Hoofdcategorieën
Device Settings

Symantec: hackers stelen broncode software

Door Joost Schellevis, vrijdag 6 januari 2012 15:27, views: 35.067

Aanvallers hebben de broncode van twee oude softwarepakketten van Symantec buitgemaakt. Ze maakten de informatie buit bij een derde partij; Symantec zou zelf niet zijn getroffen. De hackers claimden zelf Norton-broncode te hebben gestolen.

Symantec heeft tegenover Security Week toegegeven dat hackers broncode van software hebben buitgemaakt. Het gaat om verouderde, zakelijke softwarepakketten: Endpoint Protection 11.0 is vier jaar geleden uitgekomen en Antivirus 10.2 wordt inmiddels niet meer ondersteund. Toch is het incident pijnlijk voor een bedrijf dat zelf in beveiligingssoftware is gespecialiseerd.

De broncode zou niet bij Symantec zelf buit zijn gemaakt, maar bij een derde partij. De hackers zelf stellen dat ze de gegevens hebben ontvreemd van servers van het Indiase leger. Waarom die over de sourcecode van Symantec-producten zouden beschikken, is onduidelijk. Mogelijk was dit een eis van de overheid om te controleren of er geen achterdeur in de software is gebouwd.

Overigens conflicteren de beweringen van de hackers met van die van Symantec. De hackers beweren zelf dat ze de broncode van de consumentenversie Norton Antivirus hebben ontvreemd, maar volgens Symantec gaat het dus om andere pakketten.

Volgende 15:56 Sony brengt snelle xqd-geheugenkaarten uit
Vorige 14:46 Crucial kondigt Adrenaline caching-ssd's aan
Advertentie

Reacties

«  1  2  3  »


Hoezo slechte zaak? Het betreft toch een "derde partij", niet Symantec zelf.

Ja, dat klopt. Maar dat maakt de zaak niet slechter vind ik dan. Het is wel zo dat de beveiliging van Symantec zelf goed is, maar van hun "partners" niet. Dan is het nog steeds kwalijk. Wellicht zijn huidige versies nu wel in gevaar.

[Reactie gewijzigd door joris1989 op vrijdag 6 januari 2012 15:34]


Ik kan een leger niet echt een partner noemen, waarschijnlijk waren zei gedwongen om de broncode aan hun te geven, om verkoop in dat land mogelijk te maken.

Dan zal dit gewoon een kwestie zijn van een zo groot mogelijke markt crieeeren

Desondanks als zon land of leger die eis stelt, betekent dat dan dat je geen tegen eis mag doen. Als mijn bestaans kern bij een andere bedrijf komt te liggen zorg ik dat de beveiliging net zo sterk is bij dat bedrijf lijkt mij (Ik heb geen bedrijf noem het als voorbeeld, even voor duidelijkheid).

ze zijn gewoon geraakt op hun kern en broncode's van één en hetzelfde bedrijf lijken vaak enorm op elkaar en bestaat nu een zeer grote kans dat ze dus niet alleen de oudere business pakketten hebben maar ook nieuwere en waarschijnlijk daarbij ook nog consumenten pakketen. het blijft dus altijd af wachten hoe erg deze kwestie nu daadwerkelijk is en welke gevolgen dit gaat hebben.

Dan is het nog slechter... ze geven blijkbaar de software aan derde partijen zonder enige beveiliging eisen die ze verplicht stellen... Als beveiliging bedrijf zou je moeten kunnen verzinnen dat kwaadwillenden zoeken naar de zwakste schakel en die misbruiken (of dit nu een persoon, beveiliging of bedrijf is maakt niet uit)

[Reactie gewijzigd door Mellow Jack op vrijdag 6 januari 2012 15:54]


Als het een eis van de overheid zou zijn om de broncode te bezitten heeft Symantec niet veel te eisen...

Wat een onzin... Als een overheid jou broncode wilt hebben dan kan je daar eisen aan stellen.
Je kan bijvoorbeeld eisen dat jij de omgeving wilt opzetten waar zei de code uitlezen.

