Hoe hackers Britney Spears’ Instagram gebruiken voor cyberaanvallen

Turla, een Russische hackersgroep, misbruikt Britney Spears haar Instagram om ongedetecteerd malware te verspreiden. Om uit de handen van overheidsinstanties te blijven, verplaatsen de cybercriminelen regelmatig hun command and control server. Dit stelt de hackers voor een dilemma: de malware werkt alleen als deze weet waar de server is, maar URL’s coderen in de malware zorgt voor eenvoudige opsporing. Via onopvallende comments op Instagram delen de Russen daarom de locatie van hun server mee.

Watering hole

Het Russische hackerscollectief Turla bestaat al meer dan tien jaar en heeft in die tijd al een hoop slachtoffers gemaakt. De Russen richten zich voornamelijk op overheidsinstanties en maken veelvuldig gebruik van een techniek die ‘watering hole’ wordt genoemd. Bij dit type aanval worden websites die waarschijnlijk door belangrijke doelwitten worden bezocht, gecompromitteerd. Met name websites van ambassades neemt Turla in zijn visier.

Verplaatste server

Om langdurig overheidsinstanties te kunnen monitoren en aanvallen, verplaatst Turla regelmatig zijn command and control server. Deze server stuurt de malware aan en vormt de zwakke plek van de kwaadaardige software. Wanneer veiligheidsspecialisten erin slagen de server op te doeken, werkt de malware immers niet langer. Bovendien vormt de server een aanknopingspunt om de cybercriminelen op te sporen.

Veel hackers gebruiken verplaatsen daarom regelmatig hun server, maar worden nog steeds snel betrapt doordat ze de verschillende URL’s van de server coderen in hun malware. Turla lost dat probleem op een originele manier op. De kwaadaardige software van het hackerscollectief gebruikt een bit.ly-URL om zijn server te gebruiken, maar het pad zit niet in de extensiecode. Dat pad moet berekend worden aan de hand van reacties die op specifieke Instagram-posts worden gebruikt.

Turla gebruikt hiervoor een bepaalde foto op Britney Spears haar Instagram-account. Aan de hand van de reactie berekent Turla zijn malware een hashcode. De kwaadaardige software kan deze hashcode omvormen tot het webadres van de command and control server.

Moeilijk op te sporen

De techniek die Turla gebruikt, maakt het erg moeilijk om de hackers op te sporen. De reacties op Britney Spears haar Instagram lijken immers op deze van normale mensen. Bovendien is het een flexibel systeem, waarbij de hackers hun command and command server naar eender welke locatie kunnen verhuizen.

Volgens Eset gaat het voorlopig slechts om een test. De bit.ly-code die de malware gebruikt, werd immers nog maar zeventien keer aangeklikt. Bovendien gebruikt de kwaadaardige software Firefox-API’s die binnenkort uit de browser worden verbannen. Een volgende versie van de malware zal daarom een andere lek gebruiken om slachtoffers te gebruiken.