Opnieuw heeft een grote ransomwareaanval duizenden bedrijven over de hele wereld getroffen. De aanval met 'Petya' begon gistermiddag, maar in de loop van de dag bleek dat het hier om misschien wel méér gaat dan WannaCry...

Eerst maar eens de feiten: gistermiddag meldde een aantal bedrijven in voornamelijk Oekraïne en Rusland slachtoffer te zijn van een ransomwareaanval. Al snel leek het om dezelfde uitbraak te gaan. Later die dag bleken ook een aantal Nederlandse bedrijven getroffen door dezelfde aanval, zoals de Rotterdamse containeroverslag RPM Terminals, een dochteronderneming van het eveneens getroffen Maersk.

Nederlandse bedrijven

Op Tweakers komen ook verschillende reacties binnen van lezers die bij 'grote bedrijven' zeggen te werken waar de ransomware ook heeft toegeslagen - al noemen zij uit veiligheidsoverwegingen geen namen. Het lijkt er echter op dat de ransomware zich grotendeels nog op Oekraïense bedrijven.

Oekraïne

Dat blijkt ook uit hoe de ransomware is verspreid, want dat is inmiddels bekend. Dat is gebeurd via een accountingprogramma dat door een Oekraïens bedrijf genaamd MeDoc is gemaakt. MeDoc is geïnfiltreerd, en hackers hebben de ransomware in een update voor het programma verstuurd die op 22 juni naar klanten is gepusht. Het virus heeft daar 5 dagen in wacht gelegen tot het op de 27e plotseling werd ingeschakeld. De timing is toevallig, omdat 27 juni de Dag van de Onafhankelijkheid is in Oekraïne.

MeDoc heeft inmiddels een verklaring uitgebracht op Facebook. Ook Microsoft zegt dat het virus op die manier rondgaat.

Losgeld

De ransomware vraagt 300 dollars in bitcoin aan losgeld, een opvallend laag bedrag voor malware die zich juist op bedrijven richt. Bedrijven zijn doorgaans sneller bereid hogere bedragen te betalen. Dat kan erop duiden dat de ransomware niet bedoeld is om geld te verdienen, maar dat er meer achter zit...

Op dit moment zijn er slechts 36 transacties gedaan naar het bitcoinadres, waarvan er zelfs een paar transacties maar een paar cent zijn. Net als WannaCry is ook Petya geen vetpot...

Email in plaats van Tor

Een paar dingen aan de ransomware zijn opvallend, zoals de betaalmethode. Waar dat normaal gesproken via een .onion-site en Tor gaat, vragen de hackers in dit geval om de unieke identificatiecode naar een mailadres te sturen. Maar: de hostingpartij heeft wowsmith12345@posteo.net inmiddels op nonactief gezet. Emails komen daar dus niet meer binnen, en dat betekent dat ontsleutelcodes (als die er al waren) ook niet meer kunnen worden verstuurd.

Dat is tot groot ongenoegen van sommige beveiligingsexperts, die zeggen dat het emailadres één van de weinige manieren was om de daders op te sporen.

Gelukkig zijn er nog wel mogelijkheden de ransomware te stoppen. Petya werkt namelijk in 2 fases. In de eerste wordt de computer geïnfecteerd en wordt het virus uitgevoerd op de achtergrond. Daarna herstart de computer automatisch, en pas bij het herstarten wordt een nieuwe bootloader gestart die het scherm versleutelt. Ook dat is pas het moment dat de bestanden versleuteld worden.

Het is daarom mogelijk de ransomware te stoppen door 'Automatisch herstarten bij problemen' uit te schakelen. Ook hebben security-onderzoekers ontdekt dat het virus zoekt naar een bestand genaamd perfc in C:\windows staat. Het is niet duidelijk waarom het dat doet, maar als dat bestand bestaat wordt de ransomware niet uitgevoerd. Zo blijf je toch een beetje beschermd.

Is dit wel Petya?

Maar het meest opvallende aan 'Petya'? Niemand weet of het echt om Petya gaat... Aanvankelijk werd dat wel aangenomen, omdat de ransomware dezelfde methode had als de eerste varianten van Petya, die in april 2016 voor het eerst rondgingen.

Harde schijf

Petya versleutelt namelijk geen individuele bestanden, zoals veel ransomware dat doen. In plaats daarvan maakt Petya een kleine custom bootloader die direct naar een kernel gaat waarop alleen maar de losgeldbrief te lezen is. Daarbij wordt de master boot record van de schijf overschreven, zodat de bestanden niet meer te benaderen zijn. De bestanden zelf worden echter ook nog versleuteld met AES-128 encryptie, dus zelfs als je die kunt terughalen heb je er nog niets aan.

