“Hoe vol of leeg de trukendoos ook is, de goochelaar bepaald de uitkomst.”
- Sam Rain
- Sam Rain
Webvandalen, cybercriminelen, net-terroristen: scriptkiddies zijn de ‘hackers’ zoals de media ze presenteert; ongrijpbare anonieme criminelen die zonder slag of stoot de ene machine na het andere veroveren. Maar gaat dat nu echt zo gemakkelijk als de Hollywood films ons willen doen geloven? En hoe doen ze dat dan met al die codes?
Met het ‘hacken’ zoals deze term wordt gebruikt door cybercriminelen, gaat het om alles-behalve-gracieus inbreken. Het gaat niet om ‘het ontdekken’, of het vaak gebruikte smoesje ‘uit nieuwsgierigheid’; ze vinden een doel dat te ‘hacken’ is, om vervolgens te zoeken naar informatie dat van waarde is of het doelwit toe te voegen aan hun ‘dierentuintje’. Cybercriminelen zijn criminelen. Punt.
Iedere cybercrimineel zal een doelwit nodig hebben om in te breken; dit kan een willekeurig doelwit zijn, maar ook bewust gekozen. Grote namen, zoals die van banken, overheidsinstellingen en maatschappijen, zijn vaak bewust gekozen. Bij een bewuste keuze vergaren ze zoveel mogelijk informatie over het doelwit; aantal werknemers, locaties, telefoonnummers en persberichten. Een willekeurig doelwit is het resultaat van geautomatiseerd ‘belletje trekken’; een doelwit dat voldoet aan typische zwakheden wordt opgemerkt door een programma speciaal voor dit doeleinde.
Wanneer het doelwit voldoende informatie verschaft over eventuele zwakke toegangspunten, selecteert de cybercrimineel zijn wapens en werktuigen voor de kraak. Afhankelijk van het systeem en de informatie die de cybercrimineel ter beschikking heeft, kan deze via krakerprogramma’s beginnen aan het exploiteren van deze zwakke punten. Hoewel men er vanuit gaat dat de ‘firewall’ hen wel zal beschermen, biedt deze alleen bescherming tegen systeemaanvallen (tot een bepaalde hoogte). Want de mensen die systemen en machines gebruiken behoren zeker tot de zwaktepunten die cybercriminelen met liefde uitbuiten!
Cybercriminelen zijn net als inbrekers; hun daadwerkelijke motief bepaald ook hun ‘modus operandi’. Zij zullen pogen om:
1) Zwakke toegangspunten van systemen uit te buiten, door bekende programmafouten te exploiteren (zoals een ‘open raam’)
2) Een typisch toegangspunt te verzwakken, om vervolgens uit te buiten – wederom via een programmafout (zoals een breekijzer een deur forceert)
3) Een gebruiker te misleiden om hun eigen programma uit te voeren, om zo toegang te krijgen (de ‘babbeltruuk’)
4) Fysiek toegang krijgen binnen het netwerk van het doelwit, door een ander systeem te kraken of simpelweg een afspraak maken (de ‘inside job’).
Vooral punt 1 en 3 zijn verreweg het populairst onder de cybercriminelen; punt 2 vereist aardig wat geduld en vaardigheid en punt 4 vereist stalen ballen en veel voorbereiding. Gebruikers worden vaak misleid vanwege hun gevoelige gegevens, zoals creditcardgegevens of inlogcodes voor Internetbankieren (ook wel Phishing genoemd) of om de machine over te nemen, inclusief de controle (een ‘zombie’). Het menselijk aspect exploiteren heet in de Hackers vaktermen ‘Social Engineering’.
Bij punt 1 worden kant-en-klare programma’s gebruikt om de zwakke programma’s te doen ‘omslaan’ naar eigen programmatuur. Net als bij het menselijk aspect wordt er misleiding gebruikt, alleen is dit keer het communicerende programma het doelwit van de deceptie. Het komt erop neer dat een programmafout zo wordt ‘geïnfecteerd’ met eigen code en het programma deze uitvoert omdat het dit ziet als ‘zichzelf’.
Het is daarom niet voor niets dat bedrijven hun personeel en klanten duidelijk instrueren om nooit zomaar mailtjes te geloven waarvan de bron discutabel is en dat ‘systeemupdates’ verplicht zijn. Het is namelijk in het belang van de veiligheid!
Geen opmerkingen:
Een reactie posten