{"id":42223,"date":"2013-03-07T13:53:00","date_gmt":"2013-03-07T11:53:00","guid":{"rendered":"http:\/\/beta.vn.nl\/criminele-virussen\/"},"modified":"2013-03-07T13:53:00","modified_gmt":"2013-03-07T11:53:00","slug":"criminele-virussen","status":"publish","type":"post","link":"https:\/\/www.vn.nl\/criminele-virussen\/","title":{"rendered":"Criminele virussen"},"content":{"rendered":"
Reconstructie: De overheid staat machteloos tegenover serieuze computercriminaliteit. Hoe het Pobelka-computervirus heel Nederland lam had kunnen leggen.<\/div>\n
\n

Een paar uurtjes. Meer zegt Rickey Gevers niet nodig te hebben om het Nederlandse vliegverkeer plat te leggen. Hoe moeilijk kan het zijn? Hij heeft immers de inloggegevens en wachtwoorden van vliegtuigmaatschappijen en andere instanties uit de luchtvaartbranche.<\/p>\n<\/p><\/div>\n

\n

Het staat allemaal op het bestand van 750 gigabite dat de veiligheidsexpert van het Hilversumse bedrijf Digital Investigation in het najaar van 2012 in handen kreeg. Tussen die gegevens zit zeer gevoelige informatie over \u2018ongeveer ieder bedrijf\u2019 in Nederland.<\/p>\n

De onderzoeker komt in het najaar van 2012 voor het eerst in aanraking met het zogenaamde \u2018Pobelka-virus\u2019. In september blijkt de website van De Telegraaf<\/i> \u2013 een van de meest bezochte van Nederland \u2013 te zijn gehackt. Bezoekers van de site worden ongemerkt besmet en zo is een botnet, een netwerk van duizenden zombiecomputers, ontstaan. Een van de dingen die Pobelka doet, is het wegsluizen van informatie uit die computers. Bank\u00adgegevens, Facebookaccounts, mailuitwisselingen, alles komt via het internet bij de criminelen terecht. Binnen de wereld van cyber\u00ad\u00adsecurity is dat geen nieuws. Dergelijke aanvallen zijn volgens specialisten aan de orde van de dag, continu worden Nederlandse computergebruikers ge\u00efnfecteerd met zogenaamde malware.<\/p>\n

Het lijkt dus een routineklus voor Digital Investigation, dat op eigen initiatief de aanval onderzoekt. En net als in veel andere onderzoeken belandt Gevers in Rusland. De gestolen data worden daar verzameld door een server, een zogenaamde proxy, die slechts als intermediair dient en de informatie doorstuurt. Het lukte de computerdeskundige om te achterhalen waar de gegevens uiteindelijk worden verzameld. Hij komt uit bij een in Duitsland draaiende server.<\/p>\n

Gevers waarschuwt vervolgens het specialistenteam van de Nederlandse politie, de High Tech Crime Unit (HTCU). Na overleg met de cybercops benadert hij het bedrijf waar de server staat \u2013 als de politie dat via offici\u00eble wegen zou doen, gaan er maanden over heen. Wel wil de HTCU graag \u2018een kopietje\u2019 van de gestolen data. Gevers stuurt een gedetailleerd technisch verslag van zijn speurtocht naar de eigenaar van het hostingbedrijf. Die reageert in eerste instantie laconiek, maar een dag later mailt hij: \u2018Ik heb nog een keer gekeken. Je hebt gelijk. It\u2019s all bad.\u2019<\/p>\n

Dodelijk<\/b><\/p>\n

Digital Investigation krijgt vierentwintig uur om de gegevens te kopi\u00ebren: daarna zal het bedrijf de gecorrumpeerde server wissen. Via een speciale internetverbinding haalt Gevers 750 gigabyte aan data op. Een gigantische vangst, want het gaat om \u2013 in platte tekst \u2013 120 miljoen pagina\u2019s gevuld met priv\u00e9-informatie van voornamelijk Nederlandse bedrijven en organisaties. Van ziekenhuizen tot energiebedrijven en van rechtbanken tot ministeries. \u2018Gegevens die dodelijk kunnen zijn als ze in verkeerde handen komen,\u2019 zegt Gevers. \u2018Je kunt via de besmette computers volledige controle krijgen en systemen overnemen. We rolden van de ene in de andere verbazing. Alle vitale sectoren van Nederland zaten er tussen. Chemie, drinkwater, omroepen. Alleen nucleaire energie zat er niet tussen. Maar dat is misschien omdat ik niet goed genoeg heb gezocht.\u2019<\/p>\n

