Computer gehackt, complete reinstall, nog steeds malware?!

[Robinschk]

Goedemiddag,

Afgelopen vrijdagavond ben ik gehackt. Hoe ben ik daarachter gekomen? Heel simpel: ik kreeg meldingen van mijn crypto wallet dat er uitgaande transacties plaatsvonden. Dit gebeurde op 23:30. Lang verhaal kort: ben compleet rekt gegaan.

Hoe?
In eerste instantie denk ik dat het is gekomen nádat ik een bepaalde "driver" heb gedownload die ik moest downloaden van de HyperX support. Ik google die driver, eerste hit, klik het aan, download het, install het, gebeurde niks. Vaag. Nog een keer, weer niks. Naja, zal wel aan mij liggen. Dit gebeurde op 22:15 ongeveer.
Achteraf nog een keer gecheckt, bleek de website niet de officiele website van HyperX te zijn, maar was het een gesponsorde link die bovenaan op Google stond. Als jullie de link willen hebben, zal ik hem doorsturen. Ik heb het bestand al een keer door een online virusscanner gehaald die losse bestanden kan checken. Hierbij gaf de scanner niet aan dat het "vervuild" bestand was.

Hoe ziet de rest van mijn tijdlijn eruit?
Nadat al mijn crypto geld weg was, weet je natuurlijk niet waar je moet beginnen. Ik checkte op een gegeven moment mijn Google Drive en zag daar dat mijn beveiligde document met seed phrases en 2fa codes verwijderd was én daarbij ook uit mijn prullenbak verwijderd is. 22:32 is dit gebeurd.
Mijn wallet gecompromised, heel fucked up, maar goed. Is maar een wallet, is niet mijn identieit. Bovenstaande activiteit beweerd dat ze gewoon op mijn Google Drive / Gmail zijn ingelogd.... Wtf? Hier staan ook al mijn docs op van Notaris dingen, verkoop huis, kopie ID/Paspoort e.d.

IP-adres van de computer waarvan de hacker informatie heeft proberen te verkrijgen van een bepaalde exchange genaamd mercatox: 89.36.76.137

Side note: de hackers hebben een VPN gebruikt.

Nu wordt het interessant en tegelijkertijd ook heel vaag voor mij. Want:
1. Ik heb 2factor aan staan
2. Als er 1 inlog plaatsvindt other than mijn eigen computer, krijg ik hier een melding van, altijd. Ik krijg een sms code als er iets moet gebeuren, dit heb ik niet gehad

Mijn aanname is: ze zijn met een soort van teamviewer achtig iets, meekijk-whatever ingelogd en/of toegang gekregen tot mijn computer? Ik neem aan dat mijn computer ook aan heeft moeten staan om dit voor elkaar te krijgen door de hackers. Mijn virusscanner heeft geen melding gegeven of iets dergelijks.

Wat zijn mijn acties geweest vanaf vrijdag?
1. Complete nieuwe windows installatie erop geknald + beide schijven daarin ook geformateerd.
2. 1Password ingesteld
3. Nieuwe wachtwoorden ingesteld
4. Nieuw emailadres gemaakt
5. Overal nieuwe 2FA ingesteld
6. Contact gehad met exchanges om daar alles ook te freezen en stop te zetten
7. Contact gehad met Politie en aangifte gedaan, want mijn ID documenten stonden ook op mijn Google Account.

Vandaag zijn we 3-4 dagen verder en vanochtend om 08:38 kreeg ik een melding van Google op mijn zakelijke Gmail account en mijn oude Gmail account:



Wat hier vreemd aan is, is dat mijn computer die een compleet nieuwe clean install heeft wordt benoemd als de computer waar de desbetreffende bedreigende "app" op aanwezig is.

Er lijkt dus letterlijk van buitenaf op mijn computer toegang to worden verkregen, zonder dat ik het weet en/of doorheb terwijl Malwarebytes premium draait.

Ter info: op 08:38 vanochtend stond mijn computer niet aan (stond op slaapstand)
Ter info 2: achteraf gezien heb ik op mijn gehackte google account mijn wachtwoord veranderd terwijl mijn computer nog niet opnieuw geinstalleerd was. Mijn nieuw aangemaakte Gmail/Google account, heb ik aangemaakt op mijn Macbook. Hiermee heb ik ook destijds niet ingelogd op mijn gehackte computer. Vanochtend om 08:38 heb ik de kritieke melding gekregen op 2 van mijn 3 Google accounts. Op mijn nieuw aangemaakte Gmail/Google account is deze poging van de hackers niet geweest. Dit zegt denk ik wel "iets", maar ik ben niet expert genoeg om te bepalen wat dit precies zegt. Ik denk namelijk dat er wellicht een keylogger op mijn computer is gezet, maar dat verklaard nog niet hoe het kan dat er toegang tot mijn Google Drive e.d. is geweest zonder dat ik een melding heb gehad dat er toegang van buitenaf tot mijn Google Drive account is gevraagd. (i hope you guys still follow)

Wat zijn mijn specs
Malwarebytes premium
Windows 10 up-to-date

Wat is er nu nog meer gaande?
Ik krijg random mailtjes dat er toegang wordt geprobeerd te zoeken tot inlog/accounts die te maken hebben met mijn emailadres. Deze informatie stond NIET in mijn 2fa document. Mijn aanname: ze hebben de opgeslagen wachtwoorden van mijn Google Chrome ook geexporteerd in csv en op 1 of andere manier gedownload. Mijn vraag hierin ook: kan dit? Kunnen ze dit soort acties uitvoeren op afstand? Zoveel vraagtekens hier...

Er zijn nu een aantal dingen die ik me afvraag wat ik het beste kan doen. En please stel ook wedervragen, want ik zal vast niet het totale complete verhaal in 1 keer goed hebben verwoord, maar ik weet wel goed wat er allemaal gespeeld heeft en ik kan best tot in detail informatie geven.

