Britse autoriteiten zetten ddos-as-a-service-websites op als honeypot

De Britse Nationale Crime Agency heeft zelf verschillende websites voor ddos-as-a-service-diensten opgezet om daarmee potentiële kopers op te sporen. De NCA zegt niet hoeveel sites het heeft opgezet, maar wel dat het zo 'enkele duizenden' personen op het spoor is gekomen.

De overkoepelende opsporingsdienst schrijft dat het de websites opzette als onderdeel van Operation Power Off, een internationaal samenwerkingsverband van politiediensten die als doel hebben om ddos-as-a-service-diensten offline te halen. Tijdens die operatie werden vorig jaar vijftig booters offline gehaald, mede door de Nederlandse politie.

Met dergelijke 'booters' kunnen kopers voor weinig geld een ddos-aanval opzetten. Soms doen die diensten zich voor als legitieme manieren om bijvoorbeeld een eigen netwerk te testen, maar de politie accepteert die redenatie zelden en ziet booters als illegaal. Dat is ook in het Verenigd Koninkrijk zo. De ddos'er die in 2017 verschillende banken en ook Tweakers aanviel met veelbesproken ddos-aanvallen, gebruikte daarvoor ook een online aangeschafte booter.

De National Crime Agency zegt nu dat het 'de online criminele marktplaats' heeft geïnfiltreerd door 'een aantal sites' op te zetten die zich voordoen als ddos-as-a-service-verkopers. Om hoeveel websites het gaat, is niet bekend. Ook andere details, zoals hoe lang de sites werden uitgebaat, ontbreken. De NCA hoopt dat potentiële kopers in de toekomst 'nooit zeker kunnen weten wie er achter zit, dus waarom zouden ze het risico lopen?'

De NCA zegt dat gebruikers zich moesten aanmelden, maar dat vervolgens hun data naar de autoriteiten werd gestuurd. Gebruikers uit het VK worden door de NCA of lokale politie opgespoord en krijgen 'een waarschuwing'. Informatie over buitenlandse gebruikers wordt, waar mogelijk, naar de lokale autoriteiten doorgestuurd.

Reacties (38)

Leuk. Daarmee pak je de zakkenrollers onder de 'hackers' op, aka script-kiddies.
Zodra ze geen echte dienst leverde wek je snel argwaan op. Daarbij gebruike de grotere jongens hun eigen botnet of huren die van iemand die al het vertrouwen heeft.
Dit soort acties lijken mij dan ook best wel kansloos, want het zijn vliegen die terug blijven komen.

Hoezo kansloos, je geeft zelf aan dat het juist de personen zijn die een laagdrempelige manier zoeken om een site down te krijgen.

Hoeveel schade richt iemand aan die gewoon uit verveling, baldadigheid of onvrede even een service huurt om te laten zien wat hij kan?

Ja dat is zeker kansloos. Want het lost letterlijk niks op in de maatschappij.
We zijn met z'n allen heel goed in problemen juist niet bij de wortel aan te pakken.
Als je hier nu op EU niveau wetgeving voor recht-trekt, dan verdwijnen al die 'booters' van het publieke internet en gaan ze een dark-web op. Dan is het ineens minder toegankelijk ligt de drempel al direct een stuk hoger.

Wat er nu gebeurt is dat we mensen vast zetten die geen idee hebben van de schade die ze (kunnen) aanrichten door 'effe' een booter te huren en te lollen. Deze mensen vast zetten of gaan straffen schieten we niks mee op, het kost alleen maar geld. Daarbij kan ik mij voorstellen dat iemand die maar ook enigsinds serieus schade wilt aanrichten met (D)DoS-ing, het echt wel elders gaat zoeken.

De politie kan ook prima booters opzetten die alleen op het darkweb beschikbaar zijn.

En je lost hier wel degelijk een probleem mee op, want de ddos aanvallen waar wij voornamelijk last van hebben zijn vrijwel altijd van dit soort partijen. Dit soort sites kunnen dankzij verschillende technieken ook echt wel een stevige ddos opzetten in de orde van 50-200gbit. En omdat ze erg makkelijk te gebruiken zijn kunnen zelfs realtief onkundige mensen dit gebruiken. Dat 'moet' ook wel voor het business model van zo'n site die graag veel aanvallen voor een lage prijs verkopen.

Deze mensen vast zetten of gaan straffen schieten we niks mee op, het kost alleen maar geld.

Wat ze doen kost ook geld. Vergelijk het met grafitispuiters, die maken ook niets stuk en toch pakken we ze op en straffen we ze omdat het ongewenst gedrag is.

