AIVD: staatshackers willen vooral spioneren en minder aanvallen

Hackers uit landen met een offensief cyberprogramma gebruiken steeds vaker zerodays voor hun aanvallen, waarschuwt de AIVD in zijn jaarverslag. Spionage naar covid-19-bestrijding was een belangrijke motivatie om te hacken. Het risico op digitale ontwrichting lijkt minder groot te zijn.

Volgens de Algemene Inlichtingen- en Veiligheidsdienst is Nederland nog steeds interessant voor landen om cyberaanvallen op uit te voeren. Dat gebeurt voor een belangrijk deel voor spionagedoeleinden. Wat daarbij opvalt, is dat in 2021 veel aanvallen plaatsvonden op overheidsinstellingen en bedrijven die zich bezighielden met het bestrijden van het coronavirus. "Een actueel doel dat sommige landen in 2021 hadden, was kennis vergaren die ze kon helpen bij de bestrijding van covid-19 in eigen land", schrijft de AIVD in zijn jaarverslag over dat jaar.

Minder risico op ontwrichting

De AIVD is relatief mild over de gevaren van zogenaamde digitale ontwrichting. De dienst waarschuwde in voorgaande jaren onder andere dat staatshackers actief voorbereidingen troffen om mogelijk aanvallen te plegen op vitale infrastructuur, zoals de water- en energievoorziening. De AIVD noemt dergelijke sabotage nog steeds 'potentieel het grootste digitale risico voor de Nederlandse samenleving', maar nuanceert dat ook. "De kans dat zulke middelen worden ingezet, is klein. De meeste landen zullen zo'n aanval opvatten als een oorlogshandeling." De vraag of een cyberaanval op een NAVO-land wordt gezien als een aanval zoals bedoeld in het zogenaamde Artikel 5, is overigens niet makkelijk te beantwoorden. Politici noch militairen en experts hebben er een pasklaar antwoord op.

Met de uitspraken nuanceert de AIVD de waarschuwingen die zowel de inlichtingendienst als andere veiligheidsinstanties jaren geleden afgaven. Naast de AIVD waarschuwde ook de Nationaal Coördinator Terrorismebestrijding en Veiligheid regelmatig dat Nederland grote kans liep op 'digitale ontwrichting' en dat de vitale infrastructuur kwetsbaar was. De teneur leek toen dat een aanval slechts een kwestie van tijd was en dat hackers al stappen zetten om zulke aanvallen uit te voeren.

De inlichtingendienst waarschuwt dat ransomwareaanvallen in het vorige jaar grote maatschappelijke gevolgen hadden. De dienst noemt de aanvallen op de Universiteit van Amsterdam en op VDL Nedcar als voorbeelden. De dienst merkt op dat zulke aanvallen vooral worden uitgevoerd door criminelen 'en niet door statelijke actoren'.

De meeste hackpogingen die in Nederland plaatsvinden, zijn dan ook niet bedoeld om Nederland plat te leggen, maar om te spioneren. De AIVD noemt China, Rusland en Iran als daders, maar opvallend ook bondgenoot Turkije als spionerende landen. Concrete voorbeelden van Turkse hacks noemt de AIVD niet. Chinese staatshackers vallen voornamelijk bedrijven in de communicatie en ruimtevaart aan en stelen maritieme technologie. Russische hackers lijken voornamelijk politieke informatie te willen verzamelen. Die gebruikt het land om beïnvloedingscampagnes uit te voeren. Een opvallende meevaller is dat de AIVD 'geen gerichte strategie heeft waargenomen om de uitkomst van de Tweede Kamerverkiezingen te beïnvloeden'. "Het kiesstelsel en de wijze van machtsvorming in Nederland bieden hiertoe maar beperkt kansen", schrijft de dienst.

