Botnet
Stel je een leger voor dat niet bestaat uit soldaten, maar uit duizenden of zelfs miljoenen computers, routers en slimme apparaten die hun eigenaar niets vertellen over hun dubbelleven. Overdag doen ze gewoon waarvoor ze bedoeld zijn: een beveiligingscamera filmt de oprit, een router stuurt wifi door de woonkamer, een laptop opent e-mail. Maar op de achtergrond draait er stilletjes een extra programma dat wacht op instructies van iemand ver weg. Zo'n netwerk van gekaapte apparaten heet een botnet: een samentrekking van "robot" en "network".
De persoon die de instructies geeft, de zogeheten bot herder of botnetbeheerder, kan met één druk op de knop al die apparaten tegelijk laten samenwerken. Dat kan onschuldig lijken, maar in de praktijk worden botnets gebruikt om websites plat te leggen, spam en phishing te versturen, wachtwoorden te stelen of zelfs geld te verdienen met verborgen cryptomunten-berekeningen. Het beroemdste voorbeeld is het Mirai-botnet uit 2016, dat bestond uit gehackte beveiligingscamera's en routers en daarmee grote delen van het Amerikaanse internet tijdelijk onbereikbaar maakte. Dit artikel legt uit hoe dat precies werkt, wie erachter zitten en hoe de strijd ertegen verloopt.
Wat is het precies?
Een botnet ontstaat in een paar stappen. Eerst moet een apparaat besmet raken met kwaadaardige software, malware genoemd. Dat gebeurt vaak via een phishing-mail met een besmette bijlage, via een lek in verouderde software, of — zeker bij slimme apparaten zoals camera's en routers — via een standaard wachtwoord dat de eigenaar nooit heeft veranderd, zoals "admin/admin".
Eenmaal binnen installeert de malware zichzelf stil op de achtergrond en meldt het apparaat zich aan bij een besturingssysteem dat de aanvaller beheert: de command-and-control-server, vaak afgekort tot C2 of C&C. Dit kan een server zijn waarmee alle besmette apparaten rechtstreeks contact maken, maar om ontdekking te bemoeilijken gebruiken moderne botnets vaak een peer-to-peer-structuur, waarbij besmette apparaten onderling instructies doorgeven zonder één centraal punt. Sommige botnets gebruiken ook een zogeheten domain generation algorithm (DGA): de malware berekent elke dag automatisch nieuwe, schijnbaar willekeurige domeinnamen om contact mee te maken, zodat onderzoekers nooit één vaste server kunnen uitschakelen.
Zodra het netwerk op orde is, kan de botnetbeheerder commando's uitsturen. Populaire opdrachten zijn: stuur tegelijk verkeer naar één website (een zogeheten DDoS-aanval, waarbij "distributed denial of service" betekent dat een dienst onbereikbaar raakt door een vloedgolf aan verzoeken vanaf verspreide apparaten), verstuur spam- of phishingmail, probeer op grote schaal wachtwoorden te raden bij andere diensten, of mijn in stilte cryptovaluta met de rekenkracht van het slachtoffer. Omdat de individuele eigenaar meestal niets merkt behalve misschien een iets tragere internetverbinding, kunnen botnets jarenlang ongezien blijven draaien.
Wat wil men ermee bereiken?
Het bestaansrecht van botnets is bijna altijd economisch of strategisch. Criminelen verdienen geld door DDoS-aanvallen te verhuren aan wie daarvoor wil betalen — zogeheten "booter" of "stresser"-diensten — of door bedrijven af te persen met de dreiging hun website plat te leggen tenzij er losgeld wordt betaald. Ook worden botnets ingezet als voorportaal voor ransomware: eerst dringt de botnet-malware een netwerk binnen, daarna wordt toegang doorverkocht aan een ransomware-groep die vervolgens bestanden versleutelt en losgeld eist.
Daarnaast bestaat er een hele onderwereldeconomie rond botnets zelf. Beheerders verhuren hun netwerk als "botnet-as-a-service", vergelijkbaar met het huren van clouddiensten, maar dan voor criminele doeleinden. Spammers gebruiken botnets om filters te omzeilen, omdat mail vanaf duizenden verschillende, ogenschijnlijk onschuldige IP-adressen moeilijker te blokkeren is dan mail van één bron. Tot slot zetten sommige statelijke actoren botnets in voor spionage of om politieke tegenstanders en media het zwijgen op te leggen via grootschalige DDoS-campagnes.
