Malwarebotnet groeit door zwakke Windows-wachtwoorden te raden

Een botnet gericht op Windows-computers is snel aan het groeien doordat het zwakke wachtwoorden kan raden van computers die aan internet gekoppeld zijn. De malware gebruikt een rootkit waardoor deze moeilijk te ontdekken is.

De Purple Fox-malware werd voor het eerst gespot in 2018, toen deze als trojan meer dan dertigduizend computers infecteerde. Tot voor kort verspreidde de malware zich alleen via exploitkits en phishingmails, zoals de meeste andere malware dat ook doet. Nu kan de malware zich ook verspreiden door van aan het internet gekoppelde Windows-computers het server message block-wachtwoord te raden via brute forcing. Daardoor verspreidt de malware zich nu snel over Windows-computers met zwakke wachtwoorden en hashes.

De ontdekking werd gedaan door onderzoekers Amit Serper en Ophir Harpaz van Guardicore Labs. In een blogpost schrijven de twee hoe de malware via de SMB, die gebruikt wordt door Windows om met printers en fileservers te communiceren, toegang krijgt tot kwetsbare computers. Als de malware toegang heeft, haalt hij de benodigde payload uit een netwerk van tweeduizend oudere en kwetsbare Windows-webservers en installeert hij stilletjes een rootkit, waardoor hij moeilijk te verwijderen en te ontdekken is.

Aanvalspad van de malware. Beeld: Guardicore Labs

Zodra de computer besmet is, sluit de malware alle poorten in de firewall die hij heeft gebruikt om de computer te infecteren, waardoor deze niet opnieuw besmet kan raken en waardoor de toegang niet misbruikt kan worden door anderen. Direct daarna genereert de malware een lijst internetadressen en scant hij op internet naar meer apparaten om te besmetten via zwakke wachtwoorden, om zo een groeiend botnet te maken.

Botnets worden over het algemeen gebruikt voor het uitvoeren van ddos-aanvallen, het soort aanvallen dat onlangs flinke schade aanrichtte toen een serie ddos-aanvallen TransIP raakte. Botnets kunnen echter ook gebruikt worden voor het verspreiden van malware en spam, of voor ransomware. Wat deze malware precies wil, is nog niet bekend. In gesprek met TechCrunch zegt Serper dat hij verwacht dat het botnet een basis legt voor iets groters in de toekomst. In mei vorig jaar piekte de toename van de malware, maar het aantal besmette apparaten neemt nog steeds toe.

Groei van Purple Fox-malware. Beeld: Guardicore Labs

Reacties (81)

[Hobbit13]

Hoe kun je scannen of deze malware aanwezig is op een Windows PC?

[Tha Render_2]

Waarom zou iemand poort 445 (SMB) open hebben staan naar het internet toe?

[kodak]

Omdat gebruikers niet weten dat ze dat open hebben staan (dat doen apparaten bijvoorbeeld voor ze door onveilige standaard configuratie).
Of omdat de gebruiker veel te weinig kennis heeft over het risico om een handige service te gebruiken (want dat is ze nooit uitgelegd terwijl ze er wel gebruik van zijn gaan maken).

[Tha Render_2]

Geef mij eens een voorbeeld van een apparaat die als standaard configuratie heeft dat poort 445 naar binnen open staat? Ik ken er allezins geen enkele.

[84hannes]

Kan upnp zoiets regelen voor een gebruiker?

[walteij]

Absoluut. Sterker nog, ik ken een organisatie waarbij gevoelige data gelekt is, doordat iemand het via een USB stick op haar NAS thuis had geplaatst. NAS en router UPnP compatible, SMB shares stonden open voor de hele wereld.

[MsG]

Wat ik bij Windows ook heel gauw tegenkom, al weet ik niet of deze specifiek die poort open zet, is dat als je netwerklocaties wil benaderen, terwijl je huidige netwerk is aangemerkt als openbaar, dat Windows dan een keuze voorlegt aan de gebruiker:

Optie 1: Om het huidige netwerk privé te maken, zodat je bij de netwerkshare kan.

