FBI haalt samen met Nederlandse politie vijftien ddos-diensten offline

De FBI heeft in samenwerking met de High Tech Crime Unit van de Nederlandse politie en het Britse National Crime Agency vijftien websites offline gehaald waar ddos-diensten werden aangeboden. Drie verdachten zijn aangehouden.

De FBI meldt dat vijftien domeinnamen zijn overgenomen, waardoor de betreffende diensten niet meer te bereiken zijn. Het ging om zogenaamde booters of stressers, websites waar mensen tegen betaling een 'stresstest' kunnen inkopen om uit te voeren op een website naar keuze. Dergelijke diensten worden door kwaadwillenden gebruikt om ddos-aanvallen uit te voeren.

Volgens de FBI gaat het om grote aanbieders, met een hoge populariteit. De inlichtingendienst noemt een aantal namen: critical-boot.com, ragebooter.com, downthem.org en quantumstress.net. Verder merkt de Amerikaanse inlichtingendienst op dat er in de periode rondom kerst vaak ddos-aanvallen plaatsvinden. De actie tegen de ddos-diensten lijkt een poging te zijn om dat tegen te gaan. In 2014 werden bijvoorbeeld het PlayStation Network van Sony en Microsofts Xbox Live dienst door ddos-aanvallen platgelegd tijdens de kerstdagen.

Er zijn drie Amerikaanse mannen aangehouden, die ervan worden verdacht sommige van de diensten te faciliteren. Het gaat om mannen van 30, 25 en 23 jaar. Twee van hen zouden de beheerders zijn van Downthem en Ampnode. Eerstgenoemde zou in de afgelopen vier jaar tweeduizend klanten hebben gehad en die zouden tweehonderdduizend ddos-aanvallen hebben uitgevoerd.

De derde verdachte wordt gezien als de persoon achter Quantum Stresser, volgens de FBI een van de langst opererende ddos-diensten. De site zou sinds 2012 online zijn en tachtigduizend klanten hebben. In dit jaar zou de dienst gebruikt zijn voor vijftigduizend ddos-aanvallen.

Details over de Nederlandse betrokkenheid bij het offline halen van de diensten geeft de FBI niet. In april dit jaar haalde de High Tech Crime Unit in samenwerking met andere landen al de dienst Webstresser.org offline. De servers van die ddos-aanbieder stonden in Nederland.

Reacties (56)

[Zynth]

Ik vraag me af of een DDOS site aanbieden uberhaupt illegaal is.
Er zijn zat redenen te bedenken om deze service legaal te willen afnemen.

Dus zouden niet de gebruikers die het "illegaal" toepasten gepakt moeten worden in plaats van de aanbieder?
Whatsapp wordt ook gebruikt voor oplichting, maar niet gesloten. Marktplaats hetzelfde. etc.

[bbob]

Het is heel simpel als jij een ddos aanbied zegt de naam het al. Je kan ook een website hebben waarin je een stresstest aanbied om sites te testen. In dat geval zul je een veiligheid moeten aanbieden waarin alleen de eigenaar van de website die getest moet worden opdracht mag geven of zijn goedkeuring moet geven.
Dit is natuurlijk een vrij moeilijk proces.

Maar goed heb je dat alles goed voor elkaar en slipt er toch een echte stresstest door die als ddos gebruikt wordt dan zul je netjes de gegevens van de opdrachtgever overhandigen aan de politie. Dat wil dus zeggen dat jou dienst transparant moet zijn, dus geen anonieme betalingen via bitcoins.

Maar laat ik nu denken dat de sites waar men het over heeft zo vooral niet werken en vooral bedoeld zijn om sites plat te leggen om het platleggen en niet bedoeld als stresstest in opdracht van de eigenaar van die website.

[mrdemc]

De benaming is denk ik niet heel belangrijk. Zoals je in het domeinlijstje kan zien is er ook een die quantumstress wordt genoemd.

