De malware die een nieuwe manier gebruikt om zich via USB-sticks te verspreiden, heeft inmiddels al 16.000 computers besmet en is mogelijk door personeel van Realtek geholpen. De Wit-Russische virusbestrijder VirusBlokAda ontdekte op 17 juni een virus dat zich op een nog nooit eerder vertoonde wijze verspreidde. Het maakt namelijk geen gebruik van de Autorun functionaliteit, maar van een Windows-lek. Gebruikers hoeven een besmette USB-stick alleen via Windows Explorer of een andere file manager te openen die icons kan weergeven, om de malware op het systeem uit te voeren.

Of het inderdaad om een onontdekte kwetsbaarheid gaat is nog altijd onbekend. Microsoft onderzoekt het probleem en zal meer informatie vrijgeven als het onderzoek is afgerond.

Certificaat
Een andere opmerkelijke eigenschap van de malware is het gebruik van twee drivers die met de certificaten van hardwarefabrikant Realtek zijn ondertekend. Het bedrijf is onder andere bekend van netwerkkaarten en onboard geluid op moederborden. Het intrekken van het Realtek certificaat is onmogelijk, omdat veel software dan niet meer zou werken.

De twee drivers zijn ontworpen om de rootkit functionaliteit van de malware te ondersteunen. Ze verstoppen de malware op het systeem en op geïnfecteerde USB-sticks. De certificaten in kwestie zijn op 25 januari getekend, terwijl de malware pas in juni werd ontdekt. "De grote vraag blijft, hoe konden de cybercriminelen deze bestandensigneren?", vraagt Alexander Gostev van Kaspersky Lab zich af. Het gebruikte certificaat is namelijk honderd procent legitiem.

India
Volgen Gostev gaat het eigenlijk om een worm, aangezien de malware zich via USB-sticks verspreidt. Uit onderzoek blijkt dat er wereldwijd meer dan 16.000 computers besmet zijn geraakt. Drie landen zijn echter het hardst getroffen, India, Iran en Indonesië. Deze landen hebben elk met meer dan 5.000 infecties te maken.

Het gebruik van USB-sticks is niet de snelste manier voor malware om zich te verspreiden. "Maar het zorgt er wel voor dat de malware een langere levenscyclus heeft", merkt Gostev op. De geografische verspreiding is mogelijk een aanwijzing hoe de rootkit digitaal werd getekend. Realtek is een hardwarefabrikant, die mogelijk de softwareontwikkeling in India uitbesteedt. Het is goed mogelijk dat het softwarebedrijf ook de bestanden met het certificaat van Realtek kan signeren. "Eén theorie is dat de malware is gemaakt in India en mogelijk met hulp van een insider binnen de Realtek applicatieontwikkelaars."

De virusbestrijder erkent dat de theorie pure speculatie is. "Als we deze theorie aannemen, dan acht ik het ook mogelijk dat de drivers eigenlijk legitieme drivers zijn. Ja, ze hebben rootkit functionaliteit en verbergen de bestanden in de root van de USB-stick. Maar dat betekent niet dat de driverbestanden niet legitiem zijn. Denk nog aan het Sony rootkit incident."

Gestolen
Larry Seltzer vermoedt dat de oude private key van Realtek mogelijk is gecompromitteerd. "Er zijn verschillende manieren waarop dit kan gebeuren, maar twee dingen komen als eerste naar boven, gezien het feit dat de malware voor belangrijke doelwitten is bedoeld." De Realtek key zou door een werknemer zijn verkocht of er heeft een "high-quality" hack op het systeem van de hardwarefabrikant plaatsgevonden. Realtek zelf heeft nog altijd niet op het incident gereageerd.