Onbeschermde pc? 50 aanvallen per uur!
Hackers, spam, wormen, phishing en gegevensdiefstal zijn helaas allemaal bekende termen geworden. Maar ondanks alle berichten zijn er nog altijd mensen die geen firewall of antivirus-software hebben draaien. Wij wilden weten hoeveel risico ze daarmee lopen en installeerden een zogenoemde honeypot. Nou, dat hebben we geweten…
Een honeypot is een computer of programma dat wordt gebruikt om hackers en andere aanvallers om de tuin te leiden. Het lijkt alsof er een machine online staat die slecht is afgeschermd. Voor een aanvaller een ideale plek om in te breken en vervolgens het (bedrijfs)netwerk verder te infiltreren, of op zijn minst om gegevens vanaf te stelen of malware mee te verspreiden. Maar terwijl het lijkt of de pc met de honeypot daadwerkelijk besmet raakt of wordt gekraakt, houdt de software precies bij wat er gebeurt. De honeypot is dus een uitmuntende manier om te zien hoeveel risico u op internet loopt zónder afdoende beveiliging …
DMZ
We installeren de honeypot-software HoneyBOT (www.atomicsoftwaresolutions.com/honeybot.php) op twee virtuele machines; een met Windows XP en een met Windows 7. De eerste verdedigingslinie is echter niet de firewall van uw computers, maar uw modem en/of router. Deze kastjes verzorgen de fysieke verbinding met internet en zijn allang geen domme doorgeefluiken meer. In principe blokkeert een goede modem of router al heel wat ellende, nog voordat eventuele aanvallers bij uw pc kunnen komen. Dat blijkt wel als we geen enkele aanval registreren. Logisch, want we hebben onze zaakjes uiteraard goed voor elkaar. Om te zien hoe zwaar een onverdedigde machine het te verduren krijgt, schakelen we de firewall op onze router uit. Bovendien voegen we de machines met de HoneyBot-software erop toe aan de zogenoemde Demilitarized Zone (DMZ).
Direct raak
Nadat we de eerste linie hebben ge-opend is het tijd om ook de firewall van Windows zelf neer te halen. Nu we onze ‘pc’ op deze manier een nog aantrekkelijker doelwit hebben ge-maakt, laten de onverlaten niet lang op zich wachten. Na vier uur staat de teller al op ruim honderdzestig aanvallen! We laten de machine dag en nacht aanstaan en besluiten ons onderzoek pas te stoppen als we tienduizend keer zijn aangevallen, of er tien etmalen verstreken zijn. Uiteindelijk blijkt een slecht beveiligde machine gemiddeld 0,76 keer per minuut aangevallen te worden, ongeacht het besturingssysteem. Wel is Windows 7 standaard stukken veiliger dan XP, maar voor de blind schietende aanvallers maakt het niet uit; elke online computer is voor hen een doelwit. Tijdens piekuren is er gemiddeld elke 72 seconden een aanval, in de daluren elke 99 seconden. Op de drukste dag zien we 1342 aanvallen voorbij komen. De minst drukke dag telt ‘slechts’ 863 aanvallen.
Nichemarkt
HoneyBot is gratis, evenals Honeyd voor Linux. Maar verder zijn er maar bar weinig commerciële of gratis honey-pots te vinden. De maker van de zeer veelzijdige honeypot Specter geeft aan hard te werken aan een nieuwe versie van zijn product, maar geeft tegelijk toe dat het een echte nichemarkt betreft waaraan minder dan een procent van het gemiddelde it-beveiligingsbudget opgaat. Beveiliger F-Secure meldt dat honeypots een stuk minder belangrijk zijn geworden voor het bedrijf. Ze zijn nog wel in gebruik, maar tegenwoordig gebruikt men ook zogenoemde honey-monkeys. Deze zelf ontwikkelde programma’s gaan actief op zoek naar online dreigingen door zich voor te doen als onvoorzichtige mensen. Publieke honeypots voor Macintosh, iPhones en Android bestaan helaas niet, maar omdat deze systemen op andere manieren werken, komt het gevaar hier eigenlijk alleen in de vorm van apps die kwaad in de zin hebben, en niet willekeurig vanaf internet.
Aanvalluh!
Zoals u in de grafiek kunt zien, stijgt het aantal aanvallen zeer voorspelbaar naarmate de tijd vordert. In het drukste uur vinden er vijftig aanvallen plaats, in het minst drukke uur zesendertig. Een paar keer is er een klein sprongetje te zien, wat aangeeft dat er meestal wat meer aanvallen plaatsvinden in de ochtenden dan in de avonden. Na negen dagen, twee uur en 57 minuten (net geen 219 uur) bereiken de aanvallers onze grens van tienduizend aparte aanvallen. Tijd om nog meer interessante statistieken uit de cijfers te destilleren!
