De FBI heeft een domeinnaam in beslag genomen waar de VPNFilter-malware gebruik van maakt om besmette routers en NASsen mee aan te sturen. Dat meldt het Amerikaanse openbaar ministerie. Gisteren maakte Cisco het bestaan van de malware bekend, die inmiddels 500.000 apparaten wereldwijd heeft geïnfecteerd.

De malware is in staat om inloggegevens te stelen en kan de firmware van besmette apparaten overschrijven, zodat ze onbruikbaar achterblijven. De FBI zou al sinds augustus met een onderzoek naar de malware bezig zijn en onder andere een router van een Amerikaans slachtoffer hebben onderzocht. Doordat de FBI nu controle over het domein van de malware heeft kan het zien welke ip-adressen zijn besmet. Deze informatie wordt vervolgens door de Shadowserver Foundation gebruikt om de besmette apparaten op te schonen. De Shadowserver Foundation is een organisatie die zich met de bestrijding van botnets bezighoudt.

Hoe VPNFilter systemen infecteert is nog onbekend. Symantec meldt dat de apparaten die het doelwit zijn bekende kwetsbaarheden bevatten of van standaard inloggegevens gebruikmaken. Gisteren liet Cisco al weten dat een deel van de malware via een reboot is te verwijderen. Het terugzetten van de fabrieksinstellingen verwijdert de malware helemaal. VPNFilter kan de volgende systemen besmetten.

• Linksys E1200
• Linksys E2500
• Linksys WRVS4400N
• Mikrotik RouterOS voor Cloud Core Routers: Versies 1016, 1036 en 1072
• Netgear DGN2200
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• QNAP TS251
• QNAP TS439 Pro
• Andere QNAP NAS-apparaten die QTS-software draaien
• TP-Link R600VPN