Hackers uitgedaagd tot kraken van e-mailbeveiliging

Beveiligingsbedrijf GateKeeper heeft aangekondigd 10.000 dollar te betalen aan degene die een virus met bijbehorende uitleg aflevert dat door hun beveiliging heen gaat. Het betreft een programma dat onbekende attachments bij bedrijven rechtstreeks verwijdert, en alleen de body doorlaat. Op zich geen slechte opzet, gezien de grote hoeveelheid vbs-scripts die recentelijk via e-mail attachments grote schade aanrichtten:

The antivirus industry lambasted e-mail firewall start-up GateKeeper on Monday, after the company announced a reward for any virus writer who can infect a specific computer protected by its product.

The challenge, announced Monday, will pay $100 to the first person to get a virus past the company's e-mail gateway and infect a computer on the internal network. The company will also pay $9,900 to the person for information about how they created the virus.[break]

Op zich is dit natuurlijk een goede mogelijkheid om het veiligheidsniveau van de software te testen. Het is alleen de vraag of hackers de 10.000 dollar niet een te laag bedrag vinden, zoals bij de SDMI muziek-kraakcontest gebeurde. Behalve dat vinden professionals op virus-gebied dat GateKeeper een uiterst onverantwoorde zet heeft gedaan. Woordvoerders zijn van mening dat een dergelijke wedstrijd hackers aanzet tot het schrijven van virussen, met de kans dat deze ook op andere computers dan de GateKeeper test-PC's schade zullen aanrichten:[/break]While such challenges have been popular as a way to gather hackers from around the world to crack encryption or test a security product, applying them to the virus-writing scene is irresponsible, said Susan Orbuch, spokeswoman for antivirus software company Trend Micro.

Unlike attempts to hack a server, a virus can spread out of control beyond a single computer to the Internet at large, Orbuch said.

Met dank aan Klaas Jong, die ons dit ZDNet-artikel laat maar gelukkig niet nooit opstuurde.

Reacties (53)

[Verwijderd]

Leuk idee, creeren ze een virus dat door de beste (?) beveiliging kan heen komen, kun je het daarna overal gebruiken, succes gegarandeerd...

[Steven]

Volgens mij is dit gewoon "een" beveiligingsmethode. En als ik zo de functies van dat programma zie, is het best wel onkraakbaar... Het principe klopt gewoon te goed. Een beetje hetzelfde als dat je een computer zonder netwerk ook niet kan kraken.

[curry684]

Onkraakbaar zeker niet voor zover ik het kan zien. Ik heb ze zojuist een mailtje gestuurd met wat vragen aangaande de invulling van de test. Voor extensie .exe bijvoorbeeld staat er 'Allowed but with authentication'. Als ze blind alle authentication weigeren hebben ze een waterdicht systeem ja, want dan laten ze alleen plaatjes door. Als de gatekeeper daarentegen inderdaad het programma uitprobeert op een 'geisoleerde test-computer' en afhankelijk van de resultaten doorlaat naar de desktops is het best te kraken, en ga ik dat zeker proberen...

* 786562 curry

[TheGhostInc]

Daarnaast zijn laatst een stel beveiligingscertificaten naar buiten gelekt van MS dus ook al worden ze gescanned, als je zorgt dat het programma het niet filtered ben je een stap verder.

* 786562 TheGhostInc

[Verwijderd]

Daarom zijn die antivirus-bedrijven hier dan ook niet zo blij mee.

[Nakebod]

Denk dat die anti virri bedrijven hier wel een beetje blij mee kunnen zijn, omdat die hun software hier dan weer op kunnen gaan aanpassen.. Zo hebben we er allemaal wat aan..

[Verwijderd]

Ik denk ook dat de anti virus software makers hier blij mee kunnen zijn.
Als de nieuwe virussen geen schade aan kunnen richten is dat natuurlijk perfect. Kunnen ze dat wel dan is daar wel iets op te vinden natuurlijk.
Als er dan iets op gevonden wordt kan de software alle virussen die op die wijze geschreven zijn wel aanpakken. De meeste virussen zijn immers op een ouder virus gebaseerd.

