De malware die werd ingezet om gegevens bij beveiligingsbedrijf RSA te stelen wordt nog steeds gebruikt, zo hebben onderzoekers ontdekt. Het gaat om de Comfoo-malware, die voor het eerst in 2006 werd opgemerkt. De malware wordt omschreven als een remote access trojan (RAT), waarmee de makers toegang tot geïnfecteerde computers hebben.

Na de aanval op RSA in 2010 werd de malware twee jaar later weer opgemerkt in een artikel van anti-virusbedrijf Trend Micro. Comfoo wordt soms geinstalleerd met een rootkit, die de bestanden van de malware op de computer verbergt. Eenmaal actief wordt al het netwerkverkeer tussen Comfoo en de servers waarmee de aanvallers de besmette computers aansturen versleuteld.

De malware kan toetsaanslagen opslaan, screenshots maken, gegevens stelen en opdrachten van de aanvallers uitvoeren. Tijdens het onderzoek naar Comfoo ontdekten onderzoekers van Dell Secureworks meer dan 200 varianten van de malware, alsmede 64 verschillende 'campagne-tags' die aan de malware waren meegegeven en waarmee de aanvallers de campagnes organiseerden.

Videoconferentie
De campagnes waren zowel tegen overheidsinstanties als bedrijven in de Verenigde Staten, Europa en Azië gericht. Het is de aanvallers vooral te doen om staalproducenten, energiebedrijven, telecomaanbieders, handelsorganisaties, onderwijsinstellingen en denktanken. Een opmerkelijke sector die ook het doelwit was zijn aanbieders van audio- en videoconferentieproducten.

"Het aanvallen van audio- en videoconferentieproducten is opmerkelijk", zegt Joe Stewart. De onderzoekers speculeren dat de aanvallers hier mogelijk naar intellectueel eigendom zochten, maar een andere mogelijkheid is het afluisteren een meekijken met zowel overheidsinstanties als bedrijven.

Slachtoffers
"Comfoo is het topje van de ijsberg", zegt Stewart in deze analyse. De onderzoekers hebben veel Comfoo-slachtoffers ingelicht. "Gebaseerd op het aantal campagne-tags in de malware-exemplaren tegenover het aantal dat live werd gemonitord, zijn er waarschijnlijk nog honderden niet geïdentificeerde slachtoffers."