De Nederlandse politie en het Nationaal Cyber Security Centrum (NCSC) hebben een van de grootste botnetontmantelingen ooit bekendgemaakt. Het netwerk bestond uit ten minste 17 miljoen besmette apparaten wereldwijd en werd aangestuurd via 200 servers die zich allemaal op Nederlands grondgebied bevonden.
De actie is het directe resultaat van een melding door een externe beveiligingsonderzoeker aan het NCSC, dat vervolgens de politie inschakelde voor een gezamenlijk onderzoek.
Het Cybercrime Team van de politie-eenheid Den Haag nam meerdere servers bij een Nederlandse hostingprovider in beslag. De provider haalde de volledige infrastructuur aansluitend offline, nadat was vastgesteld dat de systemen voor criminele doeleinden werden ingezet. Internationale berichtgeving, onder meer via NL Times en BleepingComputer, koppelt de infrastructuur aan een commerciële dienst genaamd Asocks, die als zogenoemd residential proxy-netwerk werd aangeboden. Het NCSC en de politie bevestigen in hun eigen persberichten de naam van de dienst niet, maar omschrijven het netwerk expliciet als een residential proxy-botnet.
Wat maakt dit botnet gevaarlijk: residential proxies als aanvalsinstrument
Een botnetwerk is een verzameling apparaten die ongemerkt zijn geïnfecteerd met schadelijke software en vervolgens op afstand door cybercriminelen worden aangestuurd. Wat dit netwerk bijzonder gevaarlijk maakte, was de inzet als residential proxy-dienst. Daarbij worden de internetverbindingen van nietsvermoedende consumenten gebruikt als doorgeefluik voor kwaadaardig verkeer. Omdat het verkeer afkomstig lijkt van echte privéadressen in plaats van verdachte datacenteradressen, is het voor beveiligingssystemen en platforms aanzienlijk lastiger om de aanvallen te detecteren of te blokkeren.
De apparaten die deel uitmaakten van dit netwerk waren divers: naast computers, smartphones en tablets betrof het ook routers, slimme beveiligingscamera’s en andere IoT-apparaten. Juist die laatste categorie vormt een structureel zwakke schakel. IoT-apparatuur wordt door consumenten en kleinere organisaties regelmatig in gebruik genomen zonder dat standaardwachtwoorden worden gewijzigd of firmware-updates worden doorgevoerd. Criminelen scannen het internet continu op dergelijke kwetsbare apparaten om ze stil in een botnet op te nemen.
Het NCSC wijst erop dat dergelijke netwerken breed worden ingezet voor cyberaanvallen, het verzenden van phishingmails en spam, online fraude en DDoS-aanvallen waarbij websites en digitale diensten worden overbelast met verkeer totdat ze onbereikbaar raken. Wie meer wil weten over de mechanismen achter moderne phishingcampagnes, kan terecht in ons overzicht van de tien meest voorkomende vormen van phishing, waarin ook de rol van malafide infrastructuur wordt belicht.
Hoe apparaten worden ingezet zonder dat eigenaren het merken
De eigenaren van de 17 miljoen gecompromitteerde apparaten waren in vrijwel alle gevallen volledig onwetend. Malware die apparaten onderdeel maakt van een botnet is doelbewust ontworpen om onzichtbaar te blijven: het systeem functioneert normaal, internetverkeer neemt slechts marginaal toe en er zijn geen zichtbare symptomen. De infectie vindt vaak plaats via bekende kwetsbaarheden in verouderde software, via phishingberichten met kwaadaardige bijlagen of links, of door het misbruiken van zwakke of standaardwachtwoorden op routers en slimme apparaten.
Voor organisaties die verantwoordelijk zijn voor netwerken met meerdere endpoints, IoT-apparatuur of thuiswerkende medewerkers, is zichtbaarheid op al het verbonden apparatuur essentieel. Wie niet weet welke apparaten actief zijn op het eigen netwerk, kan ook niet controleren of die apparaten zijn gecompromitteerd. Het NCSC benadrukt in dit kader het belang van patchmanagement, sterke authenticatie en het actief monitoren van netwerkverkeer op afwijkende patronen. Juist het vroegtijdig detecteren van ongebruikelijk uitgaand verkeer kan aanwijzingen geven dat apparaten onderdeel zijn geworden van een botnet.
Praktische maatregelen om besmetting te voorkomen
De ontmanteling van dit botnet onderstreept opnieuw dat digitale basisbeveiliging geen luxe is maar een operationele noodzaak. Het NCSC formuleert een aantal concrete stappen die zowel consumenten als organisaties kunnen nemen om te voorkomen dat hun apparaten worden misbruikt. Regelmatige updates van besturingssystemen, routers en applicaties sluiten bekende kwetsbaarheden die aanvallers als ingang gebruiken. Het gebruik van sterke, unieke wachtwoorden gecombineerd met tweefactorauthenticatie verkleint de kans op ongeautoriseerde toegang aanzienlijk. Wifi-netwerken moeten worden beveiligd met minimaal WPA2 of WPA3, en standaardwachtwoorden van routers en slimme apparaten dienen direct na installatie te worden gewijzigd.
Voor bedrijven en instellingen die werken met complexe netwerkomgevingen gelden aanvullende overwegingen. Netwerksegmentatie zorgt ervoor dat IoT-apparaten zijn geïsoleerd van kritieke systemen, zodat een gecompromitteerd slim apparaat niet automatisch toegang geeft tot gevoeliger onderdelen van de infrastructuur. Geavanceerde firewalloplossingen met deep packet inspection kunnen afwijkend verkeer herkennen en blokkeren voordat schade optreedt. In ons artikel over de resultaten van het NCSC Anti Phishing Shield is te lezen hoe DNS-gebaseerde filtering bijdraagt aan het blokkeren van kwaadaardige infrastructuur, ook voordat gebruikers ermee in contact komen.
Nederlandse hosting als schakel in internationale cybercriminaliteit
Het feit dat alle 200 commandoservers zich in Nederland bevonden, is opvallend maar niet toevallig. Nederland beschikt over een van de best ontwikkelde internetinfrastructuren ter wereld, met meerdere grote internetknooppunten en een dichte concentratie van hostingproviders. Die infrastructuur maakt het land aantrekkelijk voor legitiem internetverkeer, maar ook voor criminelen die op zoek zijn naar snelle, betrouwbare connectiviteit om hun operaties vanuit te draaien. De huidige actie laat zien dat samenwerking tussen opsporingsdiensten en het NCSC effectief is bij het opsporen en ontmantelen van dergelijke infrastructuur, ook wanneer de slachtoffers wereldwijd verspreid zijn.
De ontmanteling van dit botnet is een positieve ontwikkeling, maar lost het structurele probleem van slecht beveiligde consumentenapparatuur niet op. Zolang er miljoenen apparaten aan het internet hangen zonder adequate beveiliging, zullen nieuwe botnetwerken worden opgebouwd zodra de oude worden neergehaald. Structurele verbetering vereist samenwerking tussen fabrikanten, aanbieders, overheden en eindgebruikers.
Wilt u weten hoe uw organisatie de weerbaarheid tegen dit soort dreigingen kan versterken? SolidBE helpt organisaties bij het inrichten van robuuste netwerkbeveiliging, het opsporen van kwetsbare apparatuur en het implementeren van gelaagde verdedigingsstrategieën die ook beschermen tegen misbruik via residential proxies en gecompromitteerde endpoints. Neem contact met ons op voor een gesprek over de specifieke uitdagingen binnen uw netwerkomgeving.
