Criminele virussen

Een paar uurtjes. Meer zegt Rickey Gevers niet nodig te hebben om het Nederlandse vliegverkeer plat te leggen. Hoe moeilijk kan het zijn? Hij heeft immers de inloggegevens en wachtwoorden van vliegtuigmaatschappijen en andere instanties uit de luchtvaartbranche. Het staat allemaal op het bestand van 750 gigabite dat de veiligheidsexpert van het Hilversumse bedrijf Digital Investigation in het najaar van 2012 in handen kreeg. Tussen die gegevens zit zeer gevoelige informatie over ‘ongeveer ieder bedrijf’ in Nederland.

De onderzoeker komt in het najaar van 2012 voor het eerst in aanraking met het zogenaamde ‘Pobelka-virus’. In september blijkt de website van De Telegraaf – een van de meest bezochte van Nederland – te zijn gehackt. Bezoekers van de site worden ongemerkt besmet en zo is een botnet, een netwerk van duizenden zombiecomputers, ontstaan. Een van de dingen die Pobelka doet, is het wegsluizen van informatie uit die computers. Bank­gegevens, Facebookaccounts, mailuitwisselingen, alles komt via het internet bij de criminelen terecht. Binnen de wereld van cyber­­security is dat geen nieuws. Dergelijke aanvallen zijn volgens specialisten aan de orde van de dag, continu worden Nederlandse computergebruikers geïnfecteerd met zogenaamde malware.

Het lijkt dus een routineklus voor Digital Investigation, dat op eigen initiatief de aanval onderzoekt. En net als in veel andere onderzoeken belandt Gevers in Rusland. De gestolen data worden daar verzameld door een server, een zogenaamde proxy, die slechts als intermediair dient en de informatie doorstuurt. Het lukte de computerdeskundige om te achterhalen waar de gegevens uiteindelijk worden verzameld. Hij komt uit bij een in Duitsland draaiende server.

Gevers waarschuwt vervolgens het specialistenteam van de Nederlandse politie, de High Tech Crime Unit (HTCU). Na overleg met de cybercops benadert hij het bedrijf waar de server staat – als de politie dat via officiële wegen zou doen, gaan er maanden over heen. Wel wil de HTCU graag ‘een kopietje’ van de gestolen data. Gevers stuurt een gedetailleerd technisch verslag van zijn speurtocht naar de eigenaar van het hostingbedrijf. Die reageert in eerste instantie laconiek, maar een dag later mailt hij: ‘Ik heb nog een keer gekeken. Je hebt gelijk. It’s all bad.’

Dodelijk

Digital Investigation krijgt vierentwintig uur om de gegevens te kopiëren: daarna zal het bedrijf de gecorrumpeerde server wissen. Via een speciale internetverbinding haalt Gevers 750 gigabyte aan data op. Een gigantische vangst, want het gaat om – in platte tekst – 120 miljoen pagina’s gevuld met privé-informatie van voornamelijk Nederlandse bedrijven en organisaties. Van ziekenhuizen tot energiebedrijven en van rechtbanken tot ministeries. ‘Gegevens die dodelijk kunnen zijn als ze in verkeerde handen komen,’ zegt Gevers. ‘Je kunt via de besmette computers volledige controle krijgen en systemen overnemen. We rolden van de ene in de andere verbazing. Alle vitale sectoren van Nederland zaten er tussen. Chemie, drinkwater, omroepen. Alleen nucleaire energie zat er niet tussen. Maar dat is misschien omdat ik niet goed genoeg heb gezocht.’

Daarop nodigt Gevers twee rechercheurs van HTCU uit. Om zijn verhaal kracht bij te zetten, laat hij zien dat ook de computers van verschillende politieagenten zijn gehackt. De boodschap komt over, de rechercheurs zeggen hun uiterste best te gaan doen. Ze krijgen een harde schijf mee waarop een kopie van de data staat. Maar na overleg met hun bazen komen ze met een teleurstellend bericht: de politie heeft op dat moment geen capaciteit om het Pobelka-virus en de gestolen data verder te onderzoeken.

Ondertussen zorgt Digital Investigation ervoor dat Pobelka wordt ontmanteld. Op verzoek van Gevers haalt een Russische internetinstantie vier websites uit de lucht die het virus draaiende hielden. Daarmee is ‘de kop van het moederschip’ er succesvol afgehaald, in termen van computerbeveiligers.

