Methoden van computer-inbraak

Op 9 mei 2011 schreef ik een posting over de beurs Infosecurity. Op die beurs werd ook in meer detail beschreven, hoe computer-inbraken worden uitgevoerd. Daarover gaat deze posting.

Een spreker was bij Deloitte manager van een specialistische groep. Hij legt uit, dat inbreken bij bedrijven en websites moeilijker wordt en dat daarom de computer van de klant wordt aangevallen. Deze Gijs Hollestelle houdt zich bezig met zogenaamde ethical hacking en onderzoekt voor opdrachtgevers de zwakke plekken van hun systemen.
Vroeger waren de hackers academici, die de grenzen onderzochten. Nu zijn het steeds meer slimme, criminele figuren.
Er zijn marktplaatsen waar criminelen de buit van computer-inbraak te koop aanbieden. Voorbeelden van wat er zoal te koop is:
1. volledig te controleren bankrekeningen 10dollar
2. creditcardgegevens 5 dollar
3. identiteitsgegevens 2 dollar
4. ebay account 10dollar
5. etc.
De waarde van een gestolen ebay-account is een doordenker. Als je zo'n account hebt, kun je een produkt te koop aanbieden, zonder de intentie, dat je het produkt gaat leveren. Afnemers betalen geld op jouw rekening en daarmee kun je doorgaan totdat het account wordt ontmaskerd als frauduleus en wordt gesloten.
In feite is er een bedrijfskolom of waardeketen van computercriminaliteit. Vooraan in de keten zitten de criminelen die computergegevens stelen. Daarna komen de lieden, die deze gegevens misbruiken om geld en goederen te stelen. Ook 'katvangers' hebben een rol in deze ketens; zij stellen tegen vergoeding hun bankrekening ter beschikking aan criminelen om de geldstroom te kanaliseren.

Welke vormen van inbraak zijn mogelijk?
1. De eerste is 'simple phishing'. Formulier met verzoek om persoonlijke gegevens en bankgegevens op te geven zogenaamd ter controle voor de bank, of met een ander voorwendsel.
Mensen kregen een brief van de belastingdienst (IRS), dat ze geld terugkregen. Ze moesten alleen nog hun bankgegevens doorgeven.
Een andere mogelijkheid is een mail met een zip-file of een link waarop je moest klikken. Deloitte had zo'n mail laten analyseren en er bleek een zeus/zbot in te zitten. http://en.wikipedia.org/wiki/Zeus_%28trojan_horse%29 Deze malware werd maar door enkele van de ingezette virusscanners geïdentificeerd. De virusscanner van McAfee vond hem niet.
2. 'Beyond simple phishing.' Lokken naar een fakewebsite, soms ook een namaak van een echte site, die niet te onderscheiden is. En dan de bezoeker op deze site zijn gegevens laten inkloppen.
3. 'More sophisticated.' Je krijgt bijvoorbeel mail van een airline, dat een vlucht wordt gecancelled of verandert; als je de link volgt om de geboekte reis te kunnen afzeggen of aan te passen druk je op links, waarmee je trojans/ zbots naar binnen haalt in je eigen systeem. De trojans/ zbots hebben technieken tegen scanners en laten zich dus niet opsporen en verwijderen. Ze zijn op afstand bestuurbaar en kunnen andere pc's infecteren. Zo wordt een botnet opgebouwd.
4. 'Man in the browser'. Verandert het scherm dat naar de bank gaat, omdat de indringer de controle heeft over de browser. Verandert bij een betaling bijvoorbeeld de tegenrekening, maar laat op het scherm als bevestiging wel het echte nummer zien.
5. Er is ook het zg typo-squatting. Je typt per abuis www.gogle.com en je komt dan op een andere website waar je wel 'google' wordt voorgespiegeld terwijl je pc intussen geinfecteerd wordt.

Er zijn dus vele manieren, waarop criminelen binnen kunnen dringen in computers en zich meester kunnen maken van gegevens.
Het is opvallend, hoe vaak leveranciers van software 'security updates' moeten rondsturen om gaten in de software te dichten. Vaak is men dan al te laat, want gaten worden voortdurend gezocht en ze zijn geld waard zolang ze nog niet ontdekt en gerepareerd zijn.
Gebrek aan discipline bij gebruikers maakt het nog altijd mogelijk om bestanden via mail binnen te smokkelen, of via besmette usb-sticks of door het lokken van foute websites.

De spreker besluit met de opmerking, dat de I-pad controleert welke applicaties erop staan. Wellicht, dat je in de toekomst moet werken met twee machines: één voor de serieuze applicaties en één voor spelletjes.