678.000 Windows pc's besmet met P2P-bankrover

Een Trojaans paard dat gebruikt wordt om geld van bankrekeningen te stelen heeft 678.000 Windows pc's geïnfecteerd, waardoor het de grootste "banking Trojan" op internet is. Het gaat om Gameover, een Trojaans paard gebaseerd op de code van de beruchte Zeus Trojan. De code verscheen enige tijd online en is door de makers van Gameover verder verfijnd.

Een grote verandering is de aansturing van besmette machines. Gebruikte Zeus traditioneel Command & Conquer (C&C) servers. Gameover beschikt over een Peer-to-Peer (P2P) architectuur. Daardoor is het botnet veel lastiger uit te schakelen, aangezien er geen centraal punt is om uit de lucht te halen. Om te voorkomen dat anderen het botnet infiltreren of overnemen signeren de makers de updates die de besmette machines onderling uitwisselen.

Netwerk

"De P2P-variant van Zeus is een technische evolutie weg van het gecentraliseerde botnet-model. Als gevolg is het verstoren van de infrastructuur, met name via juridische wegens, en het toeschrijven van de acties van de aanvaller veel lastiger", aldus Brett Stone-Gross van Dell SecureWorks.

De analist merkt op dat een P2P-netwerk ook nadelen heeft. Door de gedecentraliseerde aard van Gameover kunnen onderzoekers de botnet-populatie via de peer-lijsten van elke node in het netwerk in kaart brengen. Ook is het mogelijk om de peer-lijst te 'vergiftigen' door valse peer-nodes in het P2P-netwerk te injecteren.

De meeste Gameover-besmettingen bevinden zich in de Verenigde Staten, Duitsland en Italië. De malware verspreidt zich via kwaadaardige links in e-mails die naar een exploit wijzen. Eenmaal actief injecteert de malware extra invoervelden tijdens het internetbankieren, om zo transactiecodes en andere informatie te stelen.