Korte tijd later stapt Gevers naar het Nationaal Cyber Security Centrum (NCSC). Het NCSC heeft als taak te waken over de digitale veiligheid van sectoren die de vitale infrastructuur vormen (onder meer energie, telecommunicatie, verkeer, media). Hij vindt dat de NCSC actie moet ondernemen. Maar tot Gevers’ verbazing zegt het centrum alleen haar leden te zullen inlichten: dat zijn enkele tientallen instanties die zichzelf eerder hebben aangemeld als ‘vitaal’.

De veiligheidsexpert besluit dan maar zelf een website te bouwen waarop instanties, bedrijven en particulieren kunnen controleren of ze met het Pobelka-virus zijn besmet.

Onder­tussen heeft het antivirusbedrijf Surf­Right waarmee Digital Investigation samenwerkt, een rapport over het criminele botnet online geplaatst. In dat onderzoek komt naar voren dat de cybercriminelen van Pobelka waarschijnlijk ook verantwoordelijk zijn voor eerdere aanvallen, waaronder de uitbraak van het Dorifel-virus. Dat besmette vorig jaar tienduizenden computers en ontvreemde bankgegevens van honderden Nederlanders. Binnen de wereld van cybersecurity wordt het onderwerp al snel opgepikt. Op kerstavond schrijft internetjournalist Brenno de Winter in een column op de website van HP/De Tijd over Pobelka: ‘Ik overdrijf niet als ik stel dat geïnfecteerde netwerken volledig zijn overgeleverd aan criminelen, die in een zwaar geautomatiseerd land als Nederland elk detail van de bedrijfsvoering kunnen zien. Dat is vele tientallen of honderden miljoenen waard en zeker ook interessant voor ons niet zo vriendelijk gezinde landen.’

De Winter mag bij Digital Investigation een blik werpen op de gestolen data en is naar eigen zeggen ‘verbijsterd’. Hij ziet ‘lopende zaken van een gerenommeerd advocatenkantoor en komende rechtzaken’, ‘welke medewerker op een ministerie precies aan welke Kamervragen werkt’ en ‘welke medewerkers in een ziekenhuis welke verslagen schrijven’.

Spionage

Ook het Delftse beveiligingsbedrijf Fox-IT heeft zich inmiddels vastgebeten in Pobelka. In een op hun site gepubliceerd onderzoeksrapport plaatsen de digitale speurders het virus in een bredere context en concluderen dat het botnet ‘niet buitensporig groot of invloedrijk, maar gemiddeld van omvang’ is. Oftewel: er zijn veel grotere aanvallen gaande die veel meer schade berokkenen. Volgens directeur Ronald Prins staat Pobelka niet op zich: ‘Er zijn tientallen, echt tientallen van dit soort botnets en duizenden computers zijn besmet. Over een langere periode heb je het over honderdduizenden infecties. Ik denk wel een miljoen in Nederland.’ Rickey Gevers bevestigt die conclusie: ‘Het enige bijzondere aan Pobelka is dat we de gestolen data in handen hebben gekregen.’

De onderzoekers van Fox-IT zien net als Gevers dat er gevoelige informatie tussen zit, bijvoorbeeld over interne netwerken van organisaties en inloggegevens ‘die verkocht zouden kunnen worden in door staten ondersteunde spionage’. Maar de Delftenaren zijn ‘behoorlijk zeker’ dat het de criminelen daar in het geval van Pobelka niet om te doen is. Ronald Prins: ‘Die jongens willen gewoon snel geld verdienen. Maar goed, het potentiële gevaar van verder misbruik is er zeker.’

Sussende woorden

Ondanks de alarmerende berichten in de kleine kring van deskundigen blijft het daarbuiten lange tijd stil. Tot Journaal-verslaggever Jeroen Wollaars op het Pobelka-verhaal stuit. Tijdens zijn research komt hij er achter dat ook Nederlandse mediabedrijven, waaronder de NOS, zijn getroffen. Wollaars vraagt de gestolen data bij Digital Investigations op. Hij schrikt als hij ziet dat veertien computers van de NOS zijn besmet en de wachtwoorden van 35 medewerkers zijn gelekt.

Wollaars krijgt van Digital Investigations twee dagen om de bestanden te bekijken. Hij ziet wat Gevers en Brenno de Winter ook al zagen: zo goed als ieder bedrijf in Nederland is slachtoffer van de aanval. De verslaggever besluit twintig bedrijven en instanties die getroffen zijn en behoren tot de vitale infrastructuur te vragen of ze van de aanval op de hoogte zijn. Hij belt waterleidingbedrijven, partijen uit de luchtvaartsector, gemeenten, een ziekenhuis. In tegenstelling tot wat de NCSC eerder verklaarde, krijgt Wollaars te horen dat geen enkele instantie bericht heeft gekregen over de besmetting. Op 14 februari opent het Journaal met het nieuws. ‘Overheid wist van cyberaanval, maar deed niets.’ Curieus, want het NCSC is er juist op gericht om te waken over de veiligheid van veel getroffen bedrijven en instanties. In een reactie aan Vrij Nederland beaamt het centrum slechts zestien departementen en instellingen geïnformeerd te hebben over de besmetting. Over andere besmette computers heeft het NCSC de betroffen Internet Service Providers ingelicht. Die zouden op hun beurt hun eigen klanten kunnen informeren.

