OM eist 18 maanden cel tegen Nederlandse maker crimewarekits

Het Openbaar Ministerie heeft 18 maanden gevangenisstraf geëist tegen een 21-jarige verdachte uit Utrecht die verantwoordelijk zou zijn voor de ontwikkeling en verkoop van de crimewarekits Rubella/Cetan en Dryad.

De eis betrof 18 maanden cel, waarvan 6 voorwaardelijk met een proeftijd van 3 jaar. De man wordt ervan verdacht de macrobuilders Rubella Macro Builder, Dyrad en Cetan ontwikkeld te hebben. Hiermee kunnen kwaadwillenden payloads toevoegen aan Word- en Excel-bestanden en na besmetting andere kwaadaardige code zoals keyloggers binnenhalen. De builders bieden geavanceerde functionaliteit, zoals de mogelijkheid antivirussoftware te omzeilen.

De Utrechtenaar verkocht de macrobuilders volgens het OM op onder andere Russische hackerfora en hij zou er in de periode februari 2018 tot aan zijn aanhouding op 11 maart 2019 voor ruim 22.000 euro's aan bitcoins aan verdiend hebben. Het OM meldde in juli vorig jaar dat de man in een collegezaal van de Universiteit Utrecht was aangehouden, terwijl hij op zijn laptop bezig was. Zo kreeg de politie toegang tot zijn systeem, waarna hij onder meer inloggegevens verstrekte. Ook wordt de man verdacht van het bezit van creditcardgegevens om hier fraude mee te plegen.

Op 17 januari 2019 startte Team High Tech Crime het onderzoek naar de verantwoordelijken achter de malwarekits, nadat McAfee en Yin Yang Cyber rapporten over de software uitbrachten en Rubella in de top tien van het Virus Bulletin-congres genoemd werd. Bij het onderzoek viel op dat de verkoper screenshots plaatste met een Nederlandse versie van Word.

De rechtbank Rotterdam doet op 19 maart om 13.00 uur uitspraak in de zaak.

Reacties (56)

[Boekenkaft]

Wat is de overtreding hier en van welke wet? Hier het antwoord:

Hulpmiddelen voor computervredebreuk

Voor computervredebreuk worden meestal speciale "hack"-programma's gebruikt. Het kraken van wachtwoorden, het exploiteren van fouten in de beveiliging ("exploits") of het zich voordoen als een ander persoon of systeem (bijvoorbeeld via een "rootkit") gaat een stuk gemakkelijker met speciale programma's om te hacken. Het maken, vervaardigen, verkopen, verwerven, invoeren, verspreiden of anderszins ter beschikking stellen of voorhanden hebben van dergelijke software is een strafbaar feit (art. 139d lid 2 onder a). Hierop staat een jaar cel (of een boete van 16.750 euro).

Bron: https://www.iusmentis.com...iteit/computervredebreuk/

Toevoeging: Check van de betreffende wet (139d lid 2 onder a), geeft aan dat de straf 2 jaar kan zijn of een boete van 4e categorie € 21.750.

[Reactie gewijzigd door Boekenkaft op 23 juli 2024 19:35]

[RoestVrijStaal]

Nou vergeet je het stuk te citeren die enige nuance brengt:

Oogmerk van computervredebreuk

Wel is het een eis dat het maken, aanbieden enzovoorts gebeurt met het oogmerk computervredebreuk te (laten) plegen. Wie de wachtwoorden van zijn gebruikers wil testen, mag een kraakprogramma gebruiken om te zien of ze daarmee te raden zijn. Een beveiligingsbedrijf mag software ontwikkelen om beveiligingsgaten op te sporen en te testen. Het bedrijf mag zelfs (met toestemming van de klant) proberen de beveiliging van het netwerk van de klant te passeren of uit te schakelen. Maar het in bezit hebben van diezelfde software terwijl je van plan bent daarmee ergens in te breken, is dus een misdrijf.

Wachtwoorden
Hetzelfde geldt voor het verkrijgen, verkopen, verspreiden of voorhanden hebben van wachtwoorden, toegangscodes en dergelijke (art. 139d lid 2 onder b). Ook dit moet gebeuren met het oogmerk computervredebreuk te (laten) plegen. De systeembeheerder die een kopie van alle wachtwoorden van gebruikers in de kluis bewaart, omdat mensen die steeds kwijtraken, pleegt dus geen misdrijf.

