Elke inkomende communicatie kan een bedreiging vormen voor een organisatie, en het delen van bestanden vormt daarop geen uitzondering. Bestanden die van derden worden ontvangen, kunnen schadelijke code bevatten die is verwerkt in ogenschijnlijk onschuldige documenten.
Beveiligingsoplossingen gaan niet op dezelfde manier om met bedreigingen als mensen dat doen. Daarom weten bepaalde soorten malware de meeste traditionele beveiligingstools te omzeilen, zoals met een wachtwoord beveiligde bijlagen, quishing (phishing via QR-codes) en gegevens die in afbeeldingen zijn verborgen.
Hier volgen enkele tips om je te helpen beschermd te blijven!
Met wachtwoord beveiligde bijlagen
De ironie van met een wachtwoord beveiligde bijlagen is dat ze weliswaar bedoeld zijn om de beveiliging te verbeteren, maar dat de meeste beveiligingstools ze niet scannen omdat ze niet over de benodigde wachtwoorden beschikken om ze te openen. In plaats van te worden geanalyseerd, worden ze gemarkeerd als niet-openbare bestanden en standaard zonder interne controle aan de ontvanger bezorgd.
Het openen van dit soort bestanden brengt aanzienlijke risico’s met zich mee. Hoewel er verschillende manieren zijn om dit probleem te omzeilen, is de meest effectieve en pragmatische aanpak om alle met een wachtwoord beveiligde bestanden standaard te blokkeren. Als een gebruiker een dergelijk bestand verwacht van een vertrouwde contactpersoon, kan hij of zij het handmatig goedkeuren volgens de vastgestelde protocollen van de organisatie.
Het delegeren van deze taak aan de toch al overbelaste systeembeheerders is contraproductief. Van hen verlangen dat ze wachtwoorden verzamelen en vervolgens elk bestand handmatig openen en scannen, vertraagt de workflow en verhoogt de operationele overhead.
De beste aanpak blijft het trainen van gebruikers om wachtwoorden rechtstreeks van geverifieerde afzenders te verkrijgen en de best practices op het gebied van cyberbeveiliging toe te passen.
Quishing of phishing via QR-codes
Quishing is een phishingmethode waarbij misbruik wordt gemaakt van QR-codes. Het onderliggende probleem is dat traditionele beveiligingsoplossingen weliswaar de URL’s in de tekst van een bericht scannen, maar afbeeldingen zelden controleren. Cybercriminelen maken misbruik van de automatische, vaak ondoordachte reflex waarmee gebruikers QR-codes scannen, bijvoorbeeld op restaurantmenu’s, parkeermeters of in apps.
Hoe kunt u dit tegengaan?
De eerste verdedigingslinie blijft de waakzaamheid van de gebruiker. Scan alleen QR-codes van betrouwbare bronnen. Het scannen van een onbekende code staat gelijk aan het klikken op een verdachte link, een reflex die veel gebruikers al hebben geleerd te vermijden in e-mails.
In dit scenario is, net als bij met een wachtwoord beveiligde bestanden, bewustwordingstraining voor gebruikers een belangrijke strategie om het risico te beperken.
Wat betreft technische benaderingen voor het verifiëren van QR-codes, moeten organisaties Deep Content Inspection (DCI)-oplossingen implementeren. Deze oplossingen gaan verder dan het bekijken van woorden en zinsdelen; in plaats daarvan zoeken ze naar reeksen objecten om te helpen bepalen of een bericht gevaarlijk is.
Dit proces omvat het onderzoeken van de structuur van het bericht en de herkomst ervan. Een bestandstype kan bijvoorbeeld zijn hernoemd met de extensie .txt, maar bij nader onderzoek blijkt het in feite een uitvoerbaar bestand te zijn. In een van de klassieke, vroege voorbeelden maakte het „Anna Kournikova“-virus juist misbruik van deze kwetsbaarheid. Gebruikers ontvingen wat leek op een afbeeldingsbestand (AnnaKournikova.jpg.vbs), maar de kwaadaardige extensie was aan het einde toegevoegd. Tot overmaat van ramp konden vroege versies van Outlook de volledige bestandsnaam niet weergeven. Hoewel dit een van de oudste voorbeelden is, wordt dit soort misleiding verrassend genoeg nog steeds toegepast.