Daarbij kan ik mij voorstellen dat iemand die maar ook enigsinds serieus schade wilt aanrichten met (D)DoS-ing, het echt wel elders gaat zoeken.

Dus moet je nu maar niets doen omdat iemand die het echt wil iets anders gaat opzoeken? Dan kunnen we alle flitspalen ook wel weghalen, want iemand die toch echt serieus te hard wil rijden haalt zijn echte kentekenplaten wel van de auto af.

Dus moet je nu maar niets doen omdat [...]

Het is duidelijk dat je mijn eerdere reactie op het artikel niet hebt gelezen. Je verdraait letterlijk mijn woorden. Ik heb gezegd dat ze beter hun tijd kunnen investeren om dit soort problemen met wetgeving aan te pakken. Dat is ook wat er in het artikel staat, het is nu grijs gebied.

Te hard auto rijden is letterlijk verboden, booter-as-a-service niet.

Why not both? Mensen die zich bezig houden met handhaving en preventie zijn hele andere mensen dan die zich bezig houden met wetgeving maken.

Wat er nu gebeurt is mensen een goede tik op de neus geven voor ze helemaal van het padje gaan.

Maar als er wetgeving tegen BaaS of DDoSsen is dan zal de politie gebruikers ervan nog steeds moeten opsporen.
En dat kan toch prima met een nep booter als honeypot?

En als dat nu alleen tot een waarschuwing kan leiden kan dat nog nut hebben als de afnemer voldoende geschrokken is om niet een andere booter te gaan zoeken.

En zelfs als die afnemer toch via een andere aanbieder een DDoS laat uitvoeren dan is de afnemer al in beeld vanwege de eerdere poging.

Wil je meer dan zou de wetgever nog 'poging tot' of voorbereidingshandelingen strafbaar kunnen stellen.

Een website lamleggen door een DDOS aanval is verboden. Een service opzetten die specifiek gericht is op het faciliteren hiervan is dan ook verboden.
Je moet echt veel moeite doen om aan te kunnen tonen dat je je service hebt opgezet om site-beheerders hun eigen site te laten testen. Dan moet je hele businessmodel daar op ingericht zijn, moet daar ook al je marketing op gericht zijn en moet dat ook de overgrote meerderheid van je klanten zijn.

"Het lost niets op" is volstrekte onzin.
Dat zou dus betekenen dat kleinere criminaliteit niet bestreden moet worden omdat het toch steeds weer terug komt.

Dat zou criminele activiteit dus volledig laagdrempelig maken; je wordt toch niet gepakt. Dus laat de zakkenrollers, hardrijders, inbrekers en verkrachter vooral vrijelijk hun gang gaan.

Criminaliteitsbestrijding dient op alle niveaus plaats te vinden (wat men ook doet) maar blijkbaar zijn de geesten van velen te beperkt ("ga echte boeven vangen") om te begrijpen dat het een het ander niet uitsluit.

Afnemers van dergelijke ddos diensten moeten opgespoord worden en opgepakt worden. "Het lost niks op" is onzin. Als de pakkans groter wordt zal er minder ddos plaast vinden. Handhaven heeft niets te maken met iets wel of niet bij de wortel aanpakken. Het ene sluit het andere niet uit.

Vergeet niet dat ze mogelijk ook "ontwikkelaars" gezocht hebben om de service op te zetten.

Daarnaast kun je ook gewoon veel van deze diensten met reviews/testimonials vinden op het internet, dus nogal dom om een gewone website hiervoor te gaan betalen

Het schrikt klanten af. Zonder klanten geen diensten.

Grote jongens of script kiddies, maakt weinig uit. Ik kan even niet snel een Tweakers artikel vinden, maar waren het niet een stel tiener van 14-17 jaar die afgelopen twee jaar Ziggo, Tweakers. Bunq en ING hadden plat gelegd? Geen idee of dat the big guys qua hackers zijn, maar laten ze die junioren maar pakken. Kunnen ze ook niet doorgroeien tot expert.

je voorkomt hiermee wel dat beginnende script kiddies gaan uitgroeien tot echte criminelen. Net zoals je op straat ook jongeren staande houdt met een mes op zak, ook al zijn het (nog) geen bankberovers. Het is een afschrikwekkende methode.

Nee, je pakt criminelen en ander volk op dat aanvallen wil laten uitvoeren en dat zelf niet wil gaan uitvogelen of opzetten. Dus gebruik willen maken van een aangeboden service.

