DanaBot evolves beyond banking Trojan with new spam-sending capability

ESET Research

ESET research shows that DanaBot operators have been expanding the malware’s scope and possibly cooperating with another criminal group

DanaBot appears to have outgrown the banking Trojan category. According to our research, its operators have recently been experimenting with cunning email-address-harvesting and spam-sending features, capable of misusing webmail accounts of existing victims for further malware distribution.

Besides the new features, we found indicators that DanaBot operators have been cooperating with the criminals behind GootKit, another advanced Trojan – behavior atypical of the otherwise independently operating groups.

Sending spam from victims’ mailboxes

The previously unreported features caught our attention when analyzing the webinjects used to target users of several Italian webmail services as part of DanaBot’s expansion in Europe in September 2018.

According to our research, the JavaScript injected into the targeted webmail services’ pages can be broken down into two main features:

1.      DanaBot harvests email addresses from existing victims’ mailboxes. This is achieved by injecting a malicious script into the targeted webmail services’ webpages once a victim logs in, processing the victim’s emails and sending all email addresses it finds to a C&C server.

2.      If the targeted webmail service is based on the Open-Xchange suite – for example the popular Italian webmail service libero.it – DanaBot also injects a script that has the ability to use the victim’s mailbox to covertly send spam to the harvested email addresses.

The malicious emails are sent as replies to actual emails found in the compromised mailboxes, making it seem as if the mailbox owners themselves are sending them. Further, malicious emails sent from accounts configured to send signed messages will have valid digital signatures.

Interestingly, it seems that attackers are particularly interested in email addresses containing the substring “pec”, which is found in Italy-specific “certified electronic mail” addresses. This may indicate that DanaBot authors are focused on targeting corporate and public administration emails that are the most likely to use this certification service.

The emails include ZIP attachments, pre-downloaded from the attacker’s server, containing a decoy PDF file and a malicious VBS file. Executing the VBS file leads to downloading further malware using a PowerShell command.

Complete article on:

https://www.welivesecurity.com/2018/12/06/danabot-evolves-beyond-banking-trojan-new-spam/?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+eset%2Fblog+%28ESET+Blog%3A+We+Live+Security%29

Onderzoek: bedrijven zetten stappen in digitalisering douaneprocessen

• Een overweldigende meerderheid van de bedrijven beschouwt zichzelf als goed uitgerust voor nieuwe digitaliseringsprojecten
• Maar: een gebrek aan expertise, financiële middelen en steun van het management zorgt voor vertraging
• Met name in de samenwerking met douaneagenten biedt digitalisering kansen

Een meerderheid van de bedrijven is van plan om zijn douaneprocessen te digitaliseren of heeft alvast de eerste stappen daartoe gezet. Dat is de conclusie op basis van het recente onderzoek ‘Clear the track for Digital Customs Management’, dat is gepubliceerd door softwarebedrijf AEB in samenwerking met de Duale Hochschule Baden-Württemberg (DHBW) in Stuttgart. Meer dan 35 procent van de 435 respondenten meldt dat zijn bedrijf tenminste één digitaliseringsproject op het gebied van douaneprocessen heeft uitgevoerd. Bijna net zo veel bedrijven heeft zo’n project in de planning of inmiddels opgestart. Het volledige rapport is beschikbaar via www.aeb.nl/onderzoek.  

Handelsconflicten versterken de behoefte aan efficiënte standaard processen

Een derde van de respondenten geeft aan dat digitalisering van douaneprocessen een hoge prioriteit heeft binnen het bedrijf. Dat is veel gezien het feit dat douaneafdelingen vaak klein zijn en om de schaarse middelen moeten strijden met grote afdelingen zoals inkoop, verkoop of productie. “Onze aanname is dat de media-aandacht over het groeiende aantal handelsconflicten de interesse van het management in digitalisering van douaneprocessen een flinke impuls heeft gegeven. Bedrijven hebben efficiënte, gestandaardiseerde processen nodig om tijd vrij te maken voor hun douanespecialisten. Die hebben die extra tijd nodig om problemen op te lossen en aan strategisch belangrijke opdrachten te werken”, zegt dr. Dirk Hartel, hoogleraar logistiek en supply chain management aan de DHBW en coauteur van dit onderzoeksrapport.

