Hoofdcategorieën

Trojan steelt wachtwoorden van Firefox-gebruikers

Door Dimitri Reijerman, vrijdag 5 december 2008 10:19, views: 27.028

De beveiligingsfirma Bitdefender heeft een trojan ontdekt die zich specifiek richt op Firefox-gebruikers. De malware steelt wachtwoorden van telebankiers en doet zich voor als Greasemonkey-extensie.

De trojan staat bekend als Trojan.pws.chromeinject.a en nestelt zich in de add-ons-folder van Firefox. Daarbij doet het trojaanse paard zich voor als Greasemonkey, een populaire extensie die met behulp van scripts de rendering van webpagina's kan beïnvloeden.

Bij elke start van de browser wordt ook de malware actief. Met behulp van javascript herkent het een honderdtal websites van banken en financiële dienstverleners, en wanneer de gebruiker een daarvan bezoekt, registreert de malware wachtwoorden om deze later naar een Russische server te sturen.

De malware wordt inmiddels door de virusscanner van Bitdefender herkend en de concurrentie zal vermoedelijk niet lang op zich laten wachten, maar de Firefox-trojan laat wel zien dat malwareschrijvers hun pijlen niet langer alleen op Internet Explorer richten. Om een besmetting op te lopen, moet de gebruiker overigens wel een besmette website bezoeken of de malware handmatig downloaden. De add-on-website van Mozilla zou veilig zijn, omdat extensies worden gecontroleerd voordat deze te downloaden zijn. Uniek is Trojan.pws.chromeinject.a echter niet: in 2006 wist een trojaans paard met de naam Formspy zich al als extensie in Firefox te nestelen.

Volgende 10:33
Vorige 09:12

Reacties

«  1  2  3  »

Moet je bij Firefox een installatie van een add-on niet altijd expliciet toetstaan? Het lijkt mij dat je bij een geinfecteerde site ewoon niet op 'install add-on' moet klikken.

Natuurlijk moet je, als je via een website het script of een add-on installeert hier bevestiging voor geven. Nu zijn er al legio gebruikers die al erg snel op 'Ja' klikken, maar in hoeverre die ook GreaseMonkey hebben draaien is dan weer de vraag.

Mocht een stukje malware echter op een andere manier verspreidt worden (denk aan de klassieke manier om virussen te verspreiden, dus als payload op een executable file), dan helpen alle beveiligingen van Fx zelf dus niet.

Tegen verspreding via de klassieke methode is er overigens heel weinig te doen, behalve de mogelijkheden van de browser beperken. (Maar dan kun je geen add-ons meer installeren en is een voordeel van Fx te niet gedaan)

Een valse website en een beetje social engineering zou best wel lukken.
Stuurt mailtje naar mensen die FF gebruiken en zegt dat je een goede add-on gevonden hebt en stuurt hen vervolgens naar de 'developer' website, maar eigenlijk is het gewoon een valse website. Het verspreiden van die handel is niet het moeilijke stuk.

Ik stel me eerder de vraag waarom er nog zoveel banken zijn die met passwoorden werken, als bank zou je toch verwachten dat je klanten zo goed mogelijk probeert te beschermen. Ik gebruik een soort token systeem, klein apparaatje, steekt je kaart er in, pin + challenge intikken en dan de response typen.

Een valse website en een beetje social engineering zou best wel lukken.
Stuurt mailtje naar mensen die FF gebruiken en zegt dat je een goede add-on gevonden hebt en stuurt hen vervolgens naar de 'developer' website, maar eigenlijk is het gewoon een valse website. Het verspreiden van die handel is niet het moeilijke stuk.
Nu zit er standaard in Fx ook functionaliteit om dit soort sites te blokkeren, dus dit soort lekken kunnen redelijk snel gedicht worden.

Verder zullen dat soort mailtjes al snel als spam aangemerkt worden omdat je toch naar een vaste URL moet gaan en daarop kunnen anti-spam oplossingen dan weer filteren...

Er zijn twee redenen dat banken nog steeds met passwords werken:

Ten eerste kun je gewoon uitrekenen wat goedkoper is, met passwords werken en af en toe een paar gebruikers schadeloos moeten stellen, of al je klanten zo'n token moeten geven.

