Microsoft bevestigt dat hackergroep Lapsus$ toegang had tot broncode

Microsoft heeft gereageerd op de eerdere claim van Hackergroep Lapsus$ dat het broncode van Bing en Cortana zou hebben gestolen. Het bedrijf bevestigt dat de groep toegang had tot broncode en dat een enkel account was gecompromitteerd.

Microsoft schrijft op zijn securityblog dat DEV-0537, beter bekend als Lapsus$, deze week claimde dat men toegang had tot Microsoft en delen van de broncode had gestolen. Het bedrijf stelt dat er geen sprake was van klantencode of -data die is buitgemaakt of ingezien. Op basis van onderzoek stelt Microsoft dat een enkel account was gecompromitteerd. Microsoft zegt dat het snel reageerde, zodat er geen nadere activiteiten mogelijk waren, maar het bedrijf erkent dat de groep toegang had tot broncode: "Microsoft vertrouwt niet op het geheim van code als beveiligingsmaatregel en het bekijken van broncode leidt niet tot een verhoogd risico".

Lapsus$ staat volgens Microsoft bekend om 'het gebruiken van pure afpersing en een vernietigingsmodel zonder het toepassen van ransomwarepayloads'. Volgens het bedrijf begon de groep zich te richten op doelwitten in het Verenigd Koninkrijk en Zuid-Amerika, maar is het werkterrein later uitgebreid naar de gehele wereld, inclusief overheidsorganisaties en organisaties in sectoren als technologie, media en gezondheid. Daarnaast zou DEV-0537 ook vaker individuele gebruikersaccounts bij cryptobeurzen hacken om hun cryptocurrencybezittingen in handen te krijgen.

Volgens Microsoft wijkt DEV-0537 af van andere groepen, in de zin dat ze niet onder de radar blijven en het er niet op lijkt dat ze hun sporen wissen. Zo zegt het bedrijf dat de groep hun aanvallen soms aankondigt op sociale media of hun bedoelingen prijsgeven als ze inloggegevens van werknemers van doelwitorganisaties kopen. Daarnaast gebruiken ze soms tactieken die minder vaak door andere groepen worden gebruikt, zoals sim-swapping, het betalen van werknemers en leveranciers en toegang krijgen tot de persoonlijke e-mailaccounts van werknemers van bedrijven die het doelwit zijn.

Lapsus$ claimde eerder dat het 37GB aan data heeft buitgemaakt. De data zou van een interne Azure DevOps-server bij Microsoft komen. De groep stelt dat het ongeveer 45 procent van de code voor Bing en Cortana heeft bemachtigd en ongeveer 90 procent van de code voor Bing Maps. De hackergroep claimde eerder deze week ook dat het Okta zou hebben gehackt. Het authenticatieplatform bevestigde dat het was getroffen door ransomware. Okta verzorgt de beveiliging van andere bedrijven. Eerder werden Nvidia en Samsung slachtoffer van de groep.

Reacties (71)

Nou, recent was ook Samsung broncode gestolen en toen was mijn observatie dat het waarschijnlijk niet zo’n grote invloed op de veiligheid zou hebben, omdat ook al eerder bij Microsoft broncode was gelekt:
Keypunchie in 'Samsung bevestigt dat 'Galaxy-broncode' is gestolen bij hack'

Nu dus weer bij Microsoft en ik blijf erbij dat de impact op veiligheid beperkt is: deze code is van zeer hoge complexiteit en omvang. Met handmatige analyse kom je niet ver, alleen geautomatiseerde analyse gaat kwetsbaarheden vinden. Maar van Microsoft verwacht ik dat ze al zelf geautomatiseerde analyse doen.

Het is waarschijnlijker dat er weer een hoop gênante code comments boven komen drijven.

[Reactie gewijzigd door Keypunchie op 23 maart 2022 08:15]

deze code is van zeer hoge complexiteit en omvang

Complexiteit staat niet gelijk aan veiligheid. Vaak is het andersom, hoe complexer hoe meer mogelijke aanvalsvlakken.

Sure, maar de complexiteit maakt analyse wel complexer.

Hackers hebben ook geen zin om een paar honderdduizend regels code door te lopen. Binnen Microsoft zijn er waarschijnlijk meerdere teams die aan de code werken en interne documentatie hebben om het te begrijpen.

Exploiteerbare fouten vinden door de code domweg te lezen is heel onwaarschijnlijk. Sterker nog, als dat zo makkelijk was zou software minder bugs bevatten.