De beveiliging die ingebouwd kan worden is naar mijn idee inderdaad de manier waarop een dienst als legaal kan worden gezien. Door bijvoorbeeld te vereisen dat de rDNS van het IP verwijst naar een specifiek domein waar in de DNS van het domein weer een TXT-record toegevoegd kan worden ter identificatie lijkt mij bijvoorbeeld een prima en niet al te lastige oplossing. In combinatie met een txt-bestand in de .well-known map kom je dan al een heel eind.

Websites die dergelijke diensten aanbieden met alleen een disclaimer dat je het alleen op je eigen hardware mag uitvoeren en dergelijke voorzorgsmaatregelen zoals ik hier benoem niet implementeren, bieden mijn inziens illegale diensten aan.

[mkools24]

Helemaal mee eens, genoeg manieren om te verifieren dat je enkel je eigen servers stresst ipv enkel een disclamer en vervolgens je handen wassen in onschuld.

[Marzman]

Je kan de gebruiker vragen een uniek bestandje te uploaden.

[mrdemc]

*in een gespecificeerde map zodat je niet een uploadfunctie kan misbruiken

[bertware]

Ik heb onlangs nog een stresstest gebruikt om API throughput te testen met verschillende software/server set-ups. Verificatie was simpel: een DNS record toevoegen om te bewijzen dat ik eigenaar van de domeinnaam was, of een bestand toevoegen met een code zodat de server geverifieerd kon worden (zoals Google Analytics doet). Daarna kan je je eigen site testen, terwijl het op deze manier onmogelijk is (of zou moeten zijn) om een site waar je geen rechten op hebt te testen. De aanwezigheid van dergelijke controles is waar ik de lijn ook zou trekken tussen DDOS aanbieders en stress testers.

[mkools24]

Ik ben ook regelmatig aangevallen door een stresser/booter. Ik heb toen de eigenaar gecontacteerd van de desbetreffende stresser en aangegeven dat iemand zijn dienst gebruikte om mijn servers aan te vallen. De eigenaar wilde niet meewerken aan het voorkomen daarvan en liet de aanvallen doorgaan. In plaats daarvan vroeg hij $100 per IP om te whitelisten.

Dus normaal gezien ben ik het wel met je eens, maar dit is een beetje net als een torrentsite waarbij 99% van de content illegaal is en er af en toe een Linux distro tussen staat die wel legaal is. Het gaat natuurlijk om de intentie waarmee je zo'n site draait.

Als je een booter dienst aanbiedt weet je dat 99% van je klanten je dienst misbruikt en misschien een paar man ook daadwerkelijk zijn eigen servers 'stresst'. Als je dan vervolgens ook nog niet mee wil werken aan het voorkomen van misbruik wetende dat het plaatsvindt dan ben je niet meer legaal bezig nee.

[kodak]

Hoe wist je van welke aanbieder het afkomstig was? Vaak genoeg gaat het niet via de ip space of domeinen van de aanbieder en adverteren ze hun bron ook niet.

Als je bewijs hebt dat een aanbieder meehelpt je aan te vallen en ook nog geld eist om met rust gelaten te worden zijn dat genoeg redenen om aangifte bij de politie te doen. Ongevraagd belemmeren van dienstverlening en afpersen lijkt me. Zoals je merkt nemen ze het serieus voor een mogelijk (internationaal)onderzoek. Dus heb je aangifte gedaan?

[mkools24]

Omdat het om een specifiek soort aanval gezien eentje die ik nog nooit eerder had gezien en een mede-admin die nogal in het wereldje zit wist de booter die deze aanval aanbiedde, die was echt net nieuw en werd dus veelvuldig gebruikt.

De eigenaar van de booter liet me zelfs logs zien waar mijn IPs meerdere malen werden aangevallen. Het ging ook om een DoS btw niet een DDoS.

[Mathi159]

Maar als je gebruikers het voor illegale doeleinden gebruiken, kun je de politie een keer verwachten.

