Het web, de kerstman en de bad boys
De afgelopen tijd hebben op het internet een aantal DDoS-aanvallen plaatsgevonden die we nooit eerder hebben gezien. Ze waren dermate groot dat een aantal van onze grootste en meest gebruikte websites (Twitter, Spotify, SoundCloud, Reddit) het moeilijk hadden om bereikbaar te blijven.
Deze aanvallen komen vanuit een groep jongeren die dit al jaren doet. Een DDoS-aanval is een aanval waarbij dermate veel internetverkeer naar één locatie wordt gestuurd, dat of de locatie zelf, of de routes er naartoe overbelast raken, en zodoende het ‘doel’ niet langer bereikbaar is voor internetverkeer.
Deze groep jongeren begon zo’n vier jaar geleden volop in te zetten op dit type cyberaanval. Het zijn jongeren waarvan de meesten minderjarig zijn: zo rond de 16 jaar. En alsof hun jonge leeftijd nog niet schrikbarend genoeg is, bieden deze groepjes de DDoS-aanval als dienst aan. Ze verkopen dit onder namen als Stresstest en Booterservice, in de volksmond ook wel Stressers en Booters genoemd. De aanvallen worden tegen relatief lage bedragen aangeboden en zijn daardoor ook voor de gemiddelde scholier bereikbaar.
Iedere middelbare school weet waar ik het over heb. Zodra er een online toets plaatsvindt, gaat menig website van de school offline. Dit omdat de leerling in kwestie niet genoeg tijd had om te leren, of… omdat het kan.
De jongens die deze diensten aanbieden worden er niet extreem rijk van, maar verdienen er wel een lekker centje mee. Maar na vier jaar lijken deze aanvalspakketten dermate te zijn geperfectioneerd dat ze een bedreiging beginnen te vormen voor het gehele internet.
Dit is een deja vu. De eerste pc's met internet waren eenvoudig te hacken
Onze jonge hackertjes hebben hun aanvalswapens namelijk verplaatst naar apparaatjes die op dit moment massaal aan het internet worden gekoppeld. Wij oude, traditionele hackers kunnen namelijk vooral met onze desktopcomputers omgaan: die kleine apparaatjes vinden we maar niets.
En juist dit is een enorme deja vu. Jaren geleden besloten we namelijk om ordinaire computers in groten getale aan het internet te koppelen. En die bleken zo verdomd eenvoudig te hacken: soms hadden ze zelfs geen enkel wachtwoord ingesteld, maar wel een IP-adres.
Datzelfde gebeurt nu met de Internet of Things-apparaatjes. Ze worden door alle mogelijke fabrikanten gemaakt voor een zo laag mogelijke prijs.
En wanneer iets zo laag mogelijk geprijsd moet zijn, dan gaan fabrikanten zoeken naar kant en klare spullen die alleen nog maar geassembleerd hoeven te worden. En zo geschiedde. De systemen die gebouwd worden, hebben een standaard software-installatie met een standaard wachtwoord. En onze jonge hackertjes kennen deze wachtwoorden.
Via al deze wachtwoorden nemen ze nu al deze minicomputers over en gebruiken ze de internetverbinding die aan het apparaatje is gekoppeld om een DDoS aanval uit te voeren. De jongens hebben ook nog een andere traditie, een zo groot mogelijke DDoS-aanval uitvoeren tijdens de kerstdagen. Het moment dat iedereen de playstation die hij cadeau heeft gehad online wil uittesten.
Sinterklaas is net geweest: ik houd mijn hart vast voor wat de kerstman ons dit jaar zal brengen.
Als afsluiting de woorden van het Blastervirus, dat ooit dood en verderf zaaide toen Windows-computers te pas en te onpas aan het internet werden gekoppeld: 'Billy Gates why do you make this possible? Stop making money and fix your software!'