Dus John the Ripper of Offline NT Password & Registry Editor "hebben", is juridisch geen probleem zolang je niet het doel hebt om ze tegen anderen te gebruiken.

[THA_ErAsEr]

Dit beantwoord meteen al mijn vragen. Had deze persoon dus de software aangeboden als security testing tool, dan had die mogelijk zijn straf kunnen ontlopen?

[RoestVrijStaal]

Als hij daadwerkelijk de intentie had dat zijn software pakketten beoogd zijn als security testing tools, was het sowieso niet slim om ze op (Russische) hackforums te koop zetten en via "shady" betaalmethoden te laten betalen.

Ik zit niet diep genoeg in het security wereldtje, maar er zal voor whitehatters ook wel een marktplaats zijn.

[Boekenkaft]

Dan zijn de laptop/desktop fabrikant, verkoper van onderdelen, fabrikant van het toetsenbord, de electricien van het gebruikte stopcontact en de netbeheerder voor het geleverde stroom, de betonvlechter van het gebruikte pand, de chauffers etc. etc. ook hulpmiddelen.

Onzin. Het betreft geen middel(en) die bedoeld zijn om computervredebreuk te plegen.

Het enige wat zijn software deed was bestaande bytes toevoegen aan een bestand (geordende set van bytes). En bytes bewerken in een bestand waarvan je eigenaar bent is niet verboden. Wel het inbreken, computervredebreuk, etc. Maar niet dit genoemde middel.

Het betreft hier software die specifiek ontwikkeld is om computervredebreuk te plegen. Het maken, vervaardigen, verkopen, verwerven, invoeren, verspreiden of anderszins ter beschikking stellen of voorhanden hebben, dat is dus strafbaar.

[Reactie gewijzigd door Boekenkaft op 23 juli 2024 19:35]

[Mushroomician]

Jij vind dat het specifiek daarvoor bedoeld is maar wat ik wil zeggen is dat het kan net zo goed bedoeld kan zijn om je eigen projectZero te verbergen voor je concurrenten, dat ene artikel van een klokkenluider, of gewoon je eigen privealbum. De software maakt die "injectie" mogelijk in een verhult bestand. Dat is zo abstract als het maar kan. Klinkt behoorlijk gaaf. Ik ben serieus benieuwd, vanuit wetenschappelijk onderzoek, hoe het precies werkt.

En ooit, lang geleden, ging tweakers ook vooral over de techniek achter zulke gekke techniek. Des te meer ogen erop, des te sterker de maatregelen. Blijven deze bestanden bijvoorbeeld ongezien door Windows Defender of Norton Antivirus? En hoe komt dat dan? Heb ik ooit zo een bestand ontvangen? Hoe kom ik daar achter? En nog belangerijker: Het is vast niet de enige in zijn soort, hoe detecteer je zo een bestand in de toekomst?

Nu hebben we het in dit draadje wel over regels, maar geen programmaregels.

[Reactie gewijzigd door Mushroomician op 23 juli 2024 19:35]

[ro8in]

Als het net zo goed bedoeld had kunnen zijn voor jouw voorbeelden had het programma geen remote code execution gehad. Het is gewoon hartstikke duidelijk waar het voor is en waar het voor wordt gebruikt. Dat verhaal van ja maar het had net zo goed voor x of y kunnen zijn is natuurlijk onzin. Waarom verkoopt hij het dan op russische forums en accepteerd hij alleen bitcoins. Met dat verhaal kom je in 2020 gewoon niet meer mee weg. Wat dat betreft is onze wet inmiddels en gelukkig prima bij de tijd! Wat mij betreft hartstikke prima dat je voor dit soort dingen inmiddels ook gewoon strafrechtelijk vervolgd kan worden. Genoeg mensen zeker technisch minder onderlegde personen die slachtoffer zijn van dit soort computer criminaliteit.

[Reactie gewijzigd door ro8in op 23 juli 2024 19:35]

[biglia]

Bij het onderzoek viel op dat de verkoper screenshots plaatste met een Nederlandse versie van Word.

