Microsoft waarschuwt voor spearphishingcampagne via rdp-bestand

Microsoft waarschuwt gebruikers voor een spearphishingcampagne. Leden van de Russische cybercriminele groep Midnight Blizzard proberen via de campagne op afstand de controle over computers over te nemen, zegt Microsoft.

De e-mails in de spearphishingcampagne zijn volgens Microsoft naar duizenden doelwitten in ruim honderd organisaties verstuurd. In een aantal gevallen deden de aanvallers zich voor als werknemers van Microsoft, in de hoop geloofwaardiger over te komen. Ook werden andere cloudproviders genoemd in de phishingmails, zoals AWS.

In de e-mails zit een met Let's Encrypt gesigneerd Remote Desktop Protocol-configuratiebestand, dat verbonden is met een server van de aanvaller. Als de ontvanger van een e-mail het bestand opent, wordt er een verbinding opgezet met die server, waarna de criminelen via rdp toegang krijgen tot de computer. Daarbij kunnen ook inloggegevens van het slachtoffer worden buitgemaakt.

Het configuratiebestand bevat een aantal gevoelige instellingen, waarmee allerlei informatie kan worden gestolen. Het gaat bijvoorbeeld om informatie van harde schijven, de inhoud van clipboards, printers, aangesloten apparaten, audio en authenticatiefuncties van Windows. "Aanvallers kunnen met deze toegang malware op de lokale schijf of netwerkshares van het doelwit installeren."

De campagne werd ontdekt op 22 oktober. Naar alle waarschijnlijkheid proberen de cybercriminelen achter de campagne vooral informatie en inlichtingen te verzamelen, stelt Microsoft. Volgens het bedrijf richt de campagne zich op werknemers in sectoren als de overheid, defensie en academici. Ook individuen in andere sectoren kunnen het doelwit van een aanval vormen, zegt Microsoft.

Reacties (47)

[fk65]

Waarom zou in de genoemde sectoren de RDP port in de firewall openstaan?

[OruBLMsFrl]

Kan het nog zijn dat ze een RDP bestand sturen maar aan hun kant die RDP in grote afwijking van de standaard op poort 443 hosten ergens? Dan heb je natuurlijk plots een veel geavanceerdere firewall nodig om dat nog te detecteren, want poort 443 staat vaak redelijk vrij ver open toch voor allerlei cloud providers en wat al niet meer.

*Edit: lijkt er niet op, want Microsoft geeft onderaan het gelinkte artikel deze code voor de detectie:
// Step 2: Identify outbound RDP connections
let outboundRDPConnections = DeviceNetworkEvents
| where RemotePort == 3389
| where ActionType == "ConnectionAttempt"
| where RemoteIPType == "Public"

Dat zou naar publiek internet dicht mogen staan bij grote organisaties ja, die halen normaal toch alles op een private network manier over ExpressRoutes, DirectConnect, FastConnect en meer van dat soort technieken.

[Reactie gewijzigd door OruBLMsFrl op 31 oktober 2024 09:35]

[supersnathan94]

Dit werkt alleen als je software firewalling hebt op de endpoints en daar up to date informatie naar toe kunt sturen.

In de situatie waar een groep devs een laptop hebben (met admin rechten) moet je daar dan dus een bepaalde endpoint beveiliging bij gaan leveren die dit soort zaken dus actief blokkeert. Want iemand die vanuit huis werkt heeft dergelijke firewalling natuurlijk niet.

Ik kan het in mijn security gateway dichtzetten (wat ik denk ik ook maar even ga doen), maar niet iedereen heeft kaas gegeten van firewalls en security gateways.

Provider apparatuur staat dit meestal via UPNP gewoon direct toe zonder blikken of blozen.

