ESET ontdekt malware-toolkit die zich op air-gapped netwerken richt

Beveiligingsonderzoekers van ESET hebben een vorm van een malware-toolkit ontdekt die gemaakt lijkt te zijn om documenten te stelen van air-gapped computers. De malware wacht op een systeem tot het daar vandaan kan worden geëxfiltreerd.

ESET noemt de malware Ramsay. Het bedrijf ontdekte er een sample van op VirusTotal. De malware komt op verschillende manieren op een systeem terecht. Ramsay maakt bijvoorbeeld gebruik van meerdere kwetsbaarheden in Microsoft Word, waaronder CVE-2017-0199 en CVE-2017-11882. Voor beide kwetsbaarheden is al jaren een patch beschikbaar, maar de malware gaat er vanuit dat die niet is doorgevoerd. In een ander geval werd de malware verspreid via een geïnfecteerde 7zip-installatie.

Als het slachtoffer het geïnfecteerde document opent, wordt er geen contact gelegd met een command and control-server, wat bij de meeste malware-infecties wel gebeurt. Er zijn ook andere aanwijzingen dat Ramsay zich vooral richt op air-gapped netwerken. Na installatie gaat de malware op zoek naar specifiek Word-documenten en pdf- en zipbestanden. Die worden vervolgens in een verborgen map op de pc gezet, waar de bestanden wachten tot ze van de pc af worden gehaald. Hoe dat laatste precies moet gebeuren, is niet duidelijk. Net als dat de malware in de eerste plaats fysiek op een pc moet worden gezet, moet die ook fysiek eraf worden gehaald. Dat hangt samen met het kenmerk van air-gapped netwerken; ze zijn niet op het internet aangesloten, waardoor ze doorgaans moeilijk met malware zijn te infecteren.

De malware heeft verschillende methodes om zich door een netwerk te verspreiden. In sommige componenten van de malware zit een scanner die kijkt of er computers in een lokaal netwerk zijn aangesloten die kwetsbaar zijn voor SMBv1-kwetsbaarheden, ook wel EternalBlue genoemd. Er zit ook een 'Spreader'-component in de malware. Die zoekt naar netwerkschijven en naar verwijderbare schijven zoals usb-sticks en hdd's. Ramsay zet portable executables op zulke schijven. Die executable zoekt dan vervolgens naar nieuwe documenten op een andere computer om te infecteren en zodoende de rest van de malware verder uit te rollen.

ESET zegt dat de malware verschillende geavanceerde methodes heeft om op een systeem te blijven staan. Een daarvan is een techniek die ook wel 'phantom dll-hijacking' wordt genoemd, waarbij de malware wordt verspreid door oude, niet langer gebruikte dll's in Windows.

Het bedrijf zegt dat het moeilijk aan attributie kan doen. De onderzoekers vonden enkele overeenkomsten met een malwaremodule genaamd Retro, die door de hackersgroep Darkhotel wordt gebruikt. Die groep doet aan spionagecampagnes in Azië.

ESET zegt dat het de malware nog niet veel in het wild is tegengekomen. Volgens de onderzoekers is Ramsay ook nog volop in ontwikkeling. Zo zouden er meerdere vormen van de toolkit rondgaan, waarbij nieuwere versies bijvoorbeeld ook zochten naar andere bestandsformaten. De ESET-onderzoekers vonden ook voorbeelden van testbestanden zoals test.docx in de code. Volgens het bedrijf kwam de eerste vorm van de malware uit september 2019, en twee nieuwere versies waren eind maart bijgewerkt.

Reacties (37)

Dat zal een tegenvaller zijn voor de makers dat het nu al gesignaleerd is. Het is wel een logisch target want airgapped netwerken zijn natuurlijk niet voor niets airgapped. Er in komen is moeilijk, data eruit krijgen ook maar lukt het dan kun je een hoog losgeld vragen voor de bemachtigde data.

Airgapped systemen hoeven niet interessant te zijn voor hackers. Het kunnen gewoon (oude) PCs zijn die de sturing of bewaking doen van een machine. Grootste gevaar is dan vaak dat de machine kan stilgelegd worden door een hacker. Niet dat hij aan data kan geraken.

moet ik nu denken aan de Iraanse centrale waar men uranium verrijkte?

Of een fabriek waar bijvoorbeeld oude PLC systemen nog met Windows XP werken. Die systemen hoeven niet aan internet.

