Het mysterieuze botnet dat voor de recente groei van het aantal Tor-gebruikers verantwoordelijk is, zou op besmette computers toolbars en adware installeren. Het aantal Tor-gebruikers zat lange tijd stabiel rond de 500.000, tot 19 augustus het aantal gebruikers opeens explosief groeide en de 3 miljoen passeerde.

In eerste instantie wist niemand wie of wat voor de spontane aanwas van gebruikers verantwoordelijk was, totdat gisteren bekend werd dat het om een botnet zou gaan. De Mevade-bot, ook bekend als Sefnit, zou halverwege augustus begonnen zijn om de Command & Control servers via Tor met de besmette computers te laten communiceren.

Het was echter onduidelijk wat de functie van het botnet was. Het Japanse anti-virusbedrijf Trend Micro bevestigt de analyse van het Delftse beveiligingsbedrijf Fox-IT, dat Mevade in de laatste weken van augustus en begin september begon met het downloaden van een Tor-module.

Hoewel Tor het mogelijk maakt om de exacte locatie van een besmette computer te verbergen, waren de beheerders van het botnet daar minder succesvol in, aldus de virusbestrijder. Die zouden namelijk vanuit de Oekraïne en Israël opereren. en staan bekend onder de pseudoniemen "Scorpion" en "Dekadent". Het zou om een goed georganiseerde en goede gefinancierde groep cybercriminelen gaan.

Toolbars

De bende zou zich vooral bezighouden met de installatie van adware en het kapen van zoekresultaten. "Daarom vermoeden we dat één van de manieren waarop het Mevade-botnet geld verdient, is door de installatie van adware en toolbars op besmette systemen", zegt onderzoeker Feike Hacquebord.

Hij merkt op dat er inderdaad is waargenomen dat Mevade adware downloadt. "Adware en toolbars lijken misschien minder schadelijk dan malware die gegevens steelt, maar de realiteit is dat er veel geld met frauduleuze advertenties is te verdienen."

Belasting

Eerder lieten de ontwikkelaars van het Tor Project weten dat de nieuwe gebruikers een grote belasting voor het netwerk vormen. Nu voegt projectleider "Arma" toe dat de nieuwe gebruikers niet zoveel verkeer veroorzaken, maar dat de grootste belasting wordt gevormd door de nieuwe circuits die ze maken.

Tor-clients maken preventief circuits aan en miljoenen Tor-clients houdt miljoenen circuits in. Elk circuit vereist dat de Tor-relays public key operaties uitvoeren die veel rekenkracht kosten, en de processoren van veel Tor-relays kunnen het dan ook niet meer aan.