Opruimen van botnets

Microsoft Digital Crimes Unit rapporteert in maart 2011 over het oprollen van het Rustock netwerk.
Een jaar eerder waren ze erin geslaagd om het Waledac-netwerk te elimineren. De daarbij opgedane ervaring kwam nu van pas om een groter en meer kwaadaardig netwerk aan te pakken. Rustock had meer dan 1 miljoen pc's onder controle en gebruikte die vooral om enorme hoeveelheden spam te versturen. In samenwerking met de authoriteiten werden na maanden onderzoek verschillende command and control servers verspreid over de VS in beslag genomen. (Bij 5 providers in 7 steden.) Volgens Microsoft was Rustock taaier dan Waledac, omdat het controleerde vanuit hardgecodeerde IP-adressen i.p.v. Domeinnamen. Het was dus nodig om de betreffende servers te pakken te krijgen, voordat de beheerders de controle over het netwerk konden overbrengen naar andere plaatsen. Een soortgelijk verhaal als het oprollen van het Bredolab-netwerk door de Nederlandse politie. Dat netwerk werd gecontroleerd (door een Armeense crimineel) vanuit een provider in Amsterdam.
Volgens Microsoft is het zaak om snel de kern-infrastructuur van het netwerk te inactiveren en dan de malware van alle geïnfecteerde computers te schonen.

Microsoft stelt, dat intensieve samenwerking tussen partijen nodig is om succesvol cybercrime te bestrijden. In het geval van Rustock noemt Microsoft een vijftal partijen, waaronder de Dutch High Tech Crime Unit van de Nederlande politie. De laatste partner hielp bij het ontmantelen van de buitenlandse command and control infrastructuur van het netwerk.
Het is toch wel frappant, dat de Nederlandse politie in de bestrijding van deze misdaden een vooraanstaande positie inneemt. Heeft er enerzijds mee te maken, dat Nederland (Amsterdam) een belangrijke spil is in het internetverkeer tussen de continenten, maar anderzijds ook met de ambities van de Nederlandse politie. (Zie mijn postings van 28 mei 2008 en 28 januari 2009.)

Botnets zijn een middel voor cybercriminelen voor online aanvallen via duizenden geïnfecteerde computers. Ze versturen spam, doen denial-of-service aanvallen, verspreiden malware, stelen passwords, faciliteren klikfraude bij online adverteren en meer.
Rustock verstuurde soms 30 miljard spam-mails per dag! De mails verkopen bijvoorbeeld geneesmiddelen, die zeer gevaarlijk kunnen zijn. Pharmaciebedrijf Pfizer heeft daarover een verklaring geschreven om de aanklacht van Microsoft bij de rechter te ondersteunen.
Een medicijn als Viagra wordt nagemaakt en via spam-mails aangeboden. Deze namaakprodukten kunnen verkeerde componenten bevatten en in een aantal gevallen zijn in de produkten verfresten, pesticiden en zware metalen aangetoond.

Het Data Breach Investigations Report 2011 van Verizon is een studie door deze netwerkleverancier in samenwerking met US Secret Service en, alweer, the Dutch High Tech Crime Unit.
Deze studie wijst op het succes van de aanpak van grote cybercriminelen. De studie toont, dat er meer 'inbraken', zijn maar dat de gemiddelde buit afneemt. Men denkt, dat de grote criminelen zien, hoe hun grote projecten door gecoördineerde aanpak van politie-organisaties kwetsbaar worden en dat ze ook als persoon kans lopen om opgespoord te worden. Zodat deze criminelen zich meer gaan richten op kleinere en meer kwetsbare projecten, zoals het overnemen van points-of-sale, skimmen van geldautomaten en het aanvallen van kleine bedrijven en particulieren. Op CNN schrijft een analist juli 2011, dat de benadering van de criminelen steeds geraffineerder wordt; eerst waren er nog veel digibeten, die ze makkelijk konden misleiden, maar die zijn er steeds minder, zodat ze nu ook meer ervaren internetgebruikers als slachtoffer moeten kiezen. Zoals bijvoorbeeld door namaak antivirusprogramma's, die als boodschap geven: "Your computer has been infected with 49 viruses, click OK to quarantine them."
En weer hebben ze daarbij botnets nodig om de schaal van hun aanvallen te vergroten. CNN: "If they used to send 10,000 e-mails and get just a 1% response, now they'll send 10 million e-mails and get a 0.03% response." Dat zijn dan nog altijd 3000 slachtoffers. Het is dus een goede zaak, dat Microsoft zo ijverig aan de weg timmert om de botnets op te ruimen. Hoewel het natuurlijk wel hún Windows-besturingssystemen zijn, die worden overgenomen door de criminelen.