'Driekwart besmette Europese hostingservers staat in Nederland'

Volgens McAfee staat driekwart van de Europese hostingservers die malware verspreiden, in Nederland. Een kwartaal geleden was dat 'marktaandeel' nog fors kleiner. Wereldwijd zijn de Verenigde Staten de grootste malwareverspreider.

Waar het aandeel van Nederlandse servers die malware verspreidden binnen Europa een kwartaal eerder nog een derde besloeg, is dat in het afgelopen kwartaal driekwart. Dat blijkt uit een onderzoeksrapport van McAfee. De oorzaak van de toename blijft onduidelijk.

Wereldwijd heeft de VS het grootste aandeel 'malwareservers', waarbij het ook kan gaan om websites op die server die zijn gehackt en die door de aanvaller worden gebruikt om malware te verspreiden. Ook de Bahama's, Australië en Zuid-Afrika zijn in hun regio's grote malwareverspreiders.

De Verenigde Staten zijn eveneens het land met de meeste command-and-control-servers, waarmee botnets worden verstuurd, al nam dat aandeel met 10 procent af ten opzichte van het vorige kwartaal. Ook China en Venezuela hosten veel van dergelijke servers.

Uit het rapport blijkt verder dat verreweg de meeste mobiele malware die in omloop is, is ontwikkeld voor het Android-besturingssysteem. In totaal kwamen er in het afgelopen kwartaal 1,5 miljoen malwarevarianten bij, volgens McAfee; de grootste toename in de afgelopen vier jaar.

Reacties (60)

Weet iemand of we in Nederland misschien relatief meer datacentra hebben, wat dit zou kunnen verklaren?

Ik ben Belg, maar dat lijkt me inderdaad wel zo. De prijzen van hosting liggen in Nederland ook beduidend lager, en er is veel meer keuze.

In Duitsland liggen de prijzen nog veel lager.

Volgens datacentermap.com (interessante website trouwens) hebben we 56 datacenters in Nederland, Duitsland heeft er bv. 97, nog geen twee maal zoveel datacenters, maar wel vijf maal zoveel inwoners. Natuurlijk geeft het aantal datacenters niet aan hoeveel servers er staan en wat voor servers. Kennelijk heeft de prijs er ook niet zo heel veel mee te maken...

Duitsland heeft dan dus meer datacenters, maar ook gelijk meer C&C's staan op de servers. Dus dat zou er heel goed mee te maken kunnen hebben. Hier nog even het lijstje zoals het in het document van McAfee staat:

• United States
• China
• Venezuela
• Germany
• Russia
• Netherlands
• United Kingdom
• Spain
• Others

Ik had bepaalde landen alleen wel hoger ingeschat bij de aanvallen. Zo zie ik de VS veelal bovenaan staan en China elke keer op de tweede plek en landen als Korea, Vietnam, etc. zie ik helemaal niet staan. Als ik naar de logbestanden en mailalerts kijk van mijn servers dan komen landen als China, Korea, Vietnam, Polen en Roemenie veel vaker voor dan de VS waarbij China ver bovenaan staat en de VS wel dicht op de anderen. Ik vraag me ook enigzins af hoe ze aan deze gegevens komen. Als het van hun beveiligingssoftware moet komen: De meerderheid van de servers lijken me niet software van McAfee gebruiken gezien de hoeveelheid aan keuzes die je wat dat betreft kan maken.

[Reactie gewijzigd door mrdemc op 4 september 2012 12:23]

Die data op datacentermap is verouderd, ik zou die info met een kruiwagentje zout nemen.

Dat wou ik ook net vragen, zo uitzonderlijk zou dat niet zijn met de AIX als belangrijkste Europese gateway.

Je bedoelt de AMS-IX (AMSterdam Internet eXchange, en niet de AIX (Athens Internet eXchange), gok ik.

Het moet gekoeld worden en water is daarvoor het goedkoopst. Wij zijn een land met relatief veel water. Wellicht dat dit het verklaard?

Koelwater hoeft geen drinkwater te zijn, dus dat maakt niet zoveel uit. De AMS-IX en de centrale ligging van Nederland zijn wat dat betreft interessanter.

In Duitsland zijn er ook een paar grote spelers dacht ik, maar relatief sowieso minder malicious content <10%.

Het gaat om de toename, een kwartaal geleden nog 1/3, en nu 3/4.

Weet iemand of we in Nederland misschien relatief meer datacentra hebben, wat dit zou kunnen verklaren?

Dat zou het pas verklaren als nl over 3/4de van alle europese servers beschikte.
weinig waarschijnlijk

In vergelijking met veel Europese landen wel, maar rondom London (vanwege de LINX) en rond Frankfurt (wegens de DE-CIX) zit ook veel.

Zou een verband tussen verschillende regelgeving in combinatie met de toegankelijkheid tot de servers gelegd kunnen worden? Of misschien zijn Nederlanders gewoon veel minder stipt met patchen? Wel een interessant vraagstuk.

