‘Bredolab-botnet is nooit opgerold’

Het Bredolab-netwerk is nooit opgerold. Ook al werden op maandag 25 oktober de servers uitgeschakeld waarop de commando- en controlesoftware van dit botnet draaide, de bots in het netwerk bleven gewoon in de lucht. Na een aantal dagen slaagden onbekende criminelen er dan ook in deze met malware geïnfecteerde computers opnieuw aan te sturen, vanaf een andere plaats. Dat zegt Michel van Eeten, hoogleraar bestuurskunde aan de faculteit Techniek, Bestuur & Management van de Technische Universiteit (TU) Delft.

De Nederlandse politie claimt ten onrechte het Bredolab-botnet op maandag 25 oktober 2010 volledig opgerold te hebben. Bovendien overdrijft de KLPD het aantal machines dat door het botnet is geïnfecteerd met een factor tien. Met dat laatste bewijst de politie de strijd tegen botnets geen goede dienst. Het kan internet service providers namelijk ontmoedigen om bots uit hun netwerk te verwijderen.

Dat schrijft professor Michel van Eeten in een blog op de website van het internet governance project, een samenwerkingsverband van onderzoekers die het beheer en bestuur van internet onderzoeken. Hij onderzoekt in opdracht van het Ministerie van Economische Zaken de botnetbesmetting per provider.

Nieuwe commando- en controleservers

De Nederlandse politie 'heeft niet werkelijk het botnet uitgeschakeld, maar slechts een specifiek onderdeel ervan: de commando- en controleservers', zo schrijft Van Eeten.

'Alle geïnfecteerde machines waren nog steeds in de lucht. Zonder de C&C server kregen ze niet langer instructies. De aanname is dat dit hen onschadelijk maakt.'

'Een onterechte aanname, zoals snel bleek',  vervolgt van Eeten. 'Binnen een aantal dagen vonden andere criminelen een manier om nieuwe C&C servers in te richten en opnieuw contact te zoeken met de bot-populatie.'

Volgens Van Eeten is deze gang van zaken gebruikelijk bij de bestrijding van botnets: 'Het is net als het arresteren van een drugsdealer. Als je de infrastructuur niet succesvol aanpakt, wordt hij gewoon vervangen door een nieuwe.'

Aantal bots in Bredolab-netwerk is overschat

Daarnaast pocht de politie over het aantal geïnfecteerde machines, aldus van Eeten. Er zouden op een bepaald moment 30 miljoen geïnfecteerde machines zijn geweest, zo zegt de KLPD. Volgens Van Eeten gaat het echter waarschijnlijk om zo'n 3 miljoen bots. De reden dat de politie het aantal overschat, is volgens hem dat er geen rekening is gehouden met het meermaals opduiken van dezelfde machine, vanaf een ander IP-adres.

Daarmee bewijst de politie de strijd tegen botnets geen goede dienst, aldus Van Eeten. Natuurlijk, het is 'begrijpelijk' dat de Nederlandse politie haar succes 'opblaast'. 'Snelle en zichtbare overwinningen trekken de aandacht van politici en daarmee budget.'

Volgens de professor licht de 'werkelijke uitdaging' echter in het 'opschonen van miljoenen bots' door internet service providers in samenspraak met hun klanten. En die zullen minder geneigd zijn hun medewerking te verlenen wanneer hun inspanningen ten onrechte al bij voorbaat slechts 'miniem' effect kunnen hebben.