[Anoniem: 1116377]

Net zoals je met Google ook torrent bestanden kan vinden, zoals met The Pirate Bay. Maar Google is hier niet schuldig. Het gaat hem om het doel van de website.

[erwinwernars]

Er zijn zat DDOS sites die zijn opgericht voor kwade bedoelingen, zolang je een jurist niet je algemene voorwaarden laat beschrijven dan hang je gewoon.

Zo'n dienst kan namelijk zo voor kwade bedoelingen worden gebruikt, ookal biedt je de dienst voor enkel legaal gebruik aan (om bijvoorbeeld je eigen server te stresstesten) <-- als nog moet je hier dan ook weer toestemming vragen aan je hosting service provider of ISP

[Anoniem: 1092407]

Het lijkt mij in principe niet illegaal. Alleen kun je je afvragen waarom een dergelijke site een ddos aanbiedt richting elke willekeurige andere site. Als je als ddos dienst een beetje professioneel en moreel bent dan verwacht je op zijn minst een reden van je klanten om een bepaalde ddos uit te voeren. Je kunt allerlei voorwaarden stellen aan het gebruik en dat lijkt hier niet te zijn gebeurd. Dan maak je het mensen met een beetje geld wel erg makkelijk om andere diensten op zijn minst te ontregelen.

[Xtuv]

Het aanbieden van een dienst voor pentesting an sich is niet illegaal, maar daar zijn wel voorwaarden aan verbonden. Bij de ddos-diensten die offline zijn gehaald kun je die diensten volledig anoniem afnemen en wordt er niet nagegaan welke websites er aangevallen worden. Mogelijk gebruiken ze ook methoden die illegaal zijn.

[fastbikkel]

En dan vind ik het goed dat politie/justititie dit aanpakt.
Nu nog landen als Rusland en China aanpakken waar dit soort criminaliteit laag op de lijst staat.

[boe2]

Ik denk dat an sich niemand je zal lastigvallen als je een stresstest dienst aanbiedt.

Zolang het gebruikt wordt om je eigen diensten te stressen natuurlijk. Als je zomaar 100 euro kan neerleggen met de boodschap "ik wil playstation.com stresstesten" weet je als beheerder donders goed waarvoor je dienst gebruikt wordt.

[Brousant]

Het aanbieden misschien niet. Maar als voor het uitvoeren van die ddos een botnet wordt gebruikt (en dat zal wel praktisch altijd het geval zijn) lijkt me dat een kwestie van computervredebreuk, met betrekking tot alle door dat botnet geïnfecteerde computers waar zonder toestemming van gebruik wordt gemaakt.

[voske]

In principe zijn ze ook niet illegaal, maar de grens is dun. Als je opzettelijk behulpzaam bent bij het plegen van een ddos-aanval of daartoe opzettelijk gelegenheid, middelen of inlichtingen verschaft, ben je namelijk medeplichtig volgens het Nederlandse Wetboek van Strafrecht en dus strafbaar.
Het belangrijkste woord in dat kader is “opzettelijk”. Daarvan is al sprake als je bewust de aanmerkelijke kans aanvaard dat de “stresstest” gebruikt gaat worden voor het plegen van een ddos-aanval.

Anders gezegd: als je weet dat de reële, niet onwaarschijnlijke mogelijkheid bestaat dat de stresstest door de klant gebruikt gaat worden voor een ddos-aanval en je levert desondanks die dienst aan de klant, dan ben je al medeplichtig aan de door die klant gepleegde ddos-aanval.

[Rhip]

"websites waar mensen tegen betaling een 'stresstest' kunnen inkopen om uit te voeren op een website naar keuze"

Wordt dit dan ook wel eens door bedrijven zelf gedaan, in de zin van: 'stresstest' mijn site/dienst maar. Om te zien of een site/dienst met deze 'stress' om kan gaan?

En in hoeverre is dit dan illegaal?