Effect van digitalisering van douaneprocessen

De ondervraagden zien de centralisatie van douane management als het belangrijkste voordeel van digitalisering (61 procent). Zij noemen centrale archivering (49 procent) en verbeterde IT-communicatie met douaneautoriteiten (43 procent) als andere resultaten. De respondenten hechten in het bijzonder veel waarde aan digitalisering op terreinen als ‘exportmanagement’, ‘exportcontroles’ en ‘oorsprong & preferenties’. 

Digitalisering als antwoord op het tekort aan specialisten

Een meerderheid van de ondervraagden verwacht dat de personeelskosten van de douaneafdeling dalen als resultaat van digitalisering. Maar liefst 73 procent rekent op een kostendaling van meer dan tien procent. Slechts 7 procent van de bedrijven is daadwerkelijk van plan om de komende drie jaar te snijden in het personeelsbestand van hun douaneafdeling. De reden voor dit opvallend lage cijfer is het tekort aan gekwalificeerd personeel. “Bedrijven zoeken naar efficiënte middelen om de grote werklast met de huidige bezetting beter af te handelen, niet zozeer om daadwerkelijk de douaneafdeling in te krimpen. De capaciteit van bedrijven is alleen schaalbaar met een digitale strategie. Als douaneprocessen niet worden gedigitaliseerd, groeit de douaneafdeling uit tot een groot bottleneck”, verklaart dr. Ulrich Lison, lid van de raad van bestuur van AEB en eveneens coauteur van het onderzoeksrapport.

Optimisme overheerst, maar bedrijven klagen over obstakels

Digitalisering van douaneprocessen stuit op veel obstakels binnen bedrijven. Van alle ondervraagden klaagt 36 procent over een gebrek aan expertise op het gebied van digitalisering, 35 procent over het gebrek aan steun van het management en 33 procent over het gebrek aan middelen. Ondanks al deze obstakels overheerst optimisme: 7 procent vindt dat zijn bedrijf erg goed is voorbereid op toekomstige uitdagingen op het gebied van digitalisering, 62 procent beschouwt zijn bedrijf als redelijk goed voorbereid. Hooguit 10 procent van de bedrijven kan worden geschaard in de categorie van digitale experts. Nog eens 33 procent behoort tot de categorie gevorderden, terwijl 36 procent in ieder geval enige ervaring met digitalisering heeft opgedaan (‘beginners’). 21 procent heeft nog geen enkele ervaring.

Nog steeds te weinig IT-interfaces voor data-uitwisseling met douaneagenten

“Bedrijven moeten snel en simpel aan de slag om ervaring op te doen. Ze moeten zich in eerste instantie focussen op eenvoudige, kleine projecten die snel resultaat opleveren – denk aan automatisering van exportmanagement of een dashboard met data over internationale handel”, adviseert dr. Ulrich Lison. Een betere IT-integratie met douaneagenten is ook zo’n project. Van de deelnemende bedrijven vertrouwt 27 procent grotendeels of geheel op douaneagenten. Van deze bedrijven gebruikt 63 procent email of telefoon voor communicatie met douaneagenten. Niet meer dan 26 procent beschikt over een IT-interface voor gestructureerde data-uitwisseling. “Geïntegreerde communicatie tussen IT-systemen is een basisvoorwaarde. Anders leidt uitbesteding alleen maar tot meer werk als gevolg van overbodige handelingen en potentiële misverstanden. Dat resulteert uiteindelijk in een hogere total cost of ownership”, waarschuwt dr. Dirk Hartel.