Ten tweede ben je niet de enige op de markt, er zijn een heleboel online banken. Als je bij bank X "altijd moet zeuren met zo'n token en dan doen ze ook nog moeilijk over lange passwords" dan ga je toch gewoon naar bank Y "daar kan ik tenminste gewoon mijn PINcode als password gebruiken!". Is dat hardstikke stom? Ja, maar het is wel hoe veel gebruikers denken. Ik heb ooit gehoord dat ze in (IIRC) Italië een wet hebben die voorschrijft hoe lang passwords voor online bankieren minimaal moeten zijn (de minimum lengte die een bank mag accepteren), juist om dit probleem op te lossen.

Moet je bij Firefox een installatie van een add-on niet altijd expliciet toestaan? Het lijkt mij dat je bij een geinfecteerde site ewoon niet op 'install add-on' moet klikken.
Het is geen ADDON Het nestelt zich gewoon in de map met extensies. Of het überhaupt firefox gebruikt om zich te installeren is onbekend.

De add-on-website van Mozilla zou veilig zijn, omdat extensies worden gecontroleerd voordat deze te downloaden zijn.
Zolang extensies praktisch nooit digitaal ondertekend worden, kan nooit aangenomen worden dat ze veilig zijn. En zelfs bij de meeste (alle?) extensies die gedownload kunnen worden bij Mozilla wordt dit niet gedaan. Als iemand het account van die auteur hackt op mozilla.org (of mozilla.org zelf) en vervolgens een virus-gelade versie van een extensie erop zet, merken de mensen die het installeren er niets van totdat het te laat is.

Hoe vind overigens die controle plaats? Als de broncode niet wordt gecontroleerd, is het prima mogelijk om een time bomb in de betreffende extensie te stoppen. De extensie werkt dan zoals hij zou moeten werken tot een ingesteld tijdstip in de toekomst, waarna het virus actief wordt. Dit werkt het beste met populaire extensies die niet te vaak van updates worden voorzien.

[Reactie gewijzigd door The Zep Man op vrijdag 5 december 2008 10:26]


Firefox zelf is Open Source... Is het niet zo dat, volgens de meeste open source licenties, de add-ons voor een product dan ook open source moeten zijn? Zoiets meen ik een keer gehoord te hebben namelijk.

Dan is de broncode natuurlijk heel simpel op te vragen en te controleren.

Los van of je uberhaupt gelijk hebt (volgens mij druppelt het open source zijn niet door naar de plugins) is het punt meer dat je niet zomaar kunt achterhalen dat de sourcecode die je hebt ook daadwerkelijk bij de plugin hoort. Dat is nu juist het hele punt van het signen. Dan heb je een garantie dat de plugin vandaan komt bij waar die plugin beweert dat hij weg komt.

Ik ben niet zo thuis in de licenties, dus ik weet ook niet zeker of ik gelijk heb ;)

Bedankt voor de overige informatie. Ik weet dat een ondertekende plugin 'veiliger' is, maar hoe het precies werkt wist ik nooit. Een leerzame comment, waarvoor dank :)

je hebt ook een windows media player plugin voor firefox, en die werkt natuurlijk alleen maar onder windows.
firefox zelf is opensource, alles wat je er verder aan wijzigt of toevoegt is jouw keuze zolang de firefox basis maar beschikbaar blijft als open source.

dus nee, plugins hoeven niet open source te zijn.

en zou dat wel zo zijn dan lap je dat als trojan schrijver heus wel aan je laars.

Malware trekt zich niets aan van licenties :Y)

Firefox zelf is Open Source... Is het niet zo dat, volgens de meeste open source licenties, de add-ons voor een product dan ook open source moeten zijn?
Nee, dat is absoluut niet waar. Waar jij op doelt is de eis van GPL-achtige licenties, dat afgeleiden van een GPL-product ook GPL moeten zijn, dus als jij de broncode van een GPL-product gebruikt om een nieuw product te maken, dan moet dat product ook GPL worden. Niet alle Open Source licenties hebben die beperking, BSD-achtige licenties hebben die eis niet. Firefox valt overigens onder geen van beide licenties, maar heeft een eigen licentie (Mozilla Public License, die ergens tussen die 2 inhangt).

Overigens is dit niet echt van belang, vanwege wat Ge Someone zegt...

Of plugins van een open source-toepassing ook open source moeten zijn hangt van de gebruikte open-source licentie af...