Zerodays

Hackers zouden steeds vaker gebruikmaken van zerodays om hacks uit te voeren, schrijft de dienst. Dat zijn kwetsbaarheden waarvan de details nog niet bekend zijn. Ook kwetsbaarheden waarvan de details pas zeer kort daarvoor openbaar zijn gemaakt, zijn populair onder hackers. De dienst noemt bij geen van beide gevallen concrete cijfers. Het is een opvallende ontwikkeling; experts waarschuwen vaak dat oude kwetsbaarheden nog vaak worden misbruikt voor digitale aanvallen, hoewel er al lang patches beschikbaar zijn. De bevindingen van de AIVD kunnen erop duiden dat het patchbeleid bij in ieder geval de vitale infrastructuur sterk is verbeterd.

Kritiek op de Wiv

De AIVD herhaalt in het jaarverslag opnieuw zijn kritiek op de Wet op de inlichtingen- en veiligheidsdiensten. Zowel de AIVD als de MIVD vindt dat die niet meer voldoet. De diensten hebben voornamelijk moeite met het toezicht dat voorafgaand aan een operatie moet plaatsvinden. Als een hacker van apparaat wisselt en de AIVD wil het nieuwe apparaat hacken, moet de dienst opnieuw toestemming vragen van de Toetsingscommissie Inzet Bevoegdheden. "Dat kan tijdsintensief zijn, omdat zo’n verzoek grondig moet worden onderbouwd. Kwaadwillende hackers kunnen uit beeld verdwijnen als de AIVD niet tijdig toestemming krijgt om ook via nieuwe infrastructuur het spoor te kunnen volgen tot de bron", schrijft de dienst. Begin april is er een tijdelijke wet ingediend die dat moet verbeteren.

Die bevoegdheden zouden extra hard nodig zijn omdat Nederland een aantrekkelijk land is voor hackers, zegt de AIVD. "Nederland staat hoog op de lijst van landen waarvan de infrastructuur wordt misbruikt bij cyberaanvallen. Veel statelijke actoren met een offensief cyberprogramma voeren aanvallen bij voorkeur uit via Nederlandse verbindingen en via in Nederland gehuurde servers."

Reacties (29)

Uiteraard, als er geen directe oorlog is tussen landen zullen de hackpogingen niet meteen bedoeld zijn om nederland 'plat te leggen', maar dat zal in tijden van oorlog natuurlijk anders zijn. Een tijdje geleden was ik op zoek, just for fun, naar kwetsbaarheden in mijn digitale (made in China) power switch. Dat is zo'n stekkerdoos die je via internet kan bedienen om aangesloten apparatuur aan/uit te zetten. Ik had de firmware gedownload en ben bezig geweest die te reverse engineeren om te kijken hoe de security in elkaar zat van dat ding. En wat schetste mn verbazing, er zat gewoon een backdoor in, een commando om van afstand om AL die powerswitchen van dat merk aan/uit te zetten. Welk nut dient zoiets voor de fabrikant? Het enige dat ik kan bedenken is dat het desbetreffende bedrijf een overheidsfunctionaris op bezoek heeft gehad en die een deal hebben gemaakt om die functionaliteit toe te voegen. Het gaat dan dus niet alleen om zero days maar ook om apparatuur met backdoors die wederom nu niet in aan het licht zullen komen maar wel in oorlogstijd een belangrijke rol kunnen spelen.

[Reactie gewijzigd door nolo op 28 april 2022 13:39]

"Made in China" producten hebben altijd een kans dat er backdoor, filter of spionage functies in zitten. Geen enkel bedrijf is in China 100% zelfstandig. De regering heeft overal een stevige vinger in de pap. Als je vanuit de regering gevraagd wordt om een bepaalde functie in te bouwen is dat ook een verplichting. Niet opvolgen kan grote gevolgen hebben. Open over eventueel op last van de overheid toegevoegde functies communiceren is eveneens streng verboden.

Dat geldt net zo goed voor Amerikaanse producten, zo is het een publiek geheim dat Cisco NSA backdoors moest inbouwen. Reken er maar op dat ook Amerikaanse fabrikanten zoals Netgear deze backdoors verplicht moeten inbouwen vd. Amerikaanse overheid.

Reken er maar op dat ook Amerikaanse fabrikanten zoals Netgear deze backdoors verplicht moeten inbouwen vd. Amerikaanse overheid.

