Politie haalt 127 'bulletproof' hostingservers offline bij inval in Amsterdam

Het Cybercrime Team Amsterdam heeft 127 servers van het bedrijf ZServers/XHost offline gehaald bij een inval in de stad. Het gaat om servers die werden geadverteerd als bulletproof hosting. Bij de inval werden ransomware, botnets en malware aangetroffen.

Bij bulletproof hosting wordt potentiële klanten beloofd dat het hostingbedrijf bij eventuele verzoeken van opsporingsdiensten of bij andere juridische problemen niet meewerkt. Ook kunnen klanten anoniem zaken doen en met cryptovaluta betalen. Bij de inval in de Nederlandse hoofdstad werden de servers hiervoor in beslag genomen en werden onder meer hacktools van de ransomwarebendes Conti en Lockbit aangetroffen. Het is volgens de politie voor het eerst dat er in Nederland een dergelijke hostingservice fysiek offline gehaald wordt. Er zijn vooralsnog geen arrestaties verricht. Er wordt nog onderzoek gedaan naar de aangetroffen data op de in beslag genomen servers.

De politie noemt het fenomeen bulletproof hosting 'de ruggengraat van wereldwijde cybercriminaliteit'. Dergelijke hostingbedrijven, zoals ook het beruchte CyberBunker, worden volgens de politie door cybercriminelen ingeschakeld om hacktools, gestolen gegevens, nepwebsites en malware te hosten. Deze servers kunnen als cybercrimetools dienen, maar ook voor het hosten van illegale online marktplaatsen voor bijvoorbeeld wapens of drugs, of het aanbieden van illegaal pornografisch materiaal.

Bron: Politie

Reacties (77)

[MaxxMark]

Ik vraag me in zulke situaties altijd af hoe 'bulletproof' de aanbieder daadwerkelijk wil dat het is. Het zou mij namelijk niets verbazen als de aanbieder gewoon extra inkomsten zoekt, in dit geval alleen maar aanbiedt dat het bulletproof is, en vervolgens eigenlijk alleen maar garandeert dat er niet "meegewerkt wordt" wanneer ze opgedoekt worden. Er valt nooit te bewijzen door de afnemers er van dat het geboden niet is geleverd. In dat opzicht zou het mij niet verbazen dat er een en ander nog te recoveren is.

Verder probeer ik dan het theoretische spelletje in m'n hoofd te spelen hoe ik zoiets zelf zou doen . Wat als ik bulletproof hosting zou willen aanbieden? Ik zou dan denken dat ik wil zorgen dat kosten wat het kost mijn data nooit op één plek staat. Dan maar data verspreiden over meerdere locaties. De analogie naar RAID5 komt dan naar voren. Op block level zorgen dat de ene bit naar nederland wordt weggeschreven, de andere naar frankrijk, de derde naar amerika, china, en australië. Langzaam? zeker! Foutgevoelig? Absoluut! Maar de kans dat ze de bij het offline halen van één van de locaties je data buitmaken lijkt mij dan buitengewoon klein. Volgende stap zou dan zijn om de centrale machine (die dus de data leest vanuit de 5 omgevingen) veilig te krijgen. In ieder geval zorgen dat het in een mainstream colo hangt, maar dat alles in memory draait. In dat geval is het zeer lastig om die node in de lucht te houden zonder dat men het door heeft, toegang te krijgen en om het uit te lezen.

Maar ach, dat is een theoretisch iets. Ik denk dat het eerste van toepassing is, knaken verdienen zonder dat het de provider iets kan schelen of de afnemer wel of niet gepakt wordt

[FrostyPeet]

Als je naar het soort klanten kijkt van dit soort diensten lijkt mij de kans vrij groot dat ze op een andere manier hun ongenoegen laten blijken dan een beleefd e-mailtje of een advocaat. Dus claimen bulletproof te zijn en het niet zijn, dat is vragen om ellende.

Verder lijkt het mij niet verstandig om dit soort diensten te beheren. Er is genoeg gepubliceerd dat beheerders van een criminele chatdienst zeer onaangename ervaringen hadden.

[watercoolertje]

Dus claimen bulletproof te zijn en het niet zijn, dat is vragen om ellende.

Maar dat claimen ze toch ook niet?

