Websites van Netwalker-ransomware zijn ingenomen door autoriteiten

De darkweb-websites van de Netwalker-ransomware zijn 'in beslag genomen' door autoriteiten uit de VS en Bulgarije. De websites in kwestie tonen nu een landingspagina, die stelt dat ze offline zijn gehaald na een gecoördineerde actie tegen de ransomware.

De landingspagina stelt dat de inbeslagneming is uitgevoerd door het Amerikaanse ministerie van Justitie, de FBI, de Bulgaarse recherche en een Bulgaarse autoriteit voor de bestrijding van georganiseerde misdaad. "Deze verborgen site is in beslag genomen door de Federal Bureau of Investigation, als onderdeel van een gecoördineerde actie tegen de NetWalker-ransomware", zo leest de webpagina.

Het gaat hierbij om de Tor-websites voor de betalingen van losgeld en de websites waar de data van slachtoffers wordt uitgelekt wanneer ze weigeren te betalen, zo schrijft ook BleepingComputer. De autoriteiten hebben nog geen officiële informatie over de actie gedeeld. Het is daardoor nog onduidelijk of bij de actie ook decryptiesleutels zijn buitgemaakt, die gebruikt kunnen worden om de data van slachtoffers te ontsleutelen.

Netwalker is sinds eind 2019 operatief als ransomware-as-a-service, waarbij criminelen de ransomware kunnen aanschaffen bij de makers, om deze vervolgens zelf te verspreiden. De criminelen gaven volgens BleepingComputer zo'n 25 tot 40 procent van de losgeldbetalingen terug aan de makers van de ransomware. McAfee bracht in augustus een rapport uit, waarin het bedrijf stelde dat Netwalker zo'n 25 miljoen dollar aan losgeld heeft vergaard in de eerste vijf maanden waarin de ransomware werd verspreid.

De landingspagina op websites van Netwalker. Afbeelding via BleepingComputer

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (45)

Kan iemand uitleggen wat er precies in beslag is genomen? Bij Tor heb je geen centraal domain name provider, dus de autoriteiten hebben de private key van het onion adres in bezit?

De server die de hidden service host is in beslag genomen, uit het rack gehaald dan wel is de VM uitgezet.

De fysieke server/VM vinden is geen triviale zaak, makkelijkste manier is de server te hacken, over het Tornetwerk. Eenmaal binnen zie je dan het publieke adres, gaat naar de, in dit geval bulgaarse, hoster en neemt dat ding/VM in beslag. Ze hebben dan idd de private key van de server en kunt mbv die key een tweede server neerzetten met de landing page.

Door het meten van latency kun je een soort driehoeksmeeting doen om de locatie ongeveer te weten te komen. Hier een oud artikel van Roger Dingledine etal dat op dit soort risico’s ingaat.

De enige manier om ransomware de kop in te drukken is niet de aanbodzijde van ransomware de kop in te drukken, maar de aanbodzijde van de geldstroom. Begin met het vastleggen in wetgeving dat organisaties geen criminelen mogen financieren door voor ransomware uit te betalen, met als straf dat bestuurders dan persoonlijk veroordeeld zullen worden voor het financieren van criminaliteit. Zo voorkom je dat het enkel onderdeel blijft van een financiële risicoanalyse.

Organisaties kunnen vervolgens in hun risicoanalyses ransomware behandelen alsof de systemen en de data verloren zijn (eventueel inclusief backups), een scenario waar een beetje bedrijf zich sowieso op voorbereid moet hebben.

De initiële kosten zullen hoger zijn dan nu, maar uiteindelijk druk je ransomware de kop in. Het wordt dan niets anders dan moedwillig systemen vernietigen, en daar zit gewoon niet veel geld in om te verdienen.

[Reactie gewijzigd door The Zep Man op 27 januari 2021 20:17]

Het klinkt allemaal heel mooi, maar de praktijk is toch echt anders. Data en IT is tegenwoordig het meest cruciale van een organisatie. Dat betekent het einde van je toko. En wat doe je als het om een universiteit gaat? Dan stop je maar met lesgeven? Uiteindelijk leveren de andere opties grotere zorgen en meer schade.

