Beveiligingsmaatregel Windows via ongeldige handtekening te omzeilen

[Captain Kirk]

Een beveiligingsmaatregel van Windows die gebruikers een waarschuwing toont bij het openen van bestanden afkomstig van internet is door middel van een ongeldige handtekening te omzeilen. Dat ontdekte beveiligingsonderzoeker Will Dormann. Aanvallers maken actief misbruik van probleem om systemen met ransomware te infecteren.

Mark-of-the-Web (MOTW) zorgt ervoor dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. Onlangs lieten onderzoekers van HP Wolf Security weten dat eindgebruikers via nep-updates met de Magniber-ransomware werden geïnfecteerd.

De zogenaamde software-update wordt vanaf malafide websites aangeboden. Het gaat om een zip-bestand waarin een JavaScript-bestand zit. Normaliter zouden gebruikers een waarschuwing te zien moeten krijgen dat ze een bestand openen dat van het internet afkomstig is. De waarschuwing verschijnt echter niet, wat komt doordat er een digitale handtekening aan het bestand is toegevoegd. Het is mogelijk om bestanden digitaal te signeren. Daardoor weten gebruikers van wie het bestand afkomstig is en dat de code sinds de publicatie niet is aangepast.

Dormann deed verder onderzoek naar het malafide bestand en zag dat er een ongeldige handtekening was gebruikt die ervoor zorgt dat Windows de MOTW-waarschuwing niet toont. "Alsof het bestand geen Mark-of-the-Web heeft", zo laat hij via Twitter weten. Daardoor krijgen gebruikers bij het openen van het script geen waarschuwing en wordt de ransomware vervolgens geïnstalleerd.

Dormman vermoedt dat het probleem wordt veroorzaakt door de SmartScreen-controle die aanwezig is in Windows 10 en nieuwer. Wanneer gebruikers de controle van apps en bestanden door SmartScreen uitschakelen verschijnt er wel een melding. Microsoft is over het probleem ingelicht en zou een onderzoek zijn gestart.

 

bron: https://www.security.nl