Hoe de oorlog in Oekraïne de hackerswereld heeft verstoord

Rickey Gevers | ransomewareonderhandelaar Na jaren waarin de omzet van cybercrime louter toenam, zorgde de Russische invasie van Oekraïne voor een terugval. „Een aantal grote jongens is opgepakt en aan Amerika uitgeleverd.”
Rickey Gevers met de ‘trofeeën’ van het kantoor voor afgeronde zaken tegen buitenlandse actoren: de beer is Rusland, de panda is China en de kat staat voor Iran.
Rickey Gevers met de ‘trofeeën’ van het kantoor voor afgeronde zaken tegen buitenlandse actoren: de beer is Rusland, de panda is China en de kat staat voor Iran. Foto Lars van den Brink

De Russische inval van Oekraïne was amper begonnen toen het werk van Rickey Gevers (37) stilviel. Een paar maanden lang belde vrijwel niemand het noodnummer van de voormalige hacker, om zijn hulp in te roepen bij gegijzelde computers. De cybercriminelen waren te druk met de oorlog en hun onderlinge ruzies daarover om aanvallen uit te voeren. „Die wereld bestaat voor een groot deel uit Russen, maar ook Oekraïners,” zegt Gevers. „Binnen die groepen heeft de oorlog voor veel spanningen gezorgd.”

Gevers en zijn medewerkers hebben zich toegelegd op onderhandelen over losgeld met criminelen die computernetwerken binnendringen en platleggen. Achter die aanvallen gaat een industrie schuil die wordt gedomineerd door Russisch-sprekenden.

Hackers, vaak eenlingen, jagen op foutjes in de beveiliging van bedrijven en instellingen. Wanneer ze een gaatje in de virtuele omheining hebben gevonden, kopen ze van grotere criminele syndicaten een softwarepakket waarmee ze razendsnel het hele computernetwerk kunnen versleutelen. Daarna eisen ze losgeld om de versleutelde data weer vrij te geven. De criminele groepen die de gijzelsoftware verkopen, doen ook de onderhandelingen over het geld, in ruil voor een percentage van de opbrengst. Gevers is voortdurend via chatkanalen in gesprek met die gezichtsloze tegenstanders.

Slim onderhandelen over losgeld vereist allereerst dat je je een beeld vormt van degene die je tegenover je hebt, legt Gevers uit op zijn kantoor in Amsterdam. Het belangrijkste meubelstuk in de kleine ruimte is een bureau met twee grote beeldschermen en een bureaustoel gelijk die van een professionele gamer. „Je bepaalt je strategische positie ten opzichte van de criminelen. En op basis daarvan neem je een wijs besluit.”

Lees ook dit artikel: Zorgaanbieders blijken kwetsbaar voor cyberaanvallen

Losgeld percentage bedrijfsomzet

In de chatgesprekken zoekt Gevers naar kleine aanwijzingen om een profiel op te kunnen stellen van zijn tegenstander. Bepaalde slang kan bijvoorbeeld een leeftijd prijsgeven.

Dat aan de andere kant van de lijn opvallend vaak Russen zitten, komt doordat Rusland geen onderdanen uitlevert aan andere landen. Bovendien is de pakkans er klein, zolang er geen Russische slachtoffers worden gemaakt. „Je kunt daar als hacker een lange carrière hebben en blijven leren van je fouten. Als Nederlandse hacker word je na een paar jaar wel gearresteerd.”

Gevers spreekt uit ervaring. Hij begon als fanatieke vogelaar van twaalf met een website voor vogelspotters, Waarneming.nl. Toen die plat werd gelegd, besloot hij zelf ook te leren hacken. In 2008 werd hij opgepakt nadat hij de servers van de NASA en de Universiteit van Michigan was binnengedrongen. Na een proces dat 3,5 jaar voortsleepte, werd hij veroordeeld tot drie maanden voorwaardelijk.

Op de hackersfora zijn de voertalen Engels en Russisch. Gevers maakt voor het Russisch gebruik van vertaalprogramma’s. In de chats die hij laat zien, is de toon zakelijk en zelfbewust. Een slachtoffer dat zegt het bedrag niet te kunnen ophoesten, krijgt als antwoord: „Maar je klanten wel.” Of: „Dat betaalt je verzekeraar.”

Hackers dreigen de gegijzelde bestanden – met bijvoorbeeld alle persoonsgegevens van klanten – van bedrijven te publiceren. Online staan overzichten van partijen die na een hack hebben geweigerd te betalen. Bedrijven en instellingen die er níét bij staan, maar waarvan wel bekend is dat ze werden gehackt, hebben vaak betaald zonder daar ruchtbaarheid aan te geven.

De hoogte van het geëiste losgeld is gebaseerd op een percentage van de omzet van een bedrijf, zegt Gevers. „Meestal 1 of 2 procent.” De onderhandelingen over bedragen gaan in dollars. De uiteindelijke afrekening in cryptovaluta, want daarmee worden banken en dus controles omzeild.

Na jaren waarin de omzet van de cybercriminelen alleen maar groeide, vormt 2022 een trendbreuk. Met de oorlog als de voornaamste verklaring.

Lees ook dit artikel: Onderhandelen over gijzelsoftware: ‘We hadden toch 10 miljoen afgesproken?

