Hoe een IoT-botnet dit weekend 'het internet' offline haalde
"Het internet" lag er dit weekend uit. Waar die uitdrukking normaal gesproken nogal hyperbool is, zorgde een grote aanval er afgelopen vrijdag voor dat een groot aantal websites niet bereikbaar was. De oorzaak leek een gecoördineerde aanval te zijn op een belangrijke DNS-aanbieder, die werd uitgevoerd door een botnet van IoT-apparaten. Wat gebeurde er precies?
Wat was er precies aan de hand?
Vrijdagmiddag (Nederlandse tijd) begon een aantal grote websites te haperen. Onder andere Twitter, Reddit, Soundcloud en GitHubt waren niet of nauwelijks te bereiken voor gebruikers van over de hele wereld. De websites gingen in de middag offline, en werd pas vrijdagnacht opgelost. Later op de dag werden steeds meer diensten slecht bereikbaar, zoals het PlayStation Network. Er bleek toen een tweede aanval te zijn ingezet.
De aanval leek zich voornamelijk te richten op websites en diensten in Amerika, zoals op onderstaande kaart met getroffen gebieden te zien is. Ook werden enkele servers in West-Europa geraakt.
Hoe kwam dat?
De storingen bleken bij een grote DNS-provider te zitten, Dyn DNS. Die werd getroffen door een gigantische DDoS-aanval, waardoor een groot deel van de servers lange tijd offline waren gehaald.
DNS staat voor Domain Name System, een decentraal systeem dat domainnamen naar ip-adressen vertaalt zodat je makkelijk naar url's kunt surfen zonder dat je specifieke webadressen hoeft te weten. Hoewel DNS decentraal is, is het systeem ook hiërarchisch. Aan het eind van de DNS-lijn staan de 'domain level name servers' die voor specifieke websites zorgen voor de juiste url bij het juiste ip-adres.
Dyn is een bedrijf dat zo'n domain level name server draait voor grote websites zoals Twitter, maar ook Spotify, Reddit, Pinterest en PayPal.
Dyn werd getroffen door een DDoS-aanval, waarbij miljoenen datapakketjes per minuut werden verstuurd naar de servers waardoor die de hoeveelheid niet meer aan konden en offline gingen. Op het hoogtepunt liet Dyn weten dat er op het hoogtepunt van de aanval 'enkele tientallen miljoenen' apparaten werden ingezet voor de aanval.
Wat weten we over de aanval
De DDoS is waar dit verhaal interessant wordt. Die komt namelijk van het Mirai-botnet, een malware-botnet dat begin deze maand in de spotlight kwam toen de populaire website van security-onderzoeker Brians Krebs offline werd gehaald.
Mirai bestaat al langer, maar nadat het botnet media-aandacht kreeg werd begin oktober de source code van de malware openbaar gemaakt. Toen al werd er gewaarschuwd dat de openbare broncode voor problemen kon zorgen.
Er is nog weinig bekend over de details van deze hack, maar het is inmiddels wel duidelijk dat het om een andere versie van Mirai gaat dan eerder deze maand werd ingezet.
Het opvallends aan Mirai is dat het botnet geen gebruik maakt van computers, maar van IoT-apparaten. Mirai zoekt via internet naar devices die aan het internet hangen, zoals smart-tv's, beveiligingscamera's, of slimme thermostaten, en gebruikt dan brute force-aanvallen om de wachtwoorden te vinden. Een groot probleem van IoT-apparaten is dat veel firmare gebruik maakt van standaard fabriekswachtwoorden of van simpele wachtwoorden zoals 'admin' of 'password'. In andere gevallen worden die wachtwoorden niet gewijzigd door de gebruiker.
Wie zit er achter de aanval?
Het is niet duidelijk waar de aanval precies vandaan kwam, wat best vreemd is. Vaak kan de command and control-server wel worden teruggehaald bij dergelijke aanvallen, maar dat is op dit moment nog niet gebeurd.
Er worden echter al een paar voorzichtige vermoedens uitgesproken over wie er achter de aanval zit, voornamelijk door beveiligingsonderzoekers. Zij denken dat de aanval van een 'state actor' komt, bijvoorbeeld Rusland of China. Vooral dat eerste is de laatste tijd veel bezig met cyberaanvallen, met name gericht op Amerika. De hacks op de Democratische Partij zijn daar een goed voorbeeld van.
Volgens Bruce Schneier is er 'iemand' op zoek naar hoe je het internet kunt neerhalen. Het internet mag dan decentraal zijn, maar de hack op Dyn laat ook wel zien hoe kwetsbaar de huidige architectuur is. Het is veel voor een land om te leren hoe een bepaald deel van het internet offline kan worden gehaald.
Als je kijkt naar de grootte van de aanval van dit weekend, en naar hoe lang die doorging, dan is het zeker niet ondenkbaar dat de aanval door een grotere partij is uitgevoerd dan een paar simpele script kiddies. Vooralsnog gaat het vooral nog om speculatie en is er niets zeker te zeggen over de aanval.
Is daar nog wel wat aan te doen?
We leven in een tijd waarin steeds meer apparaten op het internet worden aangesloten, en waar dat sommige 'ludieke' apparaten zoals tandenborstels zijn, zijn er ook veel serieuze applicaties zoals slimme tv's of thermostaten die door steeds meer mensen worden gebruikt.
De beveiliging van veel van die apparaten is echter nog erg brak. In veel firmware worden wachtwoorden in plaintext opgeslagen, er worden veel standaard fabriekswachtwoorden gebruikt die niet (of moeilijk) te wijzigen zijn, en apparaten krijgen slechte ondersteuning nadat ze een aantal jaar actief zijn. Een koelkast gaat bijvoorbeeld zoń 15 jaar mee in een gemiddeld huishouden, maar het lijkt er niet op dat bedrijven als Samsung ook echt zolang ondersteuning blijven bieden voor dergelijke apparaten.
Daar komt ook bij dat grootschalige aanvallen steeds goedkoper en toegankelijker worden. Botnets zijn voor steeds minder geld te koop op het dark web, en netwerken als Mirai zijn daarmee makkelijker te verkrijgen voor kwaadwillenden terwijl er maar relatief weinig specifieke kennis voor nodig is.
Er zijn manieren om websites te beschermen tegen grootschalige DNS-aanvallen. Een bekend voorbeeld is Pornhub, dat gebruik maakt van meerdere DNS-servers zodat er altijd een backup paraat staat. Veel van die manieren zijn echter ook erg duur.
