Nederland haalt 2 servers botnet Grum uit de lucht

Dat meldt Grum-watcher Atif Mushtaq, van beveiliger FireEye. Hij klaagde vorige week nog dat de Nederlandse overheid, evenals die in Panama en Rusland zeer laks is in het verwijderen van servers waarop botnets draaien. Daarom zou Nederland een populaire plaats zijn voor het plaatsen van dergelijke servers.

Redactie AG ConnectMeer van deze auteur

Grum is 3e botnet

Grum is in omvang het derde botnet wereldwijd. Het is volgens Mushtaq al zeker sinds 2008 actief, maar wist onder de radar te blijven. Grum is verantwoordelijk voor 17,4 procent van al het spamverkeer, volgens statistieken van M86Security. Het botnet was overigens begin dit jaar nog het grootste, met een ‘marktaandeel’ in spam van ruim 33 procent. Momenteel is Cutwail het grootste botnet qua spamproductie.
De 2 Nederlandse CnC-servers verwezen naar de IP-addressen 94.102.51.226 en 94.102.51.227.

De CnC-servers die nu uit de lucht zijn gehaald, waren verantwoordelijk voor het doorgeven van spaminstructies aan de zombies, de besmette systemen. Dat betekent dat de zombies geen instructies meer kunnen krijgen omdat ze de servers niet meer kunnen vinden. “Ik weet zeker dat dit een significante invloed heeft op het wereldwijde spamvolume”, stelt Mushtaq.

Nog niet verslagen

Met de Nederlandse actie is Grum een gevoelige slag toegebracht, maar geheel vernietigd is het botnet niet. De servers in Nederland waren zogeheten secundaire CnC-servers . De ‘master CnC-servers’ staan nog in Panama en Rusland en die zijn nog volledig actief. Zij zorgen voor de configuratiefiles en de initiële registraties.

Mushtaq heeft nog geen reacties gevonden van de botherders. Die zouden het botnet alsnog kunnen repareren met bijvoorbeeld een paar nieuwe CnC-servers.