27 februari 2014 11:30

Makers Androidbotnets verschuilen zich achter Tor-netwerk

De eerste Android-trojan die gebaseerd is op een Tor-cliënt is gevonden. De server die de trojan controleert, gebruikt Tor om zichzelf onzichtbaar te maken.

Malware die gebruik maakt van Tor (The Onion Network) dook al eerder op op desktop pc’s, maar nu blijken ook mobiele apparaten in het vizier te komen. Volgens Roman Unuchek van Kaspersky gebruikten de cybercriminelen van Orbot, een Tor-cliënt voor Android, als basis voor hun botnetwerk. Via de .onion proxy servers van Tor wordt geprobeerd de locatie van de command-and-control-server (die het botnet aanstuurt) te verbergen.

Onderscheppen, blokkeren, stelen en code uitvoeren
Met de trojan (die Backdoor.AndroidOS.Torec werd gedoopt en ook als “Siempo” door het leven gaat) kan je verschillende zaken bekomen:

[related_article id=”161563″]

Onderscheppen en verbergen van inkomende en uitgaande berichten
Blokkeren en stelen uitgaande berichten
Berichten sturen vanaf het apparaat
Data naar de CNC-server sturen, inclusief model, OS-versie, land, geïnstalleerde apps en IMEI-nummer
Op afstand code uitvoeren

Volgens Malwarebytes kost het inzetten van het Siempo-botnet 1.000 dollar instapkosten en daarna 500 dollar per maand. De mogelijkheid bestaat dat het botnet een variant is van het oudere “Stoned Cat”-botnet.

Dataverbruik in de gaten houden
Het gebruik van Tor maakt het afsluiten van de C&C-server bijzonder moeilijk, maar deze manier om de server te verbergen vraagt wel heel wat extra code. Als een mobiel apparaat dus plots heel veel data gaat verbruiken, kan dat een indicatie zijn dat er iets aan de hand is.

Het Tor-netwerk werd oorspronkelijk ontwikkeld door de Amerikaanse marine en is bedoeld om het zo goed als onmogelijk te maken om de herkomst en bestemming van dataverkeer te achterhalen. De knooppunten op het netwerk worden door duizenden vrijwilligers wereldwijd onderhouden. Tor kreeg een bedenkelijke reputatie omdat criminelen graag zaken als kinderporno, drugs en wapens via het netwerk verhandelen.

360 miljoen inloggegevens gejat
Deze week maakte het bedrijf Holden Security overigens ook nog bekend dat er op de zwarte markt een pakket van 360 miljoen inloggegevens werden aangeboden. Waar ze werden gestolen en waarvoor ze gebruikt kunnen worden, is nog niet duidelijk. Alex Holden, Chief Information Officer van Holden, noemde de hoeveelheid gestolen data “overweldigend”.