Optie 2: Om netwerkdelen voor openbare netwerken aan te zetten

Optie 2 zou als je het mij vraagt echt uit Windows moeten worden gesloopt, want dat kan uiterst onveilig zijn en die optie wordt je zonder blikken of blozen aangeboden, waarbij voor velen de implicaties van de vraag helemaal niet duidelijk zijn.

[Reactie gewijzigd door MsG op 23 juli 2024 21:27]

[Cerberus_tm]

Voor mij als tweaker eigenlijk ook niet duidelijk wat dit betekent. Alles met de woorden netwerk en server is vaak contra-intuïtief geformuleerd en onduidelijk.

[MsG]

Eigenlijk wil je altijd de eerste optie, ik vind het bizar dat die andere überhaupt een optie is.

Je wil je shares vrijwel nooit voor de hele wereld openzetten.

[comecme]

Maar als je op een publiek netwerk zit en je kiest optie 1, dan is dat toch ook hartstikke verkeerd? Dan is dus bijvoorbeeld netwerk KPN ineens "privé".

[MsG]

Het gaat er meer om of de service netwerk delen aanzet voor openbare netwerken. Als je dat aanzet, en je hebt zelf ook shares, en je zit vervolgens op een airport of een ander netwerk, waar de individuele gebruikers niet per se hermetisch van elkaar afgesloten zijn, dan kan iemand gewoon bij je shares.

[martijnve]

Je hebt 2 verschillende instellingen hier:

Van een netwerk vraagt windows of het openbaar is of prive. En van een serivice die netwerkt-toegang nodig heeft vraagt windows of die dat a) niet, b) alleen op prive netwerken of c) ook op publieke netwerken krijgt.

Dus je thuisnetwerk zou je bijvoorbeeld als prive markeren en een hotspot of je werknetwerk bijvoorbeeld als publiek. Als je dan aangeeft dat een service alleen vanaf prive-netwerken benaderd mag worden kunnen anderen op je thuisnetwerk er wel bij en als je je laptop mee naar het werk neemt kunnen anderen er daar niet bij.

Beide keuzes hebben in principe niets te maken met of iets van internet (dus buiten het netwerk, publiek of niet) te benaderen is.

[Reactie gewijzigd door martijnve op 23 juli 2024 21:27]

[kodak]

Ik zou de vraag omdraaien: van welke apparaten en firmware weet je zeker dat die niet ongevraagd een smb service naar het internet open hebben staan en wanneer ze dat zonder inbreng van gebruikers doen? Het gaat er namelijk niet om dat het goed kan gaan maar dat te weinig controle en kennis het probleem is waardoor er kansen voor besmetting bestaan.

Er zijn al heel veel jaren waarschuwingen dat gemak van bijvoorbeeld upnp niet hetzelfde is als beveiliging. Een willekeurig voorbeeld van zulke waarschuwingen: https://blog.rapid7.com/2...-it-s-the-circle-of-life/

[Tha Render_2]

Naar buiten toe is nog een verschil met naar binnen toe, uitgaand is geen probleem. Ik ken geen router en/of firewall die standaard poorten naar binnen heeft open staan.

[Rex]

Ja, vanzelfsprekend ken je geen routers of firewalls die standaard poorten openzetten naar binnen toe.
Het zijn dan ook niet de routers/firewalls die problemen veroorzaken, maar UPnP diensten die het voor je doen.

[Tha Render_2]

Ok, goed punt, logische volgende vraag, welke routers/firewalls hebben standaard upnp enabled staan? Zelf even gezocht en op routers blijkt het vaak standaard aan te staan uit de doos .. jammer. Bij firewalls normaal niet.

[!GN!T!ON]

Ziggo ConnectBox heeft het standaard aan staan.