Het is onzin om te stellen dat je een overheid als India niet kan weigeren, dit is makkelijk te doen en ook commercieel te verantwoorden. Dit omdat wanneer dit wel de laatste versie had betroffen elk bedrijf wat zichzelf serieus neemt gelijk naar de concurrent zou overstappen. Edit: (incl de overheid van India waar Symantec nou in eerste instantie zo erg ze best voor heeft gedaan)

Je moet nou niet doen alsof het niet anders zou kunnen. Als mensen met zo'n instelling bij Symantec werken vind ik het niet vreemd dat dit soort zaken voorkomen

[Reactie gewijzigd door Mellow Jack op vrijdag 6 januari 2012 16:08]


Als de Indiase overheid het eist omdat zij jouw product anders niet toelaten op de markt daar is het niet "economisch verantwoord" je loopt zo toch maar een markt van 1 miljard mensen mis (niet iedereen heeft een computer met internet, maar in een opkomende markt investeren zou juist een hoog rendement moeten kunnen behalen).

De vraag is, hoe lang stond de broncode daar op de servers?
Ook is dit niet alleen voor Symantec schade in de reputatie, het Indiase leger mag zich nu zeker gaan schamen.. als de informatie van het leger allemaal op de servers staan opgeslagen, dan "zou" dat nu ook buit gemaakt kunnen worden.

Lees even wat ik zeg... en reageer dan nog eens ;)
Dit omdat wanneer dit wel de laatste versie had betroffen elk bedrijf wat zichzelf serieus neemt gelijk naar de concurrent zou overstappen. Edit: (incl de overheid van India waar Symantec nou in eerste instantie zo erg ze best voor heeft gedaan)
Je doet het juist om die markt veilig te stellen...

[Reactie gewijzigd door Mellow Jack op vrijdag 6 januari 2012 17:02]


Natuurlijk kun je vragen dat de overheid goed met je sourcecode om gaat, maar het stellen van eisen is niet echt mogelijk. Je geeft de sourcecode aan de overheid en dient te vertrouwen dat die zorgvuldig handelt. Heb je dat vertrouwen niet moet je die markt domweg niet betreden.

Of elk bedrijf naar de concurrent zou stappen mocht de sourcecode van de laatste versie door hackers zijn buitgemaakt waag ik ook te betwijfelen. Het feit dat broncode van Open Source pakketten beschikbaar is voor hackers is namelijk ook nooit een issue.....

Dit omdat wanneer dit wel de laatste versie had betroffen elk bedrijf wat zichzelf serieus neemt gelijk naar de concurrent zou overstappen. Edit: (incl de overheid van India waar Symantec nou in eerste instantie zo erg ze best voor heeft gedaan)
Waarom zou je als bedrijf naar een concurrent overstappen als de broncode van software die je gebruikt uitlekt? Volgens diezelfde redenering zou je alle open source software moeten mijden als de pest.

Voor Symantec kan het inderdaad een probleem zijn omdat concurrenten eens in hun software kunnen neuzen naar ideeën, maar voor klanten van Symantec lijkt me dat niet direct een probleem. En al zeker geen probleem om per direct naar een concurrent over te stappen.

Maar de software moet een veilige computer garanderen. Als hackers in de broncode hebben kunnen neuzen, kunnen ze daar wellicht hun virussen en dergelijke op aanpassen zodat deze niet meer door Norton worden gedetecteerd, waardoor de veiligheid niet meer kan worden gegarandeerd.

Dit is natuurlijk onzin. Volgens die redenatie moet je niet alle open source pakketen mijden. Bij opensource pakketten is er ook de community die toegang heeft tot de broncode waardoor er meer controle zou moeten zijn.

In dit geval hebben alleen de ontwikkelaars (+blijkbaar de regering) en de hackers toegang tot de broncode en mist dus de controle. Dit is niet vergelijkbaar met de openbaarheid van opensource pakketten.

Nu kan je wel zeggen dat beveiliging ook veilig moet zijn als de broncode beveiligd is; en dat is natuurlijk ook zo. Je moet er dan wel vanuit gaan dat de software bugvrij is.

Ik denk niet dat ze in India een overheid hebben waar veel mee te onderhandelen valt en zeker niet het leger daar. Zij stellen de eisen en anders kom je de markt niet op, take it or leave it.

Zou je denken? Als ik software verkoop (al is het de overheid) en ze stellen de eis dat ik de broncode erbij moet leveren omdat ze anders niets afnemen dan is het eenvoudig;

1) Ik stel eisen dat ze dan de boel letterlijk dichttimmeren of zelfs offline bewaren.
2) Ik verkoop ze geen donder indien ze niet voldoen aan de 1e eis.