1. Hoe kan het dat na een clean install er blijkbaar alsnog toegang wordt verkregen. Gebeurd dit ook echt, of proberen zij toegang te verkrijgen tot mijn accounts en mijn data vanaf hun eigen PC.
2. Wat zijn nog meer dingen waar ik rekening mee moet/kan houden?
3. Is het een idee om een nieuw IP-adres aan te vragen, of op wat voor een mogelijke manier kunnen ze mij nu nog targetten?
4. Jullie advies, what to do?

Ik hoop dat er een aantal knappe koppen tussenzitten die deze puzzel interessant vinden en dit met mij uit willen pluizen.

Laat ik duidelijk zijn: ik ben me bewust van de stomiteit van het in de cloud hebben van secret phrases.

Update: zojuist heb ik (terwijl ik verbonden was met mijn eigen WiFi) opnieuw toegang proberen te verkrijgen op mijn telefoon met mijn Gmail. Hierbij wordt er gevraagd om een sms te versturen. Hierbij druk ik op ja is goed. Vervolgens krijg ik GEEN sms van Google, maar krijg ik een sms van [e-mail] Vervolgens druk ik op "nog een keer sms versturen" en toen kreeg ik wel een sms van Google. Nadat ik mijn wachtwoord van mijn gehackte Gmail opnieuw had veranderd en dus weer opnieuw toegang moest krijgen tot mijn account moest ik precies hetzelfde weer doen en vervolgens kreeg ik weer geen sms van Google in eerste instantie, maar kreeg ik een sms van [e-mail] vervolgens wel een sms van Google gekregen en ik kon inloggen. Is dit ook sus? Iemand ervaring mee? Is het mogelijk dat er toegang wordt verkregen tot mijn netwerk en via mijn netwerk toegang tot mijn computer? Als dit zo zou zijn, dan zou ik daar toch minstens een melding van moeten krijgen van mijn virus scanner? Zoveel vragen... Zoveel onduidelijkheden en je wordt hier echt paranoide van...

[Mr.D78]

Wat een verhaal, sterkte. Geen tips, maar wellicht goed te vermelden wat de tijd is geweest tussen die 'HyperX'-driver-installatie en de eerste verdachte transacties. Is het die malware die al een tijdje heeft meegedraaid, of is het toch iets anders geweest?

[Robinschk]

Mr.D78 schreef op dinsdag 23 mei 2023 @ 13:39:
Wat een verhaal, sterkte. Geen tips, maar wellicht goed te vermelden wat de tijd is geweest tussen die 'HyperX'-driver-installatie en de eerste verdachte transacties. Is het die malware die al een tijdje heeft meegedraaid, of is het toch iets anders geweest?

Thanks, heb het erbij vermeld. Zat ongeveer 20 minuten tussen ALS datgeen het geweest is. Ik kan me niet herinneren dat ik verder een andere .exe heb geinstalleerd of bepaalde links of verificaties heb aangeklikt. Kan natuurlijk zijn dat dit hele verhaal al weken speelde zonder dat ik het wist en dat ze op die bewuste vrijdagavond hebben toegeslagen. Kan. Geen idee... Daarom ook: zoveel vragen '-.-

[eelcootjuh]

Is dit misschien gedaan op eenzelfde manier als hoe Linus Tech Tips (e.d.) werd gehackt?
YouTube: My Channel Was Deleted Last Night

[dylan111111]

Pijnlijk. Door die software te installeren, waarschijnlijk met admin rechten, heeft een kwaadwillende waarschijnlijk toegang tot je volledige systeem gekregen. Als je in je browser was aangemeld met Google is waarschijnlijk je sessie cookie gestolen waarmee je bent inlogt, of je had het wachtwoord bewaard in de browser. Hierdoor hoeft de aanvaller niet in te loggen maar is hij direct onder jou account aangemeld, in het geval van het cookie.

Doordat het cookie op jouw pc is gegenereerd en nu door de kwaadwillende wordt gebruikt denkt waarschijnlijk google dat het wellicht vanaf jou pc komt.

Waarschijnlijk zijn al je opgeslagen wachtwoorden in de browser ook buit gemaakt waardoor ze bij verschillende diensten kunnen inloggen, ja dit kan. Kijk van welke accounts je iets hebt opgeslagen en verander daar het wachtwoord van.

Een nieuw IP-adres doet helemaal niks en zou ik verder geen tijd aan besteden.

In het vervolg een ad-blocker en password manager gebruiken, en wachtwoorden van belangrijke webpagina's niet in de browser opslaan, kan ik als tip meegeven.

[ Voor 3% gewijzigd door dylan111111 op 23-05-2023 13:51 ]

[The_Admin]

Heb je de apps gecheckt die toegang hebben tot je Google account? Het klinkt nl. alsof er een malafide app toestemming heeft, en ze niet zozeer (direct) jouw credentials misbruiken?

Zie "Apps van derden met accounttoegang" op https://myaccount.google.com/security

[mrmrmr]

Heb je een alternatieve up-to-date smartphone of nog beter: een gewoon mobieltje, gebruik die dan voor het ontvangen van smsjes. Daarvoor moet je de SIM kaart overzetten.

Check al je accounts vanaf een veilige computer - niet een computer die hierbij betrokken is geweest - op aangepaste telefoonnummers, emailadressen, wachtwoorden, etc. [Dit kan wel tot blokkering leiden bij de aanbieders waar je die accounts hebt omdat je dat vanaf een onbekend IP adres doet.]

Een reden waarom je geen bevestigingmails ziet is dat de aanvallers die kunnen wissen voordat je ze binnenhaalt. Bij sms kan het telefoonnummer gewijzigd zijn of er staat malware op.

Daarna geen software of sticks meer gebruiken die in aanraking zijn geweest met de besmette computer. Ook niet op een andere computer, want die kun je daarmee besmetten. Begin compleet vanaf nieuw. Vermijd kruisbesmetting.

Zoals je nu weet moet je niet vertrouwen op derden bij het installeren van drivers. Je kunt beter drivers direct downloaden van de sites van fabrikanten. Helaas moet je wel alles wantrouwen, dus check alle te installeren drivers en software vooraf op https://virustotal.com/ . Soms is het al eens geupload en gescand, laat virustotal dan een nieuwe scan uitvoeren, dan worden de laatste antivirusupdates gebruikt. Installeer niets zonder die malwarecontrole.

