Han styrde ett monster – nu avslöjas hur myndigheterna spårade honom

Mannen bakom monstret

Det börjar med ett namn: Jacob Butler, 23 år, från Ottawa. På nätet kände hans medbrottslingar honom som Dort. Enligt det amerikanska justitiedepartementet, som rapporteras av SecurityWeek, ska Butler ha administrerat botnätet Kimwolf – en efterföljare till det tidigare botnätet Aisuru, båda med inriktning på Android-enheter.

Kimwolf är ingen liten historia. Botnätet ska ha infekterat uppskattningsvis två miljoner enheter världen över och utnyttjat så kallade bostadsproxyservrar – alltså vanliga hushållsuppkopplingar – för att växa sig stort och svårt att spåra. Det som gör Kimwolf extra anmärkningsvärt är att det kopplats till ett rekordstort överbelastningsangrepp som på sin topp nådde 31,4 terabit per sekund. För att sätta det i perspektiv: det räcker för att slå ut i princip vilken digital infrastruktur som helst.

Butler greps i Kanada och USA begär nu utlämning. Åtalet gäller medhjälp till dataintrång, med en straffsats på upp till tio års fängelse. Myndigheterna i USA, Kanada och Tyskland samarbetade i insatsen, som inleddes redan i mars när flera botnät slogs ut simultant – men gripanden tillkännagavs alltså inte förrän nu.

Det som tekniskt sett är intressant är hur Butler spårades: via IP-adresser, kontoinformation, transaktionsuppgifter och meddelandeloggar, inhämtade genom rättsliga processer. Det visar att även den som tror sig vara anonym lämnar digitala spår – och att internationellt rättssamarbete faktiskt fungerar.

Kamouflage som förvirrar brandväggar

Men medan ett botnät stängs ned, öppnas nya angreppsvektorer. SecurityWeek rapporterar att säkerhetsföretaget ADAMnetworks har identifierat en sårbarhet de kallar Underminr – en vidareutveckling av en attackteknik som många trodde var åtgärdad.

Den ursprungliga tekniken kallas domänfronting: angriparen visar upp en tillåten domän i de synliga delarna av en krypterad HTTPS-förfrågan, medan den verkliga måladressen gömmer sig i den krypterade delen. Leveransnätverket skickar sedan trafiken till den skadliga destinationen utan att brandväggen märker något.

Underminr är subtilare. Istället för att frontera med en legitim domän presenterar attacken synliga identifierare från en betrodd domän – men tvingar anslutningen att nå en helt annan aktörs server inom samma delade nätverksmiljö. Resultatet: trafiken ser legitim ut för alla som bevakar nätverket, men hamnar hos angriparen.

Problemet uppstår, förklarar ADAMnetworks, när DNS-beslut, nätverksnoder, krypterade värdnamn och leveransnätverkets dirigering inte jämförs med varandra. Det är ett klassiskt exempel på att komplexa, delade infrastrukturer skapar oväntade springor – inte för att någon gjort fel, utan för att systemen inte designades för att prata med varandra på det här sättet.

Sårbarheten har redan utnyttjats i verkliga angrepp mot stora värdtjänstleverantörer. Angripare kan använda Underminr för att dölja kommunikation med styrservrar, kringgå nätverkspolicyer och maskera VPN-liknande anslutningar.

Vad bör svenska företag göra?

De två nyheterna hänger ihop på ett viktigt sätt: botnät behöver infrastruktur för att kommunicera, och Underminr är precis det verktyg som gör den kommunikationen svår att upptäcka. Kombinationen är obehaglig.

För svenska organisationer finns några konkreta lärdomar:

• Granskning av utgående trafik räcker inte – om Underminr används ser trafiken legitim ut även för sofistikerade övervakningssystem. Djupare korrelation mellan DNS-loggar, nätverksflöden och leveransnätverkets beteende behövs.
• Android-enheter i företagsmiljö är en reell attackyta – Kimwolf riktade sig specifikt mot Android, vilket inkluderar mobiltelefoner och inbyggda system i IoT-miljöer.
• Internationella insatser ger resultat, men tar tid – gripandet av Butler visar att myndigheterna kommer ikapp, men det tar år. Under tiden gör botnäten skada.

Privatpersoner bör hålla sina Android-enheter uppdaterade och vara försiktiga med att installera appar utanför officiella kanaler – det är fortfarande den vanligaste infektionsvägen för den här typen av botnät.