[OruBLMsFrl]

Dat klopt als die laptop dan zelf het netwerk op gaat direct. Gebruik je als groot bedrijf echter iets typisch als Zscaler of VPN (enterprise typisch daarbinnen dan ook nog eens always-on VPN), dan gaat dat verkeer wel alsnog langs je corporate firewall. Endpoint based kan natuurlijk ook nog, je zou zoiets in firewall profielen kunnen steken met group policy of iets. Tegelijk kom je toch meestal die specifieke netwerk oplossingen tegen op de grotere schaal bedrijven en instellingen waar dit artikel van spreekt.
Maar ze zullen er vast tussen zitten, waar die spear phishers dan vermoedelijk juist op jagen, kan natuurlijk best dat sommige devs of anderen voor disaster recovery en andere speciale scenario's wel naar buiten mogen RDP'en. En dat juist die profielen dan vaak ook meer mogen binnen het bedrijf, wat dit het dan toch voor die cybercriminelen de investering waard maakt?

[supersnathan94]

Dat klopt als die laptop dan zelf het netwerk op gaat direct. Gebruik je als groot bedrijf echter iets typisch als Zscaler of VPN (enterprise typisch daarbinnen dan ook nog eens always-on VPN)

Ik kom dit zelden tegen. Voor business vaak wel (binnen sharepoint/MS365 werkt dat best), maar voor development niet. Simpelweg door de gigantische bakken aan data die je dan over de lijn gaat trekken.

Een dotnet framework docker container heeft een base van 12-15GB. Belachelijk groot, maar voor heel veel devs noodzakelijk. Dat soort simpele dingen kost gewoon heel veel data.

[OruBLMsFrl]

Wat is nou 12GB, dat is 2 minuten op een gigabit lijn. Tuurlijk is dat even stampen, maar dat hoeft een gemiddeld dev niet dagelijks en waarschijnlijk zelfs niet eens elke week te verversen. En de paar devops profielen die continu zulke containers aan het bouwen zijn, doen dat waarschijnlijk toch al slimmer op een VM of andere vorm van virtual desktop aan de binnenkant ipv over een lijn ergens.

Desnoods wacht je 5 minuten via VPN ipv 2 minuten direct, maar ik kan me bij die miljardenbedrijven niet voorstellen dat die dan hun security laten varen omwille van dat hele kleine beetje performance voor een kleine doelgroep binnen hun ondernemingen.

Alternatief zit je juist aan de buitenkant van het netwerk in een zero trust model, mag je prima op internet direct en wat al niet meer, maar dan zou je ook vooral zo min mogelijk bedrijfsdata op je laptop moeten willen hebben lokaal.

[supersnathan94]

Wat is nou 12GB, dat is 2 minuten op een gigabit lijn.

Als jij denkt dat je die gigabit lijn in je eentje even vol kunt gebruiken in een grote enterprise, dan heb ik slecht nieuws voor je.

Nee, als je met VPN een 50mbit kunt gebruiken dan heb je echt mazzel.

En de paar devops profielen die continu zulke containers aan het bouwen zijn, doen dat waarschijnlijk toch al slimmer op een VM of andere vorm van virtual desktop aan de binnenkant ipv over een lijn ergens.

Nou, nee. Die “paar” devopsers zijn in veel grote bedrijven enkele honderden mensen, en die gaan echt niet met een VMtje cq VDI aan de gang terwijl ze zelf een dikke laptop hebben van de zaak.

maar ik kan me bij die miljardenbedrijven niet voorstellen dat die dan hun security laten varen omwille van dat hele kleine beetje performance voor een kleine doelgroep

Die “kleine doelgroep” is meestal wel verantwoordelijk voor 90% van je dataverkeer. Een paar excel documentjes en PDFjes stelt natuurlijk geen klap voor qua data in vergelijking met code, images en binaries.

Een simpele NPM install trekt al behoorlijk wat data naar binnen.

Ook het gebruik van een full tunnel VPN met Teams wordt door MS zelf afgeraden. Het maakt de ervaring gewoon veel matiger.

