Cisco haalt botnet van 23.000 computers offline
Onderzoekers van Cisco hebben een botnet offline gehaald dat uit 23.000 computers bestond. De computers waren met de GozNym Trojan besmet, een Trojaans paard speciaal ontwikkeld om geld via internetbankieren te stelen. Eerder dit jaar liet IBM weten dat de malware miljoenen dollars had gestolen.
De malware maakt gebruik van een Domain Generation Algorithm (DGA) dat elke dag nieuwe domeinnamen genereert. Een aantal van deze domeinen wordt vervolgens voor de communicatie met de besmette computers gebruikt. Doordat onderzoekers van Cisco het algoritme wisten te kraken konden ze zien welke domeinnamen er in de toekomst werden gegenereerd. Deze domeinnamen registreerden de onderzoekers en lieten vervolgens naar een server van Cisco wijzen.
Zodoende maakten de besmette computers geen verbinding met de botnetserver, maar die van Cisco. In de eerste 24 uur ontving de server van Cisco 23.000 "beacons". Dit is een signaal dat een besmette computer naar de command & control-server van het botnet stuurt. Elke besmette machine stuurt slechts één beacon, waardoor de onderzoekers stellen dat het aantal slachtoffers van het botnet uit zo'n 23.000 machines bestaat. Bijna de helft van de besmette computers bevindt zich in Duitsland, gevolgd door de Verenigde Staten met 37%.
Zolang er nog systemen een juiste reply op de beacon sturen, zal het botnet niet trappen in de fake C&C's.
Uit het zicht is niet gelijk aan offline.
Another big mistake in GozNym’s DGA was in the way it treated the list of first stage domains. If the first domain in the list returned a valid set of seed IPs, GozNym would never attempt to contact any other domains in that list. By using a hash collision on the first domain, we could prevent GozNym victims from attempting to contact any of the other domains in the list. The machines infected with GozNym would beacon to our sinkhole server once, then get stuck in a loop with lots of sleeping and occasionally querying Google’s DNS for our sinkholed domains.
als je eerst had gelezen, had je het geweten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