Daarop nodigt Gevers twee rechercheurs van HTCU uit. Om zijn verhaal kracht bij te zetten, laat hij zien dat ook de computers van verschillende politieagenten zijn gehackt. De boodschap komt over, de rechercheurs zeggen hun uiterste best te gaan doen. Ze krijgen een harde schijf mee waarop een kopie van de data staat. Maar na overleg met hun bazen komen ze met een teleurstellend bericht: de politie heeft op dat moment geen capaciteit om het Pobelka-virus en de gestolen data verder te onderzoeken.<\/p>\n

Ondertussen zorgt Digital Investigation ervoor dat Pobelka wordt ontmanteld. Op verzoek van Gevers haalt een Russische internetinstantie vier websites uit de lucht die het virus draaiende hielden. Daarmee is \u2018de kop van het moederschip\u2019 er succesvol afgehaald, in termen van computerbeveiligers.<\/p>\n

Korte tijd later stapt Gevers naar het Nationaal Cyber Security Centrum (NCSC). Het NCSC heeft als taak te waken over de digitale veiligheid van sectoren die de vitale infrastructuur vormen (onder meer energie, telecommunicatie, verkeer, media). Hij vindt dat de NCSC actie moet ondernemen. Maar tot Gevers\u2019 verbazing zegt het centrum alleen haar leden te zullen inlichten: dat zijn enkele tientallen instanties die zichzelf eerder hebben aangemeld als \u2018vitaal\u2019.<\/p>\n

De veiligheidsexpert besluit dan maar zelf een website te bouwen waarop instanties, bedrijven en particulieren kunnen controleren of ze met het Pobelka-virus zijn besmet.<\/p>\n<\/p><\/div>\n

\"Het
Het vliegverkeer kan zo platgelegd worden. Fotocredit: Goos van der Veen\/HH<\/figcaption><\/figure>\n
\n

Onder\u00adtussen heeft het antivirusbedrijf Surf\u00adRight waarmee Digital Investigation samenwerkt, een rapport over het criminele botnet online geplaatst. In dat onderzoek komt naar voren dat de cybercriminelen van Pobelka waarschijnlijk ook verantwoordelijk zijn voor eerdere aanvallen, waaronder de uitbraak van het Dorifel-virus. Dat besmette vorig jaar tienduizenden computers en ontvreemde bankgegevens van honderden Nederlanders. Binnen de wereld van cybersecurity wordt het onderwerp al snel opgepikt. Op kerstavond schrijft internetjournalist Brenno de Winter in een column op de website van HP\/De Tijd<\/i> over Pobelka: \u2018Ik overdrijf niet als ik stel dat ge\u00efnfecteerde netwerken volledig zijn overgeleverd aan criminelen, die in een zwaar geautomatiseerd land als Nederland elk detail van de bedrijfsvoering kunnen zien. Dat is vele tientallen of honderden miljoenen waard en zeker ook interessant voor ons niet zo vriendelijk gezinde landen.\u2019<\/p>\n

De Winter mag bij Digital Investigation een blik werpen op de gestolen data en is naar eigen zeggen \u2018verbijsterd\u2019. Hij ziet \u2018lopende zaken van een gerenommeerd advocatenkantoor en komende rechtzaken\u2019, \u2018welke medewerker op een ministerie precies aan welke Kamervragen werkt\u2019 en \u2018welke medewerkers in een ziekenhuis welke verslagen schrijven\u2019.<\/p>\n

Spionage<\/b><\/p>\n

Ook het Delftse beveiligingsbedrijf Fox-IT heeft zich inmiddels vastgebeten in Pobelka. In een op hun site gepubliceerd onderzoeksrapport plaatsen de digitale speurders het virus in een bredere context en concluderen dat het botnet \u2018niet buitensporig groot of invloedrijk, maar gemiddeld van omvang\u2019 is. Oftewel: er zijn veel grotere aanvallen gaande die veel meer schade berokkenen. Volgens directeur Ronald Prins staat Pobelka niet op zich: \u2018Er zijn tientallen, echt tientallen van dit soort botnets en duizenden computers zijn besmet. Over een langere periode heb je het over honderdduizenden infecties. Ik denk wel een miljoen in Nederland.\u2019 Rickey Gevers bevestigt die conclusie: \u2018Het enige bijzondere aan Pobelka is dat we de gestolen data in handen hebben gekregen.\u2019<\/p>\n<\/p><\/div>\n

