Server van MacKeeper-scareware liet data 13 miljoen gebruikers uitlekken

Beveiligingsexpert Chris Vickery wist naar eigen zeggen extreem makkelijk de servers van MacKeeper binnen te komen. Vickery zegt data van meer dan dertien miljoen gebruikers te hebben gedownload, waaronder met md5 gehashte wachtwoorden zonder salt.

Kromtech probeert mensen via advertenties te verleiden tot het downloaden van het onderhoudsprogramma MacKeeper voor Apple Macs. Vervolgens detecteert het programma 'problemen' die het 'gratis' zegt op te lossen. Naast de deels gratis schoonmaakbeurt, detecteert het programma nog meer zaken, zoals beveiligings- en prestatieproblemen. Om die op te lossen, moet tussen de 39,95 en 89,95 euro per jaar betaald worden.

Zes uur na het bekendmaken van het lek in een post op Reddit was de database nog steeds volledig onbeschermd volgens de beveiligingsonderzoeker. Als het bedrijf de databasetoegang beter beveiligd heeft, zal Vickery meer bekendmaken over hoe de toegang verkregen kon worden. Naast de gehashte wachtwoorden van 13 miljoen gebruikers, wist Vickery de hand te leggen op informatie als namen, e-mailadressen, gebruikersnamen, computernamen, ip-adressen, softwarelicenties en bijbehorende activatiecodes, telefoonnummers en serienummers van computers.

MacKeeper server-structuur - Bron: Reddit

Reacties (47)

[TheGreatAtuin]

Als ik MacKeeper google kom ik ook op deze mooie link uit. Het is de moeite te vermelden dat de site, pc-sneller-maken.nl (geen grap) écht die fantastische domeinnaam heeft. Het is nog meer de moeite waard te vermelden dat ze voor Windows het volgende aanraden: PC Health Advisor. Kennen we dat ergens van? Oh ja, de grootste scareware die rondzweeft, en die exact hetzelfde trucje uithaalt. Ik citeer uit deze fontein der wijsheid:

"Waarom is de Mackeeper geen scam, of toch wel? [...] Nee, de Mackeeper is op dit moment de beste alles-in-één utility en security software voor een Mac computer. [...] De Mackeeper is op dit moment een uitstekende keuze voor het beveiligen, opschonen en optimaliseren van een mac computer."

Het is dramatisch dat als ik simpelweg MacKeeper google dit de 4e hit is. Verder krijg ik een aantal hits op de 1e pagina van Google die MacKeeper juist afraden. Maar ook een aantal die het me aanraden. Als goedbedoelende consument met een trage Mac zou ik best geneigd zijn het uit te proberen.

Het verbaast me niks dat 13 miljoen mensen erin trappen. 13 miljoen! De exploitanten van dit zaakje moeten ondertussen schatrijk zijn. Edit: 1 miljoen actieve gebruikers. Dan nog, veel inkomsten.

Nog een edit: als ik op de site klik kom ik op een landing page van MacKeeper zelf (Nederlandse versie) die geen enkele verwijzing naar dat het betaald óf gratis is. Ik moet helemaal onderaan op een miniscuul rotwoordje Applicatie klikken om op de daadwerkelijke site te komen, waar de betaalopties pas uitgelegd staan. Beetje verdacht.

[Reactie gewijzigd door TheGreatAtuin op 22 juli 2024 17:24]

[BoringDay]

Er is dan ook al talloze keren gewaarschuwd voor MacKeeper, dit is niks anders dan malware.
Maar goed je hebt er altijd leken tussen zitten die in goedkope reclame trappen.

[TheGreatAtuin]

Zo goedkoop is de reclame niet, ik vind meerdere sites die prima uitzien en die het echt aanraden. Zowel Nederlandse als Engelse. Er zijn veel Mac-gebruikers die leek zijn op het gebied van beveiliging en die juist een kopen omdat hun oude Windowsmachine vast liep op de malware, en dat is hun doelgroep ook. De reclame is misschien goed bedoeld, misschien misleidend, misschien door de fabrikant gemaakt, maar als leek zou er best in kunnen trappen.

[BoringDay]

OSX is geen Windows, daarbij het is al zo vaak in de media geweest dat dit kwaadaardige software is.

