Politiediensten halen stressers uit de lucht

De FBI heeft samen met andere politiediensten woensdag 48 websites voor stressers uit de lucht gehaald en het daarmee weer iets moeilijker gemaakt DDoS aanvallen uit te voeren. Bij de actie zijn ook Nederlandse politiediensten betrokken, 6 van de websites werd hier gehost.

Op het eerste gezicht zijn stressers een dienst die van pas kan komen. Als websitebeheerder of bouwer van een applicatie wil je immers ook weten of alles wel werkt onder grotere of heel zware belasting. Voorheen kon je volstaan door met de simuleren door heel vaak achterelkaar op F5 te drukken. Tegenwoordig is er iets meer nodig. Daarom zijn er bedrijven die aanbieden een grote stroom IP gevarieerd verkeer op je omgeving af te sturen.

Anonieme betalingen

Precies bij dat woord bedrijven gaat het al mis om de stressers waar nu weer is tegen opgetreden. Dat zijn namelijk geen bedrijven met contracten en voorwaarden. Formeel heet het dat ze alleen maar legitieme klanten bedienen, de werkelijkheid is duidelijk anders. Van klanten wordt geen identificatie gevraagd. Anonieme betalingen zijn er eerder regel dan uitzondering. Iemand die op zoek is naar een legitieme oplossing hoort dan al onraad te ruiken. Al was het maar omdat je nooit een factuur met btw zult krijgen die je je klanten kunt laten zien.

Maar de personen die achter deze websites zaten (per persoon, of groep personen, werden meerdere websites gebruikt voor het aanbod) riepen om nog wel meer redenen vragen op. Wat vooral heel erg duidelijk was, is dat er nooit vragen werden gesteld. Dat is dan ook doorslaggevend voor het de aanpak van de FBI.

Undercover agent

Een undercover agent heeft zich als nieuwe klant bij de stressers aangemeld. Daarbij geeft hij/zij aan een bepaalde website te willen “stressen”. Die website heeft als adres www.fbi.gov. De stressers vragen op geen enkel moment of hij/zij toestemming heeft die site met stressers lastig te vallen. In de aanklacht staat dat als volgt: “None of these sites ever required the FBI to confirm that it owned, operated, or had any property right to the computer that the FBI attacked during its testing (as would be appropriate if the attacks were for a legitimate or authorized purpose. ”

Wat gebeurt er met de klanten?

Het handjevol personen dat nu is opgepakt dan wel aangeklaagd was dus niet heel erg slim bezig. Toch worden ze gelinkt aan meer 30 miljoen DDoS aanvallen, circa 100.000 (!) klanten en een omzet van vele miljoenen. Als er iets schrikbarend is, dan is het wel het aantal klanten. Dit zijn namelijk niet alleen verveelde pubers die de gameservers waarvan ze verbannen zijn aanvallen. Hiertussen zitten nu al aantoonbaar ook regelrechte criminelen die uit zijn op ontwrichting en afpersing. Het kan dus zomaar gebeuren dat het niet blijft bij deze actie. Net als eerste in Nederland is gebeurd kunnen de traceerbare gebruikers van stressers dan op een onaangename verrassing van de politiediensten rekenen.