Nu.nl serveerde kortstondig malware

Nu.nl heeft circa een uur lang javascript-code geserveerd die poogde om bezoekers van de nieuwssite met een trojan te besmetten. De aanvallers maakten gebruik van servers in India waarop een exploit-kit was geplaatst.

Erik Loman, ontwikkelaar bij beveiligingsfirma SurfRight, maakte op Twitter bekend dat op de voorpagina van de nieuwssite javascriptcode 'g.js' was verstopt. De code activeerde volgens Loman een nuclear exploit pack dat op een webserver in India was geplaatst. Het exploit-script controleerde de browser en veelgebruikte plugins als Flash en Adobe Reader op beveiligingsgaten. Als er een exploit werd gevonden, verstuurde de server de Sinowal-malware, een trojan van Russische makelij, die continu wordt bijgewerkt en poogt bankgegevens te stelen. Sinowal nestelt zich op de master boot sector en wordt bij elke herstart van een computer ingeladen.

Volgens Loman heeft Nu.nl de malware tussen circa 11.30 en 12.30 geserveerd. Mogelijk is bewust gekozen voor deze tijd, omdat de nieuwssite rond lunchtijd meer bezoekers zal trekken. Ook zou de aanvaller rond 12.00 de javascript-code hebben aangepast om zo naar een andere server te verwijzen waarop de exploit-kit was geplaatst. Loman stelt verder dat er al meldingen zijn van Windows-gebruikers die met malware besmet zijn geraakt.

Het is onduidelijk hoe de aanvallers de javascript-code op de server van de nieuwssite hebben weten te plaaten. Nu.nl heeft inmiddels de gewraakte javascript-code bevatte, offline gehaald. Ook zal de nieuwssite een onderzoek instellen.

Zipportal	woensdag 14 maart 2012 @ 15:00
	quote: Nu.nl heeft circa een uur lang javascript-code geserveerd die poogde om bezoekers van de nieuwssite met een trojan te besmetten. De aanvallers maakten gebruik van servers in India waarop een exploit-kit was geplaatst. Erik Loman, ontwikkelaar bij beveiligingsfirma SurfRight, maakte op Twitter bekend dat op de voorpagina van de nieuwssite javascriptcode 'g.js' was verstopt. De code activeerde volgens Loman een nuclear exploit pack dat op een webserver in India was geplaatst. Het exploit-script controleerde de browser en veelgebruikte plugins als Flash en Adobe Reader op beveiligingsgaten. Als er een exploit werd gevonden, verstuurde de server de Sinowal-malware, een trojan van Russische makelij, die continu wordt bijgewerkt en poogt bankgegevens te stelen. Sinowal nestelt zich op de master boot sector en wordt bij elke herstart van een computer ingeladen. Volgens Loman heeft Nu.nl de malware tussen circa 11.30 en 12.30 geserveerd. Mogelijk is bewust gekozen voor deze tijd, omdat de nieuwssite rond lunchtijd meer bezoekers zal trekken. Ook zou de aanvaller rond 12.00 de javascript-code hebben aangepast om zo naar een andere server te verwijzen waarop de exploit-kit was geplaatst. Loman stelt verder dat er al meldingen zijn van Windows-gebruikers die met malware besmet zijn geraakt. Het is onduidelijk hoe de aanvallers de javascript-code op de server van de nieuwssite hebben weten te plaaten. Nu.nl heeft inmiddels de gewraakte javascript-code bevatte, offline gehaald. Ook zal de nieuwssite een onderzoek instellen. http://tweakers.net/nieuw(...)stondig-malware.html http://www.security.nl/ar(...)ers_met_malware.html
Panzermaus	woensdag 14 maart 2012 @ 15:02
	Ziek, goed bedacht in ieder geval.
Aliana	woensdag 14 maart 2012 @ 15:03
	quote: Op woensdag 14 maart 2012 15:02 schreef Panzermaus het volgende: Ziek, goed bedacht in ieder geval.
NightH4wk	woensdag 14 maart 2012 @ 15:23
	Minder schadelijk dan het niveau van het nieuws daar.
Vader_Aardbei	woensdag 14 maart 2012 @ 15:25
	Gelukkig kom ik daar nooit, wat een slechte site is dat.
themole	woensdag 14 maart 2012 @ 15:33
	Ben er geweest rond die tijd, even avast een scan laten doen voor de zekerheid.
eleusis	woensdag 14 maart 2012 @ 16:03
	Harde shit, helaas niet de eerste bekende site die valt. Superslecht dat op nu.nl zelf niets gepubliceerd is hierover.
StateOfMind	woensdag 14 maart 2012 @ 16:08
	Hmm, mijn virusscanner detecteerde die bij mij eerder deze week al, na het openen van een mail van een aan mij gerelateerde instantie. Mijn virusscanner gooide ze meteen in de quarantaine. Ben ik daarmee nu veilig?