KPN Abuse Team melding - Wannacry

[Ketho]

Vanochtend een mailtje ontvangen van KPN betreffende mijn particuliere internetaansluiting dat er een beveiligingsprobleem is waargenomen op mijn aansluiting.

Zelf heb ik er nog niets van gemerkt op mijn Windows 10 devices. Deze ben ik allemaal nagelopen, geupdated en gescanned met de laatste Windows Defender definities en Malwarebytes.

Ik heb verder een Synology NAS staan met WebStation draaiend, deze package heb ik voor de zekerheid uitgeschakeld maar verder niets vreemds gezien. Ook even in de DHCP clients van de Experia Box v8 gekeken maar geen andere verdachte devices gezien.

Het recente nieuws heb ik gevolgd, maar ik heb nog steeds geen idee hoe ik mijn netwerk nu verder kan doorlichten op deze mogelijke besmetting

• nieuws: Wereldwijde ransomwarecampagne legt Engelse ziekenhuizen plat - update
• nieuws: Beveiligingsonderzoeker vindt per toeval killswitch voor ransomware -...
• nieuws: Europol: bezorgdheid om nieuwe aanval ransomware

From: KPN Abuse Team <[e-mail]>
Sent: Monday, May 15, 2017 9:37 AM
To: <snip>@planet.nl
Subject: [KPN Abuseteam #<snip>] Misbruik van uw internetaansluiting [<snip>]

Geachte heer, mevrouw,

Een veilig internet is in ieders belang. Wij maken ons als KPN sterk om uw (vertrouwelijke) informatie te beschermen.

Wij hebben een beveiligingsprobleem waargenomen op uw internetaansluiting. Meestal merkt u hier zelf niets van, omdat het om processen gaat die op de achtergrond draaien.

Wat is er aan de hand en hoe kunt u dit oplossen?

Een of meerdere computers of laptops die gebruik maken van uw internetaansluiting zijn besmet met het WannaCry-virus. Het betreft hier ransomware die uw bestanden kan versleutelen en losgeld vraagt voor het vrijgeven van de bestanden. Door deze besmetting lopen uw vertrouwelijke gegevens en bestanden gevaar. Het betreft hier het virus dat afgelopen weekend veelvuldig in het nieuws is geweest:

http://www.nu.nl/internet...-ransomware-wannacry.html
nieuws: Europol: bezorgdheid om nieuwe aanval ransomware

Wij raden u aan de volgende stappen te doorlopen:

Stap 1:
A. Ga naar kpn.com/virusverwijderen
B. Klik op de knop ‘Malwarebytes’
C. Volg de instructies op het scherm

Stap 2:
A. Download de laatste updates van Microsoft via https://www.windowsupdate.com/

Meer informatie van Microsoft en de directe links naar de patches zijn te vinden op: https://blogs.technet.mic...e-for-wannacrypt-attacks/

Wanneer er meerdere computers of laptops zijn aangesloten, is het belangrijk dat deze allemaal worden onderzocht. Telefoons en tablets hoeft u niet te scannen.

Wij vragen u de bovenstaande stappen uit te voeren en te reageren op dit bericht. Ook aanvullende vragen kunt u stellen in een antwoord op deze mail.

LET OP: Het onderwerp van dit bericht bevat een ticketnummer: [KPN Abuseteam #<snip>] . Indien u vanaf een ander e-mailadres contact met ons wilt opnemen, vermeld dan altijd het volgende in het onderwerp: [KPN Abuseteam #<snip>] .

Met vriendelijke groet,

<snip>
Abuse Specialist



KPN
Abuse Team

KvK Den Haag nr. 27124701
NL 009292056B01

Het Abuse Team van KPN handelt veiligheidsincidenten af voor KPN. Meer informatie over de afdeling vindt u op: kpn.com/abuse

[Trommelrem]

Controleer even de SPF. Ik denk dat het een malafide email is. Welke link zit er onder Windowsupdate.com? Alleen Windows NT 5.x updatetet via een website, NT 6.x en NT 10.x updaten via een updatemechanisme, of via de Catalog. Niet via een website.

[AW_Bos]

Check even of je geen encrypted documenten hebt op je PC zowel je NAS, als dat wel het geval is ben je dus zeker de sjaak, en mag je teruggrijpen naar een backup. Als alles er volgens MBAM, je eigen virusscanner (AVG bijv.) goed uitziet, en niks encrypted is, dan lijkt mij niks mis.

De WannaCry ransomware kan alleen uitgevoerd worden vanaf een oudere Windows, en infecteert alles binnen een netwerk.

Headers checken van de mail zou ik ook doen.