Vroeger
We hebben in 2008 ook een honeypot gebruikt in ons voortdurende onderzoek naar de onveiligheid van internet. Toen was het gemiddelde aantal aanvallen per dag veel hoger; maar liefst 2830 per etmaal, met een piek van 4368! Je zou dus denken dat internet veiliger is geworden, maar dat is helaas niet zo. De daling in ongerichte aanvallen is goed te verklaren: toen we de eerste keer onderzoek deden, waren er nog aardig wat pc’s online met Windows 95, 98 en NT. En die hadden standaard geen firewall.
Ook waren de meeste routers slecht beveiligd en lieten standaard praktisch alles door. Bovendien waren veel gebruikers niet goed op de hoogte van de gevaren op internet. Het loonde voor kwaadwilligen dan ook de moeite om gewoon willekeurige machines op het web aan te vallen. Het aantal willekeurige aanvallen mag dan verminderd zijn, ze komen nog wel zeer regelmatig voor. Dat komt ook omdat er nog steeds veel oude pc’s zijn met een zwakke beveiliging, alleen staan die nu veelal in India en China.
Poorten dicht!
Uw pc heeft meestal slechts één fysieke verbinding met internet. Toch willen er meestal vele tientallen programma’s en diensten tegelijk gebruikmaken van deze verbinding. Om al dat in- en uitgaande verkeer mogelijk te maken is er de poort bedacht. Een poort wordt geïdentificeerd door het poortnummer, een extra getal dat achter uw internetadres wordt geplakt. Zo’n 1100 van de 65.535 potentiële poorten zijn standaard verbonden aan een dienst. Zo komen e-mailtjes binnen op poort 110 en worden ze verzonden via 25. Surfen op internet doet u via poort 80 (onversleuteld) of poort 443 voor versleutelde https-verbindingen.
Het feit dat een dienst standaard op commando’s wacht via een bepaalde poort betekent dat hackers gemakkelijk in kunnen schatten via welke poort ze een specifieke dienst kunnen aanvallen. Gelukkig is het mogelijk om een dienst op te dragen om zijn luisterwerkzaamheden te verleggen naar een zelf te bepalen andere poort. Een goed voorbeeld hiervan is de ftp-server. Standaard werkt deze via poort 21, maar deze belangrijke dienst benaderen wij al jarenlang op een willekeurig gekozen andere poort. Zo bouwen we een kleine extra beveiliging in en poort 21 reageert totaal niet op verkeer, waardoor de ftp-dienst in eerste instantie niet in-geschakeld – en dus geen doelwit – lijkt te zijn.
China
Elke aanvaller laat een internetadres achter. Op bepaalde websites kunnen we daarmee controleren vanuit welk land de aanval is ingezet. Veruit de meeste aanvallen komen uit China; zo’n dertien in-dividuen per dag. Bovendien zijn de Chinezen ook veel actiever dan ge-middeld; eentje trakteert ons zelfs op 102 aanvallen achter elkaar! Amerika levert dagelijks vier aanvallers, het voormalig Oostblok en West-Europa beide ook vier, Zuidoost Azië drie en de rest van de wereld vier.
Populair
De populairste aanval is de zogenaamde portscan. Dit is vergelijkbaar met een inbreker die rammelt aan alle deuren en ramen, om te kijken waar hij vervolgens zal toeslaan. Een hacker of automa-tisch programmaatje stuurt een berichtje naar onze honeypot en afhankelijk van de reactie bepaalt men of en hoe onze machine aan-gevallen kan worden. Daarna zijn de meeste aanvallen gericht op de webbrowser. De browser vraagt normaal gesproken websites op als u hem gebruikt. Maar soms is het mogelijk om de browser een bevel te sturen over internet. Het idee is dat de browser een zogenoemd drive-by aanvals-bestand opvraagt en uitvoert. Zo installeert malware zich ongemerkt op uw pc. Logisch dat deze aanval zeer populair is, want wie heeft er nu géén browser?
Spellcheck!
Onze honeypot laat precies zien welke bevelen de hackers sturen. Op die manier kunnen wij achterhalen welke websites op dat moment gevaarlijk zijn om te bezoeken. De meeste van dit handjevol sites zijn kopieën van populaire echte web-sites die gestald worden op verkeerd gespelde adressen. Een voorbeeld dat we tegenkomen is travelimgusa.com (in plaats van traveliNgusa.com), waar een verborgen uitvoerbaar malware-bestand met de naam Proxyheader.php op bezoekers zit te wachten. Naast mensen die per ongeluk de naam verkeerd intypen, doen de hackers dus ook actief hun best om willekeurige browsers achter de schermen naar hun malware te loodsen.
