FBI schakelt Snake-malware op afstand op systemen van slachtoffers uit

[Captain Kirk]

De FBI heeft met toestemming van een Amerikaanse rechter de beruchte Snake-malware via een commando op afstand op de besmette systemen van slachtoffers uitgeschakeld. De Snake-malware is volgens de Amerikaanse opsporingsdienst al twee decennia lang door de Russische inlichtingendienst voor spionage en het stelen van vertrouwelijke documenten in meer dan vijftig landen ingezet.

De Amerikaanse autoriteiten noemen Snake zelfs de meest geraffineerde spionagemalware van de Russische inlichtingendienst FSB. Eenmaal actief op een systeem probeert Snake zo min mogelijk op te vallen, terwijl het de operators in staat stelt om naar allerlei gevoelige informatie te zoeken. De communicatie van en naar besmette systemen is versleuteld.

De FSB gebruikte echter te korte encryptiesleutels voor de versleutelde communicatie, waardoor de FBI die kon kraken en lezen. Daarnaast bleek dat de operators bij hun aanvallen de Snake binary achterlieten. Daardoor konden onderzoekers allerlei functienamen, cleartext strings en opmerkingen van ontwikkelaars vinden. Zo bleek dat de Snake-operators verschillende commando's gebruikten waarmee ze de Snake-malware allerlei opdrachten gaven, onder andere om de malware te stoppen.

FBI ontwikkelde vervolgens een tool om met de malware te communiceren waardoor het een commando naar met Snake besmette systemen kon sturen waardoor de malware de eigen onderdelen overschreef en zo werd uitgeschakeld. Dit gebeurde alleen op systemen die in Verenigde Staten werden gelokaliseerd en waarvoor de opsporingsdienst een gerechtelijk bevel kreeg. Als onderdeel van het bevel moest de FBI slachtoffers na de operatie informeren.

Slachtoffers zijn daarmee niet klaar, aldus de Amerikaanse autoriteiten. De Snake-malware mag dan zijn verwijderd, dat geldt niet voor andere malware die via Snake op systemen is geïnstalleerd. En ook eventuele kwetsbaarheden waarmee de malware is geïnstalleerd zijn nog steeds aanwezig. Daarnaast werd er via de Snake-malware vaak een keylogger geïnstalleerd om inloggegevens te stelen. Slachtoffers moeten dan ook hun wachtwoorden wijzigen. De autoriteiten hebben een uitgebreid document gepubliceerd met details over de werking van de Snake-malware en hoe die is te vinden, verwijderen en voorkomen.

 

bron: https://www.security.nl