Acties tegen cybercriminaliteitsnetwerk NoName057

Tussen 14 en 17 juli 2025 richtte een gezamenlijke internationale operatie, bekend als Eastwood en gecoördineerd door Europol en Eurojust, zich op het cybercrimenetwerk NoName057(16). Rechtshandhavings- en justitiële autoriteiten uit Tsjechië, Frankrijk, Finland, Duitsland, Italië, Litouwen, Polen, Spanje, Zweden, Zwitserland, Nederland en de Verenigde Staten ondernamen gelijktijdig acties tegen daders en infrastructuur die deel uitmaakten van het pro-Russische cybercrimenetwerk- meldt Europol.

Het onderzoek werd ook ondersteund door ENISA, evenals door België, Canada, Estland, Denemarken, Letland, Roemenië en Oekraïne. De private partijen ShadowServer en abuse.ch verleenden ook bijstand bij het technische deel van de operatie.

De acties leidden tot de verstoring van een aanvalsinfrastructuur bestaande uit meer dan honderd computersystemen wereldwijd, terwijl een groot deel van de centrale serverinfrastructuur van de groep offline werd gehaald. Duitsland vaardigde zes arrestatiebevelen uit tegen daders die in de Russische Federatie wonen.

Twee van hen worden ervan beschuldigd de belangrijkste aanstichters te zijn van de activiteiten van "NoName057(16)". In totaal hebben de nationale autoriteiten zeven arrestatiebevelen uitgevaardigd, die onder meer gericht zijn tegen zes Russische staatsburgers vanwege hun betrokkenheid bij de criminele activiteiten van NoName057(16). Alle verdachten staan geregistreerd als internationaal gezocht en in sommige gevallen worden hun identiteiten in de media gepubliceerd. Vijf profielen werden ook gepubliceerd op de website EU Most Wanted.

Nationale autoriteiten hebben contact opgenomen met enkele honderden personen die vermoedelijk het cybercriminele netwerk steunen. De berichten, die via een populaire berichtenapplicatie worden gedeeld, informeren de ontvanger over de officiële maatregelen die de strafrechtelijke aansprakelijkheid voor hun daden onder de nationale wetgeving benadrukken. De personen die namens NoName057(16) optreden, zijn voornamelijk Russischtalige sympathisanten die geautomatiseerde tools gebruiken om DDoS-aanvallen (Distributed Denial-of-Service) uit te voeren. Ze opereren zonder formeel leiderschap of geavanceerde technische vaardigheden en worden gedreven door ideologie en beloningen.

Algemene resultaten van Operatie Eastwood

-2 arrestaties (1 voorlopige arrestatie in Frankrijk en 1 in Spanje)

-7 arrestatiebevelen uitgevaardigd (6 door Duitsland en 1 door Spanje)

-24 huiszoekingen (2 in Tsjechië, 1 in Frankrijk, 3 in Duitsland, 5 in Italië, 12 in Spanje, 1 in Polen)

-13 personen verhoord (2 in Duitsland, 1 in Frankrijk, 4 in Italië, 1 in Polen, 5 in Spanje)

-Meer dan 1000 sympathisanten, waarvan 15 beheerders, hebben zich via een berichtenapp gemeld voor juridische aansprakelijkheid

-Meer dan 100 servers wereldwijd verstoord

-Een groot deel van de hoofdinfrastructuur van NoName057(16) is offline gehaald

NoName057(16) DDoS-aanvallen ten gunste van Rusland. De daders die verbonden zijn aan het cybercriminele netwerk NoName057(16) richtten zich voornamelijk op Oekraïne, maar hebben hun focus verlegd naar aanvallen op landen die Oekraïne steunen in de voortdurende verdediging tegen de Russische agressieoorlog, waarvan vele lid zijn van de NAVO.

Nationale autoriteiten hebben een aantal cyberaanvallen gemeld die verband houden met criminele activiteiten van NoName057(16). In 2023 en 2024 heeft het criminele netwerk deelgenomen aan aanvallen op Zweedse autoriteiten en bankwebsites. Sinds de start van het onderzoek in november 2023 heeft Duitsland 14 afzonderlijke aanvalsgolven gezien, gericht op meer dan 250 bedrijven en instellingen.

