Shadowbrokers kondigen abonnement op exploits aan

De groepering met de naam 'Shadowbrokers' heeft een maandelijkse dump van exploits, beveiligingstools en gevoelige informatie over onder andere nucleaire programma's aangekondigd. Geïnteresseerden kunnen zich vanaf juni tegen betaling abonneren.

Diverse gegevens kunnen onderdeel zijn van de 'Shadowbrokers Data Dump of the Month'-dienst. De groepering geeft als voorbeeld exploits en tools voor browsers, routers en handsets, nieuwe exploits voor Windows 10, gestolen gegevens over Swift-betalingsaanbieders en centrale banken. Daarnaast spreekt de hackersgroep van gestolen netwerkdata van Russische, Chinese, Iraanse of Noord-Koreaanse nucleaire activiteiten en raketprogramma's.

Niet bekend is wat de kosten voor een abonnement gaan worden. In juni introduceert de groepering de dienst officieel en maakt dan meer details bekend. Shadowbrokers bieden nog een uitweg voor partijen die willen voorkomen dat de gegevens tegen betaling beschikbaar komen voor abonnees. Als die partijen alle gegevens in een keer opkopen, claimt de groep geen financiële stimulans meer te hebben om door te gaan. De groep belooft dan permanent te stoppen.

In de in gebrekkig Engels opgestelde verklaring hekelt de groep het uitblijven van biedingen bij zijn eerdere veiling en het directe verkoopaanbod van hacktools. Noch The Equation Group, noch overheden en beveiligingsbedrijven zouden gereageerd hebben op het aanbod om voor een bedrag van tienduizend bitcoin de tools in handen te krijgen, waarna de veiling stopte.

The Equation Group is de bron van de hacktool. Beveiligingsbedrijven zoals Kaspersky vermoeden sterk dat de NSA achter The Equation Group zit, vanwege de aard en complexiteit van de aanvallen van deze hackersgroepering, die al sinds 2001 en mogelijk langer operationeel is. Volgens Shadowbrokers werken er voormalige werknemers van The Equation Group bij techbedrijven, waaronder Microsoft. Ook bij Googles Project Zero zouden personen van The Equation Group betrokken zijn, vermoeden de Shadow Brokers: "Project Zero brengt een wormable zero-day uit en Microsoft patcht deze in recordtijd, wetende dat het kwam. Is dat toeval?" Daarnaast hint de groep erop dat Microsoft betaald krijgt om kwetsbaarheden niet te patchen of om patches achter te houden.

Shadowbrokers zou zelf begin dit jaar screenshots van Windows-exploits hebben laten zien om Microsoft de gelegenheid te geven de kwetsbaarheden te patchen, is de claim. De exploits werden later vrijgegeven en een ervan, Eternalblue, maakt gebruik van een kwetsbaarheid in het SMB-protocol. Die kwetsbaarheid wordt nu door de ransomware WannaCry misbruikt.

Reacties (161)

Ik snap werkelijk niet waarom iedereen het de NSA kwalijk neemt dat zij deze hacks hebben gemaakt? De politie heeft standaard een koevoet en stormram in de auto liggen om deuren open te breken. Opsporingsdiensten MOETEN kunnen inbreken op computers om terrorisme of zware criminaliteit aan te pakken. Vaak gebruiken deze organisaties VPN of andere versleuteling, dus direct meekijken op het apparatuur is een must.

Hoe ga je dit doen, als je nergens naar binnen kunt? Juist: zelf een lek vinden en deze uitbuiten. Ik wil niet eens weten hoeveel mensenlevens er zijn bespaard door de NSA/FBI/AIVD of andere instanties.

Waarom mogen zij dan wel inbreken en ik niet? Heel simpel: een politieauto mag indien nodig, ook harder rijden dan toegestaan. Defensie mag beschikken over explosieven. De AIVD mag beschikken over opsporingstechnieken waar jij niet over mag beschikken. De recherche mag jouw internet en telefoon tappen. Ik zie geen enkel verschil met computers.

Open internet:
We willen allemaal een open een vrij internet, maar wat is open en wat is vrij? Ik zet deze vraag altijd af tegen de wetgeving op straat. Hierbij is het verboden om iemand te bedreigen, te bestelen, te chanteren, of heel simpel: anoniem rond te lopen of zich als een ander persoon voordoen. Willen we van het internet echt het wilde westen van vroeger maken? Geen regels, gewoon doen wat je wilt doen?

Je kunt er niet op vertrouwen dat een internet, zoals het wilde westen gaat werken.We hebben gezien wat voor ellende dat met zich mee brengt en uiteindelijk zijn onschuldige burgers weer de klos.

Verbieden:
Als blijkt dat bepaalde diensten op het internet als doel hebben om crimineel te worden misbruikt, dan moet daar net zoals bij een Motorclub, of een Pedoclub gewoon een verbod op komen met als doel om de maatschappij te beschermen.

Ik ben zeer benieuwd wat overheden de komende jaren in gedachte hebben en hoe zij het internet veiliger denken te maken.

De politie heeft standaard een koevoet en stormram in de auto liggen om deuren open te breken.

Dat is het equivalent van een bruteforce. Dat doe je bij een verdachte maar niet bij ieder rijtjeshuis in de straat.

Opsporingsdiensten MOETEN kunnen inbreken op computers om terrorisme of zware criminaliteit aan te pakken....Hoe ga je dit doen, als je nergens naar binnen kunt?

Dan kunnen ze gebruik maken van bruteforce en gericht afluisteren.

Juist: zelf een lek vinden en deze uitbuiten.

Als de verdachten het niet goed hebben afgeschermd prima. Maar je gaat ook niet iedereen verbieden om zijn voordeur op slot te doen.

Ik wil niet eens weten hoeveel mensenlevens er zijn bespaard door de NSA/FBI/AIVD of andere instanties.

Precies 2. Oeps, je wilde het niet weten sorry hoor.

Waarom mogen zij dan wel inbreken en ik niet?

Een inbreker mag ook niet inbreken maar die heeft ook die koevoet en andere apparatuur.
Als de politie, AIVD, NSA of de TSA die heeft dan heeft de crimineel die ook.

De AIVD mag beschikken over opsporingstechnieken waar jij niet over mag beschikken.

Exploits en securitybreaches zijn geen opsporingstechnieken.

De recherche mag jouw internet en telefoon tappen.

Mits toestemming van de rechter.

Ik zie geen enkel verschil met computers.

Het enige verschil is dat ze telefoon alleen gericht mogen tappen en internet en computers blijkbaar ook via sleepmethodiek.

Open internet:
We willen allemaal een open een vrij internet, maar wat is open en wat is vrij? Ik zet deze vraag altijd af tegen de wetgeving op straat. Hierbij is het verboden om iemand te bedreigen, te bestelen, te chanteren, of heel simpel: anoniem rond te lopen of zich als een ander persoon voordoen.

Op internet ben je niet meer anoniem

Willen we van het internet echt het wilde westen van vroeger maken? Geen regels, gewoon doen wat je wilt doen?

NSA, AIVD GQHC e.d. doen gewoon wat ze willen, praktisch zonder regels

Je kunt er niet op vertrouwen dat een internet, zoals het wilde westen gaat werken.We hebben gezien wat voor ellende dat met zich mee brengt en uiteindelijk zijn onschuldige burgers weer de klos.

Dat zijn ze nu al.

Verbieden:
Als blijkt dat bepaalde diensten op het internet als doel hebben om crimineel te worden misbruikt, dan moet daar net zoals bij een Motorclub, of een Pedoclub gewoon een verbod op komen met als doel om de maatschappij te beschermen.

Exploits, vooral zero-days worden crimineel misbruikt, ongeacht of ze bij NSA of AIVD bekend zijn of niet. Zelfs als genoemde organisaties ze intern kunnen houden, dan worden ze vroeg of laat door anderen ontdekt en dat kan zelfs eerder zijn als dat NSA/GQHC/AIVD ze vonden.

Ik ben zeer benieuwd wat overheden de komende jaren in gedachte hebben en hoe zij het internet veiliger denken te maken.

Volgens mij ontbreekt de visie, behalve misschien bij Putin.

