Stijging van blockchain-malware EtherRAT
Ransomwared AI, een op kunstmatige intelligentie gebaseerd platform voor beveiliging tegen ransomware, heeft de afgelopen dagen een opvallende toename van het aantal EtherRAT-infecties gedetecteerd. Volgens oprichter en cybersecurity-ondernemer Erik Westhovens (foto) legt deze malware een fundamentele zwakte bloot in traditionele cybersecurity-oplossingen.
Klassieke beveiligingssoftware vertrouwt voornamelijk op zogeheten Indicators of Compromise (IOC’s), zoals bekende schadelijke IP-adressen, domeinnamen, URL’s en bestandshashes. Westhovens legt op LinkedIn uit dat EtherRAT dit principe omzeilt door gebruik te maken van de Ethereum-blockchain om dynamisch verbinding te maken met command-and-controlservers (C2).
Blockchain als dynamische schuilplaats
Omdat de aanvaller de locatie van zijn sturingsservers direct in de blockchain kan aanpassen zonder de code van de malware zelf te wijzigen, veranderen IP-adressen voortdurend. Een IP-adres dat vandaag wordt geblokkeerd, kan morgen alweer vervangen zijn door een nieuw adres.
"Daarom is alleen zoeken naar IOC’s bij dit soort malware simpelweg niet genoeg," stelt Westhovens. "Je moet kijken naar gedrag. Welke processen worden gestart, welke verbindingen worden opgebouwd, waarom maakt een systeem ineens contact met Ethereum-diensten en wat gebeurt er daarna?"
Gedragsanalyse en anomaliedetectie
De toename van EtherRAT onderstreept volgens het beveiligingsbedrijf de noodzaak om af te stappen van reactieve filters en over te stappen op actieve gedragsanalyse. Door afwijkend gedrag (anomalieën) op netwerk- en procesniveau in te zetten, claimt Ransomwared AI de infecties ook bij onbekende of snel veranderende IP-adressen tijdig te detecteren en te blokkeren.
Meer over cybercrime
Over Witold Kepinski