Soms worden distributiesites (van fabrikanten of derden) gehackt en worden met malware besmette bestanden geplaatst. Dat is ook een mogelijke oorzaak van jouw besmetting. Dit wordt een "watering hole" aanval genoemd.

USB sticks kunnen een schuifje hebben die tegen schrijven beschermd. Die kun je gebruiken voor herinstallatie. Installeer zonder internet toegang en maak partities compleet opnieuw aan (wis met Windows diskpart command line of een Linux partitietool).

Ga niet internetten met een browser die niet up to date is. Een browser moet worden onderhouden. Sommige browsers gebaseerd op Chromium of Firefox worden slecht up to date gehouden. Mozilla Firefox kun je wel zelf installeren. Add-on uBlock Origin blokkeert veel rommel. Begin met een verse installatie en neem geen bestaande profielen over.

UEFI code kan ook worden aangepast waardoor malware herinstallatie kan overleven. Dit is door checksum controles niet zo makkelijk uit te voeren voor aanvallers, maar het is wel raadzaam hier rekening mee te houden.

De aangifte bij de politie is goed en van belang bij het voorkomen van de gevolgen van doorverkochte gegevens.

[Robinschk]

dylan111111 schreef op dinsdag 23 mei 2023 @ 13:49:
Pijnlijk. Door die software te installeren, waarschijnlijk met admin rechten, heeft een kwaadwillende waarschijnlijk toegang tot je volledige systeem gekregen. Als je in je browser was aangemeld met Google is waarschijnlijk je sessie cookie gestolen waarmee je bent inlogt, of je had het wachtwoord bewaard in de browser. Hierdoor hoeft de aanvaller niet in te loggen maar is hij direct onder jou account aangemeld, in het geval van het cookie.

Doordat het cookie op jouw pc is gegenereerd en nu door de kwaadwillende wordt gebruikt denkt waarschijnlijk google dat het wellicht vanaf jou pc komt.

Waarschijnlijk zijn al je opgeslagen wachtwoorden in de browser ook buit gemaakt waardoor ze bij verschillende diensten kunnen inloggen, ja dit kan. Kijk van welke accounts je iets hebt opgeslagen en verander daar het wachtwoord van.

Een nieuw IP-adres doet helemaal niks en zou ik verder geen tijd aan besteden.

In het vervolg een ad-blocker en password manager gebruiken, en wachtwoorden van belangrijke webpagina's niet in de browser opslaan, kan ik als tip meegeven.

Very much thank you. Wat ik dan wel vreemd vind, is dat ná mijn clean install er vanochtend geprobeeerd is opnieuw toegang te verkrijgen tot mijn Gmail/Drive en dat Google aangeeft dat het vanaf deze computer is gekomen.
Moet ik dit dan zien dat het niet letterlijk deze computer is, maar dat mijn session gestolen is en dat ze het zelf vanaf hun eigen computer proberen, alleen met mijn session? Als dit het geval is, snap ik het.

Maar ik heb in principe een clean install + alle sessies eruit gegooit die nog actief waren. Is er dan nog steeds een connectie aanwezig dat de gestolen cookie session gelinked is aan mijn "trusted device"? Want ten tijde van de hijack snap ik dat ze de session kunnen stelen en zich voor kunnen doen als mijn browser en trusted entry, maar nu, vanochtend, hoe dan?

En kun jij wellicht verklaren hoe ik sms codes krijg, precies op het moment dat ik (nu) opnieuw access wil krijgen tot mijn "gehackte" gmail account terwijl alle 3rd party toegang etc. revoked is?

[The_Admin]

Robinschk schreef op dinsdag 23 mei 2023 @ 14:42:
[...]


Very much thank you. Wat ik dan wel vreemd vind, is dat ná mijn clean install er vanochtend geprobeeerd is opnieuw toegang te verkrijgen tot mijn Gmail/Drive en dat Google aangeeft dat het vanaf deze computer is gekomen.
Moet ik dit dan zien dat het niet letterlijk deze computer is, maar dat mijn session gestolen is en dat ze het zelf vanaf hun eigen computer proberen, alleen met mijn session? Als dit het geval is, snap ik het.

Maar ik heb in principe een clean install + alle sessies eruit gegooit die nog actief waren. Is er dan nog steeds een connectie aanwezig dat de gestolen cookie session gelinked is aan mijn "trusted device"? Want ten tijde van de hijack snap ik dat ze de session kunnen stelen en zich voor kunnen doen als mijn browser en trusted entry, maar nu, vanochtend, hoe dan?

En kun jij wellicht verklaren hoe ik sms codes krijg, precies op het moment dat ik (nu) opnieuw access wil krijgen tot mijn "gehackte" gmail account terwijl alle 3rd party toegang etc. revoked is?

Als jij binnen je Google account alle bestaande sessies hebt uitgelogd toen je je wachtwoord wijzigde zou het session cookie invalid geworden moeten zijn, dus dat kan hem dan niet meer zijn. Dan zit er of ergens anders in je netwerk iets wat via je PC mogelijk naar buiten gaat, of het is iets van een malafide app / derdentoegang wat is opgezet op het moment dat je account gecompromitteerd was.

[SeatRider]

The_Admin schreef op dinsdag 23 mei 2023 @ 13:57:
Heb je de apps gecheckt die toegang hebben tot je Google account? Het klinkt nl. alsof er een malafide app toestemming heeft, en ze niet zozeer (direct) jouw credentials misbruiken?

Zie "Apps van derden met accounttoegang" op https://myaccount.google.com/security

Ja of malafide browser extensions, die kunnen meeliften op je Google sessie?

[The_Admin]

SeatRider schreef op dinsdag 23 mei 2023 @ 14:55:
[...]

Ja of malafide browser extensions, die kunnen meeliften op je Google sessie?

