NCSC plaatst lijst met door Flubot-malware gebruikte domeinnamen op Github

Het Nationaal Cyber Security Centrum heeft een lijst op Github geplaatst met daarin de domeinnamen waarvan de Flubot-malware gebruikmaakt. Het NCSC stelt dat organisaties op die manier kunnen nagaan of telefoons van medewerkers zijn geïnfecteerd.

Vorige maand publiceerde de Nederlandse politie nog een waarschuwing voor misleidende sms’jes die een link naar de Flubot-malware bevatte en nu publiceert het NCSC een lijst met de door Flubot gebruikte domeinnamen op Github.

In de beruchte sms'jes wordt gesuggereerd dat er een postpakket onderweg zou zijn naar de ontvanger. Bovendien wordt er gelinkt naar een Android-app die de zogenaamde Flubot-malware bevat. Deze malware zoekt naar contact-, bank- en kredietkaartgegevens om bankfraude mee te plegen. Eens geïnstalleerd kan de Flubot-malware ook berichten lezen en versturen en phishingwebsites laden wanneer er een bankapplicatie wordt opgestart.

De Belgische telecomwaakhond BIPT en het Centrum voor Cybersecurity België waarschuwden eind april voor dergelijke sms’jes. Volgens deze laatste twee organisaties hadden meer dan 9000 Belgen op de link geklikt en de malware gedownload. Beveiligingsonderzoekers van Proofpoint schreven al een artikel over de werkwijze van FluBot.

Reacties (43)

[Videopac]

Is er ook een lijst voor Pi-Hole die snel bijgewerkt wordt? Zou handig zijn NCSC (of iemand anders) dat ging doen.

[Webgnome]

Heb ze maar even in één grote lijst gezet:

https://github.com/jjtbso...main/flubot_blocklist.txt

[Muncher]

Handig! Denk dat de lijst met 2931 ook afdoende is. Daarin zijn de domeinen opgenomen die specifiek voor NL worden gebruikt.

[tom.cx]

Het lijkt mij toch beter om alles te hebben voor het geval ze uitwijken.

[Cyb]

Of je blokkeert elk .ru .su en .cn domein.
Zoiets:
[code]^.+\.(ru|su|cn)$[/code]

[Frost_Azimov]

Tja...misschien bekijk ik het niet goed, maar die lijsten met namen lijken er allemaal ongeveer zo uit te zien:

[voorbeeld]
xalvtebukduwaoo.ru
bxsvtmvyjllywpq.cn
pivgonggplftcsk.su
arlknwimqnhbvrh.ru
[/voorbeeld]

Dus om Cyb's regex wat exacter te maken zodat je minder false positives hebt lijkt me dit te voldoen:

[a-z]{15}\.(ru|su|cn)$

(in pi-hole: group management->domains->regex filter (blacklist)


p.s.
jammer dat ubb hier niet goed werkt

[Reactie gewijzigd door Frost_Azimov op 22 juli 2024 15:32]

[Cyb]

Dat is een goeie, nog beter inderdaad.

Voor de zekerheid zou ik er wel een start boundary bij plaatsen, dus ^[a-z]{15}\.(ru|su|cn)$, voor het geval Pi-Hole ook partial matches ondersteunt, want anders zou het ook meer dan 15 kunnen matchen.

[Frost_Azimov]

Mee eens, die is nog beter. Eerlijk gezegd vind ik het best slordig van die hackerts... beetje makkelijk zo.
doe maar wat naampjes van random 15 chars...

[reconf]

Worden deze lijsten nog geüpdatet? en zijn ze via een centrale manier toe te voegen aan bijvoorbeeld PiHole?

[Orangelights23]

Het NCSC zal deze hoogstwaarschijnlijk niet actief updaten. Er zijn wel gesloten fora waar je actieve lijsten kunt halen inclusief downloadbare rules voor meerdere SIEM-s. Nadeel is dat je alleen als bedrijf toegang krijgt tot deze threat intel.

[Maurits van Baerle]

Het zou mooi zijn als ofwel EC3 ofwel ENISA dit soort lijsten gewoon publiceerde in een automatisch downloadbaar formaat. Ze laten securitysoftware dan één keer per dag die lijst synchroniseren en je kunt veel leed voorkomen.

[twiet]

uhm, volgens mij is het NCSC in plaats van NSCS

[ultimasnake]

Nou als alle betrokken TLD-instanties nu even deze lijst pakken om direct alle domeinen offline te trekken… sidn heeft volgens mij die mogelijkheid, maar of ze dit doen…

(Al zie ik zo snel geen nl in de lijst staan, deze wordt wel genoemd)

[Reactie gewijzigd door ultimasnake op 22 juli 2024 15:32]

[nero355]

Bovendien wordt er gelinkt naar een Android-app die de zogenaamde Flubot-malware bevat. Deze malware zoekt naar contact-, bank- en kredietkaartgegevens om bankfraude mee te plegen. Eens geïnstalleerd kan de Flubot-malware ook berichten lezen en versturen en phishingwebsites laden wanneer er een bankapplicatie wordt opgestart.