Mijn punt is dat het lekken van de code geen extra veiligheidsrisico met zich meebrengt.

[Reactie gewijzigd door Keypunchie op 23 maart 2022 09:02]

waarom zouden ze geen codes willen doorlopen als ze daarna mogelijks miljoenen computers kunnen hacken? Ik zie ook geen reden waarom ze de code stelen om daarna niets mee te doen.

[Reactie gewijzigd door Mastofun op 23 maart 2022 09:08]

De waarde zit hem in eerder in afpersing om reputatie en competitie redenen.

Zo van: als je ons niet X betaald dan maken we het publiek en dan denkt het grote publiek dat je een onveilig bedrijf bent en je concurrenten kunnen in je keuken kijken.

Ook kunnen dan bvb. gesanctioneerde landen de technologie jatten.

Kortom: er zijn ook niet direct veiligheids-gerelateerde redenen om je broncode te beschermen.

[Reactie gewijzigd door Keypunchie op 23 maart 2022 09:23]

waarom zouden ze geen codes willen doorlopen als ze daarna mogelijks miljoenen computers kunnen hacken?

Zoals je al zegt "mogelijk"

Een groot deel is waarschijnlijke oude code zonder documentatie, veel plezier met daardoorheen lezen en dan hopen dat je een manier vindt om die code vanaf buitenaf te kunnen exploiteren.

Voor een hackergroep als LapSuS is dat het niet waard, die hebben er meer aan om bij de volgende groep binnen te komen en daar iets te halen. Waarschijnlijk verkopen ze dit of gooien ze het online voor reputatie.
Er zijn wel partijen die deze code graag willen hebben maar een hackergroep is daar meestal niet 1 van, vaak kom je dan bij bedrijven uit die in Israel gevestigd zitten of bedrijven welke grof voor zero days betalen.

Sterker nog, als dat zo makkelijk was zou software minder bugs bevatten.

Ik denk dat jij je aardig vergist in hoe moeilijk het is om overal rekening mee te houden. Soms zit je zo vast in een gedachte patroon dat je andere dingen over het hoofd ziet. Of omdat je met verschillende teams ontwerpt dat sommige dingen samen makkelijker kwetsbaarheden/bugs kan hebben. Of latere toevoegingen die hiervoor kunnen zorgen.

Ik heb voor het bedrijf wel eens een simpele programma geschreven via VB.net. Hierdoor wist ik eigenlijk precies hoe het programma werkte. Toen ging er een gebruiker het even proberen. Die deed het net iets anders waar ik op dat moment niet aan gedacht had en crash. Na een jaar ofzo nam iemand anders de taak over en vroeg of ik het net iets anders kon maken. Dit leek een simpel ding dus de volgende dag was het al klaar. Maar ik was even vergeten at die optie ook ergens anders gebruikt werkt en dat veroorzaakte wel problemen. Hierdoor heb ik wel geleerd hoe makkelijk je dingen over het hoofd ziet met programmeren. Zou iemand anders deze code gelezen hebben dan had die met een frisse blik misschien dan juist wel weer dingen bedacht van "maar wat nou als de gebruiker dit doet?".

Ja ern complexe code is moeilijker te lezen en veel meer uit te zoeken. Maar de winst die te behalen is kan natuurlijk wel groter zijn dan een klein programma. Is deze groep er niet geïnteresseerd in (of hebben ze de kennis niet) zal er echt wel iemand anders er gebruik van willen maken hoe moeilijk ook

Ik denk dat jij je aardig vergist in hoe moeilijk het is om overal rekening mee te houden.

Dat betwijfel ik :-) Ik kan het je in DM uitleggen waarom, als je wilt :-)

heb voor het bedrijf wel eens een simpele programma geschreven via VB.net.

. Zou iemand anders deze code gelezen hebben

Dat geloof ik heel erg, maar dan specifiek voor een simpel programma. Daar is dat nog mogelijk.

Binnen Enterprise software is er soms al 'code review', maar dat gaat doorgaans niet zozeer op de inhoud, maar meer op stijl en aanpak. Overigens ben ik zelf geen ontwikkelaar, dus hier spreek ik net buiten mijn kennis.

Veel belangrijker voor het vinden van bugs zijn in mijn ervaring goede testers/QA department. Die zijn vaak hun gewicht in goud waard.

Vandaar dat ik ook zo'n voorstander ben van kort-cyclische ontwikkeling. Dat scheelt zoveel. Niet zozeer in aantal bugs, maar wel in hoe lang ze leven.