[ Voor 5% gewijzigd door AW_Bos op 15-05-2017 15:22 ]

[Trommelrem]

AW_Bos schreef op maandag 15 mei 2017 @ 15:21:
De WannaCry ransomware kan alleen uitgevoerd worden vanaf een oudere Windows, en infecteert alles binnen een netwerk.

Dat is absoluut niet waar. WannaCry kan vanaf iedere Windows versie worden uitgevoerd en het infecteert alle NT versies waar SMB 1.0 nog ingeschakeld is. Ondanks het bestaan van een patch, is het beter om SMB 1.0 gewoon uit te schakelen. SMB 1.0 is nergens meer voor nodig.

[AW_Bos]

Trommelrem schreef op maandag 15 mei 2017 @ 15:22:
[...]

Dat is absoluut niet waar. WannaCry kan vanaf iedere Windows versie worden uitgevoerd en het infecteert alle NT versies waar SMB 1.0 nog ingeschakeld is. Ondanks het bestaan van een patch, is het beter om SMB 1.0 gewoon uit te schakelen. SMB 1.0 is nergens meer voor nodig.

Deels waar dan... Windows 10 is al gepatched inmiddels.

[Ketho]

Trommelrem schreef op maandag 15 mei 2017 @ 15:18:
Controleer even de SPF. Ik denk dat het een malafide email is. Welke link zit er onder Windowsupdate.com? Alleen Windows NT 5.x updatetet via een website, NT 6.x en NT 10.x updaten via een updatemechanisme, of via de Catalog. Niet via een website.

De mail lijkt mij een authentieke mail van KPN. Ik kan de message source niet openen in KPN Webmail, wel werd deze doorgestuurd naar mijn Outlook: https://gist.github.com/a...aba3c7ebabb4fe28e631d4dba

De link onder "windowsupdate.com" gaat direct naar https://www.windowsupdate.com/

[Standeman]

Trommelrem schreef op maandag 15 mei 2017 @ 15:18:
Controleer even de SPF. Ik denk dat het een malafide email is. Welke link zit er onder Windowsupdate.com? Alleen Windows NT 5.x updatetet via een website, NT 6.x en NT 10.x updaten via een updatemechanisme, of via de Catalog. Niet via een website.

Ik heb er ook een heel raar gevoel bij. Hoe zou KPN kunnen weten of je geïnfecteerd bent met Wannacry? Infectie gebeurt door mail of via het interne (windows) netwerk. Dus tenzij ze jouw mail lezen of aan deep packet inspection doen is er volgens mij niet direct een manier om te weten dat je geïnfecteerd bent.

Maar misschien ken ik wannacry niet zo goed en is het prima te zien voor KPN.

[DennusB]

Standeman schreef op maandag 15 mei 2017 @ 15:31:
[...]


Ik heb er ook een heel raar gevoel bij. Hoe zou KPN kunnen weten of je geïnfecteerd bent met Wannacry? Infectie gebeurt door mail of via het interne (windows) netwerk. Dus tenzij ze jouw mail lezen of aan deep packet inspection doen is er volgens mij niet direct een manier om te weten dat je geïnfecteerd bent.

Maar misschien ken ik wannacry niet zo goed en is het prima te zien voor KPN.

Misschien checken ze naar welke IP's je verbinding legt? Wannacry zoekt standaard verbinding met een voorgedefinieerd domein bij eerste "launch".

[Maverick]

Ziet er redelijk legitiem uit, maar wat bij mij meteen alarmbellen doet rinkelen is het KVK-nummer. Welk groot bedrijf doet dit nu. Lijkt mij juist een poging om de mail echter te laten lijken terwijl hij dat niet is.

[DennusB]

Maverick schreef op maandag 15 mei 2017 @ 15:34:
Ziet er redelijk legitiem uit, maar wat bij mij meteen alarmbellen doet rinkelen is het KVK-nummer. Welk groot bedrijf doet dit nu. Lijkt mij juist een poging om de mail echter te laten lijken terwijl hij dat niet is.

Eens, maar zolang de SPF klopt kan er weinig mis zijn met de afzender van die mail toch?

[Ernemmer]

Maverick schreef op maandag 15 mei 2017 @ 15:34:
Ziet er redelijk legitiem uit, maar wat bij mij meteen alarmbellen doet rinkelen is het KVK-nummer. Welk groot bedrijf doet dit nu. Lijkt mij juist een poging om de mail echter te laten lijken terwijl hij dat niet is.

KVK en BTW nummer zijn verplicht op alle zakelijke communicatie.

[Anoniem: 135360]

Heb jij toevallig die url van de killsiwtch geopend?
mogelijk dat ze daar op filteren. Ik kreeg soort gelijk bericht van mijn provider. enige logische verklaring die ik had was dat ik die url van de killswitch heb bezocht.

