Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

ESET ontdekt zeroday in Windows 7 die tegen overheidsinstelling werd gebruikt

ESET heeft een zeroday ontdekt die werd gebruikt voor gerichte aanvallen in Oost-Europa. De kwetsbaarheid werkt alleen op Windows 7 en Windows Server 2008. Het is niet bekend waar de aanval precies op werd gericht.

ESET ontdekte het lek vorige maand en bracht Microsoft daarvan op de hoogte. Er is inmiddels een patch uitgebracht. De kwetsbaarheid is geregistreerd als CVE-2019-1132. en uitgebreid beschreven door de beveiligingsfirma.

Volgens ESET werd het lek actief uitgebuit tegen een overheidsinstelling in Oost-Europa, maar het is niet bekend om welke overheid het precies gaat. Wel wijst het beveiligingsbedrijf de Buhtrap-groep aan, een hackergroepering die sinds 2014 actief is en aanvankelijk vooral Russische bedrijven aanviel. Sinds een paar jaar richt de groep zich echter niet alleen op financiële doelen, maar ook op spionage. ESET zegt dat de huidige malwareaanval onder meer wachtwoorden probeerde te stelen uit mailprogramma's en browsers.

Het lek was te misbruiken op oudere versies van Windows 7 en op Windows Server 2008 en 2008 R2. Wel kan het lek alleen uitgebuit worden als de aanvaller al toegang tot het systeem heeft. Specifieker zijn de systemen die kwetsbaar zijn Windows 7 32-bit Service Pack 1 en 64-bit Service Pack 1, Windows Server 2008 32-bit, 64-bit en Itanium Service Pack 2, en Windows Server 2008 R2 64-bit en Itanium Service Pack 1.

De exploit maakt misbruik van een kwetsbaarheid in win32k.sys. Een aanvaller kan die uitbuiten door pop-upvensters aan te maken en die misbruiken om het kernelgeheugen te dumpen. De kwetsbaarheid was voornamelijk bedoeld om de gebruikersrechten te vergroten.

Het is niet het enige lek dat Microsoft deze week heeft gerepareerd. Tegelijkertijd met deze kwetsbaarheid heeft het bedrijf ook een patch uitgebracht voor CVE-2019-0880, een exploit waarmee ook een local privilege escalation kan worden uitgevoerd. Die kwetsbaarheid zit in splwow64.exe.

Door Tijs Hofmans

Redacteur privacy & security

11-07-2019 • 12:00

52 Linkedin Google+

Reacties (52)

Wijzig sortering
Zucht... Windows 7 is prima in deze tijd. Vulnarabilities zijn er altijd geweest en deze is niets anders dan anderen.

Tot op heden zijn er nog geen grote datalekken geweest bij de overheid die tot verspreiding van data geleid hebben. Niet meer dan bij private partijen in ieder geval.

En de ICT projecten van de overheid... Die mislukken lang niet allemaal. Je hoort alleen de slechte gevallen. En ja, er zitten budget overschrijdingen in deze projecten. En je denkt dat het in het bedrijfsleven anders gaat? 🤣

De overheid heeft een nadeel dat het openbare projecten zijn die een beleidsdoel mogelijk moeten maken. En dus koste wat het kost opgeleverd moeten worden. Stoppen is zelden een optie, de politiek wordt er anders op afgerekend als "wel beloofd maar niet geleverd". Daar maken leverancier ook slim gebruik van. Die verdienen er namelijk erg goed aan.
Zucht... Windows 7 is prima in deze tijd. Vulnarabilities zijn er altijd geweest en deze is niets anders dan anderen.

Tot op heden zijn er nog geen grote datalekken geweest bij de overheid die tot verspreiding van data geleid hebben. Niet meer dan bij private partijen in ieder geval.
Sja. Als het uitgangspunt is dat datalekken niet echt een probleem zijn en toch wel voorkomen, waarom hebben we dan deze discussie?
En de ICT projecten van de overheid... Die mislukken lang niet allemaal. Je hoort alleen de slechte gevallen. En ja, er zitten budget overschrijdingen in deze projecten. En je denkt dat het in het bedrijfsleven anders gaat? 🤣
Nee. En dat stel ik ook nergens.
De overheid heeft een nadeel dat het openbare projecten zijn die een beleidsdoel mogelijk moeten maken. En dus koste wat het kost opgeleverd moeten worden. Stoppen is zelden een optie, de politiek wordt er anders op afgerekend als "wel beloofd maar niet geleverd". Daar maken leverancier ook slim gebruik van. Die verdienen er namelijk erg goed aan.
Je schrijft dit, alsof dit systeem zo prima is en zo prima kan blijven werken?