\n
\n

Bankgegevens, Facebookaccounts, mailuitwisselingen, alles komt via het internet bij de criminelen terecht<\/p>\n<\/blockquote>\n<\/div>\n

\n

De onderzoekers van Fox-IT zien net als Gevers dat er gevoelige informatie tussen zit, bijvoorbeeld over interne netwerken van organisaties en inloggegevens \u2018die verkocht zouden kunnen worden in door staten ondersteunde spionage\u2019. Maar de Delftenaren zijn \u2018behoorlijk zeker\u2019 dat het de criminelen daar in het geval van Pobelka niet om te doen is. Ronald Prins: \u2018Die jongens willen gewoon snel geld verdienen. Maar goed, het potenti\u00eble gevaar van verder misbruik is er zeker.\u2019<\/p>\n

Sussende woorden<\/b><\/p>\n

Ondanks de alarmerende berichten in de kleine kring van deskundigen blijft het daarbuiten lange tijd stil. Tot Journaal<\/i>-verslaggever Jeroen Wollaars op het Pobelka-verhaal stuit. Tijdens zijn research komt hij er achter dat ook Nederlandse mediabedrijven, waaronder de NOS, zijn getroffen. Wollaars vraagt de gestolen data bij Digital Investigations op. Hij schrikt als hij ziet dat veertien computers van de NOS zijn besmet en de wachtwoorden van 35 medewerkers zijn gelekt.<\/p>\n

Wollaars krijgt van Digital Investigations twee dagen om de bestanden te bekijken. Hij ziet wat Gevers en Brenno de Winter ook al zagen: zo goed als ieder bedrijf in Nederland is slachtoffer van de aanval. De verslaggever besluit twintig bedrijven en instanties die getroffen zijn en behoren tot de vitale infrastructuur te vragen of ze van de aanval op de hoogte zijn. Hij belt waterleidingbedrijven, partijen uit de luchtvaartsector, gemeenten, een ziekenhuis. In tegenstelling tot wat de NCSC eerder verklaarde, krijgt Wollaars te horen dat geen enkele instantie bericht heeft gekregen over de besmetting. Op 14 februari opent het Journaal<\/i> met het nieuws. \u2018Overheid wist van cyberaanval, maar deed niets.\u2019 Curieus, want het NCSC is er juist op gericht om te waken over de veiligheid van veel getroffen bedrijven en instanties. In een reactie aan Vrij Nederland beaamt het centrum slechts zestien departementen en instellingen ge\u00efnformeerd te hebben over de besmetting. Over andere besmette computers heeft het NCSC de betroffen Internet Service Providers ingelicht. Die zouden op hun beurt hun eigen klanten kunnen informeren.<\/p>\n

Erg daadkrachtig lijkt het allemaal niet. En ook de reacties van andere betrokken overheidsinstanties zijn weinig geruststellend. Waarom heeft de politie bijvoorbeeld niet gehandeld, terwijl ze al in oktober 2012 op de hoogte was? \u2018We hebben een deel van de informatie aangeboden gekregen, maar die data bleek onleesbaar,\u2019 zegt een woordvoerder tegen de website Webwereld.nl op 19 februari.<\/p>\n

De zegsman van het ministerie van Veiligheid en Justitie zegt diezelfde dag met grote stelligheid dat er \u2018geen computers van de rijksoverheid zijn besmet,\u2019 maar moet die bewering snel weer intrekken als hij met de feiten wordt geconfronteerd: zevenenvijftig computers van acht verschillende ministeries \u2013 waaronder Veiligheid en Justitie \u2013 zijn getroffen door het virus.<\/p>\n

Desondanks spreekt minister Opstelten van Veiligheid en Justitie een dag na de NOS-uitzending sussende woorden tegenover de omroep. \u2018Natuurlijk schrikken we daar van, maar we nemen ook de maatregelen die genomen moeten worden. Wij weten wat we dan moeten doen.\u2019 De bewindsman vindt dat de reactie van het NCSC laat zien dat het centrum \u2018echt een spin in het web is\u2019. Opstelten noemt het verder \u2018plezierig\u2019 dat het NCSC \u2018adequaat\u2019 heeft gehandeld.<\/p>\n<\/p><\/div>\n

\"\u2018Je
\u2018Je kunt via de besmette computers volledige controle krijgen en systemen overnemen\u2019. Fotocredit: Freek van Arkel\/HH<\/figcaption><\/figure>\n
\n