Zolang extensies praktisch nooit digitaal ondertekend worden, kan nooit aangenomen worden dat ze veilig zijn. En zelfs bij de meeste (alle?) extensies die gedownload kunnen worden bij Mozilla wordt dit niet gedaan
Volgens mij zijn alle extensies die van Mozilla.org komen digitaal ondertekend, ze worden via HTTPS gedownload en de bron (mozilla.org) wordt geverefieerd met een certificaat.

Wat volgens mij ook hiermee bedoeld wordt:
De add-on-website van Mozilla zou veilig zijn, omdat extensies worden gecontroleerd voordat deze te downloaden zijn.

[Reactie gewijzigd door johnbetonschaar op vrijdag 5 december 2008 11:06]


De extensies zelf zijn niet digitaal ondertekend, maar het transport-medium is wel (dmv SSL) beveiligd.

Verder kun je standaard alleen downloaden van addons.mozilla.org...

Om een besmetting op te lopen, moet de gebruiker overigens wel een besmette website bezoeken of de malware handmatig te downloaden
Ik neem aan dat een besmette website met een pop-up of zo komt die die namaak-Greasemonkey aan de gebruiker ter installatie aanbied?

Dan is het nog steeds wel de gebruiker die uiteindelijk de fatale knop indrukt, automatisch gebeurt er denk ik weinig. En daar is dan weinig tegen te beginnen, hooguit een systeem dat alleen gecertificeerde plugins toe staat of zo.

Sterker nog, om een add-on te kunnen installeren van ene niet-mozilla website, moet je eerst expliciet die website gaan toevoegen als vertrouwd en daarna moet je dan op de knop installeren klikken.

Waarschijnlijk komt er wel een update die het bestand blokkeert. Ook raar dat het Trojan.pws.chromeinject.a heet en voor firefox bedoeld is :P

de UI van je browser word vaak "chrome" genoemd. kijk maar eens in FF in about:config.

En hoeveel mensen klikken er zonder te lezen? Precies :)

Je moet al meer doen dan gewoon klikken om deze binnen te halen.

Daarom zouden ze alleen gesignde Add-ons moeten toelaten in Firefox.

Maar wacht, dan krijg je weer dezelfde idioten die klaagden dat Vista geen ongesignde drivers slikte.

Maar voor de gewone thuisgebruiker is deze oplossing wel het gemakkelijkste, zorg ervoor dat Mozilla de extensies checkt, zorg ervoor dat ALLEEN Add-ons vanaf de site van Mozilla geinstalleerd mogen worden (voor de gebruiker: installeer alleen Add-ons vanaf die site), en sign die Add-ons.

Daarom zouden ze alleen gesignde Add-ons moeten toelaten in Firefox.

Maar wacht, dan krijg je weer dezelfde idioten die klaagden dat Vista geen ongesignde drivers slikte.
Dat telt ten eerste alleen voor Vista 64-bit. Ten tweede is er een makkelijke workaround: Vista in Test Mode draaien (eventueel permanent) en gewoon de drivers signen met een zelf gegenereerd certificaat.

En alleen gesignde add-ons toestaan... er wordt nu al een expliciete waarschuwing gegeven bij niet-gesignde add-ons, zelfs in rode letters. Het blijft de verantwoording van de gebruiker, niet van de ontwikkelaar.

Signed addons werkt toch niet. Hoe wou je dat gaan afdwingen? Door alles door mozilla te laten ondertekenen? Leuk voor hobbyisten, die iets nuttigs aan het bouwen zijn. Als je dit echt vind na wat verder nadenken, wil je dus ook dat alle internet downloads verboden worden, want het zou wel eens een virus kunnen zijn.
Op het moment is het prima geregeld. Je krijg een melding van firefox als een site een addon probeert te installeren zonder jouw toestemming, en blokkeert het, tenzij je het zelf handmatig toe staat. Als je dan alsnog zo dom bent om expliciet addons te installeren waar je niet zelf om gevraagd hebt, dan is het je eigen schuld en kan ik er geen medelijden mee hebben.

Signed addons werkt toch niet. Hoe wou je dat gaan afdwingen? Door alles door mozilla te laten ondertekenen?
Kenmerk van signen is dat dit door de ontwikkelaar gedaan wordt. Zo kan zelfs Mozilla geen wijzigingen aanbrengen zonder de handtekening ongeldig te maken.

Echter, ik ben het met je eens dat het optioneel moet blijven.

Juist, en wat denk je dat een trojanschrijver dan zal doen? signen is niet zo moeilijk hoor..

