Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Je kunt ook een cookievrije versie van de website bezoeken met minder functionaliteit. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , reacties: 131, views: 45.117 •

Op een server van de beheerders van het Dorifel-virus zijn logbestanden aangetroffen met bankgegevens van honderden Nederlanders. Ook is er een ssl-certificaat gevonden dat gebruikt kan worden voor het stelen van inloggegevens.

De beveiligingsfirma Digital Investigation meldt dat zij op de in Oostenrijk gehoste 'masterserver' van de botnet-beheerders loggegevens heeft aangetroffen. Deze publiek toegankelijke logs zouden bankgegevens bevatten van in totaal 549 Nederlanders, waaronder 17 slachtoffers bij de Rabobank, 15 bij SNS, 49 bij ABN Amro en 468 bij ING. Bovendien zou de betreffende server phishingsites bevatten die ingezet kunnen worden om bankgegevens buit te maken bij klanten van deze vier banken.

Volgens Digital Investigation lijkt het erop dat het Dorifel-virus, dat de afgelopen week voor grote problemen zorgde bij overheden en bedrijven, is ingezet om het Citadel/Zbot-botnet weer actief te maken door nieuwe zombie-pc's te activeren. Verder meldt het bedrijf dat er tienduizenden computers in Nederland met het virus besmet zijn geraakt; het Nationaal Cyber Security Centrum stelde vrijdag nog dat de uitbraak van het Dorifel-virus inmiddels onder controle is.

Inmiddels zijn er door beveiligingsonderzoeker Rickey Gevers ook aanwijzingen gevonden dat de beheerders van het Dorifel-malware gebruik maken van Fragus, een framework voor het construeren en aansturen van botnets. Deze 'crimeware' kan op zwarte markten gekocht worden. Verder zouden de beheerders op 1 augustus een ssl-certificaat geregistreerd hebben voor het domein bank-auth.org. Met behulp van dit domein zou kwaadaardige code in de browser geïnjecteerd worden als besmette klanten gaan internetbankieren. Diverse 'waarschuwingsteksten', die bezoekers van een banksite moeten lokken naar een server van de criminelen, zijn opgesteld in gebrekkig Nederlands.

Gevers stelt verder dat hij van de data op de slecht beveiligde masterserver een kopie heeft gemaakt en aan de 'juiste personen' heeft doorgegeven. Wel waarschuwt hij dat de beheerders naar alle waarschijnlijkheid meerdere command & control-servers in de lucht hebben en deze de komende weken nog kunnen inzetten om opnieuw malware te verspreiden.

Uit een ontleding van het Dorifel-virus blijkt dat de malware is geschreven in de programmeertaal Delphi en dat de code opvallend goed leesbaar is waardoor de werking vrij eenvoudig achterhaald kan worden, zo schrijft Webwereld. De malware beschikt over een mechanisme om nieuwe ip-adressen van c&c-servers op te halen. Hoewel de gebruikte RC4-versleuteling van Office-documenten weinig complex is, wordt voor communicatie met de masterservers sterkere rsa-encryptie gebruikt.

Gerelateerde content

Alle gerelateerde content (23)

Reacties (131)

Reactiefilter:-11310126+190+22+30
oeps :s

Kun je trouwens ergens terug zien of je eigen rekening nummer er tussen staat?

Ongewenst?

[Reactie gewijzigd door demilord op 12 augustus 2012 11:56]

vroeg ik me ook af., maar betwijfel dat het door publiek in te zien is ;)
Zodra er misbruik wordt ontdekt gooit de bank je rekening vanzelf wel op slot, en zal je worden geinformeerd. En de kans dat jij onder de paar honders Nederlanders valt is bijzonder klein...
Ook zullen deze rekeningnummers waarschijnlijk allemaal van mensen zijn die zich om de tuin hebben laten leiden door 'diverse waarschuwingsteksten in gebrekkig Nederlands'.
Volgens mij loop je een beetje achter de feiten aan.
Het is allang niet meer nodig, om mensen te lokken naar een nep site ofzo.

Door gebruik te maken in lekken van de gebruikte software, weten ze een een virus op je computer te zetten. Welke ingrijpt, wanneer je gaat bankieren. Voor jou en mij lijkt het in orde, maar onder water wordt er echter een ander bedrag over geboekt naar een andere rekening. Dit allemaal, terwijl de scherm blijven zoals je zou verwachten.
Daarom moet je tegenwoordig ook het bedrag intypen in je key generator. Het bedrag is dan niet meer tewijzigen voor een succesvolle transactie.
Juist bij de ING zitten veel (voormalig Postbank) klanten die helemaal geen keygenerator hebben.
Klopt helemaal. Maar ING-klanten (ik heb ook een rekening lopen bij ze) moeten wel een TAN code invoeren als bevestiging. Die TAN code komt over het algemeen binnen via sms, en in datzelfde smsje wordt ook het bedrag genoemd.

