Politie blokkeert ip-adressen botnetbeheerders

De Nederlandse politie heeft ip-adressen van cybercriminelen laten blokkeren bij de Europese ip-registry RIPE. Het gaat waarschijnlijk om beheerders van het botnet dat deze week door de FBI werd opgerold. Er zouden miljoenen mee zijn verdiend.

De Nederlandse politie heeft vier ip-blokken laten blokkeren bij RIPE NCC, de regionale ip-registry voor Europa en het Midden-Oosten. Dat heeft de organisatie zelf bekendgemaakt. RIPE geeft geen reden voor het verzoek, maar woordvoerder Wim de Bruin van het Landelijk Parket bevestigt dat er een link is met een operatie van de FBI waarbij een botnet werd opgerold. RIPE is overigens in Amsterdam gevestigd en valt dus onder de Nederlandse wetgeving.

Het ontmantelde botnet leunde op een netwerk van malafide dns-servers; via malware werden dns-requests van slachtoffers naar deze servers doorgeleid. Op die manier konden onder meer advertenties op websites worden gekaapt. Bij de actie van de FBI werden de dns-servers van de verdachten door legitieme servers vervangen, zodat slachtoffers gebruik kunnen blijven maken van het internet.

Waarschijnlijk heeft de Nederlandse politie het verzoek ingediend om zelf de ip-adressen van de botnetbeheerders te kunnen gebruiken. Tot maart volgend jaar mogen de ip-adressen niet worden vrijgegeven; tot die tijd zou de FBI de ip-adressen dus kunnen blijven gebruiken. Of dit scenario klopt, is nog niet bekend; het KLPD kon geen inhoudelijk commentaar geven. Waarschijnlijk is het echter wel; de FBI heeft aangegeven bij de actie hulp van het KLPD te hebben gehad.

De botnetbeheerders zouden met hun activiteiten minstens 14 miljoen dollar hebben verdiend. Zes inwoners van Estland zijn opgepakt. Ze zouden het botnet sinds 2007 in de lucht hebben gehouden en vier miljoen computers hebben besmet.

Reacties (28)

[Odie]

Er is helemaal niets geblokkeerd, operationeel is het business as usual. Als je goed kijkt zie je dat RIPE NCC alleen de maintainer van Promnet heeft vervangen door die van RIPE zelf. Ergo, nu kan Promnet geen changes in de database meer maken aan dat blok. Operationeel heeft dat 0.0 effect, de database is administratief only... Hoogstens dat je route-objecten van invloed zijn op automagische filtertjes bij Level3 enzo...

[HarmoniousVibe]

Zelf heb ik meerdere servers uitgerust met de DROP (Don't Route Or Peer) list van SpamHaus (http://www.spamhaus.org/drop/). Deze blacklist bevat ip-ranges die voor 100% gekaapt zijn door spammers/botnets. 85.255.112.0/20 staat daar al sinds mei 2009 in.

[RobTweaks]

Door de bots bijvoorbeeld spam te laten versturen, d.m.v. het vertonen van advertenties op de betreffende PC's, of door het pushen van rogue virusscanners die computers in gijzeling houden totdat iemand heeft betaald. Zomaar enkele manieren om behoorlijk te verdienen aan een groot botnet.

[Verwijderd]

Ok bedankt voor je antwoord.. dat mensen in anno 2011 er nog intrappen, rogue virusscanners.. tja..

[erwinb]

goede actie,
Nu krijgen we straks advertenties met "De Politie is je beste vriend"

Nu maar hopen dat die 14 miljoen dollar weer terug komt bij de rechtmatige eigenaars.

[Reactie gewijzigd door erwinb op 25 juli 2024 15:48]

[dasiro]

Nu maar hopen dat die 14 miljoen dollar weer terug komt bij de rechtmatige eigenaars.

dat zijn dus advertentiebedrijven wiens ads zijn vervangen door andere ads.

[T-men]

Nee ! Dat zijn de bedrijven wiens advertenties zijn vervangen door andere advertenties. Zij hebben betaald, (aan de originele site) maar hun advertentie heeft de surfende internetter nooit gehaald.

[Reactie gewijzigd door T-men op 25 juli 2024 15:48]

[Verwijderd]

Waarschijnlijk niet
Als hun de intelligentie hebben om 14 miljoen door zoiets bij elkaar te krijgen, zullen ze ook wel een prima verstopplek hebben.

[mr.Millenarian]

Ze hebben vast auto's, sieraden, huizen e.d. gekocht. Dus gewoon plukken die lui en ook al kun je de rechtmatige eigenaren misschien moeilijk achterhalen, dan nog vind ik dat ze het onrechtmatig verkregen geld moeten inleveren.
En ook 'intelligente' boeven krijg je vroeg of laat wel achter de tralies.