Om te signen als Mozilla, heb je de private key van Mozilla nodig. Die heb je niet. Maar als het optioneel is, sign je het gewoon niet. Probleem ook opgelost :+

Je moet toch altijd toestemming geven om een add-on te installeren?
Dus hoe kan deze add-on zich dan installeren zonder toestemming?

Niet. Maar zaarschijnlijk omdat de gebruiker iets krijgt ala "GreaseMonkey update available. Install now?" en niet "I'm a trojan! Imma get teh yuor login datas!". En dan nog. Een deel zal het zelfs niet lezen en gewoon op "Ja" klikken.

Ik vind het vreemd dat ze die dingen niet controleren of er een virus in zit voordat ze hem publiceren op mozzila.org.

Maar de mens moet wel kijken wat ze downloaden en bij een betrouwbaar iemand weghaalt en niet bij jan en allemaal kan downloaden.

Maar dat is echter mijn mening over het gebruik van add-ons in het algemeen

Ik vind het vreemd dat ze die dingen niet controleren of er een virus in zit voordat ze hem publiceren op mozzila.org (sic).
Het virus wordt niet via de addons site van Mozilla verspreid, maar maakt gebruik van een populaire extensie waarmee je door middel van userscripts de look and feel van een site aan kunt passen.

Het virus zelf zal wel dmw een exe oid verspreidt worden denk ik

Ik vind het vreemd dat ze die dingen niet controleren of er een virus in zit voordat ze hem publiceren op mozzila.org.
Doen ze (natuurlijk) wel, zie ook het artikel zelf:
De add-on-website van Mozilla zou veilig zijn, omdat extensies worden gecontroleerd voordat deze te downloaden zijn.

Lezen is ook een kunst he. Deze addon komt niet van mozilla.org, daar worden ze inderdaad gecontroleerd. Deze addon komt van hacker sites die zelf een addon gemaakt hebben. Mozilla heeft nou eenmaal geen controle over wat een of andere grapjas het net op slingert op z'n eigen site (en gelukkig maar).

ik verwacht een firefox update binnen niet al te lange tijd. Tenminste... daar hoop ik op!

Dat ze een blacklist van onveilge extensie inbouwen? Ik weet niet of ze daar aan willen beginnen, :/.

Dat ziet er al in... Mozilla kan centraal extensies blokkeren.

Waarom een update? Firefox doet hier niets verkeerd. De installatie van addons van onbekende sites wordt standaard geblokkeerd. De enige manier waarop je deze trojan kan krijgen is door het zelf expliciet toe te staan (= gebruikers handeling). Dit is geen firefox bug, dit is PEBKAC.

Zelfde punt met AcitveX is het extentiesysteem net zo onveilig als de zwakste schakel (de gebruiker). Ben ik blij dat ik geen FireFox gebruik!

Het verschil met activex is, dat activex low-level OS toegang heeft en mozilla add-ons in een browser sandbox lopen. Dat is inderdaad genoeg om data van websites te loggen, maar in tegenstelling tot activex kun je met firefox addons niet zomaar even een systeem dll vervangen.
Ben ik blij dat ik geen windows gebruik!

Op welke OS'en werkt deze trojan eigenlijk? Alles waar firefox op draait? Alleen windows?
Edit: Op slashdot wordt geroepen dat't niet van toepassing is op linux en os/x..
Ben eigenlijk wel benieuwd waar dat'm in zit :S

[Reactie gewijzigd door Hadron op vrijdag 5 december 2008 10:33]


Ja, vraag ik mij ook af...zijn de extensies voor firefox niet gewoon gelijk op alle OS-en?

Ik vraag het me af. Linux en apples draaien op meer dan alleen i386-(64) architectuur. Dus daar zal de trojan ook nog eens rekening mee moeten houden. Verder gebruikt men een keyring voor passwoorden, terwijl dat op Win systemen anders georganiseerd is. Genoeg verklaringen dus waarom het wel op systeem x en niet op systeem y of andersom zou werken.

Ik vraag het me af. Linux en apples draaien op meer dan alleen i386-(64) architectuur. Dus daar zal de trojan ook nog eens rekening mee moeten houden.
Als de trojan alleen code bevat die geïnterpreteerd moet worden (zoals bij Firefox add-ons), dan werkt het op elke architectuur waarvoor de interpreter bechikbaar is (m.a.w.: voor elke architectuur waar Firefox voor beschikbaar is).