Parallel met WannaCry

De ransomware heeft daarnaast ook nog eens veel weg van een ander incident: WannaCry. Dat is de ransomware die in mei van dit jaar toesloeg bij duizenden bedrijven over de hele wereld, en die uiteindelijk bleek uit te schakelen met een simpele killswitch. Petya blijkt die niet te hebben, al is er wel een mogelijkheid om de ransomware te stoppen door een bepaald bestand op de computer aan te maken.

NSA-exploit

De meest in het oog springende overeenkomst met WannaCry is de exploit die wordt gebruikt. Dat is namelijk opnieuw EternalBlue, een gelekte exploit die afkomstig was van de NSA en werd gelekt door hackersgroep ShadowBrokers. EternalBlue maakt gebruik van een kwetsbaarheid in het SMB-protocol van Windows.

Geavanceerde ransomware

Maar, en dit is belangrijk, waar WannaCry nogal slordig in elkaar was gezet lijkt Petya veel geavanceerder. Zo krijgt de ransomware namelijk toegang tot de admin-rechten van een pc om zich zo makkelijker naar andere computers op het netwerk te verspreiden, waarbij de SMB-exploit niet eens nodig is. De m,alware maakt ook gebruik van PSexec om beheerdersrechten te krijgen. Dat is alleen mogelijk door andere NSA-exploits te gebruiken. Zulke zero-days zijn zeldzaam, en doen juist ook denken aan andere grote cyberwapens zoals Stuxnet, dat destijds gebruik maakte van een ongekend aantal van 4 zero-days.

(Not)Petya

Omdat Petya zo veel geavanceerder lijkt dan veel andere ransomware zeggen sommige beveiligingsonderzoekers dat het virus juist niets te maken heeft met Petya - ze noemen het zelfs NotPetya.

Als we de feiten onder elkaar zetten zien we een schrikbarend beeld:

- De ransomware zit professioneel in elkaar

- De betaalmethode is juist erg simplistisch en wel érg makkelijk offline te halen (wat ook gebeurd is)

- De ransomware is gericht om systemen onbruikbaar te maken in plaats van bestanden

- De ransomware begon in Oekraïne en treft vooral daar veel bedrijven

Vragen

En dat alles doet de vraag rijzen: hebben we hier wel te maken met een vorm van ransomware, of is er meer aan de hand? Gaat het hier niet om een grootschalige sabotage-aanval? En welk doel had die dan?

Te vroeg voor antwoorden

Het is nog veel te vroeg om iets te zeggen over de aard van de aanval. Daarvoor weten we nog te weinig over de details van de ransomware. Bij WannaCry duurde het bijvoorbeeld weken tot de onderzoekers de ransomware linkten aan Noord-Korea - en zelfs dan gaat het nog om alleen een vermoeden.

Voorlopig weten we nog niet genoeg over aanval, maar nu er steeds meer feiten boven tafel komen ontstaat een beeld dat niet bepaald rooskleurig is...

Het Britse bedrijf Nothing heeft het design van de aankomende nieuwe smartphone Phone (4a) onthuld.

Dat deed het bedrijf gisteren via social media. De smartphone komt op 5 maart uit. In de tweet hieronder is het ontwerp alvast te zien, met de typische drukke achterkant die we inmiddels gewend zijn van het bedrijf.

De aankomende Phone (4a) heeft een zogeheten 'Glyph Bar'. Dit is een micro-led-paneel aan de zijkant, die mensen zelf kunnen programmeren om ze in verschillende patronen te laten knipperen. Het gaat om de vierkantjes aan de rechterzijde, naast het camera-eiland. De led-lampjes zijn volgens het bedrijf 40 procent feller dan die op de Phone (3a).

Over de precieze technologie van de Nothing Phone (4a) zijn nog geen aankondigingen gedaan, maar volgens geruchten krijgt de smartphone een Snapdragon 7s Gen 4-chip. Er zal ook een duurdere en snellere Phone (4a) Pro verschijnen, al is daar het uiterlijk nog niet van onthuld.

Officieel wordt de Phone (4a) op 5 maart onthuld.

Je sluit je nieuwe monitor aan, de pc start op, maar de prestaties in zware programma's en games vallen vies tegen. In dit artikel ontdek je waarom de aansluiting op je moederbord de grafische kracht van je computer negeert en hoe je dat direct oplost voor maximale rekenkracht.