Dan wordt het een flinke kluif om een compleet nieuw virus te schrijven dat beter is dan alle oudere virussen en geen kenmerken heeft van andere viri.

[Verwijderd]

idd,... daarom bieden ze ook 9900 dollar voor de uitleg over de maak van het virus,.. dan kunnen ze makkelijk nagaan welke deurtjes er nog wel open staan

[violator_]

Hoezo ??

Een groot deel van de virussen worden door makers van anti-virus software zelf geschreven om maar als eerste de markt te kunnen waarschuwen..
Die zitten dus al aardig in de virus-developers scene.. hehe.

Ik zou er niet raar van opkijken als bijvoorbeeld Norton, AVP or Trend Micro de wedstrijd zou winnen.. die zijn er waarschijnlijk aardig bedreven in

[Vaevictis_]

Nou, dat stelt niets voor!

Onder Linux/Unix is er al zo'n programma GRATIS verkrijgbaar. Procmail + mail sanitizer.

Kun je alle soorten van attachments (zelf opgeven) later verwijderen, renamen etc. Je kunt ook een blacklist aanmaken van attachments die er NOOIT door mogen komen zoals .VBS etc.

Het mooie van Procmail is dat je het met RBL zelf ook realtime op spam kunt controleren. Of een SMTP server bekend staat als een open relay of waar spammers van gebruik maken. Dan kun je mail rejecten VOORDAT je hem download!

Zo. Dat moest er ff uit!

[tweakerbee]

Ja, en? Iedereen weet dat alles wat nieuw en duur is onder windows, allang bestaat, beter is en gratis is onder linux/unix!

edit:
Even voordat de moderators dit opvatten als flame, het is een tikkie sarcastisch bedoeld

[DUTCHSPiRiT]

wedden dat er ook echte hackers komen die dit gaan kraken?
Die mensen zijn ook niet gek, een beetje geld is nooit weg, bovendien is t voor hun ook een uitdaging.

[DeTeraarist]

Hackers zijn niet gek hoor (hoewel)...

Hun verdienen er 100 dollar mee (En de rest als ze vertellen hoe ze het hebben gemaakt ("Nou uh, gewoon in notepad, hoezo?)).

Moet je je eens voorstellen hoeveel dat bedrijf er mee kan verdienen.

Dat is wel ietsjes (zeg maar 2 ietsjes) meer als die 10.000 dollar.

Maar goed, jongeren uit Sneek (nothing personal) zouden dit wel eens kunnen zien als een mooie kans om wat bij te verdienen.

[TlighT]

Nu was ik wel benieuwd hoe dat gatekeeper eigenlijk werkte. Van de site:

--
E-mail GateKeeper is revolutionary in that it utilizes a unique method of virus protection that involves passing all e-mail and attachments through various conversion routines that, while harmless to e-mail text and attachments, are absolutely lethal to executable code (viruses)
--

en van een ander bericht:

--
A Virginia company announced today that it's anti-virus system successfully rendered the Kournikova virus benign before clients were aware it hit their server. The E-mail GateKeeper system converted the virus to a virus-free PDF image format upon first contact without the use of updates or human interaction.
--

Kortom, een email firewall converteert alle email tekst en attachments naar PDF alvorens ze door te sturen naar de ontvanger. Inventief hoor (niet dus). En dat noemen ze dan "harmless" voor attachments, ik zou mijn word bestand nog wel eens willen zien als het naar PDF is omgezet, maar echt te bewerken door word is het dan volgens mij niet meer. Bovendien, wat doen ze met bestanden waar nog geen conversie voor is. Ze gaan er gewoon vanuit dat alle 'executable code' per definitie een virus is, en dat is natuurlijk niet zo. En daar hebben ze dan ook nog patent voor gekregen, zucht...

In ieder geval, als dit inderdaad is hoe het programma werkt (en ze alle niet-bekende binaire attachments gewoon wegsmijten), tja daar heb je als virusmaker weinig tegen te beginnen, of je moet het eerste PDF virus uitvinden (misschien een of andere buffer overflow in die PDF viewer ofzo ).

