image

FBI kon Qakbot-botnet uitschakelen door encryptiesleutel te vervangen

woensdag 30 augustus 2023, 16:41 door Redactie, 5 reacties

De FBI kon het Qakbot-botnet uitschakelen door de encryptiesleutel die de beheerders voor de communicatie gebruikten te vervangen door een eigen sleutel, waarna een aanvullende module kon worden geïnstalleerd. Ook blijkt dat de Amerikaanse opsporingsdienst toegang had tot de computers van de beheerders, waarop chatberichten en informatie over cryptowallets en slachtoffers van ransomware werden gevonden, zo staat in documenten die het Amerikaanse ministerie van Justitie openbaar heeft gemaakt.

Gisteren werd bekend dat de FBI, Nederlandse politie en andere politiediensten tijdens een internationale operatie het Qakbot-botnet offline hebben gehaald. De malware maakte allerlei inloggegevens op besmette computers buit en kon aanvullende malware installeren. Zo werd Qakbot voor allerlei ransomware-aanvallen gebruikt. De Amerikaanse opsporingsdienst had goed inzicht in de werking van het botnet gekregen, dat van verschillende type servers gebruikmaakte.

Via deze servers, waarvan een deel zelf ook besmet was, konden de aanvallers commando's naar de besmette computers sturen. De communicatie vond versleuteld plaats. De FBI had op een niet nader genoemde wijze de encryptiesleutel in handen gekregen en kon de servers zo de opdracht geven om een door de FBI ontwikkelde module te installeren, die de encryptiesleutel van de beheerders verving door een sleutel van de FBI.

De botnetbeheerders konden daardoor niet meer met deze servers en de rest van het botnet communiceren. Via de geïnstalleerde module kon de FBI weer met de besmette computers van het botnet communiceren. Die kregen vervolgens de opdracht om een "uninstaller" van een FBI-server te downloaden, waarmee Qakbot werd verwijderd. De Amerikaanse opsporingsdienst stelt wel dat al eerder via Qakbot geïnstalleerde malware niet door deze uninstaller ongedaan wordt gemaakt.

De FBI laat verder weten dat het de uninstaller uitgebreid had getest, om ervoor te zorgen dat die geen andere bestanden of services op de besmette computer zou raken. Verder blijkt dat de opsporingsdienst ook toegang had tot de computers van de botnetbeheerders. Die toegang leidde tot cryptowallets, alsmede informatie over slachtoffers van ransomware. Daaruit blijkt dat ransomwaregroepen de Qakbot-beheerders een deel van het ontvangen losgeld betaalde voor het uitrollen van ransomware. Hoe de FBI toegang kon krijgen tot de computers is niet bekendgemaakt.

Reacties (5)
30-08-2023, 18:51 door Anoniem
Hoe de FBI toegang kon krijgen tot de computers is niet bekendgemaakt.
Hoe weet ik ook niet, maar ik denk dat dit via de Nederlandse politie is gelopen, aangezien zij hackbevoegdheid hebben.
30-08-2023, 21:22 door Anoniem
De locaties van de T2 tiers zijn allemaal in Moscow. Daar is de FBI vast niet geweest.
Ik vraag me af welke locaties de FBI heeft gebruikt voor de T1 tiers,
31-08-2023, 13:49 door Anoniem
Nu maar hopen dat deze hele lijst nu veilig gesteld is door de FBI:
https://github.com/stamparm/maltrail/blob/master/trails/static/malware/qakbot.txt
31-08-2023, 14:49 door Anoniem
Door Anoniem: De locaties van de T2 tiers zijn allemaal in Moscow. Daar is de FBI vast niet geweest.
Ik vraag me af welke locaties de FBI heeft gebruikt voor de T1 tiers,
Je hoeft ook niet fysiek ergens aanwezig te zijn in de digitale wereld.
31-08-2023, 15:42 door Anoniem
Tja, toch maar een HSM gebruiken dan :-O LOL
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.