Udspekuleret hackergruppe sniger sig ind på topchefers computere via hotel-wifi

Hvem opfattede dem som "private og sikre" ?</p>
<p>Og hvorfor ?

Det kræver stadigvæk at brugeren der er logget på er lokal admin, ellers får den ikke lov til at opdatere.

Måske fordi Adobe o.s.v. kører deres eget løb og ikke opdaterer via officielle repositories.

Jeg har forstået det på følgende måde:

• Der er kørt arp poisoning angreb på hotellernes netværk, og disse er blevet brugt til at injicere en iframe på hotellets netværks login-side. Eller måske alt ikke-krypteret http trafik?
• Disse iframes har så leveret signeret malware, der har været bundled med den reelle software. Her antager jeg, at de har brugt Javascript i form af en skræddersyet pop-up i samme stil med softwaren de prøver at efterligne. Her kunne man også bruge Javascript og databasesoftware til at holde styr på hvilke klienter der har downloaded deres 'opdateringer', og herved fjerne fremtidige pop-ups ved samme klient, for at undgå at de bliver mistænkelige.

At de har 'ryddet op' efter sig giver næsten sig selv, da de højst sandsynligt har kørt en lokal server, som har sørget for at hoste 'opdateringerne' samt eventuelt php og Javascript Kode. Så når de slutter arp poinsoning angrebet vil det hele automatisk ændre sig tilbage til hvordan det var før angrebet. Her kunne det så tænkes, at de har haft adgang til routeren, og været i stand til at slette logs. Vi ved jo efterhånden hvor usikre disse er.

De kunne også have haft brugt BDP og EvilGrade, men tror nu ovenstående har været deres MO. At de så er dumme nok til at installere disse 'opdateringer' kan jo så ikke komme bag på de fleste der har leget med denne type angreb. Du finder ikke ligefrem mange - hverken firmaer eller enkeltpersoner - som rent faktisk benytter sig af en form for whitelisting af software.