[OruBLMsFrl]

Daarvoor heb je natuurlijk ook split tunnel specifiek voor realtime voice en Teams. Ik zie het probleem ook niet, met 100+ devs heb je al prima 10 Gbps lijnen ook, dat kost immers toch al meer dan genoeg geld om 100 devs elke maand te betalen, als dat zo goed als je core business is dan kan dat er ook wel af. En 50 Mbps op VPN is echt achterhaald, met een moderne opstelling zeker vele honderden Mbps als beide kanten snel genoeg zijn. Anders instellingen nakijken, staat er misschien vanuit het verleden nog een kunstmatige limiet op juist.
Alternatief maak je aan de inside een dev eiland met voor .Net Azure Virtual Desktop, inmiddels ook werkelijk turn-key in de vorm van Windows365, want dan heb je al die bandbreedte restricties nauwelijks meer via een Azure firewall naar publiek internet toe, en interne resources zullen dan rond .Net vaak ook al cloud zijn, of minimaal cloud geschikt, dan zijn die bandbreedtes nog veel hoger. Waarom een zware laptop meezeulen die vaak dan ook maar kort op de accu doet met zulke lokale workloads, als je dat zware werk toch al beter en met nog hogere performance op zo een virtuele machine doet?
Hoe dan ook, zulke bedrijven als in dit artikel, die zullen altijd kiezen voor compliance om veilig te blijven boven zulke dev wensen die de laatste minuut vertraging weg optimaliseren... het blijft een bedrijf met serieuze belangen te beschermen en daar komt een redelijk compromis uit, geen hobbyclub waar bandbreedte en performance gaan boven alles

[supersnathan94]

Daarvoor heb je natuurlijk ook split tunnel specifiek voor realtime voice en Teams.

En dan dus niet meer langs je corporate firewall. Dit was precies mijn initiële punt, geen enkel bedrijf gebruikt bij default nog een full tunnel. Er is altijd minimaal een split voor real time applicaties.

En surprise surprise, RDP is er daar vaak ook 1 van en dus kom je weer op endpoint security terecht. VPN an sich is niet voldoende.

Ik zie het probleem ook niet, met 100+ devs heb je al prima 10 Gbps lijnen ook, dat kost immers toch al meer dan genoeg geld om 100 devs elke maand te betalen, als dat zo goed als je core business is dan kan dat er ook wel af.

In de meeste gevallen is het fysiek nog niet eens mogelijk, maar dan nog heb je niet die bandbreedte zelf altijd tot beschikking. sws is een 10gbe lijntje kneiterduur per maand (zakelijk rustig een paar duizend euro per maand), dan nog moet de rest van je infrastructuur dit ook aan kunnen en hier gebruik van kunnen maken.

En dan nog zit je met 500 devs in je pand toch al weer aan 10mbit gemiddeld per persoon. Die 50 is echt zo gek nog niet hoor.

Waarom een zware laptop meezeulen die vaak dan ook maar kort op de accu doet met zulke lokale workloads, als je dat zware werk toch al beter en met nog hogere performance op zo een virtuele machine doet?

Nou nee. Heet zware werk zit em niet in het schrijven van de code. Dat kan prima op een macbook air met een deftige batterijduur.

Virtuele machine is traag, geeft latency, werkt matig en vereist altijd een snelle netwerkverbinding. Kun je hoog of laag springen, maar dat is gewoon een feit. Niet native remote desktop werkt gewoon minder.

Hoe dan ook, zulke bedrijven als in dit artikel, die zullen altijd kiezen voor compliance om veilig te blijven boven zulke dev wensen die de laatste minuut vertraging weg optimaliseren. Het blijft een bedrijf met serieuze belangen te beschermen en daar komt een redelijk compromis uit,

En daarmee wordt je opgescheept met matige MS oplossingen die 9/10 keer niet doen wat ze zouden moeten doen, met iedere update slechter kunnen worden (en ja op zakelijk vlak is MS daar ook echt bijzonder goed in) en gigantisch veel geld kosten tot aan het eind der tijd. Als je ziet hoeveel problemen er opgelost zouden kunnen worden door gewoon simpelweg te stoppen met zoiets archaïsch als mail, dat is echt niet mals. MS heeft de moderne alternatieven ook gewoon in de suite dus mail zelf hoef je niet eens meer te gebruiken.

Het zal ook allemaal best dat het in moderne omgevingen zo kan werken, maar ik zie ze echt heel weinig (zeg maar niet) succesvol worden gebruikt. Zeker in complexere omgevingen , waar je niet weg komt met alleen word, excel, MS dynamics en teams

[BytePhantomX]

In grote organisaties zou dit inderdaad ook dicht moeten staan. Doelgroepen zijn echter ook academici, en dat zijn geen organisaties waar veel restricties aanwezig zijn.