@ TvdW, Nederland is de hub van Europa. Veel internet lijnen komen hier binnen.

Dat is waarom.

Wow, ik denken dat we in nederland redelijk "veilig" waren.
Weer een extra reden om me hostingserver vaker te checken met bijv. rootkithunter ed.

Wat ik me wel af vraag is of het echt om losse hostingservers gaat die het verspreiden of "gehackte" servers van anderen.

Wow, ik denken dat we in nederland redelijk "veilig" waren.
Weer een extra reden om me hostingserver vaker te checken met bijv. rootkithunter ed.

Het probleem zit meer in een paar grote recente gaten in software als plesk. En dat gebeurt helaas wel vaker. Rootkits hebben ze niet, en hebben ze niet eens nodig, ze hebben gewoon full-blown root op die machines gekregen dankzij wat gaten.

Hehe , denk eerder dat het onze overheid is die niet geupdate is ;p

immers als je bij de meeste grote bedrijven rondkijkt in nederland : Windows xp , maybe een custom shell maar toch vaak nog iexplorer 6 etc.

Eerst geef je de overheid de schuld en daarna de grote bedrijven? Welke is het nou volgens jou?

Volgens mij is het niet zozeer 1 groep die verantwoordelijk is, maar de algemene houding van nederlanders om alles bij hetzelfde te houden. Ik zie toch echt wel een verband tussen het relatief hoge gebruik van IE hier, en het hoge aandeel qua malware. Mensen blijven teveel bij het oude plakken. Vooral het gebruik van Windows XP (of nog erger) snap ik niet. Dat vond ik altijd al rommel, maar in deze tijd kan het echt niet meer. We zijn ondertussen bijna 3 versies verder.

Waar volgens mij veel "schuldigen" tussen zitten zijn die prutsers die zich systeembeheerder durven te noemen en denken dat je security afdwingt door alles dicht te spijkeren voor je gebruikers. Dat een exploit gebruikt maakt van een lek wat daar gewoon langs loopt snappen ze niet. Ze denken dat ze veilig zijn zolang ze maar een virus scanner en firewall hebben.

Firewalls zijn lang niet zo effectief als gewoon de service die op de poort luistert af te sluiten (iets wat met windows niet altijd mogelijk is). Een applicatie die je niet installeert hoef je ook niet te onderhouden (verwijder dus alles wat je niet nodig hebt). Plain text protocollen gebruiken is ook vragen om problemen. Etc etc.
Maargoed, ik kan hier wel klagen over prutsende systeembeheerders maar daar verdwijnen ze niet mee...

Met alleen rootkit hunter ga je het niet redden hoor. Veelal zijn het niet eens rootkits, ze injecten gewoon shell code in bijv. PHP die vaak nog 'obfuscated' (kan ff niet op NL woord komen) is met uuencode en soms encrypted.

Rootkithunter geeft vaker false positives dan dat het daadwerkelijk iets vindt als er echt iets mis is. Voorkomen is beter dan genezen, want zodra je een rootkit hebt dan is het negen van de tien keer toch al te laat.

Gaat hier niet om pc die niet goed beveiligd zijn maar om gehuurde servers die spam/malware versturen, dat kan wereldwijd zijn. Het gaat helemaal niet over slechte beveiliging of rootkits, exploits, etc. Maar puur om gehuurde servers(heel gebruikelijke overigens) die malware verspieden!

Ik zie de laatste tijd ook steeds meer spam van Nederlandse IP's, dus ik vermoed dat dit meer een virus als oorzaak heeft?

Klopt vooral ING en ABN phising is populair met daarop bekende inloglink die naar een pools,uk of rus webserver verwijst met daarop java-exploit

dit is al een hele tijd bekend o.a. op hackforums omdat Nederlandse servers vaak een hele goede/snelle en stabiele verbinding hebben zijn die vooral in trek.

zo zijn amerikaanse gewilder voor creditcardfraudeurs (ze gebruiken nogal veel de creditcards...)

als jij een fiets wil stelen (hypothetisch) ga je toch ook eerder naar een treinstation als een bejaardentehuis ?

Ik had eerlijk gezegd niet verwacht dat dit in Nederland zo actief was, waarschijnlijk nog nooit goed bij nagedacht...

Hoezo actief?

nederland is de hub van europa. Logisch dat dan alles hier vandaan LIJKT te komen?

Wat een verrassing... Als ik zo eens naar bedrijven kijk die een webserver of wat dan ook in een DMZ hebben draaien is men wel erg vaak nalatig in het "beheren" van deze servers. Anti virus is vaak een ondergeschoven kindje en van firewalls wil een website beheerder niks weten...

Iemand die websites beheert wil inderdaad niks van firewalls weten. Als iedereen gewoon eens bij zijn eigen vakgebied bleef was het al een stuk aangenamer vertoeven op de digitale snelweg.

Dat was al zo in de 'goede' economische tijden, nu ten tijden van slechtere economische tijden wordt er maar al te graag gekort op IT of dit nu verantwoord is of niet.