Ondertussen blijf ik voor gek verklaard worden als ik zeg dat telefoons en tablets speelgoed zijn waarop je niet hoort te bankieren en dergelijken... LOL!

De Belgische telecomwaakhond BIPT en het Centrum voor Cybersecurity België waarschuwden eind april voor dergelijke sms’jes. Volgens deze laatste twee organisaties hadden meer dan 9000 Belgen op de link geklikt en de malware gedownload.

Dat zijn dus 9000 mensen die braaf overal op clicken zonder 3 seconden na te denken...

Belooft veel goeds voor de toekomst!

[Fox Hound]

Dit is dan weer een voordeel van Apple’s App Store beleid. Geen installatie uit andere bronnen, geen problemen.

[Reactie gewijzigd door Fox Hound op 22 juli 2024 15:32]

[Muncher]

Flubot leidde iPhone gebruikers naar een fake iCloud login pagina. Volgens mij zijn daar geen getallen van gepubliceerd. Dus ja, de walled garden beschermd hier, maar dan moeten mensen niet via de tuindeur het moeras inlopen

[nero355]

Tja, dat laatste blijft blijkbaar heel verleidelijk voor velen...

[nero355]

Volgens mij laatst nog gelezen dat het wel degelijk mogelijk is

[AntiSpam]

Ipv root cause aan te pakken blijven organisaties die met belastinggeld worden gefinancieerd arbeid verstrekken.

Het doel van NCSC moet zijn dat door dat ze met structurele oplossingen komen voor hoofdoorzaken ze niet meer nodig zijn.

Domeinen / IPs / waarschuwing verstrekken (vrijwel altijd nadat iedereen het al weet) slaat nergens op.

[Webgnome]

En welke oplossing stel je dan voor?

[AntiSpam]

Delivery model is SMS spam, als anoniem SMS'en geen optie meer is....

[DGTL_Magician]

Deze SMS zijn niet anoniem.

[PFY]

Ik snap niet waarom je als puur NL bedrijf/instelling met dit soort domeinen en zelfs landen zou willen communiceren. Ik heb een zwik servers staan in 020 en het is heel simpel, er komt niks qua oekraine of china binnen. Alles is volledig geblocked via Geoip. Mijn klanten hebben niks met dit soort landen en ik dus ook niet. Dus volledig country blocken die hap. Ze hebben het verknald en mijns inziens is er geen vertrouwen meer. Dus blocked. Af en toe de Geo DB updaten en dat scheelt 90 % van de aanvallen. Misschien wel meer.

[t-force]

Dat doe ik ook middels een Mikrotik adreslijst script die zet alle IP subnets van bepaalde landen in een blacklist. Die landen hebben mijns inziens niks te zoeken op onze servers.

Maar de meest slimme criminele hackers gebruiken gehuurde servers in veilige landen zoals NL.

[Reactie gewijzigd door t-force op 22 juli 2024 15:32]

[thomvh]

Echter is Geo IP ook niet altijd betrouwbaar...

[t-force]

Ik merk zelf dat de landen subnets nogal eens wijzigen.

Zie voor een actuele (txt) lijsten: http://ipverse.net/
Deze gebruik ikzelf om een actuele subnet database te maken.
En die database gebruik ik om geautomatiseerde scripts voor Mikrotik routers te maken.

En ook een fijne API: https://ipapi.co
Die laatste lijkt wat betere resultaten te geven.

[thomvh]

Ik bedoelde meer. Ik kan mijn block announcen alsof het uit zeg even voor dit voorbeeld NL komt. Terwijl mijn server gewoon in Rusland staat. Ik heb daarom zelf altijd veel moeite gehad met GeoIP te vertrouwen. Tuurlijk je pakt er wel wat dingen mee aan. Maar echt op land basis filteren is tricky.

[t-force]

Bedankt voor je uitleg.

[d3burt]

Ach, je Internet wordt zoveel kleiner met GeoIP blocking dat alleen al daardoor het aantal pogingen enorm afneemt. Ik gebruik pam_script om toegang tot SSH te beperken tot NL, DE, FR en BE. Een paar specifieke uitzonderingen (OVH...) en de aanvallen worden opeens heel overzichtelijk.

Er zijn teveel rare Europese samenwerkingen om DE, FR en BE uit je default lijst te halen; Ziggo gebruikte bijvoorbeeld adressen die volgens GeoIP in FR thuishoren en T-Mobile DE.

[Vaevictis_]

Typo in het artikel moet NCSC zijn.

[Theone098]

Het is ook nationaal cyber security centrum (en niet Nederlands centrum voor Cybersecurity) en daarom NCSC.

[JayStout]

@twiet @Vaevictis_ @Theone098 Inderdaad! Het is aangepast. Bedankt om het te melden.