Organisaties wereldwijd brengen botnet voor Cryptolocker-ransomware slag toe

Europols European Cybercrime Centre, de FBI en onder andere de Nederlandse politie hebben bij een gezamenlijke actie het Gameover Zeus-botnet verstoord. Het botnet speelde een cruciale rol bij de verspreiding van de ransomware Cryptolocker.

De gezamenlijke organisaties hebben vrijdag 30 mei servers in beslag genomen, een 30-jarige Rus als leider van de criminele organisatie achter het botnet geïdentificeerd en het Gameover Zeus-botnet 'verstoord', meldt Europol. Dat betekent meestal dat de controle over het botnet is overgenomen, maar vaak weten de criminelen delen van het botnet weer in handen te krijgen door malware op afstand bij te werken, waardoor de opsporingsdiensten voorzichtig zijn met claims dat botnets definitief onschadelijk gemaakt zijn.

Bij Gameover Zeus was een extra moeilijkheid dat het beheer niet via een centrale command&control-server verliep, maar via een infrastructuur die gebruikmaakte van een p2p-netwerk van besmette systemen. Ook werd veelvuldig van encryptie gebruikgemaakt bij de p2p-communicatie en -distributie.

De Amerikaanse Justitie spreekt van het meest geavanceerde botnet dat de organisatie en haar partners tot nu toe hebben weten te verstoren. Bij de actie zijn organisaties uit meer dan tien landen betrokken geweest en namens Nederland hebben de High Tech Crime Unit en naar verluidt onderzoekers van de VU Amsterdam meegewerkt. Ook onderzoekers van de bedrijven Trend Micro, Dell, Symantec en McAfee hebben bijgedragen.

De schattingen over het aantal besmettingen van Windows-systemen met de Gameover Zeus-trojan lopen uiteen van 500.000 tot een miljoen. De bots werden gebruikt voor het verzenden van spam, ddos-aanvallen en de verspreiding van Cryptolocker-ransomware. Daarnaast speurde het trojaanse paard de systemen af op bankgegevens, die gebruikt werden om geld door te sluizen naar rekeningen die in handen waren van de criminelen.

Voor zover bekend zijn er geen arrestaties verricht. Wel is de 30-jarige Rus in de VS aangeklaagd en is hij toegevoegd aan de Cyber's Most Wanted-lijst van de FBI. Het Computer Emergency Readiness Team van de VS heeft een pagina online gezet met informatie over het verwijderen van de malware.

Reacties (23)

[Mimiix]

Maar in hoeverre Is het dus beschadigd? Want verstoord is niet een begrip waar je nou veel waarde aan kan hechten...

[Furinax]

Justice Department Assistant Attorney General Leslie Caldwell stated:

Over the weekend, more than 300,000 victim computers have been freed from the botnet – and we expect that number to increase as computers are powered on and connected to the internet this week. We have already begun providing victim information to private sector parties who are poised to assist them. I am also pleased to report that, by Saturday, Cryptolocker was no longer functioning and its infrastructure had been effectively dismantled. Through these court-authorized operations, we have started to repair the damage the cyber criminals have caused over the past few years, we are helping victims regain control of their own computers, and we are protecting future potential victims from attack.

Het botnet is (voor een gedeelte) overgenomen tijdens de actie. Wat het op lange termijn doet is maar de vraag omdat geen van de beheerders is opgepakt.

The FBI announced “the unsealing of criminal charges in Pittsburgh and Omaha against alleged botnet administrator Evgeniy Mikhailovich Bogachev of Anapa, Russian Federation.” The FBI added Bogachev to its Cyber’s Most Wanted list.

Bron: http://blogs.computerworl...ware-gameover-zeus-botnet

[Reactie gewijzigd door Furinax op 22 juli 2024 21:03]

[Verwijderd]

Juist omdat dit via P2P loopt is dit niet te voorspellen.
Bij een centrale server staat alle data op een plek.
Bij deze botnet wordt het gedeeld met alle geïnfecteerde computers.

[r2504]

De geinfecteerde PCs spreken niet rechtstreeks met elkaar... je hebt dus altijd een centraal communicatie kanaal nodig wat je kan proberen over te nemen en daarmee de geinfecteerde PC's bv. een slechte config kan bezorgen zodat ze geen nieuwe commando's meer kunnen ontvangen.

[Verwijderd]

Maar in hoeverre Is het dus beschadigd? Want verstoord is niet een begrip waar je nou veel waarde aan kan hechten...

Daarom voegt Tweakers dus links toe aan het nieuws, kan je het zelf even lezen.

[Verwijderd]

Als er 500.000 tot 1 miljoen besmette computers zijn, is er dan niet iets structureel mis met Windows ?
Geen flame, maar constatering.