Ik ben wel benieuwd waarom jij denkt dat ze overal rekening mee kunnen houden. Zoals je zegt is testen belangrijk maar zelfs menselijke testers moeten er maar aan denken om het te testen. Ook bij automatische test moet dit eerst maar bedacht en geprogrammeerd worden.

Simpel voorbeeld: Ik speel op dit moment Horizon Forbidden West. Om het even zonder spoilers uit te leggen. Aan het begin van het spel moet je 2 touwen kapot maken. Zodra je bij de eerste ben wordt er duidelijk gezegd dat je er ben en dat je het moet doen. Daarna ga je verder klimmen naar de tweede touw en kapot maken. Nu waren er blijkbaar spelers die de eerste touw gemist hebben, niet precies wisten wat ze moesten doen of waren eigenwijs en deden het expres niet. Die deden dus eerst de tweede en toen pas de eerste en blijkbaar werkte dit niet in het spel. Ze hebben dus bij de tweede touw een controle ingebouwd om te kijken of de eerste touw kapot is en wat er dan moet gebeuren. Dit zat dus niet in de eerste touw. Ook voor de testers was het blijkbaar gewoon zo logisch dat je de eerste als eerste doet dat niemand er aan gedacht heeft om als eerste de tweede touw te doen.

Ik kan ze dit ook niet echt kwalijk nemen. Als je weet waar de eerste is en je weet wat je moet doen dan doe je dit eigenlijk de volgende keer gewoon automatisch op de goede manier.

Of er was een bug dat als je een gevecht ben met bepaalde machines die een quest item moeten geven en je gebruikt fast travel om ergens naar toe te teleporteren dat de machine verdween en niet meer terug komt en je dus niet verder kon met die quest. De meeste mensen behalen het, gaan dood of rennen weg. Blijkbaar heeft maar een kleine groep mensen van alle kopers gedacht aan ontsnappen via teleportatie. Ja de testers hadden dit dus moeten vinden maar niemand had er aan gedacht. En misschien hebben testers wel getest om tijdens gevechten fast travel te gebruiken maar niet tijdens zulke quests Ik had er wel eens aan gedacht om te doen maar ik vond het eigenlijk oneerlijk en nutteloos tegelijk. Als je dood gaan kom je meestal toch weer redelijk in de buurt en daarnaast krijg je de gebruikte items terug. Ga ik weg moet ik dit zelf vervangen.

En zo zijn er nog genoeg bugs die maar onder een bepaalde situatie gebeurt. Dus echt overal denk ik dat echt bijna onmogelijk is. Ja er zullen genoeg dingen over het hoofd gezien worden wat programmeurs of testers wel hadden moeten zien. Maar echt alles kunnen testen nee dat verwacht ik niet.

k ben wel benieuwd waarom jij denkt dat ze overal rekening mee kunnen houden.

Juist volkomen omgekeerd! Ik weet juist behoorlijk goed waarom dat onmogelijk is :-)

Lees mijn post nog maar een keer maar dan met dat begrip, dat ik absoluut heel goed weet hoe kwetsbaar een ontwikkelproces kan zijn.

[Reactie gewijzigd door Keypunchie op 23 maart 2022 18:24]

Ik denk dan dat er ergens een communicatie probleem zit. Jij quote van mij

Ik denk dat jij je aardig vergist in hoe moeilijk het is om overal rekening mee te houden

Hier zeg ik dus dat het moeilijk is dat het moeilijk is om overal rekening mee te houden. Daarop zeg jij

Dat betwijfel ik :-) Ik kan het je in DM uitleggen waarom, als je wilt :-)

Daarnaast zei je

Veel belangrijker voor het vinden van bugs zijn in mijn ervaring goede testers/QA department. Die zijn vaak hun gewicht in goud waard.

Dit samen kwam dus bij mij over dat bugs dus eigenlijk zouden mogen bestaan en dat men dus overal rekening mee moest houden. Zal misschien wel een verkeerde gedachte patroon van mij geweest zijn dan.

Ik betwijfel inderdaad dat ik me aardig zou vergissen!

Ik weet dat namelijk juist best goed.

Bugs mogen niet bestaan. Bugs bestaan. En de programmeur (en ook een code reviewer) gaat ze (helaas!) niet detecteren door het lezen van code.

De overgrote meerderheid van bugs vind je pas in de uitvoering en testen. Omdat daar pas de edge cases en de interactie met andere onderdelen duidelijk wordt.

Een modern stuk software is vaak niet eens 1 programma, maar hangt soms van de (micro)services aan elkaar. Het gedrag van die andere componenten is niet in de eigen code te lezen.

