De FBI kon het Qakbot-botnet uitschakelen door de encryptiesleutel die de beheerders voor de communicatie gebruikten te vervangen door een eigen sleutel, waarna een aanvullende module kon worden geïnstalleerd. Ook blijkt dat de Amerikaanse opsporingsdienst toegang had tot de computers van de beheerders, waarop chatberichten en informatie over cryptowallets en slachtoffers van ransomware werden gevonden, zo staat in documenten die het Amerikaanse ministerie van Justitie openbaar heeft gemaakt.

Gisteren werd bekend dat de FBI, Nederlandse politie en andere politiediensten tijdens een internationale operatie het Qakbot-botnet offline hebben gehaald. De malware maakte allerlei inloggegevens op besmette computers buit en kon aanvullende malware installeren. Zo werd Qakbot voor allerlei ransomware-aanvallen gebruikt. De Amerikaanse opsporingsdienst had goed inzicht in de werking van het botnet gekregen, dat van verschillende type servers gebruikmaakte.

Via deze servers, waarvan een deel zelf ook besmet was, konden de aanvallers commando's naar de besmette computers sturen. De communicatie vond versleuteld plaats. De FBI had op een niet nader genoemde wijze de encryptiesleutel in handen gekregen en kon de servers zo de opdracht geven om een door de FBI ontwikkelde module te installeren, die de encryptiesleutel van de beheerders verving door een sleutel van de FBI.

De botnetbeheerders konden daardoor niet meer met deze servers en de rest van het botnet communiceren. Via de geïnstalleerde module kon de FBI weer met de besmette computers van het botnet communiceren. Die kregen vervolgens de opdracht om een "uninstaller" van een FBI-server te downloaden, waarmee Qakbot werd verwijderd. De Amerikaanse opsporingsdienst stelt wel dat al eerder via Qakbot geïnstalleerde malware niet door deze uninstaller ongedaan wordt gemaakt.

De FBI laat verder weten dat het de uninstaller uitgebreid had getest, om ervoor te zorgen dat die geen andere bestanden of services op de besmette computer zou raken. Verder blijkt dat de opsporingsdienst ook toegang had tot de computers van de botnetbeheerders. Die toegang leidde tot cryptowallets, alsmede informatie over slachtoffers van ransomware. Daaruit blijkt dat ransomwaregroepen de Qakbot-beheerders een deel van het ontvangen losgeld betaalde voor het uitrollen van ransomware. Hoe de FBI toegang kon krijgen tot de computers is niet bekendgemaakt.