In Turn, It's PDF Time

We have found IE, Java, and Flash zero-days in a row in the past several months, and now it's PDF’s turn. Today, we identified that a PDF zero-day is being exploited in the wild, and we observed successful exploitation on the latest Adobe PDF Reader 9.5.3, 10.1.5, and 11.0.1.

Upon successful exploitation, it will drop two DLLs. The first DLL shows a fake error message and opens a decoy PDF document, which is usually common in targeted attacks. The second DLL in turn drops the callback component, which talks to a remote domain.



We have already submitted the sample to the Adobe security team. Before we get confirmation from Adobe and a mitigation plan is available, we suggest that you not open any unknown PDF files. We will continue our research and continue to share more information.

[Update: February 13, 2013]
In response to the many requests we’ve received for more detailed information, we would like to let our readers know that we have been working with Adobe and have jointly agreed to refrain from posting the technical details of the zero-day at this time. This post was intended to serve as a warning to the general public. We will update this post with more information at a later time.

Bron: Fireeye

Business Partners Give Hackers Easy Access to Secure Firms

As frequently targeted, high-value companies continue fortifying their defenses, FireEye researchers claim that attackers are increasingly setting their sights on the affiliated but not-as-well-protected third-party organizations that do business with them.

By aiming phishing email campaigns at softer targets, attackers believe they can compromise the networks of more relevant organizations in a roundabout way without having to defeat their sophisticated security systems.

The FireEye Malware and Intelligence Lab illustrated this assertion in their analysis of an attack targeting a Taiwanese tech firm that frequently works with the government and financial services industry in that country. The attackers reportedly wanted to compromise both the Taiwanese Government and financial services organizations. Rather than launch a direct attack, they crafted an email purportedly coming from the Taiwanese Ministry of Finance in an attempt to phish employees at and compromise the unnamed tech firm.

Once an attacker infiltrates the tech firm, he can leverage access given to the tech firm by the higher value targets in order to piggyback his way onto the more valuable Taiwanese Government and financial service networks.

The attack itself evades pattern-based malware detection methods by hiding its payload in an encrypted and password protected word document. In this way, attackers don’t need to develop their own zero-day exploit, but can rely on their victims to execute the malware themselves.
It may seem ineffective for an attacker to password protect his malware payload, but as from Ronghwa Chong, the senior malware and forensic engineer at FireEye explained to Threatpost via email, a password protected, encrypted word document promises to be interesting and the password, in this case, was easily guessable, so a number of users made the mistake of opening the malicious document.

In his analysis, Chong claims a number of tell-tale signs indicate that this particular attack is emanating from China. You can read the more of the technical aspects of the attack in Chong’s write-up on the FireEye Malware and Intelligence Lab blog.

Bron: Threatpost

Inlogs Nu.nl en Telegraaf.nl gestolen via Dorifel

Oost-Europese criminelen die 750 GB aan Nederlandse overheids- en ziekenhuisdata stalen via Dorifel en Citadel, opereerden vanaf Chinese domeinen. Ook inlogs van Nu.nl en Telegraaf.nl zijn gestolen.

Die Chinese link is gelegd door beveiligingsbedrijf Surfright. De domeinen pobelka.com en ipo90.com blijken in het Chinese Xiamen te zijn geregistreerd. Het domein pobelka.com is gelinkt aan het Citadel-botnet dat vorig jaar specifiek Nederlandse computers aanviel. Het tweede domein is verbonden met de uitbraak van Dorifel, dat vorig jaar grote paniek veroorzaakte bij onder meer besmette Nederlandse gemeenten.
Het Pobelka-botnet dat verantwoordelijk is voor de diefstal van 750 GB aan Nederlandse gevoelige data leek vorig jaar platgelegd te zijn door Digital Investigations in samenwerking met Surfright en de High Tech Crime Unit van de KLPD, maar naar nu blijkt zijn de criminelen overgeschakeld naar nieuwe Command & Control-servers. Veel van de 150.000 besmette Nederlandse pc's krijgen hun commando's nu van een nog onbekende server.

Ook ziekenhuizen en multinationals getroffen

Hoe veel van die 150.000 computers nog steeds besmet zijn, is onduidelijk. Veel van die computers staan en stonden bij overheidsinstellingen, ziekenhuizen en bedrijven, waaronder vliegtuigmaatschappijen, een Nederlandse multinational en een Nederlands hightechbedrijf. Van al die overheden en bedrijven is data gestolen.
Daarbij ging het onder meer over complete overzichten van de ict-netwerkinfrastructuur van bedrijven, van productieplannen van een hightechbedrijf, notities van ziekenhuismedewerkers, overheidsmedewerkers die aan antwoorden bezig waren op Kamervragen en login-gegevens van diverse organisaties. Al die gegevens stonden op de door Digital Investigations buitgemaakte Command & Control-server die het botnet aanstuurde.