Toegegeven, het is een stuk vatbaarder voor misbruik. Ik betrap mezelf er ook vaak op alleen de code over te tikken, en de rest van het bericht te negeren. Het is echter niet per definitie minder veilig.

Wel vreemd overigens dat het merendeel van de getroffenen ING gebruikers zijn.
Klopt.

Echter, doe eens een paar transacties tegelijkertijd. Op je scherm staat het totaalbedrag (voor de komma) vermeld dat je moet intoetsen. Hoeveel mensen rekenen dat bedrag daadwerkelijk na?

Uiteraard, het verhoogt de veiligheid nog steeds. Maar vergis je niet; mensen zijn op deze manier nog steeds te foppen.
Dat bedrag hoef je niet na te rekenen. Het staat op de site. Je hoeft het alleen maar te controleren.
Precies mijn punt. Op het moment dat malware transacties ertussen kan smokkelen, is het ook wel mogelijk om dat bedrag aan te passen. En dát controleert dus bijna niemand meer.
vroeg ik me ook af., maar betwijfel dat het door publiek in te zien is ;)
"...Deze publiek toegankelijke logs..."

Edit: Uitleg hier om zelf aan de slag te gaan: http://www.digital-invest...dse-banking-phishing.html

[Reactie gewijzigd door airell op 13 augustus 2012 09:27]

ik vind dat de overheid of betreffende instantie verplicht dit aan de getroffenen moet bekend maken plus met een oplossing komen (bijv. nieuwe bank gegevens ect. nieuwe persoons ID ...). En dit moet niet de taak van de burger zelf.
Sorry, maar je bent toch ook verplicht je deur op slot te doen ondanks dat inbreken bij wet verboden is? Je bent als burger verplicht zelf goed op te letten.
Veilig internetbankieren is overigens heel simpel: gebruik een live CD (bv. met Linux of FreeBSD) voor internetbankieren. Gebruik Windows alleen voor niet-kritische zaken.
Veiliger zal het wel zijn, maar het is ook zeer onhandig. Daar komt nog bij dat de gemiddelde Nederlander niet eens weet waar je het over hebt als je "live CD" zegt..
En Linux? Is dat niet iets van software waar je "nerds" wel eens over hoort spreken? ;')
Dat is inderdaad ontzettend simpel. Ik hoef alleen maar een vaste tijd van de dag in te ruimen waarop ik mijn machine reboot om bankzaken af te handelen. Het gemak dient warempel de mens. 8)7

Ja, je kunt natuurlijk een tweede machine aanhouden specifiek hiervoor, of zelfs gewoon helemaal overstappen op Linux. Dat laatste is minder veilig dan een live CD, al kan de live CD zelf ook weer onveilig worden als je niet regelmatig een nieuwe bakt met de laatste security updates (want dat je systeembestanden niet besmet kunnen worden met een virus betekent nog niet dat je systeem veilig is). Veiligheid voor gevorderden, zeg maar.

Persoonlijk vind ik up-to-date blijven, mijn virusscanner draaien, surfen met alles dichtgetimmerd en anderszins geen software van vreemde mannen aannemen goed genoeg, maar ik verkeer niet in de illusie dat ik absoluut veilig ben. Dat is sowieso niet aan te raden, want de bank zelf is vaak ook niet bepaald een onneembare digitale kluis.
Waar is de tijd van virtuele machines toch gebleven.
een man in the middle attack bij een ssl verbinding wordt toch vrij lastig.

Om dat te kunnen doen moet je ook de juiste ssl certificaten hebben, dat betekend dus of een gehackt root certificaat (aka diginotar) oftewel een self signed.
Bij een self-signed krijgen mensen nog een waarschuwing dat het om een onbekend root certificaat gaat, mensen zijn dus al meer gewaarschuwd.

Een aanval met een self signed certificaat kan je makkelijk minder effectief maken door browsers zo te configureren dat ze nooit self signed certificaten accepteren, je zou dan bijv 1 browser hebben voor alles wat veilig moet, en die puur alleen de hoognodige certificaten heeft. Gehackte root certificaten worden dan ook iets minder waarschijnlijk.

De meest realistische aanval op dit moment is nog steeds een client side aanval, bijv een plugin in firefox a la greasemonkey die extra betaalopdrachten hangt aan jouw opdrachten zonder dat je het zelf te zien krijgt. Je doet dan zelf al het login werk, en de verbinding is op dit moment al gedecrypt.

