Google: Russische staatshackers gebruikten zeroday in iOS op westerse politici

Russische staatshackers hebben een zeroday in iOS gebruikt om Europese politici aan te vallen. De hackers waren in dienst van de Russische inlichtingendienst en misbruikten een lek in WebKit om politici via LinkedIn een phishinglink te sturen.

De kwetsbaarheid is een van de vier zerodays die werden ontdekt door Googles Threat Analysis Group. De TAG-groep ontdekte kwetsbaarheden in Chrome en Internet Explorer die volgens de onderzoekers actief werden misbruikt. Die drie kwetsbaarheden waren gekocht bij een commercieel bedrijf door 'een overheid', al geeft het bedrijf daar geen details over. De drie kwetsbaarheden werden eerder al gedicht in Chrome en in Internet Explorer nadat TAG Microsoft daarover had ingelicht.

CVE-2021-21166	Object Lifecycle Issue in Chrome
CVE-2021-30551	Type confusion in V8-engine in Chrome
CVE-2021-33742	Remote code execution in MSHTML Platform in Internet Explorer

Google ontdekte daarnaast een vierde zeroday. CVE-2021-1879 maakte cross-site-scripting mogelijk via WebKit in Safari. Daarmee werd de Same-Origin-Policy uitgeschakeld waardoor het mogelijk was authenticatietokens voor bijvoorbeeld Microsoft- of Facebook-accounts te stelen binnen Safari. Ook die kwetsbaarheid werd actief uitgebuit.

Dat gebeurde volgens de Google-onderzoekers met hoge waarschijnlijkheid door 'een Russische APT', een advanced persistent threat. Die zouden het lek gebruiken om West-Europese politici aan te vallen door hen via LinkedIn berichten te sturen met daarin phishinglinks. Hoewel het bedrijf in de blogpost niet expliciet noemt om welke hackersgroep het gaat, zegt de hoofdonderzoeker tegen Ars Technica dat hij 'ervan uitgaat' dat het om dezelfde groep gaat die eerder ook Microsoft aanviel. Het zou gaan om APT29, een groep die ook wel Nobellium wordt genoemd en is gelieerd aan de Russische buitenlandse inlichtingendienst.

Google waarschuwt in de blogpost ook dat er de laatste tijd een grote groei is van het gebruik van zerodays door hackersgroeperingen. Dit jaar zouden er tot nu toe al 33 zijn gevonden door Google. In heel 2020 waren dat er nog maar 22. "Groepen hebben niet langer alleen maar technische kennis nodig, maar alleen nog middelen", schrijft het bedrijf.

Reacties (119)

De titel is een beetje misleidend of dekt in elk geval niet de hele lading. Het lijkt om alleen iOS te gaan en vervolgens komt er een heel stuk over Chrome (zou op iOS kunnen) en internet explorer (die staat op geen enkele telefoon van geen enkel merk). Er staat een klein stukje in of WebKit/Safari.

Titels dekken zelden de lading en dienen om mensen te laten klikken. Een artikel is een product dat men probeert te 'verkopen'. Apple(referentie) in de titel = +25% 'sales'

[Reactie gewijzigd door OxWax op 15 juli 2021 11:05]

Titels dekken zelden de lading en dienen om mensen te laten klikken

niet op deze website

Punt 2
https://tweakers.net/info/over-tweakers/verdienmodel/

Maar wel op pageviews. Meer pageviews = beter verkoopargument voor advertenties = hogere prijzen voor de adverteerders en meer inkomsten voor Tweakers.

natuurlijk. maar de nieuwskoppen worden niet als clickbaits gebouwd waar onterecht en willekeurig 'apple' in wordt verwerkt zoals oxwax stelt. te absurd voor woorden dit.

Het wordt nochtans niet alleen door mij opgemerkt
PageFault in 'nieuws: Google: Russische staatshackers gebruikten zeroday in i...

[Reactie gewijzigd door OxWax op 15 juli 2021 13:47]

er wordt wel degelijk gebruik gemaakt van een zwakheid in ios. tijs had daar een zinnetje aan kunnen/moeten wijden idd. maar het item afdoen als een clickbait is way too far. tijs...

Dat denk ik niet. Zelfs als Belg weet ik dat dit voor de overheid/bestuur geldt.

Niet strikt.

https://www.rijksoverheid...waar-wob-verzoek-indienen

de Rijksoverheid, bijvoorbeeld een ministerie;
gemeenten;
provincies;
waterschappen;
publiekrechtelijke organisaties

Soms vallen andere instellingen of bedrijven ook onder de Wet openbaarheid bestuur. Dit is alleen het geval als:

zij onder de verantwoordelijkheid van een organisatie in het rijtje hierboven vallen;
de organisaties in het rijtje hierboven een aanzienlijke invloed hebben op die instelling.

Gewoon puur uit interesse en er iets van te leren, hoe weet Google nu dat zo'n kwetsbaarheid actief wordt uitgebuit?

Heel veel onderzoek door Google zelf. Bijvoorbeeld forensisch onderzoek n.a.v. een hack op 1 van hun eigen medewerkers, devices of services. Daarnaast zullen zij de infrastructuur van deze APT's in de gaten houden en mogelijk kunnen zien welke communicatie daar naar toe gaat. Het is bij de grotere partijen wel bekend waar diensten infrastructuur hebben staan. Zo werd dat bijvoorbeeld duidelijk na de brand bij OVH Cloud recent. En als je weet dat een bepaald IP adres met die infra communiceert en je kunt achterhalen van wie dat IP adres is, dan zijn er vast mogelijkheden om onderzoek te doen. Het is ook wel bekend dat Google partijen of mensen waarschuwt als ze aangevallen worden.