De schade en mogelijke gevolgen kunnen tenslotte hoger zijn door het uitlekken van oude of nieuwe software, dan een verkoop aan de overheid ...

Let wel! De consument (en ook andere bedrijven) kijken voor dit soort grapjes Symantec aan omdat ze wellicht te flexibel waren qua eisen. Resultaat, het vertrouwen wordt enigszins beschaamd met alle gevolgen van dien.

Word eens even wakker man, denk je echt dat ze daar op in gaan? dan gaan ze gewoon naar een ander toe hoor die het wel wil doen.

Dat zeg ik dus ook ... en als een beetje antivirus bedrijf slim is zouden ze dit dus allemaal eisen. Uiteindelijk zul je er samen uit moeten komen en zou je een grapje als deze kunnen voorkomen.

Offtopic: waarom massaal -1 geven?

Ontopic: inderdaad, slechte zaak. Zowel van Symantec als het Indiase leger. 2 partijen die gewoon afdoende beveiligd horen te zijn.

Omdat zijn zin totaal niet beargumenteerd is...??

Ik denk dat wanneer je de sourcecode hebt je makkelijker exploits/gaten kunt vinden en zo ook virussen kunt schrijven die wellicht makkelijk om Endpoint Protection heen kunnen. Ik ken een hoop mensen (lees klanten) die SEP 11 nog hebben draaien, 12 is nog niet gigantisch lang uit..

De broncode zou niet bij Symantec zelf buit zijn gemaakt, maar bij een derde partij. De hackers zelf stellen dat ze de gegevens hebben ontvreemd van servers van het Indiase leger.
Beetje raar dat je van de softwareleverancier wel de (geheime) broncode verwacht en er dan niet netjes mee om gaat. Dit verhaal gaat nog wel een staartje krijgen.

Hooguit een publiekelijk standje. Ik denk niet dat je india als afnemer kwijt wilt raken.
Overigens zijn we als burger wel goedgelovig dat een overheid de broncode alleen te goeder trouw gebruikt. Sommige landen kunnen die misschien wel worden toevertrouwd, maar de ketting is zo sterk als de zwakste schakel. Gelukkig dat deze berichten zo nu en dan maar boven komen.

edit;correctie ;)

[Reactie gewijzigd door Iblies op vrijdag 6 januari 2012 16:03]


alleen te goeder vrouw gebruikt.
Vrijdagmiddag verspreking? ;)

Als het inderdaad via de Indiase overheid is gejat ben ik benieuwd wat er nog als bijvangst bij zat. Als dit niet de bijvangst was. Het lijkt me sterk dat ze specifiek op zoek waren naar die broncode.

Als bedrijf is er niet zoveel te onderhandelen, als een overheidinstantie de broncode wil, dan krijgt hij het of je kan de tent wel opdoeken. In het algemeen vraagt de overheid ook hier in NL/Europa van alles aan vertrouwelijke bedrijfsdocumenten, van de belastingdienst tot aan de AFM tot aan de Keuringsdienst Van Waren tot aan de Arbeidsinspectie en noem de hele bureaucratie maar op. Ook al hebben ze maar 1 specifiek ding nodig, ze willen toch de hele papierwinkel hebben (het 'cover your ass' principe). En als die data uitlekt dan is uiteraard de overheid niet aansprakelijk. De enige schrale troost die je hebt is dat als jouw data uitlekt, waarschijnlijk ook alle data van de concurrentie op straat ligt.

[Reactie gewijzigd door Dreamvoid op vrijdag 6 januari 2012 17:42]


Nou, zo erg is dit ook weer niet denk ik. Een antivirusprogramma staat of valt bij de actualiteit. Eventuele databases met viruskenmerken zijn inmiddels vrijwel waardeloos geworden. De techniek zal nog toegespitst zijn geweest op Windows XP, terwijl Vista en Windows 7 nu de grootsten zijn en een andere achterliggende techniek vereisen.

