Grootste cyberspionage ooit ontdekt

Beveiligingsbedrijf McAfee heeft een nooit geziene golf van cyberaanvallen op overheidsdiensten en grote bedrijven blootgelegd. Die zouden allemaal het werk zijn van één organisatie.

De Verenigde Naties. De US International Trade Organization. Het secretariaat van de ASEAN. Het Internationaal Olympisch Comité. Het World Anti-Doping Agency. En verder, onder meer: zes Amerikaanse federale overheidsdiensten, dertien wapenleveranciers, drie elektronicabedrijven, drie industriële bedrijven en twee nieuwsredacties.

Al die organisaties zouden met succes gepenetreerd zijn door ‘operation Shady RAT’. Een groep hackers kreeg controle over één of meerdere computers op de netwerken van die organisaties en slaagde erin om gegevens te stelen.

Shady RAT
Dat is aan het licht gebracht door McAfee, een dochteronderneming van de Amerikaanse chipreus Intel. McAfee publiceerde dinsdagavond een rapport over zijn ontdekking, aan de vooravond van de Black Hat-conferentie over computerbeveiliging in Las Vegas. De naam Shady RAT heeft McAfee overigens zelf verzonnen; de RAT verwijst naar remote access tool.

Volgens McAfee gaat het niet om eenmalige inbraakpogingen. Sommige van de gekaapte computers bleven meer dan twee jaar actief, zonder te worden opgemerkt. Andere verdwenen na minder dan een maand. " Omdat ze werden ontdekt, of waarschijnlijker, omdat de daders uit waren op heel specifieke informatie die ze meteen hadden gevonden", zegt Raj Samani, technisch directeur van McAfee in Europa.

Jacht op informatie
In het rapport van McAfee worden weinig namen genoemd, ook niet van de gehackte bedrijven. Het Internationaal Olympisch Comité, een van de weinige wél genoemde namen, verklaarde woensdag aan de New York Times dat het niet op de hoogte was van een computerinbraak.

De Washington Post identificeerde een ander slachtoffer: de twee gehackte nieuwsredacties zouden die van Associated Press zijn, meer bepaald hun vestigingen in New York en Hongkong. De hackers zouden gedurende 21 maanden toegang hebben gehad tot computers op die redacties.

Van 72 geslaagde computerinbraken kon het doelwit worden geïdentificeerd. En er zouden nog andere, niet geïdentificeerde slachtoffers zijn. Welke informatie er precies is gestolen, is in de meeste gevallen niet vast te stellen.

McAfee vond server
McAfee kon sporen van de inbraken ontdekken doordat het de controle verwierf over een cruciale server van de daders. Die server zou zich in een westers land bevinden. McAfee wist al twee jaar over het bestaan van de server, die het zou hebben ontdekt bij een onderzoek naar een aantal computerinbraken bij defensiebedrijven. Maar in maart ontdekte McAfee dat de hackers een cruciale fout hadden gemaakt: de server hield al jarenlang sporen bij van elke aanval. Die sporen heeft het bedrijf de afgelopen maanden onderzocht.

Wie zijn de hackers? Bij McAfee wil men zich daar niet over uitspreken. Maar beveiligingsspecialisten wijzen in de richting van China.

De hackers waren namelijk uit op informatie van heel uiteenlopende aard. Niet alleen commercieel bruikbare informatie van grote bedrijven uit verschillende sectoren (hightech, energie, computerbeveiliging), maar ook gegevens van de olympische comités in verschillende landen en van het World Anti-Doping Agency – nota bene net in de periode van de Olympische Spelen van 2008 in Peking. Die gegevens lijken van weinig commerciële waarde, maar zouden wel van belang kunnen zijn voor een land dat goed wil scoren.

Volgens McAfee zijn de aanvallen die het heeft blootgelegd zeker niet ongewoon. Technisch zijn ze niet bijzonder verfijnd, en er zouden nog vele andere gelijkaardige command-&-controlservers actief zijn. Nieuw is echter dat dit keer aangetoond is dat een lange reeks aanvallen op zeer uiteenlopende doelwitten dezelfde oorsprong heeft.

Economische bedreiging
Volgens het rapport maken deze aanvallen deel uit van een breder patroon. De afgelopen vijf à zes jaar zijn overheidsgeheimen maar ook commercieel interessante informatie, over bijvoorbeeld nieuwe olie- en gasvelden, systematisch gestolen. "Wat er met al die informatie gebeurt, is nog grotendeels een open vraag", aldus het rapport. "Maar als nog maar een fractie ervan wordt gebruikt om meer concurrerende producten te maken of om een tegenstander te verslaan bij een cruciale onderhandeling, dan betekent het een enorme economische bedreiging. Niet alleen voor de individuele bedrijven en industrieën maar voor hele landen."

Google verdenkt China
Dat China wordt genoemd als oorsprong van de aanvallen, is niet voor het eerst. In januari 2010 maakte Google bekend dat het getroffen was door een "hoogst gesofisticeerde" aanval waarbij hackers toegang zochten tot e-mails van Chinese activisten.

Volgens Google was de aanval afkomstig uit China. Google trok zich trouwens, mede vanwege dit incident, terug uit de Chinese markt.