Computerkapende routermalware al 1,5 jaar actief (met staatssteun)

Infecties zijn aangetroffen in Europa en Noord-Amerika. Het lijkt erop dat deze geavanceerde malware is ontwikkeld door of voor, en ingezet door, een statelijke aanvaller. Deze conclusie trekken de ontdekkers, in dienst van securityleverancier Lumen Technologies, op basis van eigenschappen van deze routermalware. De code bevat verschillende aanwijzingen voor een Chinese herkomst.

MitM-aanvallen

De zogeheten ZuoRAT malware (waarbij RAT staat voor remote-access-tool) is als een Zwitsers zakmes. Om te beginnen is de initiële routermalware speciaal geschreven voor MIPS-chips, die veelal dienst doen in deze soort netwerkapparatuur. Verder kan de kwaadaardige software als hij eenmaal is binnengekomen een inventaris maken van aangesloten systemen. Zo wordt dus het interne netwerk verkend, inclusief eventuele andere routers, maar ook aangesloten pc's en smartphones. Deze eigenschappen zijn relatief zeldzaam, stellen de ontdekkers in hun analyse.

Het netwerkverkeer dat via een gecompromitteerde router loopt, kan door de malware worden onderschept en gemanipuleerd. Deze zogeheten man-in-the-middle aanval (MitM) kan op http- maar ook op DNS-niveau worden uitgevoerd. Vervolgens kan de routermalware dan malware voor de aangesloten computers 'bezorgen' bij die systemen. Voor Windows-pc's is dat dan geschreven in C++ en voor Macs en Linux-systemen is er in de taal Go maatwerk gemaakt die dan valt te compileren voor het betreffende besturingssysteem.

Mutliplatform meertrapsraket

Naast deze twee stuks malware, waarmee drie computerplatformen worden bestreken, kan ZuoRAT ook de bekende en veelgebruikte hacktool Cobalt Strike inzetten. Daarna kunnen gecompromitteerde computers binnen organisaties worden ingezet door de aanvallers om bestanden te downloaden (meer malware, andere tools, eventuele compromitterende data) of juist bestanden te uploaden (datadiefstal). De ontdekkers hebben al zeker 80 slachtoffers gevonden.