Criminelen verstoppen malware in webproxy

Voor 40 dollar per maand – volgens Symantec een onwaarschijnlijk laag bedrag voor een bonafide proxyservice – kregen klanten van Proxybox toegang tot duizenden proxyservers verspreid over de wereld. Om de proxydienst te kunnen gebruiken, moesten klanten “functionele, simpele en makkelijke” software downloaden en installeren. In werkelijkheid haalden nietsvermoedende klanten daarmee een ‘paard van Troje’ in huis. Hun pc wordt opgenomen in een botnet. De makers boden andere cybercriminelen tegen betaling toegang tot dit botnet.

Groepering leverde ook andere 'diensten' zoals VPN en antivirus

Het cluster van Russische websites in kwestie leverde niet alleen een proxyservice maar ook VPN-diensten (vpnlab.ru), een online-virusscanner (avcheck.ru) en proxytests (whoer.net). De 4 sites waren onderling verbonden, onder meer door advertenties voor elkaars diensten te plaatsen. De betaling verliep via financiële diensten met namen als Liberty Reserve, RoboKassa en WebMoney.

Symantec Security Response heeft de afgelopen 3 maanden onderzoek gedaan naar de Russische aanvallers, die hun Backdoor.Proxybox-malware onder honderdduizenden internetgebruikers per jaar hebben verspreid. De informatie die tijdens het onderzoek is verzameld, geeft inzicht in de omvang van de operatie en kan mogelijk leiden tot identificatie van het meesterbrein achter de malware. Het spoor van betalingen leidt volgens Symantec naar iemand met een Oekraïnse naam die in Rusland woont.

Aanval was opgebouwd uit 3 onderdelen

De onderzoekers maakten gebruik van ‘reverse engineering’ om de malware te ontleden. De aanval bleek te bestaan uit een drietrapsraket. Het 1e onderdeel, Dropper, deponeert een 2e onderdeel als uitvoerbaar bestand (de ‘payload’) op de pc van het slachtoffer. Op zijn beurt installeert deze payload als 3e component een rootkit. De payload heeft de vorm van een DLL-bestand dat tegelijk met Windows wordt opgestart. De rootkit gebruikt volgens Symantec een nieuwe methode om aan scanning door beveiligingssoftware te ontkomen.