Veiligheidsdiensten doen wel meer dingen buiten de wet om. De oude benaming "geheime dienst" dekt de lading beter. Op zich heb ik met de bezigheden van de veiligheidsdiensten niet zo'n groot probleem. Dat is nog min of meer gecontroleerd. Of je het nu met hun werkwijze eens bent of niet, we profiteren er allemaal wel van.

Als de ontwikkelaars van antivirus/malware tools handig zijn nemen ze via een schuilnaam ook een abonnement. Dat komt ons gebruikers weer ten goede. Shadowbrokers lijkt de grens van gierigheid tov "dienstverlening" te zijn overschreden en wordt zo alleen maar gemakkelijker te bestrijden.

Veiligheidsdiensten doen wel meer dingen buiten de wet om. De oude benaming "geheime dienst" dekt de lading beter.

Klopt. Echter in de oude tijd hadden ze een duidelijke vijand, nu is die er niet en omdat ze de vijand niet meer kunnen onderscheiden maken ze de gewone burger tot vijand.

Op zich heb ik met de bezigheden van de veiligheidsdiensten niet zo'n groot probleem. Dat is nog min of meer gecontroleerd.

Op de AIVD en MIVD is nog enige controle maar NSA en CIA zijn echt gevaarlijk geworden. Het is zelfs niet volledig uit te sluiten dat ze achter de moord op Kennedy zaten. [/quote]
Ter info:
https://en.wikipedia.org/...ted_States#Covert_actions
https://en.wikipedia.org/...ntral_Intelligence_Agency
https://en.wikipedia.org/...state-sponsored_terrorism
Toen het echter nodig was (Tjechoslovakije, Roemenië, Koreaanse oorlog (China) faalden ze). achteraf heeft de CIA waarschijnlijk meer kwaad gedaan dan goed.

Of je het nu met hun werkwijze eens bent of niet, we profiteren er allemaal wel van.

Zonder hun waren er geen Mujahedin, geen Al Qaida, geen ISIS.

Als de ontwikkelaars van antivirus/malware tools handig zijn nemen ze via een schuilnaam ook een abonnement. Dat komt ons gebruikers weer ten goede. Shadowbrokers lijkt de grens van gierigheid tov "dienstverlening" te zijn overschreden en wordt zo alleen maar gemakkelijker te bestrijden.

Dan worden ze beschuldigd met de malwaremakers onder een hoedje te spelen. Nee Microsoft zou daar nog mee weg komen, Symantec McAffee en dergelijke, bij uitkomen, niet.

[Reactie gewijzigd door BeosBeing op 16 mei 2017 16:54]

Je vergelijking slaat als een tang op een varken. Een koevoet is een nuttig stuk gereedschap, wat ontstaan is vanuit een andere wens dan inbreken. Het kan ook voor inbreken gebruiktworden, maar daar is het oorspronkelijk niet voor gemaakt. Verder is een koevoet niet door de overheid ontwikkeld.

De exploits daarentegen dienen geen enkel ander doel dan inbreken op computers en zijn, in het geval van de NSA exploits zijn ze door de overheid gemaakt. Opsporingsdiensten MOETEN helemaal niet kunnen inbreken op computers, waar haal je die quats vandaan.

Levens gered? Ik wil daar eerst de bewijzen wel eens van zien. Het hele verhaal van terrorisme wordt sterk aangedikt om de normale burger haar recht op privacy af te nemen. Ik wil het gevaar niet ontkennen, maar als het zo kritisch was dan zouden er dagelijks bommen ontploffen, vrachtwagens op menigtes inrijden enz. Want zo moeilijk is het niet om een terroristische aanslag te plegen.

Verder; wat voor prutsers zijn het dan bij de NSA dat hun tools om in te breken, op de markt terecht komen. Om jouw niet kloppende analogie door te trekken; dat zou vergelijkbaar zijn met als criminelen handelen in politievuurwapens.

Ik snap werkelijk niet waarom iedereen het de NSA kwalijk neemt dat zij deze hacks hebben gemaakt? De politie heeft standaard een koevoet en stormram in de auto liggen om deuren open te breken.

Als die koevoet honderdduizenden deuren in 150 landen tegelijkertijd open kan maken zonder dat je er bij hoeft te zijn, en als hij door iedereen te kopieren en te 3D-printen is, dan moet de politie die koevoet ook niet in zijn auto hebben liggen.

Maar je vergelijking loopt mis. De hacks van de NSA zijn geen koevoet of stormram (bruteforce) maar zijn net zoals lopers. Je kan ergens binnen gaan zonder dat de eigenaar het opmerkt en zonder dat het te controleren valt.

Hoe zou jij het vinden dat de politie morgen zomaar even cameras en microfoons in je huis komt installeren om zo meer over je te weten te komen zonder dat je het zelf weet? Ga jij dat aanvaarden in naam van de veiligheid?

Zij vinden een lek dat enorm zware gevolgen kan hebben voor de veiligheid van het land en zijn burgers. Dan is het hun godverdomde plicht om het land te beschermen en dat lek te melden aan de softwaremaker in plaats van het zelf te gaan misbruiken. Het is al erg genoeg dat de US government van MS patches sneller krijgt dan de rest van de wereld

Als we de afgelopen jaren 1 ding geleerd moeten hebben, dan is het wel dat de exploits die ze zelf ontwikkellen ook niet geheim blijven en ook aan de oppervlakte komen. Dan kan je niet langer blijven zeggen dat ze goed bezig zijn en zo verder moeten doen. Dan wordt het tijd dat ze transparanter worden en de softwaremakers gaan inlichten wanneer ze zulke problemen tegenkomen.

En voor het opsporen van criminelen en terroristen? Wat is er mis met goed ouderwets opsporingswerk?

Hoe zou jij het vinden dat de politie morgen zomaar even cameras en microfoons in je huis komt installeren om zo meer over je te weten te komen zonder dat je het zelf weet? Ga jij dat aanvaarden in naam van de veiligheid?

Euh dat wordt al heel lang gedaan en is de normaalste zaak van de wereld. Maar nooit "zomaar". Altijd met goedkeuring van een rechter indien er aanwijzingen toe zijn.

Hij maakt net het punt dat de nsa op internet praktijken toelaat waar geen rechter aan te pas komt. En waar de burger ook niets van weet, ook de onschuldige niet.

Het probleem is niet het middel maar het ongecontroleerd inzetten van het middel. Lees de rechterlijke controle.

Hoe zou jij het vinden als het bij jou thuis zou gebeuren zonder rechterlijke toetsing en zonder dat men je vervolgens voor de rechter daagt. Maw. We gebruiken het middel tegen jou zonder er verder iets mee te doen...puur gewoon omdat het kan.

[...]

Euh dat wordt al heel lang gedaan en is de normaalste zaak van de wereld. Maar nooit "zomaar". Altijd met goedkeuring van een rechter indien er aanwijzingen toe zijn.

Oh ja? Nooit gehoord van een internetcrimineel die de rechter om toestemming vroeg, of van een foreign agent/agency die hetzelfde vroeg aan een Nederlandse rechter.

Probleem van dit soort exploits zoeken en niet melden is dat iedereen hem vroeger of later in handen krijgt. Exploits zoeken is goed, geheim houden niet. Wannacry bewijst het.

En voor het opsporen van criminelen en terroristen? Wat is er mis met goed ouderwets opsporingswerk?

Tja, de maatschappij veranderd, criminelen en hun faciliteiten ook. Daarom vind ik juist dit argument niet heel sterk.

Vergis je niet, ik ben het niet eens met de stand van zaken. Maar je moet de huidige situatie wel goed beschrijven. In het geval van deze vergelijking: Het gaat niet om een loper, maar een trucje om een slot te omzeilen. In plaats van dat bijvoorbeeld de politie dat meld aan de bewoner, houd deze het voor zich voor het geval ze zelf ooit naar binnen willen. Nadeel hiervan is dat de bewoner zich niet kan indekken en er tevens geen garantie is dat een inbreker niet achter dit trucje gaat komen. Uiteraard gaat dat na verloop van tijd wel gebeuren.

Er is gewoon meer technische competentie nodig binnen de relevante korpsen/diensten, op alle niveaus.