Dit blijkt echter voor deze specifieke trojan niet het geval te zijn. Windows-only, tenzij je onder Linux met Wine aan de slag gaat. ;)

[Reactie gewijzigd door The Zep Man op vrijdag 5 december 2008 20:17]


Waarschijnlijk wel. Ik voel me hier op Ubuntu niet altijd echt veilig als het gaat om browser-hacks. Javascript is niet hardware-afhankelijk, maar deze draait in de browser (@Zamman, het is echt onzin wat je zegt).
Dus als ik het goed heb begrepen, dan is deze hack cross-platform.. net zoals bijvoorbeeld tracking-cookies zover Firefox dat tegenwoordig toe laat. Dus dan toch maar een apart Firefox-profiel voor bankieren, zoals ze ook Windows-users aanraden?

Op welke OS'en werkt deze trojan eigenlijk? Alles waar firefox op draait? Alleen windows?
Edit: Op slashdot wordt geroepen dat't niet van toepassing is op linux en os/x..
Ben eigenlijk wel benieuwd waar dat'm in zit
Dat zal 'm waarschijnlijk in de verspreidingsmethod zitten, als je dit script verspreidt via een Win32-executable, dan zal deze niks ergs aan kunnen richten op een non Win-32 systeem.

Op het moment dat je dit virus op hebt kunnen lopen, had je ook veel ergere virussen op kunnen lopen - vanuit het besturingssysteem gezien dan bedoel ik dan. Het stelen van bankgegevens is erg vervelend, maar het totaal formatteren van een HDD of het vernaggelen van je bestanden is minstens zo vervelend - als je daar geen backup van hebt...

Sorry, maar ik heb liever dat mijn HDD volledig gewist wordt, dan dat iemand al mijn geld van mijn bankrekening haalt, omdat hij mijn inlog gegevens heeft van mijn bank. Het gaat hier niet alleen maar om wat gegevens, maar om wachtwoorden.

Als je bij een bank zit waar alleen een vast wachtwoord voldoende is voor het overmaken van geld, dan heb je gelijk - maar welke Nederlandse bank is dat? (Volgens mij geen enkele).

Mocht je voor tig uren aan werk op je systeem hebben staan, dan wordt je ook niet vrolijk als je dat kwijt bent hoor - dan raar je misschien nog liever 1000-10 000 euro aan geld kwijt dan dat je voor een veelvoud werk kwijt raakt...

(Het is allebei erg vervelend...)

[Reactie gewijzigd door Little Penguin op vrijdag 5 december 2008 11:25]


Als je tig uren aan werk op je computer hebt staan dan ben je gewoon heel dom als je geen backup hebt. Dus in de meeste gevallen zal het dan alleen om prive dingen gaan.

Ik denk omdat een addon geen standaard manier heeft om de verzamelde data up te loaden (uit security overwegingen). Waarschijnlijk hebben ze een manier gevonden om OS commando's uit te voeren en iets te doen als "exec C:/windows/system32/ftp.exe <parameters>"

[edit:]
Ik vond ook dit in de thread:
This [plugin] is intended to be delivered onto a compromised computer system by other malware for subsequent download into Mozilla Firefox's Plugin folder
Blijkbaar is het dus niet de bedoeling dat de gebruiker een popup krijgt van "wil je dit installeren?", maar dat het achter hun rug om wordt geïnstalleerd op een systeem die al virussen of trojans bevat. Hoe wilde je dat doen op een linux/OS X machine, die uiteraard nog niet besmet is?

[edit2:]
Verderop nog dit:
SYMPTOMS: Presence of the: "%ProgramFiles%\Mozilla Firefox\plugins\npbasic.dll"
TECHNICAL DESCRIPTION: It drops an executable file (which is a Firefox 3 plugin)
Het is blijkbaar een dll, oftewel het is in win32 binary format, niet in firefox native code (javascript ofzo). De plugin zal dus niet eens laden op iets anders dan windows.

[Reactie gewijzigd door kozue op vrijdag 5 december 2008 11:28]


Okay.. dan worden alleen de sites herkend en gebruiker/wachtwoord-combinaties uitgelezen met javascript..
Ik was ervan uitgegaan dat de hele boel op javascript werkte, want in dat geval ben ik als linux-gebruiker ook de sigaar.
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 10:33
Vorige 09:12
VNU Media logo Powered by True

© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden

Uitgever van: