Shadowbrokers stoppen met veiling van NSA-hacktools

De groepering die bekendstaat als de Shadowbrokers, heeft bekendgemaakt te stoppen met de veiling van NSA-hacktools. In plaats daarvan lijken de Shadowbrokers te suggereren dat ze via crowdfunding geld willen krijgen voor de NSA-bestanden.

In een bericht op de site Medium laten de Shadowbrokers weten dat 'de veiling hen verveelt' en dat ze er daarom mee stoppen. De groepering vraagt nu om een bedrag van tienduizend bitcoin, omgerekend ongeveer 5,8 miljoen euro. Zodra ze dit bedrag op hetzelfde bitcoinadres als bij de veiling ontvangen, zeggen ze het wachtwoord voor de rest van de NSA-bestanden vrij te geven. Daarbij stelt de groepering dat het wachtwoord crowdfunding is en dat 'iedereen wint door het delen van het risico en de beloning'. Het lijkt erop dat zij daarmee de mogelijkheid van crowdfunding onder de aandacht willen brengen en dat het wachtwoord niet daadwerkelijk uit dat woord bestaat.

De Shadowbrokers begonnen midden augustus met een veiling van een aantal bestanden die exploits van de NSA zouden bevatten. Een deel van deze bestanden boden ze gratis aan en de rest, ongeveer veertig procent, via de veiling. De hoogste bieder zou vervolgens de bestanden ontvangen. De Shadowbrokers claimden dat ze 'de beste bestanden hebben bewaard voor de veiling'. Na de publicatie bleek dat de vrijgegeven tools daadwerkelijk functioneren, bijvoorbeeld op firewalls van Cisco en Fortinet. Deze bedrijven brachten vervolgens patches uit voor de kwetsbaarheden waarvan de NSA-exploits gebruikmaakten.

Edward Snowden ging ervan uit dat de uitgelekte bestanden afkomstig zijn van een gehackte command and control-server. Ex-medewerkers van de TAO-afdeling van de NSA bevestigden later aan The Washington Post dat de bestanden inderdaad van de NSA afkomstig zijn. Tot nu toe is onduidelijk wat de bestanden, die nog in handen van de Shadowbrokers zijn, bevatten. De groepering heeft eerder geklaagd dat er te lage bedragen overgemaakt werden naar hun bitcoinadres. Tot nu toe zijn er ongeveer twee bitcoin overgemaakt.

Reacties (24)

Dit ziet er allemaal zo amateuristisch uit dat je je afvraagt hoe deze groep in vredesnaam zulke gevoelige gegevens in handen heeft kunnen krijgen. Dan maak je het ook niet beter door de traceerbare bitcoins te gebruiken, terwijl er nu alternatieven als Monero zijn. Na ja, laat ik ze maar niet op ideeën brengen.

Dit ziet er allemaal zo amateuristisch uit dat je je afvraagt hoe deze groep in vredesnaam zulke gevoelige gegevens in handen heeft kunnen krijgen.

Professionele IT'ers beginnen hier niet snel aan, die hebben een baan die genoeg betaalt om dit soort capriolen achterwege te laten. Er zijn natuurlijk professionele inbrekers maar die zetten zichzelf niet in de schijnwerpers, die werken liever zonder dat iemand weet dat ze bestaan.

Wat overblijft zijn vooral jongeren, amateurs, hobbyisten en slechte IT'ers. Daarbij hoeven ze geen geld te verdienen met een website ofzo, als de wereld maar weet wat ze te koop hebben dan verkopen de producten zichzelf haast. Gestolen iPhones worden ook in lelijke envelop verkocht in plaats van een mooie luxe doos.

[...]
Professionele IT'ers beginnen hier niet snel aan, die hebben een baan die genoeg betaalt om dit soort capriolen achterwege te laten. Er zijn natuurlijk professionele inbrekers maar die zetten zichzelf niet in de schijnwerpers, die werken liever zonder dat iemand weet dat ze bestaan.

Wat overblijft zijn vooral jongeren, amateurs, hobbyisten en slechte IT'ers. Daarbij hoeven ze geen geld te verdienen met een website ofzo, als de wereld maar weet wat ze te koop hebben dan verkopen de producten zichzelf haast. Gestolen iPhones worden ook in lelijke envelop verkocht in plaats van een mooie luxe doos.

Als ICT'er verdien je best lekker, maar geen 6-miljoen-lekker.

Als je het als ICT'er echt extreem goed doet niet teveel op vakantie gaat en als een zwerver leeft kun je misschien na 60 jaar 6 miljoen sparen.

Als ICT'er verdien je best lekker, maar geen 6-miljoen-lekker.

Als je het als ICT'er echt extreem goed doet niet teveel op vakantie gaat en als een zwerver leeft kun je misschien na 60 jaar 6 miljoen sparen.

