Malware achter neergehaald botnet verspreidde ransomware, spambots en spyware

Een door Europol en de FBI neergehaald botnet, genaamd Andromeda, verspreidde volgens Microsoft verschillende soorten malware, waaronder ransomware en spyware. Vooral computers in Aziatische landen zijn getroffen door de malware achter het botnet.

Microsoft schrijft in een analyse dat de malware achter het Andromeda-botnet ook wel Gamarue wordt genoemd. Deze infecteerde computers, waardoor ze onderdeel werden van het botnet. Dat was volgens het bedrijf verantwoordelijk voor de verspreiding van allerlei andere soorten malware, waaronder de ransomwarevarianten Petya en Cerber. Daarnaast verspreidde het spambots, ddos-malware en kwaadaardige software om informatie te stelen. In totaal ging het om 80 malwarevarianten. Microsoft schrijft meer dan 1200 ip-adressen toe aan de command-and-control-infrastructuur van Andromeda.

In de afgelopen maanden detecteerde Microsoft de Gamarue-malware op gemiddeld 1 miljoen systemen per maand, naar eigen zeggen voornamelijk in Aziatische landen. Een door het bedrijf gepubliceerde kaart toont ook veel activiteit in Europa. Gamarue zou op hackerforums verkocht worden als bot, een programma dat aanvallers een geïnfecteerde computer laat overnemen. Het is modulaire malware, waardoor het mogelijk is om verschillende componenten te kiezen. Bijvoorbeeld een keylogger, rootkit, een tool om websiteformulieren te onderscheppen en een remote-desktoptool.

Europol meldde maandag dat het samen met onder meer de FBI en verschillende bedrijven het Andromeda-botnet uit de lucht heeft gehaald. Daarbij werden 1500 domeinen naar een server onder controle van de opsporingsdiensten omgeleid door middel van sinkholing. Op die manier wist Microsoft binnen 48 uur 2 miljoen unieke ip-adressen van Andromeda-slachtoffers vast te leggen. Bij het neerhalen bouwden de opsporingsdiensten voort op een soortgelijke actie bij het Avalanche-botnet een jaar geleden. Bij de huidige actie is een verdachte aangehouden in Wit-Rusland.

Gamarue-infectieprocessen volgens Microsoft