Als je daarnaast beseft dat Google alles van ons weet, dan is dat vanuit privacy oogpunt erg zorgelijk. Maar kan me ook voorstellen dat ze die hoeveelheid data in kunnen zetten voor Threat research.

[Reactie gewijzigd door oak3 op 15 juli 2021 10:26]

Dus Google waarschuwt alleen als Russische staatshackers dit doen. Toen Merkel en andere EU politici door de CIA/NSA werden aangevallen hoorde je ze niet.

Alles wijst er op dat Google een verkapte staatshacker is. Wie heeft de betreffende software geproduceerd en wie weet alle IP-adressen?

Verder lijkt het ook wat op een campagne tegen iOS ... De onderliggende boodschap is: "Politici kunnen voor hun veiligheid beter geen Apple spullen gebruiken." De vraag is uiteraard of belangrijke mensen niet allang speciaal beveiligde telefoons gebruiken, gezien de ervaringen uit het verleden.

Google is een Amerikaanse partij, dus je mag verwachten dat ze sneller Rusland exposen dan de VS. Dit artikel heeft daar wel een goede toelichting op: https://www.technologyrev...ounter-terrorist-us-ally/. Ik leg ook alleen uit hoe ik denk dat het werkt, niet of dit de juiste manier is.

En of Google een staatshacker is, ik betwijfel het. De VS heeft met haar diensten capaciteit genoeg om het zelf te doen. Daar hebben ze Google niet per se voor nodig.

De vraag is uiteraard of belangrijke mensen niet allang speciaal beveiligde telefoons gebruiken, gezien de ervaringen uit het verleden.

Zeker, bij mijn weten wordt in Nederland deze telefoon gebruikt: https://communications.se...mmunication-up-to-secret/. En bij Trump was het een heel gedoe dat hij de speciale telefoon niet wilde gebruiken.

Door de telefoons van slachtoffers te analyseren vermoedelijk. Honypots, etc.

Geen idee, maar 1 CVE gaat over:

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

Ik vermoed dat een exploit dus op een webpage moet zitten. Aangezien google websites indexeert zal het voor hen een koud kunstje zijn om te zien of het op het web voorkomt en of de pagina wordt bezocht zal ook wel boven water te halen zijn met zoek restultaren dns 8.8.8.8 etc etc etc

Samen met de vraag van @Nark0tiX een goede basis voor een plus artikel als je het mij vraagt?

Eén methode is volgen van hackersforums en goede contacten bij hackers/ beveiligingsbedrijven/ bedrijven die exploits aanbieden.
Veel exploits worden niet gebruikt door diegenen die ze ontdekken, maar door diegenen die ze van de ontdekker hebben gekocht. De ontdekker moet dan aan een select groepje moeten laten weten wat hij te koop heeft. En er zijn speciale bedrijven die exploits opkopen om ze voor grof geld aan inlichtingendiensten (en nog schimmigere clubjes) te verkopen of te verhuren.

Bizar dat er overal nog steeds zoveel zerodays zijn te vinden.

Waarschijnlijk is het aantal zerodays wat nog niet als zodanig gevonden is bijna oneindig groot.

Praktisch iedere webpagina gebruikt javascript frameworks, js files die weer leunen op andere js files die draaien op webservers die weer uit frameworks bestaand die draaien op servers die weer draaien op OS-en met allerlei applicaties die weer draaien op processoren, etc.

Alles bestaat uit laagjes van code die in de context waarin ze draaien afhankelijk zijn van andere laagjes van code en iedere interactie of afhankelijkheid leidt weer tot complexiteit waarin kwetsbaarheden zitten.

Het is bijzonder dat er zoveel nog goed gaat! Ik zit zelf in de infosec (informatieveiligheid) en ik ben nog geen organisatie tegengekomen waarin iedereen veilig werkt, goed met wachtwoorden en veiligheid omgaat en niet vatbaar is voor social engineering.

Die gelaagdheid van logica is ook vaak weer een rede waarom ook een imperfecte beveiliging al een heel eind komt.

Immers; Je browser heeft een sandbox waarin de bestanden draaien, welke via een TLS verbinding worden beginnen gehaald. Deze worden gehost op een server, welke vaak in een software-stack draaien met allerhande beveiligingsconfiguraties. Eerst heb je een JVM, dan een Container, welke draait als een gebruiker met beperkte rechten, welke draait in een KVM.

Dit heb je in een organisatie ook. De persoon die een service-call aan neemt, schrijf een issue voor een tweedelijns team, welke uiteindelijk moet worden doorgezet naar derdelijns. Pas dan komt er iemand bij te kijken die schade kan aanrichten. Een beetje goede netwerkinrichting zou er ook op toe zien dat front-office, operations en development nooit op het zelfde netwerk zitten.

Deze defense-in-depth is essentieel omdat je er altijd vanuit moet kunnen gaan dat er zwakheden zitten in elk van je onderdelen. Ja de code bestaat uit vele lagen, maar gelukkig de verdediging ook.

Dit heb je in een organisatie ook. De persoon die een service-call aan neemt, schrijf een issue voor een tweedelijns team, welke uiteindelijk moet worden doorgezet naar derdelijns. Pas dan komt er iemand bij te kijken die schade kan aanrichten.

Nou....Ik kan je vertellen dat het niet altijd zo gaat. Genoeg dingen zijn al voor de eerstelijns op te lossen die niet altijd genoeg checks doen dat ze weten wie ze aan de lijn hebben. Kunnen zomaar een wachtwoordreset e.d. uitvoeren voor iemand die via Linkedin zag dat persoon X bij die locatie werkt en zichzelf aan de servicedesk voordoet als persoon X.

