VS stopt malware op afstand

In de VS heeft de politie voor het eerst malware van op afstand uitgeschakeld. Dat gebeurde door een overgenomen botnet te besturen.

De politie had zowel de command & controlservers als de domeinnamen van het Bredolab-botnet overgenomen. Dat is het distributienetwerk waarmee malware wordt overgebracht en bestuurd. Na toestemming van de rechter mochten ze het netwerk gebruiken om de geïnfecteerde computers in het netwerk weer onschadelijk te maken.

“Het gaat om de meest volledige en samenwerkende politieactie ooit om een internationaal botnet uit te schakelen”, aldus een verklaring van het Amerikaans ministerie van Justitie. Een gelijkaardige actie werd overigens ondernomen door de Nederlandse politie.

Coreflood
De malware zelf draagt de naam Coreflood. Deze houdt onder meer de toetsenaanslagen en privécommunicatie bij. Zo worden gebruikersnamen, wachtwoorden en andere persoonlijke en financiële info gestolen. Na de infectie is de computer van op afstand te beheren.

Volgens documenten die CNet kon inkijken werden meer dan twee miljoen Windows-pc’s geïnfecteerd, over een periode van tien jaar.

De gestolen info werd ook echt gebruikt om geld te stelen. Zo is er minstens één geval bekend waarbij een onlinebanksessie werd onderschept om geld over te schrijven naar het buitenland. Bij andere fraudegevallen verloren verschillende Amerikaanse bedrijven tienduizenden dollars. Hoewel er alleen melding is van Amerikaanse bedrijven, is het niet duidelijk of er ook andere slachtoffers zijn.

Klacht tegen onbekenden
Wie de daders zijn, lijkt voorlopig onduidelijk. De openbare aanklager van Connecticut (VS) heeft een burgerlijke klacht ingedient tegen dertien zogenaamde John Does. Dat is het Amerikaanse equivalent van een klacht tegen onbekenden. Ze worden beschuldigd van telecomfraude, bankfraude en illegale onderschepping van elektronische communicatie.

Om het botnet stil te leggen, zijn vijf command & controlservers en 29 domeinnamen overgenomen. Die werden gebruikt door de geïnfecteerde computers om met de server te communiceren.

Nu slagen Amerikaanse autoriteiten erin om de malware onschadelijk te maken. Ze proberen ook de slachtoffers te identificeren op basis van hun IP-adres. Hoewel het botnet in zijn huidige vorm is stilgelegd, kan het wel zijn dat er nog steeds varianten circuleren.