[Reactie gewijzigd door Rhip op 23 juli 2024 18:48]

[FuriousKiwi]

Misschien moeten ze dan meer bewijs vragen voordat ze zo'n service mogen leveren, gezien het zo veel schade kan aanrichten voor bedrijven die dit niet willen dat het gebeurd.

[Sharkoon]

Wordt o.a. gedaan door een txt DNS entry op het domein te gooien met een bepaalde hash

[FuriousKiwi]

Dit wist ik niet, dat zou wel een hoop moeten kunnen schelen dan als zijnde dat kwaadwillende niet een stress test service provider zo makkelijke kunnen laten ddossen op een bedrijf dat niet van de aanvrager is.

[mkools24]

Mijn game servers waren vroeger regelmatig doelwit van aanvallen, ik heb zelf regelmatig stressers gehuurd om m'n eigen servers aan te vallen zodat ik de firewall scripts beter kon tunen om ze te blokkeren.

Maar heel veel hosters staan het niet eens toe dat je je eigen servers stresst. Als ze erachter komen is het vaak reden om je direct weg te schoppen. Het is mss niet illegaal maar wel tegen de tos.

Maar tuurlijk is het legaal om jezelf te stressen zolang je de infra zelf beheert of je provider akkoord is, ik denk dat bedrijven dat regelmatig ook doen. Zeker diensten als Paypal enzo.

[Fidler]

Niet echt "kwaadwillenden" volgens nu.nl :"Volgens de FBI hebben gamingplatformen vaak last van DDoS-aanvallen in de week voor Kerst. Zo hopen hackers een kerstvakantie te verpesten of willen ze spelers stimuleren om tijd met familie door te brengen."

Ik heb mijn twijfels of dit de echte reden is......

[Arcticwolfx]

Ik ben vooral benieuwd of (alle) leden van LizardSquad nu opgepakt en veroordeeld zijn.

[Kippenoma]

Ik vind dit plaatje er wel heel nep uitzien hoor

[snellie123]

Typisch dat de amerikanen weer net even het grootst in beeld moeten op de website....

[skai21]

FBI laat nu eenmaal meer indruk achter dan Politie

[Audione0]

Als dit echt zo zou zijn dan werden er geen moorden meer gepleegd, zou de georganiseerde misdaad verdwenen zijn en ga zou maar door.

Er zal altijd misdaad blijven al zijn de diensten nog zo groot en al schreeuwt men nog zo hoog van de toren..
Pamfletten zoals dit, een lachtertje voor een beetje boef...

[skai21]

Zeg ik dat dit mechanisme werkt?
Ik geef alleen aan dat wanneer bijvoorbeeld een scriptkiddie een DDOS koopt via zo'n dienst, als hij Nederlandse Politie ziet staan, hij bij het weer online komen van de dienst vrolijk verder zal gaan.
Als er FBI staat heeft zo'n kruimelcrimineeltje misschien de gedachten het niet te doen

[Shark.Bait]

Hij bedoelt het anders dan jij het opvat...Dat beeld wordt mede gevormd door hollywood films.

[hooibergje]

Ze hebben er waarschijnlijk ook het meeste geld in gestoken.

[fastbikkel]

Ik ben blij met de FBI. Zij pakken heel actief criminaliteit aan.
Ook dingen die in Nederland niet op een hoge prio staan, zoals kartelvorming.

[Engineer]

Die offline-pagina uberhaupt al is lekker Amerikaans, alles dik en fancy graphics

[Paul Baan]

Ik wil graag even in gaan op je m.I. tendentieuze reactie, volgens mij heeft de Nederlandse samenleving hier wel last van: https://www.elsevierweekb...lastingdienst-uit-580425/

Dit soort zaken zijn staat ondermijnend en kunnen een ontwrichting van de samenleving betekenen

Het vergelijken van je diefstal fiets zonder enige aanwijzing naar een dader (opleggen) en dit soort zaken is natuurlijk absurd

Een groot gedeelte van de phisingzaken zijn te voorkomen door middel van goede voorlichting

Justitie en politie gooien geen aangiftes weg.