Er staat zelfs in het artikel waarom het zo genoemd wordt:

Bij bulletproof hosting wordt potentiële klanten beloofd dat het hostingbedrijf bij eventuele verzoeken van opsporingsdiensten of bij andere juridische problemen niet meewerkt. Ook kunnen klanten anoniem zaken doen en met cryptovaluta betalen.

Ik lees daar niet dat er een leger staat om de politie te weerhouden van inbeslagname, maatregelen tegen het fysiek in beslag nemen wordt ook niet geclaimd en valt niet onder 'bulletproof hosting'.

[Reactie gewijzigd door watercoolertje op 14 februari 2025 09:32]

[RobTweaks]

Je gaat uit van de redelijkheid van de criminelen die gebruikmaken van dergelijke diensten. Ik denk niet dat je daar zonder meer vanuit kunt gaan.

Perceptie is waarheid bij veel mensen, of je je afspraken feitelijk gezien na bent gekomen doet er dan weinig toe.

[Klaus_1250]

Bij bulletproof hosting wordt potentiële klanten beloofd dat het hostingbedrijf bij eventuele verzoeken van opsporingsdiensten of bij andere juridische problemen niet meewerkt.

Mag dat juridisch wel?

[F_J_K]

Zoek even het verhaal op van de 'encrypted' Anom phone. Waar dus jarenlang de politie mee las met dank aan de verkoper van de telefoons.

De aanbieders zijn er (ook) niet om de klanten goed van dienst te zijn. Als het in hun belang is, is meewerken met justitie een inkoppertje.

[RiDo78]

Draai het eens om, als jij zaken zou willen doen met een bullet-proof hoster, zou jij daar dan in zee mee gaan als de naam en adresgegevens van de persoon achter die dienst gewoon in het whois-register te vinden zijn? Met andere woorden, als de eigenaren/uitbaters gemakkelijk te traceren zijn?

Die uitbaters weten zelf ook dondersgoed dat bulletproof-hosting bepaalde publieken aantrekt. Dus als ze offline gehaald worden dat ze niet alleen voor de authoriteiten hoeven te vrezen. Bovendien zijn die vaak technisch beter onderlegd en kundiger in het digitale verstoppertje spelen als hun klanten. Dat is immers ook een deel van hun aanbod: de klanten beschermen; zij kunnen ongestoord hun troep op de hosting neergooien en niemand weet waar het vandaan komt.

[j-phone]

Terrabytes in memory laten draaien is wellicht duurder dan de omzet die je kan draaien. Op blocklevel de data wegschrijven op verschiilende geografische locaties zorgt voor corruptie van data indien 1 van de locaties wegvalt.

Als er één ding is wat je moet garanderen is het dat de data die wordt opgeslagen niet corrupt kan raken. De gebruikers van dit soort diensten dienen namelijk geen aanklacht in tegen jouw bedrijf, maar regelen dat op een meer 'persoonlijke' manier.

Ik denk dat je geen idee hebt over de aanname die je maakt dat co locatie niet makkelijk op te sporen is.

[Reactie gewijzigd door j-phone op 14 februari 2025 01:30]

[Niema]

In deze markt zoeken mensen vaak ook op repubutatie. Hoelang is het hostingbedrijf er al, hoe ging het om met andere klanten die legal issues hadden, heeft het hostingbedrijf in het verleden ook de moeite genomen om een klant te verdedigen in een rechtzaak. Als het hostingbedrijf claimt bulletproof te zijn maar je website offline haalt bij de eerste dmca Dan evertrekken er een hoop mensen

[zx9r_mario]

Die beginnen gewoon ergens anders.

[Reactie gewijzigd door zx9r_mario op 13 februari 2025 19:11]

[PaulHelper]

Opzich is je theoretische idee wel goed denk ik. Alleen hoef je niet 1 centrale machine voor de 5 omgevingen te hebben. In principe zou elke omgeving ze allemaal kunnen lezen, en vanuit daar in RAM verder verwerken. Enige dat dan wel cruciaal is voor wat low latency is dat je wel enigszins lage afstanden hebt netwerk wijs gezien dan. Als alles in Europa zit moet het waarschijnlijk wel lukken maar als je het over meerdere continenten spreid dan zal de snelheid wel wat omlaag gaan. Enige wat je dan nog moet toevoegen is een manier dat als 1 locatie gebreached is dat je iets van een kill switch of iets dergelijk hebt die sowieso dus het RAM gedeelte de strook uitzet of data wist en daarnaast het liefst die process server zodanig wijzigt dat hij niet meer van die andere locaties kan lezen en schrijven. Mogelijk door credentials of iets dergelijks te verwijderen.
Indien je dan geen medewerking levert en al die theorie gaat goed zou je vrij weinig met 1 van alle locaties.
Dan is het daarna een kwestie van rebuilden en of een nieuwe locatie opzetten

[Reactie gewijzigd door PaulHelper op 14 februari 2025 08:34]

[rjmno1]

Het zal wel materiaal zijn wat op het dark net te verkrijgen is en dus niet echt legaal.
Voor mij mogen ze die servers allemaal offline halen, want dan zitten we weer in een iets eerlijkere wereld.

volgens mij bij toeval ontdekt..

[Scriptkid]

Warom trekken ze alle disken er uit. Das toch niet handig kun je straks alles uit zoeken gezien het waarschijnlijk raid sets zijn.

Is toch veel slimmer om gewoon de server uit de rails te halen en in een keer te vervoeren ?

[Mark87]

Ik weet niet of er schijven in zaten. Daarnaast zijn servers soms behoorlijk zwaar en dan kan het strategisch voor je rug zijn om onderdelen, bv de schijven, die hotswap zijn tijdelijk te verwijderen. Zolang ze er enkel uit zijn terwijl er geen spanning aanwezig is op de server en er weer in zitten op dezelfde positie voor de stroom weer wordt aangesloten is dit geen probleem.

[SPee]

Maar dan gaan ze de servers niet verder onderzoeken.
Want ze kunnen ook zover gaan dat servers gewoon blijven draaien en niet eens merken dat ze verhuisd worden. Dat deden ze bijvoorbeeld bij servers voor het dark web. Door het expliciet uitzetten verlies je de data uit het geheugen en kunnen systemen "maatregelen" nemen om bij het starten alle data te wissen.

omg, met die laatste zin voel ik me net rianne

[j-phone]

Nee, die appratuur is zo weg. Daar worden bijvoorbeeld verhuizers voor ingehuurd om het zware tilwerk te doen. Ik heb ooit bij Tullip een kantoorverhuizing gedaan en daar moesten pinapparaten verhuisd worden en die zijn iets zwaarder dan een server.

Die apparaten worden op hondjes / karretjes of iets anders neergelegd en vervoert.

[Goffo]

Zullen zeker wel gelabeld worden. Vervoeren in de server zelf kan eventueel (afhankelijk van type vervoer) mogelijk schadelijk zijn aan schijf of server.

[kaas-schaaf]

Ik mag hopen dat ze gelabeld zijn voor rechtsvervolging. Zou een goede schwalbe zijn als men gaat gokken welke disk uit welke server komt.

[aadje93]

leuk project voor de stagair, zoek jij maar is uit welke raid sets dit waren, hier heb je 600 hdd's en wat raid controllers.

[Mushroomician]

Ga er maar van uit dat elke disk individueel in RO wordt uitgelezen en een hash digest wordt genoteerd.
Daarna wordt er onderzoek gedaan met de kloons. Dat kan allemaal virtueel.

Voor forensisch onderzoek en geldigheid in een rechtzaak is het noodzakelijk dat elke stap in het onderzoek reproduceerbaar is.

[psdata]

Zijn geen disk only's maar complete blades met twee schijven er op.
Zitten dan samen met 8 of 16 in een blade chassis, zijn eigenlijk complete servertjes, die gebruik maken van de gesharde voeding en network blads ect.

[Scriptkid]

om die 3de foto zijn gewoon standaard dell servers met disken en alle disken zijn gepulled.

of moet zijn dat ze voor de koeling de brackets nooit terug hebben gezet van de lege slay.

[Cyberpuppy]

Je ziet rechtsonder 2 disken zitten. Zou dus zomaar kunnen dat die zijn om een OS op te starten (bijv. Proxmox/VMware etc.) De echte storage zit dan ergens anders

[Scriptkid]

klopt maar waarom zijn de bays dan gepulled,

Normaal zitten daar die dummy sockets in. dus of de politie heeft de disken gepulled, of de criminelen hebben voor een of andere vage reden de dummies er uit gehaald.

