Er is online een lijst met inloggegevens van 515.000 apparaten gelekt

Cybersecurity-nieuws wordt meestal gedomineerd door headline-grijpen ransomware-uitbraken en verlammende cryptojacking-campagnes, niet alleen omdat dit een van de meest voorkomende soorten aanvallen is, maar ook omdat ze zorgen voor geweldige verhalen. Er is echter nog een andere vorm van cybercriminaliteit die net zo destructief kan zijn, maar die vaak buiten de reguliere media-aandacht blijft.

Gedistribueerde Denial of Service-aanvallen (vaak afgekort als DDoS) -aanvallen zijn niet bijzonder spectaculair, en je zou kunnen stellen dat het herstelproces dat DDoS-slachtoffers moeten doorstaan in vergelijking met ransomware veel korter en veel goedkoper is. Zoals de aanval op DNS-provider Dyn van oktober 2016 heeft aangetoond, kan DDoS echter een zeer krachtig wapen zijn. Dankzij een lijst met inloggegevens die vorige week is gelekt, kan het gebruik ervan nu een stuk eenvoudiger zijn.

Een cybercrimineel lekt meer dan een half miljoen combinaties van gebruikersnaam en wachtwoord

Catalin Cimpanu van ZDNet meldde zondag dat een naamloze cybercrimineel "een populair hackforum" heeft gebruikt om een enorme hoeveelheid inloggegevens te dumpen. Verspreid over verschillende TXT-bestanden, bevat het de IP-adressen en Telnet-gebruikersnamen en wachtwoorden waarmee cybercriminelen naar verluidt maar liefst 515 duizend via internet verbonden eindpunten kunnen overnemen. De meeste zijn IoT-apparaten.

Telnet, zoals sommigen van u zich misschien herinneren, werd ook gebruikt door Mirai, de malware die een groot aantal IoT-gadgets verzamelde in een enorm botnet en het gebruikte om enkele van de grootste DDoS-aanvallen uit de geschiedenis te lanceren, waaronder die op Dyn. Het is een vreselijk verouderd communicatieprotocol en het heeft enkele beveiligingsproblemen waardoor het ongeschikt is voor gebruik in deze tijd. Desondanks blijven IoT-leveranciers Telnet in dienst nemen en hebben hackers geen tweede uitnodiging nodig.

De persoon die de 515 duizend gebruikersnamen en wachtwoorden lekte, vertelde ZDNet dat hij de inloggegevens had gebruikt om de apparaten in een botnet te werven, die hij vervolgens aan andere cybercriminelen verhuurde om DDoS-aanvallen te lanceren. Dit type bedrijf is behoorlijk populair in de cyber-underground en sommige criminelen verdienen er een behoorlijk cent van, terwijl anderen achter de tralies belanden.

De persoon die de 515 duizend gebruikersnaam- en wachtwoordparen lekte, deed het echter niet omdat hij bang was in de problemen te komen. Hij deed het omdat hij zijn setup had geüpgraded en hij de gegevens niet langer nodig had. Blijkbaar is hij van mening dat zijn bedrijf succesvol is, omdat hij ZDNet vertelde dat zijn DDoS-for-rent-service voortaan afhankelijk zou zijn van high-output servers gehuurd van cloudserviceproviders.

De misbruikafdelingen van de genoemde cloudproviders willen misschien vanaf nu meer aandacht besteden aan wie hun servers gebruikt, omdat de upgrade van IoT-apparaten naar serieus krachtige hardware voor veel meer substantiële DDoS-aanvallen zal zorgen. In de tussentijd moeten we teruggaan naar de gelekte gegevens en kijken wat voor soort schade ze kunnen aanrichten.

Hoe gevaarlijk kunnen de gelekte gebruikersnamen en wachtwoorden zijn?

Zoals we al vermeldden, werd de lijst met IP's, gebruikersnamen en wachtwoorden gepubliceerd op een hackforum, wat betekent dat wannabe cybercriminelen die van plan zijn een DDoS-aanval te starten, niet eens naar het zogenaamde dark web hoeven te gaan of geld om te krijgen wat ze nodig hebben. Het is misschien niet zo eenvoudig als dat.

Nadat hij de gegevens had ontdekt, heeft Catalin Cimpanu deze gedownload, maar om juridische redenen besloot hij de geldigheid ervan niet te bevestigen door in te loggen op apparaten van nietsvermoedende mensen. Het moet echter worden gezegd dat ten minste enkele van de referenties en IP-adressen mogelijk niet langer bruikbaar zijn. Bovendien heeft Cimpanu de informatie gedeeld met beveiligingsonderzoekers die bezig zijn de eigenaren van sommige IP-adressen te vinden en hen op de hoogte te stellen van het lek. Met andere woorden, het is moeilijk om te zeggen hoe gevaarlijk de blootgestelde gegevens zijn. Wat we zeker weten is hoe het is beland waar het nu is.

Het verzamelen van de informatie waarmee meer dan een half miljoen apparaten in gevaar konden worden gebracht, hoefde niet te worden gehackt. Het verkrijgen van de IP's is net zo eenvoudig als het uitvoeren van een scan via een gespecialiseerde zoekmachine, en wat de gebruikersnamen en wachtwoorden betreft, zijn er twee soorten. Sommige zijn de standaardreferenties waarmee de apparaten uit de doos komen, en de rest zijn aangepaste maar gemakkelijk te raden gebruikersnamen en wachtwoorden die de eigenaren van de apparaten hebben ingesteld.

Dit benadrukt het echte probleem. Veel mensen beweren dat de verspreiding van IoT-apparaten DDoS-aanvallen gemakkelijker maakt, maar de waarheid is een heel klein beetje anders. Het probleem ligt niet bij het toenemende aantal gadgets op ons wifi-netwerk. Het ligt in het feit dat we ze niet willen en/of niet kunnen beveiligen.