Nieuw computervirus besmet bestanden van gemeenten

Het Nationaal Cyber Security Centrum (NCSC) onderzoekt meldingen van besmettingen met een nieuw computervirus, dat Microsoft Office bestanden van gemeenten en instellingen beschadigt.

Samen met andere onderzoekspartijen wordt de werking van het virus bekeken. Daarnaast worden te nemen maatregelen geïnventariseerd. Het NCSC heeft hierover op woensdag 8 augustus 2012 al een eerste waarschuwing uitgestuurd. Bij het Nationaal Cyber Security Centrum zijn tot nu iets meer dan tien organisaties bekend die door het virus zijn getroffen.

Wanneer meer informatie beschikbaar is over de werking en de bestrijding van het virus zal NCSC hierover de website NCSC Actueel en Waarschuwingsdienst.nl berichten.

Update

Diverse gemeenten en instellingen in Nederland zijn getroffen door het computervirus XDocCrypt/Dorifel. Onder hen bevinden zich in ieder geval de gemeentes Venlo, Den Bosch, Weert en Borssele. Het Nationaal Cyber Security Centrum (NCSC) onderzoekt de meldingen en brengt de omvang in kaart.

Samen met andere onderzoekspartijen wordt de werking van het virus bekeken. Daarnaast worden te nemen maatregelen geïnventariseerd. Het NCSC heeft hierover op woensdag 8 augustus al een eerste waarschuwing uitgestuurd. Bij het Nationaal Cyber Security Centrum zijn tot nu meer dan tien organisaties bekend die door het virus zijn getroffen.

(Bron Wikipedia - 2012)

Zeus (Oudgrieks: Ζεύς) is een figuur uit de Griekse mythologie. Hij is de oppergod, die heerste vanaf de berg Olympus. Op het internet is ook een Zeus, een Trojaans paard, dat bankinformatie door toetsaanslagen bewaart en kopieert en doorstuurt naar de hacker

Karakteristieken van het virus

Het computervirus verspreidt zich via systemen die al in een eerder stadium geïnfecteerd zijn met het Citadel/Zeus virus. Dit is een virus, dat bekend staat als een banking trojan, en is gemaakt om bank- en inloggegevens te stelen.

Het virus beschadigt Officebestanden met de extensies .docx, (Word) of .xlsx (Excel). Hierdoor zijn de bestanden niet meer leesbaar. De inhoud van de originele bestanden wordt door het virus versleuteld, maar niet vernietigd.

Wanneer gebruikers het bestand openen, kan het virus zich mogelijk verder verspreiden. Dat gebeurt via gekoppelde netwerkschijven. De infectie wordt actief na een herstart van het systeem en gaat op zoek naar Office bestanden op netwerkshares. 

Wat kan er aan gedaan worden?

Surfright heeft een programma beschikbaar gesteld waarmee het mogelijk is om de geïnfecteerde Microsoft office bestanden te schonen. Deze tool kunt u hier downloaden.

McAfee heeft voor zijn gebruikers een extra .dat file beschikbaar gesteld welke in staat is infecties met de W32/XDocCrypt.a malware te verwijderen cq. op te schonen.

Meer informatie is hier te vinden.Een andere oplossing is het terugzetten van back-ups en kopieën. In dat geval moeten geïnfecteerde bestanden worden verwijderd, het getroffen systeem worden geschoond en de kopieën worden teruggezet.

Daarnaast bevelen wij aan om een aantal aanvullende maatregelen toe te passen om te beschermen tegen het virus:

-Beperk het openen van executables vanaf netwerkshares tot een minimum. Dit kan geïmplementeerd worden via een Windows Group Policy of met behulp van specifieke beheertools.

-Maak netwerkshares tijdelijk read-only of blokkeer tijdelijk de toegang tot netwerkshares. Bestanden kunnen namelijk opnieuw geïnfecteerd raken zolang er nog geïnfecteerde systemen aanwezig zijn op het netwerk.

-Blokkeer toegang op proxy’s, firewalls en routers tot het IP-adres, waarvan de malware wordt gedownload: 184.82.162.163 en monitor actief op dit adres.

-Maak gebruik van logging om de originele Zeus infectie te achterhalen.