Teamviewer exploit sinds December

[arjants]

Blijkbaar is er in december 2017 een update van Teamviewer verschenen om een bug te pletten die ongeauthoriseerde toegang toestaat tot je client: https://threatpost.com/te...r-permissions-bug/129096/
Ik heb nav een incident gisteren lopen zoeken maar kom er bar weinig over tegen op internet, vandaar deze posting.

Er werd contact gemaakt met een pc, een bestand werd geupload naar zijn schijf (svchsot.exe) en gerenamed naar teamviewer.exe. Daarna in de opstartlocatie geplaatst en verbinding werd verbroken.
Het zag er ontzettend gescript uit dus zal wel op grotere schaal misbruikt worden.
2FA was geactiveerd maar deze exploit werkt op alle versies die nog niet geupdate zijn!


Er is blijkbaar in december voor ALLE versies een update uitgebracht door teamviewer die deze bug plet.

Na een 2-tal vergelijkbare incidenten in 2015 ga ik nu wel op zoek naar een andere oplossing, we hebben een betaald account maar geen melding ontvangen in december.

[corset]

Dus de exploit wordt op maandag genoemd, en nog geen 24 uur later is de patch met fix er.. wat is precies het probleem

[arjants]

corset schreef op donderdag 25 januari 2018 @ 12:27:
Dus de exploit wordt op maandag genoemd, en nog geen 24 uur later is de patch met fix er.. wat is precies het probleem

Ik denk dat er veel mensen zijn die dit gemist hebben, communicatie vanuit TV zelf is niet erg duidelijk geweest. Ook ter bevestiging dat het nu echt gebruikt word.

Heb nog eens gekeken, maar waar is dit gepublished op hun website?

[ Voor 8% gewijzigd door arjants op 25-01-2018 12:31 ]

[corset]

arjants schreef op donderdag 25 januari 2018 @ 12:30:
[...]


Ik denk dat er veel mensen zijn die dit gemist hebben, communicatie vanuit TV zelf is niet erg duidelijk geweest. Ook ter bevestiging dat het nu echt gebruikt word.

Heb nog eens gekeken, maar waar is dit gepublished op hun website?

Maar moeten ze dan alles publishen? ik snap je zorgen zeker. Maar het probleem is dat ze eerst een oplossing maken, en dan achteraf moeten roepen "Ja er was een probleem maar het is al gefixed". Dan moet je je afvragen, wat is de nieuwswaarde

[arjants]

Ik denk dat ik niet de enige ben die er op deze manier achterkomt dat zijn TV verouderd is en zo lek als een mandje. Misschien handig vanuit Tv om een reminder de deur uit te doen met aantal % van hun clients die nog de oudere versie draaien, ik denk dat je daarvan schrikt

[tlpeter]

TeamViewer kan anders prima automatisch updaten. Dit heb je dan zelf uitgezet.

[corset]

"lek als een mandje"... een issue binnen 24 uur gefixed. Je kan ook overdrijven.

[MAX3400]

arjants schreef op donderdag 25 januari 2018 @ 13:04:
Ik denk dat ik niet de enige ben die er op deze manier achterkomt dat zijn TV verouderd is en zo lek als een mandje. Misschien handig vanuit Tv om een reminder de deur uit te doen met aantal % van hun clients die nog de oudere versie draaien, ik denk dat je daarvan schrikt

Weet je waarom sommige mensen een oudere versie draaien? Inderdaad, die komt van een site als Piratebay want wel alles kunnen (zoals interactief een machine overnemen) ermee maar niet willen betalen.

we hebben een betaald account maar geen melding ontvangen in december.

En personen die regelmatig TeamViewer (free or paid) gebruiken, krijgen bij opstarten gewoon een reminder dat er een nieuwe versie is en/of het automatische update-proces voor de kiezen. Je bent er zelf bij dat je iets wel/niet regelmatig gebruikt en/of wel/niet update (automatisch).

Ik ben het helemaal eens met @corset ; er zijn weinig bedrijven die binnen 24 uur een patch uitbrengen. Of gebruik je TeamViewer op een RISC-CPU want anders zal je vast ook nog wel/steeds vulnerable zijn voor Spectre & Meltdown (of varianten daarvan).

[Verwijderd]

Mooi geschreven MAX,

Ik wil er aan toevoegen als er mensen zijn die zich ongerust maken over svchost.exe:

regedit.exe = Register editor (C:\Windows)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost

In deze sleutel zie je alle waarden waarmee Windows services worden gehost.
De waarden geven namen.

services.msc = Services (C:\Windows\System32) Wat er automatisch opgestart wordt.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00*\Services

Pas op, hier zie je instellingen waar services.msc de parameters leest als je die opent in mmc.exe.

Hier kan je zien welke services worden gestart, voor verdere info over autostartlocations kan je de website van sysinternals bekijken en eventueel Process Explorer downloaden om te zien wats kebeurd in je systeem. Autoruns geeft een totaal overzicht over wat er start, maar met autoruns moet je niet je systeem gaan beheren.

Verder kan je alles instellen en zien in de taakplanner, hoe een programma updates plant kan je daar ook bekijken en triggers en acties bekijken en instellen.
taskschd.msc = Taakplanner (C:\Windows\System32) Wat er geplant opgestart wordt.

Deze is eventueel nog handig als je alle Niet Microsoft services even snel wil zien.
msconfig.exe = Systeemconfiguratie (C:\Windows\System32) Hoe er opgestart wordt.
In tabblad services.

[ Voor 13% gewijzigd door Verwijderd op 25-01-2018 16:55 ]

[TheVMaster]

Eh...dit hoort helemaal niet thuis in Windows Clients, is meer iets voor BV.