Hij gebruikte een NL Windows versie, maar de Engelstalige Office. Zie hierbij zijn demofilmpje dat hij gebruikte voor promotie: https://vimeo.com/259408939 .

Bron: hackforums.net waarbij je zijn post geschiedenis kan bekijken. Ook bijzonder dat hij vorige maand nog aangemeld was op dat forum.

[Bux666]

Hij gebruikte een NL Windows versie, maar de Engelstalige Office.

De teksten bij de icons en in de software is Engels en in Excel kwam een Nederlandse melding voorbij, dus wat Tweakers beweert lijkt te kloppen.

Edit: zinsopbouw aangepast.

[Reactie gewijzigd door Bux666 op 23 juli 2024 19:35]

[biglia]

De tweakers.net tekst klopt inderdaad ook. Hij bracht ook screenshots in omloop met een Nederlandstalige Excel. Sowieso had hij zijn OPSEC niet in orde. Dat is een beetje typisch voor jonge online criminelen.

[probot]

Als je goed oplet, dan zie je op 0:31 seconden dat zijn browser ook weggeeft dat hij Nederlands is of een Nederlandse installatie van Chrome gebruikt.

De link verwijst naar een HTTPS met daarin het slotje met daarin de tekst " Veilig " . Daaraan kan je het dus ook herleiden.

[Reactie gewijzigd door probot op 23 juli 2024 19:35]

[Gurd]

Is je niet opgevallen in de video dat in de tray (rechts onderin) de hele tijd al NLD staat?

Edit: Verkeerde persoon waar ik op reageer, excuses.

[Reactie gewijzigd door Gurd op 23 juli 2024 19:35]

[Deido]

Kan goed zijn dat hij zelf niet degene was die inlogde afgelopen maand.

[Frozen]

Ik vind 22k euro aan bitcoins nog betrekkelijk weinig, of ligt dat aan mij?

[Brousant]

Ik vind 22k euro aan bitcoins nog betrekkelijk weinig, of ligt dat aan mij?

Als hij er een jaar voor moet brommen is dat wel een mooi voorbeeld van "misdaad loont niet".

[Reactie gewijzigd door Brousant op 23 juli 2024 19:35]

[laugh]

Ik denk dat je het anders moet bekijken. Het gaat denk ik minder om die 22k aan bitcoin, eerder om de schade die veroorzaakt wordt door deze tool aan bedrijven. Ik denk dat daar vooral het probleem ligt, anders was er niet een heel onderzoek gestart om de dader op te pakken.

[JOJ0]

Het zal inderdaad vooral om de schade gaan. Het gekke is juist, als deze man zijn software op een normale manier had aangeboden had het nieteens illegaal geweest. Juist op de manier waarop het is aangeboden en de manier van betalen geeft aan dat hij expres zijn software aan kwaadwillenden verkocht.

[TrainedFTW]

Ik vind het ook bijzonder weinig. De uitbaters van dit soort hackingtools verdienen veel meer.

De universiteit Maastricht betaalde begin dit jaar nog EUR197K vanwege gegijzelde onderzoeksdata.

[denios]

't Is maar hoe je het bekijkt.
Ik vind 18 maanden waarvan 6 voorwaardelijk erg weinig, voor iemand die zich aan allerlei fraude en hacking praktijken schuldig maakt.

[Vlizzjeffrey]

Ik vind het wel een hoge straf eis, menig pedofiel is met minder weg gekomen, en dan vind ik pedofielen nog wel wat erger dan een kleine internet crimineel als dit, want groot was die niet als die na een jaar 22 duizend euro heeft verdiend, dat is minimum-loon.

[Iblies]

Pedosexuelen krijgen in de regel TBS.

[dindr]

Noem eens wat voorbeelden dan?

[Verwijderd]

Dat ligt maar net aan de hoeveelheid verkoop transacties. Stel hij heeft maar 2 daadwerkelijke transacties gemaakt a ca omgetekend €11.000,00 per transactie dan is het wel een aardig bedrag. En nog steeds strafbaar.

[RoestVrijStaal]

Het kostte hem blijkbaar veel moeite om het wit te wassen.

