Het laatste Threat Intelligence Report1 van F5 Labs toont aan dat Europa een rijke voedingsbodem vormt voor Thingbots, botnets die speciaal ontwikkeld worden van IoT-devices. Thingbots zijn vandaag de dag het voorkeuzemiddel van cybercriminelen voor het uitvoeren van onder meer DDoS-aanvallen. Dat is niet vreemd gezien het feit dat er zo’n 8,4 miljard IoT-devices in gebruik zijn (in 2020 zal dit aantal zijn toegenomen tot 20 miljard, zo luidt de verwachting2), waarvan verreweg het grootste deel eenvoudig toegankelijk is via Telnet en waarvan het leeuwendeel bovendien zonder veel problemen te hacken is vanwege gebrekkige beveiligingsmaatregelen.
Volgens F5 Labs waren er de eerste helft van dit jaar wereldwijd zo’n 30,6 miljoen thingbot-aanvallen. Dit is een stijging van 280 procent in vergelijking met het laatste halfjaar van 2016. 44 procent van de top-50 aanvallende IP-adressen kwam van hosting providers en 56 procent van internet service providers en telecomaanbieders. Ondanks dat het aantal aanvallen de eerste helft van dit jaar over de gehele linie toenam, was er juist een daling zichtbaar als het gaat om de belangrijkste thingbot-varianten Mirai en Persirai. 93 procent van deze aanvallen vond plaats in januari en februari.
Europa bleek wereldwijd de hoogste concentratie van Mirai-scanners te hebben. Mirai-scanners zoeken het internet af naar kwetsbare devices die als aanvalswapen gebruikt kunnen worden. Zodra een device als zodanig wordt aangemerkt, geeft de scanner het IP-adres, het poortnummer en authenticatiegegevens terug aan de Mirai-laadsystemen. Nederland is mede door de hoge internetdichtheid en de wijdverspreide IoT-adoptie binnen Europa het land met de hoogste concentratie Mirai-gerelateerde scanners, loaders en malwaresystemen.
Wereldwijd is Nederland zelfs het land met de hoogste concentratie van malware-hosts. F5 Labs bracht ook de systemen in kaart die werden geïnfecteerd door het Persirai-botnet, een variant van het Mirai-botnet. De cybercriminelen achter het Persirai-botnet richten zich op alle modellen IP-camera’s van een niet nader te noemen Chinese OEM. Deze camera’s hadden een kwetsbaarheid die het voor aanvallers mogelijk maakt om het wachtwoordenbestand van gebruikers in handen te krijgen, waarna zij eenvoudig commando-injecties kunnen uitvoeren. Twee maanden na de uitbraak in mei waren meer dan 600.000 camera’s geïnfecteerd, wat neerkomt op zo’n slordige 10.000 camera’s per dag.
Wereldwijd was er in Europa sprake van de meeste Persirai-activiteit, waarbij het zwaartepunt van het aantal geïnfecteerde IP-camera’s in de UK, België, Nederland, Zwitserland, Italië, Denemarken en Polen lag.