Vaak ligt er wel een IP en Ethernet netwerk, maar is het fysiek niet verbonden met internet.

XP op een netwerk.... die moet je geïsoleerd gebruiken, dus op zichzelf airgapped (standalone). Zo een systeem aan een netwerk hangen is nogal risicovol, als er maar 1 in het netwerk geïnfecteerd is kan je er donder op zeggen dat het hele stand alone netwerk gecompromitteerd is.

Grootste gevaar is dan vaak dat de machine kan stilgelegd worden door een hacker. Niet dat hij aan data kan geraken.

Data is lang niet altijd het doel. Denk aan het aanbrengen van schade; het ontregelen van dienstverlening of het vernietigen van systemen.

Oftewel, dezelfde manieren als gebruikt werden door virussen in de pre-internet tijd.

Zoiets wou ik dus net posten. Het is me niet helemaal duidelijk waarom hier de term "air-gapped" gebruikt wordt: het klinkt meer als een klassiek virus dat via geïnfecteerde bestanden wordt verspreid.

Maar wat nieuw is: er is kennelijk een exfiltratiemechanisme gepland.

Decoy installer, malicious document, beetje niveau VBA exploits van word/excel, eerst moet dat ding door de scanner heen komen, de gebruiker zo dom genoeg zijn om dat bestand daadwerkelijk te openen, er nog geen fix op staat (apart trouwens dat 0199 gebruikt zou zijn, dat is een RTF http request, op een airgapped?).
Als ik een popup op een website laat komen om daarmee te laten inloggen op facebook/WA/whatever, en mensen voeren dit doodleuk in.. niets is 100% veilig.

Retro was ook niet waterdicht, deze gebruikte om de bestanden weer op te halen een exploit voor auto-executie van usb-sticks, wat beetje IT'er toch gewoon uit heeft staan.

Je kunt toch prima een HTTP request doen alsnog? Er komt alleen niet zoveel reactie op je request, maar als alleen het request doen voldoende is, dan zou dat nog steeds gewoon kunnen.

Want alle andere minder populaire OS'en zijn 100% veilig? Wakker worden maar.

nieuws: Ubuntu Server 20.04-installer toonde plaintext-encryptiewachtwoord in...

nieuws: Lek in iOS geeft toegang tot apparaat via ongeopende mail

nieuws: Lek in Qualcomm-chips maakte afluisteren van beveiligd deel van socs ...

Niks is 100% veilig, Windows wordt gewoon wat meer getarget omdat het een populair OS is. Als het een andere was dan gold hetzelfde voor dit OS. Er is gewoon meer te winnen voor hackers op deze manier.

En Linux is niet populair? Waar denk je dat de meeste servers op draaien?

Verder overigens wel met je eens dat geen enkel OS waterdicht is.

Ik ben met je eens, geen enkel OS is waterdicht, maar er is wel een verschil in 'lekkage'...

Als je zoveel security nodig heb dat een air-gapped netwerk nodig is, zou Windows dan jou eerste keuze zijn? Of Ubuntu als distributie? Misschien eerder iets als Qubes OS, TENS of Discreete Linux als Linux distributie.

Windows wordt veel gebruikt omdat het een balans brengt tussen beheerbaarheid/kosten, gebruikers vriendelijkheid en security, Als het gebruikt maakt van gaten waar allang patches voor zijn en/of infected applicaties is er iets anders mis, een issue dat niet direct ligt aan het OS...

OpenBSD of OpenVMS, dan evt. FreeBSD, daarna de meer geharde Linux distro's.

Hardened Windows image is anders best wel veilig hoor....

Er bestaat ook nog een Hardened versie van OpenVMS, die vergat ik voor het gemak even even... B.2 klasse. Waar de rest op C.2 blijft steken.

Bij een 'niche' distro heb je de kans dat juist daar malware in wordt gestopt. Iets kleins dat heel breed ingezet wordt is dan beter.

Als je zoveel security nodig heb dat een air-gapped netwerk nodig is, zou Windows dan jou eerste keuze zijn?

Ik zou eerst eens kijken wat er met de server gedaan moet worden, Als de benodigde software alleen voor Windows beschikbaar is kun je natuurlijk voor Linux/BSD kiezen, maar dan kan je er niet veel mee....

Wellicht een clean VM die elke keer opnieuw schoon wordt geladen van backup?

Als je zoveel security nodig heb dat een air-gapped netwerk nodig is, zou Windows dan jou eerste keuze zijn?