Dus het is maar de vraag of hij er meer profijt zou hebben gehad als hij een hogere prijs voor zijn software zou rekenen.

[Epep]

Ik denk zelf dat het maken van een applicatie niet strafbaar kan worden gesteld. Wel wellicht dat hij wist dat zijn koper er duistere dingen meededen. Verder zijn de creditcard handel en wellicht het vermoedelijk verstrekken van een onjuiste inkomensverklaring meer verwijtbaar.

[DeZwarteKip]

Artikel 139d lid 2 Wetboek van Strafrecht: Met dezelfde straf wordt gestraft hij die, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid (computervredebreuk), 138b (DDoS) of 139c (aftappen/keyloggen) wordt gepleegd:

a. een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf, vervaardigt, verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft.

Zoals je leest, het vervaardigen of bezitten van die software (het technische hulpmiddel) bedoelt voor die hack, ddos of keylogger is strafbaar als iemand daar slechte bedoelingen mee heeft (het oogmerk tot plegen) en de software daar ook voor bedoeld is (hoofdzakelijk geschikt gemaakt).

[Jean luc Picard]

Waarom geld dit niet voor wapen fabrikanten, die zijn namelijk ook niet verantwoordelijk hoe het middel gebruikt wordt. Hij heeft alleen een wapen gemaakt. Hij is niet verantwoordelijk hoe deze gebruikt of misbruikt wordt. Wapen leveranciers hebben maar één oogmerk zoveel mogelijk winst. Deze knaap heeft gewoon een goed verdien model.

[blaatenator]

En waar kun jij hier in Nederland zonder vergunning legaal een wapen kopen?
Als hij het alleen had gemaakt en verkocht aan 'legitieme' afnemers (dat is aan de politiek) was er geen probleem.

[parzival110]

Wat mag wel in NL, dat zou je jezelf beter afvragen, NL is een strafstaat en een diefstaat.

[DeZwarteKip]

Het maken van een wapen is ook een misdrijf. Artikel 9 Wet Wapens en Munitie: Het is verboden zonder erkenning een wapen of munitie te vervaardigen, te transformeren of in de uitoefening van een bedrijf uit te wisselen, te verhuren of anderszins ter beschikking te stellen, te herstellen, te beproeven of te verhandelen.

Zoals je leest kan is er een uitzonderingspositie. Er kan een erkenning aangevraagd worden bij de Korpschef. Er zijn heul veul regels om je aan te houden bij een erkenning.

Om in jouw vergelijk (die dus niet opgaat) te blijven; deze jongen heeft inderdaad een wapen gemaakt, zonder daarvoor erkenning als beheerder te hebben zoals de WWM voorschrijft en is daarmee strafbaar.

[Nexz]

Waar zou zo iemand voor veroordeeld moeten worden? Een messenfabrikant is immers ook niet aansprakelijk voor het gebruik van zijn messen voor gewelddadige doeleinden. Ik snap dat beoogd gebruik en 'ulterior motive' heel anders zijn, maar ben benieuwd hoe dat wettelijk in elkaar steekt. Begrijp me niet verkeerd, dit soort lui mogen van mij zeker terechtstaan voor de schade die ze hiermee aanrichten!

[Reactie gewijzigd door Nexz op 23 juli 2024 19:35]

[loki504]

Klopt. Tot de messenfabriekant het gaat verkopen als het best steekwapen om iemand mee om te leggen tot keer beter als de concurrent. Dan is het wel strafbaar.

[Nexz]

Afgezien van de Nederlandse wetgeving hieromtrent een ander voorbeeld: als ik een Amerikaan zou zijn en een wapen zou kopen (geadverteerd als zijnde beter wapen om iemand pijn mee te doen), dan is nog steeds de wapenfabfikant niet aansprakelijk...

[loki504]

Maar wel de verkoper. En mocht in dit geval nu de fabrikant ook de verkoper zijn.

[Nexz]

Dan zouden alle verkopers van wapens waarmee ooit op een persoon is geschoten (buiten 'toegestaan geweld' om) achter tralies moeten zitten? Bij wapenhandel lijkt me dat er regelgeving omtrent due diligence en due care is, maar bij software zijn die regels er in principe (voor zover ik weet) niet. Hoogstens 'aanzetten tot' of 'uitlokken van'. Maar dat weet ik ook niet zeker want ik ben niet zo bekend met de wetgeving, vandaar de initiële vraag!

