Hackers maken 7,5TB data buit bij zakelijk contact Russische inlichtingendienst

Een aannemer van de Russische inlichtingendienst FSB is gehackt. Bij het bedrijf Sytech zijn 7,5TB aan documenten gestolen en de website is beklad. In de bestanden staan projecten beschreven voor onder andere social media scraping en decryptie van Tor-verkeer.

De hack werd op 13 juli uitgevoerd door de groep 0v1ru$, die de 7,5TB buitmaakte en het doorspeelde aan hackergroep Digital Revolution, die het op zijn beurt naar verschillende media doorspeelde. De twee groepen lopen ook met de hack te koop op Twitter. De data is onder andere naar de Russische tak van de BBC doorgespeeld.

In de documenten worden meerdere projecten beschreven. Nautilus is bedoeld om data van socialemediagebruikers te scrapen, Nautilus-S is om Tor-verkeer te de-anonimiseren, Reward gaat om het indringen bij peer-to-peer-netwerken als BitTorrent, Mentor gaat over e-mails aftappen en doorzoeken, Hope is een onderzoek naar de verbindingen van het Russische internet met dat van andere landen en Tax-3 is het project om een intranet op te zetten waarop de informatie van belangrijke, gevoelige figuren als politici opgeslagen zou worden.

De plannen zijn niet geheel nieuw. Eerder dit jaar ondertekende de Russische president Poetin bijvoorbeeld een wetsvoorstel voor een 'soeverein Russisch internet' en de Russische BBC tekent aan dat het verschijnsel 'malafide Tor-exitnodes' al is beschreven in een onderzoeksrapport uit 2014. Het is eerder nieuwswaardig dat de hackers erin geslaagd zijn om de bestanden in handen te krijgen. Aan een doelwit gekoppelde aannemers worden vaker gezien als een vatbaar doelwit voor hacks.

De Sytech-website is momenteel offline en de getroffen partijen waren niet bereikbaar voor verzoeken om commentaar van de media met de documenten in handen.

Bron

Reacties (81)

[GlowMouse]

Nautilus-S is om Tor-verkeer te de-anonimiseren

Voor de mensen die zich afvragen hoe dit werkt, bevat het bronartikel de volgende informatie:

Het Nautilus-C softwarepakket is in 2012 door Saitecom ontwikkeld voor het Quantum Research Institute. Het bevat de "output" node Tor - de server waarlangs verzoeken naar de sites worden gestuurd. Meestal worden dergelijke knooppunten op vrijwillige basis ondersteund door liefhebbers.

Maar niet in het geval van Sightacom: wetende wanneer een bepaalde gebruiker verkeer via Tor genereert (bijvoorbeeld van een internetprovider), kan het programma dat, met een beetje geluk, de timings vergelijken met het verkeer van een TOR exit-node.

Saytek was ook van plan om het verkeer van gebruikers die bij de speciaal gecreëerde exit-node kwamen te vervangen. Sites voor deze gebruikers kunnen er anders uitzien dan ze in werkelijkheid doen.

Een soortgelijk systeem van hackeraanvallen op Tor-gebruikers werd in 2014 ontdekt door deskundigen van de Universiteit van Karlstad in Zweden. Zij beschreven 19 onderling verbonden vijandige "weekend"-TOR exit-nodes, waarvan er 18 rechtstreeks vanuit Rusland werden bestuurd.

Het feit dat deze knooppunten met elkaar verbonden zijn, wordt ook aangegeven door hun gemeenschappelijke versie van de Tor-browser - 0.2.2.2.2.37. Dezelfde versie is gespecificeerd in de "operator's manual" van Nautilus-C.

Een van de resultaten van dit werk werd verondersteld een "database te zijn van gebruikers en computers die actief gebruik maken van Tor-netwerken", zeggen de documenten die door hackers zijn samengevoegd.

Wij geloven dat het Kremlin Tor louter voor zijn eigen doeleinden probeert te de-anonimiseren", schreven de hackers van Digital Revolution aan de BBC. Onder verschillende voorwendselen proberen de autoriteiten onze mogelijkheden tot vrije meningsuiting te beperken.