Als een bedrijf bv. 20% personeel moet inleveren of budget moet korten betekent dat nog niet dat je het IT budget/personeel met 20% kan inkorten. Net zoals je niet even 20% op de huur van je pand kan korten, dat kan natuurlijk alleen als je een locatie geheel leeg heb en je geen lang lopend contract heb. Zelfde heb je met de IT, 20% minder personeel betekent in veel gevallen niet 20% minder werk. Je blijft over het algemeen met dezelfde hoeveelheid servers zitten, wellicht dat de interne helpdesk 20% minder calls krijgt, maar server beheer wordt niet opeens minder.

Bij veel bedrijven heb je dan een interne reorganisatie zodat ze personeel kunnen ontslaan zonder al teveel gehannes. Afhankelijk van bij welk bedrijf je werkt kan je dan een leuke oprot premie krijgen, 'goed' personeel kan zelfs in slechte tijden nog aan de bak komen en neemt dan vaak een leuk bedrag mee en gaat ergens anders beginnen. Het bedrijf blijf dan vaak met het 'bodem' personeel zitten. Waardoor hetzelfde werk door minder personeel moet worden gedaan en van vaak gemiddeld lagere kwaliteit.

De realiteit is dan dat er veel minder aandacht is voor systemen die toch wel draaien zoals websites, security updates, audits, etc. komen dan in het vergeet hoekje te zitten waardoor de servers voor langere tijd vatbaar zijn voor aanvallen en malware.

Het is maar goed dat er wetgeving aan zit te komen die bedrijven verantwoordelijk gaan stellen voor slechte beveiliging van systemen/websites die gehacked zijn onder hun beheer. Ik hoop dat ze dan ook meteen malware meenemen in die wetgeving.

Ik heb de PDF doorgenomen, wel interessante materie. Op pagina 26 staan de statistieken per regio.

Ik had niet verwacht dat Nederland zo voorop liep in het serveren van malware. Ergens had ik toch andere regio's verwacht.

Ik zou steeds voorzichtig zijn met Malware Statistieken die opgemaakt worden door firma's die software ontwikkelen tegen malware. Ze hebben er nogal belang bij dat het erg lijkt om hun software verkocht te krijgen. Hetzelfde als dat je klimaat statistieken van think tanks van de olie industrie met een korrel zout moet nemen.

Denk dat rapporten uit onafhankelijke bron een beter beeld zouden kunnen geven.

Ook niet vergeten dat de een groot deel van de Europese en zelfs internationale spelers in de hosting-wereld ook een datacenter "site" in Amsterdam of Rotterdam aanbieden. Dit om de inlandse Europese klanten te kunnen bedienen.
Dus het zijn niet uitsluitend Nederlandse bedrijven die hier schuld aan treffen.

Eind juli is er ook (alweer) een grootschalige lek gevonden in de Plesk hosting software waarbij men in staat was via het controle paneel de websites van alle klanten te injecteren met malafide javascript code. Met behulp van cron jobs hernieuwen deze hackers de homepage van al die sites iedere dag, om de malafide code up to date én online te houden.

Gezien de populariteit van Plesk en de update-policy van veel hosting bedrijven (het draait goed, dus waarom updaten??) zal dit ook een fors aandeel hebben in de malware distributie via websites. Het feit dat een groot deel van de hosting bedrijven nog steeds op een oudere Plesk versie zit (Plesk 9 of zelfs nóg ouder), maakt het alleen maar schrijnender.

In Nederland zijn over het algemeen erg goede/snelle verbindingen, en we zitten op twee knooppunten (Amsterdam & Delfzijl). Als je veel spam/malware/virussen wilt versturen zul je snelheid weten te waarderen.
Dat, samen met het feit, dat een aantal (technische) universiteiten een heel snel netwerk (1~10Gbps) hebben, maakt NL aantrekkelijk - de meeste studenten bezoeken nog wel eens geinfecteerde sites

mijn site is ook geinfecteerd malware. Al enkele keren de hulp gevraagd van de hosting provider. Krijg dan wat links van google die ik zelf ook al gevonden had. Maar kort gezegd komt het er op neer dat ik het zelf maar moet uitzoeken en anders maar mijn hele site moet verwijderen en op nieuw uploaden. Dat is geen optie!

In hoeverre is het de verantwoordelijkheid van de hostingprovider?

Deze is verantwoordelijk voor je server up te houden, stroom/koeling etc etc.
Wat de server doet, is verantwoordelijkheid van de beheerder.

Natuurlijk is het uit de lucht halen een optie. Wat mij betreft zelfs een must! Het is jouw verantwoordelijkheid, nu besmet je anderen.

nog even en er wordt in andere landen verplicht alle nederlandse server geblockt.....

Ik verbaas me over de verschillen die er zitten tussen dit kwartaal en vorig kwartaal van ~40%. Zijn er ergens anders zoveel malware servers opgerold dat Nederland nu plotsklaps koploper is of is er iets anders aan de hand?