Warez, de duistere kant van het internet

Releasegroepen: startpunt warezcascade

Een groot onbekend maar berucht kenmerk van het internet wordt gevormd door de personen die zorgen voor de onstuitbare stroom van illegale bestanden, de zogenaamde warez. Deze duistere kant van het internet werd een tijdje terug opgeschrikt door een plotselinge lichtflits waarbij enkele leden hun verhaal deden tegenover het bekende medium Wired. Tweakers.net breidt het verhaal uit door wat dieper in te gaan op de werkwijze van de warez-scène.

Aan de top van de cascade staan de releasegroepen, groepen mensen die er hun hobby van hebben gemaakt om de nieuwste warez zo snel mogelijk op het web te hebben. Een releasegroep specialiseert zich in een bepaalde vorm van warez, variërend van games en applicaties tot (genres van) films en muziek. Een aparte soort vormen de 0day-groepen, die zich hebben toegelegd op het uitbrengen van de kleinere applicaties die op een dag gelanceerd worden, zoals een IM- of een ftp-applicatie. Afhankelijk van hun werkgebied hebben de groepen verschillende middelen nodig: met name de filmgroepen hebben prijzige apparatuur nodig om de films goed op te nemen en te verpakken, terwijl de mp3-groepen een stuk goedkoper uit zijn.

Betalingen: cash en credits

Afhankelijk van de geldbehoefte zorgen de groepen voor hun middelen: deze kunnen gesponsord zijn door bijvoorbeeld oud-leden, de leden kunnen zelf geld investeren en soms gaat de groep over tot het verkopen van leechaccounts. Een laatste optie, die met name bij applicatie- en 0day-groepen voorkomt, is het gebruiken van gehackte creditcards. Hiermee koopt de groep de applicaties die ze uitbrengen of de serialkeys die nodig zijn om het programma te kunnen gebruiken.

Veel groepen hangen een creditsysteem aan, waarbij voor elke data-eenheid die men uploadt, er drie gedownload mogen worden: een gigabyte up is bijvoorbeeld drie gigabyte down. Een ‘sponsor’ die de groep bijstaat met geld of apparatuur, krijgt vaak in ruil daarvoor een account dat niet gelimiteerd is met credits: een leechaccount. Daarnaast bestaan er topsites die aan elk lid een bepaald bedrag per maand vragen om te mogen leechen, de zogenaamde paysites. Het verkopen van accounts door paysites of zelfs het verkopen van warez-cd’s en –dvd’s buiten de scène, zoals CrazyBites of Twilight dit deden, wordt vaak gezien als not-done. Bijna iedereen die zich mengt in de warez-scène is van mening dat de scène niet gebruikt mag worden om rijk van te worden: het moet een hobby blijven, een sport.

Taken binnen de groep

filmblik De releasegroepen krijgen de nieuwste software en media aangeleverd van zogenaamde insiders, mensen die werkzaam zijn in bijvoorbeeld een bioscoop of een cd-perser of die bedrijfsnetwerken hacken om zo aan de nieuwste software te komen. Deze insiders kopiëren hun spullen naar een digitale vorm; hiervoor maken ze vaak gebruik van geavanceerde apparatuur. De gedigitaliseerde data wordt door rippers gecomprimeerd, waarbij het bestand wordt teruggebracht naar een grootte die gemakkelijk over het internet kan worden verzonden.

De bestanden worden vaak gecomprimeerd met behulp van een MPEG-compressie, waarbij een goede ripper voor elke filmscène een ander bitrate gebruikt, aangepast aan onder andere de belichting van de scène, om een zo goed mogelijk resultaat te krijgen. Nu zijn de files daadwerkelijk geschikt voor publicatie en kunnen ze worden overgebracht naar zogenaamde topsites.

Topsites: grote verzamelpunten

Dit zijn honderden geheime ftp-sites waarop ongeveer alle beschikbare warez ter wereld zijn terug te vinden; deze sites vertegenwoordigen het beginstadium van het sneeuwbaleffect dat zich voordoet wanneer een warezbestand zich over het internet verspreidt. De topsites zijn meestal gelokaliseerd in grote datacenters van bijvoorbeeld universiteiten, waarbij de hulp wordt ingeroepen van de beheerders van deze centra die van de illegale praktijken afweten.

Politieauto De kwaliteit van de sites varieert: de beste sites zijn degenen waaraan de beste releasegroepen gekoppeld zijn, sites met slechtere releasegroepen of zelfs zonder groepen zijn van mindere kwaliteit. De grote sites zouden het ideale aangrijpingspunt zijn voor een justitiële aanpak van warez: verwijder de bron en de stroom zal opdrogen, ware het niet dat de sites en hun gebruikers zo goed beveiligd zijn dat het praktisch onmogelijk is om ze te vinden, laat staan aan te pakken.