Dat onderzoek uit 2014 is hier te vinden.

[michielRB]

Het lijkt dus noodzakelijk om naast TOR ook een (anonieme) VPN te gebruiken om volledig geanonimiseerd op het internet te kunnen bewegen... En dan moet je ook nog zeker weten dat je de beheerder van de VPN server kan vertrouwen dat deze niets logt en geen verbindingsinfo aan derden doorgeeft.

[djwice]

Als timings en pakketgrotes worden vergeleken is de vraag of VPN voldoende is. Je VPN client heeft immers een vergelijkbaar patroon als het bezoek dat je doet.

[Reactie gewijzigd door djwice op 23 juli 2024 10:28]

[arjankoole]

Als timings en pakketgrotes worden vergeleken is de vraag of VPN voldoende is. Je VPN client heeft immers een vergelijkbaar patroon als het bezoek dat je doet.

Toch zal een VPN sessie andere packet-grotes hebben (het is extra overhead immers), en als de timings subtiel verschillen kan 't al helemaal 't raam uit gaan. Heck, je kunt zelfs random padding / noise toevoegen aan de VPN, dan is het helemaal niet meer te volgen traceren.

Je kunt ook niet meer triviaal zien wat TOR verkeer is binnen zo'n vpn tunnel (al je verkeer gaat er overheen, dus ook de discussie per email over de boodschappen die gedaan moeten worden). Dus het wordt op dat moment toch wel een stukje moeilijker gemaakt.

[djwice]

Dat het kan betekent niet dat iedereen dat doet. De padding bij IPsec zorgt er voor dat de ICV lengte gelijk blijft.

Als de content bekent is (target bezoekt vast ook soms nieuwssites of een homepage/loginpage van een of andere site) is de additionele lengte van padding te berekenen op basis van publieke informatie.

[Munchie]

Saytek was ook van plan om het verkeer van gebruikers die bij de speciaal gecreëerde exit-node kwamen te vervangen. Sites voor deze gebruikers kunnen er anders uitzien dan ze in werkelijkheid doen.

Vraag me af hoe dit in zijn werking gaat. Lijkt me dat bij gebruik van .onion website's dit onmogelijk is aangezien hier niet direct gebruik wordt gemaakt van een Exit Node (maar van een rendezvous point) ?

Bij een website die gebruik maakt van HSTS lijkt me dit ook onmogelijk?

Edit: En dan is er nog HTTPS Everywhere met een Whitelist waarbij een vertrouwd certificaat voor de desbetreffende website vereist is.

Lijkt me dus dat deze aanval enkel effectief is tegen http verkeer...?

[Reactie gewijzigd door Munchie op 23 juli 2024 10:28]

[djwice]

HSTS 'dwingt' alleen af dat er https gebruikt wordt door de Tor-browser om jouw domein te bereiken. Dit beschermt niet tegen een 'alternatief' certificaat voor jouw domein (man-in-the-middle https-offload met daarna modificatie van content en met een nieuw certificaat doorzetten).

Daarnaast zou je als aanvaller kunnen kijken of je op het device van het doelwit een trust kunt toevoegen voor een root Certificaat Autoriteit die je zelf beheerd, soms is dat niet meer nodig en staat die al op de cliënt.

Niet alle sites gebruiken FS algoritmes en complexe parameters voor de encryptie.

Overigens zijn veel sites slecht afgeschermd aan de cliënt kant - ook de Trezor Wallet site bijvoorbeeld - zodat injectie en modificatie van de content in de cliënt kan worden uitgevoerd door 3rd party hosted scripts, in zo'n geval is er geen man-in-the-middle certificaat nodig.

[Reactie gewijzigd door djwice op 23 juli 2024 10:28]

[GrooV]

HSTS vereist wel een valide certificaat, geen zelf gegenereerd spul.

[djwice]

HSTS is een http-header die browsers vertelt dat vanaf het volgende http-request het verkeer alleen over https mag.

Er is nog een pre-load versie, daarmee verzoek je browsermakers om in te bakken dat ook het eerste request ooit naar jouw domein over https gaat.