[Reactie gewijzigd door terror538 op 12 augustus 2012 14:21]

Nuttige uiteenzetting, maar vandaar ook mijn "bijvoorbeeld". Als de host-machine niet te vertrouwen is is de virtual dat ook niet. Weliswaar acht ik het zeer onwaarschijnlijk dat iemand exploits gaat schrijven die VMs targeten op een gecompromitteerde host, maar het principe blijft.

Als ik dat soort veiligheid wilde zou ik inderdaad een aparte fysieke bak gebruiken die niets anders doet dan internetbankieren, en die tussen sessies leeggeveegd wordt en van externe image hersteld. Dat is me alleen teveel tijd en moeite. Een virtual met Linux voegt naar mijn smaak te weinig toe.
@terror 538: Remember Diginotar?
Zolang jij er alles aan gedaan hebt om niet bestolen te worden, vergoed de bank de schade. Zelfs wanneer mensen wel naief zijn geweest doet de bank dat in veel gevallen nog, omdat ze iedereen aan het internetbankieren willen hebben en niet willen dat het de naam krijgt onveilig te zijn.

Wat hierboven beschreven staat is dus genoeg. Dat moet ook maar genoeg zijn, want je kunt niet van mensen gaan verlangen te rebooten met een livecd. Voor degenen die dat wel normaal vinden is dat ook niet echt nodig, want die hebben voldoende verstand van zaken om de boel gewoon dicht te timmeren. Worden ze dan nog bestolen, dan is de bank er altijd nog.
Je bent als burger niet verplicht je deur op slot te doen.

Als iemand die je niet kent, alsnog ongewenst binnenkomt valt dit onder huisvredebreuk inplaats van inbraak.
Wie beweerd deze gegevens bij de consument gelekt is en niet via instantie's? want dat is eerder het vermoeden wat ik in dit geval krijg.

Daarbij is het zo dat hun inzage hebben om te zien wie gedupeerd zijn.
Dan vind ik het ook dat ze een meldplicht hebben aan de getroffenen.

Of heb je liever dat heel Nederland zelf maar moet gaan bellen om na te gaan ze niet in de lijst staan? dat lijkt me wel de omgekeerde wereld als ze daar over de gegevens bezitten.
Sorry, maar je bent toch ook verplicht je deur op slot te doen ondanks dat inbreken bij wet verboden is? Je bent als burger verplicht zelf goed op te letten.
Hoewel logisch (en ik het met je eens ben) is het niet waar wat je hier zegt. Als iets in huis staat en iemand anders haalt er uit, ondanks dat de deur open staat, is het voor de wet nog altijd diefstal (in NL althans). Dat de verzekering niets vergoed is logisch, die wil het zekere voor het onzekere. ;)

[Reactie gewijzigd door CptChaos op 12 augustus 2012 14:42]

Deze publiek toegankelijke logs zouden bankgegevens bevatten van in totaal 549 Nederlanders, waaronder 17 slachtoffers bij de Rabobank, 15 bij SNS, 49 bij ABN Amro en 468 bij ING.
Vraag is dan... waar?
Ben ook wel benieuwd als Rabobank-klant.
Alleen ING is verhoudingsgewijs wel veel... hoe zou dat komen?
TAN codes (ING dus) maken het simpeler om toegang tot een rekening te krijgen.
Het mooiste zijn die vellen met éénmalige codes, bestaat dat nog?
Ja die vellen bestaan nog. Mijn vader gebruikt die nog steeds omdat hij geen mobiel heeft.
Ik gebruik die ook nog steeds :D
De Tan codes lijken me ook nu nog relatief veiliger dan de andere oplossingen.
Alleen man in the middle en fysieke inbraak zijn de zwakke plekken.

Toch maak ik me zorgen hierover want wie betalen dit soort fraude's, juist iedereen die klant is van een bank.
We kunnen ook niet meer terug. Een week niet kunnen internetbankieren legt dadelijk de gehele economie plat met miljarden aan schade.
TAN codes zijn zo ongeveer de minst veilige vorm. Het zijn allemaal stuk voor stuk ongecodeerde toegangscodes die ook nog eens gewoon op papier staan. Een TAN code word al jaren niet meer als echt veilig beschouwd maar voor de bank is het vooral een kwestie van kosten vs risico. Dat een bank iets gebruikt wil helaas niet per definitie zeggen dat het veilig is.
Onzin. Ten eerste zijn het geen toegangscodes, maar codes waarmee je per transactie akkoord geeft. Je zult dus eerst ingelogd moeten zijn (gebruikersnaam/wachtwoord), alvorens je überhaupt van TAN-codes gebruik maakt.