6 miljoen klinkt als veel geld, maar ik zou het er niet voor doen. Als je een club als de NSA achter je aan krijgt dan ben je je leven niet meer zeker. Nu weten we niet of dat hier aan de hand is, maar van de gedachte alleen zou ik al niet lekker slapen. Je zal jarenlang in paranoia moeten leven en extreme beveiligingsmaatregelen nemen. Dat heeft ook z'n prijs, zowel in geld als in geluk.
Je kan die zes miljoen ook niet zomaar uitgeven, het is zwart geld, voor je er iets aan hebt moet je het witwassen en dat kost ook een lieve duit. Van wat overblijft kun je een leuk huis en een mooie boot kopen maar stoppen met werken of emigreren naar een tropisch eiland zit er nog niet in.
Dat is er van uitgaande dat al het geld naar 1 persoon gaat, als hier een hele groep achter zit blijft er per persoon veel minder over. Daarbij is er geen enkele garantie dat ze dat geld ook echt krijgen, dusver hebben ze maar 2 bitcoin ontvangen ipv de 10.000 waar ze om vragen. Dat is nogal weinig geld om je leven voor te wagen. Tot slot hebben dit soort exploits maar een beperkte levensduur. Als je pech hebt wordt de bug morgen gefixed en werkt je exploit niet meer en ben je al je waarde kwijt.

ITer staat voor een heel groot begrip.

Een security expert die zich zelf uit huur aan verschillende grote partijen om beveiligns problemen te onderzoeken en verbeteren. Kan echt een leuk zak centje verdienen, sterker nog er zijn jongens die 10 duizende euro's per opdracht verdienen..

Alleen ja, die zullen misschien niet zo in de schijnwerpers willen staan.. en zullen geen vila kopen van miljoenen.. Misschien ook een beetje sociaal gestoord.

wat denk je dan van gestolen android phones,

deze zijn gemakkelijk de FRP te verwijderen,
dus zonder imei/serial is het niet mogelijk om aan te geven dat die gestolen zijn. (verwijderen ze meestal)

Als dit dus is verwijderd hoef je al niet meer aan te tonen dat het apparaat gestolen is. Dat hebben ze zelf al gedaan door het weg te halen. Koop dus nooit apparaten zonder geldige identificatie.

Professionele IT'ers beginnen hier niet snel aan, die hebben een baan die genoeg betaalt om dit soort capriolen achterwege te laten.

Wat overblijft zijn vooral jongeren, amateurs, hobbyisten en slechte IT'ers.

Een totaal onzinnige en generaliserende vergelijking / stelling. De doornsnede proffesionele IT-ers verdienen dit soort geld niet en bovendien zegt het bedrag totaal niets over de mate van professionaliteit. Ook ben je geen slechte IT-er omdat je zaken verkoopt. Je kunt je afvragen hoe de doelgroepen die jij schetst (amateurs, hobbyisten, slechte IT-ers en jongeren (alsof dat geen professionele ITers kunnen zijn) aan dit soort informatie komt.

Daarbij is de ene professionele IT-er de andere niet en zie je enorme verschillen in inkomens.

Vergeet ook niet dat er hele andere motieven mee kunnen spelen als geld. Denk bv aan te betalen onkosten (wellicht moet er het eea worden ingekocht), het publiceren als "hoger doel" om zo zaken openbaar te maken, een denkmantel voor heel iets anders etc.

Een totaal onzinnige en generaliserende vergelijking / stelling. De doornsnede proffesionele IT-ers verdienen dit soort geld niet en bovendien zegt het bedrag totaal niets over de mate van professionaliteit. Ook ben je geen slechte IT-er omdat je zaken verkoopt.

Met een groep mensen een jaar lang werken om 6 miljoen aan inkomsten binnen te halen? Menig IT-bedrijf doet dat een stuk beter.

6 miljoen blijft een leuk bedrag hoor, maar het is niet genoeg om professionele IT-organisatie van te runnen die het moet opnemen tegen de NSA. Als het voor het geld doet kun je beter gewone klussen aannemen.

Je kunt je afvragen hoe de doelgroepen die jij schetst (amateurs, hobbyisten, slechte IT-ers en jongeren (alsof dat geen professionele ITers kunnen zijn) aan dit soort informatie komt.

Vergeet niet dat ze deze software niet zelf hebben geschreven. Ze hebben die tools gevonden. Het beeld dat ik er van heb is dat ze toevallig een server hebben gehackt die ooit gebruikt is door een partner van de NSA die niet goed heeft opgeruimd.

Vergeet ook niet dat er hele andere motieven mee kunnen spelen als geld. Denk bv aan te betalen onkosten (wellicht moet er het eea worden ingekocht), het publiceren als "hoger doel" om zo zaken openbaar te maken, een denkmantel voor heel iets anders etc.

Dat ben ik helemaal met je eens, dat kan, maar daar heeft deze groep dusver nog niet veel van laten merken. Deze groep lijkt het alleen voor het geld te doen.

Jij leeft in een ideale wereld waar elke IT'r naar zijn waarde betaald wordt ... Overigens is het verbazingwekkend dat zo'n omvangrijke hack zo weinig aandacht krijgt, en bijgevolg ook zo weinig uitbetaald krijgt.

Het bedrag dat gevraagd wordt is wel zeer hoog, geen idee waarom ze denken daarmee weg te komen.