Erg daadkrachtig lijkt het allemaal niet. En ook de reacties van andere betrokken overheidsinstanties zijn weinig geruststellend. Waarom heeft de politie bijvoorbeeld niet gehandeld, terwijl ze al in oktober 2012 op de hoogte was? ‘We hebben een deel van de informatie aangeboden gekregen, maar die data bleek onleesbaar,’ zegt een woordvoerder tegen de website Webwereld.nl op 19 februari.

De zegsman van het ministerie van Veiligheid en Justitie zegt diezelfde dag met grote stelligheid dat er ‘geen computers van de rijksoverheid zijn besmet,’ maar moet die bewering snel weer intrekken als hij met de feiten wordt geconfronteerd: zevenenvijftig computers van acht verschillende ministeries – waaronder Veiligheid en Justitie – zijn getroffen door het virus.

Desondanks spreekt minister Opstelten van Veiligheid en Justitie een dag na de NOS-uitzending sussende woorden tegenover de omroep. ‘Natuurlijk schrikken we daar van, maar we nemen ook de maatregelen die genomen moeten worden. Wij weten wat we dan moeten doen.’ De bewindsman vindt dat de reactie van het NCSC laat zien dat het centrum ‘echt een spin in het web is’. Opstelten noemt het verder ‘plezierig’ dat het NCSC ‘adequaat’ heeft gehandeld.

Diefstal

Dat is nog maar de vraag. Bart Jacobs, hoogleraar computerbeveiliging en lid van de Cyber Security Raad noemt het Pobelka-virus in een radio-interview ‘verschrikkelijk’ en waarschuwt dat met de gestolen gegevens de aanvallers in feite de ICT-infrastructuur over kunnen nemen en het maatschappelijk verkeer stil kunnen leggen. Achteraf zegt het NCSC niet te kunnen ‘oodelen wat kwaadwillenden met de inhoud van de dataset zouden kunnen doen’. Het ging om gestolen informatie en past daarmee volgens het NCSC niet binnen haar bevoegdheid.

Toch maakt het NCSC een paar dagen na de NOS-uitzending bekend dat ze samen met de opsporings- en inlichtingendiensten (HTCU, AIVD en MIVD) nu wél de gestolen data gaan onderzoeken en daarover binnenkort gezamenlijk zullen rapporteren.

Vanwaar deze plotselinge daadkracht? Maken de overheidsinstanties zich nu ineens daadwerkelijk zorgen over de potentiële impact die het Pobelka-virus heeft? ‘Nu onderdelen van de dataset in de openbaarheid zijn gekomen, is daarmee het risico van misbruik groter geworden en tevens door een aantal partijen de suggestie is gewekt dat hiermee mogelijk een groot belang zou zijn geschaad,’ zegt het NCSC in een reactie.

Ondertussen gaat de diefstal van gevoelige informatie via andere botnets gewoon door, zegt Ronald Prins van Fox-IT. ‘De media hebben het nu op de agenda gezet, de Tweede Kamer zal wel vragen gaan stellen, dan gebeuren er dingen maar dat is vaak tijdelijk. Over drie maanden zijn mensen het weer vergeten.’ Zelfs als het NCSC eerder wel meteen had gereageerd, zou dat volgens Prins weinig verschil hebben gemaakt. ‘Je doet een paar deurtjes dicht, terwijl er vermoedelijk op hetzelfde moment nog tien deurtjes openstaan bij dezelfde organisatie.’

Het is een somber beeld dat de directeur van Fox-IT schetst. Aan de andere kant is het moeilijk te zeggen wat de exacte consequenties zijn van Pobelka: getroffen bedrijven die daadwerkelijk schade hebben ondervonden – geplunderde bankrekeningen of gestolen bedrijfsgeheimen – zijn nog niet naar buiten getreden. Wellicht dat het onderzoek van de NCSC naar Pobelka meer helderheid biedt. Over twee weken komt het centrum met haar bevindingen. Rickey Gevers ziet er naar uit. ‘Ik denk dat de boodschap wel over is gekomen. Ze kunnen niet anders zeggen dan dat het behoorlijk serieus is.’