Ja, er MOET ergens nog iets actief zijn als je nog deze rare shit krijgt. Ik zou verwachten dat als TS een reinstall heeft uitgevoerd en daarna niet meteen allerlei gegevens heeft teruggesynct vanuit de cloud dat dingen als browser extensies ook 'weg' zijn, maar dat is even de vraag.

[Robinschk]

The_Admin schreef op dinsdag 23 mei 2023 @ 14:46:
[...]


Als jij binnen je Google account alle bestaande sessies hebt uitgelogd toen je je wachtwoord wijzigde zou het session cookie invalid geworden moeten zijn, dus dat kan hem dan niet meer zijn. Dan zit er of ergens anders in je netwerk iets wat via je PC mogelijk naar buiten gaat, of het is iets van een malafide app / derdentoegang wat is opgezet op het moment dat je account gecompromitteerd was.

Het punt is wel dat ik nu dus de melding heb gekregen "Misschien heeft iemand toegang gekregen tot je Google-account via schadelijke malware op een van je apparaten. Je bent uit veiligheidsoverwegingen uitgelogd op dat apparaat." Mijn wachtwoorden waren al veranderd, dus hij/zij had geen toegang meer tot mijn account en kon deze email ook niet verwijderen.
Kan het zo zijn dat hij/zij waarschijnlijk geprobeerd heeft met de "oude sessie" of iets dergelijks opnieuw toegang te verkrijgen en vandaar dat ik nu wel een melding kreeg ipv dat Google denkt: eyyyy bekende, kom maar door, nothing suspicious here... Of is het zo: alle sessies revoked, je bent instant gestrand als hacker zijn met de "oude" gejatte session cookie?

[The_Admin]

Robinschk schreef op dinsdag 23 mei 2023 @ 15:05:
[...]


Het punt is wel dat ik nu dus de melding heb gekregen "Misschien heeft iemand toegang gekregen tot je Google-account via schadelijke malware op een van je apparaten. Je bent uit veiligheidsoverwegingen uitgelogd op dat apparaat." Mijn wachtwoorden waren al veranderd, dus hij/zij had geen toegang meer tot mijn account en kon deze email ook niet verwijderen.
Kan het zo zijn dat hij/zij waarschijnlijk geprobeerd heeft met de "oude sessie" of iets dergelijks opnieuw toegang te verkrijgen en vandaar dat ik nu wel een melding kreeg ipv dat Google denkt: eyyyy bekende, kom maar door, nothing suspicious here... Of is het zo: alle sessies revoked, je bent instant gestrand als hacker zijn met de "oude" gejatte session cookie?

Ja, dat zou prima kunnen, of die detecties zijn sowieso niet real-time en je hebt iets getriggerd door al je acties om je account te beschermen.

[NotSoSteady]

Is je telefoon ook wel schoon? Dit lijkt me namelijk geen normaal gedrag.

zojuist heb ik (terwijl ik verbonden was met mijn eigen WiFi) opnieuw toegang proberen te verkrijgen op mijn telefoon met mijn Gmail. Hierbij wordt er gevraagd om een sms te versturen. Hierbij druk ik op ja is goed. Vervolgens krijg ik GEEN sms van Google, maar krijg ik een sms van [e-mail] Vervolgens druk ik op "nog een keer sms versturen" en toen kreeg ik wel een sms van Google.

[Robinschk]

The_Admin schreef op dinsdag 23 mei 2023 @ 15:08:
[...]

Ja, dat zou prima kunnen, of die detecties zijn sowieso niet real-time en je hebt iets getriggerd door al je acties om je account te beschermen.

Ja, in de details staat wel het volgende:



Dus ja, zeg het maar. Wat is deze "verdachte app". En deze melding is wel op 2 van mijn 3 Gmail accounts op hetzelfde moment gekomen, namelijk vanochtend 08:38. En Google gaf aan dat het specifiek dit device (mijn windows computer) was die sus was. Nieuwe clean install betekent mijn inziens ook nieuwe sessie. Dus daarom ben ik nu huiverig. Is deze clean install nog wel zo clean of wat...

[dylan111111]

Google zegt dat je "misschien" opnieuw moet inloggen nadat je jou wachtwoord heb veranderd. Dit betekend dus niet dat je bij andere apparaten bent uitgelogd, waardoor een oude sessie nog actief kan blijven.

Heb je al eens gekeken om af te melden bij alle apparaten? Als je bij je google profiel bent, onder beveiliging en dan "je apparaten". Je ziet daar ook "Apps met toegang tot je account" staan. Wellicht staat daar een gekke app tussen. https://support.google.co...swer/3067630?hl=nl#remove

Robinschk schreef op dinsdag 23 mei 2023 @ 15:12:
[...]


Ja, in de details staat wel het volgende:

[Afbeelding]

Dus ja, zeg het maar. Wat is deze "verdachte app". En deze melding is wel op 2 van mijn 3 Gmail accounts op hetzelfde moment gekomen, namelijk vanochtend 08:38. En Google gaf aan dat het specifiek dit device (mijn windows computer) was die sus was. Nieuwe clean install betekent mijn inziens ook nieuwe sessie. Dus daarom ben ik nu huiverig. Is deze clean install nog wel zo clean of wat...

Wat gebeurt er als je afmeld bij deze apparaten? en dan weer op je eigen apparaat, in de browser, aanmeld? Dan gebeurt weer hetzelfde?*

[ Voor 47% gewijzigd door dylan111111 op 23-05-2023 15:15 ]

[Robinschk]

The_Admin schreef op dinsdag 23 mei 2023 @ 15:04:
[...]

Ja, er MOET ergens nog iets actief zijn als je nog deze rare shit krijgt. Ik zou verwachten dat als TS een reinstall heeft uitgevoerd en daarna niet meteen allerlei gegevens heeft teruggesynct vanuit de cloud dat dingen als browser extensies ook 'weg' zijn, maar dat is even de vraag.

Correct. Nieuwe email aangemaakt, dus geen sync in browser of iets.

[Robinschk]

dylan111111 schreef op dinsdag 23 mei 2023 @ 15:13:
Google zegt dat je "misschien" opnieuw moet inloggen nadat je jou wachtwoord heb veranderd. Dit betekend dus niet dat je bij andere apparaten bent uitgelogd, waardoor een oude sessie nog actief kan blijven.