[kodak]

Waarom wil je liever kijken naar individuele gevallen en ga je niet in op het voorstel om de vraag om te draaien je af te vragen wanneer een apparaat veilig is?
Er is nu een aantal redenen gegeven waardoir het een probleem is, door oa upnp en onvoldoende informatie over wat apparaten doen. Dan kan je wel meer informatie willen maar dan ga je voorbij aan het probleem. Er is niets aan de hand tot je het zelf ziet is geen verstandige houding als je gegevens van jezelf of anderen wil beschermen.

[EraYaN]

Naar buiten toe moet die poort ook open staan want anders kunnen er credentials gelekt worden. Een email met een foto met een SMB url is genoeg. Dus uitgaang moet IMO alles onder 1024 gewhitelist worden welke poorten wel en niet oke zijn.

Kun je meteen de grappenmakers die zelf DNS doen aanpakken.

[Reactie gewijzigd door EraYaN op 23 juli 2024 21:27]

[3raser]

Vroegah, in het tijdperk van de 56K6 modems was dit heel gebruikelijk. Er was volgens mij niet eens een firewall in Windows 95. Ik heb destijds wel eens wat scans gedaan en kwam zo moeiteloos binnen op shares van verschillende pc's. Heb zelfs wel eens een printopdracht gestart van 100 volledig zwarte pagina's op een printer die ik op diezelfde manier vond (dom puber grapje). Tegenwoordig heeft men meestal een router met modem die verbinding maakt met het internet. Die heeft een ingebouwde firewall waardoor alle computers in het netwerk standaard redelijk beveiligd zijn. En zelfs zonder firewall zitten er meestal geen NAT routeringen in de router die je naar een SMB adres op het lokale netwerk zou kunnen leiden.

[--Andre--]

En wat dacht je van IPv6. Tegenwoordig hebben routers hier ook een firewall zitten, maar de eerste generatie IPv6 firmwares voor de Fritz!Box (ik heb destijds aan een pilot meegedaan) had qua IPv6 alles open staan.

[d3burt]

Dat heeft AVM wel snel en grondig gefixt, en zelfs redelijk gebruikersvriendelijk. In de huidige FritzBox gedraagt IPv6 zich voor de gebruiker precies als IPv4 achter NAT.

[--Andre--]

Ik spreek dan ook over experimentele firmware builds die je dan moest flashen om IPv6 support te krijgen. Dat was toen nog niet uit. De officiële releases hebben altijd die firewall gehad.

[field33P]

Tele2 legde indertijd de uitrol van IPv6 tijdelijk stil omdat ze vergeten waren dat NAT geen firewall is en dat IPv6 het hele concept van NAT overbodig maakt. (tot ieder atoom in ons zonnestelsel voorzien is van een IPv6-adres, natuurlijk)

[SunnieNL]

vrijwel alle standaard windows installaties hebben poort 445 open staan toch? Dat is de verbinding naar de admin shares. Alleen normaal wordt die aan de buitenkant (vanaf internet) geblokkeerd omdat een router die normaal gesproken niet zomaar door laat.
Zelfde geldt voor een goedkope consumenten NAS, die hebben vaak ook SMB open staan zodat mensen er snel bij kunnen komen.

[mr_evil08]

Als er al 1 pc/apparaat binnen je netwerk besmet is, vanuit buiten kan dat niet inderdaad tenzij je router in bridge staat en je internet ip op je pc terecht komt.

upnp zou het in theorie ook kunnen maar dat lijkt me sterk.

[Reactie gewijzigd door mr_evil08 op 23 juli 2024 21:27]

[mkools24]

De malware zal wel eerst een externe PC infecteren via een andere methode. En dan het netwerk op gaan.

[Tha Render_2]

Daar gaat het artikel niet over, deze malware kan zich inderdaad ook verspreiden via mail etc maar het artikel gaat er net over dat naast die standaard technieken de malware nu ook via SMB brute force attacks rechtsreeks kan inbreken op systemen die aan het internet gekoppeld zijn.

[ronny]

Maar dan moet poort 445 naar binnen toch open staan? Anders kan je toch niet via internet besmet worden?