Vergis je niet, ik ben het niet eens met de stand van zaken. Maar je moet de huidige situatie wel goed beschrijven. In het geval van deze vergelijking: Het gaat niet om een loper, maar een trucje om een slot te omzeilen. In plaats van dat bijvoorbeeld de politie dat meld aan de bewoner, houd deze het voor zich voor het geval ze zelf ooit naar binnen willen. Nadeel hiervan is dat de bewoner zich niet kan indekken en er tevens geen garantie is dat een inbreker niet achter dit trucje gaat komen. Uiteraard gaat dat na verloop van tijd wel gebeuren.

Ze hebben express de beveiliging van alle systemen tenietgedaan omdat ze oneigenlijke toegang wilden hebben tot systemen. Daar moeten ze gewoon eens verantwoordelijkheid over afnemen, als een gewone burger zo een exploit verzwijgt zal hij direct bestempelt worden als een crimineel.

Eigenlijk zou ik het nog niet eens met een loper willen vergelijken. Eerder dat een bepaald type deur "spontaan" van het slot gaat als je met de klink een SOS signaal maakt ofzo. In ieder geval iets dat iedere willekeurige crimineel zelf óók zou kunnen..

Alleen kunnen deze exploits niet alleen tegen "terroristen" worden gebruikt, maar vrijwel ELK ander persoon wanneer men de exploit voor zich zelf houd. We weten onderhand allemaal wel dat de NSA zich niet aan de regels houd. Daarbij kan het zijn dat niet alleen de NSA dit soort exploits heeft maar ook andere criminelen en je ziet wat zoiets dus kan doen.

We hebben het hier niet om een koevoet die de deur open kan kraken maar om exploits die bedrijven en miljoenen gebruikers om zeep kan helpen. Volgens jouw redenerig mag de politie in elk huis een camera plaatsen omdat het kan zijn dat er in één huis een crimineel woont, gewoon BELACHELIJK. De NSA is hier gewoon mede aansprakelijk voor.


Door dit hele wannacry gebeuren laat men maar weer eens zien hoe rampzalig sommige bedrijven omgaan met hun data.

[Reactie gewijzigd door [Remmes] op 16 mei 2017 14:23]

Een opsporingsdienst mag niet zomaar iemand "hacken" zonder dat er een redelijke verdachtmaking is, of verbanden zijn met criminele activiteiten. De politie zal dan ook nooit in ieder huis een camera ophangen, of de computer infecteren om een toevallige crimineel te pakken. Dat is zoals ze mooi zeggen: common sense.

Dat een criminele organisatie achter de programmatuur is gekomen van de NSA, maakt de NSA niet mede verantwoordelijkheid. Het is deze criminele organisatie die ZELF heeft besloten om de hack uit de buiten.

Dat de NSA zijn boekje te buiten is gegaan is duidelijk en daar zijn al genoeg berichten over in het nieuws gekomen en ook de NSA dient zich aan de wet te houden, doen zij dit niet, dan is de wet daar om ze te corrigeren.

Echter heeft dat niets te maken met het feit dat zij backdoors mogen maken. Dat is hun taak: informatie verzamelen zonder dat die gene daar achterkomt. Het is kwalijk dat de programmatuur op straat is komen te leggen: JA! Is het kwalijk dat zij deze programmatuur maken: NEE, dat is noodzakelijk.

Amerikaanse opsproringsdiensten mogen iedereen hacker en afluisteren zonder toestemming van een rechter. Er is slechts 1 uitzondering: namelijk de Amerikaanse burger. Die mag men niet zomaar hacken of bespioneren en daarvoor is onder andere een FISA rechtbank. Deze heeft in het verleden bevelen uitgegeven om de wandelgangen van Trump medewerkers te onderzoeken..

Je zegt dat de politie niet in elk huis een camera ophangt om toevallig een crimineel te pakken. Hoe lang heeft de belastingdienst niet camera's op de snelweg misbruikt om te controleren of een lease auto alleen zakelijk wordt gebruikt? Die camera's waren daarvoor niet geplaatst. Gelukkig heeft de rechter dat terug gefloten, maar je weet niet welke overheidsdiensten nog meer deze verkeerscamera's misbruiken..

Heb jij je weleens afgevraagd waarom de CIA geen operaties op Amerikaans grondgebied mag uitvoeren? Dat is juist om belangenverstrengeling tegen te gaan.

Aangezien de WannaCry malware is gebaseerd op de NSA exploits, kunnen wij dan nu de CIA/NSA (of de Amerikaanse overheid) aansprakelijk stellen voor de geleden schade? Want we komen nu ineens bij een baten/inkomsten onderzoek uit.. Ofwel hoeveel gevangen terroristen kan de CIA/NSA zetten tegenover een miljarden schadepost.

Dat veiligheidsdiensten exploits 'vertraagd' doorgeven zou ik nog enigszins kunnen accepteren, echter na maximaal drie maanden dient men de exploit te melden. Er bestaat ook nog zoiets als maatschappelijk verantwoord bezig zijn, want nu me help van NSA tool ineens een ziekenhuis aangevallen. Hoeveel doden zijn letterlijk volgens jouw acceptabel om een exploit geheim te houden? Want alleen al in het VK ging het om 16(!) ziekenhuizen..

WannaCry is gelukkig alleen 'maar' randsomware. Maar wat als de exploit ineens recepten gaat veranderen of medische gegevens wist.. Er zijn aanwijzingen dat Noord-Korea achter WannaCry zou zitten. Even los of dit wel of niet klopt, enig idee wat een IS terrorist met de NSA tools kan aanrichten? Het is trouwens niet de eerste keer dat hacking tools van de overheid in 'verkeerde' handen terecht komt, of is iedereen alweer StuxNet vergeten?

"Een opsporingsdienst mag niet zomaar iemand "hacken" zonder dat er een redelijke verdachtmaking is"

Ja want de NSA volgt strict de regels, toch?

"Dat een criminele organisatie achter de programmatuur is gekomen van de NSA, maakt de NSA niet mede verantwoordelijkheid."

Ze hebben een zeer ernstig exploit (meerdere zelfs) achter gehouden en niet gemeld bij de maker van de software. Als ze dat wel hadden gedaan dan hadden we dit hele gebeuren nu waarschijnlijk niet gehad. Daarbij weet je met exploits nooit of je de enige bent die het gevonden heeft, voor het zelfde geld heeft een crimineel het ook gevonden en die kan het dan ook lekker door blijven gebruiken want de software maker weet van niets. En omdat het dus openbaarlijk misbruikt is door een crimineel is de NSA opeens niet aansprakelijk? Hou toch op.

En dan weer altijd aankomen met "terrorisme" en "pedofielen" want dat dringt zo lekker binnen bij de mensen, maar ondertussen wel de privacy en veiligheid van anderen naar de kloten helpen.

Als de wereld zo zwart/wit was, dan had je helemaal gelijk. Heel duidelijk wie de slechteriken zijn en wie de goeieriken. Dan zou je zelfs nog een beetje weg kunnen komen met het dogma:

"ze mogen alles van me weten, ik heb niks te verbergen."

Want dat is eigenlijk de strekking van je reactie.

Ik ben me zo rond de gebeurtenissen van 9/11 extreem gaan interesseren voor wie er nu echt de macht hebben in de wereld. Waarom gebeuren oorlogen nu echt en waarom komen de kei harde leugens nu eens niet van de gedoodverfde "slechteriken" hoek, maar juist van de "goeieriken" hoek? Massavernietigingswapens in Irak etc. Of neem een recenter voorbeeld, Syrië, waarom is daar nu echt oorlog? Lees eens een artikel als dit en kijk ook even wie het heeft geschreven:

Syria: Another Pipeline War

Door de jaren heen heeft deze dorst naar informatie een beeld geschapen, waardoor zon reactie als die van jou met de bijbehorende plusjes me zorgen baard. Waarom is dit allemaal relevant? Omdat ik ervan ben overtuigd dat je wereldbeeld niet compleet is. Goed is helaas niet altijd goed en slecht is helaas niet altijd slecht.