Meer schade voor die specifieke organisatie, ja. Maar voor de maatschappij als geheel (een miljoen organisaties) geeft het meer schade als organisaties blijven betalen. Dus ik zou wel voor een wet zijn.

Wie geeft de garantie dat het ophoud? Met brakke beveiliging van bedrijven gaat dit natuurlijk gewoon door. Data kan ook verkocht worden, vernietigd worden (terwijl je net wat aandelen vd concurrent koopt, of in opdracht van overheden onrust zaait).denk je nou dat als we ophouden met betalen dat we vrolijk verder kunnen. Wat dacht je van de ddos aanvallen van kinderen? Vroegen die losgeld of vonden ze het gewoon leuk?

Daarnaast, wetten zijn landelijk. Hoe ga je dit wereldwijd regelen?
Weet je wat een betere wet zou zijn? Dat je verplicht investeert in beveiliging van je toko.

Deze wet beoogt alleen het probleem van losgeldprogramma's aan te pakken, niet andere problemen.

Meer investeren in beveiliging ben ik zeker ook voor.

Maar het probleem is niet losgeld betalen, maar ransomware aanvallen. Ik geloof niet dat het stoppen van losgeld betalen zorgt dat ransomware ophoud. Het is minder lucratief, maar maakt je bedrijf alleen maar zwakker. Bij een succesvolle aanval is je business klaar.

Waarom geloof je dat niet? Als niemand losgeld betaalt, houdt het hele bedrijfsmodel van de gijzelnemers op te bestaan.

Wat ik zeg, er blijft altijd een bedrijfsmodel. Dat geef ik aan in eerdere reactie. Losgeld is 1 van de mogelijkheden om geld te verdienen.

Het enige wat je hebt genoemd is de verkoop van gegevens. Het lijkt me dat die voor 99% van de gehackte organisaties heel weinig zullen opleveren, peanuts vergeleken met de tonnen aan losgeld die her en der worden betaald.

Maar sowieso: het gaat hier om het aanpakken van probleem met losgeld, niet met andere problemen. Er zijn allerlei reden waarom mensen misdaden plegen; die hoef je niet allemaal ineens weg te nemen met één maatregel.

Ik zou zeggen. Stel het even voor. De eerste wereldwijde wet die losgeld betalen verbied. Zelfs op Europees niveau bestaan er niet zulke wetten. En zelfs met zo'n wet, die er dus niet gaat komen (onmogelijk haalbaar) ga je ransomware niet volledig kwijtraken. Waarom denk je dat er na jaren nog jiet zo'n wet is? En dat dat überhaupt nog niet is voorgesteld ergens, behalve hier op een forum?

Er zijn heel veel weten die er zouden moeten zijn maar er toch nog niet zijn. Het is ook relatief nieuw hoe groot het probleem nu is.

Dat ligt er maar aan. Als die criminelen die vervolgens overgaan tot het vrijgeven van buitgemaakte data, inclusief privacygevoelige informatie van klanten en medewerkers, kan de schade voor de maatschappij ook aardig oplopen.
Dit gebeurt nu al, en je kunt er donder op zeggen dat als het risico op niet-betalen groter wordt, bijvoorbeeld door een wet die dat verbiedt, ze dus ook steeds meer organisaties gaan uitzoeken waarbij de maatschappelijke impact veel groter is als er data openbaar wordt gemaakt.

Het is dus niet zo zwart-wit...

Als ze er geen geld meer aan kunnen verdienen stort het hele bedrijfsmodel van de gijzelnemers in. Het aantal keer dat het gebeurt zal daardoor zeer sterk afnemen. Dus je krijgt misschien een paar keer extra schade, maar daarna een oneindig aantal keer geen schade meer.

Maar een betaalverbod gaat er niet toe leiden dat er geen losgeld meer betaald zal worden. Ten eerste omdat er altijd bedrijven zullen zijn die zo'n verbod negeren en toch betalen, ten tweede omdat dit een wereldwijd probleem is en je het niet voor elkaar gaat krijgen dat er een wereldwijd losgeldbetaalverbod komt dat door al die landen nog actief gehandhaafd wordt ook.