Ik vind het enorm raar, dat we dit systeem met z'n allen normaal vinden.

Raar dat ongekozen coalitie mensen een beleidsdoel kunnen opstellen (zonder desgewenst direct mandaat van het volk voor dat beleidsdoel) en raar dat specialisten die zo'n doel van te voren als "onhaalbaar" bestempelen niet gehoord kunnen worden.

Maar goed, dit gaat richting off topic.
"Ongekozen coalitie"...kom op. Hou die boreaal georiënteerde FvD-praat even buiten de discussie.
We hebben een representatieve democratie en zolang er geen absolute meerderheid is, tja...dan krijg je een coalitie..je wilt toch wat bereiken en daar heb je toch echt een meerderheid voor nodig. De partijen die de coalitie aangaan raadplegen hun leden. Dus daar is niets ondemocratisch aan. Zoals alles in een democratie kun je bij de minderheid horen die zijn zin niet krijgt. Zo ook met de keuze voor een coalitie. Maar die moet niet gaan janken dat zij niet hun zin krijgen. En als je geen lid bent van die partijen...welk recht van spreken heb je dan? Je wilde deze partijen sowieso niet dus waarom dan wel meepraten over een coalitie?

OT:
Datalekken worden wel degelijk voorkomen, zelfs met Win 7, anders had het al lang een stortvloed gegeven. Elke software heeft kwetsbaarheden. Zelfs Linux/Unix.En zullen dat altijd blijven houden vrees ik.

Sommige dingen werken zoals ze werken. Dat wil niet zeggen dat het niet anders kan of moet en dat het normaal is. Maar het is NU de realiteit. En aangezien bedrijven en overheden complexe institutes zijn met alle mogelijke verschijningsvormen van menselijk gedrag (ja, die zijn moeilijk uit de bannen, helaas voor de binaire IT-er) zal dit ook wel zo blijven of slechts langzaam veranderen.

Het leven is een stuk minder gestresst en begrijpelijk zodra je menselijk gedrag even meenement in je overwegingen.
"Ongekozen coalitie"...kom op. Hou die boreaal georiënteerde FvD-praat even buiten de discussie.
We hebben een representatieve democratie en zolang er geen absolute meerderheid is, tja...dan krijg je een coalitie..je wilt toch wat bereiken en daar heb je toch echt een meerderheid voor nodig. De partijen die de coalitie aangaan raadplegen hun leden. Dus daar is niets ondemocratisch aan. Zoals alles in een democratie kun je bij de minderheid horen die zijn zin niet krijgt. Zo ook met de keuze voor een coalitie. Maar die moet niet gaan janken dat zij niet hun zin krijgen. En als je geen lid bent van die partijen...welk recht van spreken heb je dan? Je wilde deze partijen sowieso niet dus waarom dan wel meepraten over een coalitie?
Ik lees hier: alles is zoals het is en dat is daarom dus het beste wat er bestaat. Met zelfs enige emotie, omdat ik een feit aankaart: namelijk dat burgers de coalitie niet kiezen.

Wat ik eerder probeerde te suggereren is een wereld waarin burgers voor of tegen een plan kunnen stemmen in de gevallen dat daar behoefte aan is. Zoals een grote ICT investering. In plaats van het huidige systeem, waarin de meerderheid van burgers geen enkele directe mogelijkheid heeft voor of tegen grote beslissingen te stemmen.

Dat een coalitie met meerderheid van stemmen 4 jaar lang kan doen wat ze wil (zonder directe invloed van burgers), zegt mij als burger helemaal niets. Het is een totaal inefficiënt en weinig democratisch systeem, met onnodige trage en indirecte feedback. Ik weet dat dit geen populaire mening is, maar dit is nou eenmaal mijn mening.
OT:
Datalekken worden wel degelijk voorkomen, zelfs met Win 7, anders had het al lang een stortvloed gegeven. Elke software heeft kwetsbaarheden. Zelfs Linux/Unix.En zullen dat altijd blijven houden vrees ik.

Sommige dingen werken zoals ze werken. Dat wil niet zeggen dat het niet anders kan of moet en dat het normaal is. Maar het is NU de realiteit. En aangezien bedrijven en overheden complexe institutes zijn met alle mogelijke verschijningsvormen van menselijk gedrag (ja, die zijn moeilijk uit de bannen, helaas voor de binaire IT-er) zal dit ook wel zo blijven of slechts langzaam veranderen.