Over het onderzoek

Het rapport ‘Clear the track for Digital Customs Management’ is gebaseerd op een onderzoek onder 435 experts in de vakgebieden logistiek, internationale handel en IT, afkomstig uit verschillende sectoren. De respondenten werken bij bedrijven van verschillende groottes. Eén op de twintig is lid van de directie of het topmanagement, ongeveer de helft heeft een managementfunctie als hoofd van een afdeling of business unit. Het onderzoek wordt sinds 2013 jaarlijks uitgevoerd door softwarebedrijf AEB en DHBW Stuttgart.

Over AEB (www.aeb.com/nl)  

AEB-software ondersteunt de global trade en logistieke processen van bedrijven in de industriële, commerciële en dienstensector. Meer dan 5.000 klanten uit meer dan 35 landen maken gebruik van AEB-oplossingen voor douaneafhandeling, import- en exportmanagement, sanctielijst screening, export controle, transport management en magazijnbeheer. 

Het portfolio van AEB strekt zich uit van kant-en-klare softwareproducten in de cloud tot aan on-premise oplossingen die door middel van configuratie makkelijk op uw processen af te stemmen zijn. De oplossingen van AEB zorgen voor meer transparantie, efficiëntie en kostenbesparingen in supply chain management en verminderen bedrijfsrisico's.

AEB heeft meer dan 450 medewerkers. Het softwarebedrijf heeft zijn hoofdkantoren en datacenters in Stuttgart, meerdere regiokantoren in Duitsland en internationale kantoren in Nederland, het Verenigd Koninkrijk, Singapore, Zwitserland, Zweden, Tsjechië, Frankrijk en de Verenigde Staten.

Over DHBW Stuttgart (www.dhbw-stuttgart.de)

Duale Hochschule Baden-Württemberg (DHBW) behoort met circa 8.300 bachelor studenten tot de grootste instellingen voor hoger onderwijs in Stuttgart en omgeving. De instelling met specialisaties in bedrijfskunde, technologie en sociale wetenschappen werkt samen met 2.000 zorgvuldig geselecteerde bedrijven en instituten om meer dan veertig nationaal en internationaal erkende werk- en studieprogramma’s op bachelor-niveau te kunnen aanbieden. In overeenstemming met de coöperatiegedachte van de universiteit is het onderzoek op DHBW Stuttgart toepassingsgericht. De drie afdelingen beschikken daarvoor over hun eigen training- en opleidingscentra die focussen op verschillende onderzoeksthema’s.

Des applications sous iOS frauduleuses, prétendument pour la mise en forme, volent plutôt l’argent des usagers

Lukas Stefanko  

Les applications de suivi de la condition physique visées utilisent des méthodes de paiements douteuses intégrées dans les applications pour frauder des utilisateurs d’iPhone et d’iPad non avertis.

Plusieurs applications se faisant passer pour des outils de suivi de la condition physique ont été prises en flagrant délit d’utilisation abusive de la fonction Touch ID d’Apple pour voler de l’argent aux utilisateurs iOS. Le mécanisme de paiement douteux utilisé par les applications est activé pendant que les victimes scannent leurs empreintes digitales, apparemment à des fins de suivi de la condition physique.

Il existe de nombreuses applications qui promettent d’aider les utilisateurs en quête d’un mode de vie plus sain. Les fausses applications notées ici étaient, jusqu’à récemment, disponibles dans l’Apple App Store. Les applications s’appelaient « Fitness Balance app » et « Calories Tracker app », et à première vue, elles semblaient mettre les utilisateurs sur la voie du fitness – elles pouvaient calculer leur IMC, suivre leur apport calorique quotidien ou leur rappeler de boire plus d’eau. Ces services, cependant, viennent avec un prix inattendu et élevé, selon des utilisateurs de Reddit.

Après qu’un utilisateur lance l’une des applications susmentionnées pour la première fois, celle-ci demande un scan d’empreintes digitales pour permettre à l’usager de « consulter leurs recommandations personnalisées en matière de calories et d’alimentation » (Figure 1). Quelques instants seulement après que l’utilisateur se conforme à la demande et pose son doigt sur le lecteur d’empreintes digitales, l’application affiche une fenêtre contextuelle indiquant un paiement douteux s’élevant à 99,99 USD, 119,99 USD ou 139,99 EUR (Figure 2).

