Anti-Georgia Spammers bouwen nieuw botnet

Hackers gericht op Georgië in te midden van het conflict met Rusland is begonnen met het sturen van een nieuwe batch kwaadaardige spamberichten, kennelijk met als doel een nieuw botnet-netwerk van op afstand bestuurde computers te bouwen.

De slecht geformuleerde berichten gingen op vrijdagochtend vroeg uit, en maken nu bijna vijf procent uit van het spamverkeer gemeten door de University of Alabama in de Spam Data Mine in Birmingham, volgens Gary Warner, directeur van computeronderzoek en forensisch onderzoek aan de universiteit. Dat is ongeveer een derde van het volume van de CNN- en MSNBC-gerelateerde spam die deze week in de inboxen terechtkwam, maar het is nog steeds aanzienlijk, zei hij.

Met koppen als "Mikheil Saakashvili homoseksueel schandaal! Nieuw van deze week!" de verhalen proberen slachtoffers te misleiden om te klikken op een nep BBC-verhaal over de president van Georgië. Wanneer het slachtoffer op de koppeling klikt, wordt hij echter naar een kwaadwillende webserver gebracht die vervolgens zijn computer probeert te infecteren.

Het is verontrustend dat de aanvalscode die door deze webserver wordt gebruikt, niet wordt geblokkeerd door de meeste antivirusproducten, zei Warner. Tijdens tests ontdekte zijn team dat slechts vier van de 36 antivirusproducten die voorkomen in de malwaretestservice van Virus Total de code hebben gespot.

Tot nu toe heeft Warner's team de berichten gevolgd naar 44 spam-verzendende computers, waarvan geen enkele is eerder geassocieerd met ongewenste e-mail. Interessant is dat zes van deze computers zich in Rusland bevinden, wat zelden een directe bron van spam is en een daarvan ligt bij het Russische ministerie van Onderwijs.

Hoewel de spammers een botnet lijken te maken, is het ultieme gebruik van dit netwerk blijft onduidelijk. Warner speculeerde dat het zou kunnen worden gebruikt om verdere cyberaanvallen tegen Georgische overheidscomputers te lanceren.

Symantec heeft de schadelijke software als een variant van het Trojan.Blusod-programma geïdentificeerd, zegt Kevin Haley, directeur productbeheer bij Symantec Security Response. In het verleden hebben spammers dit programma gebruikt om nep-antivirussoftware op de computers van het slachtoffer te installeren, die vervolgens ten onrechte problemen en aanbiedingen identificeert om ze op te ruimen.

Warner betwistte de analyse van Symantec en merkte op dat Symantec zelf dat niet was het detecteren van het Trojan-programma, volgens Virus Total. "Dit is nieuwe malware," zei hij.

De vraag of Georgië en Rusland zich bezighouden met door de staat gesponsorde cyber-oorlogvoering is een kwestie van enig debat, na de uitbarsting van de vijandelijkheden tussen de twee landen op 7 augustus. Op maandag heeft Georgië de website van het ministerie van Buitenlandse Zaken verplaatst naar de Blogspot van Google. Hij beweerde dat een Russische cyberaanval de server offline had geklapt. Volgens beveiligingsdeskundigen zijn de recente Georgische cyberaanvallen intenser dan die van een jaar geleden tegen Estland gelanceerd, is er geen bewijs dat een van de gebeurtenissen feitelijk door de overheid gesteunde cyberoorlog was. Sommige mensen hebben die gebeurtenissen vergeleken met een 'cyberbrawl', waarbij nationalistische Russische hackers spontane computeraanvallen tegen naburige landen lanceerden. Estland.

"Ik denk dat het bijna precies is wat we in Estland hebben gezien," zei Warner over de recente gebeurtenissen in Georgië. "Ik betwijfel echt of dit een actie van de Russische regering is."