Het leven is een stuk minder gestresst en begrijpelijk zodra je menselijk gedrag even meenement in je overwegingen.
Dit ben ik met je eens hoor. Al denk ik dat bedrijven en de overheid de consequenties van data-lekken lang niet zo serieus nemen als ze zouden moeten. Om twee redenen:

1. De consequenties zijn niet altijd zichtbaar. Denk aan het stelen van staatsgeheimen en bedrijfsgeheimen. De consequentie daarvan is dat jaren later "ineens uit het niets" een bedrijf/overheid ten onder gaat, omdat de concurrentie "ineens" voor gaat lopen. Het is dan niet eens duidelijk dat dit door data lekken komt.
2. De consequenties worden vaak pas later zichtbaar. Voorbeeld: "Plotseling" wordt identiteitsfraude op grote schaal een probleem. Terwijl dit gewoon een directe consequentie was van eerdere datalekken. Mijn voorspelling: deze komt nog een keer op grote schaal. Dit is nu nog niet van toepassing.

Het kan echt wel beter bij heel veel grote bedrijven en overheden, maar de urgentie wordt niet gevoeld.

Komt allemaal vanzelf wel weer een keer. Dat dan weer wel...

[Reactie gewijzigd door GeoBeo op 11 juli 2019 18:12]

De burger over elk wissewasje laten stemmen, zelfs als de meerderheid daarvan geen enkel benul heeft waar het onderwerp over gaat ... Da's lekker efficiënt en kostenbewust (een referendum kost 3mio EUR per keer...) 🤣 Een land besturen is niet hetzelfde als een biljart vereniging. Anders had jij ook wel in de RvB van Unilever kunnen zitten. Je kunt het proberen, maar ik vrees dat je dan iets andere ervaring en kennis/kunde moet hebben.
En verwijt jij bedrijven en overheid nu juist niet van het ontbreken van kennis en inzicht?

En mbt de coalitie, nogmaals, daar is voldoende mandaat voor in ons kiessysteem. Je hebt al gekozen voor een partij, de grootste ontbreekt vrijwel nooit en zo wel dan vertegenwoordigd deze alsnog het vereiste van... De meerderheid. En nee, het is misschien niet ideaal (er bestaat geen ideaal besturingsmodel), maar vanuit efficiëntie wel een model dat de doelstelling van de democratie, namelijk een grote dwarsdoorsnede van de bevolking vertegenwoordigen, invult.

En daarnaast: democratie betekent niet dat het alleen maar gaat om de 50.1% van de burgers. Ook het belang van de minderheid wordt in onze democratie gediend. Door referenda wordt dit belang geheel 'weggestemd'.

[Reactie gewijzigd door Edgarz op 11 juli 2019 21:07]

De burger over elk wissewasje laten stemmen,
Dat schrijf ik niet. Ik schrijf dat de burger over elk gewenst onderwerp zou moeten kunnen stemmen.
zelfs als de meerderheid daarvan geen enkel benul heeft waar het onderwerp over gaat ...
Dus jij claimt dat:
1. Politici wel verstand hebben van onderwerpen waar burgers een referendum over zouden willen?
2. Een politicus die politicus is uit eigen belang, betere keuzes kan maken voor burgers dan de meerderheid burgers zelf die allemaal uit eigen belang stemmen?

Interessant. Maar ik volg je logica totaal niet. Zelfs niet met de weet van de talloze ambtenaren en experts die politici adviseren. Politici zitten er primair voor zichzelf, niet voor het volk. Ook al zou het advies van de ambtenaren perfect zijn; als het erop aan komt gaat de politicus voor carrière. Niet voor belang van het volk.
Da's lekker efficiënt en kostenbewust (een referendum kost 3mio EUR per keer...) 🤣
Dat is inderdaad heel erg kostenbewust als je daarmee onzin projecten van miljarden kunt vermijden. Dus wat is je punt?

Ik betwijfel nogal of de meerderheid van de Nederlanders bijvoorbeeld voor "ontwikkelingshulp" (lees: omkopen dictators) is voor Nigeria. Om maar wat te noemen. Daarbij valt die 3 miljoen helemaal in het niets.

Of wat zijn de lange termijn kosten van de sleepwet en alle datalekken (en potentiële ondermijning van de democratie met alle gevolgen) die daaruit voort zullen komen. Hint: meer dan 3 miljoen.
Een land besturen is niet hetzelfde als een biljart vereniging. Anders had jij ook wel in de RvB van Unilever kunnen zitten.
Wow. Dus er zijn blijkbaar echt mensen die opkijken tegen politici? Politici zijn op een of andere manier een soort "ubermenschen" (goden) die het allemaal veel beter weten dan wij arme schaapjes?