Tref maatregelen
Een goede firewall schermt poorten die niet in gebruik zijn af. Dat kan op twee manieren. Ten eerste kan de firewall een reactie geven om degene die verbinding probeert te maken te laten weten dat het bericht geblokkeerd is (reject of “bounce”). De afzender kan dan proberen om op een andere manier contact te maken. Maar zo’n berichtje laat wel weten dat er een computer staat die kan worden aangevallen. Beter is om de firewall ongevraagde of onverwachte berichten stilletjes te laten vernietigen, het zogenaamde ‘droppen’.
Een andere manier om misbruik van diensten (aanvallen dus) te voorkomen, is het uitschakelen van ongebruikte diensten. Dit kan door oude software te verwijderen, maar ook door de vele diensten van Windows eens kritisch te bekijken en uit te schakelen als ze niet gebruikt worden.
Inloggen
Een computer binnen een bedrijfsnetwerk kan een e-mailserver, ftp-server (voor bestanden), sql-server (database) en een webserver draaien. Op al deze diensten kan online worden ingelogd. Een geavanceerde website bestaat meestal uit alle genoemde diensten. Lukt het een hacker een van de vier servers binnen te dringen, dan is dit meestal genoeg om er met gebruikersgegevens vandoor te gaan of om malware te gaan verspreiden. Dit soort aanvallen levert vaak aardig wat geld
op en is meer het domein van de geavanceerde hacker die een specifieke website of bedrijf te grazen wil nemen. Toch zien ook wij een aantal aanvallen op deze diensten voorbij komen. Men probeert automatisch in te loggen met wachtwoorden als “111111”, “123456” en “abcd1234”. Alleen al het feit dat men dit soort wachtwoorden probeert is een goede indicatie dat er daadwerkelijk veel mensen zijn die zo’n zeer simpel te raden wachtwoord gebruiken. Doe dit dus niet!
Sip en mail
Relatief nieuw is de aanval op de sip-server. Sip is de technologie achter bellen en video chatten via internet. Grote bedrijven implementeren steeds vaker sip om de belkosten sterk te drukken. De meeste aanvallers proberen nieuwe ‘contacten’ oftewel gebruikers aan te maken. We vermoeden dat deze gebruikt kunnen worden om groepsgesprekken af te luisteren (bedrijfsspionage), maar vooral bedoeld zijn om geld te verdienen. De criminelen bellen vanaf de gekraakte sip-server naar een peperduur commercieel nummer dat ze zelf exploiteren. Dat kost de eigenaar van de virtuele telefooncentrale waar het telefoontje vandaan komt al gauw vele duizenden euro’s! Stokoud ten slotte is de nog immer populaire aanval waarbij men probeert onze e-mailserver te gebruiken om (phishing)mailtjes door te sturen.
Zo blijft u virusvrij!
Voorkomen is beter dan genezen, en dat geldt tegenwoordig zeker voor besmettingen met malware. De ellendige programmaatjes zijn lastig op te sporen en nog lastiger weer volledig te verwijderen. Dertien tips om uw pc en gegevens veilig te houden.
1. Met stip op één staat een goed (gratis) up-to-date antivirus-product.
2. Ook essentieel is een correct ingestelde (Windows-) firewall.
3. Installeer altijd onmiddellijk de nieuwste patches/updates, van het besturingssysteem én alle geïnstalleerde software.
4. Gebruik de allernieuwste versie van uw favoriete browser (inclusief plugins).
5. Open nooit bestanden van e-mails die u niet volledig vertrouwt.
6. Volg geen links uit e-mails van onbekenden.
7. Vergewis u ervan dat u op de juiste site bent; louche sites kunnen ongemerkt malware verspreiden.
8. Kies een moeilijk te raden wachtwoord en gebruik varianten daarvan voor verschillende diensten.
9. Crasht uw pc vaak of krijgt u onverwachte meldingen over virussen? Laat een deskundige controleren of u niet besmet bent geraakt.
10. Log in op veilige versies van webdiensten door https:// te typen vóór het www-gedeelte. Bijvoorbeeld https://www.google.com
11. Usb-sticks kunnen malware verspreiden, dus wees ook hier selectief en voorzichtig.
12. Zorg dat uw draadloze netwerk wpa(2)-beveiligd is. Kies een sterk wachtwoord, bijvoorbeeld een zinnetje.
13. Gebruik altijd uw gezonde verstand en klik nooit zonder verder te lezen op “OK” of “Yes”.