De eerste verspreiding en amplificatie

Een releasegroep werkt vaak samen met een of meerdere topsites, waarop zij als eerste hun bestanden publiceren. Daarna worden de bestanden door couriers van de betere topsites vervoert naar de slechtere. De couriers vormen het transportsysteem in de bovenlaag van het netwerk: zij zijn verantwoordelijk voor het vervoeren van de warez van de gesloten topsites naar de meer toegankelijke dumps.

Zij houden zich op in de irc-kanalen van de topsites, waarin zij direct kunnen zien wanneer een releasegroep voor het eerst een nieuwe uitgave heeft verzonden naar de site. Dit is voor hen het teken om de bestanden die zojuist zijn vrijgekomen zo snel mogelijk te verzenden naar de andere sites. Dit alles is slechts een spel voor hen: het gaat erom wie er het snelst de bestanden heeft overgebracht, waarmee men credits opbouwt.

Het spreekt voor zich dat degene die de snelste verbinding kan leggen tussen twee sites, de meeste data kan vervoeren tijdens zo’n race en dus de meeste credits verdiend. De credits die worden verdiend met het verkeer tussen de topsites worden gebruikt om een courierranking te maken, statistieken over wie in een bepaalde periode de meeste credits heeft verdiend. De ranking is het einddoel van de courier en bepaalt wie er op dat moment de beste is. De couriers zijn grotendeels verantwoordelijk voor de enorme toename van het aantal bestanden en de plekken waarop deze te vinden zijn: door het kopiëren van de bestanden naar dumps en topsites neemt het aantal kopieën razendsnel toe.

FlashFXP, een door couriers gebruikt FXP-programma

FXP-boards: middenin de stroom

Vanaf de slechtere topsites worden de bestanden door couriers verplaatst naar dumps, waarop de bestanden later te vinden zijn maar wel beschikbaar zijn voor een groter publiek. De dumps worden gevuld door de couriers en door de volgende laag als voedingsbodem gebruikt: de FXP-boards. Dumps zijn vaak gelokaliseerd op minder indrukwekkende hardware dan topsites: denk bijvoorbeeld aan studentenpc’s op universiteitscampussen, maar ook gehackte servers van grote bedrijven. Binnen een aantal uur nadat de releases door de releasegroepen op de topsites zijn gezet, zijn ze ook te vinden op de boards.

De boards functioneren met behulp van online fora, waarbij leden een account krijgen toegewezen nadat ze hun betrouwbaarheid hebben bewezen. De accounts zijn vaak gekoppeld aan het ip-adres van de user, waarmee een extra veiligheid wordt ingebouwd. In threads worden op een georganiseerde manier (bijvoorbeeld per subcategorie, stijl of datum) links gepost naar pubs (kleinere opslagsites), waar de leden hun bestanden vanaf kunnen downloaden. Boards werken niet met credits: alle leden dragen op regelmatige basis bij aan de uitwisseling en kunnen in ruil daarvan onbeperkt van de andere ftp’s downloaden.

Forumindex van een FXP-board

Zoeken naar opslagruimte

Net als bij de releasegroepen zijn de taken op de boards goed verdeeld: ieder heeft zijn eigen specialisatie. Waar de een zich vooral bezig houdt met het vullen van de pubs, zorgt de ander voor nieuwe opslagruimte. Dat kan gebeuren op een relatief legale wijze door een server bij iemand thuis te zetten, maar een methode die ook niet geschuwd wordt is het kraken van slecht beveiligde computers. Geliefd zijn dan vooral de grotere (bedrijfs)netwerken, zoals van een universiteit of een hostingbedrijf; deze beschikken vaak over veel ruimte en een snelle internetconnectie. Er wordt door boardleden actief gescand naar slecht beveiligde computers (bijvoorbeeld door te zoeken naar open poorten die geëxploit kunnen worden), deze pc’s worden vervolgens virtueel opengebroken door het hackteam.

Hacker (klein, rood) Hierop wordt een ftp-server en een shell geïnstalleerd, welke worden verborgen met een rootkit. De shell wordt gebruikt om de computer vanaf afstand te kunnen beheren. Nu is de bak geheel operationeel en bruikbaar als dump of pub. Na verloop van tijd zal men ontdekken dat het netwerk gehackt is en kunnen de aldaar aanwezige bestanden als verloren beschouwd worden, maar dan zijn er al weer genoeg andere plekken beschikbaar om de zo ontstane gaten op te vullen. De pubs functioneren op eenzelfde manier als de dumps, maar zijn minder exclusief.