Heb je al eens gekeken om af te melden bij alle apparaten? Als je bij je google profiel bent, onder beveiliging en dan "je apparaten". Je ziet daar ook "Apps met toegang tot je account" staan. Wellicht staat daar een gekke app tussen. https://support.google.co...swer/3067630?hl=nl#remove


[...]


Wat gebeurt er als je afmeld bij deze apparaten? en dan weer op je eigen apparaat, in de browser, aanmeld? Dan gebeurt weer hetzelfde?*

Zojuist gedaan. Geen "sus" melding gekregen van Google.

[Robinschk]

mrmrmr schreef op dinsdag 23 mei 2023 @ 14:37:
Heb je een alternatieve up-to-date smartphone of nog beter: een gewoon mobieltje, gebruik die dan voor het ontvangen van smsjes. Daarvoor moet je de SIM kaart overzetten.

Check al je accounts vanaf een veilige computer - niet een computer die hierbij betrokken is geweest - op aangepaste telefoonnummers, emailadressen, wachtwoorden, etc. [Dit kan wel tot blokkering leiden bij de aanbieders waar je die accounts hebt omdat je dat vanaf een onbekend IP adres doet.]

Een reden waarom je geen bevestigingmails ziet is dat de aanvallers die kunnen wissen voordat je ze binnenhaalt. Bij sms kan het telefoonnummer gewijzigd zijn of er staat malware op.

Daarna geen software of sticks meer gebruiken die in aanraking zijn geweest met de besmette computer. Ook niet op een andere computer, want die kun je daarmee besmetten. Begin compleet vanaf nieuw. Vermijd kruisbesmetting.

Zoals je nu weet moet je niet vertrouwen op derden bij het installeren van drivers. Je kunt beter drivers direct downloaden van de sites van fabrikanten. Helaas moet je wel alles wantrouwen, dus check alle te installeren drivers en software vooraf op https://virustotal.com/ . Soms is het al eens geupload en gescand, laat virustotal dan een nieuwe scan uitvoeren, dan worden de laatste antivirusupdates gebruikt. Installeer niets zonder die malwarecontrole.

Soms worden distributiesites (van fabrikanten of derden) gehackt en worden met malware besmette bestanden geplaatst. Dat is ook een mogelijke oorzaak van jouw besmetting. Dit wordt een "watering hole" aanval genoemd.

USB sticks kunnen een schuifje hebben die tegen schrijven beschermd. Die kun je gebruiken voor herinstallatie. Installeer zonder internet toegang en maak partities compleet opnieuw aan (wis met Windows diskpart command line of een Linux partitietool).

Ga niet internetten met een browser die niet up to date is. Een browser moet worden onderhouden. Sommige browsers gebaseerd op Chromium of Firefox worden slecht up to date gehouden. Mozilla Firefox kun je wel zelf installeren. Add-on uBlock Origin blokkeert veel rommel. Begin met een verse installatie en neem geen bestaande profielen over.

UEFI code kan ook worden aangepast waardoor malware herinstallatie kan overleven. Dit is door checksum controles niet zo makkelijk uit te voeren voor aanvallers, maar het is wel raadzaam hier rekening mee te houden.

De aangifte bij de politie is goed en van belang bij het voorkomen van de gevolgen van doorverkochte gegevens.

Thanks hiervoor!

Ik heb nog wel 1 vraag. Als ik check naar bv. een exchange. Dan zie ik dat er tzt een reset password aanvraag is gedaan. Deze aanvraag is gedaan vanaf een IP adres (ik ben dat zelf natuurlijk niet geweest), maar het is wel mijn IP adres wat daar staat als zijnde waar het vandaan is gestuurd. Is dat ook iets wat kan met deze zogenoemde "session hijacking"?

@The_Admin
@dylan111111

[mrmrmr]

Session overname (met client side data) is niet zo makkelijk uit te voeren, ik verwacht dat Google anno 2023 niet zomaar accepteert dat het IP verandert of alles opvraagt alsof het de eerste keer is of met een andere browser/agent/headers/etc. Dus inderdaad: vanaf jouw IP werkt het best voor een aanvaller.

Google last account activity
https://support.google.com/mail/answer/45938?hl=en

Zorg in ieder geval dat je niet automatisch ingelogd bent/blijft.

Wat aanvallers vaak doen is het slachtoffer buitensluiten door wachtwoorden aan te passen. Vandaar dat je accounts altijd volledig moet controleren op ongewenste aanpassingen.

Uiteraard moet je per account een nieuw vers en niet raadbaar wachtwoord gebruiken. Die kun je opslaan in een betrouwbare password manager (met 2 factor authenticatie als het online is) of gewoon ouderwets op papier opschrijven.

Aanvallers kunnen proberen om met de gegevens die ze hebben je telefooncontract aan te passen. Bijvoorbeeld zeggen dat de telefoon verloren is en een nieuwe SIM aanvragen. Aangezien dat vaak voor 2-factor wordt gebruikt is dat een groot gevaar.

Let op met emails die aangeven dat je ergens in moet loggen. Dat kan phishing zijn. Er zijn veel sites die waarschuwen voor phishing, maar er zijn heel weinig sites die exact uitleggen hoe je dat nu echt kunt herkennen. Kijk bij je email provider. Voor de Thunderbird mail client is er een plugin die een onafhankelijke DKIM controle kan doen. Daarmee weet je dat de email is verzonden vanaf een vertrouwd netwerk (domein) die de verzender/eigenaar van dat domein heeft goedgekeurd. Headers van emails zijn ook na te gaan.

De vuistregel is dat je zelf een site waar je wil gaan inloggen intypt in de adresbalk van de browser en controleert of het certificaat aan de verwachting voldoet. Bijvoorbeeld bij Google verwacht je een certifcaat van "Google Trust Services LLC" en bij Microsoft van "Microsoft Corporation". Er is een ketting aan certificaten die moet kloppen.