[Reactie gewijzigd door PrimusIP op 25 maart 2023 10:00]

Ook in de criminele wereld draait alles om geld. Als het geen geld verdient, dan houden ze er van zelf mee op. En tja, mensen met diepe zakken die vinden altijd wel een weg. Maar een belangrijke stap in de richting van criminaliteit terug dringen is door er voor te zorgen dat het niet meer loont. Wat dat betreft zou ons juridisch systeem daar best mee rekening mee mogen houden. In plaats van alleen maar gevangenis straf. Gewoon een boete opleggen van de schade die is bereikt plus een mooi percentage erop. In de oudheid deden ze plus 20%. En dan wel alles meerekenen, ook emotionele schade en reputatieschade. Daarmee maak je het een stuk lastiger om het vol te houden.

De toegankelijkheid van t beheren van botnets of insider contacten hebben is heel erg beperkt. Daarmee beperk je het aantal mensen dat een DDOS succesvol kan uitvoeren.

Als elke gefrustreerde tiener een DDOSje kan huren voor een prikkie omdat hij boos op een bedrijf dan is dat een zeer schadelijke situatie voor de maatschappij. Niet alleen dat, maar het succesvol en laagdrempelig inzetten van DDOSjes bij een pakje boter zorgt er voor dat dat soort mensen het vaker en serieuzer gaan doen omdat ze er óf geld mee kunnen verdienen of een ander doel mee bereiken.

Wederom, laagdrempelige criminaliteit is een instapmodel voor zwaardere criminaliteit. Of stel jij serieus voor dat we straatdealers niet moeten aanpakken omdat 'er ook veel ernstigere drugshandelaars zijn' ? Wat voor effect heeft het op de maatschappij als we grootschalige 'kleine criminaliteit' niet meer weren? Denk je echt dat dat een goed idee is?

Definieer kansloos? Zolang ze, ook de scriptkiddies, aanpakken is er een hoop minder leed.

Verder is en blijft het een kat- en muisspel en zullen beide steeds weer op elkaar reageren. Maar persoonlijk ben ik erg blij met deze aanpak. Het feit dat 1 maatregel niet voldoende is om alle ddos activiteiten te stoppen wil niet zeggen dat het een slechte maatregel is.

Op zich wel een slimme manier maar ik vraag mij wel even af in hoeverre een ddos-as-a-service dienst legaal is. Ook vraag ik mij wel af of een beetje slimme hacker naar een site toe gaat om dan ddos-as-a-service dienst te kopen. Lijkt mij dat ze dan vooral de kleine beginnende hackers misschien te pakken kunnen krijgen.

Maar evenzogoed, het werkt wel dan toch afschrikkend met die onzekerheid dat er misschien officiële instanties achter zitten.

Op zich wel een slimme manier maar ik vraag mij wel even af in hoeverre een ddos-as-a-service dienst legaal is. Ook vraag ik mij wel af of een beetje slimme hacker naar een site toe gaat om dan ddos-as-a-service dienst te kopen.

Het is legaal om te verkopen aan klanten die hun eigen diensten willen testen. Het probleem is dus tweevoudig:

• Het is in bepaalde situaties legaal. Dat zorgt ervoor dat het niet makkelijk aan te pakken is, omdat de bewijslast bij de aanpakkende partij ligt.
• Deze diensten kunnen verkocht worden vanuit landen die er niets om geven, zolang het eigen infrastructuur niet raakt. Ook kan het verkocht worden via darkweb, waar reviews gebruikt worden om de betrouwbaarheid van leveranciers te toetsen. Ook dit maakt aanpakken lastig.

Ze gaan nu achter de (domste) klanten aan. Beter dan niets, maar het lost het onderliggende probleem niet op.

[Reactie gewijzigd door The Zep Man op 24 maart 2023 22:21]

Ze gaan nu achter de (domste) klanten aan.

Ja dat was wat ik eigenlijk ook al dacht dat ze alleen de kleine visjes nu er tussenuit halen. Beetje pro-hacker zal echt wel zo zijn eigen bronnen hebben zoals b.v. darkweb. Maar ja net zoals je zegt, beter iets dan niets en in elk geval misschien een begin.

Als het legaal moet zijn, dan kun je wel eisen dat die aanbieders due diligence toepassen, net zoals bijvoorbeeld de banken. Door het opsturen van identificatie, het organiseren van een web call en nog wat van die maatregelen ga je het de kwaadwillende partijen toch wat moeilijker maken.