De pubs worden gevuld door de crewleden die het board onderhouden, deze hebben toegang tot dumps. De pubs fungeren eveneens als mirror van elkaar, waarbij de inhoud van de pubs heen en weer gezonden wordt door de boardleden. De boardleden die niet tot de crew behoren, hebben meestal geen toegang tot de dumps. Zij verkrijgen nieuwe bestanden van andere pubs en plaatsen deze op de pubs van het board, waarbij de links naar de pubs op het forum geplaatst worden. De pubs worden vaak op eenzelfde manier verkregen als de dumps: vaak door middel van het cracken van computers. Het verschil tussen pubs en dumps wordt bepaald door de beschikbare ruimte en de snelheid van de opslagplek, waarbij de betere plekken gereserveerd zijn voor de dumps.

Fserve, xdcc: naar het publiek

Naast de fxp-borden maakt de warez-scène gebruik van het zogenaamde fserve, dat eveneens gevoed wordt vanaf de minder goede topsites. Fserve staat voor een commando dat gebruikt wordt in irc-programma’s, waarmee een gebruiker een andere gebruiker toestaat om zijn harde schijf te bekijken. De tweede gebruiker kan met behulp van ftp-achtige commando’s over de harde schijf surfen om te zoeken naar iets dat hem interesseert en zal dit vervolgens downloaden. In tegenstelling tot de boards is het systeem van fserve gebaseerd op persoonlijk contact tussen twee gebruikers.

Omvangrijker is het gebruik van xdcc-bots. Ook deze manier van warez uitwisselen maakt gebruik van irc-programma’s. In het kanaal waarop de bestanden te vinden zijn, zijn een aantal van deze bots aanwezig. Deze zijn wederom afkomstig van dezelfde computer als waarop de warez verborgen zijn, maar in dit geval hoeft er geen individuele gebruiker betrokken te zijn bij het toestaan van de downloads. De bot geeft in het kanaal aan welke bestanden hij kan verzenden, automatisch of op aanvraag. De gebruiker geeft de bot een commando, waarna deze het bestand via een dcc-transfer aan de gebruiker verzendt. Wanneer de bot door meerdere mensen tegelijk wordt aangesproken, kan het voorkomen dat een gebruiker in de wachtrij wordt geplaatst. Wanneer de bot beschikbaar is, wordt de download automatisch gestart.

mIRC logo Fserve en xdcc halen net als boards hun bronnen vanaf de mindere topsites, toch worden zij door de scène beschouwd als zijnde van mindere kwaliteit. Zoals gezegd wordt de downloader vaak in de wachtrij geplaatst, terwijl bij het downloaden via de links op het board men direct aan de beurt is. Doordat deze irc-kanalen vaak niet met een key beveiligd zijn, in tegenstelling tot de kanalen van de topsites en de boards, zijn ze bekend bij een groter publiek. Deze grote belangstelling doet de wachttijden oplopen, waardoor mensen met toegang tot boards en sites op het gebruik van irc-bots neerkijken.

Naar peer-to-peer, op naar de menigte

Het is waarschijnlijk dat via de gebruikers van fserve en xdcc de warez hun weg vinden naar de peer-to-peernetwerken zoals eMule en BitTorrent. Wanneer de botgebruikers hun files beschikbaar stellen voor deze peer-to-peernetwerken, vindt er een tweede amplificatie plaats van duizenden mensen die het bestand downloaden en opnieuw beschikbaar stellen aan anderen. Natuurlijk zullen er ook bestanden naar de netwerken gaan via de gebruikers van de boards en de topsites, dit komt echter maar weinig voor in vergelijking met de botgebruikers.

Uiteindelijk komen de bestanden via de peer-to-peernetwerken in huis bij het gros van de thuisgebruikers. Deze heeft vaak geen enkel idee wat er onderweg allemaal met het bestand gebeurd is. Toch is dit redelijk eenvoudig na te gaan: bij elke release die door de scène gelanceerd wordt, wordt een .nfo-bestand bijgevoegd waarin informatie over het bestand, de releasegroep en soms de topsite is te vinden. Dit bestand ontsnapt echter vaak aan de aandacht van de downloader, die alleen geïnteresseerd is in het gebruiken van zijn pas ontvangen bestand.

Ondanks de commotie rondom het openbreken van de geheimhouding waaraan de scéneleden zich meestal houden, moge het duidelijk zijn dat de illegale gemeenschap weinig schade zal ondervinden van een klein inzicht in hun organisatie. Door de anonimiteit en het aantal spelers is het praktisch onmogelijk het systeem neer te brengen en blijft de strijd tegen warez als het vechten tegen een Hydra: hak een kop af en er groeien er twee terug.