Daar heb je ook weer veiligheidslaagjes voor. Zo kan je bitlocker op een PC zetten, two-factor gebruiken, toegang tot panden via pasjes. Waarmee je het belang van het wachtwoord al zo veel mogelijk verminderd.

Simpele verificaties zoals gebruikersnamen of personeelsnummers helpen ook al heel veel, die weten mensen die op jouw manier proberen te social engineering toch niet.

De reset lijkt me niet het probleem, het probleem is dat het password naar de geresette user gaat en niet naar diens manager.

Waarom bizar? Waar mensen werken worden fouten gemaakt, software is nooit 100% waterdicht. Er kunnen altijd scenario's door anderen bedacht worden waar jij nog niet aan had gedacht.

Het is en blijft een kat-en-muis spel. Gelukkig worden ze wel steeds sneller gevonden en gefixt.

Misbruik wordt ook vaak in de hand gewerkt doordat mensen gewoonweg op een link klikken die ze krijgen, zonder nadenken of enige vorm van controle...

[Reactie gewijzigd door ll roel j op 15 juli 2021 09:44]

Hoezo worden ze steeds sneller gevonden ?
Het feit dat ze gevonden worden betekend dat ze er meestal al een tijdje waren.
die gevonden worden worden of te koop aangeboden zoals in dit artikel.
Of de vinden meld ze aan en krijgt er geld voor.
Of meestal een overheid vind ze behoud ze voor zichzelf en maakt er actief gebruik/misbruik van.

Uiteindelijk is het moeilijk te achterhalen hoe lang een zero day al bestaat en of deze al lang misbruikt wordt of niet.

Klikken op een link is natuurlijk de menselijke factor en die bepaald mede of misbruik wel of niet mogelijk is.

Het is eerder tijdsdruk en lage prioriteit, bij ons wordt ook wel eens wat "doorgedrukt" zonder dat alle codereview procedures zijn doorlopen... want de klant zit te wachten. Alleen wordt er vlak daarna alsnog naar gekeken en eventueel een update doorgevoerd.

Wat is dat codereviews ? Ik ken genoeg plaatsen waar dat gewoon helemaal niet gebeurd ... Maar het hangt ook af van het type van software dat je maakt uiteraard. Als jij iets "interns" maakt en dat is gewoon voor eigen database etc niet aan internet gekoppeld etc, dan kan ik dit nog verstaan. Ik moet mijn eigen codereviews voor mijn eigen saas apps. Ik heb ook niet van alles een unit test en nee mocken en dingen faken om toch maar een test te schrijven krijg je aan mij niet verkocht. Maar voor elke commit ik doe, kijk ik nog wel eens naar de code die ik heb aangepast. Enja ik heb ze zelf geschreven, maar ik heb af en toe toch nog wel een paar dingen nagekeken.
Software wordt ook alsmaar "complexer", dusja soms is het moeilijk, zeker als je met externe partijen moet interfacen en deze hebben dan ook nog geen testomgeving

Het probleem is dat we alles aan elkaar koppelen. Dat we "extensies" hadden die automatisch werden uitgevoerd. Waardoor je CAD-programma of tekstverweker zomaar een invalspoort werden voor aanvallers.
Maar ook als je dat wel afschermt (iPhone doet dat wel neem ik aan) blijft er genoeg kwetsbaars over. Van stupide ontwerpen (broadcom in band signaling, looking at you) tot gewoon bugs.

Yups en soms kan het zijn dat het ligt aan de hardware in combinatie met een functie die je gebruikt. Tsja wat ga je daar tegen beginnen

Nee hoor, @cricque heeft terdege een belangrijk punt.

Software wordt uitgebracht met de kennis dat het verre van af is en gaandeweg wordt het gepatched.

Stel je eens voor als met dezelfde mentaliteit vliegtuigen, auto’s, of huizen zouden worden gebouwd.

Nu krijgen we kromme redeneringen van een bedrijf als dit;

De kwetsbaarheid is een van de vier zerodays die werden ontdekt door Googles Threat Analysis Group. De TAG-groep ontdekte kwetsbaarheden in Chrome en Internet Explorer die volgens de onderzoekers actief werden misbruikt. Die drie kwetsbaarheden waren gekocht bij een commercieel bedrijf door 'een overheid', al geeft het bedrijf daar geen details over. De drie kwetsbaarheden werden eerder al gedicht in Chrome en in Internet Explorer nadat TAG Microsoft daarover had ingelicht.

Hoezo “ontdek” je eigen zwakheden in je eigen software en ga je daar vervolgens paniek over slaan? En ontdekken is sws een rare term als er andere partijen die tekortkomingen uitbuiten.
Daar heb ik als afnemer weinig mee.
Dat het blijkbaar gebruikelijke praktijk is maakt het niet beter.

Nieuwe programmeurs, oude programmeurs, nieuwe software (toevoeging van complexiteit) en zelfs ook de (security) verbeteringen voor oude software (die zelf opnieuw op slechte manier gedaan is) is gelijk aan nieuwe en vaak ook meer (dan vroeger) bugs.

Ik ga nu zo'n 25 jaar mee in de software ontwikkelingwereld. Geloof me maar dat de programmeurs (gemiddeld) er absoluut niet beter op worden. Eerder zeer sterk in tegendeel.

Zolang software mensenwerk is zal dat altijd zo zijn

Ja toch zal je verwachten dat er toch meer getackeld wordt bij code reviews,
bij ons is een groot deel geautomatiseerd en kijken er ook nog een x aantal mensen naar.

en hoe weet je nou zeker bij een code review of een stukje code niet uit te buiten is?

Of dat een of andere nuget een zero Day bevat

“Program testing can be used to show the presence of bugs, but never to show their absence!”