Toutefois, si l’utilisateur possède une carte de crédit ou de débit directement connectée à un compte Apple, la transaction est considérée comme vérifiée et l’argent est viré à l’opérateur responsable de ces arnaques.

Basées sur l’interface utilisateur et les fonctionnalités, les deux applications sont très probablement créées par le même développeur. Les utilisateurs ont également posté des vidéos de « Fitness Balance app » et « Calories Tracker app » sur Reddit.

Article complet sur :

https://www.welivesecurity.com/fr/2018/12/05/ios-mise-en-forme-vol/

CyberwarCon – focusing on the impact of cyber-badness

Cameron Camp

There used to just be hacker conferences, but now the societal impact of increasingly connected systems seems much higher, so specialty conferences are popping up. Seeking to bring policy-makers and influencers together, where could be a more appropriate location for CyberwarCon than Washington D.C.?

Notably, it’s not held in Silicon Valley, where the circular echo of self-admiring technophiles fawn over each other, each pronouncing the future brighter than the last. In D.C. it feels more real, like the rest of us are involved and asking what happens when things go wrong, and do we have a policy for that? It’s easy to get caught in the tech echo chamber; this is not that.

Influencing the Capitol Hill crowd, and the lawmakers ensconced in walls of marble is big business, and hard to escape in D.C. But this is also where society fleshes out the larger issues, technical and otherwise.

In this case, the goal is to define more clearly the potential societal impacts, and formulate responses that ring true when it comes to protecting millions of normal folks with laws and responses that make sense to the non-overly-technical amongst us, meaning the other 99%.

And it’s not just about attribution. Whether or not we know (or could find) the apartment building and number of nasty attackers on the other side of the globe, what are some things we can do to protect ourselves against such miscreants?

Therefore, we discussed things like disinformation campaign effectiveness, thwarting non-authentic voices seeking to out-amplify the natural resonance of an individual with a particular point of view, often in opposition to civil discourse. One attendee posed the question of whether we’ve collectively reached “peak disinformation”, or whether it’s trending up or down. No one had a clear answer, but the sentiment seemed to be that it will continue to trend upward, and get more efficient and targeted.

We talked about the evolution of the threat actors behind GreyEnergy, a group bent on impacting critical systems, now expanding to include targets in other localities – a natural progression and the kind of thing that could certainly inspire and inform other attack campaigns elsewhere.

At CyberwarCon, a packed room listened to the details and discussed for some time after the show as well, the sort of information sharing that helps the whole community. It harkened back to a time when hacker conferences were a little more one-on-one, with small groups sharing the latest techniques, not beset by vast troves of marketing denizens packing a huge exhibit hall with shiny lights and tricks, scarcely aware of the real issues, let alone discussing them in great depth. It’s great to see a conference that reminds us of the days of all of us sitting and trying to solve problems, being bent upon protecting us all. CyberwarCon does that, and is a most welcome throwback to the hacker conferences of yore, hastily printed badges and all. I miss that.

https://www.welivesecurity.com/2018/12/03/cyberwarcon-focusing-impact-cyber-badness/?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+eset%2Fblog+%28ESET+Blog%3A+We+Live+Security%29

Marriott Starwood data breach: 5 defensive steps travelers should take now

Lysa Myers

Defensive steps for Marriott Starwood guests worried their personal information may have been compromised by the massive data breach

If you are into cybersecurity, or data privacy, or staying at hotels, you have probably heard that Marriott International – one of the world’s largest hotel chains – announced a huge data breach today involving the Starwood reservations database. According to the Washington Post report on the breach: “the personal information of up to 500 million guests could have been stolen”. One reason the number is so large is that the Starwood brand encompasses many different properties, including Sheraton, Westin, Le Meridien, Aloft, The Luxury Collection, and W Hotels. Another reason is that, according to company officials, an unauthorized party had accessed the database since 2014.