We leven in een andere tijd, en een compleet ander traject van development. Tot een paar jaar geleden was testen een luxe van de grote bedrijven en zelfs daar was het zeker niet waterdicht. Tegenwoordig doen we het op 4 niveaus waarbij alleen het topje nog handmatig testen bevat. Dus fouten zoals die je nu beschrijft komen mogelijk door unit testing heen, maar niet meer door integratie testen of end-to-end testing. Deze code zou het daglicht (in vorm van product) niet eens mogen zien.

Als Microsoft hier steken heeft laten vallen is dat erg pijnlijk. Want hun faciliteren juist de tools om dit allemaal goed in te kunnen richten. Dat is een dikke inktvlek op je visite kaartje. Nog sterkere zorg heb ik hoe de groep op deze DevOps omgeving is gekomen. Omkopen van een medewerker is de makkelijkste optie, maar uiteraard is dat terug te halen in logs e.d. Dus al zou je als medewerker een bedrag met 6 nullen ontvangen ben je die dubbel en dwars weer kwijt aan schadevergoeding, om nog niet te spreken over reputatie aan gort. Andere optie is lekken in DevOps, en dit komt weer terug op de inktvlek op het visite kaartje van MS. Hopelijk wordt dit toch vrij gegeven, al dan niet met maatregelen die ze gaan nemen om dit te voorkomen. Maar zover ik weet is dat bij Samsung ook niet gebeurd.

testen is ook een risico afweging. lang niet alles wordt grondig doorgetest en geen enkel stukje software is 100 ÷ bugvrij te krijgen.
automatisch testen wordt wel steeds meer ingezet, maar is door de onderhoudbaarheid vaak ook helemaal niet aan de orde. Ook daar zitten afwegingen in, software die vaak (fundamenteel) wijzigt, ga je niet automatiseren, want ook automatiseren van je testwerk kost enorm veel tijd.

Als ik hierboven iemand dingen zie aangeven over een game, dan kan ik alleen maar denken dat bij games ook wel alleen de 'goedpaden' worden bekeken en de rest vd fouten er door een release naar een (kleine) gebruikerscircel veel beter uitkomen dan 100÷ alles door te testen op alle mogelijke devices (wat gewoon onmogelijk is). Dus ook dat zijn risico afwegingen.

Bij Linux is de broncode toch ook openbaar? En dat gaat prima.
Het openbaar maken van broncode van Microsoft is een nadeel voor Microsoft.

een set verse ogen zullen makkelijker exploits vinden, dan de selecte groep auditbedrijven die ms inhuurd (voor zover dat uberhaupt al extern gebeurt)

I note that the above report states that "Microsoft had accessed and stolen parts of the source code". Did Microsoft access and steal parts of its own source code or that of DEV-0537? Which? I am confused.

Wil nog niet zeggen dat er niets uit te halen valt.

Ik ben benieuwd in hoeverre de relatief grote beveiligingslekken zoals Log4J eind afgelopen jaar hebben meegeholpen tot de toegang tot de netwerken. Het lijkt mij sterk dat we hier te maken hebben met de standaard methode van brute forcen gezien de getroffen bedrijven en de omvang van de hacks door Lapsus$. Als deze hacks maanden in voorbereidin zijn geweest dan komt het qua tijdframe overeen met December waarin aardig wat grote lekken gevonden werden (niet alleen Log4J).
Ik ben dus wel benieuwd naar een analyse van hoe toegang is verschaft geworden in deze hacks.

Niet dus. Gaat in bijna alle gevallen om een gecompromitteerd user account....

Dus niet op slinkse wijze

Wat ik recent van dichtbij heb meegemaakt is dat zodra ze toegang hebben, ze full blast op dat bedrijf gaan zodra ze toegang hebben. Waar je eerder zag dat ze wat ransomware rond lieten gaan en het daardoor 'enkel' wat pc's en servers waar ze toevallig bij konden komen met hun scripts zie ik nu dat ze bewust op zoek gaan naar andere kwetsbaarheden en bewuster en dieper in de gehackte bedrijven gaan, ze hacken zichzelf in het domain, resetten wachtwoorden van belangrijke accounts en gaan op die manier verder om een bedrijf helemaal tot stilstand te dwingen.

Backups encrypten, domain servers verwoesten, vmware omgevingen van binnen encrypten (dus vanaf het esxi level), esxi in het domain joinen zodat ze daarop verder kunnen gaan als je ze uit vCenter hebt getrapt, servers en desktops encrypten.

