Derfor er Javascript populært til ransomware - og sådan sikrer du dig
Javascript er i løbet af det sidste halve år blevet det foretrukne våben for de nye familier af ransomware. Tidligere var det makrovirus, der udnyttede de omfattende rettigheder makroer i Microsoft Office kan få, hvis man giver dem lov. Men Javascript i Windows er ikke begrænset til browseren, og det kan udnyttes.
Det seneste eksempel er RAA, der er skrevet fuldstændig i Javascript og ikke blot bruger sproget til at afvikle et første trin, der downloader og installerer den egentlige malware.
Det kan lade sig gøre, fordi der som standard er meget få sikkerhedsforanstaltninger omkring afviklingen af Javascript på Windows, skriver Paul Ducklin fra sikkerhedsfirmaet Sophos i et blogindlæg.
Angrebet bygges op via social engineering, som typisk foregår via en e-mail, der er tilpasset modtageren og skal få modtageren til at åbne en vedhæftet fil. Det kan eksempelvis være en mail, der foregiver at indeholde en vigtig faktura eller endda en hastebesked fra en anden medarbejder i samme firma.
Den vedhæftede fil vil som regel have et navn, der lyder plausibelt, men ransomware-bagmændene udnytter, at Windows som udgangspunkt ikke viser filendelser. Det er altså muligt at navngive en fil faktura.pdf.js, som så kun vil blive vist som faktura.pdf over for brugeren. Filendelsen .js, der indikerer, at der er tale om et Javascript, er altså skjult.
En måde at hjælpe brugerne til at undgå at falde i fælden kan altså være at sætte en gruppepolitik op, der gør filendelser synlige. Det kan dog medføre indvendinger fra brugerne, da filendelserne så også vil blive synlige i de dialogbokse, hvor de gemmer og åbner filer.
Mens batch-filer med filendelsen .bat eller .cmd bliver vist med et 'gearkasseikon', så bliver filer med endelsen .js vist med et 'skriftrulleikon'. Selvom det ikke ligner ikonet for de mest almindelige PDF-læsere eller dokumentformater, så minder det dog mere om et dokument end om et eksekverbart program.
Som standard er Windows sat op med en filassociation på .js-filer, som vil åbne dem med Windows Based Script Host. Hvis man afvikler et Javascript med Script Host, så vil koden blive afviklet som ethvert andet program. Selvom det er Javascript, så afvikles det altså ikke med de begrænsninger og sikkerhedsforanstaltninger, der er lagt omkring Javascript i browseren.
Ifølge sikkerhedsorganisationen SANS er det derfor en god idé at forhindre disse scripts i at blive afviklet. Udover at gøre filendelsen synlig for brugerne, så kan man også associere .js-filer med eksempelvis Notesblok gennem en gruppepolitik. Se linket til blogindlægget hos SANS for eksempler på, hvordan gruppepolitikken kan sættes op.
Med den nye filassociation vil en Javascript-fil blive åbnet i teksteditoren, hvorfra koden ikke umiddelbart kan gøre skade.
Ved samme lejlighed kan man overveje at gøre noget tilsvarende for en række af de øvrige typer af scripts, som Windows afvikler på samme måde, men er baseret på eksempelvis Visual Basic.
Det er også en god idé at sætte et filter op på mailserveren, som filtrerer disse scriptfiler fra, inden de når brugerne.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