Als professionele programmeur zou ik het wel leuk vinden om eens in de code te mogen spieken! Virusscanners spreken me qua code toch wel tot de verbeelding. Mochten de hackers het publiceren... Ik denk dat ik ff spiek :D

Ik herinner me dat die NAV en NIS paketten van een aantal jaar geleden zich op een parasiet-achtige manier in Windows vasthechtten. Het systeem werd er niet bepaald sneller en stabieler van.
Ik ben wel benieuwd naar de methode waarop dat gedaan werd. Naast de implementatie van een firewall en antivirus bevat die code bevat waarschijnlijk ook niet-openbare informatie over de manier waarop Windows XP zich bewust liet besmetten met een extern software-pakket.

Zoek eens op DLL injection.

Bijvoorbeeld: http://www.blizzhackers.cc/viewtopic.php?p=2483118

Ik heb het zelf in 2003 al ooit eens gebruikt in een programma. Een downloader voor een pornobaas :+. Maar ook voor een programma van Nedstat om het rauwe internetverkeer te kunnen onderscheppen en HTML te kunnen injecten (toolbar voor hun administratiepaginas).

Ik was echt verbaasd hoe makkelijk je in Windows vanuit één proces in feite in alle andere processen kunt inbreken. Ik had binnen een dag al een eerste prototype draaien.

Ik weet 100% zeker dat NAV exact dezelfde manier gebruikte om het systeem te beveiligen. NAV zat namelijk in de weg van mijn applicatie en ik moest uitvinden hoe ik mijn functies in een DLL kon injecten die al door NAV geinjecteerd was.

Leuke tijden. :)

Onder andere een vereiste van een antivirus pakket is dat je deze niet zomaar uit kunt schakelen omdat virussen dat wel graag zouden willen doen... Eigenlijk is een antiviruspakket te beschouwen als een rootkit. Als de hackers nu toegang hebben tot de code om Windows te kunnen zeggen dat services niet gestopt of gekilled mogen worden omdat het een antivirus pakket is (neem ik aan niet zomaar bij microsoft op te vragen en closed source) en dat gaan gebruiken in virussen en/of rootkits is dat wel kwalijk!

Hierdoor krijgen virusschrijvers een kijkje in de keuken hoe ze protecties kunnen omzeilen. Of zich voordoen als een goedwillend stukje software.

Is allemaal al lang openbaar.

En het zou ook raar zijn als viruskillers zouden moeten vertrouwen op geheimhouding van de code en de methodes. Als geheimhouding het enige is dat er voor zorgt dat de viruskiller zijn werk kan blijven doen, dan is er iets mis.

'Security by obscurity' werkt in principe prima. Maar zo gauw de obscurity weg is, dan is ALLES wat daardoor beschermd werd in één klap waardeloos geworden. Niet alleen de code, maar ook de theorie en de methodes en mechanismen.

Security by obscurity zorgt er voor dat je regelmatig COMPLEET het wiel opnieuw moet uitvinden. De vraag is of jij tot in lengte van dagen vol kan houden om het wiel opnieuw uit te vinden.

Of eigenlijk is dat niet eens een vraag. Dat kun je namelijk helemaal niet. Er zal altijd iemand komen die een keer sneller is met een ander wiel komt dan jij. En als dat wiel dan NIET berust op security by obscurity, dan lig je uit de race. Dan is het afgelopen met je en kun je net zo goed meteen ophouden.

Security by obscurity is een schijn-security. Voor het moment dat het door de concurrent ontdekt is heb je alles in handen, na het moment heb je helemaal niks meer. Alles-of-niets. Daar kun je niks op bouwen. Tenminste... Ik zou het je niet aanraden...

[Reactie gewijzigd door RetepV op zaterdag 7 januari 2012 08:11]


Ik vraag mij af wat is de nut ervan om een verouderde broncode te stelen.
Protection 11.0 is 3 a 4 jaar geleden uitgekomen volgens mij en Antivirus 10.2 wordt inmiddels niet meer ondersteund, allemaal oude versies dus.
En inderdaad dit zal wel een pijnlijke tegenslag voor Symantec zijn, de software is juist bedoeld om de consumenten te beschermen.
How can u defend somebody else when u are not able to protect yourself?

[Reactie gewijzigd door Essox_Kill8ox op vrijdag 6 januari 2012 15:46]


het "nut"van het stelen van oudere broncode kan zijn dt je zo makkelijker achter nieuwe broncode kunt komen, of dat je daardoor meer kans hebt andere geslaagde hacks uit te voeren lijkt me.