Het zijn gewoon standaard dell servers en geen blade chassis.

En in de bovenste server lijken er zelfs een soort van piepschuim blokken in de bays te zijn geduwed wat helemaal vreemd is.

[Reactie gewijzigd door Scriptkid op 14 februari 2025 12:41]

[Cyberpuppy]

Het is een server. Ken er meer dan genoeg die geen (of minder) dummy sockets hebben.

Voor de rest blijft het gokken natuurlijk.

[gaskabouter]

Dat staat er toch helemaal niet?

Bij de inval in de Nederlandse hoofdstad werden de servers hiervoor in beslag genomen

[Sir.roYa]

Waarschijnlijk omdat die dingen anders niet te lichten zijn. Op de foto's zie je ook dat ze genummerd zijn.

[Polderviking]

Een volle server is wel looiig ja maar prima te verplaatsen met de twee man die je toch al nodig hebt om op een fatsoenlijke manier zo'n server uit 't rack te trekken.

[Groningerkoek]

Er zijn transporteurs die ook gespecialiseerd zijn in het verplaatsen van grote/zware/onhandige objecten binnen en buiten. En die lachen om een paar racks.

Maar dat komt ook met een prijs.

[wica]

En vervolgens ruzie krijgen met de arbo inspectie, omdat je te zwaar tilt?
Maar het ziet er meer uit als blades, dus complete computers, die je in een chassis moet schuiven.

[workzone]

Het folie/schuim dat ze gebruiken lijkt ook ESD-onveilig te zijn, dus ik neem aan dat ze alle gevoelige gegevens al hebben opgeslagen en dat de hardware wordt vernietigd. Maar aannames zijn gevaarlijk. Kan natuutlijk ook onkunde zijn.

[TheMak]

Van de disks wordt toch een een-op-een kopie gemaakt. Als de server meeneemt zit je met servers op het politiebureau.

[watercoolertje]

Uitzoeken? Ze worden niet in een grabbelton gestopt hoor, gewoon gelabeld als setje lijkt me...

[Scriptkid]

dat is dus nergens te zien,

en ook niet of ze er uberhaubt in zaten.

[Kimbo72]

Ik hoop niet dat ze vernietigd worden, dat zou zonde zijn.

[ibmpc]

Dat spul gaat vaak naar Domeinen, tenzij het verouderd is. Ook veel auto's gaan naar Domeinen en krijgen gewoon een restored title. Voor servers zal het niet veel anders zijn.

[Reactie gewijzigd door ibmpc op 13 februari 2025 18:58]

[Muncher]

Wat zijn de Domeinen? En wat is een restored title precies?

[eazyq]

De domeinen zijn opslag van de overheid. Daar worden in beslag genomen goederen opgeslagen en geveild. Even googlen en je weet het

[habbekrats]

https://www.domeinenrz.nl/

[ibmpc]

Hoewel een auto niet een registergoed is, is een restored title wel van belang. Bijvoorbeeld als je auto waterschade heeft gehad of gestolen is geweest, dan kun je de titel laten herstellen. Bij de verkoop is er dan geen schone titel meer, maar een herstelde titel. Als de herstelling goed heeft plaatsgevonden of als je weet waarom de titel een issue heeft gehad, dan is er geen probleem. Ik heb bijvoorbeeld een camper gekocht met herstelde titel. Hij was namelijk gestolen, maar hij is via de officiele manieren teruggebracht in het legale circuit. Dat kan bijvoorbeeld via Domeinen zijn. Zo is het ook met deze servers, al hebben deze geen titel. Op dit moment zijn het geen "legale" goederen, maar bij de verkoop via Domeinen worden ze wel weer legaal gemaakt. Er zit dus een historie aan, maar als de historie bekend is, dan hoeft het geen probleem te zijn.

[Dorank]

Bedoel je met titel wellicht het kenteken/papieren?

[JayPe]

ibmpc lijkt een beetje op een AI bot qua tekst en uitleg.