[Reactie gewijzigd door mr.Millenarian op 25 juli 2024 15:48]

[Mellow Jack]

Of niet, daar hoor je natuurlijk nooit wat over Je hoort alleen dingen over de criminelen in de spotlight staan en sjah die worden vaak gepakt (ook omdat ze id spotlight staan haha)

Het is helemaal niet zo lastig om geld te wit wassen hoor, je leest enorm vaak dat de Nederlandse politie heel veel moeite heeft met dat soort praktijken

[Reactie gewijzigd door Mellow Jack op 25 juli 2024 15:48]

[Verwijderd]

Witwassen van zo'n enorm bedrag lijkt mij toch niet zo heel eenvoudig.

[Gepetto]

Als ik het goed begrijp heeft de politie nu de beschikking over een aantal DNS servers waar miljoenen gebruikers onvrijwillig gebruik van maken. Ik mag toch aannemen dat deze gebruikers die servers niet zelf hebben ingevuld, maar dat deze door een trojan op hun systeem zijn aangepast.

Dit betekent dus ook dat ze nu zonder tussenkomst van ISP's elke site die door deze gebruikers wordt aangeroepen kunnen monitoren, sterker nog, ook eventueel om kunnen leiden naar een ander ip-adres.

Ik vraag me vervolgens sterk af of dit wel helemaal in lijn is met de privacy wetgeving.

[42dpi]

Die 14 miljoen is grotendeels verdiend met advertenties kapen dus verwisselen, 't is niet gestolen meer op een zeer oneerlijke manier verkregen dus de gene die heeft betaald heeft waar voor z'n geld gehad.

[T-men]

"Gestolen" moet je in dit geval lezen als "gederfde inkomsten van de adverteerders op de originele stie". Zij hebben betaald voor advertenties die de bezoeker nooit gezien heeft en dus ook niet op heeft kunnen reageren.

[Shark.Bait]

Die 14 miljoen is het geld dat de advertenties opleverde aan de kapers-dwz dat de adverteerders betaalden aan de kapers. Het is dus niet het bedrag aan inkomsten dat verloren is door de adverteerders die gekaapt werden, dat bedrag is vooralsnog onbekend...

[rsbroer]

Ja, die advertenties verschijnen direct op je pc

[killer2]

Knap werk, wel bijzonder dat het dus bijna 5 jaar duurt voordat het ontmanteld is...

[killercow]

Tjah,

Nu hebben dus allemaal mensen een dns server van de politie als server ingesteld gekregen. Aangezien de vorige actie van de politie wat betreft privacy ook al niet door de beugel kon denk ik dat het bverstandiger is de dns servers gewoon offline te laten en mensen hun pc te laten nakijken, de mallware (met mogelijke exploits) is tenslotte ook nog steeds aanwezig op al die computers.

Met vervangende politie severs komen we nergens, behalve dat de politie isp speelt tot in eide van dagen, zich vast niet aan de wetgeving met betrekking tot opslag houdt, en de pc's in kwestie gewoon besmet blijven.

[xmenno]

Ik snap het nut niet echt, RIPE is alleen maar administratie.
De betreffende adres reeksen worden op dit moment allemaal als losse /24s geadverteerd vanuit AS 36445, en dat is niet de plisie.

[wica]

Bij de RIPE NCC kunnen dus geen aanpassingen gemaakt worden aan deze 4 IP blokken.
Om hoeveel IP adressen zou het gaan? En welke blokken zijn het?

tot die tijd zou de FBI de ip-adressen dus kunnen blijven gebruiken

Of je hier blij van zult worden? Ik had liever dan deze deze blokken gewoon offline gehaalt hadden.

/edit
https://apps.db.ripe.net/...112.0-85.255.127.255.html
85.255.112.0 - 85.255.127.255 mooi blokje

[Reactie gewijzigd door wica op 25 juli 2024 15:48]

[Mellow Jack]

Is het kapen van IP adressen niet illegaal? Laat dit niet zien dat de politie alleen iets kan doen wanneer ze zelf ook malafide zaken gaan doen? Even voor de duidelijkheid, ik vind het sowieso goed dat ze die adressen hebben gekaapt om actie te kunnen ondernemen

[Peter F]

Ben ik nu gek ?
ik kan die gegevens bewerken, of snap ik nu even niet hoe het werkt ?

https://apps.db.ripe.net/webupdates/edit-field.html


Onee, het lijkt erop je kunt alleen niet saven.

Het valt me wel op dat ik volgens mij uit die range ip adressen de laaste tijd wat hack pogingen kreeg.

[Reactie gewijzigd door Peter F op 25 juli 2024 15:48]