Sinds begin december is er een nieuw botnet actief dat zowel Linux- als Windowscomputers infecteert en gebruikt voor het uitvoeren van gedistribueerde Denial of Service (DDoS)-aanvallen. Het botnet en de bijbehorende malware werden door het Poolse Computer Emergency Response Team (CERT) ontdekt.

De malware infecteert Linuxcomputers via SSH, waarbij er een woordenboekaanval wordt gebruikt om toegang tot het systeem te krijgen. Zodra de aanvaller is ingelogd, wordt er een bot-bestand gedownload en uitgevoerd, die de computer onderdeel van het botnet maakt. Volgens het Poolse CERT is de malware "relatief eenvoudig", aangezien die alleen in staat is om DDoS-aanvallen uit te voeren, waarbij het voornamelijk DNS Amplificatie gebruikt.

Eenzelfde soort bot infecteert ook Windowscomputers, alleen gebruikt de malware hier verschillende stappen. Eerst wordt er een bestand op het systeem geplaatst en uitgevoerd, dat vervolgens een nieuwe Windows service registreert, die elke keer bij het starten van het systeem automatisch wordt geladen. Hierna wordt er verbinding met de Command & Control-server van de aanvallers gemaakt. Hoe de Windowsversie zich verspreidt laat het Poolse CERT niet weten.

Bandbreedte

Aangezien de bot alleen voor het uitvoeren van DDoS-aanvallen wordt gebruikt zijn de makers achter het botnet vooral opzoek naar machines met veel bandbreedte. Het Poolse CERT denkt dat dit ook de reden is dat er twee versies van de bot zijn. Linux is namelijk een populair besturingssysteem voor servers, die vaak over meer bandbreedte dan thuiscomputers beschikken.

Virusscanners blijken de Windowsversie van de bot vrij goed te detecteren. Van de 48 virusscanners op VirusTotal werd de malware door 34 scanners herkend. In het geval van de Linuxversie is dit een ander verhaal. Die werd door slechts 3 van de 47 virusscanners opgemerkt.