Kelihos-botnet komt weer tot leven

Het doodverklaarde botnet Kelihos, ook bekend als Waledac, is opnieuw actief. Het netwerk stuurt weer volop spamberichten uit.

Het originele Kelihos-botnet had destijds ‘maar’ 41.000 computers geïnfecteerd, maar kon wel tot 3,8 miljard spamberichten verzenden per dag. Het stuurde onder meer reclame uit voor niet-toegelaten medicatie, frauduleuze aandelenzwendel en in sommige gevallen zelfs voor websites waar kinderen seksueel misbruikt werden.

De malware achter het botnet werd in september 2011 onderuitgehaald. Daarbij slaagden Microsoft en beveiliger Kaspersky Lab erin om geïnfecteerde computers te misleiden zodat ze een update van het virus bij hun servers kwamen zoeken.

Hoewel dit het netwerk snel onklaar maakte, was dit slechts een tijdelijke oplossing omdat de computers geïnfecteerd bleven. Kaspersky Lab schrijft in een blogpost dat het netwerk nu dus terug en weer in opmars is.

Twee groepen
“Ons onderzoek heeft aangetoond dat de nieuwe versie al sinds 28 september circuleert, kort nadat Microsoft en Kaspersky Lab het Hlux/Kelihos-botnet hadden geneutraliseerd.” Daarbij gebruiken de geïnfecteerde computers nu verbeterde encryptiemethodes en algoritmes om hun onderlinge communicatie te maskeren.

Kaspersky vermoedt dat er twee verschillende groepen achter het netwerk zitten. Dit omdat er twee verschillende RSA-sleutels (encryptiesleutels) op het netwerk worden gebruikt.

Maker aangeklaagd
Microsoft voerde in september al actie om de daders achter het botnet aan te klagen. Twee weken geleden nog diende Microsoft een klacht in bij de rechtbank, waarbij het Andrey N. Sabelnikov beschuldigt, een man uit Sint-Petersburg (Rusland). Hij zou volgens het bedrijf de code hebben geschreven van de malware achter Kelihos.

Zelf ontkent de man dat. In een gesprek met de BBC zei Sabelnikof toen verrast te zijn door de aanklacht en hield hij zijn onschuld vol.