Vooralsnog heb ik HSTS-preload gevalideerde sites ook zien werken achter corporate firewall systemen waarbij originele certificaten werden vervangen door certificaten afgegeven door een andere CA uit de trust store van de browser of het OS.

[Aardedraadje]

Bij het bekijken van de inhoud van het verkeer wel. Maar ik kan me organisaties voorstellen die het ook zeer interessant vinden om überhaupt in te kunnen zien welke sites iemand bezoekt, niet zozeer de inhoud van de bezochte pagina's op die sites.

Edit: Ik las je reactie verkeerd. Aanpassen van het verkeer lijkt mij inderdaad een HTTP-only zaak.

[Reactie gewijzigd door Aardedraadje op 23 juli 2024 10:28]

[Bas170]

@Mark_88 de link naar de tweet van 0v1ru$ (die achter de afbeelding zit) werkt inmiddels niet meer, de tweet lijkt verwijderd te zijn.

[Mark_88]

Kee, even beetje aangepast. Thanks.

[Moortu]

je zou toch zeggen dat een data transfer van 7.5tb opvalt.
zelfs als hij verdeelt word in kleinere porties, als alle bestanden gedownload worden dan zou er een alarm belletje moeten afgaan lijkt me.

[MsG]

Het origineel is toch helemaal niet weg? Dacht dat we dan nooit de vergelijking konden maken met stelen.

[Randleman]

Nee, dat mag je alleen doen om illegaal verkregen content goed te praten

[Rabb]

Het is zonder toestemming meegenomen, dat is stelen.

[lonny0182]

Episch

[DePruus]

Kwestie van de voordeur dichtgespijkerd, en de achterdeur open, omdat je soms moet plassen...

[pangolin2]

Je hoeft de titel maar te lezen om te weten dat de draad gedomineerd wordt door russische trollen
Tweakersnet is zwaar geinfecteerd

En admins, jullie post komt altijd in mijn spam terecht. Hoe zou dat toch komen?

[Kabouterplop01]

Ik heb de tweets van de informatie van de hacks ook gezien.
Die informatie vind ik hoogst opmerkelijk aangezien men voor de roundup van de hack zelfs visio heeft gebruikt om het uit te tekenen.
Zo'n rapport wordt hoogst zelden door hackers zo PRO uitgelegd en beschreven.
Ik vind dat hoogst verdacht,... alsof er iemand is die hier belang bij heeft.
En dan de meningen die erbij staan ....
dit stinkt

[sumac]

Poe, hebben ze zelfs Visio gebruikt? Maar je zegt het zelf al... Zo'n rapport wordt hoogst zelden zo pro gemaakt. Dus dit is zo'n zeldzaamheid, want het gebeurt wel. Misschien hebben ze iemand in het team die Visio (beroepsmatig) dagelijks gebruikt en voor wie dit een eitje is. Het argument wat je gebruikt is totaal nikszeggend. En dan kom je met je verdachtmaking.... alsof iemand er een belang bij heeft....

Nou ik zal je een geheim vertellen! Als iemand de moeite neemt om een partner van de FSB te hacken, dan is er echt ALTIJD iemand die er belang bij heeft. ABNAMRO DDOS-en, dat kun je nog als puber vanaf je eigen zolderkamer voor €40 regelen, maar dit zal wel iets meer moeite kosten. Plus je hebt het risico dat je de FSB achter je aan krijgt, dus je zult ook wel goed moeten weten hoe je jezelf moet beschermen.

Maar wat wil je nou eigenlijk zeggen? Is je argument nou dat het stinkt omdat iemand er een belang bij heeft?

[_Eend_]

Ik den dat hij bedoelt dat er hier een grote organisatie (een concurrent?) of zelfs een regering achter deze hack zit.

[Kabouterplop01]

Dat heb je goed aangevoeld....
Techneuten zijn over het algemeen niet zo van het documenteren.
Als er een notepadje komt dan is het meestal veel. Nu komt er een uitgebreid verslag met óók nog eens een visio tekening.

[evilweed]

Sssttt
Zou dit weer een lange arm van trump zijn?