Het aantal bedrijven en organisaties dat betaalt zal toch zeer sterk afnemen, als er stevige straffen op staan voor bestuurders. Waarom zou je als bestuurder je eigen leven ruïneren om een bedrijf te redden? En juist (semi-)overheidsorganisaties zullen zich ook heus wel aan de wet houden.

Je hebt zeker een punt dat het minder effect heeft als alleen Nederland dit doet. Maar dat geldt voor al dit soort wetgeving: moeten we dan onze CO2-uitstoot maar niet terugdringen? Moeten we multinationals dan maar nauwelijks belasting laten betalen? Verder denk ik dat criminelen wellicht organisaties niet zullen aanvallen in een land met zulke wetgeving, omdat ze weten dat het niets oplevert, terwijl een aanval toch ook risico voor henzelf oplevert: dan kun je beter organisaties aanvallen in landen waar men wel betaalt. Zo krijg je hopelijk een domino-effect, waarbij andere landen met wetgeving zullen volgen.

Volgens mij hebben veel overheden ook beleid om nooit losgeld te betalen voor gijzelaars, precies om deze reden. Het is even slikken, maar op de lange termijn is dit effectief (de Amerikaanse overheid maakt geloof ik soms een uitzondering, maar dat is dan strikt geheim, en zeer controversieel).

Een bestuurder van een door ransomware getroffen organisatie is in principe slachtoffer. Het is natuurlijk van de zotte om die op persoonlijke titel te bestraffen voor iets dat hij uit hoofde van zijn functie besluit om het voortbestaan van die organisatie niet in gevaar te brengen als gevolg van een criminele actie van een buitenstaander. Dat is echt de wereld op z'n kop.
Iemand die een afperser of chanteur betaalt is ook niet strafbaar. Onder bedreiging je telefoon afstaan aan een straatrover is ook niet strafbaar. Het betalen van losgeld dus ook niet.

Je kunt het wel strafbaar maken. Dat zou de maatschappij als geheel denk ik enorm helpen. Een bestuurder is zelf geen slachtoffer, alleen het bedrijf, en dat is geen mens, dus ook niet te vergelijken met een menselijk slachtoffer.

Begin met het vastleggen in wetgeving dat organisaties geen criminelen mogen financieren door voor ransomware uit te betalen, met als straf dat bestuurders dan persoonlijk veroordeeld zullen worden voor het financieren van criminaliteit.

Dit komt met regelmaat naar voren bij items over ransomware. Wat men vergeet is dat bedrijven soms gewoon op de fles gaan wanneer men niet zo kunnen / mogen betalen. De ransomware aanbieder richt zijn peilen niet altijd op grote kapitaalkrachtige organisaties (en als ze dat wel doen is de prijs die men vraagt ook hoog).

Het wordt dan niets anders dan moedwillig systemen vernietigen, en daar zit gewoon niet veel geld in om te verdienen.

Waarom zou daar geen geld te verdienen zijn? Het gaat uiteindelijk om de dreiging. Kijk bijvoorbeeld ook naar afpersing middels DDoS etc.

[Reactie gewijzigd door Bor op 27 januari 2021 21:10]

Dan gaat het maar op de fles? Als er een strenge wet komt, zal dat misschien een paar keer gebeuren, maar daarna weten boeven dat het geen zin meer heeft. Een offer op de korte termijn dat veel leed bespaart op de lange termijn.

Je concurrent zal maar zo'n bedrijf (indirect) inhuren om jouw bedrijf op zo'n manier kapot te laten gaan, uiteraard, zonder geld eis want er wordt dan toch niet betaald.

Moraal is je zal altijd dan een ander ongewenst effect krijgen die net zo lastig te handhaven is. (uiteraard is het inhuren ook strafbaar, maar dan maar via via via (verschillende schimmige (buitenlandse) bedrijfjes/katvangers)

Tja, dat inhuren kan hij nu toch ook al doen?

Het nadeel is dan wel dat vaak een ransom uitkopen veel goedkoper is dan het laten fixen door andere.

En het nadeel is je kunt als sys-admin zo je best doen maar een fout van een gebruiker en één klein dingetje missen en je gaat nat.

Zodra de gevolgen van niet-betalen serieus ernstiger zijn (en dat kan ook makkelijk als je backups weg zijn) dan betalen ga je hier geen succes mee hebben. Je verlegt alleen de geldstromen.