Verdiep je eens in wat andere invalshoeken en dan zie je vanzelf een rode lijn. Zomaar eens een selectie die ik je kan aanraden:

How big oil conquered the world
www.youtube.com/watch?v=ySnk-f2ThpE

Empire - The Rise of the Oligarchs
www.youtube.com/watch?v=cN8esxNb1t0

Everything Is A Rich Man's Trick
www.youtube.com/watch?v=U1Qt6a-vaNM

ZEITGEIST: THE MOVIE
www.youtube.com/watch?v=pTbIu8Zeqp0

Ik ben benieuwd of je dan nog steeds met die kennis zo happig erop bent om NSA overal toegang tot te geven? Mogen ze dan nog steeds alles van je weten, de 'goeieriken'?

Dus neem ik het de NSA kwalijk dat ze deze hacks hebben gemaakt? Als je je eens verdiept in wie de macht over ze heeft, dan zou jij het ze ook kwalijk nemen. Het gaat namelijk helemaal niet om het kwaad te bestrijden, het gaat erom om het kwaad te faciliteren onder de vlag van goed.

Ook interessant is het boek: 'Je hebt wel iets te verbergen' van Maurits Martijn & Dimitri Tokmetzis

Dat richt zich nog niet eens zozeer op de overheid maar op wat bedrijven allemaal met onze data doen zonder dat wij dat weten. De wereld van Big data is wat dat betreft ook schimmig. Als consument is het onmogelijk te achterhalen waar je informatie precies naartoe gaat en aan welke partijen dit verkocht wordt.

Juist daarom zouden we nu harden ervoor moeten vechten dan ooit. Het fascineert me hoe weinig historisch besef er is. De hele geschiedenis zit vol met voorbeelden van een elitaire bovenlaag die parasiteert op de lagen eronder, maar nu in het westen zou daar ineens na eeuwen tegenbewijs, geen sprake van zijn?

Ze houden ons lekker bezig en verdoofd. Net genoeg vrijheid om niet aan de bel te trekken, net genoeg schulden en verplichtingen om eigenlijk geen noemenswaardige stappen te kunnen maken. Het is gewoon een geperfectioneerd systeem.

Mijn enige hoop is dat ze zo arrogant worden van jaren lang overal mee weg komen dat er ooit eens een fout wordt gemaakt die het kaartenhuis laat instorten. Hoe dieper je graaft, hoe gruwelijker het wordt.

https://www.youtube.com/watch?v=vBSIDQt5Dwc

Links thuis bekijken, BTW Zeitgeist deel 1,2,3 aanrader.

Voor diegenen die interesse hebben in (geo)politiek is "The Dictator's Handbook: Why Bad Behavior is Almost Always Good Politics" van Bruce Bueno de Mesquita ook absoluut een aanrader. Klein voorproefje: https://www.youtube.com/watch?v=rStL7niR7gs

Verklaart een hoop zaken die politici uitvoeren, die voor ons burgers soms onbegrijpelijk lijken.

Hoe ga je dit doen, als je nergens naar binnen kunt? Juist: zelf een lek vinden en deze uitbuiten. Ik wil niet eens weten hoeveel mensenlevens er zijn bespaard door de NSA/FBI/AIVD of andere instanties.

Mijn olifantenafweringsysteem lijkt ook effectief te zijn. Er heeft immers nog geen 1 olifant binnengebroken . Ik wil niet weten hoeveel opknapwerk me dit al bespaard heeft.

Waarom mogen zij dan wel inbreken en ik niet? Heel simpel: een politieauto mag indien nodig, ook harder rijden dan toegestaan. Defensie mag beschikken over explosieven. De AIVD mag beschikken over opsporingstechnieken waar jij niet over mag beschikken. De recherche mag jouw internet en telefoon tappen. Ik zie geen enkel verschil met computers.

Het probleem is dat in de cyberwereld, je je doos wapens veel makkelijker bovenhaald. Die indien nodig is arbitrair definieerbaar. Wij hebben niks tegen de bestrijding van de criminaliteit. Maar we willen een goede en werkbare balans en soms betekent dat een paar mensen laten gaan. De uitvinders van de atoombom dachten ook dat ze oorlog de wereld gingen uithelpen.

Mijn olifantenafweringsysteem lijkt ook effectief te zijn. Er heeft immers nog geen 1 olifant binnengebroken .

Totdat je er achterkomt dat het al geruimte tijd gebroken is en dus niet blijkt te werken:
Olie eruit fantje erin en alles bekijken.

Probleem met deze praktijken naar de digitale wereld te brengen is dat iedereen hetzelfde slot heeft en ook iedereen hierdoor overal ter wereld naar binnen kan komen.
Dat is even wat anders dan 1 arrestatieteam voor 1 huis. Die voordeur moeten ze hardhandig kraken, als er 1 sleutel zou bestaan waarmee alle deuren openkunnen zou ook iedereen staan te schreeuwen dat dat niet veilig is en makkelijk misbruikt kan worden.

Hetzelfde geldt voor moedwillig achterhouden van zwakke punten (al dan niet zelf geïntroduceerd), daarmee maak je het voor iedereen onveilig want de NSA is niet alleen in het vinden, achterhouden en gebruiken van beveiligingslekken.
Dat is in de digitale wereld niet anders en zelfs versterkt want INTERnet. De Nederlandse wet kan van alles zeggen maar dat zal het team in Bangladesh een worst zijn.

[Reactie gewijzigd door Mathi159 op 16 mei 2017 14:37]

Je kan het ook anders bekijken. De politie inspecteert jouw huis op potentiële zwakke plekken en houd deze informatie lekker voor zichzelf om vervolgens makkelijker bij criminelen in te breken met eenzelfde huis. Criminelen komen er vervolgens achter hoe de politie makkelijk bij hun inbreekt om dit vervolgens toe te passen op jouw huis.

Maar goed, ik vond de hele vergelijking tussen de politie met hun koevoetje en de NSA al een beetje krom, dus negeer gerust wat ik zeg.

Ik had gewoon liever gezien dat ziekenhuizen wat minder kwetsbaar waren geweest. Zij waren in de veronderstelling dat hun Windows systemen veilig waren, maar je kan niet even patch binnen x tijd zomaar uitrollen in een ziekenhuis.

Dus als de politie weet dat je voordeur van je huis gemakkelijk open kan door je brievenbus of een zwak slot dan moet de politie jou niet inlichten?

De politie komt ook bij mij thuis om te zeggen dat mijn deur nog open staat of het slot niet voldoet, etc.
Het is de taak van de overheid om grote en kleine problemen te voorkomen. De NSA mag best tools ontwikkelen die gebruik maken van gaten die ze vinden. Die gaten moeten ze echter wel doorgeven zodat ze gepatched kunnen worden. De NSA kan vervolgens nog wel een jaartje vooruit met hun eigen tool, voordat iedereen gepatched is.

Je analogie is verkeerd door te stellen dat exploits alleen door veiligheidsdiensten misbruikt mogen worden. Dat is wel lief en aardig, maar een exploit is een exploit, en niet alleen veiligheidsdiensten (laat staan -bevriende- veiligheidsdiensten) maken daar gebruik van, zoals recent maar weer eens duidelijk wordt.
Je gaat mensen toch ook niet verplichten om een sleutel onder elke deurmat te leggen zodat de politie de deur open kan maken indien je van een misdrijf verdacht wordt? Dus waarom moet er maar wel overal een omweg om encryptie heen ingebouwd worden?

Niet zo vreemd dat er geen geld geboden wordt. Als koper heb je namelijk geen enkele garantie dat de data niet nog eens verkocht wordt, behalve een paar anonieme figuren die plechtig beloven dat niet te zullen doen. Daarnaast zouden ze ook (tegen betaling) kunnen doorgeven aan wie ze het verkocht hebben, waar ook niemand op zit te wachten.

buiten het immense doelwit wat je op je eigen rug plakt als je dit zou kopen. Ik gok dat je zo ongeveer wereldwijd persona non grata gaat worden als je naam ooit uit komt.

De claim dat Microsoft bewust exploits open laat, ter bate van hun eigen nationale veiligheidsdiensten zoals de NSA is wel zorgelijk voor Europese bedrijven natuurlijk. Er is bijna geen enkel Europees bedrijf dat geen Amerikaanse software gebruikt. Terwijl wij in Europa toch op al die Amerikaanse systemen behoorlijk waardevolle en belangrijke en waardevolle informatie maken, bewaren en bewerken.