Elke code bevat fouten. Het is mogelijk dat deze software code bevat die ook in andere software van Symantec is gebruikt. Wanneer ze daar een exploit voor verzinnen zouden ze deze exploit wijdverspreid kunnen gebruiken.

En daarnaast heb je natuurlijk 1000e mensen die niet updaten :P

ik vraag mij af wat is de nut ervan om een verouderde broncode te stelen.
Heel simpel, de software versie is waarschijnlijk nog wel in gebruik, maar zelfs als dat niet het geval is: de code wordt waarschijnlijk ook in de huidige versies nog gebruikt. Als je dus in de oude broncode een exploitable stuk code vind, kun je daar in huidige versies nog misbruik van maken. Want de deur opent tot zero-days van heb ik jou daar.

De waarde van broncode om nieuwe exploits te ontdekken is betrekkelijk gering. Ik wil niet ontkennen dat het helpt, maar het is niet zo dat er dan allerlei geheimen zich laten lezen waar met vindingrijk hackwerk nooit achter te komen is.

Makes it way easier/faster though..

Gelukkig hebben ze de broncode gestolen van de slechtste crawlware ooit, wat een meuk is dat norton geworden na Norton AntiVirus 2003 :o

Ik heb nog even AntiVirus 2004 gehad waarbij je de antispam niet uit kon zetten los van de AntiVirus zonder dat deze zeurde, daarna is het alleen maar bergafwaards gegaan met grote balken in IE, onmogelijkheid om netjes te deinstalleren zonder te moeten formatteren etc.

Ben zelf al jaren over op Nod32, bijzonder snel en licht, en doet het perfect!

dit is natuurlijk wel pijnlijk voor symantec. ondanks dat het hun partners betreft. Nu mag ik hopen dat in de nieuwe versies niet de zelfde bron code is gebruikt. Door imagoschade kan dit finacieel wel eens veel gaan kosten. vooral omdat het om zakelijk pakketten gaat(volgens Symatec) volgens het artikel. niet dat het relevant is of dit om een consumenten versie of een zakelijk versie gaat. Het feid dat is al zorgwekend.
Daarnaast vind ik het wel appart dat derden over de source code beschikken. een bedrijf dat gericht is op security en wel z'n source code afgeeft :S lijkt mij niet heel slim

grote bedrijven die bedrijfskritische applicaties in bezit hebben laten dit vaak opslaan door zg escrow parties. deze zorgen dat broncode word getest/geverifieerd en opgeslagen in een safe (fysiek), zodat dit ten alle tijden is op te vragen door de betreffende softwarehuis of door de begunstigde (gebruikersvereniging).
wat je ziet met sourcode escrows, is dat het vaak gaat om maatwerk (hoeft niet altijd).. zoals software voor banken, gemeentes, industrie etc.

zie ook http://nl.wikipedia.org/wiki/Escrow

[Reactie gewijzigd door chocolade op vrijdag 6 januari 2012 16:21]


Volgens mij is de Escrow dat je alleen in bepaalde gevallen de broncode mag inzien. Ik vermoed, zoals ook in het artikel staat, dat de overheid van India de broncode echt wilde inzien, om te kijken of het wel veilig was, zonder backdoors oid. Volgens mij kan dit bij de meeste Escrow bedrijven niet (ik heb zelf 1 keer een begin gemaakt iets in Excrow te krijgen).

Je mag die code dan alleen opvragen als het bedrijf dat die code gemaakt heeft failliet is, oid. Zo zorg je ervoor dat je eigen bedrijf door kan gaan met de software en deze zelf aanpassen, of dit weer uitbesteden.

Zie link op Wikipedia

broncode is ten alle tijden op te vragen door de owner, de beneficiary (begunstigde) kan dat alleen als het softwarehuis failliet is/niet kan leveren, of als er contractueel een periodieke deposito is overeengekomen. dit verschilt natuurlijk per bedrijf..

[Reactie gewijzigd door chocolade op vrijdag 6 januari 2012 22:24]


Ik vind het heel verontrustend nieuws. Wanneer hackers kans zien om broncode van symantec van de servers van het indiase leger te stelen,dan kan je je afvragen wat ze nog meer van die servers hebben afgehaald. India beschikt wel over kernwapens.
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 15:56 Sony brengt snelle xqd-geheugenkaarten uit
Vorige 14:46 Crucial kondigt Adrenaline caching-ssd's aan
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011