Diefstal<\/b><\/p>\n

Dat is nog maar de vraag. Bart Jacobs, hoogleraar computerbeveiliging en lid van de Cyber Security Raad noemt het Pobelka-virus in een radio-interview \u2018verschrikkelijk\u2019 en waarschuwt dat met de gestolen gegevens de aanvallers in feite de ICT-infrastructuur over kunnen nemen en het maatschappelijk verkeer stil kunnen leggen. Achteraf zegt het NCSC niet te kunnen \u2018oordelen wat kwaadwillenden met de inhoud van de dataset zouden kunnen doen\u2019. Het ging om gestolen informatie en past daarmee volgens het NCSC niet binnen haar bevoegdheid.<\/p>\n

Toch maakt het NCSC een paar dagen na de NOS-uitzending bekend dat ze samen met de opsporings- en inlichtingendiensten (HTCU, AIVD en MIVD) nu w\u00e9l de gestolen data gaan onderzoeken en daarover binnenkort gezamenlijk zullen rapporteren.<\/p>\n

Vanwaar deze plotselinge daadkracht? Maken de overheidsinstanties zich nu ineens daadwerkelijk zorgen over de potenti\u00eble impact die het Pobelka-virus heeft? \u2018Nu onderdelen van de dataset in de openbaarheid zijn gekomen, is daarmee het risico van misbruik groter geworden en tevens door een aantal partijen de suggestie is gewekt dat hiermee mogelijk een groot belang zou zijn geschaad,\u2019 zegt het NCSC in een reactie.<\/p>\n

Ondertussen gaat de diefstal van gevoelige informatie via andere botnets gewoon door, zegt Ronald Prins van Fox-IT. \u2018De media hebben het nu op de agenda gezet, de Tweede Kamer zal wel vragen gaan stellen, dan gebeuren er dingen maar dat is vaak tijdelijk. Over drie maanden zijn mensen het weer vergeten.\u2019 Zelfs als het NCSC eerder wel meteen had gereageerd, zou dat volgens Prins weinig verschil hebben gemaakt. \u2018Je doet een paar deurtjes dicht, terwijl er vermoedelijk op hetzelfde moment nog tien deurtjes openstaan bij dezelfde organisatie.\u2019<\/p>\n

Het is een somber beeld dat de directeur van Fox-IT schetst. Aan de andere kant is het moeilijk te zeggen wat de exacte consequenties zijn van Pobelka: getroffen bedrijven die daadwerkelijk schade hebben ondervonden \u2013 geplunderde bankrekeningen of gestolen bedrijfsgeheimen \u2013 zijn nog niet naar buiten getreden. Wellicht dat het onderzoek van de NCSC naar Pobelka meer helderheid biedt. Over twee weken komt het centrum met haar bevindingen. Rickey Gevers ziet er naar uit. \u2018Ik denk dat de boodschap wel over is gekomen. Ze kunnen niet anders zeggen dan dat het behoorlijk serieus is.\u2019<\/p>\n<\/p><\/div>\n

\n

Kader 1: Wie zit er achter?<\/h3>\n

Toen Rickey Gevers vorig jaar de gestolen spullen in handen kreeg, zocht hij allereerst naar sporen van de dader. Tussen alle gegevens vond de computerexpert een filmpje van het computerscherm van de dader. De opname toont hoe de crimineel snel klikt op de internetsite van de ING Bank. Dat doet deze zeer behendig. Volgens Gevers valt daaruit te concluderen dat de dader de Nederlandse taal enigszins beheerst, \u00f3f precies weet waar hij moet klikken.<\/p>\n

Ook Fox-IT speurde naar de persoon\/personen achter Pobelka. Onderzoeker Michael Sandee infiltreerde online in de hackersgemeenschap en zag dat \u00e9\u00e9n van hen \u2013 met het alias Finist \u2013 grote belangstelling toonde voor Nederlands internetverkeer. Gedurende de periode dat het virus hier actief was, was diezelfde Finist via het internet in Nederland op zoek naar zogenaamde money mules. Dat zijn mensen die hun rekeningnummers als doorgeefluik beschikbaar stellen voor online buitgemaakt geld. De verzoeken van Finist waren in het cyrillisch geschreven. \u2018Dit soort activiteiten vindt grotendeels plaats in Oost-Europa en verder,\u2019 zegt Sandee. \u2018Handleidingen hoe je dit soort aanvallen moet doen, zijn in het cyrillisch. Als je een dergelijk virus wil kopen en je spreekt geen Russisch, dan wordt het lastig.\u2019 Een Rus die de Nederlandse taal beheerst. Maar brengt je dat veel verder? Sandee: \u2018Je weet dat iemand in Oost-Europa zit. Dan kan het maanden duren voor je medewerking van de lokale instanties krijgt. Dan kunnen de digitale sporen volledig zijn gewist.\u2019<\/p>\n<\/p><\/div>\n

