Hacker had dagenlang ongemerkt toegang tot netwerk TU Eindhoven
De hacker die in januari werd betrapt op het uitvoeren van een cyberaanval op de Technische Universiteit Eindhoven had al dagenlang ongemerkt toegang tot het computernetwerk. Dat blijkt uit een onderzoek naar de hack, dat is uitgevoerd door cybersecuritybedrijf Fox-IT. Wie er achter de aanval zit, blijft onduidelijk.
De universiteit schakelde zijn netwerk in de nacht van zaterdag 11 op zondag 12 januari uit nadat de cyberaanval een aantal uur eerder was ontdekt. Het onderwijs van de TU Eindhoven lag daarna een week zo goed als plat. Studenten konden niet bij hun e-mail en studiemateriaal, waardoor tentamens moesten worden uitgesteld.
De hacker was zeer waarschijnlijk uit op een digitale gijzeling, een zogenoemde ransomware-aanval. Dat betekent dat de aanvaller de computernetwerk digitaal op slot zet. Pas als er losgeld wordt betaald, wordt de bestanden vrijgegeven.
Op het nippertjeDe universiteit wist dat op het nippertje te voorkomen. "Iets na 21.00 uur kregen onze medewerkers een signaal dat hackers toegang hadden tot ons netwerk", zegt Patrick Groothuis van de TU/e. "Binnen een half uur waren we met acht man op de been om het gevecht aan te gaan."
Je moet je daarbij een kat-en-muisspel voorstellen, zegt hij. Terwijl de hacker probeert om verder in het netwerk door te dringen, probeert de universiteit hem juist "uit het netwerk te duwen".
Toen duidelijk werd dat de hacker aan het winnen was, besloot de universiteit om het netwerk offline te halen. Rond dat moment probeerde de hacker de back-up in handen te krijgen. Die is cruciaal als je te maken hebt met een gijzelaanval.
"Je kunt twee dingen doen: losgeld betalen of de back-up terugzetten", zegt Groothuis. "Wij maken iedere nacht een back-up, dus in dit geval stonden alle gegevens tot en met vrijdag erop. Als hackers die in handen krijgen, zit je in een positie waar je echt niet wil zitten. Dan kan de schade enorm zijn. Het was echt kantje boord."
Oud wachtwoord hergebruiktUit het onderzoek blijkt dat de hacker gestolen inloggegevens gebruikte om op het netwerk in te breken. Dat gebeurde op maandag 6 januari: vijf dagen voordat de aanval begon.
De aanvaller heeft waarschijnlijk inloggegevens gebruikt die te vinden waren op het darkweb, het ondergrondse deel van het internet. Vaak krijgen dit soort accounts een extra laag beveiliging, zodat - naast een inlognaam en wachtwoord - een extra code nodig is. Maar die beveiliging was niet ingesteld. Daardoor had de hacker genoeg aan de inloggegevens.
De TU/e had ook al maanden eerder een melding gekregen dat gestolen inloggegevens online stonden. Toen is aan eigenaren van de accounts gevraagd om hun wachtwoord te herstellen, zegt Groothuis. "Dat is ook gebeurd, alleen hebben zij toen hun oude wachtwoord opnieuw gebruikt." Er was dus geen technische maatregel om dat te voorkomen.
De universiteit wilde deze twee risico's deze zomer aanpakken, zegt Groothuis. "Dat maakt het natuurlijk extra zuur dat ze daarmee toch zijn binnengekomen." Inmiddels moeten mensen een extra code invoeren om op het netwerk in te loggen. Ook is het onmogelijk gemaakt om een oud wachtwoord te hergebruiken als blijkt dat de inloggegevens zijn gestolen.
Onderzoek openbaarDe universiteit maakt de onderzoeksresultaten openbaar in de hoop dat anderen ervan kunnen leren. Vijf jaar geleden deed de Universiteit Maastricht hetzelfde. Die werd toen wel succesvol getroffen door een ransomware-aanval.
De universiteit betaalde 200.000 euro in bitcoins aan losgeld. Een deel van de cryptomunten werd later teruggevonden en in beslag genomen. Omdat de bitcoins inmiddels flink meer waard waren, kreeg de universiteit omgerekend 500.000 euro terug.