DarkSeoul-virus veroorzaakte vermoedelijk problemen in Zuid-Korea

De uitval van computersystemen bij banken en tv-stations in Zuid-Korea woensdag lijkt te zijn veroorzaakt door de DarkSeoul-malware die onder andere de master boot record overschrijft. Er zouden nog geen aanwijzingen zijn gevonden voor de betrokkenheid van Noord-Korea.

Woensdag werden computers van de Zuid-Koreaanse publieke omroepen KBS en MBC lamgelegd. Het interne netwerk van de nieuwszender YTN zou ook getroffen zijn, terwijl tevens computersystemen van een aantal banken werden platgelegd. Overheidssystemen zouden echter niet direct zijn aangevallen.

Mede door de hoog opgelopen spanningen tussen Noord- en Zuid-Korea, werd er vrijwel direct naar Noord-Korea gewezen. Het Cyber ​​Terror Response Center van de Zuid-Koreaanse overheid, dat de aanvallen begon te onderzoeken, zegt echter nog steeds geen bewijzen te hebben gevonden die wijzen op een Noord-Koreaanse betrokkenheid.

Er duiken inmiddels wel steeds meer aanwijzingen op dat de nog onbekende aanvallers gebruik hebben gemaakt van malware in de vorm van een virus. De malware zou onder andere de master boot record van de harde schijf hebben gewist, waardoor systemen niet meer opstarten. Ook wordt de boodschap 'hacked by Whois Team' getoond.

Antivirusbedrijf Sophos schrijft op zijn weblog dat uit de eerste analyses van de malware blijkt dat het gaat om de zogeheten DarkSeoul-malware. De kwaadaardige software zou niet erg geraffineerd zijn en al enige tijd door antivirussoftware gedetecteerd worden. Wel lijkt de malware specifiek op Zuid-Korea gericht, omdat het twee veelgebruikte Koreaanse antiviruspakketten uitschakelt. Toch durft ook Sophos niet de conclusie te trekken dat er Noord-Koreaanse hackers achter de aanval zitten.

Reacties (30)

Tsja.. nieuwe MBR en je bent weer online. 10 minuten werk? Dus waarom zo lang offline...

Omdat ze geen johnkeates in Korea hebben , die meteen door had toen het optrad dat het alleen maar het MBR betrof en die in 10 minuten alle systemen en aangesloten computers de juiste MBR kan geven, omdat hij voor elke computer de juiste repairCD klaar had liggen missschien ?

Om dataverlies tegen te gaan zal je elke computer apart van de juiste MBR moeten voorzien met een reparatiedisk als deze nergens op reageert,
Banksystemen bijvoorbeeld hebben niet op een computer een partitie om vanaf daar het OS opnieuw te kunnen installeren of te kunnen repareren.
En ik neem aan tv zenders ook niet.
Je zult dus fysiek een MBR moeten installeren/repareren vanaf een installatie-cd/DVD.

Daarna moet je alles scannen en testen voor je weer online kunt.
Zoiets duurt langer dan 10 minuten.
Maar ik geloof dat ik jou dat niet uit hoef te leggen, mijn kennis is zoveel meer beperkter.

Kun je dat wel allemaal in 10 minuten dan kan je veel geld verdienen in de IT, al zullen enkelen zich afvragen of jij dan niet achter de hele actie zat.....

[Reactie gewijzigd door Teijgetje op 21 maart 2013 08:59]

Ik dacht dat deze destructieve virussen in de jaren negentig waren achtergebleven omdat met het verwoesten van de MBR ook het verder verspreiden sterk belemmerd wordt. Hoewel in die tijd was het nog gebruikelijk dat een virus zich na een x aantal keer van herdistributie pas overging tot destructie in plaats van op een bepaalde datum. Gezien de artwork ga ik ervan uit dat het om baldadige tieners gaat die van zich willen laten horen op klassieke wijze.

Niettemin een lelijke aanval welke hopelijk beheerders alert maakt op wat vroeger was weer komen kan. Gelukkig alleen de MBR en niet een autofix er achteraan.

vooral leuk dat overheidsofficials dit hebben aangekondigt, er een nieuw secrurity level wordt geissued en dan een week later dit, echt heel toevallig http://blogs.computerworl...are-who-whois-team-itbwcw

Ik zeg Cybercrime Challenge: Zuid Korea

Krijg je het scherm met de drie schedels dan is dit normaal een bewegend scherm.
Ter informatie hier komen ook mails op te staan allemaal @whois.com adressen.
Owja en de eerste zin is (We have an Insterest in Hacking). Voor de mensen die het nog even wouden weten.

MBR uitschakelen en toch dit scherm tonen? Zou denken dat je gewoon een saai DOSscherm krijgt met de info dat je MBR niet gevonden kon worden, nee?

In de eerste alinea staat dat dit virus de MBR overschrijft, niet wist.

Ben tevens benieuwd wie hier nou daadwerkelijk achter zit. Was / is dit eventueel een groepje trollende "hackers" die een conflict wil(l)(d(en)) uitlokken tussen Noord- en Zuid-Korea?

De beelden uit het NOS Journaal zag je inderdaad gewoon een 'saai DOS scherm'.

Had het er vanavond al over met m'n broer, toen ik die beelden op TV zag dacht ik meteen al dat er met het MBR geknoeid was. Je zag nog dingen van Intel Raid enzo in beeld (meestal flitsen die schermen snel voorbij en begint je OS met laden).

Mooi dat er overal op elk nieuws bericht staat.
Er zouden nog geen aanwijzingen zijn gevonden voor de betrokkenheid van Noord-Korea.

Jammer dat er niet staat dat er ook geen aanwijzingen zijn gevonden voor de betrokkenheid van Luxemburg.

Of zijn die er wel?

De aanval vond hoofdzakelijk plaats in Zuid-Korea. Met welk(e) land(en) staat ze op gespannen voet na recente politieke ontwikkelingen? Zover ik weet staat Luxemburg niet in die lijst en heeft er nooit opgestaan. Relevant is de mogelijkheid op basis van potentiële waarschijnlijkheid welke Noord-Korea als verdacht aanmerkt. Wel realistisch blijven in je kritiek. Overigens lijkt het mij juist een zielige actie van onbegrepen jonge Zuid-Koreanen te gaan die hun frustraties hebben geuit en nu zich lam zuipen om hun 'succes' te vieren.

Helemaal mee eens.

Lijkt wel een moderne variant van het antieke Stoned virus. De meest voorkomende variant was redelijk harmless, maar schreef zichzelf ook weg naar MBR en liet een boodschap zien in de trant van "This PC is now stoned!" en ging na een paar seconden vrolijk verder met booten.
Dat ding heb ik ooit gehad in de tijd dat ik nog geen internet had en het dus via via van een of andere floppy heb gekregen. Dat was op een IBM XT kloon met 360KB floppen.
Een "moderne" en ietwat boosaardiger variant van deze?

[Reactie gewijzigd door Ultraman op 21 maart 2013 14:46]

Om het MBR te overschrijven heb je beheerdersrechten nodig. Eigen schuld dus.

Kunnen we dan ook horen hoe de exploit werkt/verloopt en wie er kwetsbaar is of is dat te technisch voor Tweakers?