De politie heeft een 20-jarige man uit Utrecht aangehouden op verdenking van het verkopen van malware. De man verkocht onder andere de Rubella-tool, waarmee virussen kunnen worden verstopt in macro's in Office-documenten.
De verdachte werd aangehouden door het Team High Tech Crime van Landelijke Eenheid, meldt het Openbaar Ministerie. De man wordt verdacht van het op grote schaal maken en verkopen van kwaadaardige software. Er zijn ook tientallen creditcards in beslag genomen en de politie vond handleidingen over carding, een vorm van fraude waarbij creditcards kunnen worden gekopieerd. De man had volgens het OM ook inloggegevens voor accounts van duizenden websites in bezit, al was niet duidelijk wat hij daarmee van plan was. De politie heeft verder voor 20.000 euro aan cryptovaluta in beslag genomen. "Daarom wordt hij ook verdacht van het witwassen van onterecht verkregen geld", zegt een woordvoerder van het OM.
De verdachte verkocht op darkwebfora onder andere de Rubella-exploitkit. Die werd vorig jaar voor het eerst ontdekt door onderzoekers van Flashpoint. Rubella is een toolkit die het mogelijk maakt malware te verstoppen in macro's van Office-documenten, zoals Word- of Excel-bestanden. Die methode wordt vaak gebruikt in phishingcampagnes. Zodra een slachtoffer klikt op het inschakelen van macro's wordt er code uitgevoerd en wordt er bijvoorbeeld een keylogger geïnstalleerd of ransomware uitgevoerd. Naast Rubella verkocht de verdachte ook andere toolkits zoals Cetan en Dryad.
De politie wist de verdachte te arresteren na tips van onder andere beveiligingsbedrijf McAfee. "We deden onderzoek naar deze vorm van cybercrime en merkten op dat de verkoper screenshots plaatste met een Nederlandse versie van Word. Daarop zijn we verder onderzoek gaan doen", vertelt John Fokker, Head of Cyber Investigations bij McAfee, aan Tweakers. "We kwamen met de verkoper in contact via Jabber. Daar vertelde hij dat hij ook andere macropakketten verkocht zoals het minder bekende Dryad. Er waren ook zoveel overeenkomsten tussen die codes dat het vrijwel zeker was dat hij die gemaakt had."
Fokker zegt dat het via de gebruikersnaam en andere achtergelaten sporen mogelijk was om de activiteitengeschiedenis van de verkoper op het forum in beeld te brengen. Fokker: "Daaruit zagen we ook dat er gehandeld werd in creditcards en giftcards, en dat er vragen werden gesteld over witwassen. Dat ging tot jaren terug en volgde het klassieke patroon van een jonge ambitieuze cybercrimineel."