Belangrijkste afhaalrestaurants
- Een kwaadaardig hulpmiddel heeft malware gepusht onder het mom van het vereenvoudigen van de installatie van Android-apps in Windows.
- De tool werkte zoals geadverteerd, dus het veroorzaakte geen rode vlaggen.
-
Experts raden aan dat mensen met de grootste zorg omgaan met software die is gedownload van sites van derden.
Alleen omdat de code van de open source-software voor iedereen zichtbaar is, wil dat nog niet zeggen dat iedereen ernaar kijkt.
Hiervan profiterend, hebben hackers een Windows 11 ToolBox-script van een derde partij gecoöpteerd om malware te verspreiden. Op het eerste gezicht werkt de app zoals geadverteerd en helpt het om de Google Play Store aan Windows 11 toe te voegen. Achter de schermen infecteerde het echter ook de computers waarop het draaide met allerlei soorten malware.
"Als er enig advies is dat hieruit kan worden gehaald, is het dat het grijpen van code om van het internet te komen, extra nauwkeurig onderzoek vereist", vertelde John Hammond, Senior Security Researcher bij Huntress, via e-mail aan Lifewire.
Daglichtroof
Een van de meest langverwachte functies van Windows 11 was de mogelijkheid om Android-apps rechtstreeks vanuit Windows uit te voeren. Toen de functie uiteindelijk werd uitgebracht, waren mensen echter beperkt tot het installeren van een handvol beheerde apps uit de Amazon App Store en niet de Google Play Store zoals mensen hadden gehoopt.
Er was wat rust sinds het Windows-subsysteem voor Android mensen toestond om apps te sideloaden met behulp van Android Debug Bridge (adb), waardoor in wezen de installatie van elke Android-app in Windows 11 mogelijk werd.
Apps begonnen al snel op GitHub te verschijnen, zoals het Windows-subsysteem voor Android Toolbox, dat de installatie van elke Android-app in Windows 11 vereenvoudigde. Een dergelijke app, de Powershell Windows Toolbox, bood ook de mogelijkheid samen met verschillende andere opties, bijvoorbeeld om bloat van een Windows 11-installatie te verwijderen, het aan te passen voor prestaties en meer.
Hoewel de app werkte zoals geadverteerd, voerde het script in het geheim een reeks verduisterde, kwaadaardige PowerShell-scripts uit om een trojan en andere malware te installeren.
Als er enig advies is dat hieruit gehaald zou kunnen worden, dan is het wel dat het grijpen van code om van het internet te komen, extra nauwkeurig onderzoek vereist.
De code van het script was open source, maar voordat iemand de moeite nam om naar de code te kijken om de versluierde code te zien die de malware downloadde, had het script honderden downloads geklokt. Maar aangezien het script werkte zoals geadverteerd, merkte niemand dat er iets mis was.
Aan de hand van het voorbeeld van de SolarWinds-campagne van 2020 die meerdere overheidsinstanties heeft besmet, meende Garret Grajek, CEO van YouAttest, dat hackers de beste manier hebben gevonden om malware op onze computers te krijgen, door ons het zelf te laten installeren.
"Of het nu via gekochte producten zoals SolarWinds of via open source is, als de hackers hun code in 'legitieme' software kunnen krijgen, kunnen ze de moeite en kosten besparen van het exploiteren van zero-day hacks en het zoeken naar kwetsbaarheden, " Grajek vertelde Lifewire via e-mail.
Nasser Fattah, voorzitter van de Noord-Amerikaanse stuurgroep bij Shared Assessments, voegde toe dat in het geval van de Powershell Windows Toolbox de trojan-malware zijn belofte waarmaakte, maar verborgen kosten had.
"Goede trojan-malware is er een die alle mogelijkheden en functies biedt die het adverteert… plus meer (malware), " vertelde Fattah Lifewire via e-mail.
Fattah wees er ook op dat het gebruik van een Powershell-script door het project het eerste teken was dat hem bang maakte."We moeten zeer voorzichtig zijn met het uitvoeren van Powershell-scripts van internet. Hackers hebben en zullen Powershell blijven gebruiken om malware te verspreiden", waarschuwde Fattah.
Hammond is het daarmee eens. Het doornemen van de documentatie van het project dat nu offline is gehaald door GitHub, de suggestie om een opdrachtinterface met beheerdersrechten te starten en een regel code uit te voeren die code van internet opha alt en uitvoert, is wat de waarschuwingsbellen voor hem deed rinkelen.
Gedeelde verantwoordelijkheid
David Cundiff, Chief Information Security Officer bij Cyvatar, is van mening dat er verschillende lessen zijn die mensen kunnen leren van deze normaal ogende-met-kwaadaardige-binnenkant-software.
"Beveiliging is een gedeelde verantwoordelijkheid zoals beschreven in de eigen beveiligingsaanpak van GitHub", benadrukt Cundiff. "Dit betekent dat geen enkele entiteit volledig mag vertrouwen op een enkel storingspunt in de keten."
Bovendien adviseerde hij dat iedereen die code van GitHub downloadt, moet letten op waarschuwingssignalen, eraan toevoegend dat de situatie zich zal herhalen als mensen ervan uitgaan dat alles in orde zal zijn aangezien de software wordt gehost op een vertrouwd en gerenommeerd platform.
"Hoewel Github een gerenommeerd platform voor het delen van codes is, kunnen gebruikers alle beveiligingstools delen, zowel ten goede als ten kwade, " beaamt Hammond.