In Nederland hebben we geen title, maar een kentekenbewijs. Daarop kan een WOK (WachtOpKeuren) worden aangebracht, bijvoorbeeld als de auto volgens politie niet veilig te gebruiken is (na een ongeluk bijvoorbeeld). Als schade is hersteld en de auto bij de RDW goedgekeurd wordt, vervalt de WOK melding.

Een Restored Title bestaat in Nederland helemaal niet. Als de auto gekeurd is en in orde bevonden, is er dan ook geen sprake van een Restored Title, en de WOK status wordt ook gewoon volledig geschrapt.

[MrFax]

Ja en een WOK kan dus ook omdat de Politie vindt dat een auto door bijvoorbeeld een vervangde uitlaat teveel geluid maakt. Een WOK zegt dus eigenlijk weinig over of een auto schade heeft gehad of niet.

Sterker nog:
Als iemand een zware ongeluk heeft gehad met een auto, krijgt de auto helemaal geen WOK. Deze wordt gewoon hersteld zonder dat deze opnieuw gekeurd hoeft te worden.

[Reactie gewijzigd door MrFax op 13 februari 2025 21:19]

[JayPe]

Stop: Een auto KAN een WOK melding krijgen als de politie vindt dat ie gevaarlijk zou kunnen zijn..
Kan, hoeft niet. Ligt ook aan de stand van de maan, en het verstand van de dienst doende agent.

Als je met je auto over een vluchtheuveltje rijdt, alles krom is, maar je komt nog wel thuis, en je laat de auto door beun de haas herstellen, is er geen WOK melding gedaan.

OF er een WOK melding op een auto heeft gezeten, kan je bij de RDW ook niet opvragen. Alleen bij van die keurings-schade-verleden-websites is zoiets misschien na te gaan, omdat zij de RDW database periodiek leegtrekken en daarmee historie opbouwen.

[Kimbo72]

Gelukkig maar dat ze hergebruikt worden.

[sympa]

Denk dat ze zo lang in onderzoek zullen liggen dat niemand ze meer hoeft uiteindelijk.
De opslag zal vernietigd worden.
Dan blijft er niet veel over...

[Kimbo72]

Zonde en slecht voor het milieu.

[sympa]

Tja, dan kan je beter niet bij de politie kijken maar bij het kapitalisme als geheel. Om te beginnen bij de geforceerde vervanging van computers voor Windows 11.
En op ons werk hadden ze extra korting gekregen op de laptops, als ze maar over 3 jaar weer nieuwe zouden kopen en de oude inruilen. Mag je raden wat Dell daar dan mee doet.
Al zal de mode wel de kroon spannen. Luxe producten in de uitverkoop is niet de bedoeling, dus de verbranding in. Net als met CDs en platen gebeurde overigens.
En dan hebben we nog cosmetica en parfums, etenswaren (wat gebeurt er na Pasen met die chocolade eitjes bij de groothandel?)

[GerritGekke]

Server spul wordt als oud ijzer aangeboden en kan alleen gekocht worden met de juiste papieren.

[angerfist-yentl]

Dit klopt servers worden vaak gewoon compleet uit elkaar gehaald en apart per onderdeel word dan aangeboden ter opbod aan oud ijzerhandelaren etc. Gegevensdragers erin zullen worden wel worden vernietigd. Computers etc worden wel gecertificeerd leeggemaakt en van alle overheid stickers verwijderd waarna je ze per pallet kan opkopen. Dus alleen handig voor handelaren of grote instanties want niemand koopt 100 computers per pallet, Telefoons worden volgens mij ook allemaal gewoon vernietigd deels om gegevens bescherming en deels omdat je anders de markt overspoelt als overheid en zo de markt verstoort.

[SPee]

Gaan ze niet de veilingssites op? (waar men dan vaak teveel betaald)
De Domeinen verkoopt zelf alleen motorvoertuigen (en boten). De rest gaat via een derde partij.

[Groningerkoek]

Iets als dit nee, het kost behoorlijk wat geld om te garanderen dat er geen gegevens waar dan ook zijn achtergebleven in de apparatuur.

Worden er 100 Videokaarten in beslag genomen dan gaan die meestal wel naar domeinen.

[SPee]

Van hardware zonder disks kun je dat wel garanderen.