Dus een dubbel risico, want Netgear producten worden met name in China gefabriceerd.

Dubbel risico is er, maar Netgear kan wel controleren of men de producten wel netjes op de opgegeven manier maakt. Extra toevoegingen kan men opsporen. Of men de producten ook regelmatig controleert is mij niet bekend.

Het zelfde geld natuurlijk ook voor iPhones en heel veel andere producten die men in China laat produceren.

Extra toevoegingen kan men opsporen.

Niet per se. Ligt er ook aan in welk stadium die toevoeging is gedaan. Zie ook: Modchips of the State, een geweldige talk van Trammell Hudson.

Het kost moeite maar...

In this talk we'll examine the design of a proof of concept SPI bus hardware implant that has similar capabilities to those described in the Bloomberg/Supermicro article as well as some countermeasures that we can use to try to detect these "modchips" and increase our trust in our systems.

er blijven altijd mogelijkheden om veranderingen tov het origineel te ontdekken, al kan het erg gecompliceerd zijn.

Ja, dat is zeker waar. Maar het blijft de vraag of die mogelijkheden ook benut worden. De (vrij technische) talk legt uit dat het in theorie mogelijk is om de extra checks in de fabriek te bypassen door het ontwerp aan te passen, voordat deze bij de fabriek komt.

Ik wil daarbij wel benadrukken dat dit soort implants zeer onwaarschijnlijk zijn bij 'consumentenproducten'. De Jan Modaal is geen zinvolle target. Als aanvaller gedacht: waarom zou je een implant in smartphones stoppen als je die in de netwerkapparatuur van de provider kunt kwakken?

En naast de implants tijdens het productiestadium zijn er meer mogelijkheden. Zo kon de NSA shipments onderscheppen en het tijdens het verzenden aanpassen.

De tl;dr: als burger/thuisgebruiker heb je hier (nog?) niet veel mee van doen, maar voor providers, beheerders, etc: supply chain bedreigingen zijn écht, wees daar waakzaam op.

En fabrikanten: geef minimaal de schematics vrij. Open-source de firmware (hoi, Intel) en zorg dat beveiliging op elk niveau tijdens de lifecycle standaard is.

Als je hier meer over wilt lezen, een heel gaaf project wat dit bijvoorbeeld bij servers wil tackelen is Oxide.

Het verschil is dat in Amerika democratische controle over de rechtsstaat is, en er enorm sterke bescherming is van vrije meningsuiting in de openbare ruimte. Je mag in de VS letterlijk álles in het openbaar zeggen, zolang het niet gaat om een directe bedreiging, oproep tot geweld tegen personen en goederen (waarbij alsnog de kans groot is dat je de dans ontspringt, net zoals hier) of om pogingen om frauduleuze transacties aan te gaan, zoals de verkoop van piramidespellen etc..

Men kan wel leuk backdoors inbouwen, maar Amerikaanse overheden die daar misbruik van willen maken lopen uiteindelijk tegen de lamp, en krijgen vervolgens een karrevracht van stront over zich heen gestort. Is dat een beletsel? Nee. Wel een rem.

Die rem ontbreekt in China. Heb je daar een grote bek tegen de overheid, dan verdwijn je zonder dat iemand ooit nog iets van je hoort.

Je hebt gelijk met de voetnoot dat het Amerikaans recht alleen geldt voor hun staatsburgers. Stel je hebt twee buurmannen die je begluren, de één is een toffe peer (doorgaans, want gluur maar eens een keer over de schutting) en de ander slaat z'n vrouw regelmatig. Feit blijft dat ze je beiden begluren.
Ik weet heus wel dat alle landen zich hieraan schuldig maken en dat het een biet uitmaakt of je nu een bondgenoot bent of niet... Ik heb een flinke hekel gekregen aan alles wat riekt naar inlichtingendiensten en hun smoesjes. Sinds PRISM heb ik net zo veel vertrouwen in de goede bedoelingen van de Amerikanen als in die van China, Rusland en Iran.
Ik denk dan ook dat onze brave inlichtingendiensten zich vooral moeten wapenen tegen deze schurken en vooral moeten stoppen met (verkapt) samen te werken met dit Amerikaans tuig.