Voor zover ik de aanval van ons bedrijf (50k medewerkers wereldwijd) kan beoordelen hebben ze doel bewust bepaalde landen harder aangevallen (Duitsland, Engeland, Amerika) en lijken de Aziatische landen gespaard te blijven

Voor zover ik de aanval van ons bedrijf (50k medewerkers wereldwijd) kan beoordelen hebben ze doel bewust bepaalde landen harder aangevallen (Duitsland, Engeland, Amerika) en lijken de Aziatische landen gespaard te blijven

Ik ben benieuwd wat de reden hiertoe is. Ik kan me voorstellen dat dergelijke landen gespaard blijven als het de thuisbasis van de hackers is (minder risico op vervolging bijv.), maar het zal me ook niet verbazen als Aziaten simpelweg lastiger te overtuigen zijn om inloggegevens te overhandigen (trots, heftigere consequenties, etc.). En last but not least: misschien is er daar gewoon minder te halen. Waar ik werkzaam ben is er in ieder geval veel minder te vinden op Chinese accounts/servers dan Europese accounts/servers ivm de angst voor bedrijfsspionage.

Plus dat wij veel verder gedigitaliseerd zijn. Zelfs in een land als Japan is nog heel veel niet digitaal. Ik heb meegemaakt dat er voor creditcard betalingen een aparte rij en kassa was, de bulk was gewoon cash.

Dat verschilt heel veel per land. China is juist een heel stuk verder dan wij zijn.

Ik ben benieuwd wat de reden hiertoe is.

Dat is afhankelijk van de achterliggende reden.

Als het afpersing is door te dreigen data te openbaren dan zijn westerse bedrijven een beter doelwit omdat dit harder aankomt vanwege privacywetgeving.

Als het om industriële spionage gaat dan zijn westerse bedrijven wederom een beter doelwit omdat er bijzonder veel geld in R&D gaat.

Staatsactoren volgen de huidige geopolitieke spanningen en hebben als primair doel schade berokkenen in tegenstelling tot eigen gewin.

Voor allen geldt natuurlijk dat ze nog steeds risico's ontwijken en zich richten op landen met mildere strafmaat, zonder uitleveringsverdrag met land van herkomst of land van herkomst in het geheel niet.

aan de inlog gegevens lag het niet, ze waren in ons geval domain admin dus ze konden dus bijna overal bij komen als ze het zouden willen. De afkomst van 'onze groep' hackers lijkt Russische gelieerd te zijn (Forensische analyse is nog bezig).

In de gespreken die ik gevoerd heb met onze soft/hardware leveranciers en support afdelingen van die leveranciers zeggen ze onafhankelijk van elkaar dat ze een duidelijke trend zien van +25% aan geslaagde zware hack aanvallen.

Hetzelfde bij ons (shipping bedrijf).

Binnen gekomen via één of andere oude VM die iemand in een verkeerd VLAN had opgespint, met internet access. Daar via standaard pre-windows 2016 vulnerabilities binnen gekomen, lateral movement via Remote PS, admin shares etc.

Password mining, daarmee aan de slag tov de DC's, daar op minder dan één dag domain admin role gekregen, wat GPO's aangemaakt om defender/AV uit te zetten op servers, PS Remoting aan, payload gedistribueerd via deze weg naar alle servers.

Eens binnen op het juiste VLAN (ESX), daar mbv Log4j vulnerability alle VM's op alle ESX's ge-encrypt (mooie code, 32 parallelle threads, extreem snel geregeld), VMs zelf (na analyse) relatief gerust gelaten.

Eén/twee machine onaangeroerd gelaten (DC + oude VM waar ze ook exfill op deden), met daarop de contactgegevens en standaard Conti Ransomware boodschap).

De adolescenten die LAPSUS$ vormen wonen (waarschijnlijk) in Brazilië. Dus het zal iets met taalbarrière en tijdzones zijn dat ze Azië niet treffen.

Professioneel hackersgilde, ben benieuwd hoelang ze deze aanvallen al aan het voorbereiden zijn geweest gezien de vele grote namen die gehackt worden achter elkaar.

Ik vind dat teveel eer zo'n term. Bovendien vind ik binnendringen van systemen met een gecompromitteerd account nou niet bepaald een hack! In mijn ogen ben je pas een echte hacker, als je dmv. geavanceerde malware systemen kan binnendringen.

Ik denk dat je een echte hacker bent wanneer je het juiste gereedschap voor de klus kiest. Als je een sleutel hebt (lees gecompromitteerd account) dan heb je geen breekijzer (lees geavanceerde malware) nodig om binnen te komen.

