Gaat achter aangesloten netwerken, de achilleshiel van malware

Op de RSA-conferentie werd er veel gesproken over aangesloten netwerken - dat wil zeggen de mensen en bedrijven die bewust of onbewust malware verspreiden, botnets bouwen en snode activiteiten mogelijk en winstgevend maken voor de personen die deze inspanningen verrichten. Hoewel deze partners hebben bijgedragen aan het gevaarlijker maken van malware, kunnen ze ook de sleutel zijn tot het afsluiten van de slechteriken.

Veel mensen gaan er waarschijnlijk van uit dat ne'er-do-wells achter malwarebewerkingen als enige verantwoordelijk zijn voor het maken en verspreiden ervan aan slachtoffers. Dit is echter niet het geval. Via een pagina van organisaties zoals Amway, maken malware-makers daadwerkelijk gebruik van individuen om deze voor hen te verspreiden, hetzij door phishing, malvertising of andere vectoren. Partners kunnen ook freelance vertalers zijn of creditcardverwerkende bedrijven die onbewust helpen bij cybercriminaliteit.

Wat de gelieerde ondernemingen doen

Gelieerde netwerken kunnen vele vormen aannemen en blijkbaar hun oorsprong vinden in "nep AV" vanaf rond 2008. Sophos 'Senior Security Adviseur Chester Wisniewski legde uit hoe met nep AV-makers de hulp van legitieme aannemers en bedrijven inriep om hun gevaarlijke product te helpen produceren. "Het moest er professioneel uitzien, " zei hij, verwijzend naar het grafische ontwerp van nep-AV-producten. "En het moest op dezelfde manier worden gekocht als waarop u echte AV koopt."

In het affiliate netwerkspel kan het geld behoorlijk goed zijn. Volgens Fortinet's beveiligingsstrateeg Richard Henderson, wiens bedrijf kijkt naar botnets en cybercriminaliteit, verdienden sommige filialen $ 0, 10 per infectie. Naar verluidt is dat cijfer gestegen naar $ 0, 50 per infectie. Hij haalde de recente Citadel-aanval van NBC.com aan, waarbij een advertentie malware op de computers van de gebruiker laadde. Hij schatte dat met een conservatieve 75.000-100.000 infecties, voor een aangeslotene, "dat $ 50.000 genereert voor een paar uur werk."

Onder verwijzing naar recente ransomware-aanvallen, die slachtoffers misleiden om aanvallers te betalen nadat ze de controle over hun computers hebben overgenomen, zei Wisniewski dat Sophos vermoedt dat malwaremakers zover gaan dat ze professionele vertalers in dienst nemen om hun aanvallen beter te lokaliseren. In tegenstelling tot veel phishing-e-mails zei hij dat deze aanvallen bijna perfecte grammatica hadden in de moedertaal van het doelwit.

Naast het verspreiden van malware, maken affiliates het ook moeilijker om te stoppen. Ten eerste voegen partners een laag toe tussen de makers van malware en botnets, en degenen die proberen ze te stoppen. Ten tweede maakt het malware-aanvallen minder generiek. "Omdat ze het werk uitbuiten, zijn er verschillende soorten social engineering, een andere aanval", legt Henderson uit. Dus in plaats van dat botnet bouwen van malware met hetzelfde phishingbericht wordt verzonden, kunnen verschillende partners proberen te rijden door downloads, malvertising of een andere vector.

Terug vechten

Hoewel gelieerde bedrijven het beveiligingsbedrijf veel, veel moeilijker maken, bieden ze ook een middel om aanvallers af te sluiten. Omdat veel filialen worden betaald voor hun werk, kan de politie ervoor zorgen dat dat oneconomisch wordt. Bijna elke beveiligingsexpert die ik bij RSA heb gesproken, was het erover eens dat het afsnijden van het geld schadelijke activiteiten aanzienlijk kon beperken.

Sophos 'Wisniewski vertelde hoe, in het geval van Fake AV, creditcardbedrijven werden overgehaald om de verwerking van betalingen te stoppen en zo de makers van de malware van de geldhoeveelheid afsperden. "Een tijdlang was VISA de enige, " zei hij. "Net als de Olympische Spelen", verwijzend naar hoe VISA de enige kaart was die bij de internationale spellen werd geaccepteerd.

Natuurlijk, inspanningen om van affiliate netwerken een oneconomische route te maken, vereist samenwerking tussen beveiligingsbedrijven, wetshandhavers en soms zelfs de affiliates zelf. Gelukkig hebben veel van de leveranciers en experts die ik bij RSA heb gesproken, gezegd dat het delen van informatie nog nooit zo goed is geweest.

Blijf op de hoogte van meer van onze berichten van RSA!