[dutchgio]

Ja, maar als je dat hebt is het laatste waar je je druk om moet maken dit botnet, dan ben je vatbaar voor veel meer malware.

[ronny]

Daarom vind ik dit bericht ook wat onduidelijk.
Er staat toch dat de malware zich verspreid via de SMB poort. Dan moet die van internet naar de computer wel open staan anders kan je toch niet via SMB geinfecteerd worden.
Maar ik kan ook wel even kijken of hij bij mij ook echt dicht staat van binnen naar buiten.

[Ge Someone]

Eenmaal "binnen" kan dit natuurlijk ook lokaal (LAN) zich verspreiden. Dan kom je er ook lastiger vanaf.

[DefaultError]

SMB kan ook via Apple of Linux geïnfecteerd worden, en middels brute force als de poorten dat toelaten.

[starfight]

"Oh ik moet een hele rij poorten openzetten? Dan zet ik mijn pc toch gewoon in DMZ?"
- onze klanten (regelmatig)

[Tadango]

Die moet je dan meteen alle rechten ontnemen. Dat is net zoiets als je auto met de ramen open en geld op de achterbank 's nachts ergens neerzetten. Het kan goedgaan, maar de kans is bijzonder klein........

[Tjidde]

Zeg even waar je die auto parkeert

Mensen die dat soort dingen roepen moet je voor zichzelf beschermen.

Desnoods maak een demo netwerk waarbij je de risico's laat zien. Je zult maar op die manier randsomware binnen halen. Al je data even verliezen. Zeker als het een randomware is dat is ontworpen om eerst te zorgen je back-up minder waard worden. Als je pech hebt kun je gewoon je bedrijf opdoeken.

[SunnieNL]

Dat heb ik alleen gedaan met mijn xbox. Met een server zou ik dat niet zomaar doen
UPNP is ook zo'n handige functie om aan te hebben staan.

[starfight]

Tot er een remote privilege escalation ontdekt wordt voor xbox waarmee ze dan alsnog in je netwerk geraken.
Bijvoorbeeld ssh/telnet vanop de xbox naar je netwerk zal zeker en vast wel lukken

[SunnieNL]

ik verwacht dat de xbox wel aardig wat dicht heeft zitten. Microsoft heeft wel een security first op dat device. Anders was die ook al wel gekraakt.

[PepijnK]

In mijn ervaring met xbox-for-pc games is dat je niet alleen UPNP aan moet hebben staan, maar dat je vaak ook Teredo nog even moet instellen zodat er nog gemakkelijker naar buiten kan worden gebeld.

Ik was dan ook niet amused toen ik erachter kwam dat ik eigenlijk mijn firewall lek moest prikken om Forza Horizon te kunnen spelen met mijn vrienden. Die allemaal stuk voor stuk verbaasd waren dat ik in mijn router moest gaan graven om UPNP for IPv4 aan te zetten. Want op mijn Fritzbox stond dat default uit. Ik moest ook dingen instellen om Teredo tunnels naar buiten toe te staan, want dat is normaal gesproken niet nodig omdat mijn ISP gewoon IPv6 doet.

Dus het zou mij niet verbazen als de gemiddelde Ziggo of KPN router wat dit betreft zo lek als een mandje is.

[GekkePrutser]

Windows vraagt je altijd op wat voor soort netwerk je zit. Prive/werk/publiek. Als je prive of werk kiest en SMB shares staan al aan, zal hij dit blootstellen. Veel gebruikers weten niet precies wat dit inhoudt. Hebben misschien ooit SMB geactiveerd om iets met iemand te delen en nooit meer uitgezet.

MacOS doet dit trouwens ook als je network sharing aan zet. En vraagt niet eens wat voor soort verbinding het is.

Het enige dat hier wel heel erg meehelpt is dat de meeste mensen achter NAT of een Firewall (bij gebruik van IPv6) zitten in hun router. Maar niet iedereen. Het internet is groot, er zijn altijd een hoop mensen met aparte configuraties

[copyer]

Maakt het nog uit wat voor versie smb? 1,2,3?
Maak regelmatig gebruik van smb3 en kodi wel met vpn op pc..