Ten tweede hoeft ongecodeerd zijn niet per se te betekenen dat iets onveilig is, dat hangt geheel af van wat die codes voor toegang geven, in dit geval 1 unieke transactie per code (zie ook punt 1), pas nadat je ingelogd bent.

Ten derde kun je afzonderlijke TAN codes ook laten sturen naar je mobiele telefoon, op het moment dat je een betaling gaat doen, nogmaals nadat je al ingelogd bent met een gebruikersnaam en wachtwoord.

Ten vierde is het inderdaad altijd een afweging van kosten en risico, en dat wil inderdaad niet per se zeggen dat iets veilig is, maar als je iets van security zou weten zou je ook inzien dat je altijd bezig bent het risico te beperken, niet te verwijderen.
Nee onzin is het niet. Inloggen met 1 factor, iets wat je weet (username en password) is niet veilig genoeg, dat weet de bank ook.

Ten tweede betekent ongecodeerd in dit geval wel dat het onveiliger is dan een gecodeerde oplossing. Het gaat in dit geval niet alleen om ongecodeerde codes maar ook om op voorhand bekende (pregenerated) codes. Ook minder veilig dat de andere bekende oplossingen. Ook al zijn het unieke codes (wat al niet mogelijk is met het beperkte aantal cijfers en letters waaruit de code bestaat) zijn deze op voorhand bekend, verzonden via een onveilig en onbetrouwbaar medium, en is het mogelijk de benodigde codes voor de volgende transacties zo af te lezen.

Ten derde: ook een mobiele telefoon is niet een de defacto veilig apparaat. Wederom een kwestie van afweging tussen beveiliging en gebruiksgemak. De mobiel is een vervanger / alternatief op de papieren lijst. Iets met de zwakste schakel enzo.

Het vierde punt klopt precies, je leest ook nergens dat ik anders beweer volgens mij.

[Reactie gewijzigd door Bor de Wollef op 12 augustus 2012 19:01]

Jazeker die gebruik ik ook nog. Want: lekker handig als b.v. Vodafone er weer eens dagen uit ligt, (heel onwaarschijnlijk toch???), en je wilt een TAN code via je mobiel genereren. Of je mobiel is gejat of....
Papier is zo gek nog niet.

[Reactie gewijzigd door fiveagainstone op 12 augustus 2012 15:10]

Het mooiste zijn die vellen met éénmalige codes, bestaat dat nog?
Ik heb onlangs weer een nieuw maagdelijk velleke binnengekregen. En zou niet weten hoe het anders moest. ;)
Ik gebruik ze ook nog, maar ja ik woon in het buitenland en heb dus geen NL Mobiel

[Reactie gewijzigd door mjcm op 13 augustus 2012 08:08]

Dat vond ik dus ook. ING doet in mijn ogen te weinig om klanten te behoeden voor dit soort praktijken. Ben ik ff blij dat ik bij de Rabobank zit. Rabobank haalt niet vaak negatief het nieuws en het aantal keren dat zij aangevallen zijn kan ik op 1 hand nog tellen. Dus ik hoop dat ING hier een wijze les uit kan trekken en es keer pro actief optreedt door klanten meer bewust te maken van de risico's van internetbankieren.
Misschien omdat het voormalig Postbank klanten zijn en gaat het om gegevens afkomstig van een uitkeringinstantie, niet zo gek als het voornamelijk gemeentes gaat.
Misschien omdat het voormalig Postbank klanten zijn
Sterker nog, ik ben een voormalig Gemeentegiro-klant. ;)
Bij mijn werkgever kun je ook zulke certificaten vinden voor alle banken in Nederland. Vind het zelf raar en risicovol. Zelfs verzocht die niet te genruiken, maar mijn werkgever is bang dat banken malware bij ons binnen brengen via hun mijn.klant omgeving dus vinden ze dit een goede keuze om zelf certificaten uit te geven voor alle banken en deze automatisch op het hele netwerk als betrouwbaar aan te merken en vervolgens het bankverkeer inbetween te devrypten. Dit ook van ingehuurd en intern persoonneel welke niet op de hoogte zijn gebracht nog een clausule in hun contract hieromtrent hebben.

[Reactie gewijzigd door djwice op 12 augustus 2012 16:28]

Ik raad iedereen ook aan, om deze domainen en ip's te blokkeren op de netwerk router. Ik heb dit hier inmiddels gedaan. Raar is dat sommige ip's verwijzen naar aol.com

edit: Waarom wordt dit als ongewenst gemod ?