OT;
Toch knap staaltje werk, chapoo

[Jerie]

Die informatie vind ik hoogst opmerkelijk aangezien men voor de roundup van de hack zelfs visio heeft gebruikt om het uit te tekenen.

Want? Visio is verdacht?

alsof er iemand is die hier belang bij heeft

Da's met alles zo

[Verwijderd]

Kabouterplop, snap je dan werkelijk niet dat het in het belang (duh...) van de hackers was om dit zo goed mogelijk uit te leggen? Als je dat niet doet krijg je meteen alle commentaren zoals jij die doet. Er zijn op sites als Tweakers nu eenmaal veel mensen die het bestaan van Russische hackers lijken te betwijfelen.

WAT precies vind je niet kloppen? Dat ze Visio gebruikt hebben om het goed uit te leggen? Vind je echt dat OMDAT het goed is uitgelegd het niet betrouwbaar is? Indien ja, dan is er werkelijk geen enkele manier om je te overtuigen en dan is elke discussie met je uitgesloten.

[Kabouterplop01]

Inderdaad, discussie gesloten.

[StGermain]

Die hackers zullen binnenkort wel verdwijnen, vrijwillig of gedwongen.

[litebyte]

Dat ligt eraan hoe de hack (en vooral vanuit waar) is uitgevoerd....zal hoogstwaarschijnlijk niet vanuit Rusland zijn

[sapphire]

Het is niet alsof je je buiten Rusland gelijk veilig kunt wanen. Iemand 'laten verdwijnen'. kunnen de Russen ook gewoon buiten Rusland natuurlijk.

Ben het wel met je eens dat het er natuurlijk helemaal aan ligt hoe en wat. Als je goed bent laat ja natuurlijk geen spoor achter welke naar je leid

[Stijn Weijters]

precies,... Novichok aanval salisbury!

[Verwijderd]

En Amesbury, Wiltshire een paar maanden later. Riepen de Russen ook van dat ze er niets mee te maken hadden. Maar Putin had er geen moeite mee te zeggen dat het het verdiende loon was en dat andere mensen maar beter konden uitkijken. Het lijkt echter altijd dat tweakers nooit lezen wat Putin zegt (omdat ie niet op twitter is?) dus dat soort aanwijzingen zien ze nooit.

Kijk gewoon de Stone-Putin interviews en dan zie je dat Putin zelf niet zoveel problemen heeft om de verantwoordelijkheid van misdaden op zich te nemen die Tweakers nog vaak betwijfelen. Inbreken om Trump te helpen? Ach ja dat soort dingen gebeuren he?

[Zoijar]

Maar vast laten inenten tegen polonium

[field33P]

Na de (voor Rusland) onverwacht harde internationale reactie na de moordpoging op Skripal zullen de Russen wel twee keer nadenken alvorens ze iemand weer vermoorden of ontvoeren op buitenlandse grond. De inlichtingendiensten verloren een hoop agenten onder diplomatieke status.

En bovendien is het ook nog eens mogelijk dat deze hackers goed zijn in hun sporen te verbergen.

[Verwijderd]

> vertel mij dan eens wie de werkelijke agressor is.

Onafhankelijke landen die vrijwillig NAVO-lid worden, of Rusland dat gewelddadig en oorlogsgezind land na land binnenvalt en regio na regio destabiliseert, cultureel altijd in vijanden denken en hun hele geschiedenis bestaat uit geweld, oorlog en occupatie. Wie denk je zelf dat de agressor is? En waarom denk jij dat die NAVO-grens steeds opschuift? Ik denk dat het iets te maken heeft met al die voormalig Sovjet-landen die keihard wegrennen voor die agressor en zich daarom genoodzaakt voelen bescherming aan te vragen.

Enne... Geen NOS-propaganda hier. Ik woon, werk en praat al jaren in de regio. Vanavond weer in de pub met Oekraïners om de uitslag te bekijken. Ik heb ze tijdens de presidentsverkiezingen wat filmpjes van NOS laten zien en dat vonden ze ontzettend accuraat. Wat zijn jouw credenties, dat je eraan twijfelt?