Een inbreker kiest er toch ook niet voor om je hele voordeur kapot te trekken wanneer de sleutel onder de deurmat ligt? Zegt niks over de vaardigheden van de inbreker maar meer over de vaardigheden van de bewoner.

[Reactie gewijzigd door Archcry op 23 maart 2022 09:27]

Goed dat je de analogie met een gewone inbreker noemt. Hackers worden hier toch vaak wel een beetje als helden gezien, maar het zijn natuurlijk gewoon ordinaire criminelen. Ongeacht of iets moeilijk of makkelijk te hacken is. Je blijft met je poten van andermans spullen af.

Je houdt bij je uitspraak geen rekening met white hat hackers, misschien de moeite waard je daar eens op in te lezen.

Gedeeltelijk mee eens.

In de basis wel. Maar eerlijkheid gebied me te zeggen dat ik ook wel kan genieten van een goede heist op z’n tijd

Zeker van organisaties die onvoorstelbaar rijk zijn.

Ik denk dat de definitie van het woord "held" wel gecomplixeert ligt. Soms kan je een held zijn door iets te doen wat niet mag en soms kan je juist geen held zijn door hetgeen te doen wat men van je verwacht.

Voorbeeld in deze is de hackers die de propaganda op de Rusissche televisie doorbreken en de daadwerkelijke beelden laten zien wat er in Oekraine gebeurt. Is dat fout? Is dat goed? Ik heb er mijn gedachte over en jij misschien ook. De een kan dit zien als een heldendaad en de ander ziet het als "met je poten aan spullen van anderen zitten". Ik laat het aan jou over om hier zelf een conclusie in te trekken maar het is (helaas) niet altijd zo zwart-wit als je hierboven aangeeft.

Je hebt ook Ethical hackers, in het algemeen zijn dat géén criminelen. Maar inderdaad... de Hacker waar men het meestal over heeft is gewoon een crimineel die erop uit is om spullen van anderen te beschadigen, jatten om zichzelf op wat voor manier dan ook te verrijken of gewoon om puur schade aan te richten. Weinig respectabel aan... Ze zijn soms beter met bepaalde gereedschappen dan anderen. Maar dat geldt ook voor een dief, die sloten kan kraken. Of mijn oma die beter dan ik pannekoeken kan bakken... en ook beter kan roddelen.

Als je een sleutel hebt (lees gecompromitteerd account) dan heb je geen breekijzer (lees geavanceerde malware) nodig om binnen te komen.

Dat noemt men een insluiper, in de analoge wereld

Dat is omdat je de term "Hacker" geromantiseerd ziet. Hackers gebruiken alles wat voorhanden is voor een bepaald doel. Of het nou een BlueRay Disc is met duizenden tooltjes erop die een systeem op zero days of open poorten kunnen analiseren of automatisch overnemen, USB-stickjes of Rubber Ducky's achter in computers te pluggen (als bijvoorbeeld schoonmaker) óf fishing mailtjes versturen óf terloopse gesprekken bij de koffieautomaat te voeren met een persoon waarvan ze denken dat die zinvolle informatie kan verschaffen die zij kunnen gebruiken, het doel heiligt de middelen. Niet elke hacker hoeft bijvoorbeeld een Man in the Middle te zijn die netwerkverkeer zit te analiseren met Wireshark o.i.d. en instructies zit in te kloppen op een zwart-groene terminal.

[Reactie gewijzigd door Anoniem: 25604 op 23 maart 2022 09:28]

De term hacker is inderdaad erg algemeen & iedereen heeft zo z'n eigen interpretatie wat nou een "echte" hacker is. En ja, je kunt op diverse manieren systemen binnendringen & zelfs met simpele social engineering kun je al ver komen.

Daarnaast gebruiken ze soms tactieken die minder vaak door andere groepen worden gebruikt, zoals sim-swapping, het betalen van werknemers en leveranciers en toegang krijgen tot de persoonlijke e-mailaccounts van werknemers van bedrijven die het doelwit zijn.

Dit komt dus vrij vaak voor in z-amerika omdat het een relatief schone misdaad is, je hoeft niemand te vermoorden of in mekaar te slaan.

Dat het nu een schaalbaar model is waarbij was een kwestie van tijd. Als je ergens 100k kunt lospeuteren en het kost je nog geen 10k dan kun je een paar keer verlies pakken zonder dat je in het rood komt te staan.