Het grappige de dag van vandaag is dat de jongeren, amateurs, hobbyisten en slechte ITers vandaag de dag voldoende kennis en tools hebben om een staat en overheid als de V.S. te kunnen aanvallen door een overheidsorganisatie als de NSA haar end-point servers te hacken, en de buit door te verkopen.

Het geef ook aan hoe incompetent de ambtenaren bij de NSA, zijn. Pure, ruwe, harde, witblinde incompetentie is inderdaad het juiste woord. Zo erg is het gesteld met de NSA.

Dus ook (want onze overheden zijn minder competent) met de medewerkers die voor de NL en BE overheden werken. Zij hebben toegang tot massaal veel mensen hun gegevens. En die gegevens gaan door hun incompetentie de komende jaren op de straatstenen terecht komen. Dat zal niet lang meer duren en het is nu al gaande.

Dit zal ook niet minderen.

Het is ook lachwekkend niet door te hebben dat bv. China of Rusland, al jaren, een letterlijk identieke kopie van alle gegevens en bestanden als onze overheden heeft. Ze weten waarschijnlijk veel meer dan onze overheden weten. Omdat zij wel competent zijn.

Dat klinkt heel dramatisch. Dat is het ook.

Je moet nog maar eens een keer lezen wat je schrijft. Subjectiever kan het echt niet. Ik vind het echte onzin wat je hier neerplept. (ja dat is ook subjectief ja).

p.s. je moet niks maar wellicht is het raadzaam het nog een keer te lezen.

Her en der een mixer ertussen en bitcoin is niet langer traceerbaar . Bovendien is bitcoin redelijk waardevast terwijl monero maar wat heen en weer slingert.

Hoe werkt zo'n mixer dan? Alle transacties zijn toch openbaar? Als een mixer niets anders doet dan bitcoins verdelen en een hoop tussenrekeningen er tussendoor zet dan is het toch nog steeds traceerbaar? Alleen lastiger, maar toch nog altijd te traceren?

Jij maakt bitcoins over naar adres A. Er wordt ongeveer een zelfde bedrag aan bitcoins naar jou terug gestuurd (naar een ander adres van jou) vanaf een ander adres B. Er is geen keten van transacties tussen A en B, ook niet naderhand. Wat er van adres B komt, stond daar al op vóór jouw transactie naar A.

Daar valt niets aan te traceren.

Wat er in feite gebeurt is dat jij de bitcoins ontvangt die anderen willen mixen, en vice versa. Jouw adres A fungeert later als het adres B voor iemand anders z'n mix actie.

Zeker wel.

voorbeeld

Zo bedoel ik het niet. Ga je zelf eerst 100 btc versturen met het goede vertouwen dat je het meteen op een ander adres ontvangt? Ik niet.

Ten eerste zou ik alleen mixers gebruiken met een goede reputatie en die al lang bestaan. Ten tweede zijn er scripts voor om dit proces te automatiseren in kleine stapjes. Als ik 100 bitcoins verstuur naar zo'n service loop ik een redelijk risico, als ik het in duizend stapjes van 0.1 BTC doe niet.

En dat kan de anonimisering nog verbeteren ook want op deze manier kan ik desgewenst mijn bitcoins verdelen over meerdere (desnoods duizend verschillende) adressen uit een HD wallet.

Er zijn trouwens ook andere methoden, zoals CoinJoin.

Je hebt gelijk. Het kan geautomatiseerd worden natuurlijk. Ok bedankt voor je feedback.

Edward Snowden ging ervan uit dat de uitgelekte bestanden afkomstig zijn van een gehackte command and control-server.

Als de NSA in een server kan komen kan een goede hacker dat ook. Men vergeet vaak dat een gehackte bak ook voor andere te hacken valt.

En met zulke tools is het een kwestie van tijd eerdat men intern in je netwerk inbreekt, als ik de exploits zo zie voor met name cisco firewalls en dergelijk.

Dan maak je het ook niet beter door de traceerbare bitcoins te gebruiken

Bangmakerij. Het is in de praktijk een peulenschilletje om bitcoins ontraceerbaar te maken.

Waarom ziet dit er amateuristisch uit?
Als het amateurs zijn, wil dat zeggen dat de NSA zo makkelijk te kraken was?

Wie wil er nu in het openbaar geld bieden op gehackte bestanden van een van 's werelds machtigste inlichtingendiensten, van een onbetrouwbare partij hackers. Niemand toch? Bitcoins zijn immers niet zo anoniem als doorgaans wordt aangenomen: https://bitcoin.org/en/protect-your-privacy Het enige wat er gebeurt als je biedt is dat je geflagd wordt door de NSA. Als er Tweakers zijn die de proef op de som willen nemen... :-) (disclaimer: niet doen)

Andere staten hebben al lang hun eigen TAO-afdeling, dus die zijn wellicht ook niet zeer geïnteresseerd. Mogelijks hebben andere staten al lang een andere NSA C&C server gehackt of buitgemaakt.

[Reactie gewijzigd door TheBlackbird op 17 oktober 2016 10:56]