"Grum-botnet tijdelijk online na omkoopschandaal"
Het Grum-botnet dat vorige week offline werd gehaald kwam dit weekend tot grote verrassing van beveiligingsonderzoekers weer online. Volgens beveiligingsbedrijf FireEye was het te verwachten dat de beheerders zouden proberen om de controle over het botnet terug te krijgen. Het Grum-botnet beschikte echter niet over een back-up mechanisme om dit op technische wijze te realiseren. Toch vonden de botnetbeheerders een ander mechanisme, namelijk geld.
Dat zegt FireEye-onderzoeker Atif Mushtaq. Dit weekend bleek dat de Oekraïense internetprovider SteepHost de null route van de drie Command & Control-servers had opgeheven. Via deze machines, die vorige week nog offline werden gehaald, konden de botnetbeheerders de besmette machines weer aansturen. "We vermoeden dat de botnetbeheerders een groot geldbedrag hebben betaald om toegang tot deze servers te krijgen", laat Mushtaq weten.
Onderhandelingen
Het beveiligingsbedrijf nam contact op met SteepHost en na uren van onderhandelingen werden de C&C-servers weer uitgeschakeld. In de tussentijd werd er weer spam verstuurd, maar dat is inmiddels ook gestopt. SteepHost liet weten dat het niet nog een keer zal gebeuren. Volgens Mushtaq gaf de ISP inbraken en beveiligingsproblemen als excuus.
"Best grappig, niet? Ze beweerden zelfs dat ze dit keer de harde schijven van de C&C-servers hebben gewist", aldus de onderzoeker, die opmerkt dat hierdoor al het bewijs is vernietigd.
Spambestrijder SpamHaus waarschuwde SteepHost dat als het nog een keer gebeurt er een klacht bij de upstream-provider wordt ingediend. Die kan ze vervolgens van het internet afsluiten. Een andere mogelijkheid is dat het hele subnet van SteepHost op een blacklist verschijnt, wat grote impact op de bedrijfsvoering heeft.
In de Ukraine lost men dat soort dingen niet op met geld, maar met g(ew)eld.
"Justitie dient (in alle landen) haar verantwoordelijkheid te nemen waar het om handhaving gaat, zij moet de problemen bij de bron aanpakken."
En wat moet men doen wanneer die aanpak bij de bron niet werkt ? Als het technisch haalbaar is, zou het wegfilteren van verkeer naar bekende C&C servers bij internet exchanges helemaal geen slecht alternatief zijn.
AMSIX is een ethernet gebaseerd netwerk. De enigen die er iets aan kunnen doen, zijn de aangesloten providers. Bovendien is het in principe een peering network. Verkeer van/naar internet gaat via transit providers en die hebben meestal rechtstreekse verbindingen met hun klanten.
AMSIX dit op laten lossen is als een verkeerslicht autos met bepaalde kentekens alleen rood licht geven. Helpt dat?
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!