Mee eens dat je daar lang niet alles mee oplost, maar het is een stapje.

Als het legaal moet zijn, dan kun je wel eisen dat die aanbieders due diligence toepassen, net zoals bijvoorbeeld de banken.

Aanbieder in Rusland: что?

Verder is het lastig om zulke ingrijpende regelgeving door te voeren wanneer iets buiten de financiële sector valt. Het zou mooi zijn, maar zeker niet enkel voor DDoS-diensten.

[Reactie gewijzigd door The Zep Man op 25 maart 2023 12:41]

Een botnet bestaat uit duizenden computervredebreuken die voor het (tijdelijk) uitschakelen van online diensten gebruikt worden. Daar is weinig van legaal.

Net even opgezocht op Google hoe makkelijk deze diensten te vinden zijn, en het lijkt erop dat Google dit soort sites gewoon toestaan. Ik kreeg zelfs ook advertenties van Google voor dit soort sites.

Worden deze sites op het openbare web niet vaak gemarket als dienst om een aanval op je eigen services te laten uitvoeren, om te kijken hoe goed jouw website overeind blijft bij zo'n aanval? Dat is gewoon legaal, ookal wordt er misbruik van gemaakt.

[Reactie gewijzigd door crazyboy01 op 25 maart 2023 00:02]

Ik ken er misschien eentje maar die doet dns verificatie dus die kan niet misbruikt worden de rest zijn allemaal illegale websites die zich voort doen als legale website

Klopt, de websites erachter zullen ook echt wel weten dat de diensten vooral daarvoor worden gebruikt en het echt niet erg vinden dat ze daar geld aan verdienen. Waarschijnlijk inderdaad zelfs speciaal opgezet voor dat soort klanten. Maar dat het in de markt wordt gezet als legale dienst maakt het lastig, dan komt het echt aan op hoe goed de controle van de beheerders is en dat moet per dienst beoordeeld worden.

Waarom zien die "notices" er altijd zo Hollywood achtig uit? Is dat gewoon iets wat de desbetreffende instanties leuk vinden?

Kun je hier iemand wel mee arresteren?

Want dit is toch gewoon een vorm van uitlokking?

Het is pas uitlokking als men actief wordt uitgenodigd. Passief wachten op een aanvraag mag wel. Maar als de politie dan weer reclameruimte gaat inkopen op Google voor die site, dan is het wel grijs gebied ja.

Aan de andere kant: dit is alleen om te waarschuwen. De politie voert (neem ik aan) geen ddos uit voor diegene, dus kan hem of haar er ook niet voor pakken.

[Reactie gewijzigd door Dennisdn op 25 maart 2023 11:17]

Dat weet ik nog zo net niet. Als ik een huurmoordenaar in wil huren om een conculega uit de weg te ruimen dan ga ik ook vrijuit met een knippoog en een waarschuwing? Stout?

Nee dus. Er zijn dus juridische paden om mensen die criminele diensten willen aanschaffen te straffen.

Ik ben toch benieuwd nu AI toegang krijgt tot het internet met plug-ins, en veel programmeer kennis. “ hey ChatGPT fix een nieuwe plug-in met featured xyz.”
Hey ChatGPT lees deze code in. Zorg ervoor d dos op targets xyz.

Ik vind het er niet leuker op worden. De IT begint pas echt volwassen te worden nu. En niet op een leuke manier.

Terwijl de techniek neutraal is. Hoe krijgen en houden we alles op het juiste pad.

[Reactie gewijzigd door FireStarter op 25 maart 2023 00:45]

Het ligt in de mens om te pushen naar het hoogste, ....maar inderdaad als men IT en AI zo hoog op gaat voeren worden we industrieel geleid door AI lees (GPT scripting) en gaat een heel groot gedeelte van de nu nog werkzame maatschappij buiten de boot vallen............

Je pakt er misschien wat kinderen mee op die uit baldadigheid handelen, maar de echte criminelen niet. zeker niet nu het bekend is gemaakt. Er zal snel op diverse fora te vinden zijn welke wel en welke niet te vertrouwen zijn.

Het idee is leuk..
Maar een echte hacker koopt een fake id voor een paar euro
-bijv T-mobile wert vele malen gehacked..
Gaat naar een publieke wifi plaats..buiten zicht van een camera...
dus,
Je pakt hiermee enkel domme mensen..
die tijdelijk kwaad zijn op een site / instancie(s) en of het doen voor de lol

[Reactie gewijzigd door Mitchell4you. op 25 maart 2023 08:33]