Het internet ging het weekend in, maar niet op de beste manier. Verschillende grote sites, waaronder Twitter, Netflix, Reddit en Spotify, begonnen toegangsfouten te vertonen, terwijl er niets mis was met hun infrastructuur. De nieuwe cyberaanval trof Dyn, een van de belangrijkste bedrijven ter wereld op het gebied van DNS-distributie. De aanval was vooral gericht op de Verenigde Staten, en de gegevens die in de afgelopen 72 uur beschikbaar zijn gekomen wijzen op een botnet gebaseerd op een malware genaamd Mirai.
Het was al bekend dat er opnieuw een cyberaanval op de infrastructuur van het internet zou komen. Hoe groot de afgelopen gebeurtenissen ook waren, het gevoel dat de verantwoordelijken aan het 'trainen' waren, zich voorbereidend op iets groots, verdween nooit. En het lijkt erop dat dat 'iets' afgelopen vrijdag gebeurde, toen het halve internet in de Verenigde Staten en een deel van Europa simpelweg verdween. Tientallen sites met een zeer hoog profiel werden getroffen, over allerlei genres en diensten. Netflix, Amazon, Spotify, HBO, PayPal, Twitter, Reddit, The Elder Scrolls Online, Electronic Arts, Starbucks, Quora, nieuwsportalen... de lijst gaat maar door. Het opvallendste is dat de aanval niet op die sites was gericht, maar dat men het systeem wilde compromitteren dat ons toegang tot die sites geeft. Met andere woorden: het bedrijf dat DNS distribueert, Dyn, werd aangevallen, een bedrijf dat velen kenden als DynDNS.
De aanval op Dyn
Volgens het rapport dat Dyn zelf publiceerde, begon de DDoS-aanval kort voor 11:10 (UTC/GMT) afgelopen vrijdag en werd elf uur later 'opgelost' verklaard. Twee keer dacht men dat de aanval was tegengehouden, maar de gemiddelde pauze was ongeveer drie uur. De effecten van de aanval waren gericht op de servers van Dyn aan de oostkust van de Verenigde Staten, maar in de praktijk werd bijna het hele land getroffen, en een deel van Europa. Na verloop van tijd wisten verschillende beveiligingsbedrijven vast te stellen dat de botnet die verantwoordelijk was voor de cyberaanval was gebaseerd op de malware Mirai. Als die naam bekend klinkt, komt dat omdat het dezelfde malware is die werd gebruikt tegen de portal Krebs on Security en bij het record-DDoS dat de Franse provider OVH platlegde. De speciale vaardigheid van Mirai is het omzetten van apparaten zoals bewakingscamera's, babyfoons en andere accessoires van het beroemde Internet der Dingen in een leger van zombies met verwoestende kracht. Alsof dat nog niet genoeg is, heeft de persoon achter Mirai, die zich 'Anna-sempai' noemt, eind september zijn code vrijgegeven. Hoewel dit niet betekent dat dezelfde botnet bij alle drie de aanvallen betrokken was, is de rol van Mirai in alle gevallen duidelijk.
Mirai en het internet van de dingen
Het beveiligingsbedrijf Flashpoint deelde aanvullende details over de 'zombies' die Dyn aanvielen. Hoewel de mogelijkheid dat meerdere botnets gecombineerd waren niet werd uitgesloten, waarschuwde Flashpoint dat de apparaten die gebaseerd zijn op hardware van een Chinees bedrijf, XiongMai Technologies, het meest getroffen waren. Dit herinnert ons aan het gebrek aan beveiliging en verantwoordelijkheid van fabrikanten die hun producten niet goed beschermen. Al die accessoires worden verkocht met een intern fabriekswachtwoord (hardcoded) dat de gebruiker niet kan veranderen, en erger nog: ze laten de toegang via telnet of SSH open, wat voor malware een kluifje is. Een simpele scan naar kwetsbare hardware stelde Flashpoint in staat om meer dan een half miljoen apparaten te vinden, en niemand weet hoeveel een malware met persistentie zou kunnen vinden. Het is precies zoals Martin McKeay van Akamai al voorspelde na de aanval op OVH: internetstoringen.
De harde waarheid is dat dit niet zal stoppen. Zodra de mogelijkheden van Mirai volledig begrepen zijn, kan het misschien worden ingedamd, maar de mensen die verantwoordelijk zijn voor de aanvallen zijn erg slim en hoeven alleen maar hun code te pakken om iets slims te maken. Misschien is het tijd om het Internet der Dingen op de beklaagdenbank te zetten en verplichte certificeringen in te voeren die fabrikanten moeten volgen om te garanderen dat hun producten geen bedreiging vormen voor wat al een zeer kwetsbare infrastructuur is. Dat betekent natuurlijk hogere kosten. Het idee om defecte en onveilige hardware te vervangen zal op weerstand stuiten, maar de mechaniek van 'patches en mitigatie' komt aan zijn limiet.
Krebs on Security
Flashpoint