Ik denk niet een bedrijf dat op de fles gaat denkt "jammer, maar in ieder geval heb ik meegeholpen om cybercrime uit te bannen".

Ben benieuwd hoe je reageert als jij bij een bedrijf wekr dat slachtoffer is en niet mag betalen.

Alles versleuteld ook de backups, einde bedrijf, jij op straat.

Een bedrijf dat 2-3 weken niet operationeel is in een land als Nederland of België met hoge loonkost en kosten bedrijfsruimte in bv Brussel/Amsterdam, is vele malen duurder dan betalen en dan een leger consultants inhuren om het op te volgen en dicht te timmeren, nieuwe policies in acht te nemen, netwerksegmentatie en Multi factor authenticatie.

De enige manier om ransomware de kop in te drukken is niet de aanbodzijde van ransomware de kop in te drukken, maar de aanbodzijde van de geldstroom. Begin met het vastleggen in wetgeving dat organisaties geen criminelen mogen financieren door voor ransomware uit te betalen, met als straf dat bestuurders dan persoonlijk veroordeeld zullen worden voor het financieren van criminaliteit. Zo voorkom je dat het enkel onderdeel blijft van een financiële risicoanalyse.

Organisaties kunnen vervolgens in hun risicoanalyses ransomware behandelen alsof de systemen en de data verloren zijn (eventueel inclusief backups), een scenario waar een beetje bedrijf zich sowieso op voorbereid moet hebben.

De initiële kosten zullen hoger zijn dan nu, maar uiteindelijk druk je ransomware de kop in. Het wordt dan niets anders dan moedwillig systemen vernietigen, en daar zit gewoon niet veel geld in om te verdienen.

Daarmee criminaliseer je dus de slachtoffers van ransomware. Mensen draaien de bak in, en krijgen een strafblad, puur omdat ze eigenlijk slachtoffer zijn en alles in het werk stellen om hun bedrijf te redden, de banen van hun medewerkers veilig willen stellen. Persoonlijke veroordeling van bestuurders kan alleen als ze doelbewust te kwader trouw en voor eigen gewin hebben gehandeld. Daarvan is bij betaling van losgeld absoluut geen sprake.

Prima als je wilt dat er een verbod komt op het betalen van losgeld, maar daar hoort bij dat de overheid de ontstane schade vergoedt, mits het bedrijf niet toch al op omvallen stond (en daar mag van mij best de voorwaarde aan gekoppeld worden dat het bedrijf redelijkerwijs voldoende maatregelen getroffen heeft om zo'n aanval te voorkomen).

Overigens is het zeker niet zo dat de geldstroom opdroogt bij een verbod op losgeldbetalingen. De criminelen kunnen namelijk ook de buitgemaakte data nog verkopen. Dat levert weliswaar wat minder op, maar is nog steeds een stuk lucratiever dan een echte baan.

Prima als je wilt dat er een verbod komt op het betalen van losgeld, maar daar hoort bij dat de overheid de ontstane schade vergoedt, mits het bedrijf niet toch al op omvallen stond (en daar mag van mij best de voorwaarde aan gekoppeld worden dat het bedrijf redelijkerwijs voldoende maatregelen getroffen heeft om zo'n aanval te voorkomen).

Waarom moet de overheid opdraaien voor niet afdoende informatiebeveiliging?

Verder lees ik veel reacties over 'bedrijven' en 'banen'. Die twee zijn niet het heilige doel, in tegenstelling tot wat politieke partijen zoals het VVD men wil doen geloven. Initieel kost het een paar bedrijven de kop. Daarna zal het beter gaan. Waar een vraag is, zal er aanbod zijn.

Persoonlijke veroordeling van bestuurders kan alleen als ze doelbewust te kwader trouw en voor eigen gewin hebben gehandeld. Daarvan is bij betaling van losgeld absoluut geen sprake.

Ze financieren criminele netwerken om hun eigen bedrijf overeind te houden (=eigen gewin).

[Reactie gewijzigd door The Zep Man op 28 januari 2021 10:58]

Waarom moet de overheid opdraaien voor niet afdoende informatiebeveiliging?