[Ketho]

Anoniem: 135360 schreef op maandag 15 mei 2017 @ 15:39:
Heb jij toevallig die url van de killsiwtch geopend?
mogelijk dat ze daar op filteren. Ik kreeg soort gelijk bericht van mijn provider. enige logische verklaring die ik had was dat ik die url van de killswitch heb bezocht.

Heb ik inderdaad gedaan uit nieuwsgierigheid

[DennusB]

Ketho schreef op maandag 15 mei 2017 @ 15:40:
[...]


Heb ik inderdaad gedaan uit nieuwsgierigheid

Grote kans dat ze dus monitoren wie die URL aanroept en aan de hand daarvan mailtjes versturen. Opzich wel netjes!

[Maverick]

Ernemmer schreef op maandag 15 mei 2017 @ 15:38:
[...]


KVK en BTW nummer zijn verplicht op alle zakelijke communicatie.

Hm, denk dat je gelijk hebt. Ik vind het er belachelijk prominent staan, vandaar. Maar das wellicht omdat het uit de footer komt en die opmaak door de copy/paste actie van de TS niet zichtbaar is in de post.

[Ketho]

Maverick schreef op maandag 15 mei 2017 @ 15:41:
Hm, denk dat je gelijk hebt. Ik vind het er belachelijk prominent staan, vandaar. Maar das wellicht omdat het uit de footer komt en die opmaak door de copy/paste actie van de TS niet zichtbaar is in de post.

(edit) ow je bedoelt de opmaak ik kan het begrijpen dat het er dan raar uitziet ja

[ Voor 191% gewijzigd door Ketho op 16-05-2017 12:54 ]

[Ketho]

Reactie van KPN nadat ik reageerde dat ik zelf de URL bezocht had

Geachte heer, mevrouw,

Bedankt voor uw reactie. Providers gebruiken intelligente IDS (intrusion detection systemen) waarbij er automatisch (alerts) worden aangemaakt als klanten met bekende malwarehosts (command & control servers) verbinding maken. U heeft aangegeven zelf de bewuste URL te hebben bezocht. Wij nemen daarom aan dat het hier een false positive betreft.

Met vriendelijke groet,

<snip>
Abuse Specialist

[garp]

Nou, dat monitoren ze bij Ziggo niet voor zover ik weet. Toch wel netjes van KPN.

[Ryan1981]

Ik kwam vandaag op de hoogte van deze ransomware. Iemand ergens een bron waar in beschreven staat hoe je kan zien of je geinfecteerd ben?

[Johan9711]

Wannacry start meestal snel met zichtbaar aanwezig zijn (populaire + zichtbare verandering van de extensies )
Maar de huidige variant is te herkennen doordat hij de hele tijd contact legt met domein iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. (het hier eerder besproken domein) je zou dus een rule in je firewall kunnen maken hier voor. Het complete lijstje:

1. Check for SMBv1 use (er word zelfs geadviseerd het te disablen als je nog niet de gelegenheid tot patchen hebt, patchen is sws beter natuurlijk)
2. . Early variants of WannaCry tried to contact iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. Check your web traffic for any clients trying to connect to it
3. Check for an increase in the rate of file renames on your network
4. Look out for any outbound traffic on TCP 445. (Poort gebruikt door SMB)
5. Check for any instances of the file @Please_Read_Me@.txt on your file shares
6. Check for any instances of files with these extensions
.wnry
.wcry
.wncry
.wncryt

[Audiowaste]

Bij deze een script om te controleren of je besmet bent met het WannaCry virus:
Onderstaande code opslaan als een .bat file.
Er wordt een text file weggeschreven naar c:/temp/wannacry_detect met de resultaten.

code:

@echo OFF

:: Is the reg key present?
SET RegKeyExists=0 
:: Is the scheduled task present?
SET SchedTaskExists=0
:: Is the WannaCry exe file present?
SET FilesExist=0
:: Is the mssecsvc service registered?
SET ServiceExists=0

:: Are there encrypted files on the file system? The /s option sets whether we're going to slowly crawl the entire system
IF "%1"=="/s" (SET CryptFilesExist=0) ELSE (SET CryptFilesExist=N/A)
:: Are the relevant hotfixes installed on this system?
SET HotfixesInstalled=0

:: reg query throws an error if the key does not exist
reg query HKLM\Software\Wanacrypt0r >nul 2>&1
IF %ERRORLEVEL% EQU 0 (
    SET RegKeyExists=1
)

:: Obtain the working directory
IF RegKeyExists EQU 1 (
    FOR /F "tokens=2*" %%a in ('reg query HKLM\Software\Wanacrypt0r /v wd') do SET "WannacryWorkingDirectory=%%~b"
)