Het is een klassieke fout bij het opbouwen van een werkplek: de videokabel in het eerste gat steken dat je tegenkomt aan de achterzijde van je computerkast. Vaak belandt de kabel dan in een van de poorten van het moederbord, terwijl de krachtige videokaart een verdieping lager ongebruikt blijft. Dit misverstand ontstaat omdat beide aansluitingen identiek ogen, maar de interne route die de data aflegt verschilt als dag en nacht. Daarom leggen we je uit hoe je het volledige potentieel van je hardware benut en waarom die extra investering in je grafische kaart anders weggegooid geld is.

De interne omweg via de processor

Als je de HDMI- of DisplayPort-kabel in het moederbord plugt, dwing je de computer om de geïntegreerde grafische chip van de processor te gebruiken (mits die is ingeschakeld via het BIOS). Wij hebben dat uiteraard nog even getest en merkten dat alles inderdaad veel minder soepel aanvoelt zodra de processor deze dubbelrol moet vervullen. In plaats van dat de data direct naar de gespecialiseerde kernen van de videokaart gaat, moet de processor nu zowel de algemene berekeningen als de visuele output verwerken.

Dat veroorzaakt een een hoop warmte in de behuizing en de ventilatoren van de CPU beginnen sneller te loeien om de extra last op te vangen. Het is al met al een onhandige route waarbij de dure videokaart onderin je kast simpelweg geen signaal doorgeeft aan je scherm.

©stas_malyarevsky

Aansluiting heeft wel degelijk een functie

Er zijn echter specifieke scenario's waarin deze aansluiting juist je beste vriend is, bijvoorbeeld tijdens het stellen van een diagnose als er iets opeens niet werkt. Als je pc bijvoorbeeld geen beeld geeft via de videokaart, is inpluggen op het moederbord de enige manier om te controleren of de rest van je systeem nog wel functioneert.

Ook voor een eenvoudige kantoormonitor, die alleen wordt gebruikt voor tekstverwerking en e-mail, volstaat de interne chip van de processor en is een dedicated videokaart niet eens nodig. Deze route bespaart energie en houdt de pc stiller, omdat de zware videokaart (als die er is) in een diepe slaapstand kan blijven. Voor een secundair scherm waarop je alleen statische informatie zoals een chatvenster of Spotify in beeld hebt, kan deze configuratie zelfs een slimme manier zijn om de hoofdvideokaart te ontlasten van onnodige basistaken.

Verlies grafische rekenkracht

Zodra je echter een zware taak start, zoals videobewerking of een moderne game, loopt de pc direct tegen een muur aan. De geïntegreerde graphics hebben namelijk geen eigen snel geheugen en snoepen zodoende rekenkracht van het werkgeheugen van je systeem. Je merkt dat aan haperende beelden, een lage framerate en textures die traag laden.

Zo kan het gebeuren dat een krachtige gaming-pc, die normaal gesproken honderd frames per seconde (100 fps) haalt, via de moederbordaansluiting terugvalt naar een onwerkbare diavoorstelling van minder dan 10 fps. De hardware is aanwezig, maar de snelweg naar het scherm is afgesloten, waardoor je in feite maar een fractie van de capaciteit krijgt waarvoor je hebt betaald.

Zo vind je de juiste poort

Kijk eens goed naar de achterkant van je computerkast om te bepalen of je de volle snelheid benut. De aansluitingen van het moederbord staan altijd verticaal in een blok met andere poorten, zoals usb en ethernet. De aansluitingen van de videokaart zitten een stuk lager en staan horizontaal in een aparte sleuf. Zit je kabel in het bovenste blok, dan werk je op de 'reservemotor'.

Verplaats de kabel naar de horizontale poorten onderaan en je zult direct horen dat de pc anders reageert bij het opstarten. Soms moet je na deze wissel de pc even herstarten, zodat de drivers de nieuwe configuratie herkennen en de resolutie optimaal kunnen instellen voor jouw specifieke beeldscherm.

Klaar voor optimale prestaties?

Het aansluiten van een monitor op het moederbord in plaats van de videokaart zorgt ervoor dat de grafische rekenkracht van de pc onbenut blijft omdat het systeem terugvalt op de beperkte interne chip van de processor. Dat leidt tot een drastische afname in prestaties bij games en zware software, aangezien de gespecialiseerde hardware van de videokaart volledig wordt gepasseerd. Voor een optimale ervaring moet je de monitor altijd in de horizontale poorten van de videokaart prikken. Alleen in noodgevallen of bij eenvoudiger kantoortaken is de moederbordaansluiting een bruikbaar alternatief.