[Reactie gewijzigd door copyer op 23 juli 2024 21:27]

[inversions]

Een portscan kan ook plaats vinden in een openbaar wifi netwerk, dat hoeft niet vanaf het internet te komen.

[mr_evil08]

Maar dan moet je dus wel particulier/zakelijk hebben gekozen in Windows bij verbinden, als je openbaar gekozen had is er nog niks aan de hand en houd de lokaal firrewall het tegen.

En ook zijn er publieke AP,s wat wel hun zaken op orde hebben en AP isolation aan hebben staan dan wordt een portscan lastiger.

[inversions]

Veel gebruikers snappen niet wat ze aanklikken, daar zijn ze gebruiker voor. Heel veel hotels/restaurants en andere openbare plekken hebben het juist niet op orde dat kan je als gemiddelde gebruiker niet op voorhand weten het is zelfs de vraag of de openbare wifi aanbieder dat zelf weet.

[Motrax]

SMB is de reden dat we alle netwerkschijven voor thuiswerkers hebben afgesloten. Dat deed zeer met het massaal thuiswerken, veroorzaakte een heel snelle verhuizing naar sharepoint, maar zet niet ons gehele netwerk open voor extra-gratis malware

[mkools24]

Of je gaat naar Citrix/RDP. SMB openzetten van je netwerk naar thuiscomputers is vragen om problemen.

[dutchgio]

Citrix/RDP direct aan het internet hangen hebben we ook goeie ervaringen mee.

[Razwer]

Daarom Awingu/Citrix via BlackBerry Access. Weg met de attack surface

[mkools24]

Niet direct he, wel via eoa 2FA reverse proxy zoals Netscaler.

[tw34kers]

Gaat niet enkel om 2FA, maar ook bvb
https://support.citrix.com/article/CTX267027

[mkools24]

Ja goed, vulnerabilities heb je in ieder product. Als je dat niet wilt moet je loskoppelen van het internet en thuiswerken niet toestaan. Het is maar net hoe je ermee omgaat.

[mr_evil08]

VPN kan ook gewoon en als het zakelijke laptops zijn kan je dat wel afdwingen in de local firrewall dat het alleen open mag staan indien je op de VPN zit.

[The Realone]

Ik neem dan aan dat bij jullie de thuiswerkers toegang tot het netwerk hebben via unmanaged clients? Anders zie ik daar zo het nut niet van in. Managed clients kun je prima via een VPN toegang geven tot SMB shares er vanuit gaande dat je je beveiliging op orde hebt, maar dat staat verder los van on-prem of remote clients.
Unmanaged clients dien je inderdaad nooit zo rechtstreeks toegang te geven tot het interne netwerk, dat is vragen om problemen.

[Yoshi]

dit dus :-). En je kan je behoorlijk veel vragen stellen als SMB openstaat voor unmanaged clients die vanaf hun thuisnetwerk connecteren.

[Reactie gewijzigd door Yoshi op 23 juli 2024 21:27]

[Mantis]

Lost Windows Defender Firewall dat niet eenvoudig op?
Laptop op private/public profile -> geen SMB
Laptop op domain profile (bv via client vpn) -> SMB toegelaten op server range

[Tadango]

Niet beheerde machines moet je nooit op die manier toegang geven tot je shares.........

[threaker]

Geldt dit voor alle Windows-machines die een internet-verbinding hebben?
En waarom staat Windows toe dat er een onbeperkt aantal falende inlogpogingen vanaf internet gepleegd kunnen worden, en hoe schakel je als gebruiker die toestemming uit?

[84hannes]

Geldt dit voor alle Windows-machines die een internet-verbinding hebben?

