October 4, 2024
|
Infostealers series
Hoe werkt een aanval op een organisatie middels een infostealer? Analyse van voorbeelden zoals Uber en EA Games onthult een vierstappenplan dat wordt gebruikt door aanvallers om middels infostealers een organisatie aan te vallen.
De eerste stap in de aanval is eigenlijk nog geen onderdeel van de actieve aanval. Verspreiders van infostealer-malware proberen zoveel mogelijk apparaten te infecteren met infostealer malware. Deze malware, die op grote schaal logingegevens en session cookies steelt, zit vaak verstopt in illegale downloads of phishing mails. Het doel van deze aanvallers? Simpel: zo veel mogelijk apparaten infecteren om daar geld mee te verdienen. Hoe? Zie stap 2.
Bij het infecteren van apparaten zijn zakelijke apparaten natuurlijk het meest waardevol. Persoonlijke apparaten kunnen echter ook nuttig zijn, omdat ook op persoonlijke apparaten vaak toch wel enige zakelijke activiteit plaatsvindt. Hoe vaak komt het immers niet voor dat mensen hun persoonlijke apparaat gebruiken om in te loggen op hun zakelijke systemen? De aanval bij Uber begon bijvoorbeeld met een persoonlijk apparaat van een contractor die met infostealer-malware geïnfecteerd raakte.
De verspreiders van de malware gaan zelden zelf over tot de aanval. Hun business model is om zoveel mogelijk apparaten te infecteren en deze vervolgens succesvol in de markt te plaatsen. Dat is dus ook precies wat er in het voorbeeld van Uber en EA Games gebeurd is.
Deze verkoop gebeurt op afgesloten marktplaatsen waar niet zomaar iedereen bij kan. Hierbij wordt de controle over het apparaat of over de specifieke sessies te koop aangeboden voor prijzen variërend van tien dollar, duizend dollar tot - heel zeldzaam - wel tienduizend dollar. Zo is in het geval van EA Games bekend geworden dat de (nog actieve) sessie van het Slack-account voor 10 dollar verkocht werd.
Eenmaal, andermaal, verkocht! De controle over het account en/of apparaat wordt nu overdragen aan een andere aanvaller. Deze aanvaller heeft in tegenstelling tot de verspreider van de malware wel als doelstelling om de gegevens te misbruiken voor een aanval.
Infostealer malware geeft hackers eigenlijk een soort vermomming waardoor ze door de voordeur bij organisaties naar binnen kunnen. Dit komt omdat door de nog actieve sessie de aanvaller kan inloggen op de interne systemen van de organisatie als zijnde de medewerker.
Bij Uber was de sessie blijkbaar niet meer geldig of niet aanwezig en moest de aanvaller het doen met alleen gebruikersnaam en wachtwoord. De aanvaller gebruikte deze gegevens voor een MFA Fatigue aanval, waarbij een stukje misleiding werd toegepast: het slachtoffer kreeg een tekstbericht, waarbij de aanvaller pretendeerde Uber IT te zijn: “We zien in onze systemen veel inlogpogingen. Om die te laten stoppen moet je even één van die verzoeken accepteren.” Zo kreeg de aanvaller toegang tot onder meer Google Workspace en Slack.
Bij EA Games was er wel sprake een actieve sessie, waardoor de aanvaller direct kon inloggen op Slack als zijnde de medewerker. Een ideale vermomming, zo bleek. Vanuit die hoedanigheid nam de hacker contact op met IT Support van EA: “Ik ben mijn telefoon verloren op een feestje gisteravond”. Een nieuwe MFA token werd aangemaakt voor het interne netwerk van EA, waardoor de aanvaller zijn weg kon vervolgen.
Eenmaal binnen in de interne systemen van een organisatie kan een aanvaller verder. Bij EA Games is er circa 750 GB aan bestanden gestolen waaronder de broncode van verschillende games. Bij Uber is de schade volgens het Volgens het Britse Openbaar Ministerie zeker 3 miljoen dollar. Wat een aanvaller precies wil doen - ransomware of spyware installeren, bestanden stellen - verschilt per aanvaller. Het feit is dat ze op dit punt in de aanval binnen zijn en organisaties daardoor kwetsbaar zijn.
De conclusie is duidelijk: infostealers vormen een vernuftige dreiging. Ook in Nederland hebben ze bij meerdere grote organisaties al flink toegeslagen. Wil je meer weten over hoe wij deze aanvallen in een vroeg stadium detecteren? Lees hier verder.
Informatieveiligheid krijgt bij zorgorganisaties steeds meer aandacht. We spraken hierover met een grote zorgorganisatie in het zuiden van Nederland. Informatiebeveiliging is voor hen een belangrijk thema: continu brengen zij kwetsbaarheden in kaart en voeren ze verbeteringen door. Hiervoor maken zij onder meer gebruik van Passguard. Waarom? We vroegen het aan de CIO.
November 6, 2024
Infostealers worden gemaakt als Malware-as-a-Service (MaaS). Dit model stelt cybercriminelen zonder diepgaande technische kennis in staat om toegang te krijgen tot geavanceerde malware door simpelweg te betalen voor een abonnement. Hierdoor zijn infostealers voor een bredere groep criminelen toegankelijk om aanvallen uit te voeren zonder zelf malware te ontwikkelen.
October 11, 2024
De afgelopen jaren hebben veel organisaties effectieve maatregelen genomen om hun netwerken te beveiligen en het risico van phishing-aanvallen te verkleinen. Als gevolg hiervan is de effectiviteit van traditionele aanvalsmethoden sterk afgenomen. Dit vormt een groot probleem voor cybercriminelen, omdat hun hele ecosysteem afhankelijk is van succesvolle aanvallen.
October 11, 2024
.svg)
