Vier manieren waarop cybercriminelen geld verdienen met botnets
24 november 2010 -
Onlangs werden enkele bekende botnets in diverse rapporten doorgelicht. Telkens opnieuw bleek dat er miljoenen dollars mee gemoeid zijn. Veel mensen beseffen niet dat botnets als echte bedrijven worden gerund. Kwaadaardige software distribueren is een economisch misdrijf: het gaat de criminelen in de eerste plaats om geld verdienen.
MessageLabs Intelligence deed onderzoek. De meeste malware wordt geschreven om botnets te creëren. Dit zijn grote netwerken van geïnfecteerde computers die door één enkele bende worden gecontroleerd. De bende verhuurt de botnets aan andere criminelen die met de computers in zo’n botnet grof geld verdienen.
Hoeveel kost het om een botnet te huren? Dat hangt af van de vraag en het aanbod op een bepaald ogenblik, de omvang van het botnet en de periode waarvoor het wordt gehuurd. De prijzen schommelen tussen negen dollar per uur en meer dan 65 dollar per uur.
Winst
Maar hoe gaan de criminelen precies te werk om hun kosten terug te verdienen en winst te maken?
1. Spam versturen MessageLabs Intelligence merkt dat de geïnfecteerde computers in sommige botnets gemiddeld meer dan 600 spamberichten per seconde uitsturen. Een klein botnet bestaat gemakkelijk uit 10.000 geïnfecteerde computers. Op die manier slaagt een criminele organisatie erin om 360 miljoen e-mails per uur te versturen. Een studie van een farmaceutische website met spamadvertenties bracht aan het licht dat er 350 miljoen spamberichten nodig waren om 28 keer producten te verkopen en dat elke verkoop gemiddeld 100 dollar opbracht. Omdat de kosten per e-mail verwaarloosbaar klein zijn, kan zo’n website per jaar 3,5 miljoen dollar winst opleveren.
2. Bankrekeningen plunderen De Zeus-trojan is gespecialiseerde malware die de webbrowser van het slachtoffer binnendringt. Vanaf dat ogenblik verloopt elke verbinding met een online bankrekening eigenlijk via de malware. Zodra het slachtoffer op de website van zijn bank is ingelogd, maakt de trojan overschrijvingen van de gekaapte bankrekening naar het circuit om geld wit te wassen van de criminelen. Hoewel het voor de bank lijkt of de eigenaar van de rekening zelf de overschrijvingen uitvoert, merkt deze laatste er niets van. In oktober 2010 arresteerde de FBI een bende die met de Zeus-trojan 70 miljoen dollar van internetbankrekeningen had gestolen.
3. ‘Denial of Service’ -aanvallen lanceren Criminelen kunnen botnets gebruiken om een oude afpersingstechniek op het internet toe te passen. In de echte wereld eisen gangsters geld van de uitbater van een winkel. Betaalt hij niet, dan beschadigen ze zijn winkel, zodat hij omzetverlies lijdt. De internetversie van die techniek heet een ‘Denial of Service’-aanval. De criminelen eisen dat een internetbedrijf hen een aanzienlijk bedrag betaalt, gewoonlijk net voor er een drukke periode aanbreekt. Weigert het bedrijf te betalen, dan laten ze een botnet voortdurend de pagina’s van de website opvragen. De webserver van het bedrijf kan het enorme aantal aanvragen niet verwerken, zodat de gewone bezoekers geen toegang meer krijgen tot de website. Het bedrijf lijdt dan schade.
4. Immateriële goederen stelen Ook een voorwerp dat materieel niet bestaat, kan gestolen worden. Online gaming is uitgegroeid tot een miljoenenbusiness. De deelnemers proberen urenlang uit te blinken in een bepaalde game om een virtuele trofee of iets dergelijks te winnen. Omdat het zo moeilijk is om een trofee te bemachtigen, zijn sommige mensen bereid om echt geld neer te tellen voor een ‘game trophy’. Ze hoeven dan niet uren- en dagenlang te gamen om zich de trotse bezitter van een trofee te kunnen noemen.
Deze markt is een goede voedingsbodem voor malware die op geïnfecteerde computers de login-gegevens van een game steelt. De criminelen verschaffen zich illegaal toegang tot game-accounts en hevelen virtuele trofeeën naar hun eigen accounts over. Net zoals bij elke andere diefstal worden de gestolen trofeeën vervolgens voor grof geld verkocht.
Een bende in het Verre Oosten die zich in dergelijke aanvallen had gespecialiseerd, verdiende minstens 140.000 dollar aan de diefstal van immateriële goederen van online game-accounts.