Dat is de strekking van mijn boodschap helemaal niet, en het is ook gewoon feitelijk onjuist. Amerikaans recht beschermt ook niet-Amerikaanse users van platforms die onder Amerikaanse jurisdictie vallen. En beschermt het recht op vrije meningsuiting van iedere in de VS aanwezig zijnde persoon, van toerist en resident alien tot en met illegalen. Ook zo iemand kan zonder iets te vrezen de Amerikaanse overheid voor rotte vis uitmaken vanwege de daden van hun veiligheidsdiensten.

Slechts de voordelen van Amerikaans staatsburgerschap gelden voor alle Amerikaanse staatsburgers. Burgerschapswetgeving staat los van de Grondwet en de vereisten om een paspoort te bemachtigen zijn via gewone wetgeving vastgesteld, en hebben ook weinig te maken met universele mensenrechten, maar met een via afkomst verkregen lidmaatschap van een natie.

Chinezen die in de VS verblijven, of die gebruik maken van een online communicatieplatform in de VS via een Amerikaans IP-adres, kunnen net zomin door de Amerikaanse overheid worden aangeklaagd wegens het uiten van een onwelgevallige mening als een staatsburger.

tijden van vrede bereidt je voor op wat je ten tijden van oorlog nodig hebt. (oud gezegde)

Dat geldt ook voor onze cyber gebeuren. Je wilt nu al bij eventuele vijanden/vrienden (kunnen ook vijanden worden) bepaalde systemen hebben klaar staan, dat als de spreekwoordelijke shit hits the fan, je dus alles klaar hebt staan. want in systemen komen kan soms maanden duren en ten tijden van oorlog/crisis wil je dat niet kwijt zijn.

Hierdoor krijg je dus een etische discussie. Is zoiets wel ethisch verantwoordt.

tijden [sic] van vrede bereidt je voor op wat je ten tijden van oorlog nodig hebt. (oud gezegde)

Dat was dan ook de reden van de uitbraak van de Eerste Wereldoorlog. Als je je voorbereidt op oorlog voor geen enkele andere reden dan om maar voorbereid te zijn op oorlog, dan krijg je oorlog.

Verder verwar je volgens mij iets met si vis pacem, para bellum.

[Reactie gewijzigd door The Zep Man op 28 april 2022 14:08]

En de tweede wereldoorlog heeft ons geleerd dat als je met ze alle besluit er niet op voorbereidt te zijn. Je de dekels ook op je neus krijgt en zie ook de huidige situatie in europa. Of beter gezegd sinds 2014.

En de tweede wereldoorlog heeft ons geleerd dat als je met ze alle besluit er niet op voorbereidt te zijn.

De Tweede Wereldoorlog heeft ons geleerd dat een land geruïneerd door oorlog zo snel mogelijk weer opgebouwd moet worden. Zie het Marshall Plan.

[Reactie gewijzigd door The Zep Man op 28 april 2022 16:53]

De Wiki url werkt niet, dit is de juiste:
https://nl.wikipedia.org/wiki/Si_vis_pacem,_para_bellum

De reden van het uitbreken van de Eerste Wereldoorlog had toch echt een andere oorzaak. Het kruidvat lag op de Balkan, en is dus direct te herleiden naar de invasies van Zuid-Oost-Europa door de Turken en de reactie hierop van de Oostenrijkers, Hongaren, Venetianen, en andere mogendheden die op de Balkan eeuwenlang elkaar bevochten voor territorium en invloed. Anderzijds waren er de imperialistische ambities (en gebrek aan politiek instinct) van Wilhelm II van Duitsland.

Duitsland bereidde zich niet voor op oorlog om er klaar voor te zijn, maar om op een door hen gekozen moment zelf het initiatief te nemen, en de overzeese gebiedsdelen van Frankrijk over te kunnen nemen en in Oost-Europa een reeks vazalstaten te stichten en die als wingewest in te zetten (met name Oekraïne, vanwege de toen ook al zeer productieve landbouw). Wat je zegt is specifiek van toepassing op de Entente, niet op de Centralen.