Dat zelfde geld voor reviews.

Ik had het dan ook niet over testen

Dat zelfde geld voor reviews.

Het geautomatiseerde stuk is ook software geschreven door mensen en ingericht op mensen, review door mensen. Het punt is dat als men niet weet waar men naar zoekt, je eigenlijk alleen kijkt naar bekende 'fouten'.

Ga eens kijken hoe groot iOS is als het geinstalleerd is, hoeveel lijntjes code dat is en vergelijk dat dan met het stukje software dat bij jullie wordt gechecked. Zou jij je hand er voor in het vuur willen steken dat jullie software bug vrij is? If so, vraag ik me af hoeveel waarde je hecht aan je hand...

Er vanuit gaan dat die code dan correct moet zijn is naief.

Er vanuit gaan dat die code dan correct moet zijn is naief.

Nee, je moet er juist van uit kunnen gaan dat de code correct is, daar is niets naïef aan.
Zonder correcte code werkt het programma domweg niet
Wat naïef is, is vertrouwen dat er niemand fouten maakt, en per ongeluk ergens verbindingen maakt, die er niet moeten zijn.

Dat het compiled wil niet zeggen dat het correct is, dat je programma runt wil ook niet zeggen dat het correct is.

Bij Apple (en andere) natuurlijk ook en waarschijnlijk nog wel meer, dus zo zaligmakend zijn die testen blijkbaar niet.

Dit soort zwakheden heten niet toevallig zerodays – omdat ze nog niet bekend zijn. Als je niet weet waar je precies naar zoekt, is dat ook een stuk moeilijker te vinden

Dat krijg je als je C(++) gebruikt ipv iets memory safe als Rust of een taal met GC.

Inderdaad, en gemaakt op een AMD Ryzen threadripper, met een Nvidia 3080, maar vooral in een witte ThermalTake kast met ledverlichting ....

/s

Wat een onzin, RUST is net zo foutgevoelig alleen zullen bepaalde procedures anders ingericht zijn, of misschien is C++ wel de juiste tool voor het werk..
Met een schroevendraaier kan je ook spijker in de muur krijgen, en een hamer kan schroeven in hout draaien.

Zolang software mensenwerk is zal dat altijd zo zijn

Inderdaad, maar moet de software (zoals xcode, Apple programeersoftware) ze niet vertellen dat het een (mogelijk nieuwe) zeroday is?

[Reactie gewijzigd door Dark Angel 58 op 15 juli 2021 10:22]

Als ik de CVE bekijk, gaat het niet explicit over iOS. De CVE’s melden Fedora, Debian en andere Linux varianten.
Hoe kan ik zien of dit inderdaad ook ios betreft en de patch status ervan bekijken?

[Reactie gewijzigd door badnews.nl op 15 juli 2021 09:41]

CVE-2021-1879 gaat over de iOS zeroday.

[Reactie gewijzigd door Generaal Pep op 15 juli 2021 09:43]

Drie van de 4 zijn dus blijkbaar niet iOS en volgens de tekst werden die ook actief misbruikt.
Klinkt alsof de titel wat clickbaiterig is?

Wat ik zo snel begrijp is het één en hetzelfde principe dat in vier implementaties van WebKit een kwetsbaarheid vormde. In Safari op iOS is het daadwerkelijk misbruikt.

Ook de ander CVE's zijn misbruikt:
Quote:

De TAG-groep ontdekte kwetsbaarheden in Chrome en Internet Explorer die volgens de onderzoekers actief werden misbruikt.

En over de Safari CVE:

Ook die kwetsbaarheid werd actief uitgebuit.

Allemaal dus.
Enige interessante is het statement dat de Safari variant schijnbaar misbruikt is om Europese politici aan te vallen, met de anderen blijkbaar niet (dus enkel gewone consumenten / werknemers).

iOS wordt natuurlijk meer gebruikt tov Linux

iOS wordt natuurlijk meer gebruikt tov Linux

Zeker. Linux wordt nagenoeg niet gebruikt als desktop OS.
Echter, als kernel onder Android wordt het natuurlijk wel veel gebruikt.
Twee van de vier zijn Chrome, wat ook op Android gebruikt wordt...

Politici zouden verplicht een Android telefoon moeten gebruiken.

Ik ben ook wel benieuwd, ik heb altijd begrepen dat IOS zo dichtgetimmerd was dat dit soort aanvallen een stuk moeilijker waren. Maar ik laat me graag bijpraten

Ik kan me herinneren dat Edward Snowden het hier een keer over gehad heeft. Die noemde het Apple ecosysteem een monocultuur en het Android een veel diverser ecosysteem. Elke Android is verschillend; een verschillende fabrikant, verschillende besturingssysteem, verschillende software, verschillende chips. Alles bij elkaar heb je dus 1000den verschillende systemen. Wanneer er dus een exploit Android exploit is, werkt het bijvoorbeeld enkel op een bepaald merk, met een bepaalde versie. Voor exploit makers is het dus lastig om een universele exploit te maken.

Dit in tegenstelling tot een iPhones, die hebben hetzelfde besturingssysteem, dezelfde apps, etc. Exploits zijn dus veel breder inzetbaar/toepasbaar en is dus een veel interessanter doelwit. Exploit makers gaan op zoek naar kwetsbaarheden die toepasbaar zijn op de basis functionaliteit van een telefoon, zoals het ontvangen van SMS via iMessage. Via deze manieren van infecteren is er geen interactie van het doelwit vereist (zoals klikken op een link). Een aanvaller hoeft enkel een malafide code via SMS te sturen.
Daarbij worden iPhones veelvuldig gebruikt door populaire doelwitten, zoals journalisten, politici, rijke en belangrijke mensen.