Er is antivirus software voor smartphones, maar verwacht daar niet teveel van. Sowieso is er vaak een periode tussen de besmetting en de eerste detectie van slechts 1 van de 60+ malwarescanners. Laat staan dat er een moment komt dat de meerderheid van de scanners detectie heeft toegevoegd. Dat is het kat- en muisspel van deze criminelen. Een "no malware detected" resultaat bewijst in ieder geval niet dat een apparaat vrij is van malware. Scans periodiek herhalen is noodzaak.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[i-chat]

grappig, (of eigenlijk heel triest) is dat mij dus OOK zoiets is overkomen, ware het niet dat mijn antivir (eset) volledig over de zeik ging,

Ik was nog bijna van plan, om die lui verrot te schelden van achter m'n toetsenbord en heel pissig de beveiliging tijdelijk uit te zetten, want rot eff op ik moet gewoon drivers installeren ja?
gelukkig begon me iets te dagen en kwam ik erachter..

sindsdien kijk ik 20x extra voor ik 'zomaar' op google's eerste hit vertrouw.

wat een wereld ... begrijp me niet verkeerd, over het algemeen ben ik prima tevreden over de zoekresulaten van google en de overige gsuite (pro) diensten. maar op zulke momenten ...

wat ik ervan geleerd heb? "vertrouw nooit alleen op je eigen waarnemingen, met al die mooie trucjes van tegenwoordig is, 'gewoon weten wat je doet' echt niet meer bescherming genoeg.

hopelijk lukt het TS om snel weer orde op zaken te stellen.

[EricJH]

Robinschk schreef op dinsdag 23 mei 2023 @ 13:21:

[...]

Vandaag zijn we 3-4 dagen verder en vanochtend om 08:38 kreeg ik een melding van Google op mijn zakelijke Gmail account en mijn oude Gmail account:

[Afbeelding]

Wat hier vreemd aan is, is dat mijn computer die een compleet nieuwe clean install heeft wordt benoemd als de computer waar de desbetreffende bedreigende "app" op aanwezig is.

Er lijkt dus letterlijk van buitenaf op mijn computer toegang to worden verkregen, zonder dat ik het weet en/of doorheb terwijl Malwarebytes premium draait.

Ter info: op 08:38 vanochtend stond mijn computer niet aan (stond op slaapstand)
Ter info 2: achteraf gezien heb ik op mijn gehackte google account mijn wachtwoord veranderd terwijl mijn computer nog niet opnieuw geinstalleerd was. Mijn nieuw aangemaakte Gmail/Google account, heb ik aangemaakt op mijn Macbook. Hiermee heb ik ook destijds niet ingelogd op mijn gehackte computer. Vanochtend om 08:38 heb ik de kritieke melding gekregen op 2 van mijn 3 Google accounts. Op mijn nieuw aangemaakte Gmail/Google account is deze poging van de hackers niet geweest. Dit zegt denk ik wel "iets", maar ik ben niet expert genoeg om te bepalen wat dit precies zegt. Ik denk namelijk dat er wellicht een keylogger op mijn computer is gezet, maar dat verklaard nog niet hoe het kan dat er toegang tot mijn Google Drive e.d. is geweest zonder dat ik een melding heb gehad dat er toegang van buitenaf tot mijn Google Drive account is gevraagd. (i hope you guys still follow)

Ik focus even hierop. Ik vind de melding van Google vaag. Het noemt man noch paard; noch de naam van de app, noch het IP adres noch het platform.

Met 2FA aan wordt een verdachte login geblokkeerd. Je geeft aan dat om 8:38 geen van je computers aan stond dus we kunnen uitsluiten dat de login vanaf één jouw computers heeft plaatsgevonden.

De melding zegt

Iemand heeft mogelijk toegang tot je account gehad met een verdachte app

Moet hier niet staan mogelijk RECENT toegang tot je account gehad. Zoals het nu verwoord wordt lijkt het alsof de verdachte toegang op het moment van inloggen, om 8:38, plaatsvond en daarmeede gebruiker potentieel op een wild goose chase stuurt.

Daarna zegt het:

Je bent uitgelogd op dit apparaat om je account te beschermen

Zegt Google hier nu dat er op 8:38 een succesvolle login plaatsvond, via een ongeldige (gestolen) cookie login, en dat na x seconden deze sessie werd uitgelogd om veiligheidsredenen? Of heeft het voorkomen dat de login plaatsvond? Een uitgebreidere logging door Google zou hier een antwoord kunnen geven.

offtopic:
Ik erger me al jaren aan dit soort onpreciese berichtgeving door Google en anderen.

[sh4d0wman]

Uitermate kut!

"In eerste instantie denk ik dat het is gekomen nádat ik een bepaalde "driver" heb gedownload die ik moest downloaden van de HyperX support."

Wat is dat HyperX? Hoe kwam dit contact tot stand?

Hier verkrijgt men Initial Access door social engineering. Een driver is een stukje lulliger dan een exe/msi omdat het dieper in je systeem gaat zitten en daardoor je AV/EDR kan omzeilen of uitschakelen. Genoeg voorbeelden van aanvallers die hiervoor een legitieme driver misbruiken (BYOVD).

Als men toegang heeft kan men alle drives (dus ook onedrive/google) scannen voor wallet extensies of bepaalde strings. De seeds/passwords die je had opgeslagen zul je wellicht een keer open hebben gehad waarbij ze een screenshot gemaakt hebben of Windows ergens een cached versie achter liet. Of ze hebben credentials / memory kunnen dumpen (een beetje zoals het recente Keepass verhaal).

[Sissors]

dylan111111 schreef op dinsdag 23 mei 2023 @ 13:49:
In het vervolg een ad-blocker en password manager gebruiken, en wachtwoorden van belangrijke webpagina's niet in de browser opslaan, kan ik als tip meegeven.