[Reactie gewijzigd door ddcreations op 12 augustus 2012 11:57]

Verstandig om te doen idd. Alleen is het dweilen met de kraan open, want zodra je een IP adres blokkeert gaat het virus weer een andere gebruiken. Dus weet niet of je hiermee 100% zeker alles blokkeert...
Raar is dat sommige ip's verwijzen naar aol.com
De domain records verwezen niet naar AOL, je werd er volgens mij naar geredirect door de webserver. Na de publicatie van Rickey Gevers ligt de webserver plat:
Pretty fast after posting this blog both IP-adresses stopped displaying any html messages. Eventhough the servers themselves are still up. Which is an indiction of them just being proxies.

[Reactie gewijzigd door Petervanakelyen op 12 augustus 2012 12:25]

Mischien een domme vraag, maar....hoe kan ik dit doen??
IP-adressen 184.82.162.163 en 184.22.103.202 blokkeren, kan je in bijna alle firewalls wel instellen.

Lees ook dit artikel erop na:
http://www.kaspersky.com/nl/news?id=121
Hoewel het zeer spijtig is dat men zo ver is geraakt met het virus hoop ik wel dat bij sommige mensen de ogen opengaan en men leert dat het niet enkel bij openbare instellingen misgaat, maar ook bij private ondernemingen.

Wel grappig dat de makers van het virus/botnet zelf hun zaakjes niet in orde hebben als het op beveiliging aankomt.
Ik vraag me ook af in hoeverre die logs echt publiek toegankelijk waren, dat zou wel een gigantische fout zijn van de servereigenaar. Terughacken mag niet bij wet, maar wat mij betreft in dit soort gevallen oogluikend toestaan.

Er is overigens geen reden om een virus / botnet goed te beveiligen als een van de doelen is niet ontdekt worden. Juist door extra die beveiligingslagen gaat je programmatuur weer opvallen.

Ik vraag me af bij hoeveel thuisgebruikers dit botnet ondertussen actief is, het zou me niks verbazen of dat is een veelvoud van het aantal geinfecteerde overheidscomputers.

EDIT: Het virus / botnet schijnt overigens via phisingmails geinstalleerd te worden, waarbij gebruik wordt gemaakt van 2 nieuwe, tot voor kort onbekende, java exploits. Het downloaden van de virussen loopt naar verluidt via TOR.

[Reactie gewijzigd door kjast op 12 augustus 2012 12:09]

Je kan alles nalezen op de blog van Rickey. Blijkbaar hadden ze directory listing aan staan waardoor alles inderdaad toegankelijk was.

[Reactie gewijzigd door Petervanakelyen op 12 augustus 2012 12:25]

Punt is dat we nog maar het topje van de ijsberg weten. Iedereen roept nu wel dat het 'onder controle' is, maar het blijft een feit dat het botnet dus al veel langer bestaat. Bergen pc's zijn dus al lange tijd geinfecteerd en dat komt nu pas boven water.

Wat mij betreft is er helemaal niks onder controle zolang we niet in z'n totaliteit weten wat dit virus nog meer doet, hoe groot het botnet is en hoeveel mogelijkheden het nog heeft om nieuwe malware binnen te hengelen. En daarmee weten we ook nog niet hoeveel en welke gegevens er zijn buitgemaakt. Nu zijn het toevallig een paar bankrekeningen, maar wellicht zijn er al veel meer (medische? financiele?) gegevens geharvest...

Wat ik mij afvraag is waarom dit virus in vredenaam Office-documenten versleutelt. De maker/exploitant van het botnet heeft hier niks aan, het draagt alleen bij aan ontdekking. Bugje?
Zijn er inmiddels virusscanners die dit virus kunnen ontdekken? En hoe zou je dit virus binnen kunnen krijgen, door middel van bijlagen bij mails of ook via sites?
De bekenste virussanners weten het inmiddels te onderscheppen b.v. Mcafee.
Kaspersky heeft een tool uitgebracht:
http://www.kaspersky.com/nl/news?&id=121?&thru=reseller%3Ddorifel-banner

Surfright (makers van Hitman Pro) hebben ook een tool uitgebracht:
http://www.surfright.nl/nl/support/dorifel-decrypter

Beiden zijn gratis te downloaden.

Overigens hebben Kaspersky, McAfee en Symantec kort na de uitrbraak van het virus het nieuwe virus opgenomen in hun definities.

De manier waarop het virus verspreid staat al in het artikel hierboven.Via het Citadel/ZBot botnet. Je hebt dan al een bestaande infectie als je dorifel erbij krijgt.
toch wel bijzonder dan dat die bestaande infectie op die windows pc's niet gevonden kon worden door al die scanners...
Kaspersky detecteert het ook. Zowel in Office documenten (Word en Excel) als in besmette excute files (exe). Daarnaast kan Kaspersky besmette bestanden weer opschonen.
Tja waterdicht kun je het nooit maken :)
Nope, maar wat veel nee-zeggers (tegen e-banking) vergeten, en wat mij betreft hen argumenten uit handen slaat>>>> banken vergoeden altijd wel als jouw rekening geplunderd wordt, en houden het verder stil. Waarom? e-Banking is goedkoop voor het bankwezen, en het vertrouwen moet blijven.