Innige contacten geheime dienst

„Sommige groepen zijn uiteengevallen door politieke verschillen en geopolitiek . Anderen zijn prominente uitvoerders kwijt”, schrijven analisten van Google over de impact van de Russische invasie op de cybercrimewereld. Behalve de onderlinge ruzies speelt waarschijnlijk een rol dat een deel van de hackers naar het front moest. Ook zijn veel programmeurs uit Rusland en Oekraïne vertrokken.

De grootste en beruchtste Russische ransomwaregroep, Conti, schaarde zich met een online verklaring achter Poetin. Dat bleek desastreus voor de zaken. Gegijzelde bedrijven durfden geen losgeld meer aan Conti te betalen, uit angst voor Amerikaanse sancties. Kort na de openlijke steunbetuiging werd het interne chatverkeer van de groep gelekt. Daaruit bleek onder meer hoe innig de contacten zijn met de Russische geheime dienst.

Betalen is vaak wel de goedkopere optie. De machtspositie van deze groepen is té groot

Rickey Gevers ransomewareonderhandelaar

Voor de oorlog hadden cybercriminelen het ook in Oekraïne makkelijk. Dat verandert nu, doordat het land stevig wordt ingekapseld door westerse militairen en inlichtingendiensten. Ook techbedrijven hebben het land omarmd en doneren apparatuur voor onder meer opsporing en cyberwarfare. De Oekraïners maken inmiddels actiever jacht op hackers. „Een aantal grote jongens is opgepakt en aan Amerika uitgeleverd”, zegt Gevers.

De dip in het aantal aanvallen die Gevers bemerkte, is ook zichtbaar in data van onder meer het bedrijf Chainanalysis, dat is gespecialiseerd in het traceren van cryptobetalingen. In 2022 daalden de door hen getraceerde ransomwarebetalingen van 765,6 miljoen dollar in 2021 naar 456,8 miljoen dollar. Een daling van 40,3 procent. Dat komt niet zozeer door een daling in het aantal aanvallen, als wel door de durf en bereidheid van slachtoffers om (aan Russen) te betalen, signaleert het bedrijf. Ook eisen verzekeraars steeds vaker dat bedrijven goede back-ups hebben, wat ze minder kwetsbaar maakt als ze zijn gehackt.

Naar de mond praten

Op een van de whiteboards in het kantoor van Gevers staat een mogelijk onderhandelingspad voor een getroffen klant uitgetekend. Het begint bij de vraagprijs van de hackers: 1 miljoen. Het zou via een aantal tussenstappen mogelijk moeten zijn op 250.000 dollar uit te komen, is de inschatting van Gevers en zijn collega’s – maar dat kost tijd. Als een klant te veel geld verliest doordat het hele bedrijf stilligt en bijvoorbeeld reputatieschade vreest, kan gelijk schikken ook. „Als je in één dag klaar wilt zijn, moet je in dit voorbeeld een hoog bedrag neerleggen”, licht Gevers de pijlen en stappen in het schema toe.

Om dat soort inschattingen te kunnen maken, is het zaak erachter te komen met welke groep je te maken hebt en hoe die zich in de regel gedraagt. Die inschattingen maakt Gevers onder meer door de chats van al gevoerde onderhandelingen te analyseren. Daaruit valt onder andere te leren welk kortingspercentage haalbaar is. Ook hebben sommige groepen ‘principes’, zoals het niet aanvallen van ziekenhuizen. „Daar kun je ze op aanspreken als ze dat tóch doen.”

In Rusland kan je als hacker een lange carrière hebben. In Nederland word je na een paar jaar wel opgepakt

Rickey Gevers ransomewareonderhandelaar

Soms werkt het goed om een beetje te slijmen, grijnst Gevers. Hij zit dan bijvoorbeeld in de rol van ‘de domme ict-er’, die de hacker aan de andere kant naar de mond praat, door vol bewondering te zijn over hoe de gebruikte software in elkaar steekt.

De vraag of betalen onethisch is, vindt Gevers een academische. „Het doel is natuurlijk altijd om niet of zo min mogelijk te betalen. Onderhandelen doe je alleen als je geen andere opties ziet. Maar betalen is vaak wel de goedkopere optie. De machtspositie van deze groepen is té groot.”

Overheidsorganen zijn minder geneigd te betalen dan bedrijven, is zijn ervaring. Het is niet duidelijk of dit komt doordat ze zich zorgen maken over de besteding van belastinggeld, of omdat ze zich minder verantwoordelijk voelen voor de data die mogelijk door de hackers openbaar worden gemaakt. Familiebedrijven met een lange relatie met hun klanten voelen die plicht juist sterker.

LockBit

De stilte na de invasie duurde een paar maanden. Dit voorjaar had Gevers weer de gebruikelijke ‘voorjaarspiek’, vertelt hij. Het Russische syndicaat Conti, voor het begin van de oorlog de mondiale marktleider, is verdwenen. De meestgebruikte gijzelsoftware komt nu van een groep die zich LockBit noemt.

Deze criminele organisatie claimt op haar website in Nederland te zitten, hoewel daarvoor geen directe aanwijzingen bestaan. Niettemin is de kans groot dat ook dit Russen zijn, denkt Gevers. De penvoerder van het ‘support’-kanaal van LockBit op Twitter bijvoorbeeld, lijkt van oorsprong Russischtalig.

LockBit heeft geleerd van de neergang van Conti en presenteert zich nadrukkelijk als apolitiek. Behalve de Nederlandse uitvalsbasis staat op de website prominent: „We zijn alleen geïnteresseerd in geld.”

Lees ook dit opinieartikel: Maak losgeld betalen aan cybercriminelen onaantrekkelijk