[fastbikkel]

"Probeer aan iemand die is mishandeld of aan de familie van iemand die is doodgeschoten maar uit te leggen dat je meegedaan hebt aan internationale actie om DDoS domeinen offline te halen...."

Dat vind ik wel een vreemde. De politie is toch niet met de hele organisatie bezig met 1 type criminaliteit?
Dat is prima uit te leggen, mischien niet aan iedereen maar zeker wel aan iemand die niet wereldvreemd is en volgens mij zijn veel mensen nog steeds best wel helder in de bovenkamer.

[totaalgeenhard]

Hoeveel mensen/tijd en geld denk je dat overheid op verschillende plekken in "cyber" stoppen.

Als je dat weg zet tov wat samenleving nodig heeft zal dat intressante conclusie geven.

[fastbikkel]

Ik sta open voor feiten hoor, nu verwacht ik ze niet direct van jou, maar als ze komen dan zal ik ze gewoon bekijken.
Ik vind het een goede actie dat men hier achteraan zit, ongestraft mag dit niet voorbij gaan anders geef je een slecht voorbeeld vind ik.

[totaalgeenhard]

Heb jij een persbericht gezien van Nederlandse overheid met hoeveel zaken ze hiermee opgelost hebben?

Het is de tweede kamer die controlerende functie moet hebben en gewoon verzuimd om te zien wat er gaande is in de samenleving.

[fastbikkel]

Last is ook maar een betrekkelijk iets.
Eve-online wordt meer dan eens aangevallen en dan kun je bijvoorbeeld een tijd niet aanloggen of je hebt lag. Lastig, maar dit vind ik niet ernstig.

Wordt er echter een betaaldienst aangevallen, waardoor je in de winkel ineens niet meer kunt pinnen, dan wordt het wel een vervelend verhaal.
Meestal wordt het allemaal snel gefixed, maar stel dat dit soort wildgroei niet actief zou worden aangepakt?
Dan zou het zomaar kunnen zijn dat je dagenlang niet bij je geld kunt,of erger bij diensten die je nodig hebt omdat je een ziekte hebt.

Ik ben ook wel benieuwd hoeveel slachtoffers geholpen zijn met deze acties overigens. Al denk ik eerder dat je het moet zoeken in het helpen van voorkomen van drama.
Als je eenmaal bent getroffen kun je het niet ongedaan maken en verhalen van kosten op daders is ook niet altijd vanzelfsprekend.

[FuriousKiwi]

DDoS aanvallen zijn ook vaak zat gedaan op DNS servers en providers, hier heeft zo'n beetje iedereen dan last van gezien het normale internet niet/slecht werkte op die momenten.

Gelukkig is de google dns wat steviger dan die van ziggo of kpn. Maar non-tweakers zullen deze natuurlijk niet zomaar aanpassen.

[xats6nl]

Voor wapens lijkt me dat juist WEL van toepassing, ik ken geen nuttig gebruik van wapens ...

[SpAsMic]

Alles wat opgelost wordt is mooi. Piepen over andere zaken is hetzelfde als thuis eten en vervolgens klagen dat er nog kinderen in Afrika zijn die honger hebben ipv "bedankt, vrouw, dat was lekker". Natuurlijk zijn er altijd zaken die anders en beter kunnen, maar alle beetjes helpen.

[Engineer]

Niet mee eens. Elk bedrijf hoort zijn prioriteiten te stellen. Als er de keuze gemaakt moet worden tussen snsbank.nl een dag down of het oplossen van een moordzaak dan hadden ze uiteraard beter snsbank.nl beter een dagje down kunnen laten liggen en voorkomen dat er een moordenaar vrij rondwandelt.

Alleen maar dankbaar zijn zonder verder na te denken is té simpel.