[Reactie gewijzigd door Sjah op 12 augustus 2012 12:09]

het gaat dan ook om een kosten-baten analyse, en persoonlijk gebruik ik ook liever internetbankieren met het risico dat het af en toe fout kan gaan.
En met acceptigiro's is er nooit iets misgegaan? Denk aan de hengelaars die acceptgiro's uit de brievenbus van de bank hengelden en het rekeningnummer veranderden. Wat te denken van het frauderen met een handtekening? Nee, het gouwe oude tijdperk was ook niet veilig. Niets is dat. Laten we dat nou eens accepteren. Neem je voorzorgsmaatregelen. Zoals al eerder gezegd is hier: installeer de updates van je OS en je software. Surf verstandig. Etc. Helaas zijn een heleboel mensen behoorlijk naief als het op dit soort zaken aankomt.
banken vergoeden altijd wel als jouw rekening geplunderd wordt
Dat is niet het geval. Wanneer er aantoonbare nalatigheid kan worden geconstateerd zullen diverse banken geen vergoeding uitkeren. Bij veel banken staan hierover ook zaken in de voorwaarden. Sterker nog, wanneer je de meeste voorwaarden bekeek een tijdje terug waren er maar een paar banken die hier echt iets geregeld hadden en een deel van de banken probeerden het risico (gedeeltelijk) op de gebruiker af te schuiven.
Waarom zouden we het niet waterdicht kunnen maken? omdat men niet weet hoe? of omdat windows dat niet toelaat?

Als je from the scratch elke regel code en structuren, protocollen veiligheid in acht neemt dan is het wel te doen. Maar met virusscanners red je het niet.
nee elke software bevat bugs en exploits dus 100% waterdicht is echt wel een brug te ver op dit moment
En daarnaast is natuurlijk de gebruiker zelf ook een van de grootste risico's.
nee elke software bevat bugs en exploits dus 100% waterdicht is echt wel een brug te ver op dit moment
Een bug te ver bedoelde je ? ;)
Dat kan best, maar dan moet je code en data strikt gescheiden houden. Daar zijn in het verleden wel eens computermodellen voor ontwikkeld.

In de begindagen was het bijvoorbeeld onmogelijk om via email besmet te raken. Email was gewoon ASCII tekst en niets meer. Dat ging prima tot men om het waanzinnige idee kwam dat email opmaak moest hebben in HTML, je er binaries mee moest kunnen versturen die je direct kon openen en dat er script code en redirects in moesten kunnen zitten.

Een zelfde verhaal kun je ophangen over HTML en tekstverwerker documenten. Toen het nog alleen data was kon je er niets mee; pas toen dat ook sturend gedrag begon te krijgen ging het mis.

Ik denk dat als je vandaag de dag je mail leest met Eudora 2.0 je bestand bent tegen elk email virus. Alleen krijg je dan wel onleesbare HTML of base64 code troep te zien want plat ASCII wat het email systeem voor gemaakt is stuurt niemand meer.

Dat zelfde geldt voor als je HTML pagina's leest met Lynx. Niet dat iedereen dat nu moet gaan doen, maar wel om aan te geven dat het best waterdicht kan. Maar dan moet je het wel zuiver houden en sommige dingen kunnen dan gewoon niet meer. Als je code en data maar strikt gescheiden laat.

Overigens is er nog een andere methode. Een read only file systeem en alle data verder in het geheugen houden. Je kan dan wel besmet worden, maar na een reboot is alles weer schoon. Bijvoorbeeld MS-DOS 6.0 op een write protected floppy. Knappe jongen die dat kan infecteren (vermits de schrijfbeveiliging hardware matig is en de floppy drive firmware in een niet programmeerbare rom zit).