The official Starwood website for information about this breach is being hosted by Kroll, a company with extensive experience in security incident response: https://answers.kroll.com. The following are five defensive steps you should take now if you have used any Starwood or Marriott hotel during the last four years.

1. Change your password

One of the first – and simplest – things you should do in light of this breach is to change the password on your Marriott/Starwood Preferred Guest (SPG) account. Hopefully you have not used the passwords from those accounts on other accounts, but if you have, it’s important that you also change the password on those other accounts as well.

2. Check your accounts for suspicious activity

Be especially vigilant about checking the transactions on payment cards, and your Marriott and SPG accounts. If you see payment activity that you do not recognize, it is important that you notify the bank that issued your card immediately. If you notice unusual or fraudulent activity on your Marriott or SPG account, you should contact them directly.  It’s also a good idea to keep a closer eye on your other financial accounts (such as retirement or brokerage accounts), as well as your credit report.

Keep in mind that the thieves may not use or sell all of the stolen data right away. You will need to be vigilant with your accounts for a while.

3. Consider a Credit Freeze

While freezing your credit does introduce an obstacle when it comes to allowing someone to access your credit report (such as when you apply for a new bank card, loan, apartment or job), it also makes it more difficult for thieves to create new accounts using your information. Due to a recent change in laws surrounding fees for credit freezes and fraud alerts, these may now be placed for free in the United States.

If you decide against a credit freeze, you may wish to place a fraud alert on your files instead. A fraud alert warns creditors that you may be a victim of identity theft and that they should take additional steps to verify that anyone seeking credit in your name really is you.

4. Improve your login security

With all the information that is now available to thieves from this and other recent breaches (particularly the Equifax breach), criminals may try to combine data to access other online accounts and services. It’s always a good idea to make sure you have strong, unique passwords for each account you use. If you’ve not yet enabled two-factor authentication wherever it’s available to you, now is a great time to make sure you have this in place.

Marriott is one of the first travel loyalty accounts to incorporate two-factor authentication into their login process. Because they only recently merged with SPG, the separation of the two loyalty programs is why warnings focus primarily on SPG accounts. Hopefully one result of this breach is that it will help speed up the process of merging the two programs, to improve security going forward.

5. Beware of scams

Criminals are aware that people will be feeling especially anxious about their security as a result of this incident. Some people may, ironically, be more apt to fall for social engineering tactics and phishing schemes that prey on this fear. Never click on links in emails purporting to come from businesses using this breach as an angle, especially if they appear suspicious in any way. It’s a good idea, especially after major security events and other crises, to consider any link in an unsolicited email to be potentially malicious. Instead, you should type URLs that you know to be genuine into your browser directly if you need to contact companies.

What else can we say?

By most metrics, the Marriott Starwood breach is one of the biggest data security incidents ever reported. In terms of number of persons affected (500 million) it would appear to rank second only to the Yahoo (3 billion). By comparison, the 2013 Target incident impacted 70 million people, 40 million of whom had payment card data stolen.

In terms of data compromised, it sounds like not all of the breached Starwood records included payment card information, and thankfully none contained Social Security numbers. On the other hand, some passport details were revealed, which is unusual, and the persistent presence of attackers in the system – since 2014 – raises the possibility that travel patterns and other valuable intelligence about Starwood guests have been gleaned, which would be a significant difference from breaches in sectors such as retail or banking.

Clearly, this breach has serious negative implications for Marriott and Starwood, not just because of the scale, but because it seems to have gone undetected during the $13.6 billion acquisition of Starwood Hotels and Resorts by Marriott International in 2015. According to fellow ESET researcher Stephen Cobb, all of the brands involved can now expect to suffer costly reputational damage, as well a multiple forms of legal jeopardy: “There will be class actions lawsuits brought by customers and shareholders, as well as potentially damaging investigations by everyone from state attorneys general in the US to the EU data protection authorities; bear in mind, this is the largest breach we have seen since GDPR went into effect.”