Het is andersom. De NSA meldt de exploits die ze vinden niet altijd, waardoor Microsoft geen goed beeld heeft over hoe gevaarlijk sommige van die dingen zijn.

Voor de liefhebbers een simplistische uitleg over de werking van de laatste nieuwswaardige aanvallen:
https://www.youtube.com/watch?v=88jkB1V6N9w

De NSA staat daarin niet alleen. Hier in Nederland is onlangs ook een wet aangenomen om ditsoort gevaarlijke situaties zo lang mogelijk in stand te houden:
http://nos.nl/artikel/214...-met-hackwet-politie.html

Helemaal waar. Het is bijna hypocriet om vingertje te wijzen naar de US of NSA, 'we' doen het allemaal, en de NSA misschien iets beter dan de AIVD.

OT: Microsoft moet zich abonneren en klaar is klara, toch?

Microsoft moet zich abonneren en klaar is klara, toch?

Lijkt me niet; dan ondersteun je een criminele organisatie?

Ik denk niet dat Q-park het met je eens is dat bedrijven niet in het nadeel zijn door deze opzettelijke grove nalatigheid van overheidsinstanties.

advocaat van de duivel: Aan de andere kant is het natuurlijk ook zo dat er al sinds 14-3-2017 een update voor Windows uit was om er voor te zorgen dat je niet in het nadeel was. Dat hun patchbeleid 2 maanden achter loopt is niet de fout van de overheid.

Natuurlijk heb ik liever ook dat overheden gewoon melden als er software lek is.

Houd er graag ook rekening mee dat de meeste bedrijven patches de eerste 30 dagen uitstellen het lijkt mij in dit geval aannemelijk dat qpark niet alles firstday laat patchen en de 30 dagen uitstel minstens aanhoudt tenzij de patches eerder als niet problematisch zijn uitgetest

Dan was het probleem nog op 14 april getackeld en dus niets aan de hand.

Ik denk dat Q-Park zelf grof nalatig is geweest, en daardoor schade lijdt.

ons overheid kan er wat van maar onze bedrijven zullen niet in het nadeel zijn.
Wel een amerikaans overheid want de NSA kan die gegevens doorspelen naar Europese concurrent.(airbus?)

Ja tuurlijk, de NSA gaat een Frans bedrijf voortrekken!
Het was dan ook natuurlijk andersom: gegevens van Airbus werden naar Boeing doorgespeeld.

Ik bedoelde met Airbus als in, zoals het met hun ging.
Dus nsa stal van Airbus en gaf die aan Boeing.

Dus nsa stal van Airbus en gaf die aan Boeing.

Ja maar je zei het andersom: gegevens naar de concurrent in Europa .

Het is andersom. De NSA meldt de exploits die ze vinden niet altijd, waardoor Microsoft geen goed beeld heeft over hoe gevaarlijk sommige van die dingen zijn.

Probeer maar eens hard te maken dat het andersom is. Meer dan een aanname is dit mijns inziens niet.

Microsoft werkt niet met de NSA samen.

Microsoft heeft zich te houden aan de Patriot Act en de NSA mag de Patriot Act gebruiken voor hun werk. Oftewel, ze werken wel samen, al zouden ze het graag anders willen zien

Microsoft, among a handful of tech giants fighting for greater transparency after being implicated as a participant in the NSA's controversial data collection programs, applauded the vote.

https://www.cnet.com/news...o-nsa-phone-surveillance/

[Reactie gewijzigd door Yzord op 16 mei 2017 12:49]

Dat weten we niet, want als ze dat wel doen, is het hoogstwaarschijnlijk onder een "gag order", oftwel: ze mogen het niet zeggen.

MS heeft in verleden in ieder geval data moeten afstaan aan diensten in de VS. MS gaf die partijen gewoon de ruwe encrypted data met een "GL&HF" notitie, want ze waren niet verplicht de data zelf te decrypten alvorens ze het overhandigden. Maar dat is al een jaar of 10 geleden de nek ongedraait, nu moeten ze de data unencrypted overhandigen.

Maar het zal allicht nog gebeuren onder een gag order, net als elk Amerikaans bedrijf. Dit is niet de schuld van die bedrijven, maar die van de Amerikaanse overheid. Maar alle opvragingen die zonder gag order gegeven worden, vecht MS aan. Ze werken in ieder geval niet vrijwillig samen met de NSA en consorten.

Die keus is niet aan Microsoft, want daar zijn ze namelijk bij wet toe gedwongen.

Om eventuele data van verdachten te overdragen, niet om "achterdeurtjes" open te houden.

Om eventuele data van verdachten te overdragen, niet om "achterdeurtjes" open te houden.

Neen, de manier waarop de huidige wetgeving in de VS in elkaar zit kan een dienst als de NSA of de CIA vrijwel elk willekeurig bevel opleggen aan een bedrijf en daarbij een zwijgplicht afdwingen in de naam van nationale veiligheid.

De enige toetsende macht of deze bevelen wettig zijn is een geheime rechtbank die geheime uitspraken doet waardoor het volk niet bewust is van gedane uitspraken en deze al helemaal niet kan controleren.

En al zou Microsoft via slinkse wijze deze bevelen naast zich neer kunnen leggen door duidelijke signalen af te geven dat er iets aan de hand is (wat zeer glad ijs is) zonder dit direct te doen, weerhoudt niets de NSA of CIA ervan om gewoon direct binnen de organisatie agenten de plaatsen om zodoende de backdoors alsnog in te bouwen. De kracht van een rechtstaat om de machten van overheden te scheiden wordt zwaar overschat.

Dit geldt overigens niet alleen voor Microsoft maar vrijwel elk bedrijf wat binnen de invloedssfeer van de VS ligt.

Of dit een wenselijke gang van zaken is laat ik in het midden (dat is een hele andere discussie).

En al zou Microsoft via slinkse wijze deze bevelen naast zich neer kunnen leggen door duidelijke signalen af te geven dat er iets aan de hand is (wat zeer glad ijs is) zonder dit direct te doen, weerhoudt niets de NSA of CIA ervan om gewoon direct binnen de organisatie agenten de plaatsen om zodoende de backdoors alsnog in te bouwen. De kracht van een rechtstaat om de machten van overheden te scheiden wordt zwaar overschat.

Deze zie ik wel vaker. Maar denk je nou echt dat er 1 persoon code in kan checken met een backdoor en dat die code niet door x reviewers doorgespit wordt? Bij een product als Windows met zijn tientallen miljoenen regels code wordt echt geen code doorgelaten die niet is gecontroleerd door andere ontwikkelaars en/of reviewers. Dan zouden dus ook al die reviewers bij de NSA op de loonlijst moeten staan.
Dat je meerdere 'agenten' bij een bedrijf neer kan poten dat zou nog wel kunnen lukken. Maar dat al die agenten op de juiste plekken terechtkomen om zo backdoor-code in het eindproduct terecht te laten komen.....zeer onwaarschijnlijk.

Denk dat de kans groter is dat Microsoft vrijwillig of via FISA afgedwongen meewerkt aan bepaalde aanpassingen aan hun code. En vrijwillig betekent hier dat daar vanuit de NSA (of CIA, etc) wat tegenover staat. Hetzij monetair, hetzij in de vorm van bijvoorbeeld contractgunningen. Daar zijn wel geruchten over, maar bewijzen blijft lastig (alhoewel: https://www.theguardian.c...costs-tech-companies-paid).

Dat je meerdere 'agenten' bij een bedrijf neer kan poten dat zou nog wel kunnen lukken. Maar dat al die agenten op de juiste plekken terechtkomen om zo backdoor-code in het eindproduct terecht te laten komen.....zeer onwaarschijnlijk.

Dat dacht ik ook toen ik 20 jaar geleden de geruchten over 'echelon' hoorde. "No way dat the NSA de cash heeft om overal (spy)-equipment (bij) te steken", dacht ik toen. Bleek ook niet helemaal onmogelijk (https://arstechnica.com/t...o-router-getting-implant/).

Maar wat als de NSA iemand zoals Greg Kroah Hartman en zijn analoog bij Microsoft kan chanteren/bedreigen ?