Ik denk dat het Chronium OS wat dit betreft ook al een heel eind in de richting komt, alleen de mogelijkheid tot installeren en updaten is weer wel weer een potentieel security gat.
Overigens is er nog een andere methode. Een read only file systeem en alle data verder in het geheugen houden. Je kan dan wel besmet worden, maar na een reboot is alles weer schoon. Bijvoorbeeld MS-DOS 6.0 op een write protected floppy. Knappe jongen die dat kan infecteren (vermits de schrijfbeveiliging hardware matig is en de floppy drive firmware in een niet programmeerbare rom zit).
De floppy drive, een stuk hardware uit het prille begin van de microcomputer, Nee, een ROM zal je daar niet op vinden. De schrijfbeveiliging is zover mij bekend zelfs softwarematig geïmplementeerd. Als je direct de controller direct aanstuurt, en niet via het OS, is deze te omzeilen.
Nee, die was hardwarematig ingebouwd in de drive.
Inderdaad wel raar dat ze voor delphi hebben gekozen, wat ik ook raar vind is waarom de overheids instellingen zo slordig met beveiliging omgaat. En dat ze bank gegevens gecodeerd opslaan met een versleuteling.. Maak me toch wel steeds meer zorgen dat steeds meer via het internet moet.. Denk dat de regering toch echt moet gaan denken om te migreren naar een veiligere alternatief..
"Denk dat de regering toch echt moet gaan denken om te migreren naar een veiligere alternatief.."

Niet denken maar doen.
Desnoods een eigen OS waarbij dit soort akkefietjes niet kunnen voorkomen.
Want een zelf ontwikkeld OS heeft geen kwetsbaarheden? 8)7 Elk OS bevat kwetsbaarheden, dat is iets wat je gewoon moet realiseren. Bovendien lijkt me dat het vele malen goedkoper is om te investeren in AV producten, firewalls en gebruikers trainen, dan de kosten van een eigen OS maken en bijhouden. Vooral nog het gebruikers trainen, de meeste ellende wordt nog veroorzaakt door een gebruiker die lukraak elke attachment opent of op elke link klikt die hem/haar voor de neus komt.
"Want een zelf ontwikkeld OS heeft geen kwetsbaarheden? Elk OS bevat kwetsbaarheden, dat is iets wat je gewoon moet realiseren."

Dus is er geen ruimte voor verbetering ? |:(

"Bovendien lijkt me dat het vele malen goedkoper is om te investeren in AV producten, firewalls en gebruikers trainen, dan de kosten van een eigen OS maken en bijhouden."

Het is geen compromis die je zou moeten willen sluiten. Zulke dingen moeten gewoon _goed_ zijn en mag gerust geld kosten. Commerciele bedrijven willen je niet beschermen met hun 'goede' AV en firewalls. Die willen enkel geld verdienen. Daarin investeren is dus weggegooid geld.
"Denk dat de regering toch echt moet gaan denken om te migreren naar een veiligere alternatief.."
Regering, overheid en ict... En jij wil ons aan een door hen ontwikkeld nieuw OS hebben. ? Nou dan bankier ik wel weer in het gebouw om de hoek ipv per computer.
Dat moet allemaal via internet om simpele redenen de lage kosten.
Want dat scheel aardig aan filialen en de werkforce voor al die loketten.

Blijkbaar is die online service en beveiliging en vergoeding nog steed goedkoper.
Delphi zou inderdaad niet het eerste zijn wat in mij opkomt voor het schrijven van trojans. Van de andere kant is de taal er op zich flexibel genoeg voor en maakt zeker een onervaren programmeur er minder makkelijk fouten mbt geheugenbeheer dan in standaard-C of C++, wat je trojan ook wat minder doet opvallen.
Het kan niet vaak genoeg gezegd worden, maar ook hier wordt het belang van het up-to-date houden van je software weer eens duidelijk. Echter dit 'probleem' heeft een veel gevaarlijkere bron, de 'human error'.

Mailtjes van banken etc, klantgegevens die (vooral bij ING) worden ontfutseld is 100% doordat mensen de e-mails maar klakkeloos vertrouwen, het 'lijkt' betrouwbaar. Helaas is in bijna alle gevallen *erg* makkelijk te zien of het gaat om een authentieke e-mail of een fake. Het lijkt me derhalve ook zeer zinvol dat de banken (en dan in dit geval met name ING) wat meer voorlichting geven met betrekking tot de gevaren van het online bankieren, zodat de gebruikers in elk geval weten wat ze wel of niet kunnen verwachten.
True, al moet ik zeggen dat de branche de laatste tijd wakker lijkt te worden. Waarschijnlijk omdat het ze zelf steeds meer geld kost, maargoed.
De Nederlandse Vereniging van Banken voert in elk geval steeds meer campagne.
Het probleem is die Zombie PC dat is dat groep van de massa die hun beveiliging niet op orde hebben en zich er niet zo van bewust zijn. Ook volkstammen die in fishing trappen.

Dus deels is het ook laksheid van de consument zelf.

Daarnaast krijgt Windows constant veiligheids updates. Volkstammen die autoupdate op hun illigale Win OS uithebben staan krijgen die updates niet of handmatig veel later.

Dat probleem is niet zomaar oplosbaar gezien computer gebruik heel gewoon is geworden. Bij de massa.