In Zwitserland vonden ook meerdere aanvallen plaats in juni 2023, tijdens een Oekraïense videoboodschap gericht aan het Gezamenlijk Parlement, en in juni 2024, tijdens de Vredestop voor Oekraïne in Bürgenstock. De Nederlandse autoriteiten hebben onlangs bevestigd dat er tijdens de laatste NAVO-top in Nederland een aanval heeft plaatsgevonden die verband houdt met dit netwerk. Deze aanvallen zijn allemaal zonder noemenswaardige onderbrekingen afgewend.

Centrale coördinatie om het pro-Russische cybercriminaliteitsnetwerk aan te pakken. Europol faciliteerde de informatie-uitwisseling en ondersteunde de coördinatie van de operationele activiteiten, en fungeerde als een knooppunt voor de communicatie tussen nationale autoriteiten en EU-agentschappen. Daartoe organiseerde Europol meer dan 30 online en offline vergaderingen en twee operationele sprints. Europol faciliteerde ook de samenwerking met private partners, die hun assistentie aanboden, zowel voorafgaand aan als na de operatie. Het agentschap leverde uitgebreide analytische ondersteuning, evenals cryptovalutatracering en forensische expertise gedurende het onderzoek. Europol coördineerde de preventiecampagne, die via berichtenapps en socialemediakanalen aan vermeende partners werd vrijgegeven.

Tijdens de actiedag tegen de partners van NoName057(16) richtte Europol een coördinatiecentrum op in zijn hoofdkantoor met vertegenwoordigers uit Frankrijk, Duitsland, Spanje, Nederland en Eurojust, en stelde een virtueel commandocentrum beschikbaar om de andere deelnemende landen met het coördinatiecentrum te verbinden.

De Joint Cybercrime Action Taskforce (J-CAT) van Europol ondersteunde de operatie eveneens. Dit operationele team bestaat uit cyberverbindingsofficieren uit verschillende landen die vanuit hetzelfde kantoor op het hoofdkantoor van Europol werken en diverse vormen van ondersteuning bieden aan spraakmakende cybercriminaliteitsonderzoeken.

Via Eurojust konden de autoriteiten de justitiële activiteiten coördineren en hun respectieve maatregelen plannen tijdens de actiedag. Het agentschap zorgde voor de uitvoering van wederzijdse juridische bijstand en meerdere Europese onderzoeksbevelen. Tijdens de actiedag op 15 juli 2025 coördineerde Eurojust alle last-minute justitiële verzoeken die tijdens de operatie nodig waren.

Gamificatie van manipulatie om pro-Russische cyberaanvallen te motiveren. Onderzoek door nationale autoriteiten identificeerde NoName057(16) als een ideologisch crimineel netwerk dat steun betuigde aan de Russische Federatie en, in de context van de Russische agressieoorlog tegen Oekraïne, in verband werd gebracht met talloze DDoS-cyberaanvallen. Tijdens dergelijke aanvallen wordt een website of online dienst overspoeld met verkeer met als doel deze te overbelasten en onbereikbaar te maken. Naast de activiteiten van het netwerk, dat naar schatting meer dan 4000 aanhangers telde, was de groep er ook in geslaagd een eigen botnet te bouwen, bestaande uit enkele honderden servers, om de aanvalslast te vergroten.

Om oproepen tot actie, tutorials en updates te delen en vrijwilligers te werven, maakte de groep gebruik van pro-Russische kanalen, forums en zelfs nichechatgroepen op sociale media en berichtenapps. Vrijwilligers nodigden vaak vrienden of contacten uit van gaming- of hackforums en vormden zo kleine wervingskringen. Deze actoren gebruikten platforms zoals DDoSia om technische processen te vereenvoudigen en richtlijnen te bieden, waardoor nieuwe rekruten snel operationeel konden worden.

Deelnemers werden ook betaald in cryptovaluta, wat aanhoudende betrokkenheid stimuleerde en opportunisten aantrok. Het nabootsen van spelachtige dynamiek, regelmatige shout-outs, klassementen of badges gaven vrijwilligers een gevoel van status. Deze gamified manipulatie, vaak gericht op jongere overtreders, werd emotioneel versterkt door een verhaal over het verdedigen van Rusland of het wreken van politieke gebeurtenissen.