We zijn een soort hulpeloze kindjes met z'n allen en politici kunnen veel beter bepalen wat goed voor ons is, dan wij zelf?

Dan weet ik niet waar ik moet beginnen met argumenten, want dan zijn we in feite een discussie aan het voeren over een religie. En niet over een politiek systeem. Een discussie met een religieuze heb ik nog nooit gewonnen...
Je kunt het proberen, maar ik vrees dat je dan iets andere ervaring en kennis/kunde moet hebben.
En verwijt jij bedrijven en overheid nu juist niet van het ontbreken van kennis en inzicht?
Zie vorige punt als je denkt dat mensen in de top van Unilever (of politici) belangrijke skills hebben anders dan "goede verkoper". Met kennis heeft dat allemaal weinig te maken, met ervaring een beetje en met persoonlijkheid alles. Waarbij eigenschappen als kunnen beïnvloeden (manipuleren), kunnen overtuigen en kunnen liegen veruit de belangrijkste zijn.

Met kennis, kunde en inzicht heeft het allemaal vrij weinig te maken.
En mbt de coalitie, nogmaals, daar is voldoende mandaat voor in ons kiessysteem. Je hebt al gekozen voor een partij, de grootste ontbreekt vrijwel nooit en zo wel dan vertegenwoordigd deze alsnog het vereiste van... De meerderheid. En nee, het is misschien niet ideaal (er bestaat geen ideaal besturingsmodel), maar vanuit efficiëntie wel een model dat de doelstelling van de democratie, namelijk een grote dwarsdoorsnede van de bevolking vertegenwoordigen, invult.
En van dit verhaal geloof ik dus helemaal niets. Ook niet van je laatste zin. Onze coalitie politici kunnen 4 jaar lang, precies doen wat ze willen. Zonder enige mandaat anders dan "ze zijn ooit gekozen" door een meerderheid van het volk. In andere woorden: ze hebben de "goede verkopers praatjes" test doorstaan en kunnen vervolgens 4 jaar lang doen wat ze willen. Dit is een feit. Er bestaat geen manier om mensen weg te stemmen en er bestaat ook geen manier om referenda af te dwingen. Ze kunnen dus letterlijk doen wat ze willen binnen hun groep, zonder enige input van burgers. En dit gebeurt ook aan de lopende band.

We lezen in de krant (als we het geluk hebben dat er wat uitlekt) schandaal na schandaal en kunnen er tot de volgende verkiezingen precies helemaal niets aan doen.
En daarnaast: democratie betekent niet dat het alleen maar gaat om de 50.1% van de burgers. Ook het belang van de minderheid wordt in onze democratie gediend. Door referenda wordt dit belang geheel 'weggestemd'.
Te gek inderdaad dat de christenen hun heilige koopzondag decennia lang mochten behouden. Daar hebben we echt wat aan gehad met z'n allen.

Om maar wat te noemen.

[Reactie gewijzigd door GeoBeo op 12 juli 2019 11:23]

OK, puntsgewijs :
- Dat zeg je niet maar daar draait het uiteindelijk wel op uit. 30.000 stemmen om een onderwerp in referendum te krijgen is erg laagdrempelig ren opzichte van 6 mio kiesgerechtigden.

- Politici weten zelf niet alles. Daar hebben zij een ambtelijk apparaat voor met terzake zeer deskundige vakmensen. Politici brengen het voor de bühne. Ken de werking van het staatsbestel...

- Het is een feit dat ontwikkelingshulp ook eigen belang is...voor onszelf. Denk er maar eens over na: Je creëert er handelspartners mee en voorkomt dat de wereld te sterk polariseert (arm en rijk). De trek van zuid naar noord kan echt nog veel erger dan die nu is.

Corruptie keurt iedereen af (behalve als ze er zelf beter van worden). Echter, als corruptie kan voorkomen dat 1000-en mensen sterven omdat met de ontwikkelingshulp voedsel gekocht kan worden dan ben je wel een erg raar type. Voor jouw principe moeten 1000-en andere, onschuldigen sterven. Da's op zijn zachtst gezegd onmenselijk. Maar makkelijk gezegd vanachter je mooie pc in je warme huisje en met al je boodschapjes in huis. Dat jij hier geboren bent en niet daar, dat is niet jouw verdienste. Da's gewoon toeval.

- Wat zijn jouw palmares die jou naar de top van je vakgebied hebben gestuwd? Of heb je die niet en moet iedereen vanzelfsprekend bewondering hebben voor jou en wat je (denkt) bereikt te hebben? Als je echt denkt dat een bedrijf besturen niets meer is dan 'goed verkopen' dan vrees ik dat je nooit in een bestuur of hoger kader functie terecht gaat komen. Dat zul je ook niet willen ongetwijfeld, zul je gaan zeggen dus dat komt goed uit.