Dat dacht ik ook toen ik 20 jaar geleden de geruchten over 'echelon' hoorde.

Echelon was natuurlijk van een andere orde, en betrof het afluisteren van 'over-the-air' verbindingen. Daarvoor werd een heel schotelpark ingericht; dat maakte gebruik van zwakheden of onvolkomendheden in de gebruikte communicatie om berichten te onderscheppen.
Wel iets anders dan daadwerkelijk producten aanpassen (wat ook gebeurde, zoals jij in jouw tweede voorbeeld aanhaalt).

Zelfs als je iemand chanteert, dan nog denk ik dat je niet veel verder komt. Een beetje professioneel bedrijf laat ontwikkelaars niet rucksichtlos code in hun product kwakken. Daar moet altijd een review(er) bij komen kijken.

Trouwens, mocht de NSA daadwerkelijk overgaan tot het chanteren en/of bedreigen van personen, dan betekent dat tenminste 2 dingen:

• kennelijk kunnen ze niet op een andere manier de apparatuur naar hun hand zetten (da's een plus voor ons!)
• met dat soort praktijken ben je niet veel beter dan bijvoorbeeld de Cosa Nostra. Een criminele organisatie.

Laten we hopen dat ze zich nog niet tot dat nivo verlaagd hebben; maar ik sluit niets uit...

Echelon was natuurlijk van een andere orde, en betrof het afluisteren van 'over-the-air' verbindingen. Daarvoor werd een heel schotelpark ingericht; dat maakte gebruik van zwakheden of onvolkomendheden in de gebruikte communicatie om berichten te onderscheppen.

Ik weet het niet meer precies. Ik was heel jong toen en het was overhypt

Laten we hopen dat ze zich nog niet tot dat nivo verlaagd hebben; maar ik sluit niets uit...

Het is altijd zwaar oblazen met organisaties die zich buiten de wet gedragen. Legaal of illegaal. Niet veel mensen zijn 'macht' echt waardig .

[Reactie gewijzigd door goarilla op 16 mei 2017 16:49]

Bij een product als Windows met zijn tientallen miljoenen regels code wordt echt geen code doorgelaten die niet is gecontroleerd door andere ontwikkelaars en/of reviewers.

Ik denk dat de meeste code helemaal niet wordt gecontroleerd door een tweede persoon.

De manier waarop Microsoft met de overheid omgaat wbt veiligheid is anders drastisch veranderd. Zie ook de rechtzaak over het doorspelen van gegevens uit Ierland. Nee, die zijn geen vriendjes meer.

Dat is de ruildienst die is voorgesteld toentertijd. De grote tech bedrijven weten ook dat het hun klandizie kan kosten als hun participeren met de NSA. Maar Bush heeft ze gedwongen om mee te laten werken. Dus is er voorgesteld om dit soort rechtszaken te mogen houden om hun geloofwaardigheid enigszins omhoog te krikken/houden.

Anders zou het voor ze hun doodsteek zijn natuurlijk als men erachter komt dat ze meewerken aan de nukken van de NSA.

Heb je daar ook bewijs voor of komt dit onder je aluminium hoedje vandaan?

Zijn er er dan bewijzen dat het niet zo is?
1 ding weet je wel zeker Amerika heeft schijt aan ons (europeanen) privacy...zo wat de hele NSA werk praktijk is een bewijs daarvoor.

Als @Yzord met dergelijke dreigementen en beschuldigingen komt, moet hij het bewijs leveren, niet ik.

Hij zal ook gewoon ideeen aan het lossen zijn. Maar ik vind het toch een interessante:
Microsoft weerstaat NSA, vreest voor zijn bottom-line. Ook criminelen computeren.

wat is je bron?

Waar beweer ik uberhaupt dat het wel zo is?

Als je met zo'n stelling komt, lijkt me dat je die ook kunt onderbouwen.

https://www.cnet.com/news...o-nsa-phone-surveillance/

Daarom is het ook zo jammer dat er hier nu allemaal van die stoelgang remmende wetten (zo als de petwet) door worden gejaagd. Persoonlijk ben ik namelijk voornamelijk van mening dat wij als land zijnde prima instaat zijn om voor Europa te worden qua tech wat Amerika nu is voor de gehele wereld als land.

[Reactie gewijzigd door Overlord2305 op 16 mei 2017 13:31]

Dan zal het investeringsklimaat binnen de EU toch flink moeten veranderen. 1 van de redenen waarom Amerikaanse bedrijven zo'n groot marktaandeel hebben, is het feit dat het voor een Amerikaanse start-up aanzienlijk makkelijker is om investeringen rond te krijgen dan een start-up die in Nederland begint.

Vergeet ook niet de belastingsvoordelen die Nederland (als enige land ter wereld) biedt aan buitenlandse bedrijven

Zie https://www.npo.nl/zembla/08-02-2017/VARA_101381836

[Reactie gewijzigd door twicejr op 16 mei 2017 12:45]

het feit dat het voor een Amerikaanse start-up aanzienlijk makkelijker is om investeringen rond te krijgen dan een start-up die in Nederland begint.

Om maar te zwijgen wat een faillissement hier met je doet. Waar de herkansingen in de VS toch wat vriendelijker zijn.

Ik denk zelfs dat microsoft bewust bug patches achter houd, om er zelf geld aan te verdienen.

Aangezien de noodpatch van gelopen vrijdg voor XP, als in Februarie gemaakt waren.
https://www.theregister.c...ft_stockpiling_flaws_too/

Microsoft heeft met een bepaald aantal partijen een appart supportafspraak gemaakt. Deze betalen duur voor de verdere updates op XP. Deze partijen krijgen dus nog normale updates en security updates. Voor deze partijen worden deze ook gewoon gemaakt.
Bij deze grote virus aanval als 'wanacry' heeft microsoft besloten de security update aan iedereen vrij te geven om zich te beschermen. En dit vind ik een hele goede zet van microsoft.

Ik had die patch anders al. Dat Windows XP deze niet kreeg heeft ermee te maken dat deze niet meer supported is. Dan vind ik het eigenlijk heel netjes van ms dat ze alsnog een patch uitbrengen. Ze hadden ook niks kunnen doen want het valt buiten de support en er is niks wat je daartegen kan beginnen.

Je kennis moet erg gelachen hebben toen hij je wachtwoord resette via een SSH account waar hij de sleutels van heeft.
Sorry maar binaire code lezen en 'praten' tegen een computer op magische manieren waar geen tools voor zijn...
Het kan best zijn dat hij van allerlei onbekende zero-days en minder onbekende methoden gebruik heeft gemaakt om toegang te krijgen maar het lijkt me waarschijnlijker dat hij je voor de gek heeft gehouden en gebruik heeft gemaakt van een gat in je beveiliging dat je zelf hebt opengehouden.

SSH-Agent forwarding considered harmful.

http://rabexc.org/posts/pitfalls-of-ssh-agents

Toevallig kwam ik nog een video van je kennis tegen.

Dat terzijde, je gaf al aan een poort voor shell toegang open te hebben. Need I say more?

Je kan me veel wijs maken maar dat iemand voor jou gewoon even je wachtwoord reset door je lokale netwerk te hacken en daarna je linux ook nog eens kraakt, puur om alleen je wachtwoord te resetten niet.

Klinkt meer als de NSA's natte droom

NSA

Een vermakelijk verhaal, dat is het wel inderdaad! Misschien wel zo'n goed verhaal dat ze er een 4K bluray over kunnen maken!

Toch heb ik het vermoeden als 40-50 jaar oude "echte" IT-er van vroeger dat je in het ootje bent genomen! Er kan heel veel, maar wat jij beschrijft is wel een heel erg sterk verhaal

Toch heb ik het vermoeden als 40-50 jaar oude "echte" IT-er van vroeger dat je in het ootje bent genomen!

Ik denk dat hij niet makkelijk in het ootje te nemen is hoor, als hij het ook al voor elkaar krijgt om zijn SSH op een non-standard priveleged port te laten draaien...

Het "leuke" is dat alle Operating Systems open staan.

Er zitten zeker en vast gaten in die miljoenen lijnen aan mancode, hopelijk is het niet bewust !

