De Nederlandse politie heeft tijdens een internationale operatie servers van het SocGholish-botnet offline gehaald en domeinnamen overgenomen. Bij het opschonen van WordPress-sites die door het botnet waren geïnfecteerd is in Nederland de hackbevoegdheid ingezet. Dat heeft de politie vandaag zelf bekendgemaakt. Het SocGholish-botnet voorziet gehackte WordPress-sites van malafide code om zo bezoekers van deze websites te infecteren.

Bezoekers van een gehackte WordPress-site krijgen een melding te zien dat ze hun browser moeten updaten. Het aangeboden bestand is echter malware. Wanneer bezoekers dit bestand installeren krijgen de aanvallers toegang tot het systeem en kunnen verdere malafide acties uitvoeren. Tijdens het onderzoek naar het SocGholish-botnet ontdekte de politie dat inloggegevens van 1,4 miljoen WordPress-sites zijn gelekt. "Dat betekent dat deze websites vatbaar zijn om met malware besmet te worden", aldus de politie in de aankondiging over de operatie.

De afgelopen dagen hebben de Nederlandse, Canadese, Duitse en Amerikaanse autoriteiten in samenwerking met Europol en Eurojust meer dan honderd servers en domeinen van het botnet offline gehaald en in beslag genomen. Tevens zijn zo'n 15.000 gehackte WordPress-sites opgeschoond. Bij het opschonen van de gehackte websites heeft de politie in Nederland de hackbevoegdheid ingezet.

De politie heeft backdoors die aan de WordPress-sites waren toegevoegd alsmede de geplaatste malafide code verwijderd. Eigenaren van de betreffende gehackte WordPress-sites zijn door de politie hierover ingelicht en hebben het verzoek gekregen om hun website beter te beveiligen. Zo zijn beheerders opgeroepen hun inloggegevens te wijzigen, multifactorauthenticatie (MFA) in te schakelen, vreemde WordPress-accounts te verwijderen en de website up-to-date te houden.

Volgens de politie is SocGholish al sinds 2017 een constante dreiging die wordt gebruikt om malware te installeren bij internetgebruikers. "Waaronder verschillende soorten ransomware die zijn gebruikt om vitale infrastructuren aan te vallen. Daarmee zijn al vele slachtoffers gemaakt." SocGholist zou gelieerd zijn aan een groep criminelen genaamd EvilCorp. "Deze groep is in het verleden verantwoordelijk geweest voor Zeus en Dridex malware en worden daarnaast in verband gebracht met verschillende grootschalige ransomware en witwasoperaties", zo laat de politie verder weten.