Wachtwoord manager doet in zo'n geval toch niet meer dan hooguit wat vertragen? Sowieso veranderd het weinig aan gestolen sessie cookies, danwel als ze gewoon via zijn PC dingen doen, tenzij alles ook is ingesteld dat het hem direct weer uitlogt. Het probleem daarvan is dat je telkens het hoofd wachtwoord van je wachtwoord managers aan het intikken bent (ervan uitgaande dat daar elke keer om gevraagd wordt, maar anders helpt het natuurlijk alsnog niet tegen iemand die je PC overneemt), en als ze die gewoon afvangen, hebben ze alsnog je hele wachtwoord database.

[EricJH]

En als ze administrative priviliges hebben kunnen ze in één moeite door de wachtwoorden zoals je browsers ze opslaat uitlezen.

[Tomino]

Komt hier iets uitrollen?
https://www.politie.nl/informatie/checkjehack.html

[Skywalker27]

Vergeet niet als je session cookie gestolen wachtwoord veranderen. MFA string aanpassen. Alle sessies verbreken en/of checken of deze verbroken zijn. Daarna nog een keer je wachtwoord aanpassen en je MFA string nog een keer vervangen.

[Wild Chocolate]

Tomino schreef op woensdag 26 juli 2023 @ 15:45:
Komt hier uits uitrollen?
https://www.politie.nl/informatie/checkjehack.html

Ik hoop niet voor TS dat hij hier 2 maanden later nog mee bezig is...

@Robinschk Hoe is dit afgelopen? Nog iets gevonden?

[Talft]

Hi,

Ik heb dit een aantal maanden geleden ook meegemaakt en ik ondervind nog steeds de schade. Alle stappen die je opnoemt heb ik ook verricht en zelfs mijn complete hardware vervangen. Politie doet niets, hulp kun je eigenlijk nergens krijgen en alvast succes bij Google of Microsoft..

De Malware op je PC/Laptop ontsnapt naar het geheugen van je Bios en eigenlijk ieder hardware component wat geheugen heeft: PCI-E, DDR, CPU etc. Een nieuwe install, manual formats etc heeft totaal geen zin. Zodra er iets van een OS wordt geïnstalleerd wordt de initiële malware weer vanuit hardware gedeployed.

De Malware schakelt iedere virusscanner uit voordat deze volledig is geïnstalleerd (Check the registry maar), premium of geen premium geen enkele scan gaat de malware vinden hierdoor.

Het enige wat bij de malware detecteert is de meest simpele portable app: Hijack This

https://portableapps.com/...ortable_2.10.0.10.paf.exe

Deze app niet updaten wat het is mogelijk dat met de update de app gemanipuleerd wordt dus ook niets vind. Scan je PC, export het .txt bestand en dan uploaden bij:

https://www.hybrid-analysis.com/

Selecteer hierbij: Heavy evasive & dan wacht het resultaat.

Bij mij was ook mijn telefoon gehackt alleen kwam ik hier pas twee weken later achter omdat de Malware verspreid via de WIFI is de kans zeer groot dat je telefoon ook gehackt is. Ik zou direct al je password keychain helemaal leeg gooien & op een andere PC al je wachtwoorden aanpassen en niets meer opslaan gewoon pen en papier.

Ook bij een re-install nieuwe accounts aanmaken en niet met je gebruikelijke accounts inloggen op je laptop/pc zodra je dat doet wordt direct de link geleged tussen jou laptop/user data die ze dus ook al hebben.

Tot dusver heb ik nog niets gevonden om deze nachtmerrie te verwijderen van mijn telefoon/laptop/router. Een ware nachtmerrie.

Ik wens je veel succes.

[mrmrmr]

@Talft Je kunt in de 99.99% van de gevallen best een computer en een omgeving weer opschonen.

Herbesmetting is mogelijk als je bijvoorbeeld bij herinstallatie een bepaald besmet programma weer opnieuw installeert. Haal software uitsluitend van betrouwbare bronnen en gebruik niet dezelfde installatiebestanden opnieuw als er een malwarebesmetting is geweest.

Het is onwaarschijnlijk dat je computer via hardware wordt herbesmet als je een systeem hebt dat voorzien is van toepasselijke security patches en up to date is.

[Robi]

Talft schreef op woensdag 16 augustus 2023 @ 22:48:
Hi,

Ik heb dit een aantal maanden geleden ook meegemaakt en ik ondervind nog steeds de schade. Alle stappen die je opnoemt heb ik ook verricht en zelfs mijn complete hardware vervangen. Politie doet niets, hulp kun je eigenlijk nergens krijgen en alvast succes bij Google of Microsoft..

De Malware op je PC/Laptop ontsnapt naar het geheugen van je Bios en eigenlijk ieder hardware component wat geheugen heeft: PCI-E, DDR, CPU etc. Een nieuwe install, manual formats etc heeft totaal geen zin. Zodra er iets van een OS wordt geïnstalleerd wordt de initiële malware weer vanuit hardware gedeployed.

De Malware schakelt iedere virusscanner uit voordat deze volledig is geïnstalleerd (Check the registry maar), premium of geen premium geen enkele scan gaat de malware vinden hierdoor.

Het enige wat bij de malware detecteert is de meest simpele portable app: Hijack This

https://portableapps.com/...ortable_2.10.0.10.paf.exe

Deze app niet updaten wat het is mogelijk dat met de update de app gemanipuleerd wordt dus ook niets vind. Scan je PC, export het .txt bestand en dan uploaden bij:

https://www.hybrid-analysis.com/

Selecteer hierbij: Heavy evasive & dan wacht het resultaat.

Bij mij was ook mijn telefoon gehackt alleen kwam ik hier pas twee weken later achter omdat de Malware verspreid via de WIFI is de kans zeer groot dat je telefoon ook gehackt is. Ik zou direct al je password keychain helemaal leeg gooien & op een andere PC al je wachtwoorden aanpassen en niets meer opslaan gewoon pen en papier.

Ook bij een re-install nieuwe accounts aanmaken en niet met je gebruikelijke accounts inloggen op je laptop/pc zodra je dat doet wordt direct de link geleged tussen jou laptop/user data die ze dus ook al hebben.

Tot dusver heb ik nog niets gevonden om deze nachtmerrie te verwijderen van mijn telefoon/laptop/router. Een ware nachtmerrie.

