Forskere fra University of California fik kontrol over et velkendt og stærkt netværk af hackede computere i 10 dage, hvor de fik indblik i, hvordan det stjæler personlige og økonomiske data.

Forskerne var i stand til at overvåge mere end 180.000 hackede computere ved at udnytte en svaghed i det kommando- og kontrolnetværk, som hackerne brugte til at styre computerne. Det fungerede kun i 10 dage, indtil hackerne opdaterede kommando- og kontrolinstruktionerne, ifølge forskernes 13-siders papir.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Alligevel var der nok et vindue til at se Torpig / Sinowal's dataindsamlingsstyrke. På den korte tid blev der indsamlet ca. 70 G bytes data fra hackede computere.

Forskerne lagrede dataene og arbejder sammen med retshåndhævende myndigheder som USA's føderale undersøgelsesinstitut, internetudbydere og endog det amerikanske forsvarsministerium til at underrette ofre. Internetudbydere har også lukket nogle websteder, der var brugt til at levere nye kommandoer til de hackede maskiner, de skrev.

Torpig / Sinowal kan pilfer brugernavne og adgangskoder fra e-mail-klienter som Outlook, Thunderbird og Eudora samtidig med at de samler e-mail-adresser i disse programmer til brug for spammere. Det kan også indsamle adgangskoder fra webbrowsere.

Torpig / Sinowal kan inficere en pc, hvis en computer besøger et ondsindet websted, der er designet til at teste om computeren har updateret software, en teknik kendt som et drev ved download-angreb. Hvis computeren er sårbar, er et lavt niveau af ondsindet software kaldet rootkit gled dybt ind i systemet.

Forskerne fandt ud af, at Torpig / Sinowal ender med et system, efter at det først er inficeret af Mebroot, en rootkit der opstod omkring december 2007.

Mebroot inficerer en computers Master Boot Record (MBR), den første kode, en computer kigger efter, når operativsystemet startes, efter at BIOS kører. Mebroot er kraftfuldt, da data, der efterlader computeren, kan opfanges.

Mebroot kan også downloade anden kode til computeren.

Torpig / Sinowal er tilpasset til at gribe data, når en person besøger visse internetbanker og andre websteder. Det er kodet for at reagere på mere end 300 websteder, hvor de øverste målrettede er PayPal, Poste Italiane, Capital One, E-Trade og Chase Bank, skriver pressen.

Hvis en person går til et bankwebsted, En forfalsket form er leveret, der ser ud til at være en del af det legitime websted, men beder om en række data, som en bank normalt ikke ville kræve, såsom en PIN-kode (personnummer) eller et kreditkortnummer.

SSL (Secure Sockets Layer) kryptering er ikke sikkert, hvis det bruges af en pc med Torpig / Sinowal, da den ondsindede software får fat i oplysninger, før den er krypteret, skrev forskerne.

Hackere sælger typisk adgangskoder og bankoplysninger på underjordiske fora til andre kriminelle, der forsøger at skjule dataene i kontanter. Selv om det er svært at præcist beregne værdien af ​​de indsamlede oplysninger i løbet af de 10 dage, kan det være værd at være mellem US $ 83.000 til $ 8.3 millioner, siger forskerpapiret.

Der er måder at forstyrre botnets som Torpig / Sinowal. Botnet-koden indeholder en algoritme, der genererer domænenavne, som malware opkalder til nye instruktioner.

Sikkerhedsingeniører har ofte været i stand til at finde ud af disse algoritmer for at forudsige, hvilke domæner malware vil kalde på og preregistere disse domæner for at forstyrre botnet. Det er dog en dyr proces. Conficker-ormen kan for eksempel generere op til 50.000 domænenavne om dagen.

Registrarer, virksomheder, der sælger domænenavnsregistreringer, bør spille en større rolle i at samarbejde med sikkerhedssamfundet, skriver forskerne. Men registratorer har deres egne problemer.

"Med få undtagelser mangler de ofte ressourcerne, incitamenterne eller kulturen til at håndtere sikkerhedsproblemer i forbindelse med deres roller", udtalte pressen.