Een gilde maakt imho de suggestie dat het een eerbaar beroep is, lijkt me niet gepast. Het zijn criminelen.

Een gilde doet me toch eerder denken aan criminelen, zoals de dievengilde.

Je speelt te veel RPG spelletjes.

Gildes waren in de middeleeuwen een soort vakbonden en opleidingsinstituten. Ieder vak had zijn gilde. Daarin word je opgeleid voor een vak. Als je het vak meester was dan betaalde je mee aan het gilde. En als je ziek was dan was het gilde een vangnet voor je.

Had ook nog maar enkel van gildes gehoord uit RPG spelletjes

En het beroep buiten de gilde om uitvoeren was verboden.

Dit beeld wordt bevestigd in Sir Terry Pratchett's Disc-world series: "if there is crime, than it's better to organize it"

Ik denk dat justitie daar anders over denkt.

Ik denk het niet. Ik denk niet dat je vervolgd wordt als je nu bijvoorbeeld de site van het Kremlin plat zou leggen vanuit Nederland.

En daarmee doelwit worden van de KGB? Dan prefereer ik toch vervolging door justitie

De KGB doet niets meer. Je bedoelt waarschijnlijk de FSB.

Dat is wat anders maar justitie zal er denk ik weinig van ‘vinden’.

Een behoorlijke aanname of zelfs bijna beschuldiging. Of zelfkennis?

Er staat denk ik. Dus aanname.

ik denk justitie in Rusland wel

Nog afgezien van het feit dat zowel Bing als Cortana twee gedrochten van programma's zijn.

Dan breekt je dus in bij Microsoft en dan "steel" je de broncode van de slechtste zoekmachine ever en een haast onbruikbare voice assistent? Poeh, Poeh, wat heb je dan veel kritieke data gestolen. Zelfs al zou Microsoft het op Github gooien zou nog niemand het willen gebruiken.

als Microsoft nu gewoon zelf de broncode van haar producten publiceert zou het zichzelf minder tot doelwit maken voor hackers

Beetje de omgekeerde wereld & in het geval van MS niet relevant. Deze criminelen zijn puur bezig voor geld & proberen dmv. chantage grote multinationals af te persen.
Het is MS overigens hun goed recht om de sourcecode van Windows voor zichzelf te houden, aangezien dat nog steeds hun melkkoe is. En ik vind hun support naar de open source community toe de laatste jaren enorm behulpzaam, maar ze hebben het volste recht om niet al hun geheimen prijs te geven.

Lol, wat een onzin. Als Microsoft een closed source project wilt hebben is dat hun goede recht.

Dus omdat jij mij vrijwillig niet je pincode wilt geven, moet ik je maar beroven?
Dat is wat je nu in principe zegt.

Tjah, dat "Microsoft loves Linux" verhaal is ook grotendeels voor de buhne hè.. Ondanks dat Microsoft veel code heeft bijgedragen aan de Linux kernel is een groot deel daarvan specifiek voor hun Microsoft Azure platform. En zo gek is dat natuurlijk niet. Microsoft is en blijft een bedrijf en een bedrijf handelt natuurlijk primair voor zichzelf en de aandeelhouders. Sterker nog, ze hebben een verplichting richting de aandeelhouders om winstgevend te zijn. Beslissingen zijn daarom lang niet altijd goed voor de gebruiker. Ze kunnen allerlei leuke verhalen ophangen over hoe goed ze bijdragen aan open source projecten maar uiteindelijk doen ze het voor zichzelf en niet voor hun gebruikers. Microsoft (or any other company) is not your friend. Mensen die daar anders over denken houden alleen zichzelf voor de gek.

[Reactie gewijzigd door Archcry op 23 maart 2022 08:47]

Natuurlijk zit er veel eigenbelang bij, daar is niks mis mee, aangezien MS een commercieel bedrijf is. Maar je merkt de laatste jaren echt wel dat hun mentaliteit tov. de Open Source Community flink veranderd is, alleen al het feit dat diverse tools & zelfs MS SQL nu native op Linux draaien, zegt eigenlijk al genoeg. MS beseft heel goed dat Windows & Linux prima naast elkaar kunnen leven & soms kunnen ze zelfs samenleven. Het zegt al genoeg dat Azure deels op Linux draait...

