Google TAG verstoort werking Glupteba Botnet
De Threat Analysis Group van Google kondigde deze week de succesvolle verstoring van het beruchte Glupteba-botnet aan. Het botnet installeerde op beruchte wijze cryptomining-malware op systemen van slachtoffers en had zich naar verluidt verspreid naar ongeveer 1 miljoen geïnfecteerde hosts, waaronder zowel Internet of Things-apparaten als Windows-computers.
Volgens het TAG-rapport van Google zal de verstoring aanzienlijke problemen veroorzaken en zullen de operators van Glupteba geen toegang krijgen tot kritieke commando- en controle-infrastructuur, waardoor het botnet feitelijk buiten hun bereik komt. Het Google-beveiligingsonderzoeksteam verklaarde echter ook dat de verwachting is dat de Glupteba-operators ook een manier hebben om secundaire C2-infrastructuur te herstellen en toevlucht te nemen door gegevens te gebruiken die in de Bitcoin-blockchain worden bewaard.
Wat is Glupteba?
Het was bekend dat Glupteba verschillende aanvalsvectoren gebruikte om doelsystemen te infecteren. Die aanvalsmethoden varieerden van het gebruik van kwaadaardige documenten tot het verbergen in "cracks" voor illegale software en applicaties. De Glupteba-malware was ook in staat om stilletjes cryptocurrency op het systeem van het slachtoffer te delven via de speciale module, en ook inloggegevens en bestanden van de schijven van het slachtoffer te exfiltreren, waardoor het een formidabele kwaadaardige toolkit werd.
De ontdekking van een enkele git-repository-URL in de code van een Glupteba-binary die reverse-engineered en onderzocht werd, zette onderzoekers op het spoor dat leidde tot de uiteindelijke verstoring van het botnet.
Botnet-verwijdering in een enorme vlucht
Eenmaal getipt door de URL, slaagde het onderzoeksteam erin om uiteindelijk een reeks online services van de operators van Glupteba af te sluiten. De diensten in kwestie werden gebruikt om gestolen inloggegevens en gestolen creditcardgegevens te verkopen. De gekaapte betaalmethoden werden ook voor kwaadaardige doeleinden gebruikt, waarbij kwaadwillenden illegaal betaalden voor kwaadaardige advertentiecampagnes of frauduleuze betalingen deden op Google Ads. Tijdens het onderzoek om de C2-infrastructuur van het botnet uit te schakelen, werkte het team van Google samen met CloudFlare om servers uit te schakelen en waarschuwingsberichten te plaatsen die worden geladen voordat een systeem toegang kan krijgen tot een kwaadaardig domein. Daarnaast werden bijna 900 Google Ads-accounts afgesloten, evenals meer dan 900 cloudprojecten en meer dan 1300 Google-accounts.