Windows zal nooit mijn eerste keuze zijn, op welke computer/server/etc. dan ook

Je hebt helemaal gelijk, alle OS'en zijn vulnerable.
Nu heeft ajolla niet echt een handige onderbouwde statement, maar echt ongelijk heeft ie ook niet helemaal.
Windows maakt het wel heel makkelijk om alle security uit tezetten, en laat nou net die gebruikers dat ook veel doen voor hun (kies) customdrivers/cheats/downloaded progs/crackers/games. Eigenlijk de eerste stap die men uitvoert bij problemen is "run as administrator".

Windows maakt het wel heel makkelijk om alle security uit tezetten, en laat nou net die gebruikers dat ook veel doen voor hun (kies) customdrivers/cheats/downloaded progs/crackers/games.

Gebruikers die cheats/crackers/games e.d. gebruiken/spelen zitten vaak niet in air gapped networks. Je hebt dan veelal over overheids- of bancaire systemen die professioneel worden beheerd en waarbij het omzeilen van security settings vroegtijdig wordt ontdekt.

De INSTALLER, wat niet door de linux foundation word gemaakt bevat een fout. Oke? Sorry, maar niemand gebruikt een ubuntu server in zo'n platform. Realistisch zit daar een hardend kernel in, met debian. Hoeveel issue's zijn daarmee? Bijna nul. Dan nog SELinux, klaar. Is het 100% veilig? Nee. Is het beter dan windows? 100%.

Daarbij word hier nog eerder een BSD gebruikt

[Reactie gewijzigd door dec0de op 13 mei 2020 18:59]

Of je nu Ubuntu, Debian, CentOS of welke Linux distro gebruikt. Veel zit hem bij de beheerder en gebruiker.

Lachen. Zo'n behoefte aan veiligheid hebben dat je een air-gapped netwerk gaat gebruiken en dan stug doorgaan met Windows gebruiken.
Ik kom niet meer bij.

Ja, want alle software die je nodig hebt is ook op allerlei andere besturingssystemen te krijgen...
Het feit dat je een systeem loskoppelt van het Internet kan er simpelweg uit bestaan dat je software erop moet gebruiken die nog XP of wellicht Windows 95/98 nodig heeft. Als dat machines zijn die apparatuur aanstuurt die ofwel heel duur is ofwel waar gewoonweg geen vervanger voor is, dan moet je toch wat. Er zijn ook bedrijven (zoals bepaalde labs) die systemen moeten behouden met alle software inclusief het OS op een bepaald patchlevel. In het geval van een rechtszaak bijvoorbeeld moeten zij dan bijvoorbeeld de berekening kunnen bewijzen door hem nogmaals uit te voeren op dezelfde hard en software. Dan kan het heel verstandig zijn om de systemen van het Internet (en wellicht helemaal van het LAN) te halen.

Ok hoor.

Het lijkt wel alsof je windows aan het bashen vandaar ook die kinderlijke smileys///
Dit soort dingen gebeuren ook op aandere besteurinssystemen, zoals ios, maxosc, liniux... ect..

denkt gewoon net na

Noem maar een voorbeeld van linux, tussen 2015 en nu.
Op de hardened kernel, het lieft met debian, centOS, redhat of een BSD, Want dat is wat realistisch word gebruikt. Hoogst waarschijnlijk een BSD?.

Verklaar je nader? Wat is er precies zo onveilig aan een Windows systeem wat air-gapped is ten opzichte van Linux?

[Reactie gewijzigd door basdej op 13 mei 2020 16:39]

Omdat Windows vensters heeft waardoor je in het systeem kunt kijken

Windows zit vol met oude code, en bugs. Heb je ooit een bluescreen equivalent op linux gezien? Ik niet.

Kernel panics? Jazeker. De oorzaken variëren, maar zijn hetzelfde als bij Windows: buggy meegeleverde code, onstabiele hardware, ...

[Reactie gewijzigd door The Zep Man op 13 mei 2020 20:52]

Ach, het internet word sowieso steeds onveiliger, er is/zijn steeds meer beveiliging/en nodig wanneer je met internet bezig bent, dit zal alleen maar toenemen.

Hetgeen ik hier uit onthoudt is toch vooral dat je je kwetsbaarheden onder controle dient te houden. Wij zijn zelf aan het kijken naar een Vulnerability Management platform. Stond al lang op het verlanglijstje. Hopelijk komt het er snel nu.