NCA en FBI halen 'een van de grootste ddos-diensten' offline

De National Crime Agency haalt in samenwerking met de FBI en een Noord-Ierse politiedienst het domein digitalstress.su van de gelijknamige ddos-dienst offline. Het zou om een van de grootste ddos-diensten ter wereld gaan, verantwoordelijk voor tienduizenden aanvallen per week.

De Britse politiedienst kon naar eigen zeggen de organisatie achter de dienst infiltreren en zo het domein overnemen. Gebruikers van de dienst worden door middel van een boodschap op de overgenomen website gewaarschuwd dat hun gegevens doorgespeeld zijn aan relevante opsporingsdiensten. Ook toont de politiedienst een waarschuwend tekstbericht dat naar mogelijke gebruikers van de ddos-service is gestuurd.

Volgens de NCA kozen de criminelen die verantwoordelijk waren voor de dienst, een .su-domein in de veronderstelling dat de oude Sovjet-Unie-domeinnaam een barrière voor opsporingsdiensten zou zijn. Volgens de dienst zijn deze domeinen echter juist kwetsbaar en konden de verantwoordelijke criminelen hierdoor geïdentificeerd worden. Het is niet duidelijk in hoeverre de betrokken opsporingsdiensten alle criminelen achter de ddos-dienst hebben aangehouden. In een bericht aan gebruikers schrijft de NCA dat de betrokken diensten in elk geval 'een vermeende uitbater' van de ddos-dienst hebben gearresteerd op 2 juli.

Update, 14.00: Er is informatie toegevoegd over de arrestatie van een mogelijke dader.

Reacties (8)

[Qwerty-273]

Het is wellicht een beetje ondergesneeuwd in het originele bericht, maar ze hebben één van de beheerders aangehouden in Ierland. Vervolgens (of via medewerking of via het gebruik van de inloggegevens) hebben ze achter de schermen mee kunnen kijken en als laatste de site op zwart gezet. Als je gebruikmaakt van een beheerders account dan is het niet gek dat je ook een .SU domein kan aanpassen. Ik verwacht alleen weinig medewerking van de beheerder van dit TLD, te weten RIPN in Moskou.

It comes after the Police Service of Northern Ireland arrested one of the site’s suspected controllers earlier this month.

[Robbierut4]

Leuk dat ze de frontend offline hebben gehaald. Maar hebben ze ook het botnet wat hierachter zit onschadelijk gemaakt? Of kunnen de beheerders gewoon nieuwe website opzetten, beetje reclame maken en door?

[Christoxz]

Of kunnen de beheerders gewoon nieuwe website opzetten

Een van de beheerder is opgepakt, dat mist in het artikel van Tweakers.

It comes after the PSNI arrested one of the site’s suspected controllers earlier this month.

Het is in iedere geval een stap om het gebruik onmogelijk te maken voor de leden, en wellicht is de aangehoude persoon wel een key persoon, die de infrastructuur in handen heeft, waarbij er wellicht een stap dichterbij is om alles plat te halen, en het opnieuw opzetten niet mogelijk te maken.

[citegrene]

Als je de NCA leest, was de site 2 juli al overgenomen:
"“Anyone using these services while our mirror site was in place has now made themselves known to law enforcement agencies around the world."
En hebben ze mirror gedraaid, ze pakken dus wel de klanten aan..

[Marve79]

Eerder deze maand was schijnbaar een van de beheerders van de site al gearresteerd. Er staat ook dat ze de criminelen hebben geïdentificeerd en de gebruikers ook. Dus als je dan direct weer verder gaat onder een nieuwe domeinnaam zou dat niet heel erg slim zijn.

En botnet, tegenwoordig heb je dat niet eens meer nodig. Veel ddos services zijn vaak een aantal machines die amplification attacks uitvoeren. Dus die misbruiken slecht beveiligde DNS en NTP servers door het IP adres van het slachtoffer te spoofen en daar het antwoord heen te sturen. Zo kun je met 1 machine en met bijv een gigabit lijn al een enorm grote aanval uitvoeren.

[snoopdoge90]

Ik ga er stiekem vanuit dat deze opsporingsdiensten wel wat nauwkeuriger te werk gaan en niet meteen hun vlaggen bij het bij het overnemen van het domein. Denk aan:

• Analyses van de binaries bij een geinfecteerde bot/systeem.
• Afsluiten en overnemen van de gehardcoded IP adressen en domeinen die gebruikt worden in de binaries.

Mits goed gedaan zijn daarmee de bots volledig uitgesloten van hun command & control server, waardoor ze effectief niks meer kunnen doen. Hierbij is dan wel de aanname gemaakt dat het botnet werkt met een command & control server, en niet met een P2P achtige constructie. Zou interessant zijn om daar meer over te lezen, maar dat vermeldt het bronartikel niet.

Aan de andere kant, misschien was het doel wel om de eigenaren en gebruikers te traceren, en niet om het netwerk permanent neer te halen.

[Reactie gewijzigd door snoopdoge90 op 23 juli 2024 13:51]

[Dylan_R]

Ik mag ze inderdaad feliciteren dat ze een domein naam hebben overgenomen. Maar dat doet niet heel veel.

[Stresslimitsinc]

Als iemand die dit voor zijn werk doet en legaal bedrijven stres test om de beveiliging te doorlopen kan ik zeggen dat dit nooit lang duurt voordat er een alias is opgezet met dezelfde service helaas