Zo is er dus een business model ontstaan in het verkopen van iPhones exploits. Deze worden niet enkel verkocht een politie- en inlichtingendiensten, maar ook aan bijvoorbeeld regeringen die oppositie partijen willen bespioneren.

Edit:
CYBER Podcast vanaf 08:14 https://play.acast.com/s/...lerreport-andpressfreedom

of via Youtube vanaf 06:00 https://youtu.be/F_dIakmxS1E?t=360

[Reactie gewijzigd door Munchie op 15 juli 2021 15:38]

Je mag er wel van uit gaan dat Chrome op >80% van de Android toestellen geïnstalleerd staat aangezien het (volgens mij althans) standaard onderdeel van Android + Google Play Services is. Daar zit echt geen verschil in tussen verschillende fabrikanten, hooguit dat je er minder van uit kunt gaan dat mensen de laatste of een zeer recente versie draaien.

Wanneer er dus een exploit Android exploit is, werkt het bijvoorbeeld enkel op een bepaald merk, met een bepaalde versie. Voor exploit makers is het dus lastig om een universele exploit te maken.

Dat is onzin, het grootste deel van de attack vector is in principe gewoon "standaard" Android + GPS software, waar het verschil in kan zitten is dat de hardware verschillend gebruikt wordt. Dus een radio exploit kan inderdaad veel lastiger zijn vanwege de diversiteit van hardware en drivers.

Moeilijker is natuurlijk niet hetzelfde als onmogelijk.

Nee, dat blijkt steeds weer. Maar @andreetje lijkt er van overtuigd te zijn dat een Android telefoon beter beveiligd is dan een Iphone. Dat maakt nieuwsgierig.

Dat vergt wat meer uitleg. Leg eens uit.

Hoe lang zal het nog duren voordat landen zo'n aanvallen gaan interpreteren als een echte fysieke aanval? Tot nu toe wordt er hier altijd licht over gegaan, maar eigenlijk is het hier wel een natie die de politici van een andere natie aanvalt.

Hoe lang zal het nog duren voordat landen zo'n aanvallen gaan interpreteren als een echte fysieke aanval?

Als ze dat zouden doen is iedereen op dit moment in oorlog met iedereen, misschien dat het daarom niet zo letterlijk wordt genomen. Daarnaast is het per definitie geen fysieke aanval want die is... fysiek

[Reactie gewijzigd door watercoolertje op 15 juli 2021 10:02]

"aanvalt" is een term die hier lichtjes overdreven is : ze kregen een mailtje ...

Dat is een onderwater steekspel dat al zo oud is als de diplomatie.
Dat wordt onderwater uitgevochten tot het voor één partij gunstig is om het te escaleren tot iets groter.

“De TAG-groep ontdekte kwetsbaarheden in Chrome en Internet Explorer die volgens de onderzoekers actief werden misbruikt.”

Alleen de (clickbait-ish) titel lezen dekt niet de lading.

Ze zeggen toch "met zeer hoge waarschijnlijkheid". Dat het nieuws niet in jouw wereldbeeld past, betekent niet automatisch dat het nieuws niet klopt.

Misschien moeten mensen eens niet alles als zoete koek lezen. Vindt je het niet raar dat er nooit eens een bericht vrij komt over een amerikaanse hackgroep die iets geflikt hebben? Of ben jij zo goedgelovig dat zij zoiets nooit zouden doen? Dat alleen de Russen zich bezig houden met hacken?

Denk toch eens een keer logisch na.

Je hebt best een punt dat het nieuws wel een beetje eenzijdig lijkt. Het is zeker niet in evenwicht. Ik denk ook dat er in de VS en Europa een hoop hackers rondlopen met slechte bedoelingen. Waar ik echter niet in geloof is dat het opzettelijke en structurele propaganda van de media is. Er zijn er genoeg die er dolgraag een schandaal van zouden maken als ze zo'n verzoek krijgen. Al wordt er natuurlijk wordt er wel eens een journalist omgepraat of op zettelijk verkeerd geinformeerd.

Voor mij telt dat ik goede redenen ken waarom de verhoudingen sowieso scheef liggen waar geen manipluatie of misleiding voor nodig is.

Ten eerste de kwestie van geld. Als je dan toch iemand gaat kraken kun je beter een rijk slachtoffer kiezen dan een arm slachtoffer. Daarbij is het in een arm land veel sneller de moeite waard. In NL kun je niet leven van een hacks die 1000 euro per maand opleveren, in sommige andere landen wel.

Ten tweede techniek, wij hebben daar veel meer van. De rest de wereld is ook aan het automatiseren, maar het rijke westen loopt ver voorop. Hier zijn veel meer doelen en veel meer waardevolle doelen.

Ten derde regels en toezicht. Wij hebben wettelijk vastgelegd dat je op je data moet passen en het moet melden als er wat mis gaat. In de meeste landen is dat niet zo. Je hoeft hacks en lekken niet te melden en dat doet dus ook vrijwel niemand. Het is alleen maar slecht voor je eigen imago. Als je het wel wil melden dan is het nog maar de vraag of de politie wel geinteresseerd is en je probleem begrijpt. In Nederland is het al lastig.

Ten vierde informatievoorziening en interesse. Wij hebben media die vrij over van alles en nog wat schrijven voor een breed publiek. In veel landen is dat niet zo. De pers is niet vrij, het publiek is niet geinteresseerd in dit soort zaken, het regime wil geen negatieve publiciteit (zoals hacks en datalekken) voor het land en de slachtoffers willen geen publiciteit uit angst klanten te verliezen en er is ook niemand die ze controleert of ergens toe verplicht.
Daar komt ook bij dat hier niemand geinteresseerd is als een schoenmaker in Oezbekistan gehackt wordt. Het komt gewoon niet in de krant. Maar bij een lokale schoenmaker is er wel een publiek, die schoenmaker heeft klanten, buren, familie, leveranciers en collega's die mogelijk geinteresseerd zijn.