[reinouts]

dus). En dat noemen ze dan "harmless" voor attachments, ik zou mijn word bestand nog wel eens willen zien als het naar PDF is omgezet, maar echt te bewerken door word is het dan volgens mij niet meer.

Wat een geweldig idee! Verpak een doc->PDF converter als antivirusprogramma en je bent meteen van die supervervelende word-attachments af! Dat had ik zelf moeten bedenken....

Dat bewerken zal trouwens toch maar in weinig gevallen nodig zijn. Dan zip je het toch gewoon eerst voordat je het verstuurt?

[Crack]

Volgens mij is dit meer een publiciteitsstunt, om GateKeeper te promoten.

Ik vraag mij af, of dergelijke acties niet een averechts effect kunnen uitlokken: Potentiële hackers slaan aan 't programmeren, en als het resultaat onvoldoende is (of nog niet gereed voor de sluitingsdatum), kunnen deze virussen wel eens 'in het wild' losgelaten worden.
In ieder gaval houden ze zichzelf wel bezig.

[Ramon]

Was GateKeeper niet ook het programma gebruikt in 'The Net'?

it's a conspiracy.......

[Verwijderd]

Mmm misschien denk ik te simpel maar dit moet wel lukken:
De beveiliging is gebaseerd op Gatekeeper
Gatekeeper draait op een computer dat een OperatingSystem gebruikt.
Geen enkele computer met Netwerk OS is (nog) 100% beveiligd (alhoewel OpenBSD erg dichtbij komt)

Oftewel:
- vind een opening in het gebruikte OS
- gebruik die opening om Gatekeeper te misleiden, bijvoorbeeld door DoS of een andere include/exclude lijst te definieren

Elke beveiliging is zo sterk als de zwakste schakel.
Als ik een kluis wil open krijgen, ga ik toch opzoek naar de combinatie die wellicht ergens is opgeschreven, voordat ik een snijbrander op de kluis ga loslaten.

Ik snap dan ook de "uitdaging" van Gatekeeper niet.
Lijkt dus toch meer op een reklamestunt.

[Verwijderd]

The delivered virus must then execute a program or macro that places the registered user's unique challenge ID (along with any other greeting) in any non-volatile memory location on the GateKeeper challenge user desktop computer. Note: simply placing the ID in the body of an e-mail or attachment does not qualify as a successful delivery. The ID placement must be the direct result of the execution of viral code.

<script language="JavaScript">
alert("ID!!");
</script>

voila!!

[Verwijderd]

sinds wanneer schrijven hackers virussen om ergens in te komen?

Trojans lijkt me logischer, daarnaast is het zo triest gesteld met de gemiddelde "hacker" dat ze een term erbij bedacht hebben namelijk "scriptkiddie", deze term duid op het gebruiken van scripts en applicaties gemaakt door echte hackers en anderen om zo aan hun virussen en trojans te komen.

Ik denk in ieder geval niet dat er ook maar 1 echte hacker hier aan mee zal doen, hackers doen hun kunstjes uit nieuwsgierigheid, niet voor geld.

[Ulysses]

