Heb je een vraag met betrekking tot veiligheid, privacy of virussen op al je mobiele en vaste technische apparaten? Samen met G Data geven wij antwoord. Heb je ook een vraag stuur deze redactie@pcmweb.nl.
Vraag: Je leest vaak over gaten in Java en de Flash Player enzovoort. Hoe ziet een aanval die via zo'n gat wordt uitgevoerd eruit?
Eddy: Het gebruik van zogenaamde exploits om beveiligingslekken in software te misbruiken is een zeer populaire methode bij cybercriminelen om pc’s met malware te infecteren.
Niet elk beveiligingslek wordt gelijk gedicht nadat het voor het eerst is ontdekt. De periode die tussen deze momenten ligt, is het moment waarop cybercriminelen het lek kunnen misbruiken om malware op computersystemen te smokkelen. In ondergrondse marktplaatsen zijn zogenaamde exploit kits te koop, waarmee een hele rij beveiligingslekken kan worden misbruikt. Als er ook maar één lek uit die rij niet is gedicht op een computer, kan malware op het systeem terecht komen. Een dergelijke exploit kit kan voor ongeveer €1.000 worden aangeschaft. In 2013 was ongeveer 90% van de succesvolle infecties van computers met malware toe te schrijven aan het gebruik van exploit kits. Dit geeft maar aan hoe vaak exploits worden gebruikt, en hoe lastig gebruikers het vinden om alle software op hun pc altijd volledig up-to-date te houden.
Om pc’s goed tegen exploits te beveiligen, zonder dagelijks te hoeven controleren of er updates beschikbaar zijn voor de geïnstalleerde software, kan een beveiligingssoftware worden gebruikt. Helaas vertrouwt traditionele antivirussoftware op virushandtekeningen. Dat betekent dat scanners alleen code tegenhouden, waarvan ze al weten dat die kwaadaardig is. Nieuwe kwaadaardige code, waarmee de scanner nog nooit eerder geconfronteerd is geweest, wordt niet tegengehouden. Daarom is het van belang dat een beveiligingssoftware naast reactieve (op virushandtekeningen gebaseerde scanners) bescherming, ook proactieve bescherming (detectie op basis van gedrag en andere kenmerken) biedt. Zo zit in de pc-beveiliging van G DATA de proactieve module Exploitbescherming, die juist deze gevaarlijk exploits herkent en onschadelijk maakt.
Hoe werkt een exploit?
Malware wordt vaak verspreid via websites die zijn gemanipuleerd door cybercriminelen - dit gebeurt dus vaak zonder dat de beheerder van de website zich hiervan bewust is. Het kan gaan om legitieme websites zoals bijvoorbeeld nieuwssites, carrièresites, gemeentesites, webshops, datingsites, enzovoorts. Websites die met een exploit kit zijn uitgerust controleren snel de computer van elke bezoeker op de aanwezigheid van ongepatchte beveiliginslekken. Als er één wordt ontdekt, wordt deze door de betreffende exploit gebruikt als toegangspoort voor de infectie van het systeem met malware. De volgende stap is dat de exploit de Windows-schermen controleert die nodig zijn om toegang te krijgen tot de harde schijf, het internet of een ander gedeelte van het systeem. Als de malware deze stappen heeft doorlopen, wordt de daadwerkelijke malware –de zogenaamde “payload” – gedownload via de internetverbinding. Het is ook mogelijk dat een exploit kit op een andere manier het systeem controleert, bijvoorbeeld via een geïnfecteerde USB-stick, of een kwaadaardige attachment bij een e-mail.
Een lucratieve online zwarte markt
Cybercriminelen bieden meestal pakketjes aan met daarin een hele verzameling aan effectieve exploits, zogenaamde exploit kits. Deze bevatten verschillende ‘poortenopeners’ voor verschillende typen software. Tot voor kort waren deze kits verkrijgbaar voor vaste prijzen op de ondergrondse marktplaatsen. Tegenwoordig bieden steeds meer criminelen exploit kits aan als een abonnement. Tegen een maandelijkse vergoeding ontvangt de klant telkens nieuwe exploits en updates voor de al aanwezige exploits. Een exploit kit die op zoek gaat naar zwakke plekken in Internet Explorer, Java en PDF readers kost ongeveer €1000,- per maand. Deze kit wordt doorlopend geüpdatet met nieuwe exploits, voor nieuw ontdekte beveiligingslekken in deze programma’s en met nieuwe versies van al bestaande exploits. Door de snelle wisseling van exploits, is het voor traditionele antivirussoftware erg lastig om altijd de nieuwste varianten te herkennen. Vandaar dat proactieve beschermingstechnieken bij exploits de voorkeur verdienen boven reactieve technieken.
Hoe werkt G DATA Exploitbescherming?
G DATA Exploitbescherming controleert doorlopend het gedrag van de geïnstalleerde software op onregelmatigheden. Als er een ongebruikelijke gedraging in het softwareproces wordt waargenomen, die in nagenoeg alle gevallen wordt veroorzaakt door een exploit, blokkeert de beveiliging het gehele proces en slaat alarm. Het proces van monitoring is gelukkig zeer licht en beïnvloedt dus de prestaties van de pc niet. Dat G DATA Exploitbescherming zijn belangrijke werk goed doet, is al binnen twee weken na de introductie van de technologie gebleken bij een tot dan toe onbekend beveiligingslek in Internet Explorer (CVE-2014-1776). Dit zogenaamde zero day lek werd keurig door de Exploitbescherming beschermd tegen de exploits die al direct in verschillende exploit kits waren opgenomen.
Dit is hoe G DATA Exploitbescherming beschermt: gebruikers worden blootgesteld aan exploit kits en kunnen zonder beveiligingspatch en zonder G DATA Exploitbescherming niet voorkomen dat het systeem wordt binnengedrongen. G DATA merkt het gedrag van exploits direct op en blokkeert de infectie met malware.
Exploitbescherming wordt automatisch geactiveerd bij de installatie van de pc-beveiligingsoplossingen van G DATA. De module werkt volledig automatisch en onopgemerkt op de achtergrond, zonder de pc te vertragen.
G DATA Exploitbescherming slaat alarm wanneer een ongebruikelijke gedraging in één van de softwareprocessen wordt waargenomen en blokkeert het proces.
Wie is Eddy Willems?
Wij leggen jullie vragen voor aan onze expert Eddy Willems. Hij is bestuurslid van brancheorganisaties AMTSO en EICAR en Security Evangelist bij G Data Software. Gespecialiseerd in IT-beveiliging. Presenteert, geeft workshops en seminars over dit onderwerp, wordt regelmatig geïnterviewd en is al in meer dan 5000 artikelen in de media (print, online, radio en televisie) wereldwijd verschenen. In oktober van 2013 publiceerde hij zijn eerste boek: Cybergevaar.
Leeftijd: 53 jaar
Functie: Malware-expert
Opleiding: Informatica aan IHB en VUB
Dit artikel is op initiatief van G Data tot stand gekomen.