U moet automatische downloads in Chrome nu uitschakelen
- Categorie: Google Chrome
Google Chrome-gebruikers op Windows zijn geadviseerd om automatische downloads in de webbrowser uit te schakelen om authenticatiegegevens te beschermen tegen een nieuwe bedreiging die onlangs is ontdekt.
De Chrome-browser is momenteel de meest populaire browser op desktopapparaten. Het is standaard geconfigureerd om veilige bestanden automatisch naar het gebruikerssysteem te downloaden zonder dat hierom wordt gevraagd.
Elk bestand dat Chrome-gebruikers downloaden en dat de veilige browsercontroles van Google doorstaat, komt automatisch in de standaard downloadmap terecht. Chrome-gebruikers die in plaats daarvan de downloadmap willen kiezen voor downloads, moeten dat gedrag in de opties wijzigen.
De nieuwe aanval, gedetailleerd beschreven op de Defense Code-website, combineert het automatische downloadgedrag van Chrome met Windows Explorer Shell Command File-bestanden met de .scf-bestandsextensie.
Het verouderingsformaat is een gewoon tekstbestand met instructies, meestal een pictogramlocatie en beperkte opdrachten. Wat vooral interessant is aan het formaat, is dat het bronnen van een externe server kan laden.
Nog problematischer is het feit dat Windows deze bestanden zal verwerken zodra u de map opent waarin ze zijn opgeslagen, en dat deze bestanden zonder extensie in Windows Verkenner verschijnen, ongeacht de instellingen. Dit betekent dat aanvallers het bestand gemakkelijk kunnen verbergen achter een verkapte bestandsnaam, zoals image.jpg.
De aanvallers gebruiken een SMB-serverlocatie voor het pictogram. Wat er dan gebeurt, is dat de server authenticatie vraagt, en dat het systeem daarvoor zorgt. Terwijl wachtwoordhashes worden ingediend, merken de onderzoekers op dat het kraken van die wachtwoorden geen decennia meer zou moeten duren, tenzij ze van complexe aard zijn.
De haalbaarheid van het kraken van wachtwoorden is de afgelopen jaren sterk verbeterd met op GPU gebaseerde kraken. De NetNTLMv2 hashcat-benchmark voor een enkele Nvidia GTX 1080-kaart is ongeveer 1600 MH / s. Dat is 1,6 miljard hashes per seconde. Voor een wachtwoord van 8 tekens kunnen GPU-rigs van 4 van dergelijke kaarten in minder dan een dag een volledige sleutelruimte doorlopen van alfanumerieke letters boven / onder + de meest gebruikte speciale tekens (! @ # $% &). Met honderden miljoenen gelekte wachtwoorden als gevolg van verschillende inbreuken in de afgelopen jaren (LinkedIn, Myspace), kan het op regels gebaseerde kraken van woordenlijsten verrassende resultaten opleveren bij complexe wachtwoorden met meer entropie.
De situatie is zelfs nog erger voor gebruikers op Windows 8- of 10-machines die zich authenticeren met een Microsoft-account, omdat het account de aanvaller toegang geeft tot online services zoals Outlook, OneDrive of Office365 als deze door de gebruiker worden gebruikt. Ook bestaat de kans dat het wachtwoord wordt hergebruikt op niet-Microsoft-sites.
Antivirusoplossingen markeren deze bestanden momenteel niet.
Hier is hoe de aanval afloopt
- De gebruiker bezoekt een website die ofwel een schijf pusht door deze naar het gebruikerssysteem te downloaden, of de gebruiker ertoe aanzet om op een speciaal voorbereid SCF-bestand te klikken zodat het wordt gedownload.
- De gebruiker opent de standaard downloadmap.
- Windows controleert de locatie van het pictogram en verzendt verificatiegegevens in gehashte indeling naar de SMB-server.
- Aanvallen kunnen wachtwoordlijsten of brute force-aanvallen gebruiken om het wachtwoord te kraken.
Hoe u uw systeem tegen deze aanval kunt beschermen
Een optie die Chrome-gebruikers hebben, is om automatische downloads in de webbrowser uit te schakelen. Dit voorkomt drive by downloads en kan ook onbedoelde downloads van bestanden voorkomen.
- Laad chrome: // settings / in de adresbalk van de browser.
- Scroll naar beneden en klik op de link 'geavanceerde instellingen weergeven'.
- Scrol omlaag naar het gedeelte Downloads.
- Controleer de voorkeur 'Vraag waar elk bestand moet worden opgeslagen voordat u het downloadt'.
Elke keer dat een download in de browser wordt gestart, vraagt Chrome u om een downloadlocatie.
Waarschuwingen
Hoewel u een beschermingslaag toevoegt aan de afhandeling van downloads door Chrome, kunnen gemanipuleerde SCF-bestanden op verschillende manieren op doelsystemen terechtkomen.
Een optie die gebruikers en beheerders hebben, is het blokkeren van poorten die worden gebruikt door SMB-verkeer in de firewall. Microsoft heeft een gids die u daarvoor kunt gebruiken. Het bedrijf stelt voor om de communicatie van en naar internet naar de SMB-poorten 137, 138, 139 en 445 te blokkeren.
Het blokkeren van deze poorten kan echter van invloed zijn op andere Windows-services, zoals de faxservice, print spooler, internetaanmelding of het delen van bestanden en printers.
Nu jij : Hoe beschermt u uw machines tegen SMB / SCF-bedreigingen?