Wie zit er achter?

Toen Rickey Gevers vorig jaar de gestolen spullen in handen kreeg, zocht hij allereerst naar sporen van de dader. Tussen alle gegevens vond de computerexpert een filmpje van het computerscherm van de dader. De opname toont hoe de crimineel snel klikt op de internetsite van de ING Bank. Dat doet deze zeer behendig. Volgens Gevers valt daaruit te concluderen dat de dader de Nederlandse taal enigszins beheerst, óf precies weet waar hij moet klikken.

Ook Fox-IT speurde naar de persoon/personen achter Pobelka. Onderzoeker Michael Sandee infiltreerde online in de hackersgemeenschap en zag dat één van hen – met het alias Finist – grote belangstelling toonde voor Nederlands internetverkeer. Gedurende de periode dat het virus hier actief was, was diezelfde Finist via het internet in Nederland op zoek naar zogenaamde money mules. Dat zijn mensen die hun rekeningnummers als doorgeefluik beschikbaar stellen voor online buitgemaakt geld. De verzoeken van Finist waren in het cyrillisch geschreven. ‘Dit soort activiteiten vindt grotendeels plaats in Oost-Europa en verder,’ zegt Sandee. ‘Handleidingen hoe je dit soort aanvallen moet doen, zijn in het cyrillisch. Als je een dergelijk virus wil kopen en je spreekt geen Russisch, dan wordt het lastig.’ Een Rus die de Nederlandse taal beheerst. Maar brengt je dat veel verder? Sandee: ‘Je weet dat iemand in Oost-Europa zit. Dan kan het maanden duren voor je medewerking van de lokale instanties krijgt. Dan kunnen de digitale sporen volledig zijn gewist.’

Wake up call

Tot nu toe leek de door veiligheidsexperts geschetste dreiging slechts in theorie te bestaan. Er zou op grote schaal bedrijfsspionage plaatsvinden, er zouden zelfs continu ‘Chinezen in onze netwerken zitten’, maar geen van de doemprofeten kon of wilde dit met harde feiten staven. Vrij Nederland heeft inzage gekregen in een zeer klein deel van de gestolen data en een blik op de gestolen waar maakt het gevaar voor het eerst tastbaar – hoewel zich ook nu voor zover bekend geen daadwerkelijke ramp heeft voorgedaan.

Om dit soort computercriminaliteit effectief te bestrijden, moet de overheid meer macht naar zich toe trekken, vindt Ronald Prins van Fox-IT. ‘Wat ik bij Pobelka heel erg merk, is dat de hete aardappel van organisatie naar organisatie wordt geschoven. Wie gaat hier nu over? In Amerika en Engeland heeft de overheid veel meer bevoegdheden. In Engeland worden bijvoorbeeld vitale organisaties gewaarschuwd door de inlichtingendiensten als er een raar virus in hun organisatie rondwaart. Ik zou graag willen dat wij hier ook zoiets opzetten, maar Nederlanders vinden inlichtingendiensten maar eng. Als het gaat om nationale veiligheid vind ik dat de overheid op dat vlak best wel wat mag afdwingen.’

De eerste stap is gezet. De NCSC maakte onlangs bekend een centrale database met informatie over botnetbesmettingen te gaan bouwen (Abuse-IX). ‘Op deze wijze kunnen incidenten zo snel mogelijk gedetecteerd worden zodat deze van een gepaste respons kunnen worden voorzien,’ laat het centrum weten. Ook zou het NCSC graag zien dat haar bevoegdheden worden uitgebreid.

Ot van Daalen van digitale burgerrechtenbeweging Bits of Freedom ziet liever niet te veel macht bij een overheidsinstantie. Hij vindt dat bedrijven zelf hun beveiliging op orde moeten brengen. En als de opsporingsinstanties toch met gestolen informatie aan de slag gaan, moet dat onder strenge voorwaarden. ‘Het moet geen makkelijke manier worden om gegevens van Nederlanders in hun bezit te krijgen en die informatie vervolgens voor bijvoorbeeld de opsporing van belastingfraude te gebruiken. Ik vraag me af hoe het NCSC dergelijk misbruik gaat voorkomen.’

Ook hoogleraar Bart Jacobs heeft zijn twijfels over de rol van de overheid bij de aanpak van deze vorm van cybercrime. ‘Er is geen absoluut neutrale partij in Nederland waarvan we met z’n allen zeggen: het is goed dat deze partij deze supergevoelige gegevens in handen krijgt en het verder netjes afhandelt,’ zei hij op Radio 1.