Voorbeelden uit de praktijk
Conficker (vanaf 2008) infecteerde miljoenen Windows-computers wereldwijd via een lek in Windows en zwakke wachtwoorden, en bleek ongekend hardnekkig: jaren later waren er nog altijd besmette machines actief, ook al werd er nooit een duidelijk criminele uitbuiting van ontdekt.
Mirai (2016) kaapte honderdduizenden slecht beveiligde IoT-apparaten (camera's, routers, videorecorders) met standaardwachtwoorden. Het netwerk, gebouwd door twee Amerikaanse studenten, voerde een van de grootste DDoS-aanvallen ooit uit op DNS-provider Dyn, waardoor diensten als Twitter, Netflix en Reddit urenlang slecht bereikbaar waren.
Emotet begon als bankentrojan maar groeide uit tot een van de meest verhuurde botnet-infrastructuren ter wereld, gebruikt om andere malware zoals Trickbot en ransomware te verspreiden. In januari 2021 schakelde een internationale operatie onder leiding van Europol en justitiediensten uit meerdere landen, waaronder Nederland, de infrastructuur uit — al dook een nieuwe variant later weer op.
Trickbot en Necurs werden in 2020 doelwit van gezamenlijke acties van Microsoft, Amerikaanse overheidsdiensten en veiligheidsbedrijven, die rechtszaken en technische ingrepen combineerden om de command-and-control-servers offline te halen.
QakBot (ook wel Qbot) werd in augustus 2023 ontmanteld door de FBI in operatie "Duck Hunt", waarbij agenten de besmette apparaten zelf opdracht gaven de malware te verwijderen — een technisch indrukwekkende maar ook juridisch grensverleggende aanpak.
Hoe ver is de techniek?
Botnets bestaan al sinds het begin van deze eeuw, maar zijn de afgelopen vijftien jaar sterk veranderd. Vroeger draaiden ze vooral op besmette pc's; tegenwoordig vormen slimme apparaten — van beveiligingscamera's tot routers en zelfs slimme lampen — een steeds grotere bron, simpelweg omdat er wereldwijd miljarden van zulke apparaten zijn die zelden updates krijgen en vaak nooit een wachtwoord-wijziging hebben ondergaan.
Aanvallers investeren voortdurend in nieuwe manieren om ontdekking te ontlopen: versleutelde command-and-control-verbindingen, verkeer dat zich vermomt als gewoon cloudverkeer via diensten als Cloudflare of GitHub, en peer-to-peer-netwerken zonder centraal aanspreekpunt. Verdedigers op hun beurt gebruiken technieken als sinkholing, waarbij onderzoekers de domeinnamen of servers waarmee bots contact zoeken overnemen, zodat ze zicht krijgen op de omvang van een botnet en het verkeer kunnen omleiden naar een onschadelijke server.
Het blijft echter een kat-en-muisspel. Takedowns zoals die van Emotet of QakBot zijn zelden permanent: criminele groepen bouwen hun infrastructuur vaak binnen enkele maanden tot jaren weer op, soms onder een nieuwe naam. Een groot obstakel is bovendien internationale samenwerking: besmette apparaten en command-and-control-servers staan verspreid over tientallen landen, en niet elk land werkt even snel of bereidwillig mee aan opsporingsonderzoek. Onzeker is ook hoe groot de rol van kunstmatige intelligentie in de toekomst zal worden, zowel om detectie te verbeteren als om malware juist beter te laten verbergen — concrete, op grote schaal toegepaste voorbeelden daarvan zijn er vooralsnog beperkt.
Wie werken eraan?
Aan de verdedigende kant werken opsporingsdiensten zoals de FBI, Europol (met zijn cybercrimecentrum EC3) en in Nederland de politie (Team High Tech Crime) en het Nationaal Cyber Security Centrum (NCSC) samen met de private sector. Microsoft heeft met zijn Digital Crimes Unit een lange geschiedenis van juridische en technische acties tegen botnets zoals Trickbot en Necurs. Non-profitorganisaties zoals de Shadowserver Foundation monitoren wereldwijd botnetactiviteit en delen die informatie gratis met netwerkbeheerders en overheden.
Ook Nederlandse kennisinstellingen spelen een rol: onderzoeksgroepen aan de Universiteit Twente en TU Delft doen al jaren onderzoek naar DDoS-aanvallen en botnetgedrag, mede omdat Nederland door zijn dichte internetinfrastructuur en grote hostingsector relatief vaak doelwit én uitvalsbasis is. Aan de andere kant van het spectrum opereren criminele groepen, vaak vanuit landen met beperkte opsporingscapaciteit of weinig prikkel om internationaal mee te werken, die botnets bouwen, verhuren en doorverkopen als onderdeel van een bredere cybercriminele economie.