Hier ga je niets tegen doen. Alles wat open moet (website bezoeken = zal open moeten) kan gekraakt worden. Vanaf 1996 is dit zo en ik weet niet beter.

Is er in 1996 dan iets speciaals (en relevant) gebeurd ?

Dit groepje vergeten ITers lopen ook bij de NSA rond. Zij hebben hun eigen manieren en maken geen tools. (Mja blijkbaar een paar dan). Zij kunnen gewoon zelf, handmatig, overal in.

Dat komt omdat zij ECHT de taal spreken. Bijna letterlijk 1010101011111 met de machine spreken en zo altijd toegang hebben.

Zolang hij/zij u niet vertelt wat hij gedaan heeft, lijkt hij wel een magieer. Maar dat betekent niet dat hij dat is. Wij zijn alvast geintrigueerd van je claims. Maar veel informatie geef je niet en zonder dat blijft het enorm gissen en ga je vragen krijgen zoals:

- Zeker dat hij niet gewoon sudo passwd root als toegankelijke normale user/guest (bv ubuntu) heeft kunnen doen ?
- Hij hergebruikt veelgebruikte zwakke sleutels en/of hij heeft die van jouw nog ergens liggen van de vorige keer ?

Please sir, can we have some more ?

inloggen via ssh, sudo passwd, 2x wachtwoord invullen, klaar

doe ik al, niet doorvertellen.

maar als hij de poort voor ssh open had staan kon die kennis gewoon inloggen via ssh, en uitgaande van ubuntu kun je gewoon sudo gebruiken.

[Reactie gewijzigd door mjz2cool op 16 mei 2017 14:09]

Voor de volgende keer: tijdens het opstarten linkershift ingedrukt houden, kiezen voor recovery, intypen passwd root, nieuwe wachtwoord ingeven, klaar.

Heeft weinig te maken met beter weten. Wel te maken met basis computerkennis. Hoef je geen zware hacker voor te zijn.

Vermoedelijk, als je dit soort dingen zelf al niet weet, zal het netwerk ook niet zo moeilijk te hacken geweest zijn.

Je zou bijna denken dat Wannacry door de Shadowbrokers is uitgezet om 'reclame' te maken voor deze dienst.

Daarnaast spreekt de hackersgroep van gestolen netwerkdata van Russische, Chinese, Iraanse of Noord-Koreaanse nucleaire activiteiten en raketprogramma's.

Of dit bericht is een manier om mensen te laten denken dat we vooral niet in de richting van deze regeringen moeten gaan zoeken. want de afgelopen dagen leek het vooral uit deze richtingen te komen door allerlei 'aanwijzingen'.

Ik heb niet opgevangen dat Rusland werd aangewezen als maker van WanaCry (ervanuitgaande dat Shadow Brokers inderdaad APT28 is, en Shadow Brokers met WanaCry te maken hebben). Vooral gezien het feit dat russische aanvallen vrijwel altijd uitzonderingen hebben gemaakt voor russische machines (de meeste russische malware doet checks voor cyrillische keyboards of russische tijdzones). En WanaCry heeft tienduizenden russische machines geinfecteerd.

Daarbij, de NSA-exploit die WanaCry gebruikt komt uit de ShadowBrokers dump. Algemeen wordt aangenomen dat deze dump uit 2013 komt, wat zou betekenen dat Shadowbrokers de exploit al jaren heeft. Waarom zouden ze dan tot na de dump wachten om de exploit te gebruiken in malware? Ze hebben 4 jaar lang ermee kunnen spelen, maar pas nadat er patches uitkomen gaan ze een wereldwijde aanval uitvoeren en alle aandacht van de wereld op zich vestigen? Dat is totaal tegen het principe van een nationstate-actor in

[Reactie gewijzigd door anargeek op 16 mei 2017 12:54]

Ik heb dat over dat Rusland werd aangewezen als maker inderdaad ook niet opgevangen, wél dat ze verantwoordelijk zijn voor het uitlekken ervan. Het ligt waarschijnlijk iets (of eigenlijk; een stuk) ingewikkelder.

Nexhill doelt volgens mij met het onderstrepen van zowel Rusland als DPRK vooral op de gelijkenissen die gevonden zijn in de code van de wanacry ransomware met die van andere ransomware waar onder andere de SWIFT bank de dupe van is geweest in 2016 en banken op de Filipijnen en in Bangladesh eind 2015.

https://www.symantec.com/...ed-more-financial-attacks

Die voorgaande hacks worden aan de Bluenoroff tak van de Lazarus groep toegekend, die dan weer bekend staat met aanvallen op voornamelijk Zuid Korea en verdacht wordt een op centre te zijn van de DPRK.

https://www.theguardian.c...north-korea-lazarus-group
https://securelist.com/bl...8/lazarus-under-the-hood/

De makers van de exploit zijn volgens mij dus niet Rusland of DPRK, maar de NSA. De Russen hebben vervolgens via Shadowbrokers (vermoedelijk) de EternalBlue exploit in handen gekregen en openbaar gemaakt, waarna er dus een vooralsnog onbekende club deze hebben gebruikt voor Wannacry, die dan weer veel gelijkenissen heeft met ransomware die eerder vermoedelijk door de DPRK gebruikt is.

Veel speculatie natuurlijk, en om eerlijk te zijn zal het mij een worst wezen wie het heeft gedaan, ik hoop dat mensen en vooral bedrijven zich actiever bezig gaan houden met updatebeleid en inzicht op het gebied van cybersecurity..

Ben benieuwd hoeveel meer exploits uit de gedumpte toolkit straks op ons worden losgelaten, prettig vooruitzicht.

[Reactie gewijzigd door KiDoNL op 16 mei 2017 21:46]

De makers van de exploit zijn volgens mij dus niet Rusland of DPRK, maar de NSA. De Russen hebben vervolgens via Shadowbrokers (vermoedelijk) de EternalBlue exploit in handen gekregen en openbaar gemaakt, waarna er dus een vooralsnog onbekende club deze hebben gebruikt voor Wannacry, die dan weer veel gelijkenissen heeft met ransomware die eerder vermoedelijk door de DPRK gebruikt is.

Dit lijkt inderdaad de algemeen aangenomen theorie te zijn. Een hoop aannames, een hoop vermoedelijks, maar het past wel in de modus operandi van de diverse groeperingen.

Ik ben het er ook wel over eens dat het belangrijkste is dat men keihard met de neus op de feiten is gedrukt betreffende softwareupdates en hoe gevaarlijk outdated apparatuur is. Maar er is wel degelijk baat bij attributie, met het oog op toekomstige onderzoeken.

Wat betreft toekomstige aanvallen met deze exploits, het is afwachten. Gelukkig zijn er inmiddels wel patches uitgebracht voor de gedumpte exploits door de diverse leveranciers. Maar die moeten wel geinstalleerd worden...

De ene zijn dood is de ander zijn brood, Ik kan me voorstellen dat ze gewoon een gat in de markt zien en daar nu op inspringen

Het positieve van dit allemaal is dat het openbaar bespreek baar is gemaakt. Op deze manier krijgen de bedenkers en de makers van deze tools en constructies minder macht omdat het uiteindelijk tegen hen keert door de grote mensen massa die deze tools ook gaan gebruiken.

Balance is an art of nature

Gewoon aankondigen dat iedereen die een abonnement op deze service neemt, minimaal 50 jaar gevangenisstraf kan verwachten. Mensen die deze software verspreiden levenslang de bak in worden gegooid.
Gewoon keihard aanpakken deze gasten.

Roepen dat iemand 50 jaar opgesloten wordt is nutteloos als dat op de achtergrond niet daadwerkelijk plaatsvind.
Ook vraag ik me af of bij de Shadow Brokers wel het probleem zit. Zij doen de publicatie, noem het verkoop, maar uiteindelijk was het gewoon de NSA die deze exploit in het archief hield voor hun eigen belang. Dat soort instanties zijn gewoon lachwekkend naief als ze denken de enige te zijn die die exploits in software kunnen vinden en die naieviteit brengt in deze gewoon de digitale veiligheid van elke windows gebruiker in het geding.
Ik zou als Amerika mezelf afvragen of dat handig is en ik zou me als niet-amerika en dan in specifiek als amerika bondgenoot afvragen of je dat land en diens instanties nog wel kan vertrouwen.
Ik vind de shadow brokers, en zelfs de criminelen direct achter WannaCry bijzonder oninterressant in dit grotere plaatje.