[Reactie gewijzigd door Verwijderd op 23 juli 2024 10:28]

[CivLord]

Ben Syria nog niet vergeten
Het beeld van instromende vluchtelingen bij Turkije was zeer "getemperd", hooguit een vluchteling of 30 werd er getoond, voornamelijk volwassenen, netjes in een rij alsof het wel meeviel. (althans zo leek het op journaal) Vervolgens krijg ik op het turkse nieuws precies dezelfde fragment te zien maar dan iets langer.
En hier zag je na het uitzoomen WEL DUIZEND!!! of meer van de berg komen (wat nos niet liet zien) chaos, huilende kinderen (pak em beet 8 jaar oud?) met kleuters en/of peuters aan de hand.
SCHRIJNEND!!!!!!

Vreemd. Ik heb op de Nederlandse media, waaronder de NOS, wel degelijk grote stromen vluchtelingen gezien en schrijnende toestanden in vluchtelingenkampen en stopplaatsen onderweg. Misschien dat jij net in een kort nieuwsblok een kort fragment hebt gezien en verder niet naar de Nederlandse media hebt gekeken.
Ik vind je commentaar eigenlijk best grappig. Meestal hoor je juist precies de omgekeerde kritiek: De 'linkse' Nederlandse media zou de vluchtelingencrisis juist enorm opblazen met zorgvuldig uitgekozen beelden, terwijl het volgens de critici allemaal wel mee zou vallen. Hoe jij aan het idee komt dat de Nederlandse media een getemperd beeld hebben gegeven is me dan ook een volkomen raadsel.

[Verwijderd]

Als de hele wereld gek is, is de kans vrij groot dat er iets mis zit in je eigen logisch redeneren.

Er is geen persoon die het opneemt voor Amerika. De Irak- en Afghanistanoorlog zijn met de grond gelijk gemaakt. De privacyschendingen van Amerika zijn breed uitgemeten en behandeld. De mensenrechtenschendingen van Amerika in het buitenland en in hun eigen justitiële apparaat komen ook keer op keer terug. Zodoende hou jij Amerika nu aan belachelijke standaarden waarin ze het in jouw ogen nooit goed kunnen doen.

Rusland komt er iedere keer weer mee weg door types zoals jij. Keer op keer is er "geen bewijs" en heeft niemand de "officiële rapporten" gelezen en zijn we allemaal "hersenloze schapen", of is er wel weer een ander slap excuus om Rusland te ontzien. En alleen maar om "alternatief" te zijn en lekker tegen de wind in te pissen. Rusland hou jij ook tot onmogelijke standaarden, maar dan waarin ze het nooit fout kunnen doen. En als ze het dan toch fout doen is het blijkbaar NOS-propaganda.

Behalve dan dat NOS de standaard niet maakt, maar de oppositiekranten in Rusland dat met gevaar voor eigen leven doen. Misschien moet je dat eens lezen in plaats van "Chomsky". Ik kan voorbeelden geven hoor, de verschrikkelijke verhalen van Anastasia Shevchenko of Ivan Golunov. Of Andrey Lugovoy die gepromoveerd is tot lid van de Tweede Kamer in Rusland omdát hij de hoofdverdachte is van een succesvolle nucleaire aanslag op een dissident op Europese grondgebied. Maar als jouw enige reactie op nucleaire aanslagen, 200 afgeslachte Nederlanders, groteske mensenrechtenschendingen tegenover mensen die niet toegeven aan Moskou, de volslagen zinloze invallen in Zuid-Ossetië, Abchazië, Transnistrië, De Krim, Donetsk en Loehansk is: "Maar Amerika is net zo erg en eigenlijk zijn zij de agressor!!!!", dan is het echt een volledig zinloze zaak.

Leg je boeken en je schimmige bronnen toch eens neer. Neem een vliegtuig en leer de regio kennen. Praat met de mensen zodat je een gezicht kan zien bij hun woorden. Ze zijn grappig, gastvrij, baren families en zijn gepassioneerd over hun beroepen. Ze willen geen globale conspiracy tegen Rusland, ze hoeven geen geld of schadevergoedingen of een slachtofferrol. Ze willen gewoon rust en vrede op een manier die recht doet aan internationale wetgevingen. Dat is alles wat ze willen, en dat is precies wat de Russische overheid hen niet gunt. Schaam jezelf omdat jij hun wensen en leed bagatelliseert en probeert weg te zetten als "ach, dit is hetzelfde als wat er in westerse landen gebeurt."

