‘Als ik al het bewijs zo naast elkaar leg, kan ik niet aannemelijk maken dat het deze nation state actor is geweest die ervoor gezorgd heeft dat deze informatie bij Wikileaks is uitgekomen’, zegt Oscar Koeroo, digitale beveiligingsspecialist bij KPN.
De Democratische Partij (DNC) maakte in juni 2016 bekend dat de servers waren gehackt door twee Russische hackersgroepen: Cozy Bear en Fancy Bear. In juli 2016 publiceerde Wikileaks duizenden interne DNC-e-mails. Hillary Clinton heeft later verklaard dat ze mede door ‘Russian Wikileaks’ de presidentsverkiezingen heeft verloren.
De Amerikaanse inlichtingendiensten NSA, CIA en FBI stelden in januari 2017 dat zij ‘groot vertrouwen hebben’ in hun ‘inschatting dat de Russische militaire inlichtingendienst GRU materiaal dat zij hebben verworven bij de Democratische Partij (…) hebben doorgegeven aan Wikileaks’.
Gaten in de officiële lezing
In de uitzending van zaterdag 17 maart besteedt Argos aandacht aan de vele gaten in de officiële lezing. Zo blijkt bijvoorbeeld dat de spionagemalware die wordt toegeschreven aan Fancy Bear, is aangemaakt nadat de DNC cybersecuritybedrijf Crowdstrike had ingeschakeld.
De zogenaamde X-Agent malware heeft een ‘creation date’ van 10 mei 2016. Crowdstrike installeerde hun ‘endpoint protection platform’ Falcon vijf dagen eerder, op 5 mei 2016.
Er zijn, ook volgens Crowdstrike zelf, geen aanwijzingen dat de aanmaakdatum van X-Agent is gemanipuleerd.
‘De broncode van de X-Agent-malware heeft online gestaan’, zegt Alexis Dorais-Joncas, leider van het security intelligence team van cybersecuritybedrijf ESET. ‘ESET heeft een kopie van de broncode. Die hebben we een paar jaar geleden ontdekt. We hebben indicaties dat andere partijen, waaronder securityonderzoekers, deze code ook hebben.’
ESET acht het aannemelijk dat iedereen met toegang tot de broncode van Fancy Bears malware en kennis van hun tactiek (TTP’s) een hack door Fancy Bear kan nabootsen. ‘Als de aanvaller Fancy Bears X-Agentcode vernieuwt zodat security researchers die zien als een geëvalueerde versie, is de imitatie nog beter.’
DNC-mails gelekt na ontdekking hack
De hack van de Democratische Partij werd wereldnieuws toen lekplatform Wikileaks op 22 juli 2016 duizenden gelekte DNC-mails publiceerde. Uit de e-mails bleek dat de leden van het Democratische Comité Hillary Clinton steunden, en haar concurrent Bernie Sanders actief tegenwerkten. Het hoofd van de DNC trad af.
De DNC-mails op Wikileaks zijn afkomstig van de mailaccounts van zeven medewerkers, waaronder de communicatiemanager en vijf medewerkers van de financiële afdeling. Onderzoek van Argos toont aan dat het merendeel van de gelekte e-mails verstuurd is in de twintig dagen nadat Crowdstrike werd ingeschakeld door de Democratische Partij.
‘Het is gebruikelijk dat een cybersecuritybedrijf het systeem even open laat staan om te bestuderen wat hackers precies aan het doen zijn’, zegt Rickey Gevers, verantwoordelijk voor incident response bij RedSocks. ‘Maar twintig dagen is wel erg lang. Zeker als je vanaf het begin al weet dat er mogelijk een Russische partij binnen zit.’
“Crowdstrike moet wegsluizen e-mails hebben gezien”
Crowdstrike en de Democratische partij hebben meermaals aangegeven dat zij ‘binnen een dag wisten dat het de Russen waren’, dankzij Crowdstrikes geavanceerde endpoint protection platform Falcon. Daarnaast had Crowdstrike 24/7 Overwatch ingeschakeld, waarbij ‘elitebeveiligers’ 24 uur per dag monitoren wat er op de servers gebeurt.
‘Als zij inderdaad zo strak op het netwerk zaten, dan moeten ze hebben kunnen zien dat de e-mails zijn weggesluisd’, zegt Gevers in de uitzending van Argos.
In de eerste nieuwsberichten over de Russische hack wordt geen melding gemaakt van gestolen e-mails. ‘De hackers hebben twee files gestolen’, zegt Shawn Henry van Crowdstrike. ‘Er lijkt geen financiële of persoonlijke informatie te zijn ontvreemd’, stellen de Democraten in de Washington Post.
Een verklaring zou kunnen zijn dat de e-mails op een andere manier zijn ontvreemd, zeggen experts Koeroo (KPN), Gevers (RedSocks) en Dorais-Joncas (ESET). Crowdstrike wil, ‘in verband met vertrouwelijkheid naar de klant’ geen commentaar geven.