Zo is backuppen ook niet iets dat men gedisiplineerd doet.
Het kan en zal misschien totale toeval zijn, maar de ING springt er bovenuit qua aantallen.
Op de één of andere manier heb ik het systeem van de ING altijd onveilig gevonden, en die van de Rabobank het veiligst.
Het lijkt door deze cijfers ondersteund te worden.
Ik ben dan wel benieuwd hoeveel klanten elke bank heeft. Veel mensen om mij heen hebben ING. Denk dat die gegevens in verhouding gezien worden. Mogelijk dat ook ING klanten meer gebruik maken van het internet.
Ach je hebt altijd nog de tancodes nodig, alleen inlog gegevens is niet voldoende om overmakingen te maken.

Het feit is wel dat als je bij de ING zit je het "overal" kan gebruiken, immers je hebt alleen je TAN-codes nodig, en die kan je ook al krijgen via je telefoon.
Bij bv een rabobank heb je toch je raboreader nodig, iets wat veel personen niet (altijd) hebben. Een klant van de ING zal daarom eerder genegen zijn om ergens anders in te loggen (lees niet thuis) en dat is los van waar het is natuurlijk altijd een groter risico dan "veilig" thuis.
ING heeft de meeste klanten. Maar een sterker effect is denk ik dat Jan-met-de-pet vroeger altijd een girorekening had en nu bij ING zit. Rabo/ABN was toch iets meer voor ander publiek. Ik denk het klantenbestand van ING daardoor wat sneller in phising e-mails trapt. Just my 2 cents...
Jij zegt daarmee dat Henk en Ingrid bij de ING zitten, de domoren onder de mensen....lekker dan
En Jan met de kar had de Boerenleenbank. Ik heb ING en ik trap niet in phishing mails.
Ach, veel te veel mensen zijn complete ezels als het op computers aankomt, en denken dat de machine maar alles voor hen doet.

Toen mijn moeder met haar eerste PC begon (een jaar of 8 terug ondertussen), toen heb ik maar één ding hoeven zeggen:

"Onthoud dat je nooit e-mails van de bank, van de gemeente, of wat dan ook krijgt. Deze instanties vragen nooit via e-mail om gegevens."
- "Oh, dus dan moet ik alle e-mails die zogenaamd van die instanties komen, of van onbekende mensen, gewoon weggooien zonder open te maken."

En UAC houdt de rest buiten, want ik heb d'r geleerd dat ze in dat schermpje alleen maar haar wachtwoord mag invullen in geval van het updaten van programma's zoals Firefox, of Windows Update zelf. Als het openen van een e-mail een UAC-melding triggered: annuleren, en alles weggooien.

Die computer is dus ook al 7 jaar brandschoon.

Het zou veel helpen als mensen zich eens zelf realiseren dat ze geen klap van computers afweten en dat ze er eigenlijk hulp bij nodig hebben, want zolang dat niet gebeurt, zullen trojans blijven bestaan. Je hoeft maar iemand te vinden die dom genoeg is om hem te installeren: en tegen mensen die zélf dingen installeren is geen enkele beveiliging gewassen.

Iedereen vindt het de normaalste zaak van de wereld dat je met een auto naar de garage gaat, maar vreemd genoeg is het op computergebied normaal om maar zelf met het apparaat te rotzooien.

[Reactie gewijzigd door Katsunami op 12 augustus 2012 16:29]

Deze cijfers hebben geen relatie tot welke beveiliging bij de banken dan ook, de data is immers bij gebruikers buit gemaakt.

[Reactie gewijzigd door blouweKip op 12 augustus 2012 14:27]

Op de één of andere manier heb ik het systeem van de ING altijd onveilig gevonden,
En dat systeem heeft volgens jou geleid tot gevoeliger zijn voor het Dorifel virus dan andere systemen. ? Ongefundeerde onzin.

Het kan ook zomaar het gevolg zijn van meer klanten bij de ING dan bij de Boerenleenbank. Er zijn nou eenmaal meer burgers dan boeren.
Of een andere insteek kan zijn dat dit gewoon "prutsers" zijn en dat de wat professionelere niet zo gauw ontdekt/ontmanteld worden.

Op dit item kan niet meer gereageerd worden.



Populair:Apple iPhone 6Samsung Galaxy Note 4Apple iPad Air 2FIFA 15Motorola Nexus 6Call of Duty: Advanced WarfareApple WatchWorld of Warcraft: Warlords of Draenor, PC (Windows)Microsoft Xbox One 500GBSalaris

© 1998 - 2014 Tweakers.net B.V. Tweakers is onderdeel van De Persgroep en partner van Computable, Autotrack en Carsom.nl Hosting door True

Beste website van het jaar 2014