[Verwijderd]

Eerder met Windows gebruikers denk ik. Windows zelf kan je in deze vrij weinig verwijten. De meeste malware wordt volgens mij tegenwoordig verspreid als keygen, warez, enz. De gebruiker kiest er 99% van de tijd voor om er zelf op dubbel te klikken en vaak ook nog zelf de UAC melding weg te klikken. Er zijn er zelfs die er de walwarescanner voor uit zetten.

[BlackMage]

Precies dit. Pokemon_Ruby_GBA_USA.zip.exe bijv. En met een icoontje dat precies op de gezipte folder van Windows lijkt.

Je wil niet weten hoeveel mensen op torrent sites, nieuwsgroepen en zelfs gewoon google zulke troep downloaden.

Opzich wel gerechtigheid

[Verwijderd]

Het blijft me ergens verbijsteren. Een executable van een paar honderd kb, met de naam van een bluray film of 3d shooter. Zijn er werkelijk mensen die denken dat compressie tegenwoordig zo goed is?

Zo worden beestjes als Zues en Cryptolocker kennelijk toch verspreid.

[HMC]

Ik denk dat velen (dat kunnen wij ons misschien niet voorstellen, maar te veel voorbeelden hier) niet eens naar bestandsgrootte kijken.
Die hebben echt zoiets van: "Hmm, wow, nu al binnen? Dat is snel...I love Internet. Klikkerdeklik."

En bestandsextensies staan heel vaak niet aan. Dus je ziet de .exe niet op menig computer.

[Reactie gewijzigd door HMC op 22 juli 2024 21:03]

[Yggdrasil]

Gerechtigheid? Zij ondervinden er zelf waarschijnlijk nauwelijks last van en de rest van de wereld draait voor de kosten op.

[s0larus]

Het hoeft niet structureel mis te zijn met Windows maar met de gebruiker die de willekeurig exe opent . Mijn PC was ook besmet met een worm omdat ik die binnen liet.

[BenGenaaid]

Als een PC de bestandsextensies van bekende bestanden verbergt (standaard aan) dan weet je niet dat je op een exe klikt

Als Microsoft dit nou standaard uit zou zetten, is het veel eerder (zelfs door een leek) te zien dat er iets niet in de haak is.

[Sissors]

Je PC zal nooit een gedownloade exe uitvoeren zonder waarschuwing. Als iemand die waarschuwing negeert, zal die dan wel serieus erop letten dat het geen .exe is? Ik geloof het niet.

[BenGenaaid]

Dat hangt er dus vanaf, als jij een bestand download maar niet meteen opent, en daarna vanuit de download folder op het bestand dubbel klikt, ....ik zie geen waarschuwing hoor, en heb niet mjn ogen stiekem dicht

[Fireshade]

Nee, meer met de gebruiker.
Standaard is het op een OS met admin-rechten en zonder antivirus namelijk niet al te moeilijk een virus of trojaans paard expres te installeren. Gewoon "op OK klikken"...

[Reactie gewijzigd door Fireshade op 22 juli 2024 21:03]

[chopper88]

Nee er is structureel iets mis bij hoe deze personen omgaan met hun installatie van Windows en de beveiliging hiervan.

[kaluro2]

Nee. Het enige probleem zou zijn dat windows niet 100% monkey proof is.
Maar niks is 100% monkeyproof.
De malware is op de computers komen te staan doordat gebruikers geen virusscanner gebruiken en het leuk vinden om de meest vreemde websites te bezoeken en om blij alles te openen, niet omdat windows structureel verkeerd is.

Anders zouden er 100en miljoenen computers besmet zijn geraakt.

[BenGenaaid]

Maar niks is 100% monkeyproof.

Jawel hoor, mijn Casio Fx-100A

[batjes]

1miljoen is vette peanuts als je er van uigaat dat er meer dan 1.2miljard Windows systemen in rondloop zijn.

[MineTurtle]

Er moet eerst een virus zijn voordat er een medicijn gemaakt kan worden, geld voor bijna alle virussen... Vaak is het toch te gebruiker die er achter zit en net dat ene gratis programmatje download, een bijlage opent of op een advertentie klikt...

[Verwijderd]

ik vraag me af hoeveel pc er besmet zijn, nadat Brein ftd heeft opgerold? Dat zijn er volgens mij aardig wat?

[Verwijderd]

Mocht het jullie interesseren heeft Sophos ook een gratis virus removal tool beschikbaar die de Cryptolocker malware opspoort en verwijdert en ook infecties van Gameover voorkomt, mocht het botnet weer actief worden (wat slechts een kwestie van tijd is).