[HoeZoWie]

Krijg het idee, dat jullie (@TimMer & @Verwijderd ) mekaar niet begrijpen, terwijl jullie 2, wel aan elkaars kant staan, qua politieke mening.
Beide : Goed lezen helpt echt.

[Propane]

Met alle respect, maar komt jou “kennis” over NAVO als de “aggressor” van het internet of heb je zelf wat tijd doorgebracht in de landen dichtbij Rusland? Ik namelijk wel, al redelijk wat jaren, en je verhaal slaat nergens op.

En nee, ik volg geen NOS. En hoewel ik het deels met je eens ben dat de doorgaans grote media enigszins echo kamers zijn geworden sla jij dan weer enigszins door naar het andere eind van het spectrum... aluminium hoedjes en conspiracy theories...

Succes daarmee.

[CivLord]

Het is dan wel on-topic, maar het is ook één grote flamebait.

[HoeZoWie]

Serieus..., Flame bait?
Dus we mogen geen mening meer geven?
Kunnen we Tweakers als Forum gelijk wel opdoeken....

[CivLord]

Natuurlijk mag iedereen een mening geven. Graag zelfs.
Maar wanneer je die mening wel erg provocerend geeft en wel erg duidelijk je minachting laat blijken voor iedereen die je mening niet deelt, dan is dat al snel flamebait.

[HoeZoWie]

Joh, je koppelt een nieuwe naam aan de nieuwe hype, het blijft een mening geven op een ICT forum vol met intelecten.

[HoeZoWie]

Tegenwoordig is iedere afwijkende mening een "flamebait" of een "Russische troll"; ronduit zielig gewoon.

Het grappige is dat er het merendeel van de intellectuelen (dus niet die sokpoppen die ze bij de NPO uitnodigen) onze uiteenzettingen (het zijn niet eens meningen, maar kennelijk snappen de meesten het verschil hier niet) onderschrijft.

Maar goed: het is lullen tegen een betonnen muur hier en dat wordt alleen maar erger en erger. Jammer, mooie twintig jaar hier gehad, maar het is tegenwoordig gewoon ronduit irritant om al die ongeïnformeerde pubers onder ieder topic over internationale betrekkingen te lezen; kennelijk werkt de propaganda goed bij de jeugd.

Helemaal met je eens, al vind ik wel dat je de toon waar in je schrijft, wel iets bij anderen opwekt. Beetje agressief wel.
Misschien kan je die aanpassen.

[arjankoole]

Tegenwoordig is iedere afwijkende mening een "flamebait" of een "Russische troll"; ronduit zielig gewoon.

Nee, dat hangt volkomen af van gedrag, niet inhoud. Je mag prima (graag zelfs) een afwijkende mening hebben. Afwijkende meningen maken een samenleving sterk. Maar dat betekend niet dat er geen grenzen zijn. Als je die bewust opzoekt, dan krijg je dit. Dat heeft niets met een mening hebben te maken. Daar zijn ook uitzonderingen op, iemand die buitenlanders over de kling wil jagen wordt inderdaad terecht een Nazi genoemd. Maar daar is dan ook aanleiding toe.

[_Eend_]

"Voor dit hele verhaal heb ik honderden feitelijke stukken ter onderbouwing.."

Ik bijt: waar begin ik met lezen?

[theobril]

Mogelijk besef je dat je zelf ook best ad hominem bent met je "knul". Maar zalig zij die het beter weten, ze zullen door niets gecorrigeerd worden.

[Jerie]

Het is allang bekend dat nation states Tor proberen aan te vallen. Het is ook allang bekend (sinds de Snowden revelaties) dat Tor exit nodes kwetsbaar zijn voor correlation attacks. Net zoals VPNs dat ook zijn.