Loigingegevens van Nu.nl en adservers

Met name de logingegevens hebben voor veel vervolgellende gezorgd. Doordat er tevens inloggegevens van mediabedrijven waren gestolen, kon zonder te hacken toegang worden verkregen tot het content management systeem van Nu.nl en werd schadelijke code in documenten in het cms gezet. Ook de adservers waarvan onder meer De Telegraaf gebruik maakte, zijn zo binnengedrongen.
Volgens Erik Loman van Surfright zijn op de buitgemaakte C&C-server gegevens gevonden "van vrijwel elk Nederlands bedrijf" en zelfs van zo geheten Industrial Control Systems (ICS). Dat zijn systemen, zoals SCADA, die zorgen voor de aansturing van onder meer sluizen, bruggen, dammen en andere belangrijke infrastructurele werken. Ook worden ze gebruikt in kerncentrales.

Surfright hint op cyberspionage

Doordat er op de C&C-server naast de 750 GB aan Nederlandse data geen bankgegevens werden ontdekt, rijst de vraag wat het doel was van de criminelen. Volgens Loman is er een kans dat de data is doorverkocht aan andere overheden, maar kan hij daarvoor geen bewijs overleggen. "Maar het ontbreken van bankdata, waarvoor Citadel (nota bene een Banking Trojan genoemd) over het algemeen wordt gebruikt om die te vergaren, is opvallend."
Een rapport van Fox-IT's onderzoeker Michael Sandee stelt echter dat een dergelijke spionage niet voor de hand ligt. De nu nieuw ontdekte Chinese domeinconnectie is in deze wel verdacht.

Lauwe interesse van Nederlandse overheid

Overigens klaagt Surfright over de lauwe interesse van de Nederlandse overheid in de bevindingen van het bedrijf en dat van Digital Investigations. Hoewel er samengewerkt is met de Nederlandse opsporingsdiensten, was er verder weinig interesse, ondanks dat getroffen gemeenten dagenlang plat lagen en er zelfs servers op ministeries waren getroffen. "Omdat overheidsbeambten de bevindingen niet interessant genoeg vonden en geen reden zagen tot een nationaal onderzoek, is ons uitputtend onderzoek geen nationaal nieuwsitem geworden", schrijft het bedrijf in een blogpost.
Loman zegt dat de aanval van de Pobelkacriminelen niet zo gericht is uitgevoerd als de aanval op Amerikaanse mediabedrijven als New York Times en Washington Journal, maar wijst er wel op dat de Citadelbesmettingen in Nederland liefst acht maanden onder de radar is gebleven.

Bron: Webwereld

Geraffineerde worm besluipt Skype-gebruikers

Voor de tweede keer in korte tijd lopen Skype-gebruikers gevaar door een geavanceerde worm. Phorpiex sluit aan op een illuster rijtje malware voor de VoIP-dienst.

Beveiligingsbedrijf Trend Micro waarschuwt voor een nieuwe worm die zich verspreidt via Skype. De malware is aangetroffen onder de naam Phorphiex en kenmerkt zich door zichzelf te kopiëren op alle verwijderbare schijven. Net als de recent aangetroffen Shylock-malware worden gebruikers aangevallen via Skype-berichten waarin malicieuze links staan.

 

Ook via de mail

Klikken op die links, schijnbaar aangedragen door vertrouwde contactpersonen, levert meer problemen op. Phorphiex maakt namelijk verbinding met specifieke IRC(-chat)servers en het kanaal #go op het publieke IRC-netwerk (internet relay chat). De worm gaat vervolgens andere malware binnenhalen op het besmette systeem, waarna het zichzelf via een e-mail met bijlage doorstuurd. Die bijlage is een exacte kopie van Phorphiex zelf.
Het door Microsoft overgenomen Skype is geen vreemde voor worm-aanvallen. Webwereld maakte eind 2012 al melding van Dorkbot, een worm die zich via de populaire VoIP-dienst verspreidt. Maar er is meer. Uit onderzoek van Trend Micro blijkt dat de Phorphiex-worm ook een kwaadaardige plug-in (WORM_PESKT.A) downloadt, die de volgende soort Skype-berichten genereert:
Klik voor groot

 