De reclame is overigen ook niet goed bedoeld, het zijn popups met melding je mac niet op orde is. Dat kunnen ze niet weten dus bedrog en dienen ze van de markt te verdwijnen met hun rotzooi.

[TheGreatAtuin]

Echt? Ik heb MacKeeper nog nooit in de media gezien alszijnde malware of scareware. Vandaag is zelfs de eerste dag dat ik ervan hoor. Als ik zoek op Tweakers vind ik één hit: dit nieuwsartikel. Ik gebruik geen Mac, dus ik zit niet in de 'bubble' van mensen die dit nieuws relevant vinden. PC Health Advisor is overigens precies hetzelfde voor Windows, en daar hoor ik ook bar weinig over.

De reclame is breder dan alleen de pop-ups, het gaat ook om de site zelf die professioneel oogt en meerdere professioneel-lijkende bronnen die het aanraden.

Als ik de Mac-bubble in duik kom ik op het volgende:

Als ik er cnet.com op na sla, vind ik enkele hits, en geen enkele die me waarschuwt dat dit scareware is.

Op Techradar vind ik één hit: en dat artikel blijkt de term Mackeeper niet eens te bevatten.

Op cultofmac is het laatste artikel negatief maar daarvoor raden ze het zelfs aan!

OSXDaily heeft redelijke resultaten, en meerdere forumthreads over hoe slecht MacKeeper is. Waarvoor hulde.

9to5mac kent één resultaat en dat is over dit onderwerp: het datalek.

Nu wil ik niet vervelend doen, maar het is dus niet breed in het nieuws geweest. Dit zijn de meest toonaangevende nieuwssites voor software, voor Windows of voor Apple. Of heb je het erover dat Windows danwel OSX kwaadaardige software is? Daar kan ik me namelijk wel in vinden .

[Reactie gewijzigd door TheGreatAtuin op 22 juli 2024 17:24]

[Dasprive]

Klopt wel, ik ben ook specifiek op zoek gegaan naar info over MacKeeper een tijd terug toen ik ergens toch wel een erg negatief artikel las. En mij viel toen ook op dat er eigenlijk verdacht positief op gereageerd wordt overal.

Nu volgens mij is dit te wijten aan oppervlakkige redacteuren die gepushed worden artikelen uit hun mouw te schudden. Heel veel reviews van producten, apps, e.d. zijn zeer zwak en lijken vooral gebaseerd op de site van de maker zelf waarbij ik me vaak afvraag of ze het uberhaupt geprobeerd hebben.

Juweeltje dat ik laatst tegenkwam dat hier mee te vergelijken is: Cujo, beveiligd je hele thuisnetwerk in een oogopslag. Indiegogo ding, haalt 270k op, https://www.indiegogo.com...n-t-get-hacked-get-cujo#/. Lees die omschrijving, bekijk de features. Dat is toch kant en klare onzin.

En toch vind je dan een lijst met referenties, b.v. dit artikel op Fast Company, http://www.fastcodesign.c...next-wave-of-emotive-tech toch een vrij bekende, grote site. Hosanna verhaal zonder ook maar een duidelijke technische insteek of review van het product.

Dat is dus denk ik het probleem ook bij MacKeeper, weinigen hebben het ook echt geprobeerd, herhalen allemaal dezelfde positieve reviews en voor je het weet heeft duidelijke scareware een berg goeie reviews.

[Reactie gewijzigd door Dasprive op 22 juli 2024 17:24]

[dnrb]

En met een beetje geluk kan je er ook Steve Jobs mee bellen...

[kevinkrs]

Het is ook onbegrijpelijk dat het zo makkelijk is om in te breken in een server. Zeker als het gaat om een grote naam zoals MacKeeper. Ik ben een ontwikkelaar, en ik kan gewoon niet begrijpen dat er bedrijven nog wachtwoorden opslaan zonder een salt over een md5 encryptie heen. Of dat een ontwikkelingsteam überhaupt md5 voor wachtwoorden gebruikt....

Nu valt het mij trouwens ook op dat de database relatief slecht is opgezet, of niet eens de normalisatieregels volgt... Zeker als ik kijk naar de hoeveelheid users tabellen.