Ik herhaal nog een keer de zin waar jij op reageert, let op het vetgedrukte deel. Daarin zeg ik juist dat de overheid niet persé moet opdraaien voor niet afdoende informatiebeveiliging.
"Prima als je wilt dat er een verbod komt op het betalen van losgeld, maar daar hoort bij dat de overheid de ontstane schade vergoedt, mits het bedrijf niet toch al op omvallen stond (en daar mag van mij best de voorwaarde aan gekoppeld worden dat het bedrijf redelijkerwijs voldoende maatregelen getroffen heeft om zo'n aanval te voorkomen)."

Als een bedrijf is geinfecteerd met ransomware wil dat niet automatisch zeggen dat de IT-omgeving van dat bedrijf een gatenkaas is. IT-beveiliging, hoe strikt ook, is altijd een reactie op bekende kwetsbaarheden en bekende aanvalstechnieken.

In de huidige situatie heeft zo'n bedrijf de keuze tussen betalen van het losgeld, of dat niet doen. Als de overheid betalen verbiedt, dan is het niet heel raar als die overheid meebetaalt aan een andere oplossing. Een failliet bedrijf kost de overheid ook klauwen met geld. Bestrijding van misdaad is een overheidstaak en moet ook door de overheid betaald worden - en dus niet door een willekeurig bedrijf waar een medewerker in een moment van onachtzaamheid op een onveilige link klikt.

Je vergeet even dat, ook al betaalt het bedrijf losgeld, de zaak toch al snel een week stil ligt. Met alle kosten, gemiste omzet, claims en reputatieschade van dien. Geen enkel bedrijf wil dat. De reactie van alle bedrijven (niet alleen die slachtoffer van ransomware zijn geweest) zal worden om de IT-systemen nog verder te beveiligen, en zo mogelijk te compartimenteren. Daar is heus geen losgeldbetaalverbod voor nodig.

Initieel kost het een paar bedrijven de kop. Daarna zal het beter gaan.

Daar geloof ik geen drol van. Ransomware-aanvallen stoppen niet aan de grens van een kikkerlandje aan de Noordzee met een losgeldbetaalverbod. Dit is een internationale maffia, en die vinden altijd wel weer bedrijven die gewoon het losgeld betalen, verbod of niet. In Nederland moet je redelijk creatief zijn om dat soort betalingen buiten de boeken te houden, maar er zijn natuurlijk zat landen die zo corrupt zijn dat het helemaal niet opvalt.

Ze financieren criminele netwerken om hun eigen bedrijf overeind te houden (=eigen gewin).

Wat een ontzettend kansloze opmerking... Wat je hier dus eigenlijk zegt is dat iedereen die om wat voor reden dan ook afgeperst of gechanteerd wordt, direct het schavot in moet. Die financieren namelijk ook criminele organisaties. En ieder slachtoffer van straatroof die zijn/haar handtas of mobieltje afgeeft uit angst in elkaar geslagen of neergestoken te worden (= eigen gewin) moet op z'n minst een vette boete krijgen?

Zou zoiets ook werken voor straatovervallen?
Gewoon niet je portemonnee afgeven dan houden de boeven vanzelf op?

Ook daar wordt wel weer een weg omheen gevonden. Bijvoorbeeld een buitenlands bedrijf dat het losgeld betaald en daarvoor gewoon een nette factuur stuurt.

Dat levert niets op, Nederland heeft namelijk geen monopoliepositie op IT gebied, Ransomwaremakers zullen voor dit extreem kleine land zonder invloed geen uitzonderingen maken.

En vind je niet dat de overheid de laatste tijd genoeg maatregelen heeft genomen om (kleine) bedrijven om zeep te helpen?

Er worden er een paar offline gehaald en er komen er weer 10 andere websites bij. Uiteraard goed nieuws dit. Het zal helaas moeilijk worden om dit soort praktijken uit te bannen.

Toch is het goed dat dit gebeurd. Het lost een bepaalde dreiging (deels) op maar het geeft ook een sterk signaal; ook ransomware makers en verspreiders zijn niet onaantastbaar.