Nja, ik zeg ook niet dat het verkeerd is dat er eigenbelang is. Dat is juist wat ik duidelijk probeer te maken. Wat ik probeer te zeggen is dat Microsoft juist vanuit eigenbelang acteert en niet zo zeer vanuit de wensen van hun gebruikers. Je geeft aan dat Microsoft hun mentaliteit veranderd heeft t.o.v. open source nu ze bijvoorbeeld Linux omarmen. Je zegt daarbij dat Microsoft beseft dat Windows en Linux prima naast elkaar kunnen draaien. Er is natuurlijk een tijd geweest dat die anders was en dat Microsoft juist probeerde Linux weg te zetten als een "kankergezwel" (Steve Ballmer). Wat ik probeer te zeggen is dat Microsoft dit niet zozeer uit de goedheid van hun hart naar hun gebruikers willen brengen maar meer vanuit de kennis dat ze wel iets met Linux moeten gaan doen omdat ze anders simpelweg een deel van de markt niet kunnen serveren. Dit doen ze dus niet omdat mensen ernaar vragen maar meer omdat ze geld mislopen als ze het niet aanbieden. En dat is wat ik ook probeer te zeggen met "Microsoft is not your friend". Ze doen wat het beste is voor hun portemonee en dat is ook helemaal prima en begrijpelijk. Ik merk alleen dat sommige mensen hier af en toe Microsoft de hemel in prijzen omdat ze zoveel goed aan het doen zijn. En dat is misschien ook wel zo maar vergeet niet dat ze het voornamelijk voor hunzelf doen en niet voor hun gebruikers.

Natuurlijk zit er een stukje eigenbelang bij & zoals je al aangeeft, heeft Ballmer toentertijd veel kapot gemaakt, aangaande het contact met de Open Source Community & tot op de dag van vandaag, heeft MS last van dat "Ballmer-imago". Ik ben absoluut geen MS-fanboy, maar ik zie de laatste jaren toch wel heel duidelijk dat veel MS coders Linux omarmen, gezien de vele GIT-projecten & ik heb niet het idee dat al deze projecten afgedwongen worden, of puur uit eigenbelang gestart worden. Naar mijn idee sommige projecten initieel hobby-matig gestart, puur omdat coders het leuk vinden & - zoals zo vaak - groeit zo'n projekt ineens flink, waarbij het uiteindelijk officieel door MS ge-support wordt.

Ik denk dat we ook wel redelijk in dezelfde lijn qua gedachten zitten hoor. Als je mijn berichten terug leest zie je ook dat ik op verschillende plekken ook nuanceer. Ik wil voornamelijk duidelijk maken dat bedrijven niet alleen de gebruiker serveren maar ook voornamelijk bezig zijn met hun eigen belangen. Zoals ik ook al eerder zei is dat hun goedrecht want dat is wat ze moeten doen als bedrijf. Over het algemeen wil ik gewoon kritisch zijn op waarom bedrijven dingen doen en niet direct naar de conclusie springen dat ze fantastisch zijn en alles voor hun gebruikers over hebben. Om even de andere kant van het verhaal te belichten, ik gebruik vrij weinig producten van Microsoft maar er zijn toch wel producten die ik heel graag gebruik (denk hierbij aan vscode en TypeScript). Er zijn ook producten die ik abominabel vind (denk aan Teams). Ik probeer kritisch te zijn op bedrijven maar ik wil het niet zo zwart wit zien dat je een hekel aan ze hebt of ze juist helemaal fantastisch vind.

[Reactie gewijzigd door Archcry op 23 maart 2022 12:17]

Dat had ik ook al tussen de regels door gelezen Jij staat er hetzelfde in als ik, heb ik het idee. Beroepsmatig heb ik hoofdzakelijk met MS te maken & over het algemeen kan ik prima overweg met hun software, maar privé gebruik ik liever Linux, puur omdat het meer open is.

Dan mogen ze gerust MS Office eens terug laten werken op Linux, zoals het geval was met XP / 2003.

Oh vertel eens? Naar mijn weten is MS Office nooit officieel uitgebracht voor Linux, of ik moet iets gemist hebben...

Dat hebben ze inderdaad nooit. Oudere versies werkten wel zonder gedoe via Wine.

Díe snap ik niet. "Wees lief als je niet aangevallen of misbruikt wil worden..." is eigenlijk jouw advies? Volgens mij gaat het hackers vooral om geld, macht en chaos. Ik hoop dat deze gasten, indien ze gepakt worden, naar jouw advies luisteren in de gevangenis.

Waarom zouden ze hun broncode openbaar moeten maken?
Ze hebben veel tijd en geld gestoken in het laten schrijven van de software. Moeten ze nu al hun concurrenten gratis laten zien wat voor oplossingen ze hebben gevonden voor problemen die die concurrenten ook hebben?