[Reactie gewijzigd door kevinkrs op 22 juli 2024 17:24]

[monojack]

Een grote naam is natuurlijk wel dubbelzinnig. Mackeeper staat bekend als een malafide bedrijf. MacKeeprr heeft totaal niks met onderhoud of beveiliging van een besturingssysteem te maken. Het is gewoon een gemakkelijke manier om op de angsten van mensen snel geld te verdienen.

at hun server nog niet vroeger gehackt is dus eigenlijk eerder een raadsel want MacKeeper is zo'n bedrijfje waar als hacker enkel maar sympathie mee wint.

[kevinkrs]

Zover ik weet leveren ze wel een valide applicatie. Aleen de manier van marketing was erg 'vies' zover ik weet... Als het alleen maar bloatware is begrijp ik wel dat ze niks doen aan hun beveiliging.

[sypie]

Omdat hun marketing stonk als rotte vis hebben ze dan ook een gerechtelijke uitspraak aan de broek gekregen.

[johnkeates]

Voor zo ver jij weet ja... en die 13 miljoen andere mensen weten. In de praktijk is het gewoon onzin

[laurenssie]

Ongelofelijk dat ruim een miljoen mensen betaald hebben voor deze oplichterij.

[immetjes]

Dat dacht ik ook meteen. Worden die abonnementen stilzwijgend verlengd? (Mag dat van de Wet van Dam?) als dat zo is.... Lekker hoor minimaal €39.95 x 1,039,815 = € 41,540,609 elk jaar cashen.

[Donstil]

Ja ik weet zeker dat een scarwware maker van deze grote zich iets aantrekt van de Wet van Dam

[sjettepetJR.]

Maar dan is er wel een reden om naar de rechter te stappen, waardoor zo'n stom bedrijf als mackeeper minder geld verdient.

[Donstil]

Leuk op papier maar tegen een schimmig bedrijf uit het buitenland in Nederland procederen is gewoonweg niet te doen.

[GerardVanAfoort]

http://www.onemorething.n...oze-klanten-terugbetalen/

In de VS heeft een class action-rechtszaak tegen MacKeeper geresulteerd in een schikking van 2 miljoen dollar. Kopers kunnen hun geld bij de ontwikke­laars terugvragen. Je zou het kunnen zien als erkenning van schuld.

Hoewel alleen Amerikaanse klanten recht op vergoeding van het aankoop­bedrag hebben, is dit een extra bevestiging dat MacKeeper meer kwaad dan goed doet. Het bedrijf werd door klanten aangeklaagd omdat het problemen zou verzinnen, puur om gebruikers over te halen de software te kopen.

Inderdaad oplichterij.

[SuBBaSS]

Ook ongelooflijk dat er zo weinig reacties onder dit bericht staan. Zitten er nu een hoop fanaten met het schaamrood op de kaken zich stil te houden omdat ze er ook (ooit) ingetrapt zijn?

Gekheid natuurlijk, heb bijna dagelijks te maken te maken met onbewuste slachtoffers van deze laaienlichters. Hoop/vermoed dan ook dat het er meer mee te maken heeft dat een beetje tweaker/os x gebruiker beter weet dan dit stuk scareware te vertrouwen, laat staan dat ze er geld aan uit te geven.

Zou eigenlijk ook niet moeten verbazen dat dit nu ontdekt is. Dit bedrijf geeft niet om z'n gebruikers, behalve om hun portemonnee en verdienen dat met bangmakerij.

[Wesle]

Dan kan je dus ook gratis betaalde licenties aanmaken

Aangezien (aan die screenshot te zien) hij in de volledige database kan

[Reactie gewijzigd door Wesle op 22 juli 2024 17:24]

[iwan073]

Die troep moet je niet eens op je Mac willen

[TheGreatAtuin]

Het punt van Wesle is dat je de abo's gratis kunt maken, of op "betaald tot december 2016" kunt zetten. Meneer Vickery had voor Robin Hood kunnen spelen en wij hadden een prachtige rechtszaak kunnen volgen met popcorn erbij. Helaas heeft hij het moreel juiste gedaan.