\n

Kader 2: Wake up call<\/h3>\n

Tot nu toe leek de door veiligheidsexperts geschetste dreiging slechts in theorie te bestaan. Er zou op grote schaal bedrijfsspionage plaatsvinden, er zouden zelfs continu \u2018Chinezen in onze netwerken zitten\u2019, maar geen van de doemprofeten kon of wilde dit met harde feiten staven. Vrij Nederland heeft inzage gekregen in een zeer klein deel van de gestolen data en een blik op de gestolen waar maakt het gevaar voor het eerst tastbaar \u2013 hoewel zich ook nu voor zover bekend geen daadwerkelijke ramp heeft voorgedaan.<\/p>\n

Om dit soort computercriminaliteit effectief te bestrijden, moet de overheid meer macht naar zich toe trekken, vindt Ronald Prins van Fox-IT. \u2018Wat ik bij Pobelka heel erg merk, is dat de hete aardappel van organisatie naar organisatie wordt geschoven. Wie gaat hier nu over? In Amerika en Engeland heeft de overheid veel meer bevoegdheden. In Engeland worden bijvoorbeeld vitale organisaties gewaarschuwd door de inlichtingendiensten als er een raar virus in hun organisatie rondwaart. Ik zou graag willen dat wij hier ook zoiets opzetten, maar Nederlanders vinden inlichtingendiensten maar eng. Als het gaat om nationale veiligheid vind ik dat de overheid op dat vlak best wel wat mag afdwingen.\u2019<\/p>\n

De eerste stap is gezet. DE NCSC maakte onlangs bekend in te zetten ‘op het versterken van de detectiecapaciteit bij de Rijksoverheid en de vitale sector’. \u2018Op deze wijze kunnen incidenten zo snel mogelijk gedetecteerd worden zodat deze van een gepaste respons kunnen worden voorzien,\u2019 laat het centrum weten. Ook zou het NCSC graag zien dat haar bevoegdheden worden uitgebreid.<\/p>\n

Ot van Daalen van digitale burgerrechtenbeweging Bits of Freedom ziet liever niet te veel macht bij een overheidsinstantie. Hij vindt dat bedrijven zelf hun beveiliging op orde moeten brengen. En als de opsporingsinstanties toch met gestolen informatie aan de slag gaan, moet dat onder strenge voorwaarden. \u2018Het moet geen makkelijke manier worden om gegevens van Nederlanders in hun bezit te krijgen en die informatie vervolgens voor bijvoorbeeld de opsporing van belastingfraude te gebruiken. Ik vraag me af hoe het NCSC dergelijk misbruik gaat voorkomen.\u2019<\/p>\n

Ook hoogleraar Bart Jacobs heeft zijn twijfels over de rol van de overheid bij de aanpak van deze vorm van cybercrime. \u2018Er is geen absoluut neutrale partij in Nederland waarvan we met z\u2019n allen zeggen: het is goed dat deze partij deze supergevoelige gegevens in handen krijgt en het verder netjes afhandelt,\u2019 zei hij op Radio 1.<\/p>\n<\/p><\/div>\n","protected":false},"excerpt":{"rendered":"

Reconstructie: De overheid staat machteloos tegenover serieuze computercriminaliteit. Hoe het Pobelka-computervirus heel Nederland lam had kunnen leggen.<\/p>\n","protected":false},"author":1023,"featured_media":253623,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"content-type":"","ep_exclude_from_search":false,"footnotes":""},"tags":[],"class_list":["post-42223","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"acf":[],"author_name":"Harry Lensink, Maurits Martijn","_links":{"self":[{"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/posts\/42223","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/comments?post=42223"}],"version-history":[{"count":0,"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/posts\/42223\/revisions"}],"author":[{"embeddable":true,"name":"Harry Lensink, Maurits Martijn","href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/users\/1023"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/media\/253623"}],"wp:attachment":[{"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/media?parent=42223"}],"wp:term":[{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.vn.nl\/wpg-api\/wp\/v2\/tags?post=42223"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}