Ten vijfde kwaliteit. Wij hebben veel goed opgeleide mensen. Als die iets hacken maken ze er minder snel een puinhoop van. (Ik hoor een hoop mensen nu hard lachen, maar het is echt zo, in verhouding met de rest doen we het best goed). Als inbreker laat je natuurlijk liever zo min mogelijk sporen na. Als je slachtoffer niet weet bestolen te zijn of niet door wie, dan ben je veilig. Dit punt telt extra zwaar voor staatshackers die uit zijn op spionage. Die proberen zo lang mogelijk verborgen te blijven zodat ze kunnen blijven spioneren.

Ten zesde kom ik dan toch bij de media die nieuws kiezen dat hun lezers interesseert. Ik wil ook niet suggereren dat de media volkomen neutraal zijn, het zijn ook maar mensen. Die laten zich in hun keuze van onderwerpen en de hoe ze die omschrijven ("terrorist" of "vrijheidsstrijder") ook sturen door hun eigen onderbuik en de maatschappij. Maar ik zie dat niet als opzettelijke misleiding maar meer als journalisten die hun werk niet goed doen.

Al deze punten samen zijn wat mij betreft een goede verklaring waarom we veel meer nieuws zien over hacks op ons dan door ons. Hoewel ik het met je eens ben dat we opvallend(?) weinig horen over hacks van (bv) Amerikaanse hackers op Russische instanties heb ik geen reden om te twijfelen aan de inhoud van dit nieuwsbericht.

Voor mij is misschien wel de interessantste vraag of Google het ook zou melden als ze zouden zien dat de NSA de accounts van belangrijke Russische politici probeert te hacken, of zo iets. Het is een beetje riskant en misschien niet helemaal ethisch, maar het zou een mooi onderwerp zijn voor een onderzoeksjournalist om een aanval van de NSA te simuleren en te kijken of de we dan ook zo'n nieuwsbericht krijgen. "Een NSA aanval simuleren" is natuurlijk makkelijker gezegd dan gedaan, maar je snapt het punt vast wel.

[Reactie gewijzigd door CAPSLOCK2000 op 15 juli 2021 17:01]

In NL kun je niet leven van een hacks die 1000 euro per maand opleveren, in sommige andere landen wel.

Je moest eens weten hoeveel mensen in NL met dat bedrag rondkomen

Verder ben ik het wel met je eens.
De vraag; of Google het zelfde zou melden over de NSA die Russische politici probeert te hacken..
Reken daar maar niet op, dat valt vast onder ''national security''

In dit geval is het nieuws dat een bedrijf een zeroday heeft verkocht aan Rusland. Dat zou strafbaar moeten zijn IMO. Dat is zoals het verkopen van zware wapens aan een vijandige mogendheden. Ondertussen zijn er handelaren die dealen in dit soort kwetsbaarheden. Die zou je wat mij betreft op een internationale opsporingslijst moeten zetten. Want dat zijn eigenlijk ordinaire criminelen die veel geld verdienen over de rug van anderen. De beweegredenen die ik las van eentje ("zonder mij komen ze er ook wel aan") getuigd van de morele leegheid van dit tuig. We hebben het vaak gehad over de ethische kanten van de NSA met hun offensieve capaciteiten, en het is goed hier kritisch over te zijn (ook begrijpelijk een moeilijke discussie) maar de ethiek bij dit vraagstuk is eveneens ver te zoeken.

Er komt "regelmatig" nieuws over dat de NSA bondgenoten bespioneerd.

Ohjee, vertrouw de MSM niet!

https://tweakers.net/zoeken/?keyword=nsa

Denk toch eens een keer logisch na.

Of gebruik het internet om jezelf te falsificeren.
Deze US hackers gingen allemaal een aantal jaartjes brommen.
https://www.kaspersky.com.../top-ten-greatest-hackers

en dan is er nog
https://www.nytimes.com/2...gy/cyber-hackers-usa.html

[Reactie gewijzigd door OxWax op 15 juli 2021 10:33]

Dat je niet leest dat een Amerikaanse hackersgroep iets dergelijks niet doet, betekent niet automatisch dat berichten dat een Russische hackersgroep iets dergelijks doet niet kloppen.

Ik ging een heel eind met je mee, totdat je begon over MSM, sorry maar daarmee ben je voor mij af. Ik zou zeggen, hou het vooral bij je alternative facts.

Mijn mening is dat jouw reactie een -1 verdient....... waarom wil je mijn mening cancellen? Mag ik deze mening niet hebben van jou?

Geweldig dat je in 1 comment roept dat Google-onderzoekers propaganda verspreiden, maar tegelijkertijd wel met allemaal ongefundeerde / niet-onderbouwde / onbewezen beweringen komt dat het een ander land moet zijn. Elk land is onbetrouwbaar, inclusief onderzoekers die in die landen wonen, maar Rusland is heilig, en zou zoiets nooit doen.

Het lijkt dat de complot-gelovers / anti-msm soldaten weer een nieuw woord hebben geleerd. Iedereen die niet blindelings een podium wil geven aan onbewezen complotten, die 'cancelt' jou.