Daarnaast worden veel van dit soort uitgaande porten geblokkeerd op een firewall en is iedereen die thuis werkt kwetsbaar. Ken weinig bedrijven die al het verkeer van thuiswerkers via de VPN laten lopen, meestal toch een split-tunnel opzet.

[supersnathan94]

Een niet split is dan ook eigenlijk helemaal niet te doen met al dat teams geweld tegenwoordig. Heb je gigantisch veel meer bandbreedte nodig op je appliance.

[zerox123]

Dit loopt zeer waarschijnlijk via een RDGateway. Dus gewoon poort 443. Die hebben de meeste bedrijven wel open staan, om websites te kunnen bezoeken...

[TheMak]

In de genoemde sectoren werken mensen thuis. Dankzij office 365 kunnen ze veel doen zonder vpn.

[dasiro]

het gaat om outbound traffic naar externe machines. Waar het op neer komt is dat het slachtoffer probeert om een verbinding te maken met een remote machine. by default worden de genoemde items gesynchroniseerd vanuit de localhost van het slachtoffer om naadloos te kunnen werken. het is dus geen bug, maar een feature (een van de meestgebruikte zelfs).

[SpoekGTi]

Waarom niet? je krijgt een RDP he dus mogelijk staat outgoing 3389 gewoon open. Inkomend niet.

[latka]

Wie laat er dan .rdp bestanden als attachment toe? Zijn dat dezelfde mailserver beheerders die .scr,.exe en.com bestanden ook wel oke vinden?

[Botmeister]

Was even benieuwd hoe de grote jongens dat doen. Heb zojuist een .rdp bestandje van Gmail naar Outlook gestuurd. En van Outlook naar Gmail. Beide zijn gewoon mogelijk.

[Scriptkid]

Dat zijn je MDO settings waar je *.rdp als block in moet stellen

[Botmeister]

De vraag was "Wie laat er dan .rdp bestanden als attachment toe? " Mijn antwoord laat slechts zien dat twee van de grootste mail providers ter wereld, het verzenden van .rdp gewoon toelaten. Ik heb hiervoor privé mailadressen gebruikt. Mijn opmerking gaat niet om zakelijke domeinen en de beschikbaarheid van defender policies via hun A/E licenties. Maar simpelweg of het kan. En het kan.

[Reactie gewijzigd door Botmeister op 31 oktober 2024 11:34]

[Scriptkid]

Tuurlijk kan het ,

hotmail heeft niet als doel jouw mailbox controleren,

Zelfde als een postbode een bordje niet afleveren zal negeren.

[sympa]

Dat is Microsoft die kennelijk nog een categorie bestanden "clickable" heeft gemaakt, "want handig".
Als je zo'n ding zou moet openen via "settings-ander systeem toegang verlenen-laad gegevrns uit bestand" dan was die speer plotseling meer een k uffelbeer geworden.

[MPIU8686]

Zelfs mails die hier niets te zoeken hebben worden niet eens geopend.
Wie opent er dan ook zomaar lukraak bestanden die in bijlages zijn toegevoegd.

Iemand hier .. ? ..

.

Let's Encrypt gesigneerd Remote Desktop Protocol-configuratiebestand

[DealExtreme2]

Het lijkt me sterk dat je de pc kan overnemen zoals het op mij overkwam (via rdp de machine overnemen); je koppelt resources bij de verbinding zoals je HD waardoor je de pc kan infecteren lijkt me. Daarna kun je na een reboot de machine pas 'overnemen'

[Reactie gewijzigd door DealExtreme2 op 31 oktober 2024 08:34]

[barbarbar]

Denk het ook. En wellicht worden aanmeldtokens en gegevens doorgestuurd danwel ingevuld door de gebruiker.

[sjanssen15]

Via rdp kan je ook zaken aansturen vanuit de server kant, bijvoorbeeld om lokaal op de client pc software te starten. (Heb ik althans ooit bij een klant gezien waar software hier gebruik van maakt). Ik denk dat zoiets misbruikt wordt in dit geval.