[sympa]

Napster en Megaupload kon je ook gebruiken voor je zelfgemaakte muzieknummers en vakantiefilmpjes. Dat heeft ze niet geholpen.

[Sandwalker]

We zijn niet in de USA. Andere juridisch kader. Ook veel meer doden door vuurwapengeweld. Politieke keuzes!

[CPM]

Zie het meer als een alarmpistool ombouwen tot een echt functionerend wapen.

[Tomolone]

Zoals in andere comments al besproken is denk ik dat het te maken heeft met de manier waarop de software is aangeboden, Bitcoin als betaling en vooral Russische hackerfora voor adverteren.

[Nexz]

Dat zijn elk nog steeds geen illegale activiteiten lijkt me? Je zou denk ik hooguit als medepleger van een feit kunnen worden berecht.

[sympa]

Het verkopen van chemicaliën aan iemand met een chemisch fabriekje en betaling per bank wordt heel anders beoordeeld dan het verkopen van hetzelfde spul op een anarchisten/terroristenforum.
Ofwel: waar bied je het voor aan, en wat is de verwachte doelgroep. Je komt niet ver met "fabrikanten van chemische waren komen vaak op dit forum omdat de leveranciers zo flexibel zijn".

[Verwijderd]

Deze ontwikkelaar wist wat zijn kopers met zijn software gingen doen en bood het ook zo aan. Ik denk echter dat zijn straf meer voortkomt vanuit het feit dat hij frauduleuze creditcard gegevens in zijn bezit had.

[Nexz]

Lijkt me plausibel! Maar in dat geval is de kop van het OM wel erg clickbaiterig .

[Sandwalker]

Het OM heeft liever dat mensen stoppen met illegale praktijken dan dat ze iedere overtreder moeten vervolgen. Dus vanuit die hoek wel begrijpelijk.

[Brousant]

Waar zou zo iemand voor veroordeeld moeten worden?

Medeplichtigheid wellicht.

https://nl.wikipedia.org/wiki/Deelneming_(strafrecht)

Of daarvoor vastgesteld moet worden dat zijn afnemers met die software daadwerkelijk een misdrijf hebben gepleegd weet ik niet.

[Verwijderd]

Je hebt schilmesjes en vlindermessen. Dat het een mes is, betekent niet dat het voor hetzelfde doel ontworpen is. Je kunt hier goed beargumenteren dat deze ‘toolkit’ ontworpen is voor niet-legale doeleinden.

[kooymana]

Helaas is er nog te weinig kennis bij justitie om deze vorm van criminaliteit op waarde in te schatten.
Hopelijk wordt er op korte termijn politiek besloten meer te investeren in de bestrijding van internetcriminelen.

[loki504]

Ik weet niet wat de wet zegt hoeveel er geeist kan worden. Het OM kan wel 20 jaar eisen voor iemand die 40 km te hard rijdt. Maar dat wil niet zeggen dat de rechter daar in mee gaat.

[kodak]

Aangenomen dat je on-topic een reactie geeft, hoe is deze vervolging van een internetcrimineel een voorbeeld dat er bij justitie nog te weinig kennis zou zijn om op waarde in te schatten? En om dan meteen maar even een mogelijke klacht over strafeisen voor te zijn: voor strafeisen moet er ook mogelijkheid zijn via de wet. Dus hoe verwacht je dan dat een investering er uit ziet om iets te betekenen?

[HATA28]

Als ik het goed begrijp heeft verdachte software ontwikkeld waarmee derden malware kunnen verbergen en verspreiden. Verdachte wordt echter niet verdacht van het daadwerkelijk verspreiden van malware, of het inbreken op computersystemen.

Het lijkt erop dat meneer hobbymatig is begonnen met het ontwikkelen van zijn tooltjes, en dit dusdanig succesvol was dat hij er een meer commerciele draai aan heeft gegeven. Zoals @Boekenkaft aangeeft, is dit overeenkomstig Artikel 139d Sr. zeker strafbaar.