Vaak zijn er meerdere lijntjes die naar dezelfde bron verwijzen. Een artikel dat misschien wat meer duidelijkheid geeft is deze:
https://arstechnica.com/i...te-backed-cyberespionage/
Het is al een wat ouder artikel, maar de kern blijft hetzelfde: alles wijst op groepen die zeer goed georganiseerd, goed gefinancierd zijn, met een sterke focus op activiteiten die in lijn zijn met de interesses van de Russische overheid en de timing van de "aanvallen" is (vaak) gerelateerd aan gebeurtenissen die de interesse zouden moeten hebben van de Russische overheid. Uit die gegevens mag je inderdaad je eigen conclusies trekken.

En nog steeds is er geen enkel "staatshacker" groep opgepakt waarna de aannames bevestigd kunnen worden middels feiten.

Dat klopt, dat is min of meer het gevolg van het feit dat staten soeverein zijn en vooral Rusland zich erg gemakkelijk onttrekt aan internationale afspraken. De russen kunnen geen onderzoek doen in Amerika en Amerika levert niemand uit aan Rusland. En vice versa, dus daar heb je je antwoord.

En ook een onderbouwde aanname is valide en kan niet afgedaan worden als onzin. Ik zit aan de achterkant van mijn huis te werken, voor mijn huis loopt een belangrijke doorgangsweg die veel gebruikt wordt door landbouwvoertuigen. Ik hoor meerdere keren per uur zware voertuigen langsrijden, ik hoor zware motoren, ik hoor het geroffel van noppenbanden op het asfalt, ik hoor het gerammel van metalen onderdelen en ik ruik vers gemaaid gras. Het is ook nog de tijd dat het gras wordt gemaaid om gekuild te worden. Mijn aanname is dat ik trekkers hoor die met aanhangwagens onderweg zijn naar, of terugkomen van het weiland. Ik weet ook dat de boeren dat niet zelf doen, maar dat ze daarvoor loonbedrijven inhuren. Daarvan zitten er twee hier in de buurt waarvan er één, een familiebedrijf, vooral lokale boeren bediend. Ik kan dus met vrij grote zekerheid zeggen dat wat ik hoor Fend trekkers zijn met achter het stuur iemand uit het familiebedrijf en waarvan ik de achternaam met redelijk grote betrouwbaarheid kan voorspellen. En ze rijden harder dan de toegestane 30 km/uur. Een andere aanname is dat het binnenkort gaat regenen, want dat willen ze allemaal voor zijn. Ik kan ook voorspellen dat dit drukke verkeer door zal gaan tot laat in de avond.
En ik zit nog steeds aan de achterkant van mijn huis en ik heb geen trekker werkelijk gezien.

Maar je zou als je wil gewoon naar de voorkant van je huis kunnen gaan om het te bevestigen.
Of je gaat een camera op hangen om er zelfs zeker van te zijn wie in de cabines zitten.

Je belt toch ook niet naar de politie met een geluids overlast klacht met als aanvulling.
"Ik zat achter mijn huis dus ik kan niet bevestigen welk bedrijf of bestuurder het was"
Politie - was het een groene trekker?
Jij - geen idee ik zag het niet.

Dat was mijn punt niet: ik deed een aanname zonder direct bewijs en ik hoef helemaal niet aan te tonen dat hij klopt, iedereen die mijn verhaal leest (en zeker iedereen die in mijn dorp woon) zal die aanname zonder bewijs aanvaarden. Sterker nog: Iedereen die mijn verhaal leest zal daar de juiste conclusies uit trekken: het is in de gras-tijd soms verstandig om op tijd van huis te vertrekken want je blijft nogal eens achter een trekker hangen. En als je hier een huis koopt, dan weet je nu ook dat je niet erg gesteld moet zijn op stilte. Allemaal op basis van een aanname van mij, zonder enig bewijs.
Ook met andere woorden: denk je dat er iemand is die twijfelt aan mijn aanname dat wat ik hoor een dikke trekker van het loonbedrijf uit de buurt is die gras aan het vervoeren of ophalen is?

Jij vindt dat je niks hoeft aan te tonen ook al zou het bijzonder makkelijk zijn om harde bewijs te verzamelen voor jouw situatie.
Men gelooft jouw aanname aan de hand van hoe makkelijk is om te verifiëren.

Ik twijfel ook helemaal niet aan de feiten dat een hack heeft plaatst gevonden en hoe dat is uitgevoerd want dat is te verifiëren.
De blinde beschuldiging jegens staatshackers daarentegen is onmogelijk te verifiëren.
Je heb nog nooit maar dan ook echt nooit 1 keer een verificatie gehad over een staatshacker dus op basis van welke informatie baseer je de beschuldiging?
Als er dagelijks 20 trekkers voor je huis langs rijden en je ziet een paar keer wie het zijn kan je gerust een weloverwogen aanname maken waar de trekkers vandaan komen want je heb een geverifieerd situatie om te gebruiken als bron maar niet van de hackers.

Jij vindt dat je niks hoeft aan te tonen ook al zou het bijzonder makkelijk zijn om harde bewijs te verzamelen voor jouw situatie.

Nee, dat is niet wat ik beweer. Ik maak die vergelijking om aan te tonen dat een aanname, zonder hard bewijs, niet afgedaan kan worden als onzin. Want dat is waar deze discussie mee begon: er wordt aangenomen dat er Russische staatshackers achter de aanvallen zitten. Daar is niet iedereen het mee eens. Ik heb via een artikel van Arstechnica laten zien dat er voor zo'n aanname best wel hele goede aanwijzingen zijn. En mijn voorbeeld van de trekkers is exact dat: op basis van een aantal logische denkstappen en ervaring kan ik een zeer waarschijnlijke aanname doen. Die aanname blijft dezelfde status houden, zelfs als ik door welke oorzaak dan ook, de weg voor mijn huis helemaal niet kan controleren.

