Nieuwe ransomware Sodin profiteert van Windows-lek

Kaspersky-onderzoekers waarschuwen bedrijven voor Sodin. Dat is nieuwe encryptie-ransomware die gebruikmaakt van een recent ontdekt zero-day-lek in Windows. Daarmee worden meer toegangsrechten verkregen voor geïnfecteerde systemen. Om detectie te voorkomen, maakt Sodin gebruik van de CPU-architectuur. Dat is volgens Kaspersky heel opmerkelijk omdat dit niet vaak voorkomt bij ransomware. Bovendien blijkt dat de malware ook zonder gebruikersinteractie kan landen op kwetsbare servers. Een aantal Europese bedrijven zijn inmiddels slachtoffer geworden van Sodin waarbij ze een ‘losgeldbrief’ ontvingen voor betaling van $2500 in bitcoins.

Deze nieuwe zogeheten Sodin malware lijkt onderdeel te zijn van een RAAS-scenario (ransomware-as-a-service). Dat betekent dat distributeurs vrijelijk kunnen kiezen op welke manier de encryptor zich verspreidt. Er zijn aanwijzingen dat de malware wordt verspreid via online verkoop van partnerprogramma’s. De ontwikkelaars hebben bijvoorbeeld een maas in de functionaliteit van de malware achtergelaten. Daarmee kunnen ze bestanden decoderen zonder dat het slachtoffer daar achter komt. Een ‘masterkey’ zorgt ervoor, dat er geen distributeurssleutel nodig is voor decodering. Normaal gesproken worden de bestanden van slachtoffers die hebben betaald gedecodeerd met zo’n distributiesleutel. Ontwikkelaars kunnen deze functie gebruiken om decryptie van data of de distributie van de ransomware te regelen. Bijvoorbeeld door bepaalde distributeurs uit het aangesloten programma te verwijderen en zo de malware onbruikbaar te maken.

Doorgaans vereist ransomware enige vorm van gebruikersinteractie zoals het openen van een bijlage bij een e-mailbericht of het aanklikken van een kwaadaardige link. Wat opvalt, is dat de Sodin-aanvallers dat niet nodig hebben. In de meeste gevallen hebben ze kwetsbare servers gevonden en sturen ze een commando om een kwaadaardig bestand met de naam "radm.exe" te downloaden. Via dit commando wordt de ransomware vervolgens op een lokale computer opgeslagen en uitgevoerd.

Detectie van Sodin wordt nog moeilijker omdat ook de ‘Heaven’s Gate’ techniek wordt toegepast. Daarmee kan een kwaadaardig programma 64-bits code uitvoeren vanuit een 32-bits actief proces. Dat is niet gebruikelijk en komt bijna nooit voor in ransomware. Kaspersky-onderzoekers vermoeden dat de Heaven's Gate-techniek om twee redenen wordt ingezet:

Om de analyse van de kwaadaardige code moeilijker te maken. Niet alle ‘debuggers’ (code-onderzoekprogramma’s) zijn bekend met deze techniek en herkennen hem derhalve niet.
Om detectie door geïnstalleerde beveiligingsoplossingen te ontwijken. De techniek wordt gebruikt om emulatie-gebaseerde detectie te omzeilen. Dat is een methode die bedoeld is voor het ontdekken van nog onbekende dreigingen waarbij code wordt gestart die verdacht gedrag vertoont in een virtuele omgeving waarbij een echte computer wordt nagebootst.

“Ransomware is inmiddels een zeer populaire vorm van malware. Echter, zo´n uitgebreide en verfijnde variant als Sodin komen we niet vaak tegen”, zegt Jornt van der Wiel, security-expert bij Kaspersky. “De CPU-architectuur gebruiken om onder de radar te blijven, is geen gangbare praktijk voor encryptors. Er komt bovendien heel wat bij kijken om dergelijke malware te bouwen. Daarmee is het waarschijnlijk dat aanvallen met Sodin-encryptie toe gaan nemen. De ontwikkelaars willen natuurlijk hun investeringen terugverdienen”.

De meeste doelwitten van Sodin-ransomware zijn aangetroffen in de Aziatische regio: 17,6 procent van de aanvallen is gedetecteerd in Taiwan, 9,8 procent in Hong Kong en 8,8 procent in de Republiek Korea. Er zijn ook aanvallen waargenomen in Europa, Noord-Amerika en Latijns-Amerika. De ‘losgeldbrief’ die wordt achtergelaten op geïnfecteerde pc's eist van elk slachtoffer $ 2.500 (USD) in bitcoins.

Lees meer informatie in het volledige rapport op Securelist.com.

	Check Point waarschuwt voor spam over klimaatactiviste Greta Thunberg met Emotet-malware

	Check Point: Mobiele malware voor eerst in drie jaar in top meest actieve cyberdreigingen

	Ontdekte Zero-day kwetsbaarheid in Windows OS al gebruikt in gerichte aanval

	Een op de drie Nederlandse werknemers niet op de hoogte van AVG-beleid

	Fortinet’s voorspellingen voor 2020: beveiliging draait om artificial intelligence en contraspionage

	Onderzoek Fortinet: Cybercriminelen maken vaker gebruik van Ransomware-as-a-Service (RaaS)-oplossing

	Financiële schade van downtime door ransomware meer dan 200 procent gestegen

	Identify3D zet diensten Gemalto in voor databescherming van klanten

	20 jan 2020	Kaspersky optimaliseert licentiemanagement met nieuwe License Management Portal voor MSP’s en resellers

	17 jan 2020	Voor niets gaat de zon op: scammers maken gebruik van nieuwe truc met 'datalekvergoeding'

	9 jan 2020	Nieuwe aanpassingen Lazarus maken AppleJeus-aanval op cryptovaluta gevaarlijker dan ooit

Gepubliceerd op maandag 20 januari 2020
	BTG introduceert TGG/BTG ICT Development index; 40 procent organisaties gaat komend jaar aanzienlijk meer investeren in ICT

	Belcentrale op de Horecava 2020

	Puur Data haalt ISO 27001-certificaat voor informatiebeveiliging

	Consument bereid 7 euro meer te betalen voor duurzame pakketbezorging

	Extreme Networks vereenvoudigt retailnetwerken met cloudtechnologiepakketten die kosten en complexiteit elimineren

	KPN in 2019 opnieuw wereldklimaatleider

	Print2Pack transformeert verpakkingsproductieproces met Xerox

	Rabo Frontier Ventures investeert in eerste Britse online hypotheekmakelaar Trussle

	Wie wordt de Mobiliteitsmanager van het jaar 2020?

	Mimecast waarschuwt voor sextortion via e-mail

	Kaspersky optimaliseert licentiemanagement met nieuwe License Management Portal voor MSP’s en resellers

	Check Point waarschuwt voor spam over klimaatactiviste Greta Thunberg met Emotet-malware

	Een jaar lang water voor Oost-Knollendam dankzij refurbished Apple-producten
17 januari 2020 (4 dagen geleden)
	Succesvolle samenwerking Company.info en INFORMA Europe

	Winnaars Dutch IT-channel Awards 2019 bekend

	Helft Nederlanders heeft vertrouwen in computers die beslissingen voor hen nemen

	Voor niets gaat de zon op: scammers maken gebruik van nieuwe truc met 'datalekvergoeding'