[GerritGekke]

De veilingen van domeinen RZ volg ik al jaren. Er staat lang niet altijd ICT apparatuur op, maar toevallig de huidige veiling wel. Zie K2500049700 Demontage artikelen ICT.

De Koper dient Weeelabex type 1 gecertificeerd te zijn. Wij, jij en ik kunnen dit dus niet zomaar kopen. Of dit nu overheids eigen apparatuur is of ook in beslag genomen spullen betreft weet je niet. Zal denk ik voornamelijk om het eerste gaan.

[Blokker_1999]

We moeten nu toch praktisch testen of elke server effectief bulletproof is, niet?

[ibmpc]

Ik neem geregeld disks mee naar een outdoor range. Wil er best een keer een slomo filmpje van maken, het ziet er echt heel tof uit. Maar effectief is het niet. Soms raak je hem niet goed, schiet de disk weg en dan ben je hem kwijt. De disks gaan altijd eerst door de wipestraat

[Odious Trident]

Ik had van de week een cursus over beslag. Over het algemeen worden in beslag genomen datadragers (, dus USB sticks, telefoons, laptops, harde schijven, etc.) vernietigd, tenzij het nog in de verpakking zit. Zodra de data van die schijven is getrokken en onderzocht, worden dus in ieder geval de harde schijven en de rest van de datadragers vernietigd.

[ZinloosGeweldig]

Misschien kunnen ze gedoneerd worden voor het volgende NK Serverwerpen

[njitter]

Op dat adres zit euNetworks. Hun bulletproof hosting was dus waarschijnlijk gewoon een rack bij een provider.

Als je het bulletproof wil doen dan doe je het op een niet publieke lokatie.

[kodak]

Of bij bedrijven die het ook niet zo nauw nemen met wat ze aan criminaliteit helpen. En dat lijkt hier weer het geval.

Zoals ik het lees is het datacenter waar je naar verwijst van een Aziatisch bedrijf. Dat lijkt het voornamelijk te laten gebruiken door andere bedrijven van buiten de EU, zoals uit landen als het VK en Rusland. In Nederland passen providers niet voor niets steeds meer het principe toe de klant te willen kennen om problemen zoals meewerken aan criminelen te voorkomen.

[zx9r_mario]

Mogen ze ook in Wormer doen.

[jordynegen11]

Bij Dataone zal idd een hoop van die troep staan.

[Reactie gewijzigd door jordynegen11 op 13 februari 2025 23:11]

[Roel1966]

Wel vreemd dat er blijkbaar (nog) geen arrestaties verricht zijn want mij lijkt toch dat netwerkbeheerders daar wel weet van hebben gehad wat op die servers staat. Maar dat zal denk ik toch wel voor een klein kapiaaltje zijn wat daar op de foto's te zien is.

[Kees]

Je kan vaak 'remote hands' inhuren. Dat is dan een bedrijf dat de boel fysiek aansluit en onderhoud (schijven vervangen enzo), maar geen idee heeft wat er allemaal op staat. Dan is het een kwestie van je servers opsturen en ze worden aangesloten.

Erg handig als je een datacentrum in een ver land wil hebben zonder dat je daar fysiek aanwezig hoeft te zijn.

[Michiel36]

Ik vond Tweakers al trager vandaag.

[JustRickvD]

De servers van Tweakers zitten inderdaad ernaast! Zit in dezelfde Datacenter van EU Networks.

[dannyvdmoo]

goede zaak... offline ermee

[darkfader]

Misschien dat ze de servers zelf aanlaten om evt encrypted disks weer uit te kunnen lezen?
En de servers hangen ze misschien aan een dummy-netwerk/firewall zodat er geen wipe commando kan worden gegeven.

[onno oliver]

127 servers onder stroom vervoeren vergt wel enige logistieke planning en vermogen.
Waar laat je deze en we hebben een stroom te kort.
Het kan best zijn dat er een aantal zo meegenomen zijn, maar dit hangt ook af van de werk instructie.

Kan even geen filmpje vinden van een Defon challenge waarbij je een werkende computer moest stelen en de stroom toevoer moest veranderen.

[87Dave]

Zou een beetje deftige hosting voor dergelijke doeleinden niet ook alle data geencrypteerd moeten hebben?

Met dan de lokale beheerders die de keys niet hebben en waar de klant remote moet inloggen om zijn key in te geven.