Het Grum-botnet dat vorige week offline werd gehaald kwam dit weekend tot grote verrassing van beveiligingsonderzoekers weer online. Volgens beveiligingsbedrijf FireEye was het te verwachten dat de beheerders zouden proberen om de controle over het botnet terug te krijgen. Het Grum-botnet beschikte echter niet over een back-up mechanisme om dit op technische wijze te realiseren. Toch vonden de botnetbeheerders een ander mechanisme, namelijk geld.

Dat zegt FireEye-onderzoeker Atif Mushtaq. Dit weekend bleek dat de Oekraïense internetprovider SteepHost de null route van de drie Command & Control-servers had opgeheven. Via deze machines, die vorige week nog offline werden gehaald, konden de botnetbeheerders de besmette machines weer aansturen. "We vermoeden dat de botnetbeheerders een groot geldbedrag hebben betaald om toegang tot deze servers te krijgen", laat Mushtaq weten.

Onderhandelingen
Het beveiligingsbedrijf nam contact op met SteepHost en na uren van onderhandelingen werden de C&C-servers weer uitgeschakeld. In de tussentijd werd er weer spam verstuurd, maar dat is inmiddels ook gestopt. SteepHost liet weten dat het niet nog een keer zal gebeuren. Volgens Mushtaq gaf de ISP inbraken en beveiligingsproblemen als excuus.

"Best grappig, niet? Ze beweerden zelfs dat ze dit keer de harde schijven van de C&C-servers hebben gewist", aldus de onderzoeker, die opmerkt dat hierdoor al het bewijs is vernietigd.

Spambestrijder SpamHaus waarschuwde SteepHost dat als het nog een keer gebeurt er een klacht bij de upstream-provider wordt ingediend. Die kan ze vervolgens van het internet afsluiten. Een andere mogelijkheid is dat het hele subnet van SteepHost op een blacklist verschijnt, wat grote impact op de bedrijfsvoering heeft.