In andere gevallen kan een bestandsheader een grootte van slechts 1.000 bytes aangeven, maar uit diepgaande pakketinspectie blijkt dat de werkelijke grootte 3.000 bytes is. Er zit iets verborgen in het bestand, wat over het algemeen een slecht teken is.
Via Deep Content Inspection wordt elk element van de e-mail onder de loep genomen op verdacht gedrag:
- Afzender: Is de afzender legitiem?
- Bron: Is de verzendende host een legitieme afzender voor dit domein?
- URL: Is deze veilig of onveilig? Wat is de reputatie ervan? Hoe lang bestaat deze al
- Certificaat: Is het TLS-certificaat nog geldig?
- Berichtinhoud: Bevat het bericht frauduleuze inhoud?
- Bijlagen: Wat bevatten ze? Hoe groot zijn ze?
Wat QR-codes betreft: deze worden gecontroleerd met behulp van Optical Character Recognition (OCR) of een andere code die speciaal voor dit doel is ontwikkeld.
Als de QR-code een URL bevat, wordt het volledige verificatieproces vervolgens herhaald. Als het antwoord op een van deze vragen „nee” is, wordt de QR-code verwijderd.
Laten we eens kijken hoe dit in de praktijk werkt. In de volgende twee testbestanden bevat de ene QR-code de tekst „company confidential“ en de andere een URL.
Voorbeeld 1: In het eerste voorbeeld detecteert de oplossing het woord „Confidential“ en blokkeert het bericht. In een praktijksituatie zou de QR-code in plaats van tekst een URL kunnen bevatten die, wanneer deze met een telefoon wordt gescand, een schadelijke link in de mobiele browser opent. Het zou er ook toe kunnen leiden dat je telefoon een nummer met verhoogd tarief belt, waardoor je maandelijkse rekening omhoog gaat.
Voorbeeld 2: In een ander scenario wordt een kwaadaardige QR-code met een URL geneutraliseerd en opgeschoond door de oplossing van onze leverancier Fortra, waardoor een veilige afbeelding wordt geleverd.
Gegevens die in afbeeldingen zijn verborgen
Deze bedreiging, die nauw verband houdt met ‘quishing’, maakt gebruik van steganografie, een techniek waarbij kwaadaardige code wordt verborgen in afbeeldingen of video’s. Hoewel deze code onzichtbaar blijft voor het menselijk oog, kan deze worden geactiveerd om kwaadaardige acties uit te voeren of bestanden op afstand op te halen.
Het wordt aanbevolen om steganografietools te gebruiken om deze afbeeldingen te analyseren en te zoeken naar onverwachte gegevens binnen de bestandsstructuur. In afbeeldingen bevinden zich ‘verborgen ruimtes’ binnen de bestandsstructuur waar aanvallers kwaadaardige code kunnen invoegen. Steganografietools detecteren deze codes en brengen ze aan het licht.
Je kunt bijvoorbeeld een onschuldig bestand hebben dat op het eerste gezicht niets lijkt te doen, maar dat, zodra het uit het afbeeldingsbestand is geëxtraheerd (via het steganografieproces), als wapen kan worden ingezet. Dit kan nieuwe code zijn of een URL die verwijst naar een gehost bestand dat kan worden gedownload en uitgevoerd.
Wanneer een geïnfecteerde, of zelfs alleen maar verdachte, afbeelding binnenkomt, voeren e-mailbeveiligingsoplossingen de volgende stappen uit:
Conclusie
Moderne cyberdreigingen worden steeds subtieler en weten traditionele beveiligingstools te omzeilen. Om hierop in te spelen, is het essentieel om gebruikerstraining te combineren met geavanceerde technologieën.
Door gebruik te maken van tools zoals Deep Content Inspection, Optical Character Recognition, Secure Email Gateways en pakketanalyse, versterkt u de beveiligingspositie van uw organisatie en beschermt u de gegevens die worden uitgewisseld.