pffff daaar gaaan we weer. Sorry, hoor, maar ik vind het nergens op slaan wat je zegt.
Hacken is een sport. De kunst is om een bepaald computer probleem op te kunnen lossen. Dat de laatste tijd vooral beveiligingsproblemen in media komen doet niet veel goed aan de term hacker. Een kenmerk van Hacken is niet dat het een non-profit bezigheid is, mensen die er geld mee kunnen verdienen (dus niet jatten o.i.d.) moeten dat zeker niet nalaten. Iemand die goed kan hacken is tamelijk speciaal, en intelligent. (Linus Torvals & Bill Gates zijn bijvoorbeeld ook hackers)
Een andere illusie hoop ik nu ook weg te nemen bij velen: Een kenmerk van hacken is niet beveiligingen kraken. Da's een onderdeel er van. Het eigenhandig optimaliseren van een stuk code van je besturingssysteem of wat dan ook, wordt ook tot hacken gerekend.
Ik vind het grote bullshit, dat als je iets waardevols kan, waarmee je zeer interessante info kan leveren, dat je daar dan geen geld voor zou mogen vragen. Tis wat anders als je zelf je beloning incasseert zoals die hacker met z'n 46.000 creditcard nummers, maar dat maakt em niet minder hacker. Hij heeft tenslotte wel een beveiliging weten te kraken op een eigen methode. Een corrupte politieagent is toch ook nog steeds politieagent (niet lang, maar toch) ... en crimineel, ja dat ook.
En ja, hackers schrijven ook virii als dat nodig is om tot de oplossing te komen, lamers / scriptkids en mensen met het begrijpend vermogen van een kersepit verspreiden buiten het oorspronkelijke doelgebied. Ik weet zeker dat er nog honderden (duizenden misschien wel) virii zijn, die nog veel meer schade aan kunnen richten, maar die bewaart worden als troffee zo van "Check, dit heb ik kunnen maken, nou zorgen dat niemand 't in handen krijgt behalve Symantec e.d."
Scriptkiddies zijn lamers die zelf geen regel kunnen programmeren, het inzicht van een paddestoel hebben, en alleen andermans oplossingen kunnen na doen, andermans scripts kunnen runnen en andermans virii versprijden. Want zeg nou zelf: als je een code generator op internet gebruikt, heb je je lame virus _niet_ zelf gemaakt. Wat gelijk staat aan bij een tentamen de antwoorden overschrijven qua nivo.

Jeroen B: bijna, tis een Trojan Horse, Virus. Dus een virus dat als trojaans paard werkt.

Yo, welke achterlijke moderator doet die 3 trollen hier boven dan?! LEES de F.A.Q. sufmuppet! (inmiddels gefixt door andere mod, thx)

[reinouts]

Het laatste dat BG zelf 'gehackt' heeft was Altair Basic, ergens in de jaren '70 IIRC.
<OFFTOPIC>
Vandaag zag ik en fragmentje op CNN waarin ik voor de eerste keer van m'n leven BG iets zinnig heb horen zeggen. Een of andere mafkees beweerde dat je in 3e-wereld landen in ICT moest investeren, waarop Gates antwoordde dat ze daar vaak niet eens elektriciteit hebben en zich veel drukker maken over wat ze iedere dag moeten eten dan over ICT...
</OFFTOPIC>

[day]

nou, er zijn anders massa's recepten te vinden op internet hoor

[Verwijderd]

Het zal inderdaad niet genoeg zijn een scriptje à la I Love You te mailen, dat wordt meteen door het systeem onderschept.

Er zal dus wel een echte hacker/cracker nodig zijn om hier doorheen te komen.

[Verwijderd]

3N Z0 |5 H3T M44R N3T! 3CHT3 H4X0RZ ST44N H|3R V3R B0V3N

[JeroenB]

Ze kunnen hier ook in geinteresseerd zijn.

En de volledige naam voor een trojan is een "trojan virus". Dat zegt genoeg lijkt me

[MrE]

Ik vind het iig wel goed dat je pas $9900 krijgt als je ook de uitleg geeft over hoe je het virus hebt gemaakt. Op die manier krijgen ze weer meer inzicht in de manier hoe ze het een en ander aan kunnen passen EN ze houden mannetjes buiten de deur die met virusmakers van anderen werken ( of zou de uitleg : ' ik heb een prog gedownload en er een plaatje van een naakte vrouw bijgedaan en that's it' ook tellen ).

[Tobbe]

Het zou pas echt interessant worden als de aldus verkregen info gebruikt zou worden voor algemeen belang, dus dat alle anti-virus-makers er gebruik van kunnen maken. Maar omdat het een commercieel bedrijf is, zullen ze de info vast niet weggeven aan "concurrenten".

Eigenlijk zou een een goed, zelfstandig overkoepelende instantie oid moeten zijn die dat soort info verzamelt en verspreid over de antivirusbedrijven, maar dat zal wel te idialistisch gezien zijn.