Het lijkt mij dat je een poort naar buiten open moet hebben staan. De meeste mensen zitten achter een router, die ook meteen een NAT heeft om verschillende computers met verschillende interne ip-adressen op een enkel extern ip-adres te kunnen gebruiken. Je zult volgens mij die NAT moeten configureren om SMB naar een specifieke PC door te sluizen, lijkt me niet een standaardconfiguratie. Misschien dat als je IPv6 hebt al je interne apparaten een eigen extern ip-adres gebruiken, maar dat lijkt me niet zo'n verstandige set van de router/provider.

[Tha Render_2]

Neen niet voor elke machine die een internet verbinding heeft, wel voor elke machine waar poort 445 (SMB) naartoe geforwarded is vanuit de firewall en dus via die poort rechtstreeks benaderbaar is vanaf internet.

[Kapitein187]

Hoe zit dit als je een Windows Hello pin gebruikt?

[.oisyn]

Pincodes zijn alleen voor lokale usersessies.

[amx]

niet helemaal
Windows Hello wordt ook gebruikt voor het vernieuwen van de Primary Refresh Token zodat je office 365 sessies automatisch vernieuwd worden en je de 2FA pushmeldingen niet steeds nodig hebt om in te loggen.

Voor SMB is het echter niet relevant. DMZ wel, zoals hierboven al gemeld.

[Yoshi]

nvm

[Reactie gewijzigd door Yoshi op 23 juli 2024 21:27]

[MatthiasL]

Welke versie van SMB betreft dit, of allemaal?

[Tha Render_2]

Bij ADFS kan je zaken zoals smart lockout instellen die na bijvoorbeeld 5x proberen het account locked voor een tijdje maar voor SMB authenticatie pogingen heb ik nog geen lockout feature gezien?

[walteij]

SMB binnen bedrijven is vaak gewoon gekoppeld aan Active Directory, waar (als het goed is) een password lock policy is ingesteld.
SMB login pogingen gaan dan gewoon langs je domain controller en die zal het account locken als het te vaak mis gaat.

[Tha Render_2]

Thanks, kan ik wel volgen, standaard is er op AD geen lock policy dacht ik, de moeite om eens te onderzoeken. Ik weet dat we voor ADFS die ook extra moesten configureren.

[ahbart]

In C'T magzine van vorige maand stond een heel artikel over ZMap, waarmee in een zeer rap tempo het hele internet afgezocht kan worden naar open port 445. Dat zijn een heleboel IP-adressen kan ik je vertellen. Sommige, zo bleek in dat artikel, gaven wel heel veel bloot. Complete administraties van bedrijven bijvoorbeeld.
Mensen denken dat het niet gevonden wordt omdat het niet met een domein/adres te vinden is

[Memori]

Je kan via een aantal online tooltjes je eigen IP adres scannen:

https://hackertarget.com/nmap-online-port-scanner/ (beperkt aantal poorten, maar inclusief SMB)
https://www.whatismyip.com/port-scanner/ (1 specifieke poort)
https://www.ipfingerprints.com/portscan.php (gratis eigen range opgeven)
https://spyse.com/tools/port-scanner (snelle check; volgens mij scant deze 24/7 het internet af. Soort van Google voor open poorten. Dus niet live / resultaten zijn geindexeerd.)

[Reactie gewijzigd door Memori op 23 juli 2024 21:27]

[Audioot]

Ik vind deze handig: https://www.grc.com/default.htm
Heeft diverse toepassingen waaronder deze voor de poorten: https://www.grc.com/x/ne.dll?rh1dkyd2

[80sdude]

yup, one of my demi-gods

[r03n_d]

Ik heb dus een SMB servertje draaien welke alleen te benaderen is als ik een VPN opzet. Dat servertje is een raspberry pi. Als desktop gebruik ik wel W10. Ben ik hier dan nu ook vatbaar voor of niet? En zo ja, wat doe ik hier aan?

[Heraz]

Dan is het niet direct te benaderen. Als er een fatsoenlijk wachtwoord op zit zou dat geen probleem moeten zijn.

[r03n_d]

Dankjewel!