[Reactie gewijzigd door Koffiebarbaar op 16 mei 2017 13:13]

Wat is de juiste oplossing dan ? Als je duidelijk stelt dat er meerdere organisaties zijn die exploits kunnen vinden, waarom zou je dan de jouwe opgeven ? Dat is wat Amerika en de hele wereld al jaren doet : een wapenwedloop.

Of denk je dat de wereld een betere plaats is nu er kernwapens zijn ?

Omdat het al jaren gebeurd moeten we het maar okee vinden?

Dat iets misschien onvoorkomelijk is zorgt niet dat iedereen het er mee eens hoeft te zijn. Daarnaast hoef je ook geen oplossing te weten om ergens niet achter te staan natuurlijk.

Als we moeten kijken naar hoe het in het verleden ging zal er nooit iets veranderen.
Vroeger was nagenoeg alle traffic die over internet liep onversleuteld. Just saying.
In een wereld waar de lamlegging van internet en systemen een lamlegging is voor een economie moet je daar iets anders mee omspringen.

"Project Zero brengt een wormable zero-day uit en Microsoft patcht deze in recordtijd, wetende dat het kwam. Is dat toeval?" Daarnaast hint de groep erop dat Microsoft betaalt krijgt om kwetsbaarheden niet te patchen of om patches achter te houden.

Kwalijke zaak mocht dit waar zijn.

Het lijkt me logisch dat MS vrij snel berichten doorkrijgt van een zero-day om die te fixen. Nog voor het de media bereikt.

Exploits as a service (EaaS) het moet niet gekker worden.

Goed verdienmodel, dat wel. Als instantie of particulier zit je gewoon voorop aan de laatst bekende exploits. Je kunt gewoon een legitiem hackbedrijfje gaan beginnen en dit aan je klanten doorberekenen op deze manier.

Net zoals dat bedrijf in israel dat exploits verkocht aan bedrijven of particulieren die surveillance op anderen weer toe konden passen.

Ik vond overigens deze zet van rusland ook al merkwaardig. Windows is het meest gebruikte OS en zij kiezen doelbewust voor ReactOS. Rusland ontwikkeld ook hun eigen CPU waarmee het niet afhankelijk is van amerikaanse techbedrijven.

Zelfs intel heeft microcode waar NSA echt wel wat voor op de plank liggen heeft. Ik vindt het al kwalijk genoeg dat met de aanschaf van hardware er ook daar verborgen regeltjes binnen de firmware zit. Bijna niets is meer te vertrouwen tegenwoordig.

Damn.. hartelijk dank voor degene die de NSA lekker op internet dumpen, fijn zo.

De exploits bestaan al, en zijn al bekend.
Door het niet openbaar te maken is de wereld niet veiliger, dus ja, goede actie om full disclosure te forceren.

Door ze wel openbaar te maken, maakt het de wereld ZEKER onveiliger, omdat dan ook echt elke jan doedel het gaat proberen te misbruiken.

En wordt er dus zo snel mogelijk een patch voor vrijgegeven.

De 'kop in het zand' methode van schijnveiligheid is geen optie, tenminste, geen optie die de wereld veiliger maakt.

En wat als het probleem helemaal niet zo simpel op te lossen was? Niet elke exploit is even te fixen, want de fix kan gigantische gevolgen hebben voor software die in het veld staat (het is niet altijd een simpele fout, soms kan het dus betekenen dat een hele API (of chain of events) aangepast moet worden om de exploit tegen te kunnen gaan).

Dan weet je dat iets kwetsbaar is, en doe je er iets tegen. (firewall, service tijdelijk uitzetten, etc).

Je begrijpt het niet zo he, soms kun je gewoon niets doen omdat al jouw primaire onderdelen er van afhankelijk zijn. En dan is het dus beter dat zoiets NIET publiekelijk bekend is (totdat er wel een oplossing voor is, als er dus uberhaupt een oplossing voor is).

Ik begrijp het heel goed. Ik loop liever een bekend risico dan een onbekend.
Jij gelooft liever dat je veilig bent, omdat niemand je vertelt dat iets onveilig is.

Als persoon x iets kan verzinnen, kan persoon y het ook.
Dus ook zonder dat het openbaar wordt gemaakt, kan je ervan uitgaan dat iemand anders de kennis ook bezit.

Het feit dat de NSA van het lek wist en die voor zichzelf hield is in beginsel al een probleem. In weze is dit soort dumps de enige effectieve manier om dit aan de kaak te stellen, anders zero fucks given schijnbaar.

Het lijkt me logisch dat de overheden, Microsoft en virusscannermakers nu nog harder gaan speuren naar deze gasten.

Beter dichten ze de gaten snel zodat de tools waardeloos worden

Maar dan nog ... de patch voor wannecry was uit van maart ...

Windows servers moeten bij nagenoeg elke update herstart worden, dat kan alleen tijdens maintenance windows en bij bezetting op die maintenance windows.
In grote omgevingen met custom software moeten updates ook nog eens uitvoerig getest worden.
Dat daar tijd overheen gaat vind ik niet ondenkbaar. Zo mega veel tijd zijn die twee maanden niet. Zeker niet als er niet een speciale aankondiging is van een patch kritieke exploit die eventueel los geinstalleerd kan worden.

Niet elke ICT omgeving is geschikt om op een random avond even Windows updates aan te zwengelen en met een rebootje klaar te zijn.
Zie hoe lang de NS/prorail er uit ligt als er een keer een noodstroomvoorziening niet werkt in één of ander serverhok, daar heb je gewoon de hele dag last van.

[Reactie gewijzigd door Koffiebarbaar op 16 mei 2017 13:24]

We weten allemaal dat Linux server > Windows server Maar niet te min updates "sneller fixen door Windows" zal dit verhaal niet onmogelijk maken.

Dat lek heeft die NSA al jaren. Er is wel een verschil tussen dekkingsgraad van een 3 maanden oude patch of een 3 jaar oude patch..

[Reactie gewijzigd door watercoolertje op 16 mei 2017 14:12]

Dan hadden ze deze toch al 3 jaar terug kunnen misbruiken ? Ik denk dat het duidelijk is dat de exploit nu publiek is, en daarom gebruikt word.

Waarom zou de NSA het publiek moeten maken? Die had de maker van de software (MS) gewoon kunnen wijzen op een lek. Dan was het dus zoals ik al zei jaren geleden gepatched en waren veel meer PCs beschermt. Dan was er nu geen gezeur

[Reactie gewijzigd door watercoolertje op 16 mei 2017 14:37]

de essentie is dus duidelijk : NSA is de schuldige. Niet Windows.

Daar ben ik het helemaal mee eens

_{Daarnaast spreekt de hackersgroep van gestolen netwerkdata van Russische, Chinese, Iraanse of Noord-Koreaanse nucleaire activiteiten en raketprogramma's.}

Want de Amerikanen hebben geen nucleaire agenda?

Of de "shadowbrokers" zijn Amerikaans (NSA?). Wel heel toevallig dat het net die 4 landen zijn, de tegenpolen van Amerika. En geen Engeland of Frankrijk!

[Reactie gewijzigd door Enchantress op 16 mei 2017 12:28]

Lijkt mij niet. Immers staat er in dit artikel dat zij gebrekkig Engels spreken. Alhoewel dat natuurlijk ook expres kan worden gedaan, om de autoriteiten op een dwaalspoor te zetten.

Het lijkt mij opzettelijk, het neigt naar het Engels gebruik in recente memes. Soort Jar Jar Binks grammatica. Daarnaast met de kunde die zij bezitten geen fatsoenlijk Engels beheersen... nee...

[Reactie gewijzigd door H0lyGra1l op 16 mei 2017 12:43]

Amerikanen spreken per definitie gebrekkig engels..
Dus is het alweer duidelijk waar het begin is gemaakt.

(laatst nog een discussie op een forum gezien van een amerikaan waarom Mike the knight in het brits werd ingesproken en niet in proper american english ) whaha

Als je het zo autistisch bekijkt heb je gelijk .