[Reactie gewijzigd door sjanssen15 op 31 oktober 2024 08:39]

[_JGC_]

Je kunt met RDP je lokale bronnen delen:
- disks
- smartcards
- Windows Hello
- clipboard

Dat is super makkelijk als je data van je lokale PC in je RDP sessie wilt gebruiken en als je authenticatie die is opgeslagen op je lokale PC wilt gebruiken in je RDP sessie, maar in dit geval kan het ook om een aangepaste RDP sessie gaan die je disks scant en je wachtwoordstore leegtrekt op veelgebruikte websites. Verder kan je elke knip/plak actie gewoon sniffen op deze manier.

[De Vliegmieren]

Dit is wel een goed voorbeeld hoe de RDP client in Windows gigantisch veel attack surface kan hebben naar de RDP server, als je zaken als shared clipboard en shared disk aanzet.

Wellicht een goed idee als MS die zaken standaard zou blokkeren in mstsc.exe en expliciete popups toont als je die aan wilt zetten voor een verbinding, waarmee je wordt geinformeerd over de gevaren als je met een niet-vertrouwde server verbind.

[Reactie gewijzigd door De Vliegmieren op 31 oktober 2024 08:48]

[Scriptkid]

waarmee je wordt geinformeerd over de gevaren als je met een niet-vertrouwde server verbind.

dat is het probleem, bestand is signed met public trusted PKI dus is een trusted server.

[De Vliegmieren]

Met 'niet-vertrouwd' bedoel ik dus niet de PKI interpretatie, maar letterlijk of je het doel-systeem vertrouwt.

PKI helpt enkel tegen MITM aanvallen, het geeft geen garantie over of de rechtmatige eigenaar van de domeinnaam verkeerde intenties heeft met een RDP server.

[SunnieNL]

Dat geldt natuurlijk niet alleen voor RDP maar voor elke remote control oplossing.
Citrix en VMware idem, daar kun je dit ook toepassen.
En zo'n popup kun je geven, maar ken jij iemand die het leest en niet gewoon op 'OK' klikt?

[De Vliegmieren]

Die redenatie doortrekken houdt in dat je alles dicht moet timmeren en zelfs geen popup meer getoond wordt voor een uitzondering, zoals Apple al doet zeg maar.

Ben persoonlijk geen fan om gebruikers te behandelen als idioten.

[Reactie gewijzigd door De Vliegmieren op 31 oktober 2024 13:37]

[kodak]

Ik lees niet dat de geintergreerde RDP-client bij de slachtoffers echt nodig waren. Wel dat de criminelen het voor deze aanval nodig hebben. Daarbij is een verstandig uitgangspunt om niet onnodig software geïnstalleerd te hebben die niet duidelijk nodig is. En dus is het juist redelijk kritisch te zijn waarom een intergratie geen duidelijke belemmeringen heeft, of zelfs hoe dan ook geinstalleerd is.

Een reden kan daarbij zijn dat de gebruikers deze client duidelijk gebruiken. Maar hoe we het dan ook draaien, dan is er wel iets mis om de gebruikers er dus zomaar mee te vertrouwen. Zeker als er grote risico's aan kleven voor het bedrijf, hun klanten, medewerkers, leveranciers of zelfs de maatschappij.

[Reactie gewijzigd door kodak op 31 oktober 2024 18:27]

[willieverhoef]

Tja, aangezien veel bedrijven het zo eenvoudig mogelijk willen maken voor gebruikers en dus niet allemaal popups willen hebben. We dingen willen kunnen mailen naar gebruikers om ze bijvoorbeeld iets te kunnen laten doen. Laten we duidelijk zijn. Als we geen attachments kunnen mailen, nergens op kunnen clicken, dan kan dat allemaal niet. Maar we willen juist dat als je clickt op een jpg jet het plaatje kunt zien. Dat als je clickt op een .bat het programma start. Veiligheid is een combinatie van gebruikers gemak en wel iets kunnen en gewoon weer weg uit het digitale tijdperk en gewoon weer papiertjes versturen. Als alles HTML georienteerd is, heb je ook geen RDP meer nodig of een programma welke start op de PC. maar tot die tijd hebben we deze wel, zelfs op de telefoon.

[De Vliegmieren]

Je hebt ook zoiets als 'secure defaults'. Het delen van je complete schijf en clipboard met een server valt daar niet onder....