Mooi zo. Zulke ongedierte moeten vernietigd worden want ransomware brengt alleen maar schade tot het uiteindelijk niet meer uit maakt of ziekenhuizen ook getroffen worden.

Gaat wel lekker de afgelopen dagen met offline halen van hidden services.

Ze zijn niet hidden genoeg, als er een linkje gemaakt kan worden tussen de hidden service en de niet-zo-hidden wereld.

Een website aanbieden als hidden service is overigens geen kunst. Tor installeren en een paar regels in het configuratiebestand toevoegen, lokale webserver configureren en gaan. Al wil je een specifieke sitenaam dan kan je daar wat CPU cycles aan verbranden, maar een willekeurige sitenaam kan de traagste computer zo genereren. Doe een statische pagina via een website die nooit publiekelijk is aangeboden zonder identificerende gegevens, en de kans dat de autoriteiten ooit de fysieke server zullen vinden is nihil.

De techniek is niet het probleem. De menselijke discipline om verborgen te blijven wel.

[Reactie gewijzigd door The Zep Man op 27 januari 2021 20:20]

Hé Hé eindelijk actie tegen ransomware.

Hebben ze dat tuig nog ook opgepakt dat hier achter zit. Ik hoop het wel laat ze lekker 20 jaar wegrotten in erbarmelijke omstandigheden.

Helaas blijkt het vinden van de mensen achter ransomware campagnes in de praktijk vaak zeer lastig. Ze zijn goed verborgen, bevinden zich soms in landen welke geen uitleveringsverdragen kennen, hebben zeer veel technische kennis en maken gebruik van technische maatregelen om verborgen te blijven maar ook van mensen die als afleiding / tussenpersoon etc worden gebruikt.

Ik stem ervoor, dat wij een grote EU organisatie krijgen die deze Ransomware, bank en bel fraude aanpakt.
Bij weigering uitzetten door het land waar de dader zit, meteen een boycot (in gradaties) en met een eenzijdige wetgeving vanuit de EU dat wij de dader(s) desnoods met een extractieteam gaan ophalen.

Dan moet je eerst weten wààr de dader zit.
Het probleem is dat de mensen achter het verspreiden van ransomware moeilijk te vinden zijn. Je moet eerst weten wie en welk land erachter zit voor je boycots kan uitoefenen.
Hoewel de server in Bularije staat/stond, lijkt het me onwaarschijnlijk dat dit effectief over Bulgaren gaat. Het artikel bericht niet over de nationaliteit van de verspreiders. Een server laten hosten door een mule in Bulgarije vanuit pakweg Nederland of België is echt niet moeilijk. De remote connectie ernaar kan voldoende afgeschermd worden.

[Reactie gewijzigd door Fuss! op 28 januari 2021 08:47]

@Fuss! Ok, slecht idee van mij om het vinden van de Ransomware, bank en belfraude een hele grote EU speerpunt te maken, zodat we wij als samenleving hier minder last van hebben.
Ik probeer steeds meer te denken in probleem -> oplossingen en steeds minder in probleem --> hoe/waarom we een probleem niet kunnen oplossen.
Welke ideeën heb jij in gedachte om dit probleem aan te pakken en te verminderen ?

[Reactie gewijzigd door Jemboy op 29 januari 2021 03:06]

Een Canadees is opgepakt.

The NetWalker action includes charges against a Canadian national in relation to NetWalker ransomware attacks in which tens of millions of dollars were allegedly obtained, the seizure of approximately $454,530.19 in cryptocurrency from ransom payments, and the disablement of a dark web hidden resource used to communicate with NetWalker ransomware victims.
https://www.justice.gov/o...inst-netwalker-ransomware

Een website registratie gaat altijd met naam en adresgegevens, dit is volgens mij wereldwijd. Dus de perso(o)n(en) moeten altijd te achterhalen zijn. Hiervoor gebruiken ze hier een slachtoffer. Net als bij bankrekeningen iemand zijn bankrekening te beschikking stelt aan criminelen. Zo iemand nomen ze een geldezel.

Voor het ter beschikking stellen van een website zou het woord "webezel" wel iets zijn. iemand die een website openend en door criminelen laat gebruiken, misbruiken.

Kortom dit is nog maar het prille beging, de organisatie moet groter en professioneler worden.