Onderzoekers 'sinkholen' usb-botnet, zien 2,5 miljoen unieke ip-adressen
Onderzoekers hebben een server gebruikt door een bekende 'usb-worm' weten te 'sinkholen', waarna ze 2,5 miljoen unieke ip-adressen verbinding zagen maken. De PlugX-malware bestaat al vele jaren en wordt onder andere ingezet voor datadiefstal en spionage. Eén van de varianten verspreidt zich via usb-sticks, infecteert vanaf het besmette systeem nieuw aangesloten usb-sticks en verzamelt allerlei bestanden van het systeem.
Met deze variant besmette machines maken geregeld verbinding met een command & control-server, bijvoorbeeld voor het downloaden van nieuwe malware. Al deze machines blijken verbinding met één specifiek ip-adres te maken. Onderzoekers van securitybedrijf Sekoia wisten vorig jaar september dit ip-adres in handen te krijgen. Op deze manier wisten ze het botnet te 'sinkholen'. Hierbij wordt verkeer afkomstig van een besmette machine doorgestuurd naar een server van bijvoorbeeld een securitybedrijf, autoriteit of provider, om zo verdere schade te voorkomen en besmette machines te identificeren.
De afgelopen zes maanden zagen de onderzoekers elke dag 90.000 tot 100.000 unieke ip-adressen requests naar het command & control ip-adres versturen die specifiek zijn voor met PlugX besmette machines. Over een periode van zes maanden gaat het om 2,5 miljoen unieke ip-adressen, waarbij er nog steeds nieuwe infecties plaatsvinden. De onderzoekers merken op dat het totaal aantal besmette machines onbekend is.
Veel besmette machines kunnen namelijk een zelfde ip-adres hebben. Daarnaast zijn er veel internetgebruikers met een dynamisch ip-adres, waardoor een besmette machine gedurende een bepaalde periode meerdere ip-adressen kan hebben. De onderzoekers zagen wel dat vijftien landen bij elkaar voor meer dan tachtig procent van de infecties verantwoordelijk zijn. Het gaat vooral om Nigeria, India, China, Iran en Indonesië.
Dit is juist wel een oplossing. De verbinding blokkeren tussen het slachtoffer en de C2 server betekent dat de aanvaller geen controle meer heeft. Het is dan enkel een infectie, maar bijvoorbeeld data exfiltratie wordt hierdoor bemoeilijkt.
Zou inderdaad mooi zijn wanneer de auteur in het artikel ook kort had opgenomen dat sekoia samenwerkt met landelijke CERTs om een delete commando te kunnen sturen. Aangezien de malware op een USB stick overleeft heeft alleen het sturen van een delete commando geen zin, de volgende keer dat de usb stick wordt ingestoken zal de worm opnieuw actief worden. Sekoia zou dus een eigen worm moeten maken die in de betroffen computers actief blijft die elke usb stick des-infecteerd. De uitdaging ligt dus eigenlijk bij de antivirussoftware makers.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.