Door nalatigheid en het vooropstellen van de eigen belangen, heeft Microsoft bij het offline halen van verschillende Zeus-botnets meer kwaad dan goed gedaan, aldus het Nederlandse beveiligingsbedrijf Fox-IT. Op 26 maart kondigde Microsoft Operatie b71 aan, waarbij er zelfs een spannende video van een inval bij een hostingprovider werd gemaakt.

Het is echter onwaarschijnlijk dat hierop interessante informatie wordt aangetroffen, aldus hoofdbeveiligingsexpert Michael Sandee in deze kritische analyse van de operatie. "De criminelen weten dat deze systemen vroeger of later offline worden gehaald en onderzocht", merkt Sandee op. Een van de botnets was binnen 24 uur weer op een nieuwe Command & Control-server operationeel.

Domeinnamen
Microsoft nam tevens tal van domeinnamen in beslag, die door beveiligingsbedrijven geregistreerd waren om informatie over besmette machines te verzamelen. Providers en andere organisaties kunnen deze informatie gebruiken om te zien of besmette computers van klanten en abonnees verbinding met de domeinen in kwestie maken. Daardoor missen deze bedrijven nu een deel van hun inlichtingen, aangezien de ten onrechte in beslag genomen domeinnamen nog steeds niet zijn vrijgegeven.

De softwaregigant rapporteerde dat het de in beslag genomen domeinnamen naar eigen servers laat wijzen, maar dat het daarbij geen gegevens van besmette machines opvangt. Fox-IT ontdekte dat die bewering niet klopt en Microsoft wel degelijk gevoelige informatie van slachtoffers kan ontvangen.

Samenwerking
Sandee hekelt ook de informatie die Microsoft in een aantal documenten vermeldt. Het gaat hier om gegevens over de vermoedelijke botnetbeheerders. Deze informatie was volledig identiek aan de informatie die Fox-IT op een besloten mailinglist had gepubliceerd. De mailinglist stelt dat informatie alleen met toestemming van de auteur gedeeld mag worden. Daarbij zou de Microsoft-medewerker die de informatie van Fox-IT verwerkte ook nog eens door kennisgebrek de fout zijn ingegaan.

"Dit voelt als een grote klap voor ons", stelt Sandee. "We doen veel moeite om dit soort informatie te verkrijgen, terwijl een zakelijke reus als Microsoft deze informatie voor hun eigen marketing- en PR-doeleinden gebruikt, zonder de personen te benaderen die de informatie hebben geleverd." Volgens Sandee ondermijnt Microsoft op deze manier de samenwerking en het delen van informatie tussen beveiligingsbedrijven.

Onbetrouwbaar
De acties van Microsoft zijn dan ook schadelijker voor de security-gemeenschap dan voor de cybercriminelen die Microsoft wilde bestrijden, zo merkt de beveiligingsexpert op. "Iedereen in de industrie weet tenminste nu dat Microsoft een onbetrouwbare partner is, die grote moeite doet om degenen met wie het samenwerkt te verraden en geen verantwoording voor de eigen fouten te nemen", gaat Sandee verder.

"Het toont dat Microsoft alleen in het beschermen van de eigen belangen is geinteresseerd." Eerder vergat Microsoft bij het oprollen van een ander botnet ook al een partner te bedanken.