Американские силовики рапортуют о нейтрализации серверной инфраструктуры ботнета Qakbot, что позволило им произвести массовое удаление вредоносного ПО из зараженных систем.

Также известный как Qbot и Pinkslipbot ботнет активен с 2008 года, действуя изначально как банковский троян.

С середины 2010-х годов обрел функционал загрузчика, заражая системы в ходе спам-кампаний, реализуя затем доступ к зараженным системам другим киберпреступникам.

За последние три года Qakbot служил начальной точкой входа для многих ransomware, включая Conti, ProLock, Egregor, REvil, MegaCortex и Black Basta.

Как сообщает ФБР, в операции, получившей условное наименование Duck Hunt, принимали участие спецслужбы Европы (Франции, Германии, Нидерландов, Великобритании, Румынии и Латвии), которые помогли американским агентам получить доступ к компьютерам администратора Qakbot.

И впоследствии составить карту серверной инфраструктуры и захватить десятки серверов, находившихся в управлении операторов Qakbot, а затем уже перенаправить трафик в системы бюро.

По данным силовиков, Qakbot заразил более 700 000 систем по всему миру, из которых более 200 000 были расположены в США.

Все это позволило идентифицировать все зараженные системы Qakbot и доставить в зараженные системы разработанный ФБР Windows DLL (или модуль удаления Qakbot).

Как отметили SecureWorks, этот пользовательский DLL-файл выдал QPCMD_BOT_SHUTDOWN команду вредоносному ПО Qakbot, работающему на зараженных устройствах, что привело к прекращению работы вредоносного процесса.

Техническую поддержку на этом этапе ФБР оказывали Zscaler, CISA, Microsoft, Shadowserver Foundation и Have I Been Pwned.

ФБР отдельно пояснило, что инструмент удаления был одобрен судьей с очень ограниченными возможностями - только для удаления вредоносного ПО с зараженных устройств (ну, ну).

Помило перехвата инфраструктуры Минюст США также принял меры к конфискации у банды Qakbot 8,6 млн. дол., а полиция Нидерландов изъяла 7,6 млрд. учетных данных с захваченных серверов.

Пока что операция ограничилась конфискацией, информацией об арестах или официальных обвинениях ФБР не предоставила, но это не исключает того, что они могли иметь место. Видимо, с задержанными могут проводитсья негласные оперативные мероприятия.

Хотя в это слабо вериться. Как помниться, аналогичным образом операции проводились в 2020 и 2021 годах в отношении Emotet и Trickbot, которые после этого смогли вернуться в рабочие рельсы и продолжают эволюционировать.

Но для медали от Конгресса США такой победы офицерам из ФБР будет вполне достаточно, а что там за модуль - это уже совсем другая история. Будем посмотреть.