Zakelijke klanten en MSN-gebruikers

Het beveiligingsbedrijf wijst erop dat deze geraffineerde worm ook gevaar brengt voor zakelijke gebruikers. Vorig jaar kondigde Microsoft de dienst Skype in the Workspace (SITW) aan, gericht op kleinzakelijke klanten. Volgens Trend Micro zijn er inmiddels 500 bedrijven aangesloten bij de bèta van SITW, een groep die nu risico loopt.
Ook wordt gevreesd voor nieuwe gebruikers die zullen overstappen van de aloude chatclient MSN Messenger (officieel Windows Live Messenger geheten). Microsoft trekt op 15 maart de stekker uit die chatsoftware en adviseert gebruikers over te stappen op Skype. Dat betekent volgens Trend Micro goed nieuws voor Dorkbot- en Shylock-varianten: meer slachtoffers.

Bron: Webwereld

Nepsite Belastingdienst van internet gehaald

DEN HAAG - Het Nationale Cyber Security Centrum heeft een website van criminelen van internet gehaald die gebruikt werd om belastingplichtigen te verleiden gegevens als hun DigiD in te voeren. 

De site leek heel erg op die van de Belastingdienst.
De site is weggehaald op verzoek van de Belastingdienst, nadat dinsdag voor het eerst werd geklaagd over nep-mails die de ontvangers wezen op een vermeende belastingschuld van 1000 euro en opriepen om het bedrag zo snel mogelijk te betalen. De mails bevatten een link naar de nepsite.
De Belastingdienst vraagt nooit per e-mail of telefoon om persoonlijke gegevens. De dienst adviseert om DigiD en wachtwoord privé te houden.

Bron: Nu.nl

Zero-Day Java Exploit Debuts in Crimeware

The hackers who maintain Blackhole and Nuclear Pack – competing crimeware products that are made to be stitched into hacked sites and use browser flaws to foist malware — say they’ve added a brand new exploit that attacks a previously unknown and currently unpatched security hole in Java.

The curator of Blackhole, a miscreant who uses the nickname “Paunch,” announced yesterday on several Underweb forums that the Java zero-day was a “New Year’s Gift,” to customers who use his exploit kit. Paunch bragged that his was the first to include the powerful offensive weapon, but shortly afterwards the same announcement was made by the maker and seller of Nuclear Pack.

According to both crimeware authors, the vulnerability exists in all versions of Java 7, including the latest — Java 7 Update 10. This information could not be immediately verified, but if you have Java installed, it would be a very good idea to unplug Java from your browser, or uninstall this program entirely if you don’t need it. I will update this post as more information becomes available.

Update, 8:47 a.m. ET: Alienvault Labs say they have reproduced and verified the claims of a new Java zero-day that exploits a vulnerability (CVE-2013-0422) in fully-patched versions of Java 7.

Update, 11:46 a.m. ET: As several readers have noted, Java 7 Update 10 ships with a feature that makes it far simpler to unplug Java from the browser than in previous. Oracle’s instructions for using that feature are here, and the folks at DHS’s U.S.-CERT are now recommending this method as well.

Bron: Krebsonsecurity

DigiD doet het weer

DEN HAAG - Burgers kunnen donderdagochtend weer hun DigiD gebruiken. De dienst was een dag buiten gebruik in verband met een veiligheidslek. 

 

Dat lek zat niet in DigiD zelf, maar in het softwareplatform waarop de dienst is gebouwd.
Het lek werd in de nacht van dinsdag op woensdag ontdekt, waarna DigiD direct werd platgelegd. Voor zover bekend is er geen misbruik van gemaakt.
DigiD is een afkorting van digitale identiteit. De overheid kan hiermee de identiteit van de burger controleren.
Met een gebruikersnaam en wachtwoord kunnen mensen terecht bij ruim 500 organisaties die overheidstaken uitvoeren, zoals de Belastingdienst, het Kadaster en Studielink, maar ook bij gemeenten, provincies en waterschappen.

Wachtwoorden

Tijdens de storing is een reclamebureau met bijna dezelfde naam, Digi-D, overspoeld met persoonlijke gegevens van mensen, meldt Webwereld.
Het bedrijf krijgt al jaren lang gebruikersgegevens binnen van mensen die het bedrijf verwarren met de overheidsdienst. In totaal zijn er al 13.000 privacygevoelige gegevens zoals burgerservicenummers en wachtwoorden binnengekomen bij Digi-D.
Vorig jaar startte het bedrijf een website om mensen hiervoor te waarschuwen.

Bron: Nu.nl