Hoe de Belgische overheid werd gehackt

De Belgische Federale Overheidsdienst voor Economie is gehackt. Minister van Economie Johan Vande Lanotte (sp.a) bevestigt het nieuws en het parket onderzoekt de zaak. De inbraak werd ontdekt door de Federal Computer Crime Unit, maar de nodige maatregelen zouden intussen genomen zijn.

De FOD Economie is de tweede belangrijke overheidsdienst die het slachtoffer is geworden van hackers. Eerder werd ook al de beveiliging van het departement Buitenlandse Zaken gekraakt. Daarvan was de Computer Crime Unit niet op de hoogte: België ontving een tip over de inbraak van de Amerikaanse inlichtingendiensten.

[related_article id=”161920″]

Slang

Wie er achter het hacken van de FOD Economie zit is nog niet bekend en ook over de manier waarop weten we nog niets. Wat Buitenlandse zaken betreft lijken we naar Rusland te kunnen wijzen. Inbreker van dienst was de geavanceerde en gevaarlijke Uroburos-rootkit, ook wel Snake genoemd.

Experts van de Duitse beveiligingsfirma Gdata wezen in februari van dit jaar al op het bestaan en de gevaren van de rootkit. Ze doopten de malware Uroburos, naar een mythische slang die zijn eigen staart opeet. Een zichzelf verorberende slang is niet echt slim, maar de digitale Uroburos is dat wel.

De software werkt autonoom en is, net als een goed wormvirus, erg besmettelijk. Zodra één computer op een netwerk geïnfecteerd is, kan het virus zich voortplanten naar alle andere computers op het netwerk. Zo omzeilt de slang beveiliging waarbij een belangrijk netwerk is afgesloten van het internet: één computer die zowel in verbinding staat met het net als met het beveiligde netwerk volstaat immers.

Netwerk

G Data analyseerde het virus in detail en ontdekte hoe het precies werkt. Uroburos blijkt een rootkit die uit twee bestanden bestaat, een driver en een versleuteld virtueel bestandssysteem. De kit kan de controle van een geïnfecteerde computer volledig overnemen om zo eigen code uit te voeren. Om ontdekking te voorkomen verbergt de software de eigen activiteiten op een systeem.

Zodra Uroburos een netwerk is binnengeraakt plant het virus zich voort naar andere computers op dat netwerk. Daar zoekt het naar interessante bestanden. Op de pc die met het web verbonden is, maakt Uroburos een verborgen en versleutelde partitie aan, waarin interessante documenten van alle computers op het netwerk verzameld worden. Van daaruit versluist de malware zijn buit naar de opdrachtgevers, en alles wijst erop dat die opdrachtgevers Russisch zijn.

Om te beginnen zocht Uroburos naar vertrouwelijke NAVO-documenten. Al zeker één rapport over Oekraïne werd gestolen. Weinig verbeelding is nodig om je voor te stellen dat de Russen zich wel interesseren in dergelijke informatie.

Rusland

Verder is de code van de software in het Russisch geschreven. Daar komt nog bij dat het virus duidelijk gebaseerd is op een ander virus, Agent.BTZ, dat eerder al aan de Russen werd gelinkt. Verder is Uroburos erg geavanceerd. De malware is duidelijk niet bedoeld om de computer van Jan met de pet aan te vallen, maar om systemen van grote bedrijven en overheden te kraken.

Volgens G Data kost het heel wat geld, middelen en talent om zo’n rootkit te ontwikkelen. Het bedrijf twijfelt er niet aan dat een geheime dienst aan de oorsprong van het virus ligt. Als kers op de taart communiceerde Uroburos vooral naar huis terug tijdens de kantooruren van de tijdszone rond Moskou.

Officieel geeft Rusland uiteraard geen commentaar, en dat hoeven we ook niet te verwachten. Het bewijsmateriaal blijft omstandig, een echte smoking gun zal vermoedelijk niet snel opduiken.

Of ook de economische spionage bij de dienst Economie aan de Russen valt toe te schrijven is nog onduidelijk. Over de gebruikte methodes is nog niet veel geweten en ook motieven voor economische spionage van Rusland zijn minder duidelijk dan in het geval van Buitenlandse zaken.