- Zijn burgers makke schapen. Dat zijn niet mijn woorden. Ik heb zelf ten tijde van het Oekraïne referendum een poll gedaan onder 2000 respondenten. 85% (!) kon niet antwoorden op de vraag wat er in het verdrag geregeld werd. 65% 'dacht' dat het over toetreding tot de EU ging. Op de vraag aan Nee-stemmers of men op basis van de inhoud van het verdrag 'nee' zou stemmen zei 93% dat dat inderdaad de basis was voor hun keuze. Terwijl 85% niet kon aangeven wat er in het verdrag stond.

Oftwel, de burger is geen mak schaap. De burger heeft in doorsnee wel last van twee andere aandoeningen: Zelfoverschatting en gebrek aan kennis.
En die combinatie wil jij loslaten op het landsbestuur...

- De coalitie.
Geloof het of niet, maar zo werkt het. Simpel gevalletje staatsrecht. Geen twijfel over mogelijk.
Gezien het gemiddeld aantal abonnees van elke politieke partij onder de 50.000 ligt, dan vind ik 30,000 niet laagdrempelig
Leden zijn heel wat anders dan stemmers...
Het is vaak nog iets complexer dan simpelweg op voorhand inschatten wat een stuk software gaat kosten "Inclusief onderhoud, inclusief aanpassingen, inclusief her-trainen van personeel, inclusief herschrijven en inclusief updates"
bv.
1. Vaak worden tools intern geschreven, specifiek voor complexe testomgevingen of andere unieke omstandigheden, oorspronkelijk bedoeld voor 1 project en offline gebruik. Nadien worden echter stukken code hergebruikt (of zelfs de hele run) vaak uit noodzaak omdat de oorspronkelijke kennis verdwenen is zonder te beseffen dat deze tools voor offline use waren (en een bedrijf heeft soms geen keus : het is dat of niks).
2. Er bestaat bijzonder dure hardware die niet eenvoudig te vervangen is en afhankelijk is van oude OS.
3. Sommige bedrijven kopen complexe systemen van gerenommeerde bedrijven inclusief onderhoudscontracten om dan te zien dat deze bedrijven op slag en keer failliet zijn of support eenzijdig opzeggen. Daar zit je dan met je geschatte levensduur.

[Reactie gewijzigd door redzebrax op 11 juli 2019 19:23]

Goede toevoeging. Post was te oud om +2 te geven
Je lijkt veel kennis van zaken te hebben over it projecten bij de overheid, ooit zelf hewerkt bij de overheid?
Als dit echt zo was waarom zou microsoft hier voor een patch uitbrengen?
aluminium hoedje kopen?
Kijk even wat er na de vier puntjes komt...
Het is te hopen dat MS wel de ballen heeft om op de einddatum er echt mee te stoppen. En niet tegen betaling langer door gaat, of het toch uitstelt.
Reken maar dat ze niet stoppen met support. Win7 draait nog bij enorm veel bedrijven, ook hele grote. Echt niet alleen bij overheden hoor ( overigens draaide de overheids instelling waar ik een jaar of drie geleden werkte gewoon win10 of Linux, je mocht kiezen als je een case had voor Linux gebruik) de Win 10 image konden we in qemu starten zodat we toch bij allerlei windows spul konden)
En jij denkt dat in win 10 geen zero days zitten ? 8)7 8)7
ik zou het toch verplichten om overheids instellingscomputers te sandboxen of anders te virtualiseren.
Telemetry en data collectie op Windows 7 is een stuk eenvoudiger te voorkomen/blokkeren dan in Windows 10.
Het fijnste van de oplossing die M$ gepubliceerd heeft om bovenstaande 0-day te fiksen is dat ze er misbruik van maken bij M$ door onaangekondigd meteen maar telemetry & data collectie in de security-only update te verwerken:
https://www.askwoody.com/...win7-security-only-patch/
Del.

[Reactie gewijzigd door Skunk1966 op 12 juli 2019 14:21]


Om te kunnen reageren moet je ingelogd zijn


OnePlus 7 Pro (8GB intern) Nintendo Switch Lite LG OLED C9 Google Pixel 3a XL FIFA 19 Samsung Galaxy S10 Sony PlayStation 5 Groot-Brittanie

Tweakers vormt samen met Tweakers Elect, Hardware.Info, Autotrack, Nationale Vacaturebank, Intermediair en Independer de Persgroep Online Services B.V.
Alle rechten voorbehouden © 1998 - 2019 Hosting door True