Men gelooft jouw aanname aan de hand van hoe makkelijk is om te verifiëren.

Nee dus. Zie hierboven.

Je heb nog nooit maar dan ook echt nooit 1 keer een verificatie gehad over een staatshacker dus op basis van welke informatie baseer je de beschuldiging

Die verificatie zul je helemaal nooit krijgen maar dat hoeft ook niet. Als er iemand wordt overvallen en mijn telefoon blijkt op dat moment op de plek van de overval een zendmast te hebben aangestraald, er zijn voetafdrukken gevonden van schoenen die op die van mij lijken, het pistool dat is achtegelaten bij de overval, blijkt door mij gekocht te zijn een week voor de overval en ik heb geen alibi voor het moment van de overval, dan wordt ik zeer waarschijnlijk veroordeeld. Wat is dan de verificatie?

Uhm onze rechtsysteem vereist bewijs voor een veroordeling.
-De zendmast heeft verbinding informatie gekoppeld aan je iMEI nummer welke weer verbonden zit aan jouw persoonsgegevens
-De voetafdruk wordt door een lab vergeleken met de afdruk op locatie
-Het pistool staat op jouw naam geregistreerd
-Je alibi wordt bevestigd door andere mensen of camera's die jou hebben gezien.

Voor de politie, rechters en advocaten is dit standaard koek
Het idee alleen al dat je denkt dat we mensen veroordelen aan de hand van aannames vindt ik behoorlijk raar. Zo werkt onze rechtsysteem helemaal niet.

En dat is nou net de crux van de hackers. Er zijn geen voetafdrukken of iMEI nummers of pistool registraties aanwezig om de vinger te wijzen naar staatshackers.
Het is altijd
-Dit methode van inbraak lijkt op eerder gebruikte code van die en die.
-De Vpn server is de laatste node waar onze onderzoek heen leidt en bevindt zich in rusland
-De watermerk van de hackers is zichtbaar in de code
Elke punt wat aangedragen wordt zal het daglicht van onze rechtsysteem niet overleven.

We dwalen een beetje af denk ik. Als we terug gaan naar de basis dan is de aanname dat Russische hackers achter de aanvallen zitten gerechtvaardigd, op basis van de beschikbare informatie. Op dezelfde manier als ik aannemelijk kan maken dat trekkers van pietje bezig zijn gras te vervoeren.
Waar we dwalen is de veroordeling. Een hacker zal op basis van diezelfde informatie nooit veroordeeld worden omdat de aanwijzingen niet als wettig bewijsmateriaal gebruikt kunnen worden (hoewel er op de achtergrond waarschijnlijk wel meer informatie bekend is).
Kranten hebben wat speelruimte in hun koppen en "Russische hackers achter aanval" vind ik dan nog wel toelaatbaar, zeker als die aanname ondersteund wordt door uitspraken van experts. Ik vind dan ook weer dat uit de rest van het artikel moet blijken waar die aanname op berust.

Aanname gebaseerd op wat? Als je nooit de daders heb kunnen pakken hoe weet je dan wie het zijn?
Je heb geen naam, afkomst, leeftijd, omschrijving van uiterlijk of zelfs enig idee waar ze zijn.
Welke link is er met de Russische overheid? Op basis van welke bron wordt dat link aangelegd?

In de wetenschap is het ook zo dat als men "hoogst waarschijnlijk" a.k.a een aanname maken dat het een theoretische hypothese blijft totdat men de resultaten kunnen herhalen en bevestigen.
De titel suggereert dat het een feit is maar het had ook makkelijk geformuleerd kunnen worden met "mogelijke Russische staatshackers"

Titels zijn gemaakt voor slechts één doel : omdat je zou klikken.

Titels hebben maar een beperkt aantal tekens. Voor de nuances moet je het artikel lezen.

En wanneer je als serieuze onderzoeker zegt dat iets hoogstwaarschijnlijk is, betekent dat dat hij er eigenlijk zeker van is, maar het niet met eigen ogen heeft zien gebeuren.

Zoiets als wanneer je langs de kant van de weg een auto rond een boom gevouwen ziet staan. Je hebt het niet zelf zien gebeuren, dus je kunt het niet met 100% zekerheid zeggen, maar hoogstwaarschijnlijk is er iemand in volle vaart tegen die boom aan gereden.

Zoiets als wanneer je langs de kant van de weg een auto rond een boom gevouwen ziet staan. Je hebt het niet zelf zien gebeuren, dus je kunt het niet met 100% zekerheid zeggen, maar hoogstwaarschijnlijk is er iemand in volle vaart tegen die boom aan gereden.

De hack wordt niet in twijfel getrokken.
De verwijzing naar de dader wordt in twijfel getrokken.
Jij ziet een auto om een boom gevouwen staan en zegt "Ah een VW golf... De bestuurder zal wel van noord-afrikaans afkomst zijn want dat zien we wel vaker"
Je negeert daarmee een ieder die ook een golf bezit zonder het beschuldigende afkomst.
Als je dat een paar 100x herhaalt dan wordt dat de waarheid terwijl het nergens op slaat.

Ja, het is een slecht geformuleerde titel, al is het wel een Google quote...
Als dit ook nog in het artikel staat dan gaan bij mij ook de nekharen overeind staan...

Hoewel het bedrijf in de blogpost niet expliciet noemt om welke hackersgroep het gaat, zegt de hoofdonderzoeker tegen Ars Technica dat hij 'er vanuit gaat' dat het om dezelfde groep gaat die eerder ook Microsoft aanviel.

Ik zou me maar schrap zetten tijdens het surfen in dat geval ...

keep your friends close, your enemies closer?

Je lokale haai is namelijk de directe gevaar.