Botnet overleeft actie van Nationale Recherche
Ondanks de arrestatie van het vermoedelijke brein achter Bredolab, is het botnet nog steeds actief. Inmiddels zijn er drie actieve Command & Control domeinen gevonden die met de besmette computers kunnen communiceren. Ondanks alle aandacht voor het botnet, verstrekken twee van de domeinen op dit moment nieuwe opdrachten aan de bots. Het gaat om upload-good.net en lodfewpleaser.com.
De Bredolab variant die met upload-good.net communiceert is met name belangrijk, omdat bijna alle anti-virusbedrijven die niet herkennen, aldus Atif Mushtaq van het FireEye Malware Intelligence Lab. De bots die met upload-good.net verbinding maken, krijgen de opdracht om een nep-virusscanner genaamd 'Antivirusplus' te downloaden. Het domein lodfewpleaser.com geeft met Bredolab besmette bots de opdracht om spam te versturen.
Het derde domein in kwestie is proobizz.cc, dat inmiddels ook nieuwe instructies uitstuurt. "Ik ben er zeker van dat de botnetbeheerders achter deze variant volledig actief zijn en waarschijnlijk niet de man zijn die eergisteren gearresteerd werd", aldus Mushtaq. Hij geeft hiervoor twee redenen. Het kan zijn dat de Bredolab botnetcode is gelekt, en iemand nu met deze code zijn eigen botnet bouwt. Een andere mogelijkheid is dat het Bredolab botnet aan een andere bende is verhuurd.
Overleven
Mushtaq merkt op dat ook Symantec rapporteert dat Bredolab nog steeds actief is, maar dat het hier in werkelijkheid om andere malware gaat, genaamd Sasfis/Oficla. Net als Bredolab is dit een downloader die aanvullende malware op besmette systemen downloadt. "Ongeacht al deze verwarring, is het zeker dat een klein gedeelte van Bredolab, zelfs onder zoveel druk, heeft weten te overleven."
(niet dat ik verwacht dat we besmet zijn, maar toch...)
En morgen lezen we dat de 27jarige die opgepakt is eigenlijk weinig te maken had met het botnet.?
Nee , deze zag ik niet aankomen :P
Ik denk dat het sowieso handig is om blocklists te gebruiken. Zeker in het geval van dit botnet.
Ik vind dat alleen isp versleuteld data verkeer moet gaan blockeren. ZO kan een botnet makkelijk gevond worden en anders krijg je geen toegang tot netwerk. Dus als je laat zien wat je aan het doen bent,, pas dan mag je een site krijgen op server.
Ik vind dat alleen isp versleuteld data verkeer moet gaan blockeren. ZO kan een botnet makkelijk gevond worden en anders krijg je geen toegang tot netwerk. Dus als je laat zien wat je aan het doen bent,, pas dan mag je een site krijgen op server.
Tof dus jij wilt gewoon dat alles ongecodeerd gaat, dus weg met secure vpn tunnels voor bedrijven, weg met ssl. Resultaat geef dan gewoon je visa, adres, bankgegevens etc gewoon even publiek online zodat iedereen ze kan misbruiken. Encryptie is juist uitgevonden om gegevens veilig te maken en dat wil jij even afschaffen, haal dan direct ook even allemaal je sloten van je deuren en ramen en zet ze open zodat iedereen binnen kan.
Hij is een machtig man, een cyber crime expert, ook zeer geliefd bij de mafia in verschillende werelddelen en de inlichtingen diensten, die zijn botnet gebruiken om informatie te verspreiden (spam/malware) en in te winnen (spionage)
Het is zeer betreurenswaardig dat hij niet op heterdaad aangehouden want dat betekend dat hij tijd heeft gehad om na te denken.
Mocht hij in de tijd tot zijn aanhouding op enig moment hebben gedacht dat zijn botnet door een concurrerende bende werd aangevallen dan is dat relatief gunstig voor Nederland, maar als hij in een vroeg stadium heeft begrepen dat het de Nederlandse politie was dan zal hij daar maatregelen tegen hebben getroffen.
Een dreiging naar Nederland middels miljoenen bots/computers is van de hoogste orde, een directe bedreiging van de staatsveiligheid. Alles op alles moet worden gezet om deze meneer op korte termijn de controle over zijn botnet te onthouden. En dat zijn volgers/zaken partners geen wraak namens hem willen nemen.
Mocht hij te vroeg op vrije voeten komen dan is er een echt probleem en hoop ik dat er tijdens dit Bredolab onderzoek enige militair-strategische leiding is geweest, want het uitlokken van een tegenaanval middels miljoenen bots op de Nederlandse infrastructuur kan het OM, CERT nog het NHTC voor hun verantwoording nemen.
Ik denk dat je het ook met mij eens bent.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
