebruikt om probleemadvertenties te ontdekken en te blokkeren. In sommige gevallen worden de telefoonnummers in de advertenties zelf door medewerkers van Google gebeld, om te kijken of het inderdaad om een scam gaat. Aan de hand van de advertenties en adverteerdersaccounts maakten zowel Google als Facebook een profiel dat nu wordt gebruikt bij het beoordelen en goedkeuren van advertenties. Daarnaast vindt er ook nog een handmatige controle plaats.

Aanpak

Sinds beide bedrijven met het controleproces begonnen zijn van meer dan 4.000 verdachte adverteerders de accounts opgeheven, die naar meer dan 2400 techsupportsites wezen. Dat meldt  TrustInAds, een organisatie die zich inzet tegen kwaadaardige advertenties. Volgens de organisatie hebben de maatregelen van Facebook en Google een grote impact op de scammers, maar zoeken die nog altijd naar nieuwe manieren om de filters te omzeilen. Gebruikers krijgen dan ook het advies altijd waakzaam te blijven en als ze een helpdesk bellen eerst te achterhalen om welke partij het gaat.

Bron: Security.nl

Zeer lastig te verwijderen Android-malware heeft in China meer dan 500.000 smartphones geïnfecteerd, zo beweert een Chinees anti-virusbedrijf. De hardnekkige malware is een bootkit die aanpassingen aan de opstartpartitie en het opstartscript maakt om tijdens het opstarten kwaadaardige apps te installeren.

De malware weet zich op zo’n manier op de smartphone te nestelen, dat geen enkel anti-virusbedrijf in staat zou zijn om de malware in z’n geheel te verwijderen en het systeem te repareren, aldus anti-virusbedrijf Qihoo 360. De virusbestrijder heeft de malware ‘Oldboot’ genoemd en stelt dat het om de eerste bootkit voor het Android-platform gaat.

Bootkit

Een bootkit is een rootkit die vanaf boot-sectors geladen wordt en tot het opstarten van het besturingssysteem in het geheugen blijft zitten. In het geval van Oldboot wordt de harde schijf fysiek aangepast door die te flashen of het dd-commando te gebruiken, aldus een analyse. De malware is daarnaast niet op systeemniveau te verwijderen of te herstellen.

Dit zorgt ervoor dat zodra de malware actief is die allerlei nieuwe applicaties met advertenties kan installeren, alsmede een systeemapplicatie genaamd ‘GoogleKernel. Een mobiele virusscanner kan deze applicaties wel verwijderen, maar zodra het toestel opnieuw wordt gestart verschijnen de applicaties weer.

Hoe de malware zich verspreidt laat Qihoo 360 in de analyse van Oldboot niet weten, maar het anti-virusbedrijf stelt dat het een geheel nieuwe aanvalsmethode op het Android-platform betreft. Voor slachtoffers van de malware heeft de Chinese virusbestrijder een gratis verwijdertool uitgebracht.

Bron: Security.nl