Een grafische voorstelling van een netwerk van bijna 24 000 door Gameover besmette computers (afb: Dell SecureWorks)
Informatici van de Vrije universiteit en de uni van Saarland en van beveiligingsbedrijven, hebben op verzoek van de FBI, Europol en de Britse National Crime Agency een bijzonder listig in elkaar gestoken crimineel botnetwerk, ook wel botnet genoemd, gekraakt. De criminelen manipuleerden jarenlang honderduizenden computers, waarop ze neusden naar privé- en financiële gegevens. Ze sloten die computers ook aan op een netwerk, waarmee ze zooi verspreiden en ondernemingen afpersten. De webboeven waren technisch zo bedreven dat de opsporingsdiensten de hulp van derde in moesten roepen om de zaak te klaren. De FBI was zo blij met de hulp dat een aantal helpende informatici onlangs een oorkonde voor hun hulp heeft gekregen.
De webboeven werkten met de computers in het netwerk als willoze slaven (bots genoemd, afgeleid van robots). In 2012 voerden de criminelen met het botnetwerk Gameover ZeuS een aanval uit op een Amerikaanse bank. Die aanval leverde de criminelen negen ton aan dollars op (een kleine driekwartmiljoen euro). De Amerikaanse overheid schijnt Gameover ZeuS verantwoordelijk te houden voor de digitale diefstal van zo’n 100 miljoen dollar (dik € 70 miljoen). Dat is een hoop geld, maar vooral de geraffineerdheid van botnet zat de autoriteiten dwars. Normale botnetwerken hebben een centrale opbouw, waarbij de ‘botbaas’ het middelpunt is. Als die ontschadelijk gemaakt wordt, werkt het criminele netwerk niet meer.
Bij Gameover ZeuS lag dat ingewikkelder. De communicatie op het botwetwerk was versleuteld, maar vooral de architectuur maakte het uiterst lastig het netwerk aan te pakken. Het netwerk was, net als bij netwerken om films op te halen, decentraal georganiseerd. De bots werden aangestuurd via proxies, je zou kunnen zeggen: computers met een vals IP-adres. Om het allemaal nog lastiger te maken, genereerde elke bot (slaaf in het netwerk, dus) met behulp van een zogeheten domeingeneratoralgoritme iedere week een lijst met nieuwe internetadressen, waaronder die proxies te vinden waren. Als de bots niets ‘hoorden’ van hun ‘commandant’, dan liepen ze de lijsten net zo lang af tot de bevelketen weer gesloten was. Vroeger duurde dat zoeken soms dagen en was dus nogal onpraktisch, maar met Gameover ZeuS kan dat in een paar minuten.
In november vorig jaar wendde de FBI, die met de handen in het haar zat, zich tot enkele informatiedeskundigen van de Vrij Universiteit in Amsterdam, de uni van Saarland en van beveiligingsbedrijven Crowdstrike, Symantec, McAfee, Trend Micro en Dell Secureworks. In april vlogen twee leden van die groep naar de FBI in de VS en bleven daar tot juni. Het netwerk werd 24 uur per dag in de gaten gehouden. Eind mei gingen de informatici in de, veelkoppige, aanval, operatie Tovar gedoopt. Na twee weken werd duidelijk dat ze er in geslaagd waren Gameover Zeus over te nemen. Game over, dus.
De FBI was zo blij met de hulp van buiten dat ze oorkondes hebben uitgereikt aan de helpende informatici. Ze zaak zelf is oud nieuws, waaraan ook in dit blog aandacht is geschonken. De zaak is opgerakeld door de uni van Saarland, die onlangs trots meldde dat een informaticus van deze uni van de FBI een oorkonde had gekregen als dank voor de bewezen diensten.
Bron: Alpha Galileo