:: WannaCry creates this entry to schedule a task in the operating system
reg query HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Microsoft Update Task Scheduler" >nul 2>&1
IF %ERRORLEVEL% EQU 0 (
    SET SchedTaskExists=1
)


:: Artifacts left behind by WannaCry - source: https://www.symantec.com/connect/blogs/what-you-need-know-about-wannacry-ransomware
SET WannaCryFiles=("C:\Windows\taskche.exe" "C:\Windows\mssecsvc.exe" "%WannacryWorkingDirectory%\taskche.exe" "%WannacryWorkingDirectory%\taskse.exe" "%WannacryWorkingDirectory%\!WannaDecryptor!.exe" "%WannacryWorkingDirectory%\c.wry" "%WannacryWorkingDirectory%\f.wry" "%WannacryWorkingDirectory%\m.wry" "%WannacryWorkingDirectory%\r.wry" "%WannacryWorkingDirectory%\t.wry" "%WannacryWorkingDirectory%\u.wry" "%WannacryWorkingDirectory%\TaskHost" "%WannacryWorkingDirectory%\00000000.pky" "%WannacryWorkingDirectory%\00000000.res" "%Temp%\0.WCRYT" "%Temp%\1.WCRYT" "%Temp%\2.WCRYT" "%Temp%\3.WCRYT" "%Temp%\4.WCRYT" "%Temp%\5.WCRYT" "%Temp%\hibsys.WCRYT" "%USERPROFILE%\Desktop\!Please Read Me!.txt")
:: Loop through artifacts and check whether they exist
::IF EXIST %%WannaCryFiles[%%a]%% SET FilesExist=1 &
FOR %%f in %WannaCryFiles% do IF EXIST %%f SET FilesExist=1

sc queryex type= service state= all | findstr /i mssecsvc >nul
IF NOT errorlevel 1 (
    SET ServiceExists=1
)

:: Search directories for files with WannaCry extension if this flag is passed to the script
IF "%1"=="/s" (
    FOR /R C:\ %%f in (*.wcry,*.wncry,*.wncryt) do SET CryptFilesExist=1
)

:: Find if updates are installed - if ONE of these is installed, the vulnerability is patched
:: From: https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
SET HotfixIds=(KB4012212 KB4012213 KB4012214 KB4012215 KB4012216 KB4012217 KB4012598 KB4012606 KB4013198 KB4013429 KB4015549 KB4015550 KB4015551 KB4018466 KB4019215 KB4019216 KB4019264 KB4019472 KB4019473 KB4019474)

:: Put hotfixes in temp file to work with
SET Hotfixes="%Temp%\hotfixes.txt"
wmic qfe get hotfixid > "%Hotfixes%"

FOR %%h in %HotfixIds% do (
    find "%%h" %Hotfixes% >nul && (SET HotfixesInstalled=1 )
)

DEL "%Hotfixes%"

:: Read hostname into a variable
FOR /F "usebackq" %%i IN (`hostname`) DO SET Hostname=%%i
:: Read IP address into a variable
FOR /F "usebackq tokens=2 delims=:" %%i in (`ipconfig ^| findstr /c:"IPv4 Address"`) DO SET IPAddress=%%i
:: Read OS information
FOR /F "tokens=*" %%f in ('wmic os get caption /value ^| find "="') do set WindowsName=%%f
FOR /F "tokens=*" %%f in ('wmic os get version /value ^| find "="') do set WindowsVersion=%%f


:: Results
::ECHO Hostname: %Hostname%
::ECHO IP address: %IPAddress%
::ECHO Windows name: %WindowsName%
::ECHO Windows version: %WindowsVersion%
::ECHO Reg key: %RegKeyExists%
::ECHO Scheduled task: %SchedTaskExists%
::ECHO Service registered: %ServiceExists%
::ECHO Files exist: %FilesExist%
::ECHO Encrypted files found: %CryptFilesExist%
::ECHO Hotfixes installed: %HotfixesInstalled%


IF EXIST C:\Temp (
    ECHO %Hostname%,%IPAddress%,%WindowsName%,%WindowsVersion%,%RegKeyExists%,%SchedTaskExists%,%ServiceExists%,%FilesExist%,%CryptFilesExist%,%HotfixesInstalled% > C:\Temp\wannacry_detect.txt
) ELSE (
    MKDIR C:\Temp 
    ECHO %Hostname%,%IPAddress%,%WindowsName%,%WindowsVersion%,%RegKeyExists%,%SchedTaskExists%,%ServiceExists%,%FilesExist%,%CryptFilesExist%,%HotfixesInstalled% > C:\Temp\wannacry_detect.txt
)