[gabba25]

He, ik snap het niet. De client maakt via rdp verbinding met een server, waarna de hackers diezelfde client kunnen overnemen? Is het een soort reverse attack dan?

[freaky]

Ze koppelen in die RDP sessie o.a. de lokale schijven en het klembord en die zijn dan op die remote server toegankelijk voor de aanvaller.

[Scriptkid]

tja alles staat aan in het bestand dus je mapped je halve pc naar de server,

clipboard, disken , drivers etc.

Dus aan de server kant kun je daar allemaal bij, kwestie van wat scripts op de juiste auto start locaties zetten en volgende reboot heb je full contole.

[darknessblade]

waarom worden attachment niet automatisch in een sandbox/shell meegestuurd?
dit voorkomt dat de bestanden automatisch worden geopend.

Daarnaast benoemt het artikel niet of het alleen via outlook is, of ook via andere clients.

[SinergyX]

Het is een email bijlage, dan maakt het niet uit of het outlook of welk ander mail programma, het gaat om de aanval van een RDP bestand uit te laten voeren door de gebruiker.

[MPIU8686]

Interessante naam trouwens .. die waren zeker niet akkoord met de overname van Activision Blizzard door Microsoft verleden jaar en de stopzetting van hun dienstverlening aan Rusland in 2022
blijkbaar zal dat van 2022 wel al de doorslag gegeven hebben

.. of het zijn gewoon een heleboel gefrustreerde Russische WoW spelers ..

.

Midnight Blizzard

De actor die Microsoft bijhoudt als Midnight Blizzard (NOBELIUM) is een bedreigingsactor vanuit Rusland, toegeschreven door de overheden van de Verenigde Staten en het Verenigd Koninkrijk aan de Dienst Buitenlandse veiligheid van Rusland (SVR). Het is bekend dat Midnight Blizzard (NOBELIUM) voornamelijk overheden, diplomatieke entiteiten, NGO's en IT-serviceproviders aanvalt in vooral de Verenigde Staten en Europa. Ze zijn gefocust op het verzamelen van informatie via het langdurig en toegewijd bespioneren van buitenlandse belangen door gebruik te maken van identiteiten. Dit doen ze zover we kunnen traceren sinds begin 2018. Midnight Blizzard (NOBELIUM) is consistent en permanent in hun operationele aanvallen en ze wijzigen zelden hun doelen. Ze maken gebruik van verschillende methoden voor initiële toegang (variërend van gestolen referenties tot aanvallen op toeleveringsketens, de exploitatie van on-premises omgevingen voor laterale verplaatsing naar de cloud, de exploitatie van de vertrouwensketen van serviceproviders om toegang te krijgen tot downstream klanten) en van ADFS-malware die bekend staat als FOGGYWEB en MAGICWEB. Midnight Blizzard (NOBELIUM) wordt door partnerbeveiligingsbedrijven bijgehouden als APT29, UNC2452 en Cozy Bear.

.

[Reactie gewijzigd door MPIU8686 op 31 oktober 2024 11:34]

[Polderviking]

Waarom stoppen we niet gewoon met attachments...

[3raser]

Omdat het alternatief dan net zo hard misbruikt wordt?

[Polderviking]

Dat ze wat nieuws ook gaan misbruiken is natuurlijk niet echt een argument om het niet toch te herzien.

Bestandsuitwisselingen lostrekken van email kunnen echt wel wat voordelen aan zitten zoals dat je achteraf nog het bestand kan scannen muteren of verwijderen en je dus achteraf zo'n phishing mail onschadelijk kan maken of data die je naar verkeerde mensen hebt gestuurd kan terugfluiten.

[Reactie gewijzigd door Polderviking op 31 oktober 2024 12:49]

[3raser]

Dan zou ik eerder voorstellen heel e-mail te herzien. Dan kunnen we direct dat spam probleem eens goed aanpakken.

[jpsch]

En Microsoft ons maar Recall opdringen.

[StGermain]

If you pay peanuts you get monkeys… OF het management vindt het niet nodig om tijd en geld te investeren in veiligheid want de kans dat zr iets gebeurt is toch maar klein 🫏