Dan komen we bij de strafmaat. Het OM heeft rugbaarheid aan de zaak gegeven, en wil nu natuurlijk hoog inzetten met de eis van 18 maanden celstraf. Persoonlijk vind ik het werkelijk absurd om een programmeur die een programma ontwikkeld heeft, waarmee derden louter economische schade kunnen aanrichten, een celstraf te geven. Vergelijk dit met personen die in Nederland worden veroordeeld voor bedreigingen en geweldsmisdrijven, en veelal wegkomen met veel lagere (taak)straffen en geldboetes.
Een forse geldboete (Artikel 139d geeft ruimte voor een geldboete van de 4e categorie, zijnde max. €21.750) lijkt me in deze casus dan ook veel meer op zijn plaats. Het afnemen van vervorven winsten uit illegale bronnen, overeenkomstig Plukze-wetgeving, zal niet nodig zijn daar verdachte volgens het OM reeds afstand heeft gedaan van de €22.000 aan Bitcoins.

Daarnaast verdenkt het OM verdachte van het bezit van Credit Card gegevens met frauduleuze doeleinden. Echter is mij onduidelijk of het gaat om Credit Card gegevens van andere mensen, of om iets anders. Aangezien het OM met enige regelmaat feiten en omstandigheden ernstiger doet voorkomen dan ze in werkelijkheid zijn, wacht ik graag de uitspraak van de rechter af indeze.

[Reactie gewijzigd door HATA28 op 23 juli 2024 19:35]

[rijnsoft]

In Nederland mag je wel belachelijke messen maken en verkopen aan jongeren. Je mag ook drugs verkopen. En zo kan ik nog wel even doorgaan met het geven van voorbeelden.
Waar het om gaat is dat hij toevallig de verkeerde mensen tegen de schenen heeft gestoten, en daar moet deze jongen nu voor boeten. Hij wist echter duidelijk wel dat ie fout bezig was, dat is duidelijk.
Niemand heeft het erover dat de Microsoft bestanden blijkbaar niet erg veilig waren. Voor zover ik weet is de enige beveiliging de vraag aan de gebruiker of hij het bestand vertrouwt.

[Reactie gewijzigd door rijnsoft op 23 juli 2024 19:35]

[Sandwalker]

Ja en voor dit soort software hebben we regels. Met software heb je immers een veel groter bereik, omdat tegenwoordig alles aan elkaar hangt. Je kunt ook geen F-35 met bommen bestellen als particulier.
De schade die je kunt veroorzaken met software is gewoon veel groter. Maersk had dat een paar jaar geleden voor de terminal in Rotterdam. Iran had wat met zijn centrifuges.
Prima dat er gewoon duidelijk wordt gemaakt dat dit niet meer kan.

[wvexeltweakers]

De maker van dit stuk software staat er slecht voor, gezien het feit dat dit bij het Wetboek van Strafrecht is bestempeld als misdrijf.

Ik blijf het opmerkelijk vinden, aangezien hij geen (mede)pleger is. Dat hij het in bitcoins verkocht via Russische fora, pleit niet in zijn voordeel. Toch is en blijft hij “slechts” de maker van de tool.

Maar goed, Lex dura, sed lex.

[Nomind]

De universiteit van Maastricht is bijna platgelegd met behulp van zo'n tooltje. What's next? Een ziekenhuis waar het echt fout gaat? Het OM is niet ongevoelig voor maatschappelijke onrust en terecht lijkt mij.
Zeggen 'tja hij maakte maar een tooltje, hij is daarmee geen dader'? Dat snap ik niet zo goed.
Als je een huurmoordenaar een wapen levert ben je toch ook medeplichtig? of nee toch niet, 'ik dacht dat hij er alleen maar mee wou dreigen meneer de rechter' ??
Als je een schietvereniging een wapen levert ben je een legaal bedrijf.
Lijkt me helder verschil.
Op basis van de berichtgeving lijkt mij het dat deze jongen voor wat geld zijn moreel kompas is kwijt geraakt. Das triest. Het puber brein is pas met 24 jaar volgroeid heb ik wel eens gelezen. Ik hoop dat hij hier wat wijzer bovenop komt.