Ik denk dat het best nuttig kan zijn als er een ontwerpfout in blijkt te zitten, zodat je op afstand alles uit kunt zetten terwijl je een recall doet. Bij zo'n stekkerdoos zou bijvoorbeeld dingen kunnen doorbranden ofzo.

Klinkt nou niet als een fabrikant waar ik op zou vertrouwen. Hebben ze na 2 jaar een nieuwe model en poef jou ouder model houdt er "ineens" mee op. "tjah dan moet je maar een nieuwe kopen, wat vervelend".

En toch heb ik dan ook wel weer meer vertrouwen in een fabrikant die zo'n ding uitzet dan in een die mijn huis af laat branden.

Spionage naar covid-19-bestrijding was een belangrijke motivatie om te hacken.

Onbegrijpelijk dat dit een belangrijke motivatie is; dit soort gegevens horen gewoon tussen alle landen onderling gedeeld te worden. Misselijkmakend dat er blijkbaar landen zijn die dit soort gegevens voor zich houden. Of zou het hierbij gaan om big pharma, die de concurrentie bespioneerd?

Ik had eerder verwacht dat Chinese hackers bij bedrijven zoals ASML zouden rondsnuffelen, oid.

Ik denk dat dit specifiek gaat om spionage bij het European Medicines Agency (dat sinds de Brexit immers in Nederland is gevestigd) om een beeld te krijgen over de voortgang van de goedkeuringstrajecten.

Ok, daarbij komen dus de "usual suspects" staatshackers voorbij in dat artikel. Vreemd dat men hierbij de goedkeuringstrajecten analyseert, wat voor hun belang hebben daarbij, aangezien al snel duidelijk was dat de EU niet in zee zou gaan met vaccins uit Rusland, of China.

Bedrijf hacken is niet meer leuk, om informatie te bemachtigen. Je kan beter proberen een persoon het bedrijf binnen te krijgen. Daar veel bedrijven voornamelijk de buitenkant beveiligen, maar de binnenkant vaak open is.

Af en toe ben ik best wel verbaast, waar ik bij kan.

Als je bedenkingen hebt bij de informatie waar je bij kan dan hoor je dat aan te geven bij de Security Officer binnen de organisatie. Als de organisatie die een heeft.

Het is niet echt iets waar een S.O. iets aan kan doen. Vaak heb je toegang nodig tot die gegevens, om je functie te kunnen doen.
Zo is het ook inherent aan mijn functie, dat ik overal bij kan.Wat op zich geen probleem is, als er ook netjes een audit log bij gehouden kan worden.

Wat ik meer bedoel, is dat werknemers, externe, ... vaak vanaf dag 1, bij zoveel informatie kan. Dat het gemakkelijker is, om ergens te solliciteren en aangenomen te worden. Dan het systeem te hacken.

Als systeembeheerder zijnde, moet ik (indirect) ook bij alle data kunnen. Maar echt gevoelige data kan ik niet inzien omdat ik daarvoor niet geautoriseerd ben. Als ik kwaad zou willen, dan zou ik wel via omwegen bij die data kunnen, maar dan ben ik uiteraard dan wel moedwillig de security aan het omzeilen.

Ik ken in ieder geval geen bedrijf waarbij de data niet extra wordt afgeschermd, door diverse authenticaties. Ik kan mij overigens wel voorstellen dat hele kleine bedrijfjes dit niet goed op orde hebben, doordat ze geen echte systeembeheerder hebben, maar iemand die systeembeheer erbij doet & zich dus niet goed kan focussen, op goede security.

Hoe vaak is er geen storing bij een bank, ideaal of pinnen waardoor delen van het betalingsverkeer stilvallen of problemen bij NS waardoor er een dag geen treinen rijden.

Als je een fabriek of een universiteit die een dag dicht gaat al "maatschappelijke ontwrichting" noemt ben je aan het overdrijven. Beide voorbeelden hebben geen invloed op 99,99% van de bevolking