[MartijnHavinga]

Het screenshot geeft alleen aan dat hij lees toegang heeft tot de database. Niet dat er veel programma's zijn welke 2 verschillende logins gebruiken voor lezen en schrijven, maar toch, je weet het niet zeker

[Verwijderd]

Als het zo weinig gebeurd lijkt me dat deze 'beveiliging' niet op zo'n onbeveiligde server staat .

[biteMark]

13 miljoen?! Zijn er echt zó veel mensen die in die erin trappen? Ik weet niet of dit alleen gegevens van betalende gebruikers zijn, dan heb je 13.000.000 * ((40 + 90) / 2) = €845.000.000 aan inkomsten, naar schatting dan... Lucratieve business!

[aeon_flux]

Vergeet de advertentie inkomsten niet die de browser extensies genereren die mackeeper mee installeert

[biteMark]

Oh ja, natuurlijk! Daar plukken ze vast ook de groenkleurige vruchten van

[kodak]

Is er niemand hier die er over struikelt dat een beveiligingsexpert van 13 miljoen klanten hun gegevens download?

[Zondaar313]

Zoals je kan lezen zijn er een hele hoop mensen die er over struikelen dat dergelijke informatie 'praktisch' op straat ligt.

Mackeeper is hier de rotte appel, de klokkenluider tot zover nog de held. Die rare Michelin look a like moet gewoon tot een halt geroepen worden, troep

[kodak]

Vooropgesteld, het is goed dat er personen zijn die misstanden aan de kaak stellen. Maar ik vind het nogal schokkend dat het ons kennelijk compleet niet om de misstanden gaat maar om het selectief afkraken en verheerlijken.

Het heldendom is niet gebaseerd op enig respect voor de 13 miljoen slachtoffers. Als dat wel zo was dan was de stemming geweest dat de 'held' na 1, 10 of 100 gegevens niet nog eens de gegevens van 12.999.900 andere slachtoffers had moeten stelen. Maar dat interesseert niemand iets. Niemand die over de 'held' durft te zeggen dat hij zelf te ver is gegaan. Het heldendom is evenmin gebaseerd op het ongegeneerd negeren van de rechten van de 13 miljoen slachtoffers. Dat doen zowel het bedrijf als de 'held'. Maar de 'held' verheerlijken we en het bedrijf krijgt er van langs. En dat terwijl de 'held' net zo goed winst haalt uit het negeren van die 13 miljoen slachtoffers.

Hoe krijgen we het voor elkaar om zo selectief te zijn? Het ligt niet aan ons gevoel voor rechtvaardigheid Rechtvaardig zou betekenen dat we niet selectief zijn en het opnemen voor de slachtoffers, maar dat doet niemand. Het gaat om het schoppen en een held hebben. Volgende keer zijn we zelf die 13 miljoen personen en niemand neemt het voor ons op. Een heel geruststellende gedachten dat er dan mensen zijn die een held verheerlijken.

[RGAT]

met md5 gehashte wachtwoorden zonder salt

Lijfstraffen invoeren op dit en passwords plaintext opslaan

Onbegrijpelijk dat dit tegenwoordig nog gebeurt, is geen moeite om minimaal een goede hashing met salt te doen, we zouden programmeurs die dat doen op een zwarte lijst moeten plaatsen...

[TheGreatAtuin]

Misschien werken ze daarom voor een bedrijf dat op de donkergrijze lijst staat? Ik kan me best voorstellen dat het budget op gaat aan marketing, zorgen dat alles gelikt uitziet, en zorgen dat de betalingen betrouwbaar verlopen. Beveiliging is alleen een prioriteit als de ontwikkelaar zich beseft dat dit soort bedrijven juist een doelwit zijn voor Robin Hood-hackers (geen idee of er een andere term voor bestaat). Deze ontwikkelaar wist het niet.

[kevinwalter]

Ze hebben er nog steeds niet van geleerd. Weer een MongoDB die open staat naar de buitenwereld.

https://www.security.nl/p...toegankelijk+via+internet

[Liberteh]

40 miljoen euro heeft de ontwikkelaar al in de pocket.

[laptopleon]

Kromtech

Doet zijn naam wel eer aan in ieder geval