De hoofdpijnbezorgende ICT-dreigingen in 2012
Ook dit jaar viel er voor cybercriminelen en hackers weinig te klagen. Voor systeembeheerders en ontwikkelaars des te meer. Webwereld bekijkt een paar hoofdpijnbezorgende ict-herinneringen van 2012.
De wereld van systeembeheerders kent zijn nodige ict-crises. Wie herinnert zich het virus Jerusalem niet dat in de jaren 80 de wereld zou verlammen door massaal op vrijdag de dertiende te activeren? Of de millenniumbug die ons - letterlijk en figuurlijk - een eeuw terug dreigde te zetten? Dit jaar was zeker geen uitzondering. We zetten een aantal van de dreigingen die beheerders kopzorgen gaven op een rij.
Militaire malware
Twee jaar geleden dook Stuxnet op, de malware die zich specifiek richt op de productie van verrijkt uranium in Iran. Omdat dit een wel heel specifiek doelwit is, werd vrij snel algemeen aangenomen dat het hier ging om malware die speciaal voor militaire doeleinden is ontwikkeld. Stuxnet maakte gebruik van een aantal tot dan toe onbekende zero-days, de gaten die in de regel worden ontdekt door beveiligingsonderzoekers en dan pas misbruikt worden.
Dit jaar werd Flame ontdekt. Deze malware schokte de IT-wereld, mede omdat hij al vele jaren in omloop is - al ver voor Stuxnet werd ontdekt. Om de infectie van Flame onopgemerkt te houden, werd de malware voorzien van een vervalst Microsoft-certificaat. Om deze certificaten te faken is een geavanceerde cryptoaanval uitgevoerd.
De Nederlandse onderzoeker Marc Stevens publiceerde enkele jaren geleden een proefschrift over zo'n zogeheten collision-aanval waarmee een hashwaarde kan worden nagebouwd om een nepcertificaat te creëren. Flame gebruikte echter een andere methode, waardoor Stevens met enige zekerheid kan stellen dat de makers van Flame zelf een hash-collision hebben ontworpen. Dat had niet gehoeven als Stevens' proefschrift er al was geweest, dus dat vormt aanvullend bewijs dat Flame en zijn certificaatmethode al jaren bestaan.
Ook Flame neemt het Midden-Oosten op de korrel. Wederom wordt aangenomen dat de VS erachter zit. Eerder dit jaar publiceerde een Witte Huis-journalist van de New York Times een boek waarin wordt beschreven hoe president Obama de aanval met Stuxnet - die al door zijn voorganger Bush in gang was gezet - uitvoerde.
Flame-varianten als Wiper en Shamoon richten nog steeds schade aan, onder meer onlangs bij de Arabische olieproducent Aramco. Deze varianten dienen als digitale spionnen. Ze sturen de verzamelde gegevens door naar een C&C en wissen vervolgens de bootsector van het geïnfecteerde systeem. Het is momenteel nog niet helemaal duidelijk waar deze varianten vandaan komen, het zou kunnen dat cybercriminelen de broncode hebben aangepast om hun eigen aanval uit te voeren. Ook een hacktivistencollectief dreigde Shamoon in te zetten tegen Iran. Anderen denken dat de Stuxnet-makers achter Flame zitten (oftewel de Amerikaanse overheid). Of de Mossad. Of Iran zelf.
Waar het ook vandaan mag komen, de effecten van militaire malware zijn groot. Overheden zitten met de handen in het haar over de potentiële fall-out van cyberwarfare - iets waar ook Obama mee zit. De VS werkt aan nieuwe securitywetten die een tegenaanval mogelijk maken, maar walsen daarmee over de privacy van burgers heen. Omdat de voorstellen daarom steedsstranden in het Congres, heeft Obama een presidentieel bevel uitgevaardigd om de nationale infrastructuur in te kunnen zetten bij een 'cyberramp'. Op deze manier is alvast een pakket maatregelen doorgedrukt om netwerken officieel in te kunnen zetten bij een tegenaanval of juist af te sluiten bij een cyberdreiging.
De eerste tekenen van een tweede effect van de nieuwe oorlogsvoering zagen we ook dit jaar: cybercriminelen vorderen de malware om zelf in te kunnen zetten voor financieel gewin. Het was een kwestie van tijd voor militaire malware door zou breken in de maatschappij en 2012 was het jaar dat we praktijkvoorbeelden zagen van de gevolgen van deze digitale oorlogsvoering.
Op de volgende pagina: afhankelijkheid van de cloud en hét gat dat bedrijven over het hoofd zien.
Instabiele cloud
Dat een uptime van 100 procent een utopie is, moet anno 2012 niemand meer verrassen. Al jaren treffen - over het algemeen kleinschalige - storingen clouddiensten waardoor gebruikers even zonder hun data zitten en dit jaar wasnietanders. Dit jaar kwam een onderzoeker met een waarschuwing dat nu diensten van elkaar afhankelijk worden, dergelijke dependencies kunnen leiden tot een instortende cloud. De professor van Yale werd enkele maanden later van een klein praktijkvoorbeeld voorzien toen orkaan Sandy in New York enkele datacenters omknikkerde, waarna diverse diensten onderuit gingen.
Een cloudcrash bij Google duurde maar kort, maar had een behoorlijke impact. Het demonstreerde niet alleen hoe afhankelijk we aan het worden zijn van onze online gegevens, maar onderstreepte ook nog eens hoezeer diensten van elkaar afhankelijk zijn. Het onderuitgaan van Google-diensten duurde maar 18 minuten, maar trof Gmail, Google Documenten, Google Drive en Google Apps.
Ook Chrome-gebruikers meldden vastgelopen browsers tijdens de storing vanwege de synchronisatiefeature. Google maakte een configuratiefout in de synchronisatieservers, waardoor het dataverkeer daarop werd afgeknepen om overbelasting te voorkomen. Waarna clients als Chrome en Gmail geen contact meer kregen met de server.
Netwerkapparatuur
Hackers ontdekken de netwerkapparatuur als potentiële ingang voor het bedrijfsnetwerk. Gaten in clients en servers worden meestal op tijd gepatcht, maar IT-apparatuur als printers en telefoons wordt vaak over het hoofd gezien. Ook appliances die bijvoorbeeld een firewall draaien, blijven lange tijd ongepatcht en zijn volgens sommige deskundigen daarom soms juist onveiliger dan serverruimtes waar deze dozen niet draaien, vindt beveiligingsonderzoeker Roger A. Grimes.
Printers van Samsung bleken onlangs een beheerdersaccount te hebben die hardcoded is in de apparatuur. Daarmee leverde Samsung effectief een handige ingang voor hackers om het bedrijfsnetwerk te scannen. Cybersnoodaards kunnen het printergeheugen uitlezen en daarmee verwerkte prints bekijken, wat een goudmijn is voor digitale bedrijfsspionnen. Het probleem bleef niet beperkt tot apparaten van de Zuid-Koreaans fabrikant, ook printers van Dell die de Amerikaanse producent overneemt van Samsung zaten met het ingebakken beheerdersaccount te kijken.
Er is inmiddels een patch beschikbaar, maar bedrijven lijken patches voor netwerkapparatuur te negeren. Zo werd vorig jaar een groot beveiligingsgat in HP-printers ontdekt en een jaar later blijkt dat 1 tot 2 procent van de printers zijn gepatcht. Via dergelijke kernelgaten zijn ingebedde netwerksystemen, zoals routers en printers, een potentieel gevaar voor bedrijfsnetwerken. Bedrijfsrouters van Hauwei bleken op hackerscongres Defcon 2012 meerdere gaten te bevatten die aftappen van netwerkverkeer een koud kunstje maken. En grote bedrijven, waaronder internetproviders, bleken dit jaar bedrijfsrouters open te zetten via UDP-poort 161 en daarop schrijfbare SNMP-data toestaan.
Een interessant gat dook deze maand op in VoiP-telefoons van Cisco. De onderzoeker die vorig jaar het lek in HP aantoonde en gefrustreerd was dat een overweldigende meerderheid het probleem negeert, beet zich vast in een kwetsbaarheid in de UNIX-kernel van Cisco. Via dit lek is het mogelijk om het toestel te pwnen en bijvoorbeeld in te zetten als afluisterapparatuur. De aanvaller schakelt dan ook het ledlampje uit dat aangeeft dat de microfoon aanstaat en ontvangt alles wat er gezegd wordt - of er nu gebeld wordt of niet - op zijn smartphone.
Cisco patcht het lek - als het tenminste niet in een toestel zit dat niet wordt ondersteund - maar afgaand op het HP-gat zou het geen verrassing moeten zijn als in december 2013 blijkt dat het gat nauwelijks gepatcht is. Kortom, een handige ingang voor hackers die waarschijnlijk lange tijd te gebruiken is.
Op de volgende pagina: wat hebben banners, Nederlandse gemeenten en Apple-computers gemeen?
Hadiemalware
Malware komt naar de massa, met betere verspreiding van schadelijke software door drive-by-aanvallen op populaire Nederlandse sites, zoals eerder dit jaar op Nu.nl en later Weeronline.nl. In het eerste geval injecteerden hackers malafide code in het contentmanagementsysteem van de populaire nieuwssite om een Java-elementje te starten. Bij weeronline werd er ingebroken op een advertentieplatform. Advertentieplatforms droegen dit jaar wel vaker hun steentje bij aan de verspreiding van virussen. Ook de website van Vrij Nederland werd gepwnd via een gat in een advertentieplatform.
Het advertentieplatform OpenX kwam opnieuw in de kijker tijdens de Java-affaire die de gemoederen afgelopen zomer flink bezig hield. Via het platform werden bezoekers belaagd door diverse drive-by's. Drive-by malware installeert zich via ongedichte gaten in de browser, dus voorheen was het advies om de browser zo goed mogelijk bijgewerkt te houden. Dit jaar kwam daar een opvallend advies bij: gebruik een andere browser.
Onder meer de Duitse overheid adviseerde om Internet Explorer maar even niet te gebruiken toen een Java-lek werd ontdekt in IE. De gebouwde exploit richtten zich allemaal op de browser van Microsoft en daarom werden Firefox en Chrome een stuk veiliger bevonden. Andere organisaties namen het advies over, grappig genoeg zelfs als er intern geen alternatief voorhanden was.
Malware voor Windows is niks nieuws. Het is niet meer dan logisch dat exploits zich richten op het populairste platform, dus schadelijke software richt zich vooral op het besturingssysteem van Microsoft. Maar in 2012 was de malware voor Mac in opkomst. De afgelopen jaren richtte een enkel stukje ongewenste programmatuur zich nog op Apple, inmiddels is er sprake van een stabiele aanvoer van Mac-malware.
De beruchte Mac-trojan Flashback greep dit jaar flink om zich heen onder Apple-gebruikers die zich in het verleden niet hoefden te verdiepen in removal tools waar Windows-gebruikers zo door geplaagd worden. Malware voor Windows nestelt zich trouwens ook op Apple-computers. Daar kan het verder niet veel kwaad, maar de besmetting zorgt er wel voor dat de schadelijke software zich verder kan verspreiden op Windows-pc's.
Wat ons brengt bij het botnet. Dat is een oud verschijnsel. Een scherp groeiend netwerk van overgenomen pc's is ZeroAccess dat vooral gespecialiseerd is in klikfraude. Beheerders slepen dagelijks gezamenlijk bijna 1 miljoen dollar binnen via allerlei frauduleuze praktijken. Botnets in het algemeen traden dat dit jaar wel heel erg in het spotlight van de landelijke pers toen gemeenten deze zomer besmet raakten met het Office-virus Dorifel.
Dorifel sloeg begin augustus opeens wild om zich heen, net toen de dienstverlening trager was vanwege de vakantie. De bedrijfsvoering bij enkele gemeenten kwam zelfs plat te liggen, waardoor bijvoorbeeld geen paspoorten konden worden uitgegeven. Dorifel vond zijn weg via het relatief onbekende botnet Citadel. Webwereld schreef in het begin van 2012 over de nieuwe aanpak van Citadel waarbij gebruikers via een open source-model bijdroegen aan de ontwikkeling van het botnet.
Bovendien worden botnets net als exploitkits inmiddels als een dienst gedraaid: cybercriminelen huren het product volgens een licentiemodel en zetten het in voor het doeleinde dat ze op het oog hebben. Met een leger zombies zijn bijvoorbeeld bankgegevens te verzamelen, bitcoins te delven, virussen uit te rollen of DDoS-aanvallen uit te voeren. Een botnetbeheerder heeft daarmee behoorlijk wat opties en macht en daarom is de malware behoorlijk lucratief.
Beveiligingsdeskundigen spreken al einge jaren van CaaS, Cybercrime-as-a-Service. Citadel is gegroeid uit een open source-project, ging underground toen het voldoende verbeterd was en blijft ondertussen evolueren. Daarbij komt nog dat er diverse zombies rondwaren bij Nederlandse overheden waardoor de kans op een herhaling van een incident als Dorifel ook in 2013 een dreiging blijft.