Ik wens je veel succes.

Dat malware in het werkgeheugen blijft zitten en vervolgens weer terug op de OS komt na installatie is onzin, geheugen is volatile, alle data gaat dus verloren bij het uitzetten van de computer. UEFI malware bestaat maar is zeer zeldzaam. In het geval van de poster van dit topic kan het van alles zijn geweest. Hij geeft aan windows opnieuw geinstalleerd te hebben en vervolgends weer "gehackt" te zijn. Wellicht een malafide browser extensie, Onedrive bestanden die weer syncen welke gebind zijn met een payload, zelfde wachtwoord op meerdere accounts, oud wachtwoord hergebruikt, noem maar op...
Het verhaal van een "soort teamviewer" kan kloppen.
In veel hack tools "Remote acces trojans" zit een functie "HVNC, HRDP" dit maakt een spook bureaublad (virtueel desktop) op de computer van het doelwit, hier kan de aanvaller vervolgens mee verbinden op afstand om zo de gehele computer over te nemen zonder dat het slachtoffer hier ook maar iets van mee krijgt. Inprincipe zit de aanvaller dan gewoon achter jou computer, als je dan dus automatisch ingelogd bent in bijvoorbeeld gmail dan kan de aanvaller gewoon jou browser openen en zijn ding doen op het virtuele bureaublad. MFA haalt dan dus niks uit.

[WiLLoW_TieN]

Ik krijg gewoon 'jeuk' als ik dit topic lees...Heb gelukkig geen crypto ( meer ).
Echter doe wel bv ING bankieren op mijn PC ( en GSM ).
Ik leef erg mee met alle getroffen leden. Wat een drama moet dit zijn !

[BytePhantomX]

Talft schreef op woensdag 16 augustus 2023 @ 22:48:
Hi,

Ik heb dit een aantal maanden geleden ook meegemaakt en ik ondervind nog steeds de schade. Alle stappen die je opnoemt heb ik ook verricht en zelfs mijn complete hardware vervangen. Politie doet niets, hulp kun je eigenlijk nergens krijgen en alvast succes bij Google of Microsoft..

De Malware op je PC/Laptop ontsnapt naar het geheugen van je Bios en eigenlijk ieder hardware component wat geheugen heeft: PCI-E, DDR, CPU etc. Een nieuwe install, manual formats etc heeft totaal geen zin. Zodra er iets van een OS wordt geïnstalleerd wordt de initiële malware weer vanuit hardware gedeployed.

De Malware schakelt iedere virusscanner uit voordat deze volledig is geïnstalleerd (Check the registry maar), premium of geen premium geen enkele scan gaat de malware vinden hierdoor.

Het enige wat bij de malware detecteert is de meest simpele portable app: Hijack This

https://portableapps.com/...ortable_2.10.0.10.paf.exe

Deze app niet updaten wat het is mogelijk dat met de update de app gemanipuleerd wordt dus ook niets vind. Scan je PC, export het .txt bestand en dan uploaden bij:

https://www.hybrid-analysis.com/

Selecteer hierbij: Heavy evasive & dan wacht het resultaat.

Bij mij was ook mijn telefoon gehackt alleen kwam ik hier pas twee weken later achter omdat de Malware verspreid via de WIFI is de kans zeer groot dat je telefoon ook gehackt is. Ik zou direct al je password keychain helemaal leeg gooien & op een andere PC al je wachtwoorden aanpassen en niets meer opslaan gewoon pen en papier.

Ook bij een re-install nieuwe accounts aanmaken en niet met je gebruikelijke accounts inloggen op je laptop/pc zodra je dat doet wordt direct de link geleged tussen jou laptop/user data die ze dus ook al hebben.

Tot dusver heb ik nog niets gevonden om deze nachtmerrie te verwijderen van mijn telefoon/laptop/router. Een ware nachtmerrie.

Ik wens je veel succes.

Ik vind het een vrij bijzonder verhaal. Genoeg hacks gezien van dichtbij, maar wat je hier benoemt klinkt mij allemaal zeer onwaarschijnlijk, tenzij je allemaal oude meuk (oude android, windows xp, verouderde router, nas met kwetsbaarheden etc) gebruikt die al een lange tijd geen updates meer heeft gehad. Ben je bij met een recent os en recente updates, dan is wat je hier benoemt het niveau van statelijke actoren en die richten zich niet op individuele crypto users.

Bij mij was ook mijn telefoon gehackt alleen kwam ik hier pas twee weken later achter omdat de Malware verspreid via de WIFI is de kans zeer groot dat je telefoon ook gehackt is.

Er bestaat niet zoiets magisch als een malware die automatisch van je pc, naar je router en via wifi naar je telefoon gaat. Mijn verwachting is eerder dat ze toegang tot je account hadden of dat je zelf software installeerde waar een backdoor in zat.

[neonite]

Mijn vermoeden is dat de TS besmet is geraakt met een 'stealer' zoals RaccoonStealer. Dit is malware dat een dump maakt van belangrijke data binnen je computer, zoals;

- Screenshot van desktop
- Wachtwoorden uit je webbrowser
- Cookies
- Autofill data
- Geschiedenis van bezochte websites
- Geinstalleerde software
- Crypto wallets (indien beschikbaar)

Deze informatie wordt vervolgens verhandeld op groepen zoals Telegram. Als een nieuwe hacker toegang krijgt tot je data, dan krijg je weer te maken met allerlei inlogpogingen (en succesvolle logins als je hetzelfde wachtwoord nog gebruikt, en geen MFA hebt).

Zie https://www.bleepingcompu...-to-steal-your-passwords/ als voorbeeld.

[Jazzy]

Modbreak:

De situatie van de TS ligt inmiddels twee maand achter ons. Malware die in CPU en geheugenmodules bewaard blijft klinkt me wat ongeloofwaardig, maar dat is misschien meer iets voor een eigen topic.

Deze gaat